Год атак wiper-мальвари в Украине

В этом посте мы собрали обзор деструктивных wiper-атак, которые мы наблюдали в Украине с начала 2022 года, незадолго до начала военного вторжения России. Большую часть этих атак мы смогли с уверенностью отнести к Sandworm. Подборка включает атаки, замеченные ESET, а также некоторые, о которых сообщили другие авторитетные источники, такие как CERT-UA, Microsoft и SentinelOne.

Примечание: Приблизительные даты (~) используются, когда точная дата развертывания неизвестна или неопределенна. В некоторых случаях используется дата обнаружения или (в случае обнаружений, не сделанных ESET) дата публикации информации об атаке.

До вторжения

Среди многочисленных волн DDoS-атак, которым в то время подвергались украинские учреждения, 14 января 2022 года ударил вредонос WhisperGate. Этот wiper маскировался под ransomware, что напоминало NotPetya в июне 2017 года – тактика, которая также использовалась в более поздних атаках.

23 февраля 2022 года деструктивная кампания с использованием HermeticWiper затронула сотни систем в по меньшей мере пяти украинских организациях. Этот дата-вайпер был впервые замечен незадолго до 17:00 по местному времени (15:00 UTC): кибератака произошла всего за несколько часов до вторжения войск Российской Федерации в Украину. Вместе с HermeticWiper в кампании также были развернуты червь HermeticWizard и псевдо-ransomware HermeticRansom.

Вторжение и весенняя волна

24 февраля 2022 года, когда украинская зима начала таять, началась вторая деструктивная атака на украинскую правительственную сеть с использованием вайпера, который мы назвали IsaacWiper.

Также в день вторжения кампания вайпера AcidRain нацелилась на модемы Viasat KA-SAT, затронув и территории за пределами Украины.

Еще один вайпер, первоначально раскрытый Microsoft, — DesertBlade, который, по сообщениям, был развернут 1 марта 2022 года и снова около 17 марта 2022 года. Тот же отчет упоминает атаки с использованием вайперов из кампании Hermetic, а именно HermeticWiper (Microsoft называет его FoxBlade) около 10 марта 2022 года, HermeticRansom (Microsoft называет его SonicVote) около 17 марта 2022 года, а также атаку около 24 марта 2022 года с использованием как HermeticWiper, так и HermeticRansom.

CERT-UA сообщил об обнаружении вайпера DoubleZero 17 марта 2022 года.

14 марта 2022 года исследователи ESET обнаружили атаку с использованием CaddyWiper, нацеленную на украинский банк.

1 апреля 2022 года мы снова обнаружили CaddyWiper, на этот раз загруженный лоадером ArguePatch, который обычно представляет собой модифицированный легитимный бинарник, используемый для загрузки shellcode из внешнего файла. Мы обнаружили похожий сценарий 16 мая 2022 года, когда ArguePatch принял форму модифицированного бинарника ESET.

Мы также обнаружили связку ArguePatch-CaddyWiper 8 апреля 2022 года, возможно, в рамках самых амбициозных атак Sandworm с начала вторжения: их неудачная попытка нарушить подачу электроэнергии с использованием Industroyer2. Помимо ArguePatch и CaddyWiper, в этом инциденте мы обнаружили вайперы для не-Windows платформ: ORCSHRED, SOLOSHRED и AWFULSHRED. Подробности см. в уведомлении CERT-UA и в нашем посте в WeLiveSecurity.

Более спокойное лето

Летние месяцы принесли меньше открытий новых wiper-кампаний в Украине по сравнению с предыдущими месяцами, однако произошло несколько заметных атак.

Мы сотрудничали с CERT-UA по случаям развертывания ArguePatch (и CaddyWiper) против украинских учреждений. Первый инцидент произошел на неделе, начинающейся 20 июня 2022 года, а второй – 23 июня 2022 года.

Осенняя волна

С понижением температуры в преддверии северной зимы, 3 октября 2022 года мы обнаружили новую версию CaddyWiper, развернутую в Украине. В отличие от ранее использовавшихся вариантов, на этот раз CaddyWiper был скомпилирован как 64-битный Windows-бинарник.

5 октября 2022 года мы идентифицировали новую версию HermeticWiper, загруженную на VirusTotal. Функциональность этого образца HermeticWiper была такой же, как и в предыдущих случаях, с небольшими изменениями.

11 октября 2022 года мы обнаружили развертывание Prestige ransomware против логистических компаний в Украине и Польше. Эта кампания также была зарегистрирована Microsoft.

В тот же день мы также идентифицировали ранее неизвестный вайпер, который мы назвали NikoWiper. Этот вайпер использовался против компании энергетического сектора в Украине. NikoWiper основан на SDelete – утилите командной строки Microsoft для безопасного удаления файлов.

11 ноября 2022 года CERT-UA опубликовал пост об атаке с использованием псевдо-ransomware Somnia.

21 ноября 2022 года мы обнаружили в Украине новый ransomware, написанный на .NET, который мы назвали RansomBoggs. Ransomware содержит несколько отсылок к фильму «Корпорация монстров». Мы наблюдали, что операторы вредоносного ПО использовали скрипты POWERGAP для развертывания этого файлокодера.

Январь 2023

В 2023 году деструктивные атаки на украинские учреждения продолжаются.

1 января 2023 года мы обнаружили выполнение утилиты SDelete у украинского реселлера программного обеспечения.

17 января 2023 года произошла еще одна атака с использованием нескольких вайперов, на этот раз против украинского новостного агентства, согласно CERT-UA. В этой атаке были обнаружены следующие вайперы: CaddyWiper, ZeroWipe, SDelete, AwfulShred и BidSwipe. BidSwipe заслуживает внимания, поскольку это вайпер для ОС FreeBSD.

25 января 2023 года мы обнаружили развертывание нового вайпера, написанного на Go и названного нами SwiftSlicer, против украинских органов местного самоуправления.

Практически во всех вышеупомянутых случаях Sandworm использовал групповые политики Active Directory (T1484.001) для развертывания своих вайперов и ransomware, в частности, используя скрипт POWERGAP.

Заключение

Использование деструктивных вайперов – и даже вайперов, маскирующихся под ransomware – российскими APT-группами, особенно Sandworm, против украинских организаций, не является чем-то новым. Примерно с 2014 года BlackEnergy использовал деструктивные плагины; wiper KillDisk был общим знаменателем в атаках Sandworm в прошлом; а подгруппа Telebots осуществила многочисленные wiper-атаки, наиболее печально известной из которых была NotPetya.

Однако активизация wiper-кампаний с момента военного вторжения в феврале 2022 года была беспрецедентной. Положительным моментом является то, что многие из этих атак были обнаружены и предотвращены. Тем не менее, мы продолжаем внимательно следить за ситуацией, поскольку ожидаем, что атаки будут продолжаться.

По любым вопросам, касающимся наших исследований, опубликованных на WeLiveSecurity, обращайтесь к нам по адресу threatintel@eset.com.

ESET Research также предлагает частные отчеты по APT-разведке и потоки данных. По любым вопросам, касающимся этой услуги, посетите страницу ESET Threat Intelligence.

IoC

Файлы

Читать полный анализ на WeLiveSecurity →