Flame puede desaparecer sin dejar ningún rastro

Los creadores de Flame, una amenaza de ciberespionaje, han ordenado a las máquinas infectadas que siguen bajo su control que descarguen y ejecuten un componente que está diseñado para eliminar todos los rastros del malware con el fin de impedir su análisis forense. Así lo aseguran, al menos, investigadores de la empresa de seguridad Symantec.

Flame tiene una característica incorporada conocida como Suicide que se puede utilizar para desinstalar el malware de las máquinas infectadas. Sin embargo, a finales de la semana pasada, los creadores de Flame decidieron distribuir un módulo diferente para infectar los ordenadores que están conectados a los servidores que permanecen bajo su control, explica Symantec en un post.

El módulo se ha denominado browse32.ocx, su versión más reciente fue creada a primeros de mayo y sus autores lo prefieren a Suicide porque además de localizar cada archivo de Flame en el disco y eliminarlo, sobrescribe el disco con caracteres aleatorios para impedir que se obtenga información sobre la infección.

Eliminar un archivo en Windows no garantiza que se eliminen todos los datos del disco físico, sino que sólo marca los sectores del disco duro ocupados por el archivo que están disponibles para que el sistema operativo los rescriba. Como no se puede predecir cuándo sobrescribirá esos sectores del disco duro, los datos se podrían recuperar durante un periodo de tiempo limitado.

Fue la empresa de seguridad rusa Kaspersky quien descubrió Flame la semana pasada mientras investigan una serie de incidentes de pérdidas de datos en Irán que podrían haber sido causados por un malware.