Rosjanie używają nowego oprogramowania do atakowania instalacji przemysłowych na Ukrainie

24 maja, 2022
ukraina_elektroania_atak

Zespół badawczy Eset dokonał kolejnego odkrycia w związku z wojną na Ukrainie. Nowa wersja ArguePatch to ewolucja złośliwego programu, który został wykorzystany podczas ataku Industroyer2, skupiającego się na zakłóceniu pracy instalacji przemysłowych w ukraińskich elektrowniach. Zmodyfikowana wersja programu została wykorzystana do uruchomienia CaddyWiper (zobacz szczegóły), programu usuwającego dane z dysków twardych.

Grupa Sandworm APT, znana jest też pod innymi nazwami:

  • Sandworm Team (opisana przez Trend Micro),
  • Iron Viking (SecureWorks),
  • Voodoo Bear (CrowdStrike),
  • Quedagh (F-Secure),
  • Noble (analiza FireEye).

Kalendarium działań cybernetycznych przeciwko Ukrainie

23.02.2022

Cyberatak z wykorzystaniem złośliwego oprogramowania HermeticWiper, które uszkadza dane na dysku zainfekowanego komputera, został przeprowadzony 23 lutego 2022 r. Atak był wymierzony w ukraińskie organizacje państwowe, kluczowe z punktu funkcjonowania kraju i o kilka godzin poprzedził rozpoczęcie inwazji sił Federacji Rosyjskiej. Ślady dotyczące złośliwego oprogramowania HermeticWiper sugerują, że atak ten był planowany od kilku miesięcy.

24.02.2022

Rozpoczął się drugi atak na ukraińską sieć rządową, tym razem przy użyciu IsaacWiper. IsaacWiper występował jako biblioteka DLL systemu Windows lub plik wykonywalny EXE i nie posiadał podpisu Authenticode (weryfikującego autentyczność wydawcy aplikacji). IsaacWiper nie ma podobieństw w kodzie do HermeticWiper i jest znacznie mniej wyrafinowany. Biorąc pod uwagę oś czasu, możliwe jest, że oba są ze sobą powiązane, ale na ten moment nie zostało to potwierdzone. 

Badacze ESET zaobserwowali również oprogramowanie ransomware, nazwane HermeticRansom (opracowano już dekryptor), napisane w języku programowania Go i rozpowszechniane w tym samym czasie w ukraińskiej sieci. HermeticRansom został po raz pierwszy zgłoszony we wczesnych godzinach 24 lutego 2022 UTC na Twitterze.

25.02.2022

Pojawiła się nowa wersja IsaacWipera, która zapisywała efekty działania Wipera do dziennika logowania. Zdaniem ekspertów ESET zmiana może sugerować, że atakujący nie byli w stanie usunąć danych z niektórych zaatakowanych maszyn i dodali komunikaty dziennika, aby zrozumieć, dlaczego tak się dzieje. Odkryty został także robak używany do rozprzestrzeniania Wipera, na inne komputery połączone w sieci lokalnej.

14.03.2022

Odnotowano pojawienie się CaddyWiper. Trzeci „wiper” wykorzystywany do cyberataku na Ukrainę. Oprogramowania usuwa dane, co uniemożliwia normalne funkcjonowanie komputera.

12.04.2022

Pojawienie się Industroyer2.

20.05.2022

Odkrycie nowej wersji programu ArguePatch, który został wykorzystany do uruchomienia CaddyWiper.

Czy ten artykuł był pomocny?

Oceniono: 3 razy

PODZIEL SIĘ:

guest
0 komentarzy
najstarszy
najnowszy oceniany
Inline Feedbacks
View all comments

Wyrażam zgodę na przesłanie oferty drogą telefoniczną przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

Wyrażam zgodę na przesłanie oferty drogą mailową przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

[ninja_tables id=”27481″]