Weekendowa Lektura: odcinek 457 [2022-03-05]. Bierzcie i czytajcie

Wykrycie przez zespół ESET destrukcyjnego malware na maszynach należących do ukraińskich organizacji (są też doniesienia o atakach na systemy litewskie i łotewskie), na kilka godzin przed inwazją Rosji na Ukrainę, pokazuje, że dzieje się to, czego się przez lata spodziewano – regularny konflikt zbrojny został poprzedzony przez ataki cybernetyczne. Najpierw przez wielkoskalowy atak DDoS 15 lutego, który wyłączył szereg stron instytucji ukraińskich, w tym Ministerstwa Obrony Ukrainy, a później przez malware.

Malware, jaki zastosowano, nazwany przez researcherów HermeticWiper, różni się od typowego ransomware. Jego głównym i jedynym zadaniem jest niszczenie danych i unieruchamianie systemów – nie ma tutaj mowy o jakiejkolwiek próbie monetyzacji ataków.

Sama operacja prawdopodobnie była przygotowywana od bardzo dawna, certyfikat, którym podpisane były binaria, wystawiono już w kwietniu 2021, podszywając się pod niewielką cypryjską firmę tworzącą scenariusze gier. Udało się też ustalić, że najstarsze wersje malware pochodziły z października i grudnia 2021. Możliwe jednak, że sam certyfikat został kupiony na czarnym rynku przed atakami.

Do dnia dzisiejszego nie udało się ustalić także odpowiedzialnych za ataki – kod malware jest mocno unikalny i nie przypomina niczego wcześniej spotykanego. Natomiast w związku z korelacją czasową z agresją zbrojną można założyć, że mówimy tutaj o aktorach związanych z Rosją.

Jedynym pozytywem tej sytuacji jest fakt, że sam malware potrzebuje uprawnień użytkownika uprzywilejowanego (uruchamiany był na maszynach, do których atakujący uzyskali już wcześniej dostęp) oraz fakt że malware ten jest wykrywany już przez większość rozwiązań antywirusowych.

Marcin Klimowski
Malware Protection & Network Security Programme Architect, Standard Chartered

Więcej informacji na ten temat znajdziecie w technicznej części Weekendowej Lektury.