Flame: uma nova "super-cyberweapon"

Do Público:

O vírus Flame é uma das ameaças mais complexas alguma vez detectadas

Foi detectada a existência de um vírus informático que dá pelo nome de Flame e que já foi descrito como uma das ameaças mais complexas alguma vez detectadas.

Pensa-se que este vírus, que desencadeou um complexo ciberataque à escala mundial, tem recolhido dados privados de uma série de países, incluindo Israel e Irão, afirmaram especialistas citados pela BBC.

A empresa de segurança informática russa Kaspersky Labs indicou à estação britânica que o malware estará operacional desde pelo menos Agosto de 2010. A mesma empresa indicou que os ataques terão origem num programa estatal, mas não quiseram indicar qual a eventual origem geográfica da ameaça.

As investigações às origens e objectivos deste ataque foram levadas a cabo em parceria com a International Telecommunication Union, da ONU.

No passado foi já noticiada a existência de complexo malware internacional com um alvo específico, como o Stuxnet, o vírus que infectou centrais nucleares iranianas. Porém, o novo vírus Flame não terá como objectivo causar danos físicos, mas antes recolher dados sensíveis dos seus alvos, indicou Vitaly Kamluk, perito da empresa Kaspersky Labs.

O professor Alan Woodward, do Departamento de Computação da Universidade do Surrey, disse à BBC que este é um ataque muito significativo. “Isto é basicamente um aspirador industrial de informações sensíveis”, disse, explicando que ao contrário do Stuxnet, que tinha um objectivo específico, este malware pode apanhar tudo aquilo que lhe chegar e considerar potencialmente interessante.

Kamluk explicou à BBC como o vírus actua: “Uma vez infectado um sistema, o Flame dá início a um complexo sistema de operações, incluindo a monitorização do tráfego, a recolha de capturas de ecrã, a gravação de conversas áudio, o registo de acções no teclado e por aí fora”.

Relata a BBC que este vírus consegue detectar conversas telefónicas, gravá-las e enviá-las para os “espiões” e consegue igualmente fazer capturas de ecrã detectando automaticamente quando estão abertos programas “interessantes”, como e-mail ou mensagens instantâneas.

Mais de 600 alvos específicos foram atingidos, desde indivíduos e empresas até governos e instituições académicas.

Uma unidade informática governamental iraniana alertou recentemente para o facto de este vírus Flame ser responsável por “recentes perdas massivas de dados” nacionais.

Os investigadores dizem que poderá demorar vários anos a ser analisado, por causa do seu tamanho e da sua complexidade, o que sugere que a sua origem poderá ser governamental (ou criada com apoios estatais) e não fruto do trabalho de cibercriminosos independentes.

“Actualmente há três categorias de indivíduos/organizações que desenvolvem malware e spyware: hacktivistas, cibercriminosos e Estados”, disse Kamluk.

“O Flame não tem a intenção de roubar dinheiro de contas bancárias. E também é diferente do simples malware usado pelos hacktivistas. Por isso, ao excluirmos os cibercriminosos e os hacktivistas, chegamos à conclusão que o mais provável é que a ameaça venha do terceiro grupo”, indicou o mesmo responsável.

Entre os países afectados pelo ataque contam-se o Irão, Israel, Sudão, Síria, Líbano, Arábia Saudita e Egipto.

“A geografia dos alvos e também a complexidade da ameaça não deixa qualquer dúvida sobre a hipótese de ter sido um Estado-nação a patrocinar a investigação que deu origem a isto”, disse Kamluk.

O primeiro registo da actuação do vírus Flame foi detectado pela empresa Kaspersky em Agosto de 2010, apesar de ser provável que o malware estivesse a operar desde antes.


Alguns excertos do anúncio da Kaspersky (destaques meus):

Kaspersky Lab and ITU Research Reveals New Advanced Cyber Threat
28 May
Virus News

Kaspersky Lab announces the discovery of a highly sophisticated malicious program that is actively being used as a cyber weapon attacking entities in several countries. The complexity and functionality of the newly discovered malicious program exceed those of all other cyber menaces known to date.

The malware was discovered by Kaspersky Lab’s experts during an investigation prompted by the International Telecommunication Union (ITU). The malicious program, detected as Worm.Win32.Flame by Kaspersky Lab’s security products, is designed to carry out cyber espionage. It can steal valuable information, including but not limited to computer display contents, information about targeted systems, stored files, contact data and even audio conversations.

The independent research was initiated by ITU and Kaspersky Lab after a series of incidents with another, still unknown, destructive malware program – codenamed Wiper – which deleted data on a number of computers in the Western Asia region. This particular malware is yet to be discovered, but during the analysis of these incidents, Kaspersky Lab’s experts, in coordination with ITU, came across a new type of malware, now known as Flame. Preliminary findings indicate that this malware has been “in the wild” for more than two years - since March 2010. Due to its extreme complexity, plus the targeted nature of the attacks, no security software detected it.

Although the features of Flame differ compared with those of previous notable cyber weapons such as Duqu and Stuxnet, the geography of attacks, use of specific software vulnerabilities, and the fact that only selected computers are being targeted all indicate that Flame belongs to the same category of super-cyberweapons [grande termo!].

Commenting on uncovering Flame, Eugene Kaspersky, CEO and co-founder of Kaspersky Lab, said: “The risk of cyber warfare has been one of the most serious topics in the field of information security for several years now. Stuxnet and Duqu belonged to a single chain of attacks, which raised cyberwar-related concerns worldwide. The Flame malware looks to be another phase in this war, and it’s important to understand that such cyber weapons can easily be used against any country. Unlike with conventional warfare, the more developed countries are actually the most vulnerable in this case.”

The primary purpose of Flame appears to be cyber espionage, by stealing information from infected machines. Such information is then sent to a network of command-and-control servers located in many different parts of the world. The diverse nature of the stolen information, which can include documents, screenshots, audio recordings and interception of network traffic, makes it one of the most advanced and complete attack-toolkits ever discovered. The exact infection vector has still to be revealed, but it is already clear that Flame has the ability to replicate over a local network using several methods, including the same printer vulnerability and USB infection method exploited by Stuxnet.Alexander Gostev, Chief Security Expert at Kaspersky Lab, commented: “The preliminary findings of the research, conducted upon an urgent request from ITU, confirm the highly targeted nature of this malicious program. One of the most alarming facts is that the Flame cyber-attack campaign is currently in its active phase, and its operator is consistently surveilling infected systems, collecting information and targeting new systems to accomplish its unknown goals.”

(...)