上周末，網(wǎng)絡(luò)安全領(lǐng)域出現(xiàn)了一種新的超級(jí)蠕蟲(chóng)病毒，被稱(chēng)為Flame或sKyWIper。像Stuxnet和Duqu蠕蟲(chóng)病毒一樣，F(xiàn)lame病毒似乎瞄準(zhǔn)了中東國(guó)家地區(qū)。但是它對(duì)SCADA或ICS安全會(huì)造成哪些影響呢？
Courtesy：戴維·艾爾斯
Flame是蠕蟲(chóng)病毒？還是遠(yuǎn)程訪問(wèn)技術(shù)?都不是，F(xiàn)lame是一種超級(jí)惡意軟件！
首先，我們來(lái)了解一下Flame。Flame不僅僅只是一種典型的蠕蟲(chóng)病毒，它似乎是一種針對(duì)工業(yè)或政治間諜活動(dòng)而精心打造的攻擊工具包。卡巴斯基實(shí)驗(yàn)室的Aleks說(shuō)：“它比Duqu病毒復(fù)雜多了。可以看做是后門(mén)、木馬，而且有類(lèi)似蠕蟲(chóng)病毒的特征。Flame接受指令后，會(huì)在本地網(wǎng)絡(luò)和移動(dòng)介質(zhì)上進(jìn)行復(fù)制?！?/p>
目前，關(guān)于Flame的第一個(gè)不尋常之處就是其體積很大。典型的蠕蟲(chóng)病毒的大小是50K，而Flame是20M，將近普通蠕蟲(chóng)病毒大小的400倍。
Flame病毒如此大的原因在于Flame是一個(gè)竊取信息的多功能工具包，完全由它的主人重新配置新任務(wù)。根據(jù)crysys關(guān)于sKyWIper（又名Flame）的報(bào)告：
sKyWIper有非常先進(jìn)的功能用來(lái)竊取信息并進(jìn)行繁殖。攻擊者可以自由配置多種攻擊和繁殖方式。在收集信息方面，其它病毒從未像sKyWIper如此精細(xì)。為了實(shí)現(xiàn)目標(biāo)，F(xiàn)lame惡意軟件有可能利用計(jì)算機(jī)的所有功能，涵蓋了收集情報(bào)能采用的所有主要的可能途徑，包括鍵盤(pán)、屏幕、麥克風(fēng)、存儲(chǔ)設(shè)備、網(wǎng)絡(luò)、WIFI、藍(lán)牙、USB和系統(tǒng)進(jìn)程。
Flame能攔截能想到的一切東西，從此意義上說(shuō)，F(xiàn)lame可以說(shuō)是惡意軟件中的“瑞士軍刀”，但是，它并不是簡(jiǎn)單地拼湊現(xiàn)有的惡意代碼。Flame經(jīng)過(guò)了非常巧妙的精雕細(xì)琢。像Stuxnet一樣，它有多種傳播載體，——U盤(pán)、打印機(jī)共享和域控制器權(quán)限等。
圖1：Flame的感染途徑。來(lái)源：Securelist.com
Flame模塊化的體系結(jié)構(gòu)使它的創(chuàng)造者可以隨時(shí)大規(guī)模地更改其功能和行為。它還允許操作者使用復(fù)雜的腳本語(yǔ)言——Lua來(lái)管理其活動(dòng)。另外flame的代碼注入技術(shù)也是相當(dāng)驚人的。（如果你想了解更多信息，請(qǐng)查看文章最后的參考資料）。
誰(shuí)創(chuàng)造了Flame？
各大殺毒軟件公司分析Flame的所有報(bào)告均指出，F(xiàn)lame是由資金充足的專(zhuān)業(yè)團(tuán)隊(duì)所制造的。正如卡巴斯基實(shí)驗(yàn)室所說(shuō)：
“……從目標(biāo)的地理位置（中東某些國(guó)家），以及此次威脅的復(fù)雜性來(lái)看，毫無(wú)疑問(wèn)贊助該研究的是一個(gè)民族國(guó)家。”
圖2：受Flame攻擊的7大個(gè)國(guó)家。來(lái)源：Securelist.com
Flame對(duì)SCADA和ICS安全有哪些影響？
表面上，影響很小。按照目前的配置，很顯然Flame是一種信息竊取工具。沒(méi)有證據(jù)表明當(dāng)前其安裝了SCADA或ICS的相關(guān)模塊。
也就是說(shuō)，Symantec和其他公司報(bào)道稱(chēng)Flame和上個(gè)月伊朗石油部報(bào)告的影響其在哈格島終端設(shè)備的是同樣的蠕蟲(chóng)病毒。伊朗國(guó)家電腦緊急事故應(yīng)變（MAHER）也報(bào)道了伊朗境內(nèi)存在這種蠕蟲(chóng)病毒。
那么，所有這一切對(duì)控制工程師又意味著什么呢？好消息是，像Stuxnet一樣，F(xiàn)lame似乎有很強(qiáng)的針對(duì)性。像Duqu一樣，F(xiàn)lame只是竊取信息，并不損壞設(shè)備。但壞消息是，這種蠕蟲(chóng)病毒明確表明工業(yè)，尤其是能源行業(yè)，現(xiàn)在已經(jīng)成了有政府贊助且發(fā)展迅速的復(fù)雜惡意軟件的主要攻擊目標(biāo)。
關(guān)于這個(gè)最新的超級(jí)蠕蟲(chóng)病毒，你有什么看法？它的發(fā)現(xiàn)是否影響了你的安全策略？
相關(guān)鏈接
Securelist.com, Webpage: Flame: Bunny, Frog, Munch and BeetleJuice…
Securelist.com, Webpage: The Flame: Questions and Answers
Symantec, Webpage: Flamer: Highly Sophisticated and Discreet Threat Targets the Middle East
聯(lián)系客服
