火焰 (惡意軟件)

火焰病毒(Flame,又名Flamer,sKyWIper,Skywiper)是一種2012年5月被發現的惡意軟件,也譯作「超級火焰」,以LuaC++語言寫成,利用微軟公司Windows作業系統的兩處瑕疵侵入電腦並注入其他程序。大約從2010年開始散播,其所包含的代碼量約是之前發現的震網病毒(Stuxnet)或毒區病毒(Duqu)的20倍,被稱為有史以來最複雜的惡意軟件,在中東大範圍傳播。[1]

火焰病毒在伊朗、以色列、蘇丹 的影響占比餅狀圖,波斯語圖片

火焰病毒偽裝成微軟開發的合法程式,侵入個人電腦、竊取私密資料。主要功能在收集個人資訊,並上傳到網路,以數種方式進行活動,包括錄音擷取螢幕畫面、侵入鄰近的藍牙裝置等。大小約為20MB,包含數個模組,包括解壓縮程式庫、SQL資料庫、和Lua虛擬器等。[2]因為它在收到指令的情況下,會自我刪除,而且其注入其他程序後,會將自己所在內存區段設置為用戶態不可讀、用戶態不可寫、用戶態不可執行,所以很難被用戶態下的其它程序偵測出來。[3]

伊朗方面於2012年4月時,稱該病毒被其創造者命名為Wiper[4] 。而卡巴斯基則說它和Wiper沒有什麼關係[5]。儘管以色列副部長摩西的某段講話似乎暗示了以色列是始作俑者,但目前以色列在受害數量上僅次於伊朗的189起,為89起[6][7]

報導聲稱該惡意軟體美國國家安全局以色列合作研發[8][9]。類似震網病毒,可能都在Olympic Games計劃下開發出來[10]。印度時報報道,目前有80家來自亞洲、歐洲和北美的服務器在操作這種病毒。美國和以色列都正式否認與此病毒有關。[11] [12]

微軟推出KB2718704更新程序來防範該病毒。[13][14]

值得注意的是,該惡意軟件中包含了一個偽造的數字簽名。被偽造簽名的主體是Microsoft Enforced Licensing Intermediate PCA數字證書認證機構[15]。由於微軟在終端服務授權服務證書中,錯誤地啟用了代碼簽名功能,並且儘管早在2008年便有人成功地偽造了使用MD5作為簽名算法的數字證書[16],這一證書卻依舊在使用MD5作為簽名算法。這使得偽造該證書變得比較容易。此惡意軟件的開發者成功地通過選定前綴攻擊法偽造了這一證書,並用於簽名該惡意軟件,使得它看起來像是來自微軟。[17]

注釋

  1. ^ 最复杂电脑病毒“火焰”曝光已入侵中东多国. 中國廣播網. 2012-05-30 [2012-05-30]. (原始內容存檔於2016-03-06). 
  2. ^ 谨防超级火焰病毒Flame和“暴雷”漏洞威胁. 浙江省公安廳. 2012-07-02 [2012-07-02]. [永久失效連結]
  3. ^ sKyWIper: A Complex Malware for Targeted Attacks (PDF). Budapest University of Technology and Economics. 28 May 2012 [29 May 2012]. (原始內容 (PDF)存檔於2012年5月30日). 
  4. ^ 存档副本. [2012-05-31]. (原始內容存檔於2012-05-30). 
  5. ^ Meet ‘Flame,’ The Massive Spy Malware Infiltrating Iranian Computers. [2012-05-31]. (原始內容存檔於2014-03-26). 
  6. ^ Flame: Massive cyber-attack discovered, researchers say. [2012-05-31]. (原始內容存檔於2019-04-09). 
  7. ^ 全新电脑病毒“火焰”攻击伊朗能源设施. [2012-05-31]. (原始內容存檔於2016-08-18). 
  8. ^ U.S., Israel developed Flame computer virus to slow Iranian nuclear efforts, officials say. 華盛頓郵報. 2012-06-20 [2012-06-30]. (原始內容存檔於2021-04-15). 
  9. ^ 華盛頓郵報:美以研發Flame病毒攻擊伊朗. 新浪香港. 2012-06-20 [2012-06-30]. (原始內容存檔於2014-03-09). 
  10. ^ 病毒「火焰」美以網路戰祕密武器. 中國時報. 2012-06-21 [2012-06-21]. (原始內容存檔於2012-07-04). 
  11. ^ Tsukayama, Hayley. Flame cyberweapon written using gamer code, report says. The Washington Post. 31 May 2012 [31 May 2012]. (原始內容存檔於2020-06-01). 
  12. ^ Flame: Israel rejects link to malware cyber-attack. BBC News. 31 May 2012 [3 June 2012]. (原始內容存檔於2021-01-26). 
  13. ^ 未经授权的数字证书可能允许欺骗. [2014-03-18]. (原始內容存檔於2014-12-19). 
  14. ^ Microsoft Security Advisory (2718704):Unauthorized Digital Certificates Could Allow Spoofing. [2014-03-18]. (原始內容存檔於2014-03-30). 
  15. ^ Microsoft releases Security Advisory 2718704. Microsoft. 3 June 2012 [4 June 2012]. (原始內容存檔於2012-06-07). 
  16. ^ Sotirov, Alexander; Stevens, Marc; Appelbaum, Jacob; Lenstra, Arjen; Molnar, David; Osvik, Dag Arne; de Weger, Benne. MD5 Considered Harmful Today. 30 December 2008 [4 June 2011]. (原始內容存檔於2017-09-20). 
  17. ^ Stevens, Marc. CWI Cryptanalist Discovers New Cryptographic Attack Variant in Flame Spy Malware. Centrum Wiskunde & Informatica. 7 June 2012 [9 June 2012]. (原始內容存檔於2017-02-28). 

相關條目