Den avancerede malware Flame er et glimrende eksempel på, at ondsindet software sagtens kan smutte mellem fingrene på alverdens antivirus-programmer, hvis bare bagmændene er dygtige nok.
Det mener den finske sikkerhedsekspert fra antivirus-firmaet F-Secure, Mikko Hyppönen, som i et blogindlæg hos teknologimagasinet Wired beskylder antivirus-branchen og sit eget firma for at have spillet fallit.
»Det betyder, at denne malware er sluppet forbi os alle i to år eller mere. Det er en kæmpe fiasko for vores firma, og for antivirus-branchen i sin helhed,« skriver Mikko Hyppönen.
Flame har formentlig eksisteret siden 2010, og den er i familie med de berygtede forgængere Stuxnet og Duqu. Den har primæt hærget i Mellemøsten, og F-Secure har registreret malwaren så langt tilbage som 2010 - dog uden at nogen alarmer er gået hos antivirus-firmaet.
Flame er i topklasse
Herhjemme påpeger F-Secures danske landechef, Michael Dahl, at malware som Flame tilhører en helt anden klasse end andre typer.
»Stuxnet, Duqu og Flame er angreb af en helt anden kaliber. Ressourcerne bag er så umådeligt store, og bagmændene har tid til at forfine deres angreb, så en sammenligning med almindelige varianter af malware vil svare til at sammenligne Real Madrid og et serie 2 hold fra Holbæk,« udtaler han i en pressemeddelelse.
Selvom Flame og lignende malware kan være umulig at fange for antivirus-programmer, betyder det ikke, at programmerne er helt uden virkning, siger landechefen:
»Jeg kan godt forstå, hvis forbrugerne bliver nervøse og tvivler på, om antivirus så overhovedet nytter noget, men her må jeg virkelig understrege, at det gør det! Danskerne bliver angrebet af tusindvis af vira hvert år og er heldigvis uvidende om langt de fleste angreb, fordi deres antivirus software blokerer dem.«
**Super-malware giver antivirus industrien baghjul**
Efter opdagelsen af den såkaldte super-virus Flame har flere antivirus leverandører konstateret, at de i flere år har ligget inde med eksemplarer af malwaren. Det er en stor fiasko for hele antivirus industrien, påpeger F-Secures Mikko Hyppönen i en kommentar i Wired. Der er dog ingen grund til at miste tiltroen til antivirus software, påpeger F-Secures danske landechef Michael Dahl. Avanceret super-malware udgør heldigvis kun en promille af al den malware, antivirus leverandørerne ser hvert år.
København, d. 7. juni 2012 – F-Secure har haft Flame-trojaneren i systemet siden 2010. Det viser ifølge Chief Research Officer Mikko Hyppönen, at antivirus industrien har fejlet – ikke mindst fordi det ikke er første gang, at uhyre komplekse malware varianter slipper under antivirus firmaernes radarer. Stuxnet og Duqu er andre super-vira, der de seneste år nok er blevet meldt gennem automatiske rapporterings-mekanismer, men som ikke er blevet markeret som noget, der skulle undersøges nærmere, fordi programmerne så harmløse ud. De tre super-vira var alle vedhæftet digitalt signerede komponenter, f.eks. var Flame signeret med falske Microsoft-certifikater, som får programmerne til at ligne troværdige applikationer, og helt uvant havde bagmændene ikke beskyttet deres super-malware med de typiske tricks i form af kompileringsprogrammer (pakkeprogrammer) til at mørklægge det kriminelle forehavende. I stedet var Flame f.eks. forklædt som uskyldig forretningsdatabase applikation med bl.a. SQLite, SSH og LUA biblioteker.
Stuxnet, Duqu og Flame er dog på ingen måde almindelig malware, understreger Hypponen. Der er kraftige indikationer på, at alle tre super-vira er udviklet af en vestlig efterretningstjeneste som en del af hemmelige operationer, der ikke skulle opdages. Og det faktum, at malwaren undgik antivirus leverandørerne, viser, hvor dygtige bagmændene er – men også, at forbrugerrettede antivirus produkter kommer til kort imod målrettet malware udviklet af nationalstater med enorme budgetter.
Ingen grund til at tvivle på antivirus
Ifølge F-Secures danske landechef, Michael Dahl, skal de nye opdagelser dog ikke få forbrugerne til at miste troen på, at det er muligt at beskytte sig imod ødelæggende malware. Michael Dahl påpeger, at Stuxnet, Duqu og Flame tilhører Champions League indenfor malware og derfor er en helt anden kaliber end de tusindvis af trojanere, e-mail orme og phishing-mails, som forbrugerne undgår hvert år.
”Jeg kan godt forstå, hvis forbrugerne bliver nervøse og tvivler på, om antivirus så overhovedet nytter noget, men her må jeg virkelig understrege, at det gør det! Danskerne bliver angrebet af tusindvis af vira hvert år og er heldigvis uvidende om langt de fleste angreb, fordi deres antivirus software blokerer dem. Stuxnet, Duqu og Flame er angreb af en helt anden kaliber. Ressourcerne bag er så umådeligt store, og bagmændene har tid til at forfine deres angreb, så en sammenligning med almindelige varianter af malware vil svare til at sammenligne Real Madrid og et serie 2 hold fra Holbæk. De her super-malware varianter er udviklet af bagmænd med penge, tid og kompetencer til først at gå på banen, når de er 100 pct. sikre på, at de vinder kampen i en given periode”, forklarer Michael Dahl.
Det er dog en stor udfordring for antivirus leverandørerne at udvikle våben mod de særligt avancerede angreb fra ressourcestærke nationalstater.
”De her super-vira er enormt komplekse. Bagmændene går rigtigt langt for at undgå at blive stoppet og tester bl.a. deres koder på aktuelle antivirus software på markedet for at undgå, at deres malware bliver blokeret. Det er en noget unfair kamp, når it-kriminelle har adgang til antivirus-industriens våben, og derfor erkender vi også, at der imellem er så avancerede angreb, at vi kommer på bagkant. Men balancen er hårfin, for antivirus software skal opspore alle potentielle angreb, men samtidig ikke give forbrugerne alle mulige falske alarmer. Vi justerer hele tiden denne balance, men det bedste forsvar er en beskyttelse i flere lag, der omfatter aktiv overvågning af trafikken ind og ud af netværket, sortlistning af kendt malware og et sporingssystem, der beskytter mod indtrængning i netværket. Et simpelt antivirus-program er ikke længere nok imod avanceret malware, desværre,” siger Michael Dahl.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
