Flame (Computerwurm)

Flame ist ein Schadprogramm, das im Mai 2012 vom Hersteller von Sicherheitssoftware Kaspersky Lab entdeckt worden ist, als es bereits für Angriffe in Rechnernetzen verwendet wurde.

Ebenso wie die beiden Schadprogramme Stuxnet und dessen Nachfolger Duqu wird es als eine ernste Bedrohung der Informationssicherheit im Internet eingestuft, zumal die Funktionalität und die Komplexität als noch größer eingeschätzt werden. Mit Flame befallene Computer können ferngesteuert und ausspioniert werden. Dazu können von der Schadsoftware zum Beispiel am Computer angeschlossene oder im Computer integrierte Mikrofone, Tastaturen und Bildschirme ausgewertet werden. Nach einer Infektion als Rootkit kann Flame sich auf andere Systeme über ein lokales Netzwerk oder per USB-Stick verbreiten.

Die Software wurde vor allem auf Computern im Nahen Osten nachgewiesen und ist schon seit spätestens März 2010 aktiv, gemäß heise.de schon seit spätestens 2007. Alle Regierungsorganisationen wurden von der Internationalen Fernmeldeunion (ITU) über die Entdeckung informiert, damit die CERTs gegebenenfalls Gegenmaßnahmen ergreifen können, um die Infrastrukturen zu schützen. Über die Herkunft des Schadprogramms wurde zunächst nichts bekannt. Es ist jedoch bemerkenswert, dass die Schadsoftware nur relativ wenige Computer befallen hat und die Infektionen offenbar nicht über das öffentliche Internet erfolgt sind. Herkömmliche Sicherheitssoftware kann solche Angriffe in der Regel nicht entdecken oder verhindern, private Anwender werden jedoch durch Flame nicht bedroht.

Flame benötigt mit ungefähr 20 Megabyte ungewöhnlich viel nichtflüchtigen Datenspeicher, vereint verschiedene Malware-Techniken (insbesondere Backdoor-, Trojaner- und Wurmfunktionalitäten) in sich und stellt ein ganzes Malware-Toolkit dar. Kaspersky hat Flame unter dem Namen „Worm.Win32.Flame“ als Wurm klassifiziert; Avira führt Flame unter der Bezeichnung „TR/Flamer.A“ als Trojaner. Die Software konnte Windows-XP-, Vista- und Windows-7-Betriebssysteme über die Windows-Update-Funktion infizieren. Hierzu verwendete sie ein gefälschtes Code-Signing-Zertifikat, das durch einen MD5-Kollisionsangriff erzeugt wurde. Damit fängt Flame die Windows-Update-Anfrage eines Computers ab und leitet sie an einen infiltrierten Rechner weiter. Der ahnungslose Nutzer installiert dann eigenhändig die Schadkomponente. Im Falle einer Entdeckung durch einen Heuristikscanner oder eine Verhaltensanalyse ist Flame zudem mit einer Selbstzerstörungsfunktion ausgestattet, bei der die infizierten Rechner angewiesen werden, das Programm durch eine Uninstall-Routine selber zu löschen.

Als Urheber bzw. Autoren der Flame-Software werden von den Experten, die sie entdeckten, staatliche Organisationen angegeben. Laut Quellen der Washington Post wurde Flame von den USA und Israel gemeinsam entwickelt. Analysten von Kaspersky vermuten aufgrund der Ähnlichkeit von Teilen des Codes einen Austausch mit den Autoren von Stuxnet. Weiterhin sei eine große Anzahl an Servern und Personal vonnöten, um die in der freien Wildbahn befindlichen Flame-Installationen zu steuern und die damit abgegriffenen Daten zu empfangen und zu speichern.

Im Juli 2012 wurde bei der laufenden Untersuchung von Flame, Gauss und Duqu durch Kaspersky Labs eine weitere Variante von Flame entdeckt, die miniFlame getauft wurde. Es wird angenommen, dass miniFlame über Flame oder Gauss verbreitet wird. Im Gegensatz zu Flame sind nur rund fünfzig Computer befallen, jedoch sehr wichtige Rechner im Iran, dem Libanon und Kuwait.

Weblinks

• IT-Experten decken komplexe Schadsoftware auf (Memento vom 30. Mai 2012 im Internet Archive) Tagesschau, 29. Mai 2012
• Computervirus Flame – Anatomie eines Hightech-Schädlings. Spiegel Online, 29. Mai 2012
• Martin Gropp: Das komplexeste Computervirus der Welt. FAZ, 29. Mai 2012
• Flame aktiviert Selbstzerstörungsmechanismus. Handelsblatt, 11. Juni 2012