Niebezpiecznik

Symantec zaobserwował na swoich honeypotach polecenia z serwerów C&C Flame’a, nakazujące robakowi odinstalowanie się z zarażonych hostów.

Flame próbuje się odinstalować

Na zarażone komputery wysyłany jest plik browse32.ocx, który w praktyce jest kolejnym modułem trojana — przypomnijmy, że Flame potrafi przechwycić Windows Update i za jego pomocą instaluje na zainfekowanym systemie dodatkowe oprogramowanie.

Plik browse32.ocx usuwa ponad 160 plików i cztery katalogi, próbując wymazać jakiekolwiek informacje o infekcji (aby utrudnić analizę powłamaniową, usuwane dane zostają nadpisane losowymi znakami).

Flame robak (fot. itp.net)

Z analizy wynika, że moduł powstał najprawdopodobniej 9 maja 2012, czyli kilka tygodni przed opublikowaniem informacji o Flame. Co ciekawe wcześniej trojan był już wyposażony w moduł autodestrukcji o nazwie SUICIDE i zbliżonym do browse32.ocx działaniu. Nie wiadomo czemu nie został on wykorzystany i twórcy zdecydowali się na stworzenie nowego modułu…

C&C Flame’a ciągle działają

Twórcy Flame’a ewidentnie próbują zatrzeć po sobie ślady. Można przypuszczać, że zależy im np. na ukryciu informacji jak wiele systemów zostało zainfekowanych. Warto również podkreślić, że wbrew początkowym informacjom iż wszystkie serwery C&C trojana zostały usunięte po ujawnieniu Flame’a, niektóre z nich ciągle działają. Wygląda na to, że twórcom Flame’a udało się utrzymać część kont wykorzystywanych do rejestracji domen pod serwery C&C…