یک سال حملات برف پاک کن در اوکراین

این وبلاگ یک نمای کلی از حملات مخرب برف پاک کن که از ابتدای سال 2022، کمی قبل از شروع تهاجم نظامی روسیه در اوکراین مشاهده کرده‌ایم، ارائه می‌کند. ما توانستیم بیشتر این حملات را به آن نسبت دهیم کرم ماسه ای، با درجات مختلف اطمینان. مجموعه شامل حملاتی است که توسط ESET دیده شده است، و همچنین برخی از آنها که توسط منابع معتبر دیگر مانند CERT-UA، Microsoft و SentinelOne گزارش شده است.

توجه: از تاریخ های تقریبی (~) زمانی استفاده می شود که تاریخ دقیق استقرار نامشخص یا نامشخص باشد. در برخی موارد از تاریخ کشف یا (در مورد اکتشافات غیر ESET) تاریخ انتشار حمله استفاده می شود.

قبل از تهاجم

در میان امواج متعدد از حملات DDoS که در آن زمان موسسات اوکراینی را هدف قرار داده بودند WhisperGate بدافزار در 14 ژانویه مورد حمله قرار گرفت^th, 2022. برف پاک کن به عنوان باج افزار مخفی شد و تکرار NotPetya از ژوئن 2017 بود – تاکتیکی که در حملات بعدی نیز دیده می شود.

در 23 فوریه^rd، 2022، یک کمپین مخرب با استفاده از هرمتیک وایپر صدها سیستم را در حداقل پنج سازمان اوکراینی هدف قرار دادند. این پاک کننده داده برای اولین بار درست قبل از ساعت 17:00 به وقت محلی (15:00 UTC) مشاهده شد: حمله سایبری تنها چند ساعت قبل از تهاجم نیروهای فدراسیون روسیه به اوکراین انجام شد. در کنار HermeticWiper، کرم HermeticWizard و باج افزار مصنوعی HermeticRansom نیز در این کمپین مستقر شدند.

هجوم و موج بهاری

در 24 فوریه^thدر سال 2022، با آب شدن زمستان اوکراین، دومین حمله مخرب علیه یک شبکه دولتی اوکراین با استفاده از برف پاک کن که نام بردیم آغاز شد. آیزاک وایپر.

همچنین در روز تهاجم، باران اسیدی کمپین برف پاک کن مودم های Viasat KA-SAT را هدف قرار داده است که در خارج از اوکراین نیز سرریز شده است.

برف پاک کن دیگری که در ابتدا توسط مایکروسافت فاش شد، این است DesertBlade، بنا بر گزارش ها در 1 مارس مستقر شده است^st، 2022 و دوباره در حدود 17 مارس^th، 2022. همین گزارش همچنین به حملات با استفاده از برف پاک کن های کمپین Hermetic، یعنی HermeticWiper (مایکروسافت آن را FoxBlade می نامد) در حدود 10 مارس 2022، HermeticRansom (مایکروسافت آن را SonicVote می نامد) در حدود 17 مارس اشاره می کند.^th، 2022، و حمله ای در حدود 24 مارس^th، 2022 با استفاده از HermeticWiper و HermeticRansom.

CERT-UA در مورد کشف خود از DoubleZero برف پاک کن در 17 مارس^th، 2022.

در ماه مارس 14^th، 2022، محققان ESET با استفاده از یک حمله شناسایی کردند CaddyWiper، که یک بانک اوکراینی را هدف قرار داد.

در آوریل 1^st، 2022، ما دوباره CaddyWiper را شناسایی کردیم، این بار توسط بارگیری می شود ArguePatch loader، که معمولاً یک باینری اصلاح شده و قانونی است که برای بارگیری کد پوسته از یک فایل خارجی استفاده می شود. ما سناریوی مشابهی را در 16 مه 2022 شناسایی کردیم، جایی که ArguePatch به شکل یک باینری ESET اصلاح شده.

ما همچنین در 8 آوریل پشت سر هم ArguePatch-CaddyWiper را شناسایی کردیم^th، 2022، در بلندپروازانه ترین حملات کرم شنی از آغاز تهاجم: تلاش ناموفق آنها برای ایجاد اختلال در جریان برق با استفاده از Industroyer2. علاوه بر ArguePatch و CaddyWiper، در این حادثه، ما همچنین برف پاک‌کن‌هایی را برای پلتفرم‌های غیر ویندوزی کشف کردیم: ORCSHRED، SOLOSHRED، و AWFULSHRED. برای جزئیات، نگاه کنید به اطلاع رسانی توسط CERT-UA، و ما پست وبلاگ WeLiveSecurity.

تابستانی آرام تر

در ماه‌های تابستان در مقایسه با ماه‌های گذشته، تعداد کمتری از کمپین‌های برف پاک کن در اوکراین کشف شد، اما چندین حمله قابل توجه رخ داد.

ما با CERT-UA روی موارد استقرار ArguePatch (و CaddyWiper) علیه مؤسسات اوکراینی کار کرده ایم. اولین حادثه در هفته منتهی به 20 ژوئن رخ داد^th، 2022 و دیگری در 23 ژوئن^rd، 2022.

موج پاییزی

با کاهش دما برای آماده شدن برای زمستان شمالی، در 3 اکتبر^rdما در سال 2022 نسخه جدیدی از CaddyWiper را شناسایی کردیم که در اوکراین مستقر شده است. برخلاف نسخه‌های مورد استفاده قبلی، این بار CaddyWiper به عنوان یک باینری ویندوز x64 کامپایل شد.

در اکتبر 5^th، 2022، نسخه جدیدی از HermeticWiper را شناسایی کردیم که در VirusTotal آپلود شده بود. عملکرد این نمونه HermeticWiper مانند نمونه های قبلی با چند تغییر جزئی بود.

در اکتبر 11^thدر سال 2022، باج‌افزار Prestige را شناسایی کردیم که علیه شرکت‌های لجستیک در اوکراین و لهستان مستقر شده است. این کمپین هم بود توسط مایکروسافت گزارش شده است.

در همان روز، ما همچنین یک برف پاک کن ناشناخته را شناسایی کردیم که نام آن را NikoWiper گذاشتیم. این برف پاک کن علیه یک شرکت در بخش انرژی در اوکراین استفاده شد. NikoWiper بر اساس انتخاب مجدد ابزار خط فرمان مایکروسافت برای حذف امن فایل ها.

در ماه نوامبر 11^th، 2022، CERT-UA یک پست وبلاگی منتشر کرد در مورد یک حمله با استفاده از باج افزار مصنوعی Somia.

در ماه نوامبر 21^st، سال 2022، باج افزار جدیدی را در اوکراین شناسایی کردیم که در دات نت نوشته شده بود و نام آن را گذاشتیم. RansomBoggs. باج‌افزار به فیلم Monsters, Inc ارجاع‌های متعددی دارد. ما مشاهده کردیم که اپراتورهای بدافزار از اسکریپت‌های POWERGAP برای استقرار این فایل‌کد استفاده کردند.

ژانویه 2023

در سال 2023 حملات مخرب علیه مؤسسات اوکراینی ادامه دارد.

در 1 ژانویه^st، 2023، ما اجرای آن را شناسایی کردیم انتخاب مجدد ابزار در یک فروشنده نرم افزار اوکراینی.

حمله دیگری با استفاده از چند برف پاک کن، این بار علیه یک خبرگزاری اوکراینی، در 17 ژانویه رخ داد^th، 2023، طبق CERT-UA. پاک کننده های زیر در این حمله شناسایی شدند: CaddyWiper، ZeroWipe، SDelete، AwfulShred و BidSwipe. BidSwipe قابل توجه است، زیرا یک پاک کننده سیستم عامل FreeBSD است.

در 25 ژانویه^th، 2023، ما یک برف پاک کن جدید را شناسایی کردیم که در Go نوشته شده بود و نام آن را نامگذاری کردیم SwiftSlicer، علیه نهادهای دولتی محلی اوکراین مستقر شده است.

تقریباً در تمام موارد ذکر شده در بالا، Sandworm از Active Directory Group Policy (T1484.001) برای استقرار برف پاک کن ها و باج افزارها، به طور خاص با استفاده از اسکریپت POWERGAP.

نتیجه

استفاده از برف پاک کن های مخرب - و حتی برف پاک کن هایی که به عنوان باج افزار ظاهر می شوند - توسط گروه های APT روسی، به ویژه Sandworm، علیه سازمان های اوکراینی به سختی جدید است. از حدود سال 2014، BlackEnergy از پلاگین های مخرب استفاده کرد. پاک کن KillDisk یک مخرج مشترک در حملات Sandworm در گذشته بود. و زیرگروه Telebots چندین حمله پاک کن را راه اندازی کرده است که بدنام ترین آنها NotPetya است.

با این حال، تشدید کمپین های برف پاک کن از زمان تهاجم نظامی در فوریه 2022 بی سابقه بوده است. نکته مثبت این است که بسیاری از حملات شناسایی و خنثی شده اند. با این حال، ما به نظارت دقیق اوضاع ادامه می دهیم، زیرا انتظار داریم حملات ادامه یابد.

IoC ها

فایل ها

• محتوای مبتنی بر SEO و توزیع روابط عمومی. امروز تقویت شوید.
• پلاتوبلاک چین. Web3 Metaverse Intelligence. دانش تقویت شده دسترسی به اینجا.
• منبع: https://www.welivesecurity.com/2023/02/24/year-wiper-attacks-ukraine/