安全研究人員剖析最新發現的惡意軟件工具包“Flame”，認為這個惡意軟件是由國家資助的攻擊活動，并且可能是情報收集行動的一部分。

由卡巴斯基實驗室發現的Flame出現在黎巴嫩、敘利亞、蘇丹和以色列的個人用戶系統中?？ò退够芯咳藛T表示，這個惡意軟件大小為20兆，是非常復雜的惡意軟件，旨在從目標個人收集盡可能多的數據。該代碼庫與臭名昭著的Stuxnet蠕蟲病毒或Duqu木馬病毒不同，但是攻擊者的目標和技術有相似之處。

“雖然它的功能不同，但其目標的地理位置和高針對性，以及對特定軟件漏洞的使用，讓我們不得不聯想到最近由身份不明的肇事者在中東部署的‘超級武器’，”卡巴斯基實驗室首席安全專家Aleks Gostev在對Flame的分析中寫道，“Flame可以說是迄今為止發現的最復雜的威脅之一。它非常復雜，幾乎重新定義了網絡戰爭和網絡間諜的概念。”

Flame可以讓攻擊者記錄音頻和鍵盤輸入，竊取受害者機器上的文件和其他數據。同時，它還可以讓攻擊者直接控制，允許攻擊者添加新功能，刪除痕跡以逃避檢查?？ò退够赋?，從加密、插入功能以及編程語言來看，這個復雜的工具包是由資金充足的組織開發的。研究人員還沒有確定這個惡意軟件是如何傳播的，以及是否利用了任何零日漏洞。

匈牙利CrySyS實驗室的分析確定了這個Flame惡意軟件工具包可能早在2010年就已經被使用。CrySyS（稱這個惡意軟件為Skywiper）表示，可能不是同一個開發團隊，很可能是該組織聘請多個開發團隊來實現相同的目標。

美國公司面臨的風險

該惡意軟件極具針對性，研究人員表示，它可能是一個更廣泛的網絡戰爭的一部分，旨在感染少數個人系統。在伊朗檢測到不到200個感染系統，在中東和北非其他國家感染情況更少。

“當然，研究人員不得不承認這似乎是一個很有趣的惡意軟件，”Spire Security公司研究主管Pete Lindstrom表示，“首席信息安全官們應該從專業的水平來看這個有趣的惡意軟件。”

根據卡巴斯基實驗室表示，沒有跡象顯示受該惡意軟件感染的系統位于企業網絡。20兆的大小讓它很難在企業網絡中保持隱身狀態，Lindstrom表示，安全專業人員應該確定公司的安全軟件能否識別這個惡意軟件代碼。日志審查也將有助于找出惡意代碼。

Lidnstrom表示：“首席信息安全官應該仔細研究這個惡意軟件的特征，以判斷這種惡意軟件是否能夠感染他們的環境，以及他們應該如何應對這種攻擊。”

Circle Network Security公司安全操作主管Andrew Storms表示，從技術的角度來看，為了防止受惡意軟感染，需要進行很多反編譯和分析工作。從更廣泛的角度來看，這種威脅也表明首席信息安全官很難把握攻擊者。

Storms表示：“我們在這里看到的是一個重大轉變，曾經我們面對的是經典攻擊者，而現在越來越多的證據表明，我們面對的是受國家資助的惡意軟件和攻擊活動。”

積極的首席信息安全官們會將注意力放在Flame構成的任何威脅上，但是更重要的是，繼續注重基本安全措施，Storms表示，了解公司最重要的數據放在哪，知道誰能訪問這些數據，并開展企業安全防御和檢測。

“我覺得我們應該跳出網絡戰爭的想法，只是將它定義為企業面臨的風險，并確定潛在的威脅因素，”Storms表示，“這并不于網絡戰爭，而是知識產權，以及你應該采取怎樣的行動來保護會被偷走的資產。”