ANZEIGE
ANZEIGE
ANZEIGE

Nach den ersten Veröffentlichungen über Flame gingen die Kommando- und Kontrollserver vom Netz. Ein Löschmodul sollte alle Spuren von Flame auf infizierten Rechnern beseitigen. Es ließ aber eine verschlüsselte Datei zurück.

Schon wenige Stunden nach den ersten Veröffentlichungen über die Malware Flame wurden Kommando- und Kontrollserver vom Netz genommen. Flame war ursprünglich dafür konfiguriert, Verbindung mit diesen Servern aufzunehmen und von ihnen übermittelte Skripte abzuarbeiten. Ab 28. Mai wurden diese Anfragen jedoch mit den HTTP-Fehlercodes 403 und 404 beantwortet. Ein Teil der Rechner erhielt jedoch noch ein Löschmodul, das alle Spuren von Flame beseitigen sollte.

Wie Kaspersky Labs berichtet, gelang es in Zusammenarbeit mit dem US-Domainregistrar GoDaddy sowie OpenDNS dennoch, die von Flame genutzten Domains zu ermitteln. Insgesamt registrierten die Hintermänner von Flame mit gefälschten Adressangaben mindestens 80 Domains für ihre Kommando- und Kontrollserver zu nutzen. Die Server liefen mit Ubuntu Linux und wurden unter anderem in Deutschland, Österreich, der Schweiz, den Niederlanden, Großbritannien, Hongkong und der Türkei betrieben. Für die Domainregistrierung wurden auffällig viele Adressen in Deutschland und Österreich genutzt – mit einer laut Kaspersky unerklärlichen Vorliebe für Wien.

Die Auswertung ergab weiterhin, dass überwiegend Systeme mit Windows 7 (50 Prozent) von Flame befallen waren, gefolgt von Windows XP (45 Prozent) und Vista (5 Prozent). Flame lief nicht auf Rechnern mit der 64-Bit-Version von Windows 7 – von Kaspersky als gute Lösung auch gegen Infektionen mit anderer Malware empfohlen.

Symantec ermittelte inzwischen, dass die Flame-Angreifer die Kontrolle über einige Server behielten. Ein Teil der kompromittierten Computer erhielt von diesen eine Datei namens “browse32.ocx”, von den Sicherheitsforschern als “Deinstallationsprogramm” bezeichnet. Das Flame-Modul enthält Anweisungen, um über 160 Dateien und vier Ordner zu entfernen. Es wurde erst wenige Wochen vor der Entdeckung von Flame geschrieben und kam zum Einsatz, obwohl die Malware bereits zuvor ein Löschmodul enthielt.

“Zuvor analysierter Flame-Code verriet uns eine Komponente namens SUICIDE, die funktional ähnlich wie browse32.ocx ist”, teilt Symantec mit. “Es ist nicht bekannt, warum die Malware-Autoren sich entschieden haben, nicht die Funktionalität von SUICIDE zu nutzen, und stattdessen Flame veranlassten, den Anweisungen eines neuen Moduls zu folgen.”

Ausgerechnet das Löschmodul soll jedoch einen Fehler haben und die temporäre Datei ~DEB93D.tmp zurücklassen. Nach einer Dokumentation (PDF) von CrySyS handelt es sich dabei um eine verschlüsselte Datei, die eine SQLite-Datenbank mit Einträgen aus der NetBIOS-Namenssuche enthält. Sie könnte den Sicherheitsforschern theoretisch weitere Hinweise auf infizierte Rechner geben.

[mit Material von Michael Lee, ZDNet Australia]

silicon für mobile Geräte
Android-App Google Currents App for iOS

avast! Antivirus

Mehr als 200 Millionen Nutzer vertrauen avast! beim Schutz Ihrer Geräte - mehr als jedem anderen Antiviren-Programm. Und jetzt ist avast! noch besser. Jetzt herunterladen!

Möchten nicht auch Sie wissen, wie zufrieden andere Anwender mit der Nutzung ihrer CRM-Anwendung imSaaS-Modell sind, warum sie sich dagegen entschieden haben oder sich gar nicht damit beschäftigen wollen? Diesen und anderen Fragen geht Hassan Hosseini von The-Industry-Analyst.com in Kooperation mit dem Herausgeber von silicon.de in der aktuellen Umfrage zur CRM Nutzung als "Software as a Service" in Deutschland nach.

Jetzt teilnehmen!

Neuester Kommentar




Ein Kommentar zu Computervirus Flame macht sich unschädlich

  • 11.6.2012 um 13:28 von Andreas Giese

    Auffällig viele Adressen aus Wien?

    Warum auch nicht ;-)

    “Der dritte Mann” ist doch auch in Wien angesiedelt

Hinterlasse eine Antwort

  • Erforderliche Felder sind markiert *,
    Deine E-Mail-Adresse wird nicht veröffentlicht.

Du kannst folgende HTML-Tags benutzen: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>