Flame zerstört sich selbst

Die Autoren der Malware Flame haben einen Schutzmechanismus eingebaut: Schon wenige Stunden nach den ersten Veröffentlichungen zu Flame begannen die Kommando- und Kontrollserver, vom Netz zu gehen. Flame war ursprünglich dafür konfiguriert, Verbindung zu diesen Servern aufzunehmen und von ihnen übermittelte Skripte abzuarbeiten. Ab dem 28. Mai wurden diese Anfragen jedoch mit den HTTP-Fehlercodes 403 und 404 beantwortet. Teilweise erhielten die Rechner noch ein Löschmodul, das alle Spuren von Flame beseitigen sollte.

Wie Kaspersky Labs berichtet, gelang es dennoch in Zusammenarbeit mit dem US-Domainregistrar GoDaddy sowie OpenDNS, die von Flame genutzten Domains zu ermitteln. Insgesamt registrierten die Hintermänner von Flame mit gefälschten Adressangaben mindestens 80 Domains, um sie für ihre Kommando- und Kontrollserver zu nutzen. Die Server liefen unter Ubuntu-Linux; sie standen etwa in Deutschland, dien Niederlanden, Großbritannien, der Schweiz, Hongkong und der Türkei. Für die Domainregistrierung wurden auffällig viele Adressen in Deutschland und Österreich genutzt – mit einer laut Kaspersky unerklärlichen Vorliebe für Wien.

Die Auswertung ergab weiterhin, dass überwiegend Systeme mit Windows 7 (50 Prozent) von Flame befallen waren, gefolgt von Windows XP (45 Prozent) und Vista (5 Prozent). Flame lief nicht auf Rechnern mit der 64-Bit-Version von Windows 7 – von Kaspersky als gute Lösung auch gegen Infektionen mit anderer Malware empfohlen.

Symantec hat inzwischen ermittelt, dass die Flame-Angreifer die Kontrolle über einige Server behielten. Ein Teil der kompromittierten Computer erhielt eine Datei namens „browse32.ocx“, von den Sicherheitsforschern als „Deinstallationsprogramm“ bezeichnet. Das Flame-Modul enthält Anweisungen, um über 160 Dateien und vier Ordner zu entfernen. Es wurde erst wenige Wochen vor der Entdeckung von Flame geschrieben und kam zum Einsatz, obwohl die Malware schon vorher ein Löschmodul enthielt.

„In zuvor analysiertem Flame-Code fanden wir eine Komponente namens SUICIDE, die ähnlich wie browse32.ocx funktioniert“, heißt es in einem Blogeintrag von Symantec. „Es ist nicht bekannt, warum die Malware-Autoren sich entschieden haben, nicht die Funktionalität von SUICIDE zu nutzen, und stattdessen Flame veranlassten, den Anweisungen eines neuen Moduls zu folgen.“

Ausgerechnet das Löschmodul soll jedoch einen Fehler haben und die temporäre Datei ~DEB93D.tmp zurücklassen. Nach einer Dokumentation (PDF) von CrySyS handelt es sich dabei um eine verschlüsselte Datei, die eine SQLite-Datenbank mit Einträgen aus der NetBIOS-Namenssuche enthält. Sie könnte den Sicherheitsforschern theoretisch weitere Hinweise auf infizierte Rechner geben.

[mit Material von Michael Lee, ZDNet Australia]

Hinweis: Artikel von ZDNet.de stehen auch in Google Currents zur Verfügung. Jetzt abonnieren.