Il demone Flame, il falso aggiornamento

Leggenda

Scoperto nel maggio 2012 soprattutto in Iran e in Medio Oriente, era un enorme strumento di spionaggio modulare: registrava audio, schermate, tasti premuti e dati Bluetooth. Si diffondeva fingendosi Windows Update, grazie a un certificato Microsoft falsificato con una collisione MD5. Dopo la scoperta, i suoi operatori lo fecero autodistruggere.

Esorcismo

Si esorcizza abbandonando algoritmi crittografici deboli come MD5 e controllando da dove arrivano gli aggiornamenti. La revoca rapida dei certificati compromessi chiude la porta che usava.

Scheda tecnica

Noto anche come: Flamer, sKyWIper
Girone: V girone · Spionaggio di Stato
Prima apparizione: 2012
Stato: Dormiente
Armi (CVE sfruttati): San Stuxnet LNK
Opere: Il flagello della Fiamma

A large modular espionage toolkit publicly discovered in May 2012, mainly in Iran and the Middle East, able to record audio, screenshots, keystrokes and Bluetooth data. It spread through fake Windows Update using a forged Microsoft certificate created with an MD5 collision attack. Its operators sent a self-destruct command shortly after its exposure.

Fonti: attack.mitre.org · en.wikipedia.org · Riferimento MITRE ATT&CK S0143