Kaspersky: virus Stuxnet và Flame đều do một tổ chức chính phủ tài trợ

symphony

Well-Known Member
rabbani20120530095557060%252002.jpg



Sau khi lên tiếng xác nhận về việc phát hiện ra loại virus máy tính phức tạp nhất thế giới từ trước tới nay, mới đây hãng bảo mật danh tiếng Kaspersky lại tiếp tục khẳng định rằng Stuxnet và Flame đều có chung nguồn gốc là do một tổ chức chính phủ bảo trợ. (Stuxnet là virus đã tấn công vào các cơ sở hạt nhân của Iran)


"Trong tuần trước chúng tôi đã phát hiện ra phần mềm độc hại Flame. Những phân tích lúc đó cho thấy không có sự tương đồng với phong cách lập trình của nền tảng Tilded mà Stuxnet và Duqu từng sử dụng.

Flame và Tilded là hai dự án hoàn toàn khác nhau, dựa trên những kiến trúc khác nhau và có những đặc trưng riêng. Ví dụ, Flame không bao giờ sử dụng driver hệ thống, trong khi phương pháp chính của Stuxnet và Duqu là tải các mô-đun để tấn công thông qua lõi driver.

Nhưng, hóa ra chúng tôi đã sai khi nhận định Flame và Stuxnet là hai dự án hoàn toàn độc lập".


Giải thích lý do cho nhận định này, đại diện của Kaspersky đã giải thích ngắn gọn trên blog của mình rằng:

  • Thời gian Stuxnet được tạo ra (vào tháng Giêng-Tháng 6 năm 2009) tương đồng với thời gian tồn tại của Flame (khoảng năm 2008) và cả hai đều có cấu trúc mô-đun.
  • Mã của Stuxnet trong năm 2009 có một mô-đun của nền tảng Flame và hoạt động như một phần của Stuxnet.
  • Mô-đun này sau đó đã được gỡ bỏ ra khỏi Stuxnet vào năm 2010 do việc bổ sung một phương pháp tấn công mới (dựa vào lỗ hổng MS10-046) thay vì autorun.inf như cũ.
  • Mô-đun mà Flame lấy từ Stuxnet làm nhiệm vụ khai thác một lỗ hổng đã được biết vào thời điểm đó - lỗi Zero day. Điều này cho phép các hacker có thể leo thang đặc quyền bằng cách khai thác lỗ hổng MS09-025.

Trong năm 2009, một phần mã nguồn của Flame đã từng được sử dụng trong Stuxnet. Chúng tôi tin rằng mã nguồn đã được sử dụng, chứ không phải là các mô-đun nhị phân.

Năm 2010, hai nền tảng bắt đầu phát triển độc lập với nhau, mặc dù giữa chúng đã có một vài sự tương tác, ít nhất là ở mức độ khai thác các lỗ hổng tương tự.


Theo Securelist

<tbody>
</tbody>
 
Bên trên