赛门铁克发布白皮书深度剖析恶意威胁Flamer（喷火器）

来源：畅享网

2012/9/18 11:46:36

赛门铁克捕获恶意威胁Flamer犯罪踪迹提醒大家警惕Newsforyou

赛门铁克安全响应团队于今日发布了名为《警惕Newsforyou！——恶意威胁Flamer（喷火器）命令与控制服务器技术分析》的白皮书，白皮书针对今年早些时候发生的W32.Flamer攻击所利用的两个命令与控制（C&C）服务器进行了详细分析。W32.Flamer是一种高级网络间谍工具，其主要攻击目标是中东地区。

据分析，W32.Flamer攻击所利用的两个命令与控制（C&C）服务器分别创建于2012年3月25日和2012年5月18日，在它们创建后很短的时间里，第一个与其交互而感染Flamer的计算机就出现了。在接下来的几周内，这两个服务器相继感染了至少几百台计算机。

虽然这两台服务器具有相同的控制框架，但它们的用途却有所不同。通过对创建于2012年3月份的服务器的分析显示，在一周多的时间里，它从被感染的计算机中共收集了近6GB的数据。与之相比，创建于2012年5月的服务器仅收集了75MB的数据，并且该服务器只是用于向被感染的计算机分发一个命令模块。

“命令与控制”通过一个名为Newsforyou的网络应用程序实现。该应用程序负责处理W32.Flamer客户端交互，并提供一个简单的控制面板，该控制面板允许攻击者向被感染的计算机上传代码数据包，也允许向受感染的计算机传输并下载包含被窃取客户端的数据包。据分析，这个应用程序并不只是被Flamer利用，它还能够通过不同协议与被多个其他恶意软件标识符感染的计算机进行交互。下表为不同恶意软件标识符与各种支持协议之间的关系。

客户端	内部ID	协议	威胁
CLIENT_TYPE_SP	1	PROTOCOL_OLD	未知
CLIENT_TYPE_SPE	2	PROTOCOL_OLD_E	未知
CLIENT_TYPE_FL	3	PROTOCOL_OLD	W32.Flamer
CLIENT_TYPE_IP	6	PROTOCOL_SIGNUP	未知
N/A	N/A	PROTOCOL_RED	未知

如上表所示，由该框架支撑的其他几种威胁目前仍然无法识别，它们很可能是Flamer的未知变体，或者也许是完全不同的恶意软件。

一旦被发现，这两个服务器就会被设置为只记录少量信息，系统会禁止任何不必要的日志记录事件，数据库中的记录也会定期删除。现有的日志文件也会定期地从服务器上安全删除。一旦第三方捕获该服务器，这些设置便可以干扰相关的调查。

但是，这些攻击者并不是无懈可击的，分析人员找到了显示服务器设置的完整历史文件。此外，数据库中一组有限的加密记录显示，被感染的计算机来自中东地区。我们还能确定4个作者的昵称分别为DXX、HXX、OXX和RXX，他们分别负责不同阶段的代码和整个项目的不同方面，记录显示，整个项目最早启动于2006年。

@作者	编辑文件数	日期	控制面板	协议	数据库	清除	加密
DXX	33	12/4/2006 01/23/2007	X	X	X	X	X
HXX	10	09/02/2007	X	X	X		X
OXX	4	12/3/2006			X
RXX	1	2011				X

该框架的设置显示了各攻击者之间明确的分工——哪些负责设置服务器（管理员）、哪些是负责通过控制面板上载数据包和下载被窃取的数据（操作者）、哪些拥有私人密钥能够解码被窃取的数据（攻击者）。由于整个过程利用数据安全分割技术，并经过了精心的设计，操作者本身可能实际上并不十分清楚被窃取的数据的内容。这种结构可以反映出，这是一个有大量资金支持，且有组织的攻击行为。