Deux malwares, une même équipe ? La firme de sécurité russe Kaspersky vient de démontrer que Stuxnet et Flame avaient des points communs qui n’avaient pas été repérés lors des premières analyses. Kaspersky avait en effet indiqué qu’il s’agissait de deux projets parallèles, codés très différemment, qui ne semblaient donc pas avoir d’auteurs communs.
Mais après avoir étudié Flame, et en particulier un des nombreux modules de celui-ci avec attention, Kaspersky a revu son jugement et est désormais certain qu’il existe au moins un lien entre les créateurs de Stuxnet et de Flame.
Leur découverte concerne un bout de code spécifique de la première version de Stuxnet – qui remonte à 2009 : on y retrouve en effet un module baptisé « Resource 207 » qui a ensuite été fondu dans d’autres modules dans les versions suivantes du ver. « Resource 207 est un fichier DLL crypté, et cachant un exécutable nommé atmpsvcn.ocx […]. Ce fichier particulier […] présente de nombreux points communs avec le code utilisé dans Flame. Parmi ces ressemblances frappantes figurent des noms d’objets identiques, l’algorithme de décryptage employé ainsi que des méthodes similaires d’attribution des noms de fichiers », indique Kaspersky dans un communiqué.
Resource 207, un des modules de Flame
La firme précise que cette Resource 207 n’est ni plus ni moins qu’un des modules de Flame. Il sert à propager l’infection d’une machine à l’autre via une clé USB. C’était l’un des moyens de propagation principaux de Stuxnet et reposait à l’époque sur une faille zero-day, corrigée depuis par Microsoft.
D’après Kaspersky, cela prouve plusieurs choses. Non seulement que les auteurs de Stuxnet et de Flame sont liés : ils ont collaboré et partagé ce module précis. Mais cette découverte montre aussi que Flame est antérieur à Stuxnet, puisque Kaspersky estime la création de l’outil d’espionnage à l’été 2008, alors que Stuxnet a vu le jour en 2009. Les auteurs de Stuxnet auraient simplement récupéré un des modules de Flame pour améliorer la cyberarme destinée à frapper les installations nucléaires iraniennes.
Kaspersky indique toutefois que si les équipes ont partagé le code source d’un module, les deux codes malveillants demeurent très distincts dans leur programmation, ce qui signifierait qu’ils ont été programmés par des équipes différentes, se retrouvant ponctuellement pour partager certains de leurs programmes.
Ces révélations pourraient avoir des répercussions importantes sur le plan international : il y a quelques jours, le New York Times révélait que Stuxnet avait été développé sur ordre de l’administration Bush et qu’Israël avait contribué à sa conception.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
