Utrecht, 4 juni 2012 - Op 28 mei 2012 maakte Kaspersky Lab
bekend dat het een zeer geavanceerd, kwaadaardig programma genaamd Flame heeft ontdekt, dat actief werd gebruikt als een cyberwapen gericht op entiteiten in verschillende landen. Flame werd ontdekt door Kaspersky Lab experts tijdens een onderzoek in opdracht van de
Internationale Telecommunicatie-unie (ITU). De analyse van het kwaadaardige programma onthulde dat het om de grootste en meest complexe ‘attack toolkit’ tot nog toe gaat.
Uit Kaspersky Lab's analyse van de malware bleek dat het werd gebruikt voor cyberspionage en het infecteren van computers om zo data en gevoelige informatie te stelen. De gestolen gegevens werden vervolgens verstuurd naar een van Flame’s Command & Control (C&C)- servers.
Kaspersky Lab heeft de C&C-infrastructuur van Flame nauwlettend gemonitord en heeft vandaag een gedetailleerde post gepubliceerd over de onderzoeksresultaten.
In samenwerking met GoDaddy en OpenDNS is Kaspersky Lab erin geslaagd om het grootste deel van de malafide domeinen, die gebruikt werden door Flame’s C&C's, te ‘sinkholen’. De volgende details geven een samenvatting van de onderzoeksresultaten:
- De Flame C&C-infrastructuur, die al jaren actief was, ging meteen offline nadat Kaspersky Lab het bestaan van de malware vorige week bekend maakte.
- Momenteel zijn er meer dan 80 bekende domeinen die door Flame gebruikt werden voor C&C-servers en de bijbehorende domeinen, die zijn geregistreerd tussen 2008 en 2012.
- Tijdens de afgelopen 4 jaar werden de servers, die als host dienden voor de C&C-infrastructuur, verplaatst tussen verschillende locaties, inclusief Hong Kong, Turkije, Duitsland, Polen, Maleisië, Letland, het Verenigd Koninkrijk en Zwitserland.
- De Flame C&C-domeinen zijn geregistreerd met een indrukwekkende lijst van valse identiteiten en met een verscheidenheid aan registrars, die teruggaan tot in 2008.
- Volgens Kaspersky Lab’s sinkhole werden geïnfecteerde gebruikers geregistreerd in meerdere regio's, waaronder het Midden-Oosten, Europa, Noord-Amerika en Azië-Pacific.
- Flame-aanvallers lijken een grote interesse te hebben in PDF, Office en AutoCad-tekeningen.
- De gegevens die geüpload zijn naar Flame C&C’s zijn versleuteld met behulp van relatief eenvoudige algoritmes. Gestolen documenten worden gecomprimeerd met behulp van open source Zlib en gemodificeerde PPDM-compressie.
- Windows 7 64 bit, die we eerder als een goede oplossing hebben aanbevolen tegen andere malware-infecties, lijkt doeltreffend te zijn tegen Flame.
Kaspersky Lab wil graag William MacArthur en "GoDaddy Network Abuse Department" bedanken voor hun snelle reactie en uitzonderlijke ondersteuning van dit onderzoek. Bovendien wil Kaspersky Lab graag de "OpenDNS Security Research Team" bedanken voor hun waardevolle hulp tijdens dit onderzoek.
In de afgelopen week heeft Kaspersky Lab contact opgenomen met CERT's in verschillende landen om hen te informeren over Flame C&C-domeininformatie en IP-adressen van de kwaadaardige servers. Kaspersky Lab wil graag alle deelnemers bedanken voor hun steun aan dit onderzoek.
Bent u werkzaam bij een GovCERT-instelling en u wilt meer informatie over de C2-domeinen, neemt u dan contact op via
theflame@kaspersky.com.
Voor de volledige analyse van Flame's C&C-infrastructuur en alle technische details, kunt u terecht op
Securelist.com.
Over Kaspersky Lab
Kaspersky Lab, opgericht in 1997, is een internationaal softwarebedrijf dat geavanceerde oplossingen levert voor de beveiliging van bedrijfs- en thuisnetwerken tegen internetgerelateerde risico’s als virussen, spam, hackers, crimeware, malware en spyware. De door Kaspersky ontwikkelde technologie wordt wereldwijd toegepast in producten en diensten van vooraanstaande IT-securitybedrijven.
Het hoofdkantoor van Kaspersky Lab is gevestigd in Moskou, Rusland. Daarnaast heeft het bedrijf regionale kantoren in onder andere de Benelux, Duitsland, Engeland, Frankrijk, Polen, Roemenië, China, Japan, Zuid-Korea en de Verenigde Staten plus een wereldwijd netwerk van ruim vijfhonderd partners.
Voor meer informatie zie
www.kaspersky.com/nl of
www.viruslist.com voor het laatste nieuws over internetbeveiliging, alerts, analyses en nieuws, inclusief Kaspersky Virus Scanner.
Noot voor redacties:
Voor hoge resolutie beeldmateriaal en overige informatie kunt u terecht op de Kaspersky Lab Newsroom Europe -
newsroom.kaspersky.eu - een portal waarop eenvoudig product- en bedrijfsinformatie, facts & figures, artikelen, persberichten, afbeeldingen, video’s en audiofragmenten te vinden en te downloaden zijn. Uiteraard kunt u ook contact opnemen met onderstaande contactpersonen.
Contactgegevens:
Kaspersky Lab
Caroline Breure
Tel. +31 (0)30 – 752 95 00
Caroline.Breure@kaspersky.nl
The Communication Force
Anke van de Vliet
Tel. +31 (0)23 – 56 56 850
ankevdv@communicationforce.com