Kaspersky meldet drei neue Flame-Varianten

Kaspersky Lab und mehrere Partner haben ermittelt, dass die Malware Flame schon ab 2006 entwickelt wurde und es weitere Varianten des Trojaners gibt. Die neuen Erkenntnisse konnten durch die forensische Analyse von zwei Kommando- und Kontrollservern gewonnen werden. An den Untersuchungen waren die UN-Organisation ITU, das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie die Sicherheitsfirma Symantec beteiligt.

Auf den Servern gespeicherte Inhalte konnten gesichert werden, obwohl die Kontroll-Infrastruktur von Flame unmittelbar nach Entdeckung der Spionage-Malware offline ging. Es fanden sich sogar Anzeichen dafür, dass die Plattform noch immer in der Entwicklung war. Auf den ersten Blick schienen die Server ein Content Management System (CMS) bereitzustellen – das diente offenbar der Tarnung, um den eigentlichen Zweck vor Hosting-Providern oder zufälligen Untersuchungen zu verbergen.

Während der Code von Flame zunächst auf das Jahr 2010 datiert worden war, begann die Entwicklung in Wirklichkeit wohl schon im Dezember 2006. Die Server konnten die Daten infizierter Maschinen mit vier verschiedenen Protokollen empfangen, und nur eines davon kam bei den mit Flame angegriffenen Rechnern zum Einsatz. Aus dem Vorhandensein der weiteren Protokolle schließen die Sicherheitsforscher, dass mindestens drei mit Flame verwandte Schadprogramme geschaffen wurden. Ihr Einsatzzweck ist noch unbekannt, aber eine dieser Varianten soll derzeit „in freier Wildbahn“ unterwegs sein.

Betrieben wurden die Kontrollserver mit 64-Bit-Versionen von Debian Linux. Der Servercode war überwiegend in der Skriptsprache PHP geschrieben. Die Autoren der Malware sorgten mit aufwändigen Verschlüsselungsmethoden dafür, dass nur sie selbst auf Daten zugreifen konnten, die von infizierten Computern zu den Servern hochgeladen wurden. Die Zielrechner erreichte Flame als manipuliertes Update für Microsoft Windows.

„Es war selbst nach der Analyse seiner Kommando- und Kontrollserver schwierig für uns, die Menge der von Flame gestohlenen Daten zu schätzen“, erklärte Alexander Gostev vom Antivirenspezialisten Kaspersky. „Die Autoren von Flame sind gut darin, ihre Spuren zu verwischen.“ Die Angreifer hätten dennoch einen Fehler begangen, durch den die Sicherheitsforscher mehr Einblick gewannen. „Wir können daher sehen, dass auf einen bestimmten Server in einer Woche über 5 GByte an Daten hochgeladen wurden, die von über 5000 infizierten Maschinen stammten. Das ist sicher ein Beispiel für Cyberspionage von gewaltigem Umfang.“

Nach Informationen der Washington Post stecken hinter der Malware Flame die USA und Israel. Das berichtete die Zeitung schon im Juni und berief sich dabei auf offizielle Regierungskreise. Demnach sollte Flame Informationen sammeln, die für einen größer angelegten Cyberangriff gegen den Iran eingesetzt werden können. Ziel sei es, die islamische Republik daran zu hindern, eine Atomwaffe zu bauen.

Die Malware Flame soll im großen Stil iranische Computernetze infiltriert und eine erhebliche Menge Informationen zurückgesendet haben. Dabei seien auch Teile von Stuxnet verwendet worden. Flame sowie Stuxnet gehörten demnach zu einem größeren und noch immer andauernden Angriff.

[mit Material von Rachel King, News.com]