‘Flame’ da un paso más y falsifica credenciales de Microsoft

Flame, el malware más complejo que se haya descubierto, que está robando información a diestra y siniestra en los computadores de Irán, está empleando un algoritmo criptográfico. Una hazaña que le permitió, por medio de una supuesta actualización, hacer una falsificación de credenciales de Microsoft.

Los detalles de ese ataque de cifrado fueron publicados en un blog de Microsoft, el cual dejó al descubierto la sofisticación de Flame: “El malware utiliza un ataque de colisión criptográfica en combinación con los certificados de servidor de licencias, que hace firmar el código como si viniera directamente de Microsoft“, escribió Mike Reavey, director superior del Centro de Respuesta de Seguridad de Microsoft.

Por su parte, la firma de seguridad Kaspersky (que descubrió Flame) también presentó su diagnóstico del algoritmo. “Ahora podemos confirmar que esto es el propósito principal de dos módulos especiales de Flame, llamados ‘Gadget’ y ‘Munch’. Cuando una máquina intenta conectarse a Windows Update de Microsoft, Flame redirige la conexión a través de la máquina infectada y envía una actualización falsa“. La técnica de Flame permitió a los atacantes crear una certificación fraudulenta de Microsoft, que se utilizó para engañar a la gente en la instalación de varios módulos de software.

Lo que ellos hicieron fue aprovechar una vulnerabilidad de un algoritmo de cifrado viejo, logrando obtener que para dos documentos diferentes, se generara el mismo ‘hash’. Iván Vásquez, ingeniero de ENTER.CO explicó que “un hash es un identificador único que se genera para un documento específico. La idea es que si yo genero un hash de un documento de Word, y luego modifico ese documento y genero nuevamente el hash, este último debe ser diferente. Con un hash puedes verificar que un documento no ha sido modificado, pero si con dos documentos diferentes puedes obtener el mismo hash, se daña todo el sistema“.

Eso muestra que quien esté detrás del malware está usando una técnica que no es muy común por su dificultad, lo que es un síntoma de que los autores del malware tienen conocimientos y recursos  (de hecho se dice que probablemente es un Estado), porque se requiere de un alto poder de computación para lograr lo que han hecho.

Flame es mucho más sofisticado que Stuxnet, el malware desarrollado por Israel y Estados Unidos, que también atacó a computadores en Irán. Y de acuerdo con Kaspersky, esta ‘llama’ está específicamente interesada en robar información confidencial, archivos de Microsoft Office, PDF y softwares de diseño como AutoCad.