Flame

Logiciel malveillant détecté par le laboratoire d’Eugène Kaspersky le 28 mai 2012. Stuxnet étant encore dans tous les esprits, la comparaison est immédiate, Flame serait ainsi « vingt fois plus puissant que Stuxnet ». La découverte de cet outil résulte en fait d’une recherche liée à Wiper (un autre programme malveillant). Peu après sa découverte au mois d’avril, plusieurs pays du Moyen-Orient dont les installations pétrolières avaient été touchées sollicitent l’intervention de l’Union Internationale des Télécommunications (UIT), agence des Nations Unies. L’UIT mandate alors le laboratoire Kaspersky pour conduire une investigation numérique. Détecté au mois de mai 2012, ce cheval de Troie collecte des informations issues d’ordinateurs infectés de par le monde. L’attaque semble principalement viser le Moyen-Orient (des ordinateurs infectés ont été découverts en Iran, Israël, Syrie, Liban). Kaspersky ainsi que le laboratoire hongrois CrySys débutent alors les travaux qui aboutiront à la découverte de Flame. Beaucoup plus volumineux que Stuxnet*, Flame se révèle être une sorte de « couteau suisse » de l’espionnage numérique. Il est ainsi capable de collecter des données, de procéder à des enregistrements audios et vidéos, des captures d’écran, d’enregistrer les frappes clavier, le trafic réseau, de lire les courriers électroniques. Il disposait en outre d’une fonction permettant de corrompre des appareils dans le voisinage d’une station infectée par l’activation du système Bluetooth. Enfin, Flame est capable d’effacer la totalité des informations sur un disque dur. Espionnage donc, mais également sabotage. Les objectifs de l’attaque demeurent encore mal connus, il semble que le virus cherche essentiellement des fichiers AutoCAD, logiciel utilisé pour réaliser des plans et dessins industriels, des documents au format PDF ainsi que des fichiers texte. Le malware* semble actif depuis au moins 2007, soit 5 ans avant sa découverte. Le 6 juin 2012, moins d’un mois après la première détection « accidentelle » du virus, l’entreprise Symantec confirme avoir intercepté une commande particulière entre un serveur de commande et de contrôle (C&C) du virus et un système compromis. Cette commande (browse32.ocx) avait pour but d’effacer toute trace et toute preuve potentielle de l’existence du virus au sein du système cible. Un ordre d’autodestruction après nettoyage en quelque sorte. Comme Stuxnet* et Duqu*, Flame est associé à l’opération Olympic Games visant à réduire le potentiel nucléaire iranien. Ils feraient ainsi parti d’une vaste campagne de cyber-sabotage (la première du genre) soutenue par des actions d’espionnage numérique de longue haleine.