Secure List - Računalniški napadi postajajo vedno pogostejši in zdi se, da zamenjujejo klasično vojskovanje in vohunjenje. Najbolj razvpit primer zlonamerne kode v zadnjih letih je Stuxnet, ki je sabotiral iranske centrifuge za bogatenje urana, leto dni pozneje pa mu je sledil Duqu, ki je kradel občutljive podatke. Naslednjo fazo v tej tekmi predstavlja Flame, ki je po besedah strokovnjakov najobsežnejši in najkompleksnejši zlonamerni program za prisluškovanje in krajo informacij.
Flame je razširjen že od leta 2010, a je javnosti postal znan šele sedaj, ko so ga analizirali v Kaspersky Labu. Gre za obsežen in dovršen kos kode, ki tehta 20 MB ali 40-krat več od Stuxneta. Vsebuje vrsto knjižic in celo virtualni stroj LUA, kar je v klasičnih malwarih velika redkost. Vektor napada je za zdaj neznan, a ko se program enkrat ugnezdi na omrežju, se lahko razširi po računalnikih v omrežju in začne prisluškovati. To počne zelo temeljito, saj ne le spremlja datoteke na disku, ampak zajema zaslonsko sliko, beleži pritiske tipk in celo snema pogovore po mikrofonu in s spletno kamero. Tako nastale večpredstavnostne datoteke stiska in skupaj z ostalimi podatki posreduje svojim avtorjem, in sicer prek SSL-kanala.
Manj gotove so informacije o avtorjih, njihovih motivih in času nastanka. Datoteke, ki tvorijo Flame, imajo datume nastanka v letih 1992-1995, a gre za lažne datume. Bržkone je bil Flame napisan najkasneje leta 2010 (krožiti je začel marca tedaj ali prej), obsežno predelavo pa je doživel lani. Zanimivo je, da je okužil predvsem bližnjevzhodne države. Čeprav so ga zaznali tudi v ZDA in Evropi, je ogromna večina okuženih računalnikov v Iranu, Izraelu, Sudanu, Siriji, Libanonu in Saudski Arabiji - skupno okoli 5000. Natančnih ciljev nima, ampak napada podjetja, univerze in vse ostale ustanov, kamor zaide. To daje slutiti, da je avtor neznana država. Strokovnjaki pojasnjujejo, da tako obsežne projekte običajno pišejo haktivisti, internetni kriminalci in države. Ker ne krade bančnih informacij, ga očitno ni napisala klasična hudodelska družba, poleg tega pa se precej razlikuje od tipičnih izdelkov haktivistov. Razlikuje se tudi od Stuxneta in Duquja in je v bistvu precejšen unikat.
Flame je precej prebrisan, saj se zelo trudi, da nase ne pritegne preveč pozornosti. Ker je velik 20 MB, se na računalnike naloži kosoma, najprej 6 MB-paket. Po namestitvi se poveže na 80 strežnikov, od koder dobi nadaljnja navodila. Pri tem se ne širi po omrežju brez potrebe, ampak postane aktiven šele, ko dobi ukaz za to. Širi se tudi prek USB-ključev, a spet ne avtomatično. Predvideva se, da je to z namen pritegniti čim manj pozornosti in se izogniti odkritju. Flame je izšel še pred odkritjem Stuxneta, a so ga v vmesnem času gotovo dodelali. Nima avtomatičnega datuma uničenja, vsebuje pa stikalo, ki ga lahko operaterji sprožijo na daljavo in pobrišejo vse dokaze o obstoju virusa. Kdo ti operaterji in avtorji so, še ni znano.
Flame je precej prebrisan, saj se zelo trudi, da nase ne pritegne preveč pozornosti. Ker je velik 20 MB, se na računalnike naloži kosoma, najprej 6 MB-paket. Po namestitvi se poveže na 80 strežnikov, od koder dobi nadaljnja navodila. Pri tem se ne širi po omrežju brez potrebe, ampak postane aktiven šele, ko dobi ukaz za to. Širi se tudi prek USB-ključev, a spet ne avtomatično. Predvideva se, da je to z namen pritegniti čim manj pozornosti in se izogniti odkritju. Flame je izšel še pred odkritjem Stuxneta, a so ga v vmesnem času gotovo dodelali. Nima avtomatičnega datuma uničenja, vsebuje pa stikalo, ki ga lahko operaterji sprožijo na daljavo in pobrišejo vse dokaze o obstoju virusa. Kdo ti operaterji in avtorji so, še ni znano.
Gre se zato, da je pametnejši od preostalih. In da ima 20MB kode že nekaj pove.
Moti pa me to, da so v bistvu ovrgli sum na posamezno državo, ker se širi spontano in ne krade bančnih podatkov. Em... če pa zajema vse kaj se na računalniku in ob njem(mikrofon,webcam) dogaja? To je super način, da se ovrže sum neke države... bravo!
Po namestitvi se poveže na 80 strežnikov, od koder dobi nadaljnja navodila.
Noob vprašanje: a so naslovi teh strežnikov zapisani (hardcoded) v virusu? Je torej možno izslediti od kje dobiva "navodila"?
Verjetno, če je podana fiksna številka serverjev. Po drugi strani pa v tem ne vidim smisla - toliko vloženega truda, potem ga pa kiksnejo s takšno banalno napako.
Gre se zato, da je pametnejši od preostalih. In da ima 20MB kode že nekaj pove.
To ne pove ničesar.. razen mogoče, da je neka "čudna", neinteligentna limanka.. balast..
"zajema zaslonsko sliko, beleži pritiske tipk in celo snema pogovore po mikrofonu in s spletno kamero. Tako nastale večpredstavnostne datoteke stiska in skupaj z ostalimi podatki posreduje svojim avtorjem, in sicer prek SSL-kanala."
Tole je precejšen dokaz, da zadeva ni "top-notch". Namreč tako početje kuri kar precejšen del CPU in pasovne širine, kar ni ravno neopazno. Sploh ker dela kot virtualna mašina. Računalnik po vsej verjetnosti postane precej neodziven oz. manj odziven, kar bi uporabnik moral opaziti.
Ni važno tut če maš quad-cora to moraš opazit.. Predvsem kompresija slike je tu problem predstavljaj si, da zajemaš realtime video v resoluciji 1650x1050..
Btw. 386ka z 8MB rama komaj zboota 95ko pa še to je treba fino nafrizirat ;)
Sicer nikjer nisem dobil eksplicitnega odgovora, ampak glede na razbrane informacije, se dotični virus širi samo na Windows mašinah, medtem ko naj bi bil GNU/Linux imun. Čeprav je še zmeraj možno prisluškovanje skupinskim pogovorom, če je vsaj eden od udeležencev na Windows mašini.
Kot zaposlenega v industriji me tako dovršeno industrijsko vohunjenje precej straši.
ikeman , sej res mam visto z 1 GB spomina, skoz ruži. Če imaš karkoli na na mašini, ti disk "vsaj lučka" na vsake toliko časa utripa, pa kolikor je bilo včasih znano, so diski v Idel skoz nekaj ružili, itd... Tako da moraš res vedeti, kaj iščeš, ko ti mašina ruži. Prav tako na mojem starem prnosniku cca 3 leta "res da HP EB serija W" , lahko gledam FUl HD video, pa na drugem ekranu veselo ružim po disku, pa se vsaj na filmu ne opazi. No res pa da nisem iz istega diska gledal film, samo v realnem svetu, to tudi ni neki, pa zelo težko verjameš, da opaziš po en drop frame, glede na to da se večino zadev kešira v ramu, ....
France Rejects Genocide Accusations Against Israel in Gaza,
To accuse the Jewish state of genocide is to cross a moral threshold
Lahko dela na principu VNC-ja in podobnih protokolov in seveda ne bos cisto nic opazil - ne glede CPU-ja, niti mreznega pretoka.
Po eni strani pa tako precej hitro ugotovijo ali se ta racunalnik splaca se naprej "nadzirat". Je pa to tudi precej zamudno opravilo, ce bi hotel vsakega preverjat - morda se zato tudi ni tako razsiril.
to pa je ko si jih med sabo not tišite... usbje pa z maili za foro šopate drug drugega in vse odpirate...
povrh tega v tej novici nekaj manjka ane? Kako ugotoviti če maš Flame na kompu... ne pa, da je samo pol strani branja o superiornosti malwara, razen če je strašenje nevednih uporabnikov po novem dobro delo.
@kixs res je, lahko dela tako oz. zgleda da dela na podobnem principu.
"The malware has the ability to regularly take screenshots. What's more, it takes screenshots when certain "interesting" applications are run, for instance, IM's. Screenshots are stored in compressed format and are regularly sent to the C&C server, just like the audio recordings."
Malce sem preteral s full screen real-time video "coverage"-om, zgleda da res jemlje samo "scrn-shote" zanimivih programov..
Ampak vseeno, trdim, da je zadeva vse prej kot neopazna.
Pred casom sem gledal en video od enga geeka, ki imel na svojem laptopu (mislim da je bil mac) instaliran en keylogger ki ga je lahko pognal na daljavo (ssh) in je ostal "skrit" (vsaj neukemu uporabniku).
A pozna kdo podoben kos SWja, ki bi loggal in loge posiljal na vnaprej dolocen email/server, pa da ga povprecen uporabnik ne opazi (da glih ne prikaze ikone v taskbaru ali kaj podobnega)? Pa seveda da gre za namenski install, ne kaksno nesnago ki se bo sirila naprej.
Statistically 3 out of 4 involved usually enjoy gang-bang experience.
Pred casom sem gledal en video od enga geeka, ki imel na svojem laptopu (mislim da je bil mac) instaliran en keylogger ki ga je lahko pognal na daljavo (ssh) in je ostal "skrit" (vsaj neukemu uporabniku).
A pozna kdo podoben kos SWja, ki bi loggal in loge posiljal na vnaprej dolocen email/server, pa da ga povprecen uporabnik ne opazi (da glih ne prikaze ikone v taskbaru ali kaj podobnega)? Pa seveda da gre za namenski install, ne kaksno nesnago ki se bo sirila naprej.
Naredi si ga :), pa boš 100% prepričan da ni kakega payloada not. Drugače pa sploh ni tako težko narest nek keylogger sam windows/osx/linux api moraš poznat.
PS: Je pa ta stvar illegal v druge namene kot logiranje svojega tipkanja(i think).
Malce sem preteral s full screen real-time video "coverage"-om, zgleda da res jemlje samo "scrn-shote" zanimivih programov..
Ampak vseeno, trdim, da je zadeva vse prej kot neopazna.
Nehi no. Screenshote lahko delas enkrat v sekundi, pa ti sploh opazil ne bos.
- zajames sliko - skompresiras - zapises
Jpeg kompresiranje je peanuts za dansanje procesorje. Zapisati nekaj sto kB na disk pa tudi ni nek hud podvig. Ce vse skupaj se tko casovno razporedis, ti niti v sanjah ne bos opazil, da se karkoli dogaja.:)
PS: Je pa ta stvar illegal v druge namene kot logiranje svojega tipkanja(i think).
glede na slovensko kazensko zakonodajo posedovanje, izdelava, razpecevanje ali uporaba "hekerskih" orodij ni kazniva, razen ko to izvajas v namene storitve kaznivega dejanja.
Jpeg kompresiranje je peanuts za dansanje procesorje. Zapisati nekaj sto kB na disk pa tudi ni nek hud podvig. Ce vse skupaj se tko casovno razporedis, ti niti v sanjah ne bos opazil, da se karkoli dogaja.:)
ti ne, kak program pa z lahkoto. verjetno bi vsak anti-keyloggerski program kaj zaznal
hm, meni je dejansko pred par tedni kar naenkrat začel padat prostor na OS particiji ... to je šlo skoraj do nule, potem čez nekaj časa sem imel pa spet prostih 2+ GB ... je še kak drug razlog možen za tako vedenje Winsov?
Velikost programa pa res ni merilo njegove kompleksnosti. Čim se zraven programa bundla kateregakoli od prevajalnikov, (python, lua) velikost programa precej naraste. V pythonu če hello world skompajlaš v exe (py2exe) te pride več kot 10MB.
Jpeg kompresiranje je peanuts za dansanje procesorje. Zapisati nekaj sto kB na disk pa tudi ni nek hud podvig. Ce vse skupaj se tko casovno razporedis, ti niti v sanjah ne bos opazil, da se karkoli dogaja.:)
ti ne, kak program pa z lahkoto. verjetno bi vsak anti-keyloggerski program kaj zaznal
Nekdo zgoraj je trdil, da bi nekaj taksnega z lahkoto in takoj opazil. Samo zaradi tega ker bi u racunalnik pocasneje delal.
Nihce ni govoril o programih, ki detektirajo keyloggerje.
Ni važno tut če maš quad-cora to moraš opazit.. Predvsem kompresija slike je tu problem predstavljaj si, da zajemaš realtime video v resoluciji 1650x1050..
Btw. 386ka z 8MB rama komaj zboota 95ko pa še to je treba fino nafrizirat ;)
No no - moja je zbutala s 2 mb rama brez nekega friziranja, tako da...
Aja, pa saj ni treba, da kopresira na polno, komot si lahko vzame čas in pošilja podatke po par kb - saj ima cajt za to.
Malware se lahko skrije tudi tako, da gleda resurse in ko je CPU obremenjen, doda še svoje zahtevke za kompresijo; ko drug program piše na disk, doda še svoje podatke; prav tako za network. You get the idea. Ne bi opazil, da ti računalnik počasneje dela, razen če vsak dan, ko zbootaš računalnik, s štoparico meriš odzivnost programov, delaš benchmarke,... Pa še to bi se vse lahko pripisalo statistični napaki.
Islam is not about "I'm right, you're wrong," but "I'm right, you're dead!"
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
seveda da ti ne bi opazil, ampak glede na spisek stvari, ki jih je stvar delala, bi pa vsaj nek namenski program že moral, ane
Tudi namenski program, spisan posebaj za to, bi taksno stvar zelo zelo tezko opazil. Rabil bi goro statisticnih podatkov o tem kaj se je dogajalo preden si imel namescen malware. Pa se tako je stvar precej vprasljiva.
