火焰病毒

定义

火焰病毒是一类以窃取情报为目的的模块化恶意程序,由卡巴斯基实验室以 Worm.Win32.Flame 的名称检出,同一样本在不同厂商处也被称作 Flamer、sKyWIper 或 Skywiper。

它同时具备后门程序、木马与蠕虫的行为特征:能在操控者指令下自我复制,也能在局域网内横向扩散。^[3] 与传统病毒不同,它并不以破坏终端系统为目标,而是长时间潜伏并持续回传所收集的数据。^[3]

按卡巴斯基实验室的说法,该程序的复杂度与功能超过当时已知的其他恶意软件,因此被视为一类新型网络攻击工具的样本。^[1]

原理

火焰病毒采用模块化架构:初始感染只植入一个较小的加载器,之后由操控者按需下发功能模块,包括键盘记录、屏幕截屏、音频录制、网络流量监听与文件窃取等。^[1] 全部模块展开后体积约 20MB,内含约 20 个插件式组件,并打包了 zlib、libbz2、ppmd 等压缩库、SQLite 数据库引擎与 Lua 虚拟机。^[4]

该程序部分用 Lua 脚本编写,再链接编译好的 C++ 代码,使开发者可以在不重新编译主体的前提下更新功能;收集到的信息以结构化形式存入本地数据库,并采用多种加密算法保护传输内容。^[5]

在隐蔽性方面,它把自身注入其他进程,并将相关内存页设为用户态程序不可读、不可写、不可执行,所以在常规进程模块列表中难以被看到;它还会先判断目标机上安装的安全软件,再调整文件扩展名等行为以降低被检出的概率。^[5] 传播上,它复用震网病毒(Stuxnet)使用过的两个漏洞(打印后台程序与快捷方式解析漏洞),可在局域网内扩散,也可通过 U 盘等移动介质进入隔离网络。^[1]

其最受关注的技术手段是代码签名伪造。攻击者找到微软终端服务授权体系中一张本不应用于代码签名、仍使用 MD5 哈希的证书,借助 MD5 碰撞构造出与原证书校验值相同的伪造证书,再用它为组件签名,使恶意代码在系统中被当作微软签发的程序。^[6] 微软说明,对 Windows Vista 及更高版本的系统,这一手法需同时具备失效证书和完成 MD5 碰撞的能力,并通过中间人方式利用 Windows Update 通道投递已签名程序。^[7]

发展历程

2012 年 5 月 28 日,卡巴斯基实验室与国际电信联盟(ITU)公布发现该恶意程序。此前 ITU 委托其调查西亞地区多台计算机数据被删除的事件,调查代号为 Wiper 的破坏性程序时,研究人员发现了这一新样本。^[1] 同日,伊朗国家计算机应急响应小组与布达佩斯技术与经济大学的 CrySyS 实验室也公布了相关分析。^[8]

关于起始时间,卡巴斯基初步判断该程序至少在 2010 年 3 月已在外活动;样本模块的创建时间被刻意改为 1990 年代,无法据此直接判定生成日期。^[1] 后续对命令控制服务器的分析显示,攻击活动可追溯至 2006 年 12 月,参与开发的至少有 4 人。^[9]

2012 年 6 月 3 日,微软发布安全公告 2718704,将终端服务授权体系中的 3 张证书列入不受信任列表,并随后加固 Windows Update 的签名校验与通信通道。^[2] 同月,赛门铁克报告部分命令控制服务器向受感染主机下发清除指令,删除了程序本体及相关文件。^[8]

2019 年,研究人员报告发现被称为 Flame 2.0 的新样本,其文件时间戳被改动以伪装成清除指令之前生成,但编译错误暴露了约 2014 年的真实编译时间,新版本还加入了新的加密与混淆机制。^[8]

应用

火焰病毒的实际用途是长期情报收集,而非破坏工业流程。感染后它可记录键盘输入与屏幕画面、采集音频、截获网络流量,并读取本地文档与通讯记录,再回传至分布在不同地区的命令控制服务器。^[1] 部分组件还能记录即时通讯软件的语音内容,并将受感染主机变为蓝牙信标,尝试从附近蓝牙设备中获取联系人信息。^[8]

卡巴斯基 2012 年 5 月的统计显示,初期感染约 1000 台主机,受害者包括政府机构、教育机构与个人,绝大多数目标位于伊朗,另有以色列、巴勒斯坦、苏丹、叙利亚、黎巴嫩、沙特阿拉伯与埃及等地。^[8] 通过沉洞技术分析,研究人员认为攻击者重点搜寻的是 AutoCAD 图纸、PDF 与文本文件等资料。^[8]

中国安全厂商在 2012 年依据公开资料回溯样本后表示,所收集的样本中感染量为 0,并分析称其组件主要针对国外安全软件,攻击目标不在中国;同期国内机构也提醒涉密网络与局域网需加强介质使用与程序运行管理。^[10]

局限

火焰病毒并非通用型攻击工具。其攻击范围狭窄,主要针对特定机构与企业网络,既未用于窃取银行账号,也有别于常见的黑客工具,因此在普通个人设备上的实际影响有限。^[3]

在传播环节,它没有合适的数字签名时容易被网关类安全设备拦截;已有分析指出,其使用的漏洞均为已知漏洞而非零日漏洞,目标及时安装补丁即可封堵相应入口。^[11]

该程序对操控者高度依赖:功能模块需要由服务器下发才能扩展,一旦命令控制服务器被切断或关闭,受感染主机便无法获得新指令;服务器还可下发清除指令删除全部痕迹,这使事后取证与影响范围评估变得困难。^[12] 卡巴斯基亦指出,由于其规模庞大、结构复杂,完整分析可能需要数年时间,公开披露时对其全貌的了解仍然有限。^[1]

参见

• 震网病毒(Stuxnet) —— 更早被发现、用于破坏工业控制流程的蠕虫,与火焰病毒共享部分漏洞与传播代码。

• 毒区病毒(Duqu) —— 以情报收集为目的的恶意程序,常与震网病毒并称为早期网络攻击工具。

• 卡巴斯基实验室 —— 检出并命名 Flame 的安全厂商。

• 国际电信联盟 —— 委托开展相关调查并发布警告的联合国机构。

• 数字证书 —— 火焰病毒借助伪造证书绕过代码签名信任机制的关键环节。

• MD5 —— 存在碰撞弱点的哈希算法,是该证书伪造得以实现的技术前提。