C&C de Flame

Kaspersky Lab España

Expertos de Kaspersky Lab ofrecen un análisis en profundidad de la Infraestructura C&C de Flame. GoDaddy, OpenDNS y Kaspersky Lab ha conseguido con éxito tomar el control y destruir la comunicación interna de las bots de la mayoría de los dominios para que no lleguen a su destino Archivos PDF, Office y AutoCAD en el punto de mira de Flame.
El 28 de mayo de 2012 Kaspersky Lab anunció el descubrimiento de un software malicioso muy sofisticado, conocido como Flame, que fue usado activamente como ciberarma dirigida a instituciones en varios países. Flame fue descubierto por expertos de Kaspersky Lab durante una investigación impulsada por la Unión Internacional de Telecomunicaciones (ITU, por sus siglas en inglés), y el análisis del programa malicioso reveló que se trata de la amenaza más grande y compleja conocida hasta la fecha.
Los análisis de este malware de Kaspersky Lab revelaron que actualmente está siendo usada para el ciberespionaje y que infecta los sistemas para robar datos e información sensible. Los datos robados se enviaron a uno de los servidores C&C (Command & Control) de Flame.
Kaspersky Lab ha estado monitorizando de cerca la infraestructura C&C de Flame y ha publicado hoy una entrada detallada sobre los hallazgos de la investigación en su blog Securelist.
En colaboración con GoDaddy y OpenDNS, Kaspersky Lab ha conseguido con éxito tomar el control y destruir la comunicación interna de las bots para que no lleguen a su destino (operación de sinkholing) de la mayoría de los dominios maliciosos usados por la infraestructura C&C (Command & Control) del virus Flame. Los siguientes detalles resumen los resultados del análisis:
– La infraestructura Command&Control de Flame que había estado operando durante años, se desconectó inmediatamente después de que Kaspersky Lab revelara el descubrimiento del malware la semana pasada.
– Actualmente hay más de 80 dominios utilizados por Flame para servidores C&C y dominios relacionados, que han sido registrados entre 2008 y 2012.
– Durante los últimos 4 años, los servidores que alojaban la infraestructura C&C de Flame, se movieron entre múltiples localizaciones, incluyendo Hong Kong, Turquía, Alemania Polonia, Malasia, Letonia, Reino Unido y Suiza.
– Los dominios C&C fueron registrados con una impresionante lista de falsas identidades y con una variedad de registradores desde 2008.
– Según el sinkhole de Kaspersky Lab, los usuarios infectados se registraron en varias regiones: Oriente Medio, Europa, Norteamérica y Asia-Pacífico.
– Flame parece tener un alto interés en archivos PDF, Office y dibujos de AutoCAD.
– Los datos cargados en el C&C de Flame se cifran utilizando algoritmos relativamente sencillos. Los documentos robados se comprimen utilizando código abierto modificado y la compresión Zlib PPDM .
– Windows 7 64 bit, que fue previamente recomendado como solución contra las infecciones con otros tipos de malware, parece ser efectivo con Flame.
A Kaspersky Lab le gustaría agradecer a William MacArthur y a “GoDaddy Network Abuse Department” por su rápida reacción y apoyo excepcional en esta investigación, así como al “Equipo de Investigación de Seguridad de OpenDNS”, que nos ha aportado una ayuda inestimable.
La semana pasada, Kaspersky Lab contactó con el CERT en varios países para informarles acerca del C&C de Flame, sobre el dominio y direcciones IP de los servidores maliciosos, por lo que a la compañía le gustaría agradecer a todos los que participaron por su apoyo a esta investigación.
Para acceder al análisis completo de Flame, y a todos los detalles técnicos:http://www.securelist.com/en/blog/208193540/The_Roof_Is_on_Fire_Tackling_Flames_C_C_Servers

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s