b'\n_START_ARTICLE_\nFlame (malware)\n_START_PARAGRAPH_\nFlame,\xe2\x80\x8b tambi\xc3\xa9n conocido como Flamer, sKyWIper,\xe2\x80\x8b y Skywiper,\xe2\x80\x8b es un malware modular descubierto en 2012\xe2\x80\x8b\xe2\x80\x8b que ataca ordenadores con el sistema operativo Microsoft Windows.\xe2\x80\x8b El programa se ha usado para llevar a cabo ataques de ciber espionaje en pa\xc3\xadses de Oriente Medio.\xe2\x80\x8b\xe2\x80\x8b\xe2\x80\x8b Su descubrimiento fue anunciado el 28 de mayo de 2012 por MAHER (el Equipo de Respuesta ante Emergencias Inform\xc3\xa1ticas de Ir\xc3\xa1n),\xe2\x80\x8b Kaspersky Lab\xe2\x80\x8b y el CrySyS Lab. de la Universidad de Tecnolog\xc3\xada y Econom\xc3\xada de Budapest.\xe2\x80\x8b Este \xc3\xbaltimo afirma que "sKyWIper es el malware m\xc3\xa1s sofisticado que hemos encontrado durante nuestros a\xc3\xb1os de trabajo, es el malware m\xc3\xa1s complejo que se ha encontrado".\xe2\x80\x8b_NEWLINE_Flame puede propagarse a otros sistemas a trav\xc3\xa9s de la red de \xc3\xa1rea local (LAN) y mediante memorias USB. Puede grabar audio, capturas de pantalla, pulsaciones de teclado y tr\xc3\xa1fico de red.\xe2\x80\x8b El programa tambi\xc3\xa9n graba conversaciones de Skype y puede controlar el Bluetooth para intentar obtener informaci\xc3\xb3n de los dispositivos Bluetooth cercanos.\xe2\x80\x8b Estos datos, junto con los documentos almacenados en el ordenador, son enviados a uno o varios servidores dispersos alrededor del mundo. Cuando termina, el programa se mantiene a la espera hasta que recibe nuevas instrucciones de esos servidores.\xe2\x80\x8b_NEWLINE_De acuerdo a las estimaciones de Kaspersky, Flame ha infectado aproximadamente 1.000 m\xc3\xa1quinas.\xe2\x80\x8b Entre las v\xc3\xadctimas se encuentran organizaciones gubernamentales, instituciones educativas y usuarios privados.\xe2\x80\x8b En mayo de 2012, los pa\xc3\xadses m\xc3\xa1s afectados son Ir\xc3\xa1n, Israel, Sud\xc3\xa1n, Siria, L\xc3\xadbano, Arabia Saud\xc3\xad y Egipto.\xe2\x80\x8b\xe2\x80\x8b\n_START_SECTION_\nHistoria\n_START_PARAGRAPH_\nFlame fue identificado en mayo de 2012 por Kaspersky Lab, MAHER (el Equipo de Respuesta ante Emergencias Inform\xc3\xa1ticas de Ir\xc3\xa1n) y el CrySyS Lab de la Universidad de Tecnolog\xc3\xada y Econom\xc3\xada de Budapest cuando la Uni\xc3\xb3n Internacional de Telecomunicaciones pidi\xc3\xb3 a Kaspersky Lab que investigara unos informes sobre un virus que estaba afectando a los ordenadores del Ministerio del Petr\xc3\xb3leo de Ir\xc3\xa1n.\xe2\x80\x8b Mientras Kaspersky investigaba, encontraron un hash MD5 y un nombre de archivo que solo aparec\xc3\xada en ordenadores de Oriente Medio. Despu\xc3\xa9s de descubrir m\xc3\xa1s piezas, los investigadores nombraron al programa como "Flame".\xe2\x80\x8b\n_START_SECTION_\nEspecificaciones\n_START_PARAGRAPH_\nEl malware tiene un tama\xc3\xb1o inusualmente grande de 20\xc2\xa0MB, est\xc3\xa1 escrito parcialmente en el lenguaje de programaci\xc3\xb3n interpretado Lua con c\xc3\xb3digo C++ compilado y permite que otros m\xc3\xb3dulos atacantes sean cargados despu\xc3\xa9s de la infecci\xc3\xb3n inicial.\xe2\x80\x8b\xe2\x80\x8b El malware usa cinco m\xc3\xa9todos diferentes de cifrado y una base de datos SQLite para almacenar informaci\xc3\xb3n.\xe2\x80\x8b El m\xc3\xa9todo usado para inyectar el c\xc3\xb3digo en varios procesos es silencioso, de forma que los m\xc3\xb3dulos malware no aparecen en la lista de los m\xc3\xb3dulos cargados en un proceso y las p\xc3\xa1ginas de memoria son protegidas con los permisos READ, WRITE y EXECUTE que la hacen inaccesible para las aplicaciones en modo usuario.\xe2\x80\x8b El c\xc3\xb3digo interno tiene pocas similitudes con otros malware, pero aprovecha dos vulnerabilidades que tambi\xc3\xa9n fueron usadas previamente por Stuxnet para infectar sistemas.\xe2\x80\x8b El malware determina qu\xc3\xa9 software antivirus est\xc3\xa1 instalado en el sistema y modifica su comportamiento (por ejemplo, cambiando la extensi\xc3\xb3n de archivo que utiliza) para reducir la probabilidad de ser detectado por ese software.\xe2\x80\x8b Indicadores adicionales de que un sistema est\xc3\xa1 infectado son la exclusi\xc3\xb3n mutua (mutex) y la actividad del registro. Tambi\xc3\xa9n la instalaci\xc3\xb3n de un driver de audio falso que permite al software iniciarse al arrancar el sistema.\xe2\x80\x8b\n_START_SECTION_\nUso\n_START_PARAGRAPH_\nAl igual que otras ciber-armas conocidas, Stuxnet y Duqu, Flame se emplea en objetivos concretos y puede eludir el software de seguridad actual a trav\xc3\xa9s de un rootkit._NEWLINE_Flame puede propagarse a otros sistemas a trav\xc3\xa9s de la red de \xc3\xa1rea local (LAN) y mediante memorias USB. Puede grabar audio, capturas de pantalla, pulsaciones de teclado y tr\xc3\xa1fico de red.\xe2\x80\x8b El programa tambi\xc3\xa9n graba conversaciones de Skype y puede controlar el Bluetooth para intentar obtener informaci\xc3\xb3n de los dispositivos bluetooth cercanos.\xe2\x80\x8b Estos datos, junto con los documentos almacenados en el ordenador, son enviados a uno o varios servidores dispersos alrededor del mundo. Cuando termina, el programa se mantiene a la espera hasta que recibe nuevas instrucciones de esos servidores.\xe2\x80\x8b_NEWLINE_A diferencia de Stuxnet, el cual fue dise\xc3\xb1ado para da\xc3\xb1ar procesos industriales, Flame parece haber sido escrito solo con prop\xc3\xb3sitos de espionaje.\xe2\x80\x8b No parece dirigirse a un sector determinado, sino que m\xc3\xa1s bien es "un conjunto de herramientas dise\xc3\xb1adas para el ciber-espionaje"._NEWLINE_\xe2\x80\x8b_NEWLINE_Flame no contiene una fecha predefinida en la cual se desactiva, pero permite a los operadores enviar un comando "kill" que elimina todos sus rastros de un sistema.\xe2\x80\x8b\n_START_SECTION_\nEspeculaci\xc3\xb3n sobre su origen\n_START_PARAGRAPH_\nSeg\xc3\xban Eugene Kaspersky, "la ubicaci\xc3\xb3n geogr\xc3\xa1fica de los objetivos y la complejidad de la amenaza no dejan dudas acerca de que existe un estado-naci\xc3\xb3n apoyando el desarrollo de este malware."\xe2\x80\x8b Tambi\xc3\xa9n a\xc3\xb1ade que este malware no se parece a Stuxnet, pero puede haber sido un proyecto paralelo solicitado por los mismos atacantes.\xe2\x80\x8b_NEWLINE_El Equipo de Respuesta ante Emergencias Inform\xc3\xa1ticas de Ir\xc3\xa1n afirma que el cifrado del malware tiene "un patr\xc3\xb3n especial que solo se ve procedente de Israel."\xe2\x80\x8b The Daily Telegraph inform\xc3\xb3 que debido a los aparentes objetivos, los cuales incluyen a Ir\xc3\xa1n, Siria y Cisjordania, Israel se convirti\xc3\xb3 en "sospechoso de los comentaristas principales". Otros comentaristas nombraron a China y EE. UU. como posibles autores.\xe2\x80\x8b Richard Silverstein, un comentarista cr\xc3\xadtico con las pol\xc3\xadticas de Israel, declar\xc3\xb3 que \xc3\xa9l hab\xc3\xada confirmado con una "fuente israel\xc3\xad de alto rango" que el malware fue creado por expertos inform\xc3\xa1ticos de Israel.\xe2\x80\x8b\xe2\x80\x8b The Jerusalem Post escribi\xc3\xb3 que el Viceprimer Ministro israel\xc3\xad Moshe Ya\'alon parece haber dado a entender que su gobierno fue el responsable,\xe2\x80\x8b mientras que funcionarios de seguridad de Israel se\xc3\xb1alaron que las m\xc3\xa1quinas infectadas en Israel son una prueba de que EE. UU. est\xc3\xa1 detr\xc3\xa1s del malware.\xe2\x80\x8b_NEWLINE_Una red de 80 servidores a lo largo de Asia, Europa y Am\xc3\xa9rica del Norte han sido usados para acceder a las m\xc3\xa1quinas infectadas de forma remota.\xe2\x80\x8b'