Weitere Erkenntnisse zur Spionageplattform "Flame"
Kaspersky entdeckt drei neue Flame-verwandte Schadprogramme
Kaspersky Lab gibt neue Erkenntnisse rund um die Cyber-Spionageplattform "Flame” bekannt. Die Analyse der "Command and Control”-Server (C&C-Server) der Plattform weist auf weitere Schadsoftware hin, wovon wenigstens noch eine im Netz aktiv sein dürfte. Die vermutlich von staatlicher Seite unterstützte Plattform datiert in ihren Anfängen bis auf das Jahr 2006 zurück, so Kaspersky.
Linux Mail Security vereint Anti-Spam- und Anti-Malware-Schutz
Neue Malware hat den Nahen Osten im Visier
Kaspersky: Security soll die IT-Performance nicht schmälern
Risiken auf dem Tablet serviert
Die Analyse der C&C-Server ergab, dass Flame sich als Content-Management-System tarnt. Solche Systeme zur professionellen Erstellung und Verwaltung von Websites sind in PHP programmiert und erregen bei Web-Seiten-Hostern oder stichprobenartigen Untersuchungen weniger Verdacht. Als Betriebssystembasis dienen laut den Sicherheitsexperten virtualisierte Debian-Server, ein besonders robustes 64-Bit-Linux-Betriebssystem. Weiter nutzen die Betreiber komplexe Verschlüsselungsmethoden, damit lediglich die Angreifer auf die gewonnenen Daten zugreifen können.
Im Gegensatz zu früheren Einschätzungen datiert Kaspersky jetzt den Entwicklungsbeginn der Plattform bis zurück auf das Jahr 2006. Zudem erhalten die C&C-Server ihre Daten von den infizierten Rechnern auf vier verschiedenen Kommunikationswegen. Flame setzt bisher nur ein Kommunikationsprotokoll ein.
Da noch drei weitere Kommunikationsprotokolle existieren, die die Plattform nicht verwendet, vermuten die Sicherheitsexperten von Kaspersky, dass wenigstens drei weitere Typen von Schadsoftware existieren. Deren Zweck ist im Augenblick jedoch noch nicht bekannt. Derzeit soll von den unbekannten Schadsoftware-Typen einer im Netz aktiv sein.
Zudem schließen die Experten nicht aus, dass sich Flame weiterhin in Entwicklung befindet.
So fanden sie ein neues Protokoll namens „Red Protocol”, das sich im Moment noch in der Phase des Einrichtens befinde. Die Programmierer haben die letzte Änderung des Server-Codes am 18. Mai 2012 durchgeführt. Es gibt jedoch keine Hinweise darauf, dass die C&C-Server von Flame für Stuxnet oder Gauss eingesetzt wurden, so Kaspersky.
Weitere Informationen gibt es im Kaspersky-Security-Blog unter www.securelist.com/en/blog/208193522/The_Flame_Questions_and_Answers.
Lesen Sie mehr zum Thema
