Flame-virus onzichtbaar door feedback-module
Het zeer geavanceerde Flame-virus kon vijf jaar lang onzichtbaar blijven dankzij de feedback-module waarover het beschikte. Flame werd eind mei ontdekt en zou onder andere gebruikt zijn om Iran te bespioneren. Het diende mogelijk als voorbode voor de Stuxnetworm, die de Iraanse uraniumverrijkingscentrale in Natanz saboteerde.
Flame beschikt over allerlei modules, die afhankelijk van de wens van de ontwikkelaars zijn in te zetten. Een bekende module is de 'zelfmoord' module, waardoor het spionagevirus zichzelf van besmette computers verwijderde.
Feedback
Een minder bekende module is advnetcfg.ocx, die de activiteiten van virusscanners monitorde en als debugger fungeerde. Deze module is speciaal ontworpen om gegevens te verzamelen om de functionaliteit van Flame te verbeteren en bugs te detecteren. Ook werd via deze module gecontroleerd of het spionagevirus al door virusscanners werd gedetecteerd
Elke keer Flame een venster ontdekte waarin een bestandsnaam van het virus werd genoemd of er strings zoals "injected" of "File mssecmgr.exe looks suspicious" voorbij kwamen, maakte de feedback-module een screenshot. Dit screenshot werd naar de Command & Control-server doorgestuurd, waar de programmeurs het analyseerden.
Onzichtbaar
"Aan de hand van deze analyse konden ze code toevoegen of bestaande code voor de volgende update verbeteren. We denken dat dit één van de features is waardoor Flame tenminste vijf jaar lang onopgemerkt kon blijven", zegt Marius Tivadar van het Roemeense anti-virusbedrijf BitDefender. Volgens Tivadar speelde de module ook een belangrijke rol in het verslaan van virusscanners.
De ontwikkelaars gebruikten "multi-engine scan services" om Flame te testen, maar hadden ook feedback van de 'productieomgeving' nodig, aangezien elk systeem uniek is en heuristieke detectie door parameters wordt beïnvloed die niet in een laboratorium zijn na te bootsen, laat de analist weten.
"Het klopt dat moderne malware foutmeldingen naar de C&C-server kunnen sturen, maar Flamer tilt dit naar een geheel nieuw niveau. Het stuurt complexe rapporten elke keer deze fouten op het scherm verschijnen of als ze door lokaal geinstalleerde virusscanners worden gedetecteerd", besluit Tivadar.
Ik denk dat er ook maar weinig mensen zijn die dit soort complexe virussen kunnen schrijven.
Er zal ook behoorlijk wat uren zijn gespendeerd aan het bouwen / uitbreiden van het virus.
Zeker ook het punt dat er fout rapporten worden verzonden geeft toch wel aan dat dit niet een eenvoudig virusje is.
Wat de meeste mensen willen weten is, hoe krijg ik die rotzooi weg.
Of je zowiets een knap stuk werk mag noemen lijkt mij dan ook weer sterk overdreven, het is en blijft rotzooi.
Ik denk dat er ook maar weinig mensen zijn die dit soort complexe virussen kunnen schrijven.
Er zal ook behoorlijk wat uren zijn gespendeerd aan het bouwen / uitbreiden van het virus.
Zeker ook het punt dat er fout rapporten worden verzonden geeft toch wel aan dat dit niet een eenvoudig virusje is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
