Flame (malware)

Flame (em português: chama), também conhecido como Flamer, sKyWIper e Skywiper, é um malware modular descoberto em 2012 e que ataca computadores que executam o sistema operacional Microsoft Windows. O programa vem sendo utilizado para espionagem cibernética em países do Oriente Médio. A sua descoberta foi anunciada em 28 de maio de 2012 pela MAHER (Equipe de Resposta ante Emergências Informáticas do Irã) (CSIRT), Kaspersky Lab e CrySyS Lab. da Universidade de Tecnologia e Economia de Budapeste.

Flame pode propagar-se a outros sistemas através da rede de área local (LAN) e mediante memórias USB. Pode gravar áudio, capturar tela, detectar atividades de teclado e tráfego de rede. O programa também grava conversas de Skype e pode controlar o Bluetooth para tentar obter informações de outros dispositivos Bluetooth ao redor. Estes dados, juntos com outros documentos armazenados localmente, são enviados a um dos vários servidores dispersos ao redor do mundo. Ao terminar, o programa se mantem em espera até que receba novas instruções destes servidores.

De acordo com estimativas de Kaspersky, o Flame infectou aproximadamente 1.000 máquinas. Entre as vítimas se encontram organizações governamentais, instituições educativas e usuários privados. Em maio de 2012, os países mais afetados foram o Irã, Israel, Sudão, Síria, Líbano, Arábia Saudita e Egito.

História

Flame foi identificado em maio de 2012 por Kaspersky Lab, MAHER (Equipe de Resposta ante Emergências Informáticas do Irã) e pelo CrySyS Lab. da Universidade de Tecnologia e Economia de Budapeste. A União Internacional de Telecomunicações solicitou ao Kaspersky Lab que investigasse informações sobre um vírus que estava afetando os computadores do Ministério do Petróleo do Irã, e durante as investigações foi encontrado um hash MD5 e um nome de arquivo que somente aparecia em computadores do Oriente Médio. Depois de encontrar mais evidências, os investigadores nomearam o programa como "Flame".

Segundo Kaspersky, Flame está operando no mínimo desde fevereiro de 2010. CrySyS informou que o nome de arquivo do componente principal foi visto pela primera vez em dezembro de 2007. No entanto, sua data de criação não pode ser determinada diretamente, visto que as datas de criação foram manipuladas para datas antes de 1994.

Alguns especialistas em informática o consideram o causador do ataque que em abril de 2012 desconectou da Internet terminais das petrolíferas de Irã. No momento do ataque, a agência de notícias Iranian Students se refiriu ao malware como "Wiper". Kaspersky Lab acreditam que o Flame pode ser "uma infecção completamente diferente" do malware Wiper. Devido ao tamanho e a complexidade do programa, descrito como vinte vezes mais complexo que o Stuxnet, Kaspersky declarou que uma análise completa pode levar cerca de dez anos.

Em 28 de maio, a Equipe de Resposta ante Emergências Informáticas do Irã anunciaram que haviam desenvolvido um programa que detectava e eliminava o Flame e que haviam distribuído este a "organizações selecionadas" durante várias semanas.

Especificações

O malware é considerado grande (20 MB), está escrito parcialmente em linguagem interpretada Lua com código C++ compilado e permite que outros módulos sejam carregados depois da infecção inicial. O malware usa cinco métodos diferentes de encriptação e uma base de dados SQLite para armazenar informações. O método usado para infectar o código em vários processos é silencioso, de forma que os arquivos do malware não aparecem na lista de módulos carregados e as páginas de memória são protegidas com as permissões READ, WRITE e EXECUTE que o faz inacessível para as aplicações em modo usuário. O código interno tem poucas similaridades com outros malwares, mas leva vantagem de vulnerabilidades que também foram usadas previamente por Stuxnet para infectar sistemas. O malware identifica softwares antivírus que estão instalados no sistema e modifica seu comportamento (por exemplo, trocando a extensão de nome de ficheiro que utiliza) para reduzir a probabilidade de ser detectado por esse software. Indicadores adicionais de que um sistema está infectado são a exclusão mútua e a atividade do registro. Também a instalação de um driver de áudio falso que permite ao software iniciar-se quando o sistema é ligado.

Uso

Como outras ciber-armas conhecidas, Stuxnet e Duqu, Flame é empregado em objetivos concretos e pode contornar o software de segurança por um rootkit. Flame pode propagar-se a outros sistemas pela rede de área local (LAN) e mediante memórias USB. Pode gravar áudio, capturar tela, digitações de teclado e tráfego de rede. O programa também grava conversas de Skype e pode controlar o Bluetooth para tentar obter informações de dispositivos bluetooth ao redor. Estes dados, junto com documentos armazenados no computador, são enviados a um do vários servidores dispersos ao redor do mundo. Ao término, o programa se mantem em modo espera até receber novas instruções desses servidores.

A diferença de Stuxnet, o qual foi concebido para danificar processos industriais, é que o Flame parece estar direcionado a propósitos de espionagem. Não parece dirigir-se a um setor determinado, mas é um conjunto de ferramentas projetadas para a ciber-espionagem.

Flame não contem uma data predefinida para desativação, mas permite que as operadoras enviem um comando "kill", que remove todos os traços de um sistema.

Especulações sobre sua origem

Segundo Eugene Kaspersky, "a localização geográfica dos alvos e a complexidade da ameaça não deixa dúvida sobre a existência de que um Estado-nação apoia o desenvolvimento deste malware." Acrescenta que este malware não é como Stuxnet, mas pode ter sido um projeto paralelo.

A Equipe de Resposta ante Emergências Informáticas do Irã afirma que o cifrado do malware tem "um padrão especial visto apenas a partir de Israel." The Daily Telegraph informou que devido aos aparentes alvos - os quais incluem Irã, Síria e Cisjordânia - Israel se converteu no "suspeito principal dos comentaristas". Outros nomearam a China e aos Estados Unidos como possíveis autores. Richard Silverstein, um crítico da políticas de Israel, declarou que havia confirmado com uma fonte israelense que o malware foi criado por especialistas de informática de Israel. The Jerusalem Post escreveu que o vice primeiro ministro israelense Moshe Ya'alon parece haver dado a entender que seu governo foi o responsável, enquanto agentes de segurança em Israel disseram que as máquinas infectadas são prova de que os Estados Unidos estão por trás do malware.

Uma rede de 80 servidores ao longo da Ásia, Europa e América do Norte têm sido utilizadas para acessar estas máquinas infectados remotamente.