Rusia usa malware nunca antes visto

Junto con sus ataques físico sobre el país, Rusia está comprometida en un verdadero guerra cibernética contra Ucrania. El país parece haber preparado bien su guerra híbrido de antemano, como lo demuestra el uso del nuevo malware "limpiador". Fue informado por investigadores de ciberseguridad de Symantec y ESET, y se denominó HermeticWiper o troyanos.Killdisk.

La intención esta vez no es interrumpir temporalmente ciertos servicios, ni desinformar, sino la destrucción de datos. un limpiaparabrisas es un tipo especial de malware cuya única función es borrar el contenido del Disco duroborrando los datos y dañando el Sistema operativo. Por lo tanto, el dispositivo ya no podrá iniciarse sin una reinstalación completa. El malware se dirige principalmente a las instituciones financieras, así como a las empresas que trabajan para el gobierno. Sin embargo, no solo apunta a objetivos en Ucrania. Organizaciones en Letonia y Lituania también fueron víctimas del limpiaparabrisas.

Un ataque que se dirige a las redes informáticas de las organizaciones.

HermeticWiper se llamó así porque su archivo ejecutable está firmado por un certificado asignado a Hermetica Digital limitado. Los especialistas aún están analizando el programa, pero pudieron determinar que utiliza un controlador firmado por un certificado de la software EaseUS Dividir Maestro instalado como un servicio de Windows. los malware entonces corromperá los archivos en el disco duro y dañará la tabla de particiones y el Registro de arranque principal (MBR), el área de arranque del disco duro. El último paso es reiniciar la máquina que no podrá iniciar.

En al menos uno de los ataques, los piratas informáticos no se dirigieron a computadoras individuales. Utilizaron directamente el controlador de dominio para distribuir el malware. " En una de las organizaciones objetivo, el limpiador se instaló a través de la GPO (política de dominio) predeterminada, lo que significa que los atacantes probablemente habían tomado el control del servidor de Active Directory. ESET afirmó en una serie de tweets.

Una ofensiva preparada de antemano

Los autores del malware parecen haber estado planeando su ataque durante meses. La fecha de compilación de una de las muestras de malware es el 28 de diciembre de 2021. Sin embargo, HermeticWiper atacó a una organización en Lituania el martes 22 de febrero, y parece que el terreno se preparó con mucha anticipación. Los primeros rastros de infiltración en su red datan del 12 de noviembre de 2021, pero no se tomó ninguna medida durante varios meses hasta que se instaló el malware.

Otra peculiaridad de este ataque es que un ransomware (o Secuestro de datos) se desplegó en paralelo, presumiblemente para crear una distracción y ocultar mejor el limpiaparabrisas. Esta es la misma estrategia del atentado de enero, bautizado SusurroPuerta, que también intentó ocultar malware tipo limpiaparabrisas detrás del ransomware. Este nuevo limpiaparabrisas, sin embargo, fue diseñado para ser mucho más devastador.