सैंडवॉर्म यूक्रेन में लक्ष्य पर हमला करने के लिए ArguePatch के एक नए संस्करण का उपयोग करता है

Sandworm, दुनिया के कुछ सबसे विघटनकारी साइबर हमलों के पीछे APT समूह, यूक्रेन को लक्षित करने वाले अभियानों के लिए अपने शस्त्रागार को अद्यतन करना जारी रखता है।

ईएसईटी अनुसंधान दल ने अब ArguePatch मैलवेयर लोडर का एक अद्यतन संस्करण देखा है जिसका उपयोग किया गया था उद्योगपति2 एक यूक्रेनी ऊर्जा प्रदाता के खिलाफ हमला और कई हमलों में जिसमें डेटा वाइपिंग मैलवेयर शामिल है जिसे कहा जाता है कैडीवाइपर.

ArguePatch का नया संस्करण - यूक्रेन की कंप्यूटर इमरजेंसी रिस्पांस टीम (CERT-UA) द्वारा नामित और ESET उत्पादों द्वारा Win32/Agent.AEGY के रूप में पहचाना गया - अब एक निर्दिष्ट समय पर हमले के अगले चरण को निष्पादित करने की सुविधा शामिल है। यह विंडोज़ में एक निर्धारित कार्य स्थापित करने की आवश्यकता को छोड़ देता है और संभवतः हमलावरों को रडार के नीचे रहने में मदद करने का इरादा है।

#तोड़ना #रेतकीड़ा यूक्रेन में हमले जारी . #ESETresearch के दौरान उपयोग किए गए मैलवेयर लोडर का विकास पाया गया #उद्योगपति2 हमले। पहेली का यह अद्यतन अंश मैलवेयर है @_CERT_UA कॉल #आर्ग्यूपैच. ArguePatch को लॉन्च करने के लिए इस्तेमाल किया गया था #कैडीवाइपर. #WarInयूक्रेन 1/6 pic.twitter.com/y3muhtjps6

- ESET अनुसंधान (@ESETresearch) 20 मई 2022

दो अन्यथा अत्यधिक समान रूपों के बीच एक और अंतर यह है कि नया पुनरावृत्ति डिजिटल हस्ताक्षर को हटाने और कोड को अधिलेखित करने के साथ, ArguePatch को छिपाने के लिए एक आधिकारिक ESET निष्पादन योग्य का उपयोग करता है। इस बीच, Industroyer2 हमले ने HexRays IDA Pro के रिमोट डिबग सर्वर के एक पैच किए गए संस्करण का लाभ उठाया।

नवीनतम खोज उन खोजों की एक कड़ी पर आधारित है जो ईएसईटी शोधकर्ताओं ने यूक्रेन पर रूस के आक्रमण से ठीक पहले की हैं। 23 फरवरी को^rd, ईएसईटी की टेलीमेट्री उठाई गई हर्मेटिक वाइपर कई हाई-प्रोफाइल यूक्रेनी संगठनों के नेटवर्क पर। अभियानों ने HermeticWizard, स्थानीय नेटवर्क के अंदर HermeticWiper के प्रचार के लिए उपयोग किया जाने वाला एक कस्टम कृमि, और HermeticRansom का भी लाभ उठाया, जो डिकॉय रैंसमवेयर के रूप में काम करता था। अगले दिन, एक यूक्रेनी सरकारी नेटवर्क के खिलाफ दूसरा विनाशकारी हमला शुरू हुआ, इस बार तैनाती इसहाकवाइपर.

मार्च के मध्य में, ईएसईटी ने सीमित संख्या में यूक्रेनी संगठनों में कई दर्जन प्रणालियों पर कैडीवाइपर का खुलासा किया। महत्वपूर्ण रूप से, सीईआरटी-यूए के साथ ईएसईटी के सहयोग ने इंडस्ट्रॉययर 2 से जुड़े एक नियोजित हमले की खोज की, जिसका उद्देश्य अप्रैल में एक यूक्रेनी बिजली कंपनी पर फैलाना था।

नए ArguePatch संस्करण के लिए IoCs:
फाईल का नाम: eset_ssl_filtered_cert_importer.exe
SHA-1 हैश: 796362BD0304E305AD120576B6A8FB6721108752
ESET पता लगाने का नाम: Win32/Agent.AEGY