Noodpatch Microsoft voor Flame

Flame blijkt digitale certificaten van Microsoft te hebben vervalst waardoor deze malware op een groot aantal systemen verborgen kon blijven. Door gebruik te maken van een ouder cryptografie-algoritme is code zodanig gesigneerd dat het er op leek dat het software van Microsoft betrof in plaats van de malware. De Terminal Server Licensing Service (TSLS) van Microsoft werkt met dit oudere algoritme. Daarmee is het mogelijk remote desktop services te autoriseren.

Redactie AG ConnectMeer van deze auteur

Blokkeren

De patch die Microsoft heeft uitgebracht is voor alle versies van Windows. De patch zorgt ervoor dat beheerders de ongeautoriseerde certificaten kunnen blokkeren. De update zorgt er voor dat dit ook automatisch kan gebeuren. De TSLS kan bovendien geen certificaten meer uitgeven waarmee code gesigneerd kan worden.

Man-in-the-middle

Volgens beveiliger Kaspersky Labs werkt Flame met de module Gadget die andere systemen binnen een netwerk besmet waardoor het virus zich snel kan verspreiden. Daarnaast is er een module genaamd Munch die voor een man-in-the-middle-aanval zorgt bij een Windows-updatesessie. Daarbij wordt de machine van de gebruiker naar een nagemaakte update gestuurd die de malware bevat die door de certificaten van Microsoft geautoriseerd lijkt.