یوکرین میں وائپر حملوں کا ایک سال

یہ بلاگ پوسٹ ان خلل انگیز وائپر حملوں کا ایک مرتب کردہ جائزہ پیش کرتا ہے جن کا مشاہدہ ہم نے 2022 کے آغاز سے، روسی فوجی حملے کے شروع ہونے سے کچھ دیر پہلے یوکرین میں کیا ہے۔ ہم ان حملوں کی اکثریت کو اس سے منسوب کرنے کے قابل تھے۔ سینڈوچاعتماد کے مختلف درجات کے ساتھ۔ اس تالیف میں ESET کے ذریعے دیکھے گئے حملے شامل ہیں، نیز کچھ دیگر معتبر ذرائع جیسے CERT-UA، Microsoft، اور SentinelOne کے ذریعے رپورٹ کیے گئے ہیں۔

نوٹ: تخمینی تاریخیں (~) استعمال کی جاتی ہیں جب تعیناتی کی صحیح تاریخ غیر یقینی یا نامعلوم ہو۔ کچھ معاملات میں، دریافت کی تاریخ یا (غیر ESET دریافتوں کی صورت میں) حملے کی اشاعت کی تاریخ استعمال کی جاتی ہے۔

حملے سے پہلے

کی متعدد لہروں کے درمیان DDoS حملوں جو اس وقت یوکرائنی اداروں کو نشانہ بنا رہا تھا۔ وسپر گیٹ میلویئر 14 جنوری کو مارا گیا۔^th, 2022۔ وائپر نے ransomware کے طور پر نقاب پوش کیا، جون 2017 سے NotPetya کی بازگشت – ایک ایسا حربہ جو بعد کے حملوں میں بھی دیکھا جائے گا۔

فروری 23 پر^rd، 2022، استعمال کرتے ہوئے ایک تباہ کن مہم ہرمیٹک وائپر کم از کم پانچ یوکرائنی تنظیموں میں سینکڑوں سسٹمز کو نشانہ بنایا۔ اس ڈیٹا وائپر کو پہلی بار مقامی وقت کے مطابق 17:00 بجے (15:00 UTC) سے پہلے دیکھا گیا تھا: روسی فیڈریشن فورسز کے یوکرین پر حملے سے چند گھنٹے پہلے ہی سائبر حملہ ہوا۔ HermeticWiper کے ساتھ ساتھ، HermeticWizard worm اور HermeticRansom faux ransomware بھی مہم میں تعینات کیے گئے تھے۔

حملہ اور بہار کی لہر

فروری 24 پر^th، 2022، یوکرین کے موسم سرما کے ختم ہونے کے ساتھ، یوکرین کے سرکاری نیٹ ورک کے خلاف دوسرا تباہ کن حملہ شروع ہوا، جس کا نام ہم نے ایک وائپر کا استعمال کیا۔ آئزاک وائپر.

اس کے علاوہ حملے کے دن، تیزابی بارش وائپر مہم نے Viasat KA-SAT موڈیمز کو نشانہ بنایا، یوکرین سے باہر بھی اسپل اوور کے ساتھ۔

ایک اور وائپر، ابتدائی طور پر مائیکروسافٹ کی طرف سے انکشاف کیا، ہے ڈیزرٹ بلیڈ، مبینہ طور پر 1 مارچ کو تعینات کیا گیا تھا۔^st، 2022 اور پھر 17 مارچ کے آس پاس^th, 2022۔ اسی رپورٹ میں 10 مارچ 2022 کے آس پاس ہرمیٹک مہم کے وائپرز کے استعمال سے ہونے والے حملوں کا بھی ذکر کیا گیا ہے، یعنی ہرمیٹک وائپر (مائیکروسافٹ اسے FoxBlade کہتا ہے) 17 مارچ XNUMX کے آس پاس، HermeticRansom (Microsoft اسے SonicVote کہتا ہے)۔^th، 2022، اور 24 مارچ کے آس پاس ایک حملہ^th2022 ہرمیٹک وائپر اور ہرمیٹک رینسم دونوں کا استعمال کرتے ہوئے۔

CERT-UA نے اس کی دریافت پر اطلاع دی۔ ڈبل زیرو 17 مارچ کو وائپر^th2022.

مارچ 14 پر^th، 2022، ESET محققین نے استعمال کرتے ہوئے ایک حملے کا پتہ لگایا کیڈی وائپرجس نے یوکرائن کے ایک بینک کو نشانہ بنایا۔

اپریل 1 پر۔^st, 2022، ہمیں دوبارہ CaddyWiper کا پتہ چلا، اس بار لوڈ کیا جا رہا ہے۔ ArguePatch لوڈر، جو عام طور پر ایک ترمیم شدہ، جائز بائنری ہے جو ایک بیرونی فائل سے شیل کوڈ لوڈ کرنے کے لیے استعمال ہوتا ہے۔ ہمیں 16 مئی 2022 کو اسی طرح کے منظر کا پتہ چلا، جہاں ArguePatch نے ایک کی شکل اختیار کر لی ترمیم شدہ ESET بائنری.

ہمیں 8 اپریل کو ArguePatch-CaddyWiper ٹینڈم کا بھی پتہ چلا^th2022، حملے کے آغاز کے بعد سے شاید سب سے زیادہ مہتواکانکشی سینڈورم حملوں میں: Industroyer2 کا استعمال کرتے ہوئے بجلی کے بہاؤ میں خلل ڈالنے کی ان کی ناکام کوشش۔ ArguePatch اور CaddyWiper کے علاوہ، اس واقعے میں، ہم نے غیر ونڈوز پلیٹ فارمز کے لیے وائپرز بھی دریافت کیے: ORCSHRED، SOLOSHRED، اور AWFULSHRED۔ تفصیلات کے لیے، دیکھیں CERT-UA کی طرف سے اطلاع، اور ہمارے WeLiveSecurity بلاگ پوسٹ.

ایک پرسکون موسم گرما

گرمیوں کے مہینوں میں پچھلے مہینوں کے مقابلے یوکرین میں نئی ​​وائپر مہمات کی کم دریافتیں دیکھنے میں آئیں، پھر بھی کئی قابل ذکر حملے ہوئے۔

ہم نے یوکرائنی اداروں کے خلاف ArguePatch (اور CaddyWiper) کی تعیناتیوں کے معاملات پر CERT-UA کے ساتھ مل کر کام کیا ہے۔ پہلا واقعہ 20 جون سے شروع ہونے والے ہفتے میں پیش آیا^th، 2022، اور دوسرا 23 جون کو^rd2022.

خزاں کی لہر

3 اکتوبر کو شمالی موسم سرما کی تیاری میں درجہ حرارت گرنے کے ساتھ^rd، 2022 ہمیں یوکرین میں تعینات CaddyWiper کے ایک نئے ورژن کا پتہ چلا۔ پہلے استعمال شدہ متغیرات کے برعکس، اس بار CaddyWiper کو x64 ونڈوز بائنری کے طور پر مرتب کیا گیا تھا۔

اکتوبر ایکس این ایم ایکس ایکس پر۔^th2022، ہم نے HermeticWiper کے ایک نئے ورژن کی نشاندہی کی جسے VirusTotal پر اپ لوڈ کیا گیا تھا۔ اس HermeticWiper نمونے کی فعالیت کچھ معمولی تبدیلیوں کے ساتھ گزشتہ مثالوں کی طرح تھی۔

اکتوبر ایکس این ایم ایکس ایکس پر۔^th, 2022، ہمیں پتہ چلا کہ Prestige ransomware یوکرین اور پولینڈ میں لاجسٹک کمپنیوں کے خلاف تعینات کیا جا رہا ہے۔ یہ مہم بھی تھی۔ مائیکروسافٹ کی طرف سے رپورٹ.

اسی دن، ہم نے پہلے سے نامعلوم وائپر کی بھی نشاندہی کی، جسے ہم نے NikoWiper کا نام دیا۔ یہ وائپر یوکرین میں توانائی کے شعبے میں ایک کمپنی کے خلاف استعمال کیا گیا تھا۔ NikoWiper پر مبنی ہے۔ SDelete۔ فائلوں کو محفوظ طریقے سے حذف کرنے کے لیے مائیکروسافٹ کمانڈ لائن افادیت۔

11 نومبر کو^th، 2022، CERT-UA نے ایک بلاگ پوسٹ شائع کیا۔ سومیا فاکس رینسم ویئر کا استعمال کرتے ہوئے حملے کے بارے میں۔

21 نومبر کو^st2022، ہمیں یوکرین میں .NET میں لکھا ہوا نیا ransomware ملا جس کا نام ہم نے رکھا ہے۔ رینسم بوگس. ransomware میں مووی Monsters, Inc کے متعدد حوالہ جات ہیں۔ ہم نے مشاہدہ کیا کہ میلویئر آپریٹرز نے اس فائل کوڈر کو تعینات کرنے کے لیے POWERGAP اسکرپٹس کا استعمال کیا۔

جنوری 2023

2023 میں یوکرین کے اداروں کے خلاف تباہ کن حملے جاری ہیں۔

1 جنوری^st، 2023، ہم نے اس پر عمل درآمد کا پتہ چلا SDelete۔ یوکرائنی سافٹ ویئر ری سیلر میں افادیت۔

متعدد وائپرز کا استعمال کرتے ہوئے ایک اور حملہ، اس بار یوکرین کی ایک نیوز ایجنسی کے خلاف، 17 جنوری کو ہوا۔^th، 2023، CERT-UA کے مطابق۔ اس حملے میں درج ذیل وائپرز کا پتہ چلا: CaddyWiper، ZeroWipe، SDelete، AwfulShred، اور BidSwipe۔ BidSwipe قابل ذکر ہے، کیونکہ یہ ایک FreeBSD OS وائپر ہے۔

25 جنوری^th, 2023، ہمیں ایک نئے وائپر کا پتہ چلا، جو Go میں لکھا ہوا تھا اور جسے ہم نے نام دیا تھا۔ SwiftSlicerیوکرین کے مقامی حکومتی اداروں کے خلاف تعینات کیا جا رہا ہے۔

تقریباً تمام مذکورہ بالا معاملات میں، سینڈ ورم نے ایکٹو ڈائریکٹری گروپ پالیسی کا استعمال کیا (T1484.001) اپنے وائپرز اور رینسم ویئر کو تعینات کرنے کے لیے، خاص طور پر POWERGAP اسکرپٹ کا استعمال کرتے ہوئے۔

نتیجہ

یوکرائنی تنظیموں کے خلاف روسی اے پی ٹی گروپس، خاص طور پر سینڈ ورم، کی طرف سے خلل ڈالنے والے وائپرز - اور یہاں تک کہ وائپرز کا رینسم ویئر کے طور پر چھپانے کا استعمال شاید ہی کوئی نئی بات ہے۔ تقریباً 2014 کے بعد سے، بلیک اینرجی نے خلل ڈالنے والے پلگ ان استعمال کیے ہیں۔ KillDisk وائپر ماضی میں سینڈ کیڑے کے حملوں میں ایک عام فرق تھا۔ اور Telebots ذیلی گروپ نے متعدد وائپر حملے شروع کیے ہیں، سب سے زیادہ بدنام NotPetya۔

اس کے باوجود فروری 2022 میں فوجی حملے کے بعد سے وائپر مہموں میں شدت بے مثال رہی ہے۔ ایک مثبت نوٹ پر، بہت سے حملوں کا پتہ چلا اور ناکام بنا دیا گیا ہے۔ تاہم، ہم صورت حال پر چوکسی سے نگرانی کرتے رہتے ہیں، کیونکہ ہم امید کرتے ہیں کہ حملے جاری رہیں گے۔

آئی او سیز

فائلوں

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو بلاک چین۔ Web3 Metaverse Intelligence. علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://www.welivesecurity.com/2023/02/24/year-wiper-attacks-ukraine/