Flame , [a] también conocido como Flamer , sKyWIper , [b] y Skywiper , [2] es un malware informático modular descubierto en 2012 [3] [4] que ataca a los ordenadores que ejecutan el sistema operativo Microsoft Windows . [5] El programa se utiliza para el espionaje cibernético dirigido en países de Oriente Medio . [1] [5] [6]
Su descubrimiento fue anunciado el 28 de mayo de 2012 por el Centro MAHER del Equipo Nacional de Respuesta a Emergencias Informáticas (CERT) de Irán, [5] Kaspersky Lab [6] y CrySyS Lab de la Universidad de Tecnología y Economía de Budapest . [1] El último de ellos afirmó en su informe que Flame "es sin duda el malware más sofisticado que encontramos durante nuestra práctica; podría decirse que es el malware más complejo que se haya encontrado". [1] Flame puede propagarse a otros sistemas a través de una red local (LAN). Puede grabar audio, capturas de pantalla , actividad del teclado y tráfico de red . [6] El programa también graba conversaciones de Skype y puede convertir a los ordenadores infectados en balizas Bluetooth que intentan descargar información de contacto de dispositivos Bluetooth cercanos. [7] Estos datos, junto con los documentos almacenados localmente, se envían a uno de los varios servidores de comando y control que se encuentran dispersos por todo el mundo. Luego, el programa espera más instrucciones de estos servidores. [6]
Según las estimaciones de Kaspersky en mayo de 2012, Flame había infectado inicialmente aproximadamente 1.000 máquinas, [7] entre las que se encontraban organizaciones gubernamentales, instituciones educativas y particulares. [6] En ese momento, el 65% de las infecciones se produjeron en Irán, Israel, Palestina, Sudán, Siria, Líbano, Arabia Saudí y Egipto, [3] [6] con una "enorme mayoría de objetivos" en Irán. [8] También se ha informado de la presencia de Flame en Europa y América del Norte. [9] Flame admite un comando de "eliminación" que borra todos los rastros del malware del equipo. Las infecciones iniciales de Flame dejaron de funcionar después de su exposición pública y se envió el comando de "eliminación". [10]
Kaspersky Lab ha vinculado a Flame con Equation Group . Sin embargo, Costin Raiu, director del equipo de investigación y análisis global de Kaspersky Lab, cree que el grupo sólo coopera con los creadores de Flame y Stuxnet desde una posición de superioridad: "Equation Group son sin duda los maestros y les están dando a los demás, tal vez, migajas de pan. De vez en cuando les están dando algunas cosas buenas para que las integren en Stuxnet y Flame". [11]
Investigaciones recientes han indicado que Flame está posicionado para ser recordado como una de las herramientas de ciberespionaje más importantes y complejas de la historia. Utilizando una estrategia sofisticada, Flame logró penetrar en numerosos ordenadores de Oriente Medio falsificando un certificado de seguridad auténtico de Microsoft. [12]
En 2019, los investigadores Juan Andrés Guerrero-Saade y Silas Cutler anunciaron su descubrimiento del resurgimiento de Flame. [13] [14] Los atacantes utilizaron 'timestomping' [ aclaración necesaria ] para hacer que las nuevas muestras parecieran creadas antes del comando 'suicide'. Sin embargo, un error de compilación incluyó la fecha de compilación real ( c. 2014 ). La nueva versión (apodada 'Flame 2.0' por los investigadores) incluye nuevos mecanismos de cifrado y ofuscación para ocultar su funcionalidad. [15]
Flame (también conocido como Da Flame) fue identificado en mayo de 2012 por el Centro MAHER del CERT Nacional Iraní, Kaspersky Lab y CrySyS Lab (Laboratorio de Criptografía y Seguridad de Sistemas) de la Universidad de Tecnología y Economía de Budapest cuando la Unión Internacional de Telecomunicaciones de las Naciones Unidas le pidió a Kaspersky Lab que investigara los informes de un virus que afectaba a las computadoras del Ministerio del Petróleo de Irán . [7] Mientras Kaspersky Lab investigaba, descubrieron un hash MD5 y un nombre de archivo que aparecían solo en las máquinas de los clientes de las naciones de Oriente Medio. Después de descubrir más piezas, los investigadores apodaron al programa "Flame" en honor a uno de los módulos principales dentro del kit de herramientas [FROG.DefaultAttacks.A-InstallFlame] . [7]
Según Kaspersky, Flame ha estado operando en la red al menos desde febrero de 2010. [6] CrySyS Lab informó que el nombre de archivo del componente principal fue observado ya en diciembre de 2007. [1] Sin embargo, su fecha de creación no se pudo determinar directamente, ya que las fechas de creación de los módulos del malware están configuradas erróneamente en fechas tan tempranas como 1994. [7]
Los expertos informáticos lo consideran la causa de un ataque en abril de 2012 que provocó que los funcionarios iraníes desconectaran sus terminales petroleras de Internet. [16] En ese momento, la Agencia de Noticias de Estudiantes Iraníes se refirió al malware que causó el ataque como "Wiper", un nombre que le dio el creador del malware. [17] Sin embargo, Kaspersky Lab cree que Flame puede ser "una infección completamente separada" del malware Wiper. [7] Debido al tamaño y la complejidad del programa, descrito como "veinte veces" más complicado que Stuxnet , el laboratorio afirmó que un análisis completo podría requerir hasta diez años. [7]
El 28 de mayo, el CERT de Irán anunció que había desarrollado un programa de detección y una herramienta de eliminación para Flame, y que los había estado distribuyendo a "organizaciones seleccionadas" durante varias semanas. [7] Después de la exposición de Flame en los medios de comunicación, Symantec informó el 8 de junio que algunos equipos de comando y control (C&C) de Flame habían enviado un comando "suicida" a los equipos infectados para eliminar todos los rastros de Flame. [10] Se eliminaron todas las copias del programa y todos los archivos relacionados. [18]
Según estimaciones de Kaspersky en mayo de 2012, inicialmente Flame había infectado aproximadamente 1.000 máquinas, [7] entre las víctimas se encontraban organizaciones gubernamentales, instituciones educativas y particulares. [6] En ese momento, los países más afectados fueron Irán, Israel, Territorios Palestinos, Sudán, Siria, Líbano, Arabia Saudita y Egipto. [3] [6] Una muestra del malware Flame está disponible en GitHub.
Flame es un programa inusualmente grande para malware, de 20 megabytes . Está escrito en parte en el lenguaje de programación Lua con código C++ compilado vinculado, y permite que se carguen otros módulos de ataque después de la infección inicial. [6] [19] El malware utiliza cinco métodos de cifrado diferentes y una base de datos SQLite para almacenar información estructurada. [1] El método utilizado para inyectar código en varios procesos es sigiloso, en el sentido de que los módulos de malware no aparecen en una lista de los módulos cargados en un proceso y las páginas de memoria de malware están protegidas con permisos de LECTURA, ESCRITURA y EJECUCIÓN que las hacen inaccesibles para las aplicaciones en modo usuario. [1] El código interno tiene pocas similitudes con otro malware, pero explota dos de las mismas vulnerabilidades de seguridad utilizadas anteriormente por Stuxnet para infectar sistemas. [c] [1] El malware determina qué software antivirus está instalado, luego personaliza su propio comportamiento (por ejemplo, cambiando las extensiones de nombre de archivo que utiliza) para reducir la probabilidad de detección por ese software. [1] Otros indicadores de compromiso incluyen mutex y actividad de registro , como la instalación de un controlador de audio falso que el malware utiliza para mantener la persistencia en el sistema comprometido. [19]
Flame no está diseñado para desactivarse automáticamente, pero admite una función de "eliminación" que hace que elimine todos los rastros de sus archivos y funcionamiento de un sistema al recibir un módulo de sus controladores. [7]
Flame estaba firmado con un certificado fraudulento supuestamente de la autoridad de certificación Microsoft Enforced Licensing Intermediate PCA. [20] Los autores del malware identificaron un certificado de Microsoft Terminal Server Licensing Service que inadvertidamente estaba habilitado para la firma de código y que todavía usaba el débil algoritmo de hash MD5 , luego produjeron una copia falsificada del certificado que usaron para firmar algunos componentes del malware para que parecieran originados por Microsoft. [20] Un ataque de colisión exitoso contra un certificado se demostró previamente en 2008, [21] pero Flame implementó una nueva variación del ataque de colisión de prefijo elegido. [22]
Al igual que las armas cibernéticas conocidas anteriormente Stuxnet y Duqu , se utiliza de forma específica y puede evadir el software de seguridad actual mediante la funcionalidad de rootkit . Una vez que un sistema está infectado, Flame puede propagarse a otros sistemas a través de una red local o mediante una memoria USB. Puede grabar audio, capturas de pantalla, actividad del teclado y tráfico de red . [6] El programa también graba conversaciones de Skype y puede convertir las computadoras infectadas en balizas Bluetooth que intentan descargar información de contacto de dispositivos Bluetooth habilitados cercanos. [7] Estos datos, junto con los documentos almacenados localmente, se envían a uno de los varios servidores de comando y control que están dispersos por todo el mundo. Luego, el programa espera más instrucciones de estos servidores. [6]
A diferencia de Stuxnet, que fue diseñado para sabotear un proceso industrial, Flame parece haber sido escrito exclusivamente con fines de espionaje . [23] No parece apuntar a una industria en particular, sino que es "un conjunto completo de herramientas de ataque diseñado para fines generales de ciberespionaje". [24]
Utilizando una técnica conocida como "sinkholing" , Kaspersky demostró que "una gran mayoría de los objetivos" estaban dentro de Irán, y que los atacantes buscaban especialmente dibujos de AutoCAD , archivos PDF y archivos de texto . [8] Los expertos en informática dijeron que el programa parecía estar reuniendo diagramas técnicos con fines de inteligencia. [8]
Se ha utilizado una red de 80 servidores en Asia, Europa y América del Norte para acceder a las máquinas infectadas de forma remota. [25]
El 19 de junio de 2012, The Washington Post publicó un artículo en el que se afirmaba que Flame había sido desarrollado conjuntamente por la Agencia de Seguridad Nacional de Estados Unidos , la CIA y el ejército de Israel al menos cinco años antes. Se decía que el proyecto formaba parte de un esfuerzo clasificado con el nombre en código de Juegos Olímpicos , que tenía como objetivo recopilar información de inteligencia en preparación para una campaña de cibersabotaje destinada a frenar los esfuerzos nucleares iraníes. [26]
Según el principal experto en malware de Kaspersky, "la geografía de los objetivos y también la complejidad de la amenaza no dejan lugar a dudas sobre que se trata de un estado-nación que patrocinó la investigación que se llevó a cabo". [3] Kaspersky dijo inicialmente que el malware no guardaba ningún parecido con Stuxnet, aunque puede haber sido un proyecto paralelo encargado por los mismos atacantes. [27] Después de analizar el código más a fondo, Kaspersky dijo más tarde que existe una fuerte relación entre Flame y Stuxnet; la primera versión de Stuxnet contenía un código para propagarse a través de unidades USB que es casi idéntico a un módulo de Flame que explota la misma vulnerabilidad de día cero . [28]
El CERT de Irán describió el cifrado del malware como "un patrón especial que solo se ve cuando viene de Israel". [29] El Daily Telegraph informó que debido a los objetivos aparentes de Flame, que incluían a Irán, Siria y Cisjordania , Israel se convirtió en "el principal sospechoso de muchos comentaristas". Otros comentaristas nombraron a los EE. UU. como posibles perpetradores. [27] Richard Silverstein , un comentarista crítico de las políticas israelíes, afirmó que había confirmado con una "fuente israelí de alto nivel" que el malware fue creado por expertos informáticos israelíes. [27] El Jerusalem Post escribió que el viceprimer ministro de Israel, Moshe Ya'alon, parecía haber insinuado que su gobierno era responsable, [27] pero un portavoz israelí negó más tarde que esto hubiera sido insinuado. [30] Funcionarios de seguridad israelíes anónimos sugirieron que las máquinas infectadas encontradas en Israel pueden implicar que el virus podría rastrearse hasta los EE. UU. u otras naciones occidentales. [31] Estados Unidos ha negado oficialmente la responsabilidad. [32]
Un documento filtrado de la NSA menciona que lidiar con el descubrimiento de FLAME por parte de Irán es un evento en el que trabajaron en conjunto la NSA y el GCHQ , [33] eximiendo de toda culpa al ejército de Israel.