ESET wykrył kolejną wersję wipera. Niebezpieczny wirus usuwa dane

Trzeci "wiper” wykorzystywany do ataku na Ukrainę

Trzeci "wiper” wykorzystywany do ataku na Ukrainę, nazywany przez analityków firmy ESET „Caddy” został po raz pierwszy wykryty w poniedziałek, 14 marca o godzinie 9:38 czasu UTC. CaddyWiper niszczy dane użytkowników i informacje o partycjach z podłączonych dysków. Został zauważony na kilkudziesięciu systemach w ograniczonej liczbie organizacji. Produkty ESET wykrywają zagrożenie jako Win32/KillDisk.NCX.

CaddyWiper nie ma większych podobieństw w kodzie do HermeticWiper, ani do IsaacWiper — dwóch innych rodzin złośliwego oprogramowania usuwających dane na komputerach użytkowników, które zostały wykorzystane do ataku na ukraińskie organizacje, w ostatnim tygodniu lutego.

Podobnie jak w przypadku HermeticWiper istnieją dowody sugerujące, że twórcy stojący za CaddyWiper przed jego rozpowszechnieniem infiltrowali sieć będącą przedmiotem ataku — wyjaśnia Beniamin Szczepankiewicz, starszy analityk zagrożeń w firmie ESET.

Kolejna odmiana złośliwego oprogramowania

To już trzeci raz w ostatnich tygodniach, kiedy badacze ESET zaobserwowali na Ukrainie nieznaną wcześniej odmianę złośliwego oprogramowania do usuwania danych (wiper od ang. wipe – wycierać/zamazywać), co uniemożliwia normalne funkcjonowanie komputera.

W przeszłości do wrogich działań wykorzystywano również HermeticWizard, niestandardowego robaka komputerowego używanego do rozprzestrzeniania HermeticWiper w sieciach organizacji oraz HermeticRansom, którego celem było ukrycie działań realizowanych przez HermeticWiper.

Masz Netflix „na spółkę”, zapłacisz więcej. Współdzielenie konta dodatkowo płatne?Michał Górecki

Kalendarium działań cybernetycznych przeciwko Ukrainie:

23.02.2022

Cyberatak z wykorzystaniem złośliwego oprogramowania HermeticWiper, który uszkadza dane na dysku zainfekowanego komputera został przeprowadzony 23 lutego 2022 r. Atak był wymierzony w ukraińskie organizacje państwowe, kluczowe z punktu funkcjonowania kraju i o kilka godzin poprzedził rozpoczęcie inwazji sił Federacji Rosyjskiej. Ślady dotyczące złośliwego oprogramowania Wiper sugerują, że atak ten był planowany od kilku miesięcy.

24.02.2022

Rozpoczął się drugi atak na ukraińską sieć rządową, tym razem przy użyciu IsaacWiper. IsaacWiper występował jako biblioteka DLL systemu Windows lub plik wykonywalny EXE i nie posiadał podpisu Authenticode (weryfikującego autentyczność wydawcy aplikacji). IsaacWiper nie ma podobieństw w kodzie do HermeticWiper i jest znacznie mniej wyrafinowany. Biorąc pod uwagę oś czasu, możliwe jest, że oba są ze sobą powiązane, ale na ten moment nie zostało to potwierdzone.

Badacze ESET zaobserwowali również oprogramowanie ransomware, nazwane HermeticRansom, napisane w języku programowania Go i rozpowszechniane w tym samym czasie w ukraińskiej sieci. HermeticRansom został po raz pierwszy zgłoszony we wczesnych godzinach 24 lutego 2022 UTC na Twitterze.

25.02.2022

Pojawiła się nowa wersja IsaacWipera, która zapisywała efekty działania Wipera do dziennika logowania. Zdaniem ekspertów ESET zmiana może sugerować, że atakujący nie byli w stanie usunąć danych z niektórych zaatakowanych maszyn i dodali komunikaty dziennika, aby zrozumieć, dlaczego tak się dzieje. Odkryty został także robak używany do rozprzestrzeniania Wipera, na inne komputery połączone w sieci lokalnej.

14.03.2022

Odnotowano pojawienie się CaddyWiper.

Źródło: ESET.

Dziękujemy, że przeczytałaś/eś nasz artykuł do końca. Jeśli chcesz być na bieżąco z informacjami za zakresu bezpieczeństwa, zapraszamy do naszego serwisu ponownie!
Jeżeli podobał Ci się artykuł podziel się z innymi udostępniając go w mediach społecznościowych.