Secondo Kaspersky, che per prima ha individuato il trojan, si tratta di «una delle minacce più complesse mai scoperte» ed è peggiore persino del già temuto Stuxnet.
Il malware di cui stiamo parlando si chiama Flame e sta infettando molti computer con Windows in Medio Oriente; come Stuxnet, può diffondersi tramite chiavette USB, ma rispetto al collega dispone di un arsenale molto più vario.
È stato scoperto quasi per caso durante la ricerca di un altro malware - chiamato Wiper - compiuta da Kaspersky su richiesta della ITU; ulteriori indagini hanno portato a pensare che Flame sia attivo sin dal 2010, ma le sue capacità di sfuggire ai software di rilevamento gli avrebbero permesso di operare indisturbato sino a oggi.
Una volta installatosi su un computer inizia a raccogliere informazioni scattando screenshot dello schermo a intervalli regolari: più di frequente se è in esecuzione un programma interessante (come un client di posta, o un software di messaggistica istantanea), soltanto una volta al minuto se non c'è nulla di importante da fotografare.
Inoltre registra le conversazioni che passano attraverso il microfono del PC, è in grado di infettare i drive USB collegati, carpisce informazioni tramite i dispositivi connessi via Bluetooth e tenta di diffondersi attraverso la stessa falla nello spooler di stampa di Windows già sfruttata da Stuxnet (e per la quale è disponibile da tempo una patch).
Flame è strutturato in moduli che si possono installare, attivare e aggiornare indipendentemente; tutte le possibilità che offre ai suoi creatori fanno sì che il malware non sia un software piccolo: la versione completa si aggira intorno ai 20 Mbyte (Stuxnet, per fare un confronto, pesa soltanto 500 Kbyte).
Quanto alle origine di questo pericolo, le ipotesi sono al momento tre: criminali informatici, attivisti e Stati. Considerando tuttavia la complessità del software (gli attivisti di solito usano strumenti piuttosto semplici) e gli obiettivi presi di mira (non conti correnti bancari, ma computer delle nazioni mediorientali), la possibilità che dietro a Flame vi sia la sponsorizzazione di qualche nazione è più che un'ipotesi.Curiosamente, Flame è impostato per non replicarsi automaticamente: Kaspersky ipotizza che questa caratteristica sia stata "spenta" dopo che la minaccia di Stuxnet divenne pubblica, per cercare di mantenere segreta l'esistenza di Flame il più a lungo possibile evitandone la diffusione incontrollata.
Kaspersky stima che al momento ci siano circa 1.000 computer infettati da Flame.
0 commenti:
Posta un commento