Computervirus Flame macht sich unschädlich

Schon wenige Stunden nach den ersten Veröffentlichungen über die Malware Flame wurden Kommando- und Kontrollserver vom Netz genommen. Flame war ursprünglich dafür konfiguriert, Verbindung mit diesen Servern aufzunehmen und von ihnen übermittelte Skripte abzuarbeiten. Ab 28. Mai wurden diese Anfragen jedoch mit den HTTP-Fehlercodes 403 und 404 beantwortet. Ein Teil der Rechner erhielt jedoch noch ein Löschmodul, das alle Spuren von Flame beseitigen sollte.

Wie Kaspersky Labs berichtet, gelang es in Zusammenarbeit mit dem US-Domainregistrar GoDaddy sowie OpenDNS dennoch, die von Flame genutzten Domains zu ermitteln. Insgesamt registrierten die Hintermänner von Flame mit gefälschten Adressangaben mindestens 80 Domains für ihre Kommando- und Kontrollserver zu nutzen. Die Server liefen mit Ubuntu Linux und wurden unter anderem in Deutschland, Österreich, der Schweiz, den Niederlanden, Großbritannien, Hongkong und der Türkei betrieben. Für die Domainregistrierung wurden auffällig viele Adressen in Deutschland und Österreich genutzt – mit einer laut Kaspersky unerklärlichen Vorliebe für Wien.

Die Auswertung ergab weiterhin, dass überwiegend Systeme mit Windows 7 (50 Prozent) von Flame befallen waren, gefolgt von Windows XP (45 Prozent) und Vista (5 Prozent). Flame lief nicht auf Rechnern mit der 64-Bit-Version von Windows 7 – von Kaspersky als gute Lösung auch gegen Infektionen mit anderer Malware empfohlen.

Symantec ermittelte inzwischen, dass die Flame-Angreifer die Kontrolle über einige Server behielten. Ein Teil der kompromittierten Computer erhielt von diesen eine Datei namens “browse32.ocx”, von den Sicherheitsforschern als “Deinstallationsprogramm” bezeichnet. Das Flame-Modul enthält Anweisungen, um über 160 Dateien und vier Ordner zu entfernen. Es wurde erst wenige Wochen vor der Entdeckung von Flame geschrieben und kam zum Einsatz, obwohl die Malware bereits zuvor ein Löschmodul enthielt.

“Zuvor analysierter Flame-Code verriet uns eine Komponente namens SUICIDE, die funktional ähnlich wie browse32.ocx ist”, teilt Symantec mit. “Es ist nicht bekannt, warum die Malware-Autoren sich entschieden haben, nicht die Funktionalität von SUICIDE zu nutzen, und stattdessen Flame veranlassten, den Anweisungen eines neuen Moduls zu folgen.”

Ausgerechnet das Löschmodul soll jedoch einen Fehler haben und die temporäre Datei ~DEB93D.tmp zurücklassen. Nach einer Dokumentation (PDF) von CrySyS handelt es sich dabei um eine verschlüsselte Datei, die eine SQLite-Datenbank mit Einträgen aus der NetBIOS-Namenssuche enthält. Sie könnte den Sicherheitsforschern theoretisch weitere Hinweise auf infizierte Rechner geben.

[mit Material von Michael Lee, ZDNet Australia]