APT ของรัสเซียเผยแพร่มัลแวร์ AcidRain Wiper ที่อันตรายยิ่งขึ้น

นักวิจัยได้ค้นพบมัลแวร์ไวเปอร์เวอร์ชันที่เป็นอันตรายและแพร่หลายมากขึ้นซึ่งหน่วยข่าวกรองทหารรัสเซียใช้เพื่อขัดขวางบริการบรอดแบนด์ผ่านดาวเทียมในยูเครน ก่อนที่รัสเซียจะบุกโจมตีประเทศในเดือนกุมภาพันธ์ พ.ศ. 2022

รุ่นใหม่ “กรดเท,” มีความคล้ายคลึงกันหลายประการกับรุ่นก่อน แต่ได้รับการคอมไพล์สำหรับสถาปัตยกรรม X86 ซึ่งแตกต่างจาก AcidRain ที่กำหนดเป้าหมายระบบที่ใช้ MIPS ที่ปัดน้ำฝนใหม่ยังรวมคุณสมบัติสำหรับการใช้งานกับเป้าหมายที่มีขอบเขตกว้างกว่า AcidRain อย่างมาก ตามที่นักวิจัยจาก SentinelOne ผู้ค้นพบภัยคุกคาม

ความสามารถในการทำลายล้างที่กว้างขึ้น

“ความสามารถในการทำลายล้างที่เพิ่มขึ้นของ AcidPour ได้แก่ Linux Unsorted Block Image (UBI) และลอจิก Device Mapper (DM) ซึ่งส่งผลกระทบต่ออุปกรณ์พกพา, IoT, ระบบเครือข่าย หรือในบางกรณีอาจรวมถึงอุปกรณ์ ICS” Tom Hegel นักวิจัยภัยคุกคามอาวุโสของ SentinelOne กล่าว “อุปกรณ์อย่าง Storage Area Network (SAN), Network Attached Storage (NAS) และอาร์เรย์ RAID เฉพาะ ต่างก็อยู่ในขอบเขตของผลกระทบจาก AcidPour”

ความสามารถใหม่อีกอย่างหนึ่งของ AcidPour คือฟังก์ชันการลบตัวเองซึ่งจะลบร่องรอยของมัลแวร์ทั้งหมดออกจากระบบที่มันติดไวรัส Hegel กล่าว เขากล่าวว่า AcidPour เป็นเครื่องปัดน้ำฝนที่ค่อนข้างซับซ้อนมากกว่า AcidRain โดยชี้ไปที่การใช้งานกระบวนการแยกกระบวนการมากเกินไปและการทำซ้ำการดำเนินการบางอย่างอย่างไม่สมเหตุสมผล ซึ่งเป็นตัวอย่างของความสะเพร่าโดยรวม

SentinelOne ค้นพบ AcidRain ในเดือนกุมภาพันธ์ 2022 หลังการโจมตีทางไซเบอร์ ทำให้โมเด็มดาวเทียมราว 10,000 ตัวออฟไลน์ได้ เกี่ยวข้องกับเครือข่าย KA-SAT ของผู้ให้บริการการสื่อสาร Viasat การโจมตีดังกล่าวได้ส่งผลกระทบต่อบริการบรอดแบนด์ผู้บริโภคของลูกค้าหลายพันรายในยูเครน และต่อผู้คนนับหมื่นในยุโรป SentinelOne สรุปว่ามัลแวร์น่าจะเป็นผลงานของกลุ่มที่เกี่ยวข้องกับ Sandworm (aka APT 28, Fancy Bear และ Sofacy) ซึ่งเป็นปฏิบัติการของรัสเซียที่รับผิดชอบ การโจมตีทางไซเบอร์ที่ก่อกวนมากมาย ในยูเครน

นักวิจัยของ SentinelOne ค้นพบ AcidPour รูปแบบใหม่ครั้งแรกเมื่อวันที่ 16 มีนาคม แต่ยังไม่มีใครสังเกตเห็นใครใช้มันในการโจมตีจริง

ความสัมพันธ์ของหนอนทราย

การวิเคราะห์ที่ปัดน้ำฝนเบื้องต้นเผยให้เห็นความคล้ายคลึงหลายประการกับ AcidRain ซึ่งต่อมามีการยืนยันการดำน้ำลึกลงไปอีก การทับซ้อนที่น่าทึ่งที่ SentinelOne ค้นพบนั้นรวมถึงการใช้กลไกการรีบูตแบบเดียวกันกับ AcidRain ของ AcidPour และตรรกะที่เหมือนกันสำหรับการล้างไดเร็กทอรีแบบเรียกซ้ำ

SentinelOne ยังพบว่ากลไกการล้างข้อมูลที่ใช้ IOCTL ของ AcidPour นั้นเหมือนกับกลไกการล้างข้อมูลใน AcidRain และใน VPNFilter แพลตฟอร์มการโจมตีแบบแยกส่วน ที่กระทรวงยุติธรรมของสหรัฐอเมริกามี เชื่อมโยงกับหนอนทราย. IOCTL เป็นกลไกสำหรับการลบหรือล้างข้อมูลจากอุปกรณ์จัดเก็บข้อมูลอย่างปลอดภัยโดยการส่งคำสั่งเฉพาะไปยังอุปกรณ์

“หนึ่งในแง่มุมที่น่าสนใจที่สุดของ AcidPour คือสไตล์การเขียนโค้ดของมัน ซึ่งชวนให้นึกถึงแนวทางปฏิบัติ แคดดี้ไวเปอร์ ใช้กันอย่างแพร่หลายกับเป้าหมายของยูเครนควบคู่ไปกับมัลแวร์ที่โดดเด่นเช่น อุตสาหกรรม 2” SentinelOne กล่าว ทั้ง CaddyWiper และ Industroyer 2 เป็นมัลแวร์ที่กลุ่มรัฐที่ได้รับการสนับสนุนจากรัสเซียใช้ในการโจมตีแบบทำลายล้างต่อองค์กรต่างๆ ในยูเครน แม้กระทั่งก่อนที่รัสเซียจะรุกรานประเทศเมื่อเดือนกุมภาพันธ์ 2022 ก็ตาม

CERT ของยูเครนได้วิเคราะห์ AcidPour และอ้างว่าเป็น UAC-0165 ซึ่งเป็นผู้คุกคามที่เป็นส่วนหนึ่งของกลุ่ม Sandworm SentinelOne กล่าว

AcidPour และ AcidRain เป็นหนึ่งในตัวปัดน้ำฝนจำนวนมากที่นักแสดงชาวรัสเซียได้นำไปใช้กับเป้าหมายของยูเครนในช่วงไม่กี่ปีที่ผ่านมา และโดยเฉพาะอย่างยิ่งหลังจากเริ่มสงครามในปัจจุบันระหว่างทั้งสองประเทศ แม้ว่าผู้คุกคามสามารถจัดการให้โมเด็มนับพันตัวออฟไลน์ในการโจมตี Viasat ได้ แต่บริษัทก็สามารถกู้คืนและปรับใช้โมเด็มเหล่านั้นได้อีกครั้งหลังจากลบมัลแวร์ออกแล้ว

อย่างไรก็ตาม ในหลายกรณี องค์กรต่างๆ ถูกบังคับให้ละทิ้งระบบหลังจากการโจมตีแบบ Wiper ตัวอย่างที่โดดเด่นที่สุดประการหนึ่งคือปี 2012 Shamoon การโจมตีแบบไวเปอร์ต่อ Saudi Aramco ซึ่งทำให้ระบบประมาณ 30,000 ระบบในบริษัทพิการ

เช่นเดียวกับในกรณีของ Shamoon และ AcidRain ผู้คุกคามมักไม่จำเป็นต้องสร้างที่ปัดน้ำฝนที่ซับซ้อนเพื่อให้มีประสิทธิภาพ นั่นเป็นเพราะว่าฟังก์ชันเดียวของมัลแวร์คือการเขียนทับหรือลบข้อมูลจากระบบและทำให้ข้อมูลเหล่านั้นไร้ประโยชน์ กลยุทธ์การหลีกเลี่ยง และเทคนิคการทำให้งงงวยที่เกี่ยวข้องกับการโจรกรรมข้อมูลและการโจมตีจารกรรมทางไซเบอร์นั้นไม่จำเป็น

การป้องกันที่ดีที่สุดสำหรับที่ปัดน้ำฝน — หรือเพื่อจำกัดความเสียหายจากสิ่งปัดน้ำฝน — คือการใช้การป้องกันแบบเดียวกันกับแรนซัมแวร์ นั่นหมายถึงการมีการสำรองข้อมูลไว้สำหรับข้อมูลสำคัญและรับรองแผนและความสามารถในการตอบสนองต่อเหตุการณ์ที่มีประสิทธิภาพ

การแบ่งส่วนเครือข่ายก็เป็นสิ่งสำคัญเช่นกัน เนื่องจากที่ปัดน้ำฝนจะมีประสิทธิภาพมากกว่าเมื่อสามารถแพร่กระจายไปยังระบบอื่นได้ ดังนั้นท่าทางการป้องกันประเภทนั้นจึงช่วยป้องกันการเคลื่อนไหวด้านข้าง

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• PlatoData.Network Vertical Generative Ai เพิ่มพลังให้กับตัวเอง เข้าถึงได้ที่นี่.
• เพลโตไอสตรีม. Web3 อัจฉริยะ ขยายความรู้ เข้าถึงได้ที่นี่.
• เพลโตESG. คาร์บอน, คลีนเทค, พลังงาน, สิ่งแวดล้อม แสงอาทิตย์, การจัดการของเสีย. เข้าถึงได้ที่นี่.
• เพลโตสุขภาพ เทคโนโลยีชีวภาพและข่าวกรองการทดลองทางคลินิก เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/cyberattacks-data-breaches/russian-apt-releases-more-deadly-variant-of-acidrain-wiper-malware