Flame, un virus encore plus redoutable que Stuxnet et Duqu

Flame, un nouveau malware découvert par Kaspersky est opérationnel depuis au moins deux ans. Très sophistiqué, il est capable d’espionner un individu, une entreprise ou d’autres entités en dérobant plusieurs sortes de données informatiques.

Après les virus Stuxnet et Duqu, voici qu’une nouvelle arme de cyberguerre vient d’être découverte. Il s’agit du virus Flame, identifié par l’éditeur de logiciels de sécurité Kaspersky suite à une enquête lancée par l’Union internationale des télécommunications (UIT). Il a également été repéré sous les noms de SkyWiper par le Crysys (Laboratory of Cryptography and System Security) de l’université de Budapest et de Flamer par le Maher, le Computer Emergency Response Team iranien.

« La complexité et les fonctionnalités de cette nouvelle cybermenace dépassent celles de toutes les autres connues à ce jour », résume Kasperky. Flame est en effet capable de surveiller l’activité d’un réseau informatique, d’enregistrer des conversations en activant le microphone d’un ordinateur, d’effectuer des captures d’écran, de voler des fichiers, des listes de contacts et même de détecter l’ouverture de logiciels de courrier électronique ou de messagerie instantanée. « Flame embarque un grand nombre de librairies tierces [bibliothèques de fonctions écrites par d'autres, NDLR] pour fonctionner plus efficacement », a expliqué à Futura-Sciences William Pomian, responsable de la cellule veille et réponse incidents du groupe Lexsi qui compte parmi ses clients 75 % des entreprises du CAC 40. Il a également souligné le fait que ce virus est doté d’une fonction de désinstallation. « L’idée est de rester discret pour attaquer de façon très ciblée. »

Flame peut même accéder au module Bluetooth lorsqu’il est activé et collecter des informations sur les terminaux à proximité qui sont détectés par la machine infectée. « C’est un cheval de Troie qui a les fonctionnalités d’un ver, qui lui permettent de se répliquer dans un réseau local et sur des supports amovibles s’il en reçoit l’ordre de son maître. » Toutes les informations dérobées sont ensuite transmises aux centres de commande du virus via des serveurs disséminés un peu partout sur la planète. « En raison de son extrême complexité, ainsi que du caractère ciblé de ses attaques, aucun logiciel de sécurité ne l’avait détecté jusque-là. », ajoute Kaspersky.

Flame : actif depuis 2010, voire plus…

La première trace de Flame remonte à août 2010, mais Kaspersky estime qu’il pourrait être opérationnel depuis plus longtemps. Le virus est donc un redoutable espion qui sévit déjà dans plusieurs pays du Moyen-Orient (Arabie saoudite, Égypte, Iran, Israël, Liban, Soudan et la Syrie), dans la région de la Cisjordanie mais également en Russie, en Autriche, à Hong Kong et aux Émirats arabes unis selon les informations de l’éditeur Symantec. L’ampleur exacte de l’attaque semble encore assez floue. Mais Kaspersky parle de plusieurs milliers de victimes à travers le monde, qu’il s’agisse de particuliers, d’entreprises ou d’institutions. « Nombre d’entre elles semblent être ciblées pour leurs activités personnelles plutôt que pour celles de la société qui les emploie. Il est également intéressant de noter que, au-delà de sociétés spécifiques ciblées, de nombreux systèmes attaqués sont des ordinateurs utilisés à domicile et connectés à Internet », souligne Symantec dans un communiqué de presse.

Kaspersky décrit ce virus comme très complexe à analyser car il est beaucoup plus élaboré que Stuxnet et Duqu. Le code de Flame pèse 20 Mo, vingt fois plus que Stuxnet, et les chercheurs pensent qu’il leur faudra peut-être des années pour l’analyser. McAfee estime qu’il pourrait contenir au moins 750.000 lignes de code en langage C, soit la taille d'un bon logiciel.