Startseite > Office & Kommunikation > Kaspersky-Lab: Mindestens eine Variante von Flame weiter aktiv

Cyberspionage 2.0

Kaspersky-Lab: Mindestens eine Variante von Flame weiter aktiv

17. September 2012, 15:33 Uhr | David Ladner

Fortsetzung des Artikels von Teil 1

Neue Details zur Cyberspionage-Plattform Flame

Die Analyse der C&C-Server ergab, dass Flame sich als Content-Management-System tarnt. Solche Systeme zur professionellen Erstellung und Verwaltung von Webseiten sind in PHP programmiert und erregen bei Webseiten-Hostern oder stichprobenartigen Untersuchungen weniger Verdacht. Als Betriebssystembasis dienen virtualisierte Debian Server, ein besonders robustes 64-Bit Linux-Betriebssystem. Es werden überdies ausgefeilte Verschlüsselungsmethoden eingesetzt, damit lediglich die Angreifer auf die gewonnenen Daten zugreifen können. Hier die wichtigsten Ergebnisse kurz zusammengefasst:

Im Gegensatz zur vorher gehenden Einschätzung datiert der Entwicklungsbeginn von Flame bereits auf das Jahr 2006.
Die C&C-Server erhalten ihre Daten von den infizierten Rechnern auf vier verschiedenen Kommunikationswegen. Nur ein Kommunikationsprotokoll wird bislang von Flame eingesetzt.
Die Existenz von drei weiteren Kommunikationsprotokollen, die nicht von Flame verwendet werden, ist ein starkes Indiz dafür, dass wenigstens drei weitere Typen von Schadsoftware existieren, deren Zweck im Augenblick nicht bekannt ist.
Davon ist ein unbekannter Schadsoftware-Typ augenblicklich im Netz aktiv.
Es gibt auch Anzeichen dafür, dass Flame weiterhin in Entwicklung ist. So wurde ein neues Protokoll namens „Red Protocol” noch nicht vollständig eingerichtet. Die letzte Änderung des Server-Codes wurde am 18. Mai 2012 von einem der Programmierer durchgeführt.
Es gibt keine Hinweise darauf, dass die C&C-Server von Flame für Stuxnet oder Gauss eingesetzt wurden.

Die Cyberspionage-Plattform Flame wurde ursprünglich im Mai 2012 während einer Untersuchung für die ITU (International Telecommunication Union) von Kaspersky-Lab aufgedeckt. Daraufhin hat die ITU ihre 144 Mitgliedsnationen alarmiert und Empfehlungen zur Abwehr gegeben. Die Komplexität des Codes und nachgewiesene Verbindungen zu den Stuxnet-Entwicklern deuten darauf hin, dass Flame eine weitere Komponente einer Cyberwar-Strategie ist, die von staatlicher Seite betrieben wird.