NOMBRE
flame — Malware de ciberespionaje de 2012, «el más complejo jamás encontrado» según CrySyS. Grababa audio, capturas, teclado y tráfico, y espiaba conversaciones de Skype y dispositivos Bluetooth cercanos.
alias: Flamer, sKyWIper, Skywiper
SINOPSIS
flame --tipo spyware --año 2012 --severidad crítica --plataforma "Windows" --autor "Atribuido a EE. UU./Israel"
DESCRIPCIÓN
Descubierto en 2012 (CERT iraní, Kaspersky y CrySyS Lab), Flame fue una de las herramientas de ciberespionaje más sofisticadas conocidas, dirigida a países de Oriente Medio (Irán, Israel, Sudán…). Modular y enorme (~20 MB), grababa audio, capturas, pulsaciones y tráfico, espiaba Skype y usaba el Bluetooth para rastrear dispositivos cercanos. Empleó un ataque criptográfico novedoso contra certificados de Microsoft.
PROPAGACIÓN
USB, red local y, en algunas variantes, actualizaciones de Windows falsificadas (ataque a MD5).
CARGA ÚTIL
Espionaje integral: audio, capturas, teclado, tráfico, Skype y rastreo Bluetooth.
PREVENCIÓN
Control de USB; segmentación; parcheo; firmas de código verificadas.
MITIGACIÓN
Erradicación específica; revocación de los certificados afectados; auditoría.
INDICADORES
- autor / origen
- Atribuido a EE. UU./Israel
- país
- Desconocido
- etiquetas
- APTOriente Mediociberarmaespionajemodular
Módulos «mssecmgr.ocx», «advnetcfg.ocx»; colisión MD5 en certificados.
DETONACIÓN
Todavía no se expone ningún informe de detonación de esta pieza. Su política de seguridad (No detonar (solo material pregrabado)) no permite ejecutarla, así que se documenta solo con material pregrabado.
FUENTES
- Artículo de «Flame» · Wikipedia (EN)