Die Autoren der Malware Flame haben einen Schutzmechanismus eingebaut: Schon wenige Stunden nach den ersten Veröffentlichungen zu Flame begannen die Kommando- und Kontrollserver, vom Netz zu gehen. Flame war ursprünglich dafür konfiguriert, Verbindung zu diesen Servern aufzunehmen und von ihnen übermittelte Skripte abzuarbeiten. Ab dem 28. Mai wurden diese Anfragen jedoch mit den HTTP-Fehlercodes 403 und 404 beantwortet. Teilweise erhielten die Rechner noch ein Löschmodul, das alle Spuren von Flame beseitigen sollte.

Wie Kaspersky Labs berichtet, gelang es dennoch in Zusammenarbeit mit dem US-Domainregistrar GoDaddy sowie OpenDNS, die von Flame genutzten Domains zu ermitteln. Insgesamt registrierten die Hintermänner von Flame mit gefälschten Adressangaben mindestens 80 Domains, um sie für ihre Kommando- und Kontrollserver zu nutzen. Die Server liefen unter Ubuntu-Linux; sie standen etwa in Deutschland, dien Niederlanden, Großbritannien, der Schweiz, Hongkong und der Türkei. Für die Domainregistrierung wurden auffällig viele Adressen in Deutschland und Österreich genutzt – mit einer laut Kaspersky unerklärlichen Vorliebe für Wien.

Die Auswertung ergab weiterhin, dass überwiegend Systeme mit Windows 7 (50 Prozent) von Flame befallen waren, gefolgt von Windows XP (45 Prozent) und Vista (5 Prozent). Flame lief nicht auf Rechnern mit der 64-Bit-Version von Windows 7 – von Kaspersky als gute Lösung auch gegen Infektionen mit anderer Malware empfohlen.

Symantec hat inzwischen ermittelt, dass die Flame-Angreifer die Kontrolle über einige Server behielten. Ein Teil der kompromittierten Computer erhielt eine Datei namens „browse32.ocx“, von den Sicherheitsforschern als „Deinstallationsprogramm“ bezeichnet. Das Flame-Modul enthält Anweisungen, um über 160 Dateien und vier Ordner zu entfernen. Es wurde erst wenige Wochen vor der Entdeckung von Flame geschrieben und kam zum Einsatz, obwohl die Malware schon vorher ein Löschmodul enthielt.

„In zuvor analysiertem Flame-Code fanden wir eine Komponente namens SUICIDE, die ähnlich wie browse32.ocx funktioniert“, heißt es in einem Blogeintrag von Symantec. „Es ist nicht bekannt, warum die Malware-Autoren sich entschieden haben, nicht die Funktionalität von SUICIDE zu nutzen, und stattdessen Flame veranlassten, den Anweisungen eines neuen Moduls zu folgen.“

Ausgerechnet das Löschmodul soll jedoch einen Fehler haben und die temporäre Datei ~DEB93D.tmp zurücklassen. Nach einer Dokumentation (PDF) von CrySyS handelt es sich dabei um eine verschlüsselte Datei, die eine SQLite-Datenbank mit Einträgen aus der NetBIOS-Namenssuche enthält. Sie könnte den Sicherheitsforschern theoretisch weitere Hinweise auf infizierte Rechner geben.

[mit Material von Michael Lee, ZDNet Australia]

Hinweis: Artikel von ZDNet.de stehen auch in Google Currents zur Verfügung. Jetzt abonnieren.

ZDNet.de Redaktion

Recent Posts

Cyberkriminelle umgehen Sicherheitsvorkehrungen mit Powershell-Skripten

Nutzer werden per Social Engineering dazu verleitet, Schadcode in die Windows PowerShell einzugeben. Die Skripte…

18 Stunden ago

In 3 von 4 Büros wird noch gefaxt

Laut Bitkom-Umfrage faxt ein Viertel der Unternehmen häufig oder sehr häufig. Grund ist vor allem…

1 Tag ago

Salesforce baut KI-Angebot aus

Mehrere neue Copilot-Lösungen sollen Marketiers und Händlern helfen, ihre Kunden kanalübergreifend anzusprechen.

1 Tag ago

Fast jedes zweite Passwort in einer Minute knackbar

Dies zeigt eine Analyse von fast 200 Millionen Passwörtern, die der Security-Spezialist Kaspersky im Darknet…

1 Tag ago

DLL-Sideloading-Angriffe von Trojaner „Casbaneiro“

Neue ausgeklügelte Malware-/Trojaner-Angriff zielen auf Anmeldedaten und Kreditkarteninformationen von Zahlungssystemen, Banken und Krypto-Börsen ab.

2 Tagen ago

Hacker-Frühwarnsystem spürt gestohlene Darknet-Daten auf

Darknet-Monitor von itsmydata observiert das „dunkle Internet“ und schlägt bei Datendiebstahl Alarm.

2 Tagen ago