«Лаборатория Касперского» объявила об обнаружении miniFlame — небольшой и гибкой вредоносной программы, предназначенной для кражи данных и управления зараженными системами в ходе точечных атак, проводимых с целью кибершпионажа.

Прогамма miniFlame была обнаружена экспертами «Лаборатории Касперского» в ходе детального анализа вредоносных программ Flame и Gauss. В июле 2012 г. был выявлен дополнительный модуль Gauss под кодовым названием «John» и обнаружены ссылки на аналогичный модуль в конфигурационных файлах Flame. Последующий анализ серверов управления Flame, осуществленный в сентябре 2012 г., позволил прийти к заключению, что вновь обнаруженный модуль является в действительности отдельной вредоносной программой, несмотря на то, что он может работать совместно как с Gauss, так с Flame. На серверах управления Flame программа miniFlame значилась под кодовым названием SPE.

«Лаборатория Касперского» обнаружила шесть различных вариантов miniFlame, причем все датируются 2010-2011 годами. В то же время, анализ miniFlame указывает на еще более раннюю дату начала разработки — не позднее 2007 г., отметили в компании. Возможность использования miniFlame в качестве плагина как к Flame, так и к Gauss ясно указывает на взаимодействие между группами разработчиков, ответственных за создание этих вредоносных программ. «Поскольку связь между Flame и Stuxnet/Duqu уже установлена, можно сделать вывод, что все эти программы созданы на одной и той же “фабрике кибероружия”», — предположили эксперты.

Учитывая подтвержденную взаимосвязь между miniFlame, Flame и Gauss, вероятно, что miniFlame устанавливался на компьютерах, уже зараженных Flame или Gauss, говорится в сообщении «Лаборатории Касперского». Проникнув в систему, miniFlame выполняет функции бэкдора, позволяя оператору вредоносной программы получить с зараженной машины любой файл. В число дополнительных возможностей, связанных с кражей данных, входит создание снимков экрана зараженного компьютера при работе в отдельных программах и приложениях, таких как браузеры, программы Microsoft Office, Adobe Reader, сервисы мгновенного обмена сообщениями и FTP-клиенты. miniFlame передает украденные данные, соединившись со своим сервером управления (который может быть выделенным или общим с Flame). Кроме того, по запросу оператора сервера управления miniFlame на зараженную систему может быть загружен дополнительный модуль для кражи данных, заражающий USB-накопители и использующий их для хранения данных, собранных на зараженных машинах, в отсутствие интернет-соединения, пояснили в компании.

Как рассказал главный антивирусный эксперт «Лаборатории Касперского» Александр Гостев, «miniFlame представляет собой инструмент для проведения высокоточных атак. Вероятнее всего, это кибероружие с четко обозначенными целями, применяемое в ходе того, что можно назвать второй волной кибератаки. Вначале используется Flame или Gauss для заражения как можно большего числа жертв и сбора значительного объема информации. После этого собранные данные анализируются, определяются и идентифицируются потенциально интересные жертвы, и уже на их компьютерах устанавливается miniFlame для осуществления углубленной слежки и кибершпионажа. Обнаружение miniFlame дало нам дополнительные доказательства взаимодействия между создателями наиболее примечательных вредоносных программ, применяемых в качестве кибероружия: Stuxnet, Duqu, Flame и Gauss».