Eén van de meest opvallende eigenschappen van het Flame-virus is dat het Bluetooth gebruikt om informatie over mobiele telefoons en andere apparaten in de omgeving te verzamelen. "Flame is mogelijk de enige Windows-dreiging die we hebben ontdekt die Bluetooth gebruikt", aldus anti-virusbedrijf Symantec. De computer moet dan wel over Bluetooth-hardware beschikken. "Het is weer een aanwijzing dat Flame niet alleen uitzonderlijk is, maar ook een uitgebreide informatieverzamelaar en spionagetool is."

De Bluetooth-functionaliteit in het virus bevindt zich in een module genaamd "BeetleJuice". Zodra de module is geactiveerd, scant die alle Bluetooth-apparaten en verzamelt bijbehorende informatie, zoals het ID van de apparatuur. Die worden waarschijnlijk naar de aanvallers doorgestuurd.

Bluetooth-baken
De tweede actie is het veranderen van de computer in een Bluetooth-baken. Dit betekent dat een met Flame besmette computer door Bluetooth-apparaten in de buurt gevonden kan worden. Daarnaast encodeert Flame details van de besmette computer en slaat deze gegevens in het omschrijvingsveld op. Zodra een ander Bluetooth-apparaat naar andere apparaten in de buurt zoekt en de besmette computer vindt, wordt dit omschrijvingsveld weergegeven.

Volgens Symantec zou een aanvaller de functionaliteit op verschillende manieren kunnen gebruiken, zoals het in kaart brengen van de apparaten die tijdens de dag voorbij komen. Iets wat vooral handig zou zijn als de besmette computer een laptop is. Aan de hand van deze informatie kunnen de aanvallers zien met wie het slachtoffer omgaat.

Locatie
Daarnaast zou het mogelijk zijn om de fysieke locatie van het doelwit in kaart te brengen en te kunnen volgen. In theorie zou Flame kunnen worden aangevuld met een module die sms-berichten en de inhoud van het adresboek steelt, de telefoon de omgeving laat afluisteren of de telefoon gebruikt om gestolen gegevens naar de aanvallers te sturen, om zo de firewall te omzeilen.

"De verschillende theorieën die we beschrijven zijn praktische aanvallen, die eenvoudig door een ervaren aanvaller te implementeren zijn. De complexiteit van Flame toont aan dat de aanvallers zeker technisch vaardig genoeg zijn om dit soort aanvallen uit te voeren", aldus Symantec.