Kaspersky Lab wspólnie z organizacjami IMPACT Alliance Telecommunication Union, CERT-Bund/BSI oraz Symantec szczegółowo przeanalizowano wiele serwerów kontroli wykorzystywanych przez twórców Flame'a - zaawansowanej, sponsorowanej przez rząd kampanii cyberszpiegowskiej. Analiza ujawniła nowe, przełomowe fakty na temat tej cyberbroni. W szczególności, znaleziono ślady trzech niezidentyfikowanych jeszcze szkodliwych programów i odkryto, że platforma Flame'a istnieje już od 2006 r.
Kampania cyberszpiegowska o nazwie Flame została po raz pierwszy wykryta przez Kaspersky Lab w maju 2012 r. podczas dochodzenia zainicjowanego przez International Communication Unit (ICU). Złożoność kodu oraz potwierdzone związki z twórcami Stuxneta sugerują, że Flame jest kolejnym przykładem zaawansowanego, sponsorowanego przez rząd cyberprojektu. Początkowo szacowano, że Flame zaczął działać w 2010 r., jednak po pierwszej analizie infrastruktury przygotowanej przez cyberprzestępców (składającej się z co najmniej 80 znanych nazw domen) datę tę przesunięto o dwa lata wcześniej.
Wyniki ostatniego dochodzenia opierają się na analizie zawartości uzyskanej z kilku serwerów kontroli wykorzystywanych przez Flame'a. Informacje te zdobyto, mimo że infrastruktura Flame'a została wyłączona natychmiast po wykryciu przez Kaspersky Lab istnienia tego szkodliwego oprogramowania. Wszystkie serwery działały pod kontrolą 64-bitowej wersji zwirtualizowanego systemu operacyjnego Debian. Większość kodu serwerów została napisana w języku programowania PHP. W celu odwrócenia uwagi dostawców usług hostingowych twórcy Flame'a postarali się, przy użyciu pewnych metod, aby serwery wyglądały jak zwykłe systemy zarządzania zawartością (CMS).
Zastosowano zaawansowane metody szyfrowania, dzięki czemu nikt poza atakującymi nie mógł uzyskać danych przesłanych z zainfekowanych maszyn. Analiza skryptów wykorzystywanych do obsługi transmisji danych ujawniła cztery protokoły komunikacji, z których tylko jeden był kompatybilny z Flamem. To oznacza, że te serwery kontroli były wykorzystywane przez co najmniej trzy inne rodzaje szkodliwego oprogramowania. Istnieją wystarczające dowody na to, że na wolności działa przynajmniej jeden szkodliwy program związany z Flamem. Te nieznane szkodliwe programy nie zostały jeszcze wykryte.
Kolejnym istotnym ustaleniem analizy jest to, że platforma kontroli Flame'a powstawała już od grudnia 2006 r. Istnieją wskazówki sugerujące, że platforma ta nadal jest rozwijana, ponieważ na serwerach znaleziono nowy protokół o nazwie "Red Protocol", który nie został jeszcze stworzony. Ostatnia modyfikacja kodu serwerów została dokonana 18 maja 2012 r.
