Creadores de Flame y Stuxnet cooperaron en la creación del código

Según una reciente investigación llevada a cabo por Kaspersky, es posible que los creadores de Stuxnet y Flame hayan compartido parte del desarrollo de los códigos de ambos virus, o al menos la primera etapa de éstos. De este modo, la idea que Estados Unidos e Israel se hayan unido para atacar el programa nuclear en Irán cada vez toma más fuerza.

Flame fue descubierto apenas el mes pasado y Stuxnet en 2010 cuando atacó las centrales nucleares de Irán.

El experto en seguridad de Kaspersky Lab, Alexander Gostev, declaró que “los nuevos hallazgos revelan cómo los equipos tras estos virus compartieron el código de fuente de al menos un módulo en las primeras etapas de desarrollo, lo que prueba que estos grupos se cooperaron al menos una vez”.

Junto a esta declaración, Vitaly Kamluk, experto en malware de Kaspersky, aseguró que “existe un vínculo probado, no sólo copias” de este hecho, y también agregó que “pensamos que estos equipos (de desarrollo) son diferentes, dos equipos diferentes trabajando el uno para el otro y ayudándose en diferentes etapas”.

El hallazgo se relaciona con el descubrimiento de Resource 207, un módulo que se encuentra en las primeras versiones del malware Stuxnet, el que tiene parecido realmente asombroso al código usado en Flame.

“La lista incluye los nombres de los objetos que se excluyen de manera mutua, el algoritmo usado para descifrar cadenas y la forma similar de nombrar los archivos”, sentenció Gostev.

De esta forma, los datos arrojados por esta nueva investigación se unen a los dichos de otros expertos de seguridad, de que Stuxnet fue parte de un ciberprograma masivo por parte de los Estados Unidos para atacar la central nuclear iraní. Virus que aún permanece activo en dicho más y tal vez en otras partes más del mundo.

Leer más

Malware Flame entró en proceso de autodestrucción

Flame, el nuevo malware utilizado para ciberespionaje internacional, ha dado bastante que hablar durante los últimos días, y no es para menos, ya que parece ser la amenaza informática más compleja de todos los tiempos. Y entre todas las características y funciones que tiene, faltaba la guinda de la torta, la que fue recientemente descubierta: es capaz de autodestruirse.

Porque se ha notado que Flame comenzó hace pocas horas su proceso de suicidio, y no lo decimos así porque sí, ya que se detectó que un módulo dentro del software llamado SUICIDE que entró en ejecución. Bastante obvio.

Al parecer las computadoras secuestradas descargaron este módulo desde los servidores bajo el control de los piratas informáticos, el que elimina los 163 archivos y cuatro carpetas donde se alberga el código malicioso. Además, se borra el instalador y cualquier rastro de la presencia de Flame es sacado del sistema, para luego sobre-escribir el área con valores aleatorios, evitando al recuperación de datos.

Entonces, ahora que el malware fue descubierto busca eliminarse a sí mismo para proteger a sus autores, los que se sospecha son personas asociadas a gobiernos de grandes naciones. Además, con la amenaza sabida por todos es poca la utilidad que presta, por lo que podríamos decir que con esta autodestrucción el software maligno ya va en retirada.

Leer más

Kaspersky: Virus Flame no puede afectar a un usuario común

El virus Flame ha dado bastante que hablar desde su descubrimiento hace un par de semanas por parte de Kaspersky. Se trata de un virus espía con muchísimas habilidades, como la posibilidad de activar el bluetooth de un PC para robar los contactos de los dispositivos móviles que estén cerca, o encender los micrófonos para grabar conversaciones, por ejemplo.

¿Es posible que este virus afecte a una persona común por accidente? “No”, responde Dmitry Bestuzhev, jefe de investigación de Kaspersky Lab para América Latina. “Flame tiene un módulo especial que permite automutilarlo. Es decir, los que están detrás del virus primero tienen un monitoreo, y si ven que no está en una máquina correcta, para evitar que esta amenaza sea capturada y analizada, pueden mandar un comando para que mutile al virus”, explica.

FW – ¿Entonces no hay usuarios corrientes afectados?

Dmitry Bestuzhev- No. No puede porque los que están detrás de Flame controlan su propagación. Ellos buscan sus víctimas y las atacan. Un usuario común y corriente no representa interés industrial, a menos que trabaje en la embajada de Irán, o viaje a dar una consultoría científica, militar, técnica o lo que sea, ahí podría ser victima también.

FW – ¿Cómo saben que la información que captura Flame es usada para espionaje?

Dmitry Bestuzhev- Flame no tiene ninguna conexión financiera, no busca robar ninguna información para convertirla en dinero, ni cuentas de banco, tarjetas de crédito. Únicamente lo que está en Flame es la sustracción de información confidencial, de caracter de seguridad nacional de un Estado. Lo que ellos buscan es información que podría representar información de un gobierno, que sean secretos del estado, etc.

Una cosa muy interesante es la proliferación, porque uno puede ver dónde fue detectado esto. Primero, Irán es el blanco principal de los ataques. El 50% de los ataques están en Irán, uno podría preguntar bueno, ¿qué hacen en Irán? Sabemos la situacion de conflicto que existe en el Medio Oriente, y también las máquinas que están afectadas son máquinas que están en un proceso de plantas nucleares, etc. Puede buscar hasta en una máquina que no tiene conexión a Internet, sino sólo conexión en la red local, o conexión a Internet muy limitada.

Aparte hay otra evidencia, que Flame busca en su código archivos de AutoCAD. Qué son los archivos AutoCAD: Planos.

FW – Se dice que Stuxnet fue creado por Estados Unidos e Israel. ¿Se puede decir que Flame también?

Dmitry Bestuzhev- No existen evidencias claras sobre quién podría estar detrás de esta amenaza, sin embargo, el que sean amenazas parecidas podría darnos pistas de qué países están detrás. Pero no existe evidencia que pueda identificar a un país claramente, son especulaciones hasta el momento.

FW – ¿Diría que estamos en una ciberguerra?

Dmitry Bestuzhev- Sí, de hecho. Cuando hablamos de Stuxnet, es como un misil cibernético, porque su objetivo fue destruir las cosas. Y no destruir una laptop, destruir el sistema industrial, que está conectado con la laptop infectada. Esto muestra claramente una intención de un acto de sabotaje que se encuentra detrás. Algo muy interesante, mientras nosotros remontamos al pasado y nos remontamos a cuando surgieron estas amenazas, vemos que Flame tiene sus inicios por lo menos el 2 de marzo de 2006. O sea, si nosotros hubieramos tenido esta conversación en 2006 pensarían que estábamos locos, que vivimos películas de ciencia ficción de Bruce Willis, Duro de Matar, qué se yo. Pero hoy vemos que es una realidad.

FW – Si data de 2006, ¿porque se descubrió recién ahora?

Dmitry Bestuzhev-  Las razones son precisamente su sofisticación. Se usaron dos lenguajes de programación muy diferentes, como Lua, un lenguaje muy atípico para los virus. Es un lenguaje que había sido inventado en Brasil, en la Universidad Católica de Brasil, y detectar virus que fueran escritos en este lenguaje de programación es muy complicado. Otra razón es que ataca sistemas aislados. Un investigador no puede tener acceso, yo no puedo ir a Irán y decir, “¿me pueden prestar sus máquinas? Tengo sospechas de que su programa nuclear puede estar comprometido”. Ellos tampoco van a dejar hacerlo porque si lo hacen van a tener problemas con la seguridad interna en su país.

FW – Flame y Stuxnet tienen como objetivo Irán. ¿Hay otros ataques con virus en otros países?

Dmitry Bestuzhev - Sí, detectamos muchos lanzados desde China hacia el Tíbet. Hoy justamente detectamos un ataque dirigido desde China hacia el Tibet, disfrazado de la leyenda de las Olimpiadas que se avecinan. Porque los tibetanos intentan tener conexión con el mundo, entonces vemos que existen ataques más regionales, sin embargo, políticamente motivados.

FW – ¿Los países debieran tener entonces escuadrones anti-hackers?

Dmitry Bestuzhev - Existen intenciones, Brasil es probablemente el más intensivo en esto (en Latinoamérica) porque ha anunciado a través de la prensa local que el gobierno está buscando tener una división dentro de las fuerzas militares que tenga a cargo la protección cibernética de ese país. Existen intentos, pero parece que no están muy avanzados en este tema, probablemente por algunas limitaciones del marco legal. Muchas veces la legislación actual de un país no lo permite hacer, y también por el conocimiento. Ganas no faltan, conocimiento sí, pero siempre se puede mejorar.

Es un reto, porque mientras algunos países todavía subestiman el peligro que significa estar conectado al internet para la seguridad de un país, otros en cambio por tener su infraestructura tan industrializada no pueden tener el control absoluto sobre ciertas cosas.

Leer más

El código de Flame esconde conocimientos matemáticos hasta ahora desconocidos

Flame, el reciente malware que está siendo utilizado como arma de ciberespionaje, ha demostrado ser tan complejo que dentro de su código hubo “matemáticos haciendo ciencia nueva para hacer funcionar a Flame“, lo que sería indicio de un soporte monetario para su desarrollo que sería posible únicamente a través delapoyo del gobierno de algún país grande.

Esto, según Marc Stevens y B.M.M. de Weger, dos de los expertos en criptografía más destacados del planeta, quienes le han seguido el rastro al software para descubrir que cierto tipo de ataques observados son realizables únicamente a través de análisis criptográfico “de clase mundial”, donde mentes brillantes escogidas con pinzas han hecho descubrimientos matemáticos importantes que luego aplicaron en Flame.

Se trata de ataques de colisión MD5, los que hasta ahora eran explicados sólo en teoría, con Flame siendo el primer ejemplo de su ejecución a gran escala, algo que antes estaba escrito sólo en los libros. Peor aún, la herramienta de ciberespionaje fue incluso más allá y utilizó una variante completamente desconocida de los ataques MD5, por lo que infunde aún más miedo ya que Flame se escapa completamente de los conocimientos matemáticos y criptográficos que se manejan en la actualidad.

Leer más

Microsoft parcha vulnerabilidad en Windows utilizada por el malware Flame

Los sistemas informáticos iraníes están en el foco de la actual ciberguerra que está ocurriendo, ensalzada con el reciente descubrimiento del malware llamado Flame, software espía por excelencia que incluso es capaz de activar el micrófono del PC infectado para robar información.

Ahora salió a la luz que este programa dentro de su método para atacar se aprovechaba de una vulnerabilidad en certificados digitales Microsoft, permitiendo a algunos componentes de Flame aparecer frente a plataformas Windows como si hubiese sido hecho por Microsoft, siendo que es código malintencionado.

Una vez que se dieron cuenta de aquello los ingenieros de la compañía se pusieron a trabajar para lanzar ahora una actualización de emergencia vía Windows Update, aplicable para casi todas las versiones del sistema operativo y que evita a Flame hacerse pasar por software Microsoft y obtener así permisos en el sistema que no debería, contribuyendo a la seguridad de los usuarios comunes y corrientes frente a esta amenaza que ha sido catalogada como “una de las más complejas jamás descubiertas”.

Leer más

Flame , una nueva arma de ciberespionaje descubierta en iran

Un malware muy sofisticado y masivo llamado “Flame” fue identificado recientemente infectando sistemas iraníes y de algunos otros países. Se cree que es parte de una operación internacional de espionaje.

El malware fue descubierto por la compañía rusa Kaspersky Lab, y se trataría de una herramienta que tiene por objetivo conseguir datos desde Irán, el Líbano, Siria, Sudán y otros países de Medio Oriente y el Norte de África. El malware habría sido creado hace dos años.

Según las primeras investigaciones, Flame estaría diseñado para espiar a los usuarios de los computadores infectados y robar datos, incluyendo documentos, conversaciones grabadas y las secuencias de tecleado. También abre una puerta trasera en los sistemas infectados para permitir a los atacantes modificar la herramienta y añadir nuevas funciones.

Metodo de Espionaje:

Cuando está totalmente instalado, Flame pesa 20 MB y contiene múltiples bibliotecas, bases de datos SQLite3 y varios niveles de cifrado, además de 20 plugins que pueden ser intercambiados para proveer diferentes funcionalidades a los atacantes. Llamó la atención que incluye una máquina virtual LUA, poco usual tratandose de malware.

Según la compañía, Flame es mucho más grande que Stuxnet, virus que saboteó el funcionamiento de plantas nucleares en Irán en 2009 y 2010. Aunque Flame tiene otro propósito y parece haber sido escrito por programadores diferentes a los de Stuxnet, el área geográfica y el comportamiento que tiene serían indicadores de que hay un país detrás de Flame. De esta manera , sería otra herramienta de ciberguerra encargada por un Estado.

El malware Flame parece ser otra fase de las guerras informaticas y es importante entender que una ciberarma como ésta puede ser fácilmente usada contra cualquier país.

Leer más