Llama (malware)

Flame , ^{[ a ]} también conocido como Flamer , sKyWIper , ^{[ b ]} y Skywiper , ^{[ 2 ]} es un malware informático modular descubierto en 2012 ^{[ 3 ] [ 4 ]} que ataca a ordenadores que ejecutan el sistema operativo Microsoft Windows . ^{[ 5 ]} El programa se utiliza para el ciberespionaje dirigido en países de Oriente Medio . ^{[ 1 ] [ 5 ] [ 6 ]}

Su descubrimiento fue anunciado el 28 de mayo de 2012 por el Centro MAHER del Equipo Nacional Iraní de Respuesta a Emergencias Informáticas (CERT), ^{[ 5 ]} Kaspersky Lab ^{[ 6 ]} y CrySyS Lab de la Universidad de Tecnología y Economía de Budapest . ^{[ 1 ]} Este último declaró en su informe que Flame "es sin duda el malware más sofisticado que hemos encontrado durante nuestra práctica; posiblemente, sea el malware más complejo jamás encontrado". ^{[ 1 ]} Flame puede propagarse a otros sistemas a través de una red de área local (LAN). Puede grabar audio, capturas de pantalla , actividad del teclado y tráfico de red . ^{[ 6 ]} El programa también graba conversaciones de Skype y puede convertir los ordenadores infectados en balizas Bluetooth que intentan descargar información de contacto de dispositivos Bluetooth cercanos. ^{[ 7 ]} Estos datos, junto con documentos almacenados localmente, se envían a uno de varios servidores de comando y control que están distribuidos por todo el mundo. El programa espera entonces nuevas instrucciones de estos servidores. ^{[ 6 ]}

Según estimaciones de Kaspersky de mayo de 2012, Flame había infectado inicialmente aproximadamente 1000 máquinas, ^{[ 7 ]} con víctimas que incluían organizaciones gubernamentales, instituciones educativas y particulares. ^{[ 6 ]} En ese momento, el 65% de las infecciones se produjeron en Irán, Israel, Palestina, Sudán, Siria, Líbano, Arabia Saudita y Egipto, ^{[ 3 ] [ 6 ]} con una "enorme mayoría de objetivos" dentro de Irán. ^{[ 8 ]} También se ha informado de la presencia de Flame en Europa y América del Norte. ^{[ 9 ]} Flame admite un comando "kill" que borra todos los rastros del malware del ordenador. Las infecciones iniciales de Flame dejaron de funcionar después de su exposición pública y se envió el comando "kill". ^{[ 10 ]}

Flame está vinculado a Equation Group por Kaspersky Lab. Sin embargo, Costin Raiu, director del equipo global de investigación y análisis de Kaspersky Lab, cree que el grupo solo coopera con los creadores de Flame y Stuxnet desde una posición de superioridad: «Equation Group son sin duda los maestros, y a los demás les dan, tal vez, migajas. De vez en cuando les dan algunas ventajas para integrar en Stuxnet y Flame». ^{[ 11 ]}

Los investigadores han descrito a Flame como uno de los programas maliciosos de ciberespionaje más sofisticados descubiertos hasta la fecha. Infectó numerosos ordenadores en Oriente Medio utilizando certificados digitales falsificados de Microsoft para suplantar la identidad de software de confianza. ^{[ 12 ]}

En 2019, los investigadores Juan Andrés Guerrero-Saade y Silas Cutler anunciaron el resurgimiento de Flame. ^{[ 13 ] [ 14 ]} Los atacantes utilizaron la técnica de "alteración de fechas" (cambio de marcas de tiempo y fechas de archivos) para que las nuevas muestras parecieran haber sido creadas antes del comando "suicide". Sin embargo, un error de compilación incluía la fecha de compilación real ( c. 2014 ). La nueva versión (denominada "Flame 2.0" por los investigadores) incluye nuevos mecanismos de cifrado y ofuscación para ocultar su funcionalidad. ^{[ 15 ]}

Flame (también conocido como Da Flame) fue identificado en mayo de 2012 por el Centro MAHER del CERT Nacional Iraní, Kaspersky Lab y CrySyS Lab (Laboratorio de Criptografía y Seguridad de Sistemas) de la Universidad Tecnológica y Económica de Budapest, cuando la Unión Internacional de Telecomunicaciones de las Naciones Unidas solicitó a Kaspersky Lab que investigara informes sobre un virus que afectaba a los ordenadores del Ministerio de Petróleo iraní . ^{[ 7 ]} Durante la investigación, Kaspersky Lab descubrió un hash MD5 y un nombre de archivo que aparecían únicamente en los ordenadores de clientes de países de Oriente Medio. Tras descubrir más información, los investigadores bautizaron el programa como "Flame" en honor a uno de los módulos principales del conjunto de herramientas [FROG.DefaultAttacks.A-InstallFlame] . ^{[ 7 ]}

Según Kaspersky, Flame había estado operando en la naturaleza desde al menos febrero de 2010. ^{[ 6 ]} CrySyS Lab informó que el nombre del archivo del componente principal se observó ya en diciembre de 2007. ^{[ 1 ]} Sin embargo, su fecha de creación no pudo determinarse directamente, ya que las fechas de creación de los módulos del malware están establecidas erróneamente en fechas tan tempranas como 1994. ^{[ 7 ]}

Los expertos en informática lo consideran la causa de un ataque ocurrido en abril de 2012 que provocó que funcionarios iraníes desconectaran sus terminales petroleras de Internet. ^{[ 16 ]} En aquel momento, la Agencia de Noticias Estudiantiles Iraní se refirió al malware que causó el ataque como "Wiper", nombre que le dio su creador. ^{[ 17 ]} Sin embargo, Kaspersky Lab cree que Flame podría ser "una infección completamente distinta" del malware Wiper. ^{[ 7 ]} Debido al tamaño y la complejidad del programa —descrito como "veinte veces" más complejo que Stuxnet— , el Laboratorio afirmó que un análisis completo podría requerir hasta diez años. ^{[ 7 ]}

El 28 de mayo, el CERT de Irán anunció que había desarrollado un programa de detección y una herramienta de eliminación para Flame, y que los había estado distribuyendo a "organizaciones selectas" durante varias semanas. ^{[ 7 ]} Tras la exposición de Flame en los medios de comunicación, Symantec informó el 8 de junio que algunos ordenadores de comando y control (C&C) de Flame habían enviado un comando de "suicidio" a los PC infectados para eliminar todos los rastros de Flame. ^{[ 10 ]} Se eliminaron todas las copias del programa y cualquier archivo relacionado. ^{[ 18 ]}

Según estimaciones de Kaspersky de mayo de 2012, inicialmente Flame había infectado aproximadamente 1000 máquinas, ^{[ 7 ]} con víctimas que incluían organizaciones gubernamentales, instituciones educativas y particulares. ^{[ 6 ]} En ese momento, los países más afectados eran Irán, Israel, los Territorios Palestinos, Sudán, Siria, Líbano, Arabia Saudita y Egipto. ^{[ 3 ] [ 6 ]} Una muestra del malware Flame está disponible en GitHub .

Flame es un programa inusualmente grande para malware, con 20 megabytes . Está escrito parcialmente en el lenguaje de scripting Lua con código C++ compilado enlazado, y permite que se carguen otros módulos de ataque después de la infección inicial. ^{[ 6 ] [ 19 ]} El malware utiliza cinco métodos de cifrado diferentes y una base de datos SQLite para almacenar información estructurada. ^{[ 1 ]} El método utilizado para inyectar código en varios procesos es sigiloso, ya que los módulos de malware no aparecen en una lista de los módulos cargados en un proceso y las páginas de memoria del malware están protegidas con permisos de LECTURA, ESCRITURA y EJECUCIÓN que las hacen inaccesibles para las aplicaciones en modo de usuario. ^{[ 1 ]} El código interno tiene pocas similitudes con otro malware, pero explota dos de las mismas vulnerabilidades de seguridad utilizadas previamente por Stuxnet para infectar sistemas. ^{[ c ] [ 1 ]} El malware determina qué software antivirus está instalado y luego personaliza su propio comportamiento (por ejemplo, cambiando las extensiones de nombre de archivo que utiliza) para reducir la probabilidad de detección por ese software. ^{[ 1 ]} Otros indicadores de compromiso incluyen la actividad de mutex y del registro , como la instalación de un controlador de audio falso que el malware utiliza para mantener la persistencia en el sistema comprometido. ^{[ 19 ]} 

Flame no está diseñado para desactivarse automáticamente, pero admite una función de "eliminación" que hace que borre todos los rastros de sus archivos y operación de un sistema al recibir un módulo de sus controladores. ^{[ 7 ]}

Flame fue firmado con un certificado fraudulento supuestamente de la autoridad de certificación PCA intermedia de licencias forzadas de Microsoft. ^{[ 20 ]} Los autores del malware identificaron un certificado del Servicio de licencias de Microsoft Terminal Server que, sin darse cuenta, estaba habilitado para la firma de código y que aún utilizaba el débil algoritmo de hash MD5 , y luego produjeron una copia falsificada del certificado que utilizaron para firmar algunos componentes del malware para que parecieran provenir de Microsoft. ^{[ 20 ]} Un ataque de colisión exitoso contra un certificado ya se había demostrado en 2008, ^{[ 21 ]} pero Flame implementó una nueva variación del ataque de colisión de prefijo elegido. ^{[ 22 ]}

Al igual que las ciberarmas Stuxnet y Duqu , conocidas anteriormente , se emplea de forma selectiva y puede eludir el software de seguridad actual mediante la funcionalidad de rootkit . Una vez infectado un sistema, Flame puede propagarse a otros sistemas a través de una red local o mediante una memoria USB. Puede grabar audio, capturas de pantalla, actividad del teclado y tráfico de red . ^{[ 6 ]} El programa también graba conversaciones de Skype y puede convertir los ordenadores infectados en balizas Bluetooth que intentan descargar información de contacto de dispositivos Bluetooth cercanos. ^{[ 7 ]} Estos datos, junto con los documentos almacenados localmente, se envían a uno de los varios servidores de comando y control distribuidos por todo el mundo. El programa espera entonces nuevas instrucciones de estos servidores. ^{[ 6 ]}

A diferencia de Stuxnet, que fue diseñado para sabotear un proceso industrial, Flame parece haber sido escrito exclusivamente para el espionaje . ^{[ 23 ]} No parece estar dirigido a una industria en particular, sino que es "un conjunto completo de herramientas de ataque diseñado para fines generales de ciberespionaje". ^{[ 24 ]}

Utilizando una técnica conocida como sinkholing , Kaspersky demostró que "una enorme mayoría de los objetivos" se encontraban en Irán, y que los atacantes buscaban particularmente dibujos de AutoCAD , archivos PDF y archivos de texto . ^{[ 8 ]} Expertos en informática dijeron que el programa parecía estar recopilando diagramas técnicos con fines de inteligencia. ^{[ 8 ]}

Se ha utilizado una red de 80 servidores en Asia, Europa y América del Norte para acceder de forma remota a las máquinas infectadas. ^{[ 25 ]}

El 19 de junio de 2012, The Washington Post publicó un artículo que afirmaba que Flame había sido desarrollado conjuntamente por la Agencia de Seguridad Nacional de Estados Unidos , la CIA y el ejército israelí al menos cinco años antes. Se decía que el proyecto formaba parte de una operación clasificada con nombre en clave Juegos Olímpicos , cuyo objetivo era recopilar información de inteligencia para preparar una campaña de sabotaje cibernético destinada a frenar los esfuerzos nucleares iraníes. ^{[ 26 ]}

Según el principal experto en malware de Kaspersky, "la geografía de los objetivos y la complejidad de la amenaza no dejan lugar a dudas de que se trató de un Estado nación que patrocinó la investigación". ^{[ 3 ]} Kaspersky afirmó inicialmente que el malware no guardaba semejanza con Stuxnet, aunque podría haber sido un proyecto paralelo encargado por los mismos atacantes. ^{[ 27 ]} Tras analizar el código con mayor profundidad, Kaspersky declaró posteriormente que existe una fuerte relación entre Flame y Stuxnet; la versión inicial de Stuxnet contenía código para propagarse mediante unidades USB que es casi idéntico a un módulo de Flame que explota la misma vulnerabilidad de día cero . ^{[ 28 ]}

El CERT de Irán describió el cifrado del malware como poseedor de "un patrón especial que solo se observa proveniente de Israel". ^{[ 29 ]} El Daily Telegraph informó que, debido a los objetivos aparentes de Flame —que incluían a Irán, Siria y Cisjordania— , Israel se convirtió en "el principal sospechoso de muchos comentaristas". Otros comentaristas señalaron a Estados Unidos como posible responsable. ^{[ 27 ]} Richard Silverstein , un comentarista crítico de las políticas israelíes, afirmó haber confirmado con una "fuente israelí de alto nivel" que el malware fue creado por expertos informáticos israelíes. ^{[ 27 ]} El Jerusalem Post escribió que el viceprimer ministro israelí, Moshe Ya'alon, pareció insinuar que su gobierno era responsable, ^{[ 27 ]} pero un portavoz israelí negó posteriormente que esto se hubiera insinuado. ^{[ 30 ]} Funcionarios de seguridad israelíes anónimos sugirieron que las máquinas infectadas encontradas en Israel podrían implicar que el virus podría rastrearse hasta Estados Unidos u otras naciones occidentales. ^{[ 31 ]} Estados Unidos ha negado oficialmente su responsabilidad. ^{[ 32 ]}

Un documento filtrado de la NSA menciona que abordar el descubrimiento de FLAME por parte de Irán es un evento en el que la NSA y el GCHQ trabajaron conjuntamente. ^{[ 33 ]}

• Delitos cibernéticos
• guerra cibernética
• estándares de ciberseguridad
• Ciberterrorismo
• Privacidad digital
• Operación High Roller