Stuxneta i Flame'a sporo łączy

Zdaniem specjalistów Kaspersky Lab zespoły tworzące Stuxneta i Flame współpracowały ze sobą.

Wykryty w maju 2012 Flame jest określany mianem najbardziej skomplikowanej cyberbroni jaka kiedykolwiek istniała. W momencie zidentyfikowania tego zagrożenia nie było mocnych dowodów świadczących o tym, że było ono wynikiem pracy tego samego zespołu, który odpowiada za Stuxneta i Duqu. Również podejście do tworzenia Flame i Duqu/Stuxneta było różne, co pozwalało sądzić, że za tymi projektami stały dwa niezależne zespoły. Jednak najnowsze badania przeprowadzone przez ekspertów z Kaspersky Lab pokazują, że oba zespoły współpracowały ze sobą przynajmniej na wczesnych etapach rozwoju tych szkodliwych programów.

Częścią wspólną obu narzędzi cyberszpiegowskich jest moduł wchodzący w skład wczesnej wersji Stuxneta z 2009 r., znany jako "Resource 207", który zdaniem ekspertów w rzeczywistości był wtyczką do Flame'a. To oznacza, że gdy robak Stuxnet został stworzony na początku 2009 r., platforma Flame już istniała, a w 2009 r. źródło kodu co najmniej jednego modułu Flame'a zostało wykorzystane w Stuxnecie. Moduł ten służył do rozprzestrzeniania infekcji za pośrednictwem urządzeń USB. Kod mechanizmu infekcji przy pomocy urządzenia USB jest identyczny z kodem Flame’a i Stuxneta. Moduł Flame w Stuxnecie wykorzystywał również lukę w zabezpieczeniach, która nie była znana w tym czasie i umożliwiała zwiększenie uprawnień w atakowanym systemie (prawdopodobnie była to luka MS09-025). W roku 2010 moduł wtyczki do Flame został usunięty ze Stuxneta i zastąpiony kilkoma innymi komponentami, które wykorzystywały nowe luki. Zdaniem ekspertów Kaspersky Lab, od tego czasu oba zespoły twórców szkodliwego oprogramowania działały niezależnie, a jedyny obszar współpracy dotyczył wymiany wiedzy na temat nowych luk typu "zero-day".

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200