عام من هجمات المساحات في أوكرانيا

تقدم هذه المدونة نظرة عامة مجمعة على هجمات المساحات التخريبية التي لاحظناها في أوكرانيا منذ بداية عام 2022 ، قبل وقت قصير من بدء الغزو العسكري الروسي. تمكنا من أن ننسب غالبية هذه الهجمات إلى الديدان الرمليةبدرجات متفاوتة من الثقة. يتضمن التجميع الهجمات التي شاهدتها ESET ، بالإضافة إلى بعض الهجمات التي أبلغت عنها مصادر أخرى حسنة السمعة مثل CERT-UA و Microsoft و SentinelOne.

ملاحظة: يتم استخدام التواريخ التقريبية (~) عندما يكون التاريخ الدقيق للنشر غير مؤكد أو غير معروف. في بعض الحالات ، يتم استخدام تاريخ الاكتشاف أو (في حالة الاكتشافات غير التابعة لـ ESET) تاريخ نشر الهجوم.

قبل الغزو

من بين موجات عديدة من هجمات DDoS التي كانت تستهدف المؤسسات الأوكرانية في ذلك الوقت ، فإن ويسبرجيت تم ضرب البرامج الضارة في 14 كانون الثاني (يناير)^th، 2022. تنكر الممسحة كبرنامج فدية ، مرددة صدى NotPetya من يونيو 2017 - وهو تكتيك يمكن رؤيته أيضًا في الهجمات اللاحقة.

على 23 فبراير^rd، 2022 ، حملة مدمرة باستخدام ممسحة محكم استهدفت مئات الأنظمة في خمس منظمات أوكرانية على الأقل. تم رصد ممسحة البيانات هذه لأول مرة قبل الساعة 17:00 بالتوقيت المحلي (15:00 بالتوقيت العالمي): سبق الهجوم الإلكتروني ، بساعات قليلة فقط ، غزو قوات الاتحاد الروسي لأوكرانيا. إلى جانب HermeticWiper ، تم أيضًا نشر الفيروس المتنقل HermeticWizard و HermeticRansom faux ransomware في الحملة.

الغزو وموجة الربيع

على 24 فبراير^thفي عام 2022 ، مع ذوبان الجليد في أوكرانيا ، بدأ هجوم مدمر ثان على شبكة حكومية أوكرانية ، باستخدام ممسحة أطلقنا عليها اسم IsaacWiper.

أيضا في يوم الغزو ، أمطار حمضية استهدفت حملة المساحات أجهزة مودم Viasat KA-SAT ، مع انتشارها خارج أوكرانيا أيضًا.

ممسحة أخرى ، كشفت عنها Microsoft في البداية ، هي شفرة الصحراء، ورد أنه تم نشره في 1 مارس^st، 2022 ومرة ​​أخرى في حوالي 17 مارس^th، 2022. يشير التقرير نفسه أيضًا إلى الهجمات باستخدام مساحات من حملة Hermetic ، وهي HermeticWiper (تسميها Microsoft FoxBlade) في حوالي 10 مارس 2022 ، HermeticRansom (تسميها Microsoft SonicVote) حوالي 17 مارس^th، 2022 ، وهجوم حوالي 24 مارس^th، 2022 باستخدام كل من HermeticWiper و Hermetic Ransom.

أبلغ CERT-UA عن اكتشافه لـ صفر مزدوج ممسحة في 17 مارس^th، 2022.

في مارس شنومكس^th، 2022 ، اكتشف باحثو ESET هجومًا باستخدام CaddyWiper، والتي استهدفت بنكًا أوكرانيًا.

على 1 أبريل^st، 2022 ، اكتشفنا CaddyWiper مرة أخرى ، هذه المرة يتم تحميله بواسطة ملف ArguePatch مُحمل ، وهو عادةً ثنائي مُعدّل وشرعي يُستخدم لتحميل كود القشرة من ملف خارجي. اكتشفنا سيناريو مشابهًا في 16 مايو 2022 ، حيث اتخذت ArguePatch شكل تعديل ثنائي ESET.

اكتشفنا أيضًا ترادف ArguePatch-CaddyWiper في 8 أبريل^th، 2022 ، ربما في أكثر هجمات الدودة الرملية طموحًا منذ بداية الغزو: محاولتهم الفاشلة لتعطيل تدفق الكهرباء باستخدام Industroyer2. بالإضافة إلى ArguePatch و CaddyWiper ، في هذا الحادث ، اكتشفنا أيضًا مساحات لمنصات غير Windows: ORCSHRED و SOLOSHRED و AWFULSHRED. لمزيد من التفاصيل ، انظر إخطار بواسطة CERT-UA، ولنا مدونة WeLiveSecurity.

صيف أكثر هدوءًا

شهدت أشهر الصيف عددًا أقل من الاكتشافات لحملات المساحات الجديدة في أوكرانيا مقارنة بالأشهر السابقة ، ومع ذلك فقد حدثت عدة هجمات ملحوظة.

لقد عملنا مع CERT-UA في حالات نشر ArguePatch (و CaddyWiper) ضد المؤسسات الأوكرانية. وقع الحادث الأول في الأسبوع الذي يبدأ في 20 يونيو^th، 2022 ، وآخر في 23 يونيو^rd، 2022.

موجة الخريف

مع انخفاض درجات الحرارة استعدادًا لفصل الشتاء الشمالي ، في 3 أكتوبر^rd، 2022 اكتشفنا إصدارًا جديدًا من CaddyWiper تم نشره في أوكرانيا. على عكس المتغيرات المستخدمة سابقًا ، تم تجميع CaddyWiper هذه المرة على أنه ثنائي x64 Windows.

على 5 أكتوبر^th، 2022 ، حددنا إصدارًا جديدًا من HermeticWiper تم تحميله على VirusTotal. كانت وظيفة عينة HermeticWiper هذه هي نفسها كما في الحالات السابقة ، مع بعض التغييرات الطفيفة.

على 11 أكتوبر^thفي عام 2022 ، اكتشفنا استخدام Prestige ransomware ضد شركات الخدمات اللوجستية في أوكرانيا وبولندا. كانت هذه الحملة أيضا ذكرت من قبل مايكروسوفت.

في نفس اليوم ، حددنا أيضًا ممسحة غير معروفة سابقًا ، والتي أطلقنا عليها اسم NikoWiper. تم استخدام هذه الماسحة ضد شركة في قطاع الطاقة في أوكرانيا. يعتمد NikoWiper على ملف من SDelete أداة سطر أوامر Microsoft لحذف الملفات بأمان.

نوفمبر 11^th، 2022، نشرت CERT-UA مدونة حول هجوم باستخدام برنامج Somia faux ransomware.

نوفمبر 21^st، 2022 ، اكتشفنا في أوكرانيا برامج فدية جديدة مكتوبة في .NET أطلقنا عليها اسمًا رانسومبوغز. يحتوي برنامج الفدية على مراجع متعددة لفيلم Monsters، Inc. وقد لاحظنا أن مشغلي البرامج الضارة استخدموا نصوص POWERGAP النصية لنشر برنامج ترميز الملف هذا.

٢٨

في عام 2023 ، استمرت الهجمات التخريبية ضد المؤسسات الأوكرانية.

على 1 يناير^st، 2023 ، اكتشفنا إعدام من SDelete فائدة في موزع برامج أوكراني.

ووقع هجوم آخر باستخدام مساحات متعددة ، هذه المرة ضد وكالة أنباء أوكرانية ، في 17 يناير^th، 2023، وفقًا لـ CERT-UA. تم اكتشاف المساحات التالية في هذا الهجوم: CaddyWiper و ZeroWipe و SDelete و AwfulShred و BidSwipe. BidSwipe جدير بالملاحظة ، لأنه ممسحة FreeBSD OS.

على 25 يناير^th، 2023 ، اكتشفنا ممسحة جديدة ، مكتوبة في Go والتي قمنا بتسميتها SwiftSlicer، يجري نشرها ضد كيانات الحكومة المحلية الأوكرانية.

في جميع الحالات المذكورة أعلاه تقريبًا ، استخدمت Sandworm سياسة مجموعة Active Directory (T1484.001) لنشر الماسحات وبرامج الفدية الخاصة به ، وتحديدًا باستخدام البرنامج النصي POWERGAP.

وفي الختام

إن استخدام المساحات التخريبية - وحتى المساحات التي تتنكر في هيئة برامج الفدية - من قبل مجموعات APT الروسية ، وخاصة Sandworm ، ضد المنظمات الأوكرانية ليس بالأمر الجديد. منذ حوالي عام 2014 ، استخدمت BlackEnergy مكونات إضافية معطلة ؛ كانت ممسحة KillDisk قاسمًا مشتركًا في هجمات الديدان الرملية في الماضي ؛ وشنت المجموعة الفرعية Telebots العديد من هجمات المساحات ، وأشهرها NotPetya.

ومع ذلك ، كان تكثيف حملات المساحات منذ الغزو العسكري في فبراير 2022 غير مسبوق. على الجانب الإيجابي ، تم الكشف عن العديد من الهجمات وإحباطها. ومع ذلك ، فإننا نواصل مراقبة الوضع بيقظة ، حيث نتوقع استمرار الهجمات.

شركات النفط العالمية

ملفات

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• بلاتوبلوكشين. Web3 Metaverse Intelligence. تضخيم المعرفة. الوصول هنا.
• المصدر https://www.welivesecurity.com/2023/02/24/year-wiper-attacks-ukraine/