Cyberwaffe "Flame" startete die Selbstzerstörung

Die bisher unbekannten Entwickler des so genannten Spionage-Virus namens Flame haben ihr Werk mit einem Selbstzerstörungsmodus ausgestattet und diesen laut einem Bericht von 'Symantec' kürzlich gestartet. Die Sicherheitsexperten haben neben diversen anderen Dienstleistern in diesem Bereich einen genauen Blick auf die Cyberwaffe namens Flame geworfen. Dabei stellte sich heraus, dass Flame über eine Selbstzerstörungsfunktion namens Suicide verfügt. Entwickelt wurde Flame offenbar von Staaten und sei daher als Cyberwaffe einzustufen.

Kürzlich rüsteten die Entwickler ein neues Modul, welches als browse32.ocx bezeichnet wird, nach. Dieses Moduls weist die infizierten Rechner an, die aufgespielten Dateien von den Systemen zu löschen. Eine Wiederherstellung wird unmöglich gemacht, da man die zugehörigen Daten auf den Systemen mit Zufallsdaten überschreibt.

Die Komplexität und die Funktionalität von Flame erreichen bisher kaum bekannte Ausmaße. Von den Autoren wurde der Schädling ganz klar auf die Cyberspionage ausgerichtet. Den Beobachtungen von Sicherheitsexperten zufolge kann Flame beispielsweise Mitschnitte von Audio-Konversationen anfertigen, Bildschirminhalte, Kontakte und gespeicherte Dateien versenden.

Siehe auch: Flame: C&C-Server wanderten um die halbe Welt

In freier Wildbahn existiert Flame unbemerkt schon seit über zwei Jahren. Da Flame bisher äußert zielgerichtet eingesetzt wurde, entdeckte keine gängige Sicherheitssoftware diesen Schadcode. Ferner verschonte Flame größtenteils deutsche Firmen und infizierte in erster Linie zahlreiche Rechner im Nahen Osten. In einer Sinkholing-Operation war es den Experten von Kaspersky in Zusammenarbeit mit mehreren DNS-Dienstleistern möglich, die meisten der infizierten Domains, die von der Flame-Infrastruktur genutzt wurden, zu untergraben.

Verbreitet hat sich der Spionage-Virus unter anderem über die in Windows-Systeme integrierte Update-Funktion. Konkret setzte man zu diesem Zweck auf eine Man-in-the-Middle-Attacke, bei der Flame manipulierte Update-Pakete verteilte. Ermöglicht wurde dies, da die Updates mit einem gefälschten Zertifikat von Microsoft unterzeichnet wurden. Die Entwickler aus Redmond haben mit einem Notfall-Update darauf reagiert.