赛门铁克安全响应团队于今日发布了名为《警惕Newsforyou！——恶意威胁Flamer（喷火器）命令与控制服务器技术分析》的白皮书，白皮书针对今年早些时候发生的W32.Flamer攻击所利用的两个命令与控制（C&C）服务器进行了详细分析。W32.Flamer是一种高级网络间谍工具，其主要攻击目标是中东地区。

　　据分析，W32.Flamer攻击所利用的两个命令与控制（C&C）服务器分别创建于2012年3月25日和2012年5月18日，在它们创建后很短的时间里，第一个与其交互而感染Flamer的计算机就出现了。在接下来的几周内，这两个服务器相继感染了至少几百台计算机。

　　虽然这两台服务器具有相同的控制框架，但它们的用途却有所不同。通过对创建于2012年3月份的服务器的分析显示，在一周多的时间里，它从被感染的计算机中共收集了近6GB的数据。与之相比，创建于2012年5月的服务器仅收集了75MB的数据，并且该服务器只是用于向被感染的计算机分发一个命令模块。

　　“命令与控制”通过一个名为Newsforyou的网络应用程序实现。该应用程序负责处理W32.Flamer客户端交互，并提供一个简单的控制面板，该控制面板允许攻击者向被感染的计算机上传代码数据包，也允许向受感染的计算机传输并下载包含被窃取客户端的数据包。据分析，这个应用程序并不只是被Flamer利用，它还能够通过不同协议与被多个其他恶意软件标识符感染的计算机进行交互。下表为不同恶意软件标识符与各种支持协议之间的关系。

客户端	内部ID	协议	威胁
CLIENT_TYPE_SP	1	PROTOCOL_OLD	未知
CLIENT_TYPE_SPE	2	PROTOCOL_OLD_E	未知
CLIENT_TYPE_FL	3	PROTOCOL_OLD	W32.Flamer
CLIENT_TYPE_IP	6	PROTOCOL_SIGNUP	未知
N/A	N/A	PROTOCOL_RED	未知

　　如上表所示，由该框架支撑的其他几种威胁目前仍然无法识别，它们很可能是Flamer的未知变体，或者也许是完全不同的恶意软件。

　　一旦被发现，这两个服务器就会被设置为只记录少量信息，系统会禁止任何不必要的日志记录事件，数据库中的记录也会定期删除。现有的日志文件也会定期地从服务器上安全删除。一旦第三方捕获该服务器，这些设置便可以干扰相关的调查。

　　但是，这些攻击者并不是无懈可击的，分析人员找到了显示服务器设置的完整历史文件。此外，数据库中一组有限的加密记录显示，被感染的计算机来自中东地区。我们还能确定4个作者的昵称分别为DXX、HXX、OXX和RXX，他们分别负责不同阶段的代码和整个项目的不同方面，记录显示，整个项目最早启动于2006年。

　　该框架的设置显示了各攻击者之间明确的分工——哪些负责设置服务器（管理员）、哪些是负责通过控制面板上载数据包和下载被窃取的数据（操作者）、哪些拥有私人密钥能够解码被窃取的数据（攻击者）。由于整个过程利用数据安全分割技术，并经过了精心的设计，操作者本身可能实际上并不十分清楚被窃取的数据的内容。这种结构可以反映出，这是一个有大量资金支持，且有组织的攻击行为。

图：各攻击者之间有明确的职责分工

　　尽管控制者试图在被第三方捕获该服务器时极力阻止相关信息泄露，我们还是能够确定，创建在2012年5月的服务器在2012年5月底发送了一个模块，命令Flamer“自杀”，也就是从计算机上将自己删除。通过被感染的蜜罐系统，我们发现了这一操作。

　　最后，控制面板需要一个散列（hash）存储的密码。尽管我们努力尝试将该散列变成纯文本，但最终还是不能确定该密码。如果谁能从以下散列中解压密码，请与赛门铁克公司联系：密码散列：27934e96d90d06818674b98bec7230fa

　　此次C&C服务器分析工作是由赛门铁克、CERT-Bund/BSI、IMPACT和卡巴斯基共同完成的。点击此处 了解赛门铁克对C&C服务器的完整分析报告，其中详细分析了：C&C服务器的设置情况、2006年起至少由4个作者开发的网络应用程序、操作者使用的控制面板，以及驱动该应用的数据库。