Το Russian APT κυκλοφορεί πιο θανατηφόρα παραλλαγή του κακόβουλου λογισμικού AcidRain Wiper

Το Russian APT κυκλοφορεί πιο θανατηφόρα παραλλαγή του κακόβουλου λογισμικού AcidRain Wiper

Χρονική σήμανση: 22 Μαρτίου 2024 5:58 μ.μ.
Το Russian APT κυκλοφορεί πιο θανατηφόρα παραλλαγή του κακόβουλου λογισμικού AcidRain Wiper PlatoBlockchain Data Intelligence. Κάθετη αναζήτηση. Ολα συμπεριλαμβάνονται.

Οι ερευνητές ανακάλυψαν μια πιο επικίνδυνη και παραγωγική έκδοση του κακόβουλου λογισμικού υαλοκαθαριστήρα που χρησιμοποιήθηκε από τη ρωσική στρατιωτική υπηρεσία πληροφοριών για τη διακοπή της δορυφορικής ευρυζωνικής υπηρεσίας στην Ουκρανία λίγο πριν από την εισβολή της Ρωσίας στη χώρα τον Φεβρουάριο του 2022.

Η νέα παραλλαγή, "Acid Pour,Έχει πολλαπλές ομοιότητες με τον προκάτοχό του, αλλά έχει μεταγλωττιστεί για αρχιτεκτονική X86, σε αντίθεση με το AcidRain που στόχευε συστήματα που βασίζονται σε MIPS. Ο νέος υαλοκαθαριστήρας περιλαμβάνει επίσης χαρακτηριστικά για τη χρήση του έναντι ενός σημαντικά ευρύτερου φάσματος στόχων από το AcidRain, σύμφωνα με ερευνητές της SentinelOne που ανακάλυψαν την απειλή.

Ευρύτερες Καταστροφικές Ικανότητες

«Οι διευρυμένες καταστροφικές δυνατότητες του AcidPour περιλαμβάνουν τη λογική Linux Unsorted Block Image (UBI) και Device Mapper (DM), η οποία επηρεάζει συσκευές χειρός, IoT, δικτύωση ή, σε ορισμένες περιπτώσεις, συσκευές ICS», λέει ο Tom Hegel, ανώτερος ερευνητής απειλών στο SentinelOne. «Συσκευές όπως τα δίκτυα αποθηκευτικών χώρων (SAN), η συνδεδεμένη με το δίκτυο αποθήκευσης (NAS) και οι αποκλειστικές συστοιχίες RAID βρίσκονται επίσης τώρα στο πεδίο εφαρμογής των εφέ του AcidPour.»

Μια άλλη νέα δυνατότητα του AcidPour είναι μια λειτουργία αυτόματης διαγραφής που διαγράφει όλα τα ίχνη του κακόβουλου λογισμικού από τα συστήματα που μολύνει, λέει ο Hegel. Το AcidPour είναι συνολικά ένας σχετικά πιο εξελιγμένος υαλοκαθαριστήρας από τον AcidRain, λέει, επισημαίνοντας την υπερβολική χρήση διχάσεως διχάσεως από το τελευταίο και την αδικαιολόγητη επανάληψη ορισμένων λειτουργιών ως παραδείγματα της συνολικής προχειρότητας του.

Η SentinelOne ανακάλυψε το AcidRain τον Φεβρουάριο του 2022 μετά από μια κυβερνοεπίθεση που χτύπησε εκτός σύνδεσης περίπου 10,000 δορυφορικά μόντεμ σχετίζεται με το δίκτυο KA-SAT του παρόχου επικοινωνιών Viasat. Η επίθεση διέκοψε την ευρυζωνική εξυπηρέτηση των καταναλωτών για χιλιάδες πελάτες στην Ουκρανία και σε δεκάδες χιλιάδες ανθρώπους στην Ευρώπη. Το SentinelOne κατέληξε στο συμπέρασμα ότι το κακόβουλο λογισμικό ήταν πιθανότατα έργο μιας ομάδας που σχετίζεται με το Sandworm (γνωστός και ως APT 28, Fancy Bear και Sofacy), μια ρωσική επιχείρηση υπεύθυνη για πολυάριθμες ανατρεπτικές επιθέσεις στον κυβερνοχώρο στην Ουκρανία.

Οι ερευνητές του SentinelOne εντόπισαν για πρώτη φορά τη νέα παραλλαγή, το AcidPour, στις 16 Μαρτίου, αλλά δεν έχουν παρατηρήσει ακόμη κανέναν να το χρησιμοποιεί σε μια πραγματική επίθεση.

Sandworm Δεσμοί

Η αρχική τους ανάλυση του υαλοκαθαριστήρα αποκάλυψε πολλαπλές ομοιότητες με το AcidRain – κάτι που επιβεβαίωσε μια επόμενη βαθύτερη κατάδυση. Οι αξιοσημείωτες επικαλύψεις που ανακάλυψε το SentinelOne περιελάμβαναν τη χρήση του ίδιου μηχανισμού επανεκκίνησης από το AcidPour με το AcidRain και την ίδια λογική για το αναδρομικό σκούπισμα καταλόγου.

Το SentinelOne βρήκε επίσης ότι ο μηχανισμός σκουπίσματος που βασίζεται σε IOCTL του AcidPour είναι ο ίδιος με τον μηχανισμό σκουπίσματος στο AcidRain και στο VPNFilter, ένα αρθρωτή πλατφόρμα επίθεσης που έχει το Υπουργείο Δικαιοσύνης των ΗΠΑ συνδέεται με το Sandworm. Το IOCTL είναι ένας μηχανισμός για την ασφαλή διαγραφή ή σκούπισμα δεδομένων από συσκευές αποθήκευσης με την αποστολή συγκεκριμένων εντολών στη συσκευή.

«Μια από τις πιο ενδιαφέρουσες πτυχές του AcidPour είναι το στυλ κωδικοποίησης του, που θυμίζει το ρεαλιστικό CaddyWiper χρησιμοποιείται ευρέως εναντίον ουκρανικών στόχων παράλληλα με αξιοσημείωτα κακόβουλα προγράμματα όπως Βιομηχανικός 2», είπε ο SentinelOne. Τόσο το CaddyWiper όσο και το Industroyer 2 είναι κακόβουλο λογισμικό που χρησιμοποιείται από κρατικές ομάδες που υποστηρίζονται από τη Ρωσία σε καταστροφικές επιθέσεις σε οργανισμούς στην Ουκρανία, ακόμη και πριν από τη ρωσική εισβολή στη χώρα τον Φεβρουάριο του 2022.

Το CERT της Ουκρανίας ανέλυσε το AcidPour και το απέδωσε στον UAC-0165, έναν παράγοντα απειλής που ανήκει στην ομάδα Sandworm, είπε ο SentinelOne.

Το AcidPour και το AcidRain είναι μεταξύ των πολυάριθμων υαλοκαθαριστήρων που έχουν αναπτύξει Ρώσοι παράγοντες εναντίον ουκρανικών στόχων τα τελευταία χρόνια —και ιδιαίτερα μετά την έναρξη του τρέχοντος πολέμου μεταξύ των δύο χωρών. Παρόλο που ο ηθοποιός της απειλής κατάφερε να χτυπήσει χιλιάδες μόντεμ εκτός σύνδεσης στην επίθεση Viasat, η εταιρεία μπόρεσε να τα ανακτήσει και να τα επανατοποθετήσει μετά την αφαίρεση του κακόβουλου λογισμικού.

Σε πολλές άλλες περιπτώσεις, ωστόσο, οι οργανισμοί αναγκάστηκαν να απορρίψουν συστήματα μετά από επίθεση με υαλοκαθαριστήρες. Ένα από τα πιο αξιοσημείωτα παραδείγματα είναι το 2012 Shamoon επίθεση με υαλοκαθαριστήρες στη Saudi Aramco που κατέστρεψε περίπου 30,000 συστήματα στην εταιρεία.

Όπως συνέβη με το Shamoon και το AcidRain, οι φορείς απειλών συνήθως δεν χρειάζεται να κάνουν τους υαλοκαθαριστήρες εξελιγμένους για να είναι αποτελεσματικοί. Αυτό συμβαίνει επειδή η μόνη λειτουργία του κακόβουλου λογισμικού είναι να αντικαθιστά ή να διαγράφει δεδομένα από συστήματα και να τα αχρηστεύει, τακτικής υπεκφυγής και τεχνικές συσκότισης που σχετίζονται με κλοπή δεδομένων και επιθέσεις κυβερνοκατασκοπείας δεν είναι απαραίτητες.

Η καλύτερη άμυνα για τους υαλοκαθαριστήρες — ή για τον περιορισμό της ζημιάς από αυτούς — είναι η εφαρμογή του ίδιου είδους άμυνας όπως για το ransomware. Αυτό σημαίνει τη δημιουργία αντιγράφων ασφαλείας για κρίσιμα δεδομένα και τη διασφάλιση ισχυρών σχεδίων και δυνατοτήτων αντιμετώπισης περιστατικών.

Η τμηματοποίηση δικτύου είναι επίσης σημαντική, επειδή οι υαλοκαθαριστήρες είναι πιο αποτελεσματικοί όταν μπορούν να εξαπλωθούν σε άλλα συστήματα, έτσι ώστε αυτός ο τύπος αμυντικής στάσης βοηθά στην αποτροπή της πλευρικής κίνησης.

Σφραγίδα ώρας:

Περισσότερα από Σκοτεινή ανάγνωση