Kaspersky Lab: Flame и Stuxnet са имали общ програмен код

Популярната руска антивирусна компания Kaspersky Lab съобщи за появата на нови подробности, открити при изучаването на вредоносната програма Flame, която експерти считат за най-сложния набор от инструменти за кибершпионаж до момента. При проучването на кода на Flame било установено, че ранна версия на един от модулите на платформата Flame е била използвана и в кода на компютърния червей Stuxnet. В момента всички факти сочат, че в един определен момент над двете вредоносни програми е работил един и същи екип.

За първи път в историята Stuxnet бе използван като кибероръжие за извеждане от строя на промишлени обекти. За съществуването на червея се заговори през юни 2010 г., след като той бе открит и на персонални компютри. Първата известна версия на Stuxnet е била създадена около година по-рано.

Следващият инцидент, който също може да бъде класифициран като епизод от кибервойна, е откриването през септември 2011 г. на троянския кон Duqu, чиято цел беше кражба на поверителна информация (кибершпионаж). При подробно проучване на троянеца бяха открити редица общи черти със Stuxnet и бе установено, че двете злонамерени програми са създадени на базата на единна платформа, наречена Tilded.

Flame беше идентифициран от експерти на Kaspersky Lab през май 2012 г. в хода на разследване, инициирано от Международния съюз по далекосъобщения (ITU). Шпионската програма беше открита в редица страни, основно в региона на Близкия Изток. На пръв поглед Flame няма нищо общо с изследваните по-рано образци от Stuxnet и Duqu. Резултатите от последното му изследване обаче доказват, че разработчиците на платформите Tilded и Flame са едни и същи, или поне за известно време са работили в тясно сътрудничество помежду си. Като доказателство се посочва фактът, че Stuxnet съдържа в своя код компонент от платформата Flame.

„Flame и Tilded са различни платформи, създадени за разработка на различни видове кибероръжие. Всяка от тях има своя собствена архитектура, уникални начини за проникване в системата и изпълнение на поставените задачи. Ние продължаваме да вярваме, че проектите са били развивани независимо. Но сега имаме доказателство, че Stuxnet/Duqu и Flame са свързани помежду си, тъй като на ранния стадий от разработката им екипите са използвали един и същи код в най-малко един от модулите им“, коментира резултатите от изследването на компанията главният антивирусен експерт на Kaspersky Lab Александр Гостев.

Обобщени резултати от изследването:

– В кода на Stuxnet 2009 е използван модул, известен като Resource 207, отнасящ се към платформата Flame. Вероятно той е бил разработен специално за работа в състава на Stuxnet. Това означава, че по време на създаването на червея Stuxnet в началото на 2009 г. платформата Flame вече е съществувала, както и че през 2009 г. изходният код на най-малко един от модулите на Flame е бил използван в Stuxnet. Този модул е служел за заразяване на компютрите чрез USB-носители. Механизмът за инфектиране чрез USB, използван във Flame и Stuxnet, е идентичен.
– Модулът Flame в Stuxnet е съдържал експлойт, използващ неизвестна до този момент уязвимост за получаване на допълнителни привилегии на заразената машина, най-вероятно MS09-025. По-късно, през 2010 г., модулът Flame е отстранен Stuxnet и заменен с няколко други модули, използващи нови уязвимости.
– След 2010 година работата над платформите е протичала независимо. Съществува обаче предположението, че разработчиците са продължили да си сътрудничат, като са обменяли помежду си информация за zero-day-уязвимости.

Припомняме, че преди около седмица изданието The New York Times в прав текст обвини САЩ и Израел за създаването на Stuxnet, а президента Барак Обама – че лично е издал заповедта за атаките със Stuxnet. Сега Kaspersky Lab доказа, че създателите на двете зловредни програми са едни и същи, или поне за известно време са работили в тясно сътрудничество помежду си. Вчера стана известно, че супервирусът Flame е получил от своите създатели команда за самоунищожение.