Um ano de ataques do wiper direcionado à Ucrânia

Neste artigo, separamos os ataques que usaram um malware do tipo wiper na Ucrânia desde o início de 2022, pouco antes da invasão militar russa. Segundo nossas análises, os ataques foram provocadas pelo grupo cibercriminoso Sandworm. Separamos todos os ataques detectados pela ESET, assim como alguns relatados por outras fontes conhecidas como a CERT-UA, Microsoft e SentinelOne.

Importante: usamos datas aproximadas (~) ao tratar de ataques que contam com momentos incertos ou desconhecidos. Em alguns casos, usamos a data da descoberta ou (no caso de descobertas que não foram feitas pela ESET) a data de publicação do ataque.

Antes da invasão

Entre as diversas ondas de ataques DDoS direcionados a instituições ucranianas na época, o malware WhisperGate apareceu em 14 de janeiro de 2022. Este malware do tipo wiper se fez passar por um ransomware, assim como o NotPetya fez em junho de 2017, uma tática que também veríamos em ataques realizados posteriormente.

No dia 23 de fevereiro de 2022, uma campanha destrutiva que usou o HermeticWiper estava direcionada a centenas de sistemas em pelo menos cinco organizações ucranianas. Este malware destruidor de dados foi detectado pela primeira vez pouco antes das 17h - horário local (15h00 UTC). Durante algumas horas após a invasão à Ucrânia pelas forças da Federação Russa, o ciberataque continuou. Junto com o HermeticWiper, o worm HermeticWizard e o falso ransomaware HermeticRansom também foram usados nesta campanha.

Depois da invasão

No dia 24 de fevereiro de 2022, com o fim do inverno ucraniano, começou um segundo ataque destrutivo a uma rede do governo ucraniano que usou o wiper chamado IsaacWiper.

Além disso, no dia da invasão também registramos a campanha de wipers AcidRain, que estava direcionada aos modems Viasat KA-SAT e se propagou para fora da Ucrânia.

O desertBlade é outro wiper inicialmente descoberto pela Microsoft. A ameaça foi supostamente implantada em 1º de março de 2022 e depois novamente por volta do dia 17 de março de 2022. O mesmo relatório da Microsoft também menciona outros ataques que usaram wipers da campanha Hermetic, como o HermeticWiper (que a Microsoft chama de FoxBlade) por volta de 10 de março de 2022, o HermeticRansom (que a Microsoft chama de SonicVote) por volta de 17 de março de 2022, e um ataque por volta de 24 de março de 2022 que usou o HermeticWiper e o HermeticRansom.

O CERT-UA (Computer Emergency Response Team of Ukraine) divulgou a descoberta do wiper DoubleZero no dia 17 de março de 2022.

Em 14 de março de 2022, os pesquisadores da ESET detectaram um ataque do CaddyWiper que estava direcionado a um banco ucraniano.

Em 1º de abril de 2022, detectamos novamente o CaddyWiper. Desta vez, a ameaça estava sendo carregada pelo loader ArguePatch, que normalmente é um binário legítimo modificado e usado para carregar o shellcode de um arquivo externo. Detectamos um cenário semelhante no dia 16 de maio de 2022, no qual o ArguePatch tomou a forma de um binário da ESET modificado.

Também detectamos o grupo ArguePatch-CaddyWiper em 8 de abril de 2022 - um dos mais ambiciosos ataques de Sandworm desde o início da invasão. O objetivo do ataque era interromper o fluxo de eletricidade usando o Industroyer2. Além do ArguePatch e do CaddyWiper, neste incidente também descobrimos o uso de wipers direcionado a plataformas que não são Windows: ORCSHRED, SOLOSHRED e AWFULSHRED. Para mais informações, veja o alerta publicado pela CERT-UA.

Um verão tranquilo

Durante os meses de verão europeu, não houveram tantas descobertas de campanhas de wipers direcionadas à Ucrânia em comparação com os meses anteriores, mas ocorreram vários ataques de alto nível.

Trabalhamos em conjunto com a CERT-UA nos casos em que o ArguePatch (e o CaddyWiper) foi implantado contra instituições ucranianas. O primeiro incidente ocorreu na semana de 20 de junho de 2022 e outro em 23 de junho de 2022.

Onda de ataques durante o outono

Com as temperaturas caindo antes do inverno, em 3 de outubro de 2022 detectamos uma nova versão do CaddyWiper implantado na Ucrânia. Ao contrário das variantes usadas anteriormente, desta vez o CaddyWiper foi compilado como um binário do Windows x64.

Em 5 de outubro de 2022, identificamos uma nova versão do HermeticWiper que foi carregada no VirusTotal. A funcionalidade desta amostra do HermeticWiper é a mesma de casos anteriores, com algumas pequenas alterações.

No dia 11 de outubro de 2022, detectamos que o ransomware Prestige direcionado a empresas de logística na Ucrânia e na Polônia. Esta campanha também foi reportada pela Microsoft.

No mesmo dia, também identificamos um wiper anteriormente desconhecido que chamamos de NikoWiper. Este wiper foi usado contra uma empresa do setor de energia na Ucrânia. O NikoWiper está baseado no utilitário de linha de comandos SDelete da Microsoft para apagar arquivos de forma segura.

Em 11 de novembro de 2022, a CERT-UA publicou um post em seu blog sobre um falso ataque do ransomware Somia.

Em 21 de novembro de 2022, detectamos um novo ransomware na Ucrânia escrito em .NET que chamamos de RansomBoggs. O ransomware tem múltiplas referências ao filme Monsters, Inc. Observamos que os operadores deste malware usaram scripts POWERGAP para implementar o ransomware.

Janeiro de 2023

Em 2023, os ataques perturbadores contra as instituições ucranianas continuaram.

Em 1º de janeiro de 2023 detectamos a execução do utilitário SDelete em um distribuidor de software ucraniano.

Outro ataque de múltiplos wipers, desta vez contra uma agência de notícias ucraniana, ocorreu em 17 de janeiro de 2023, de acordo com a CERT-UA. Os seguintes wipers foram detectados neste ataque: CaddyWiper, ZeroWipe, SDelete, AwfulShred e BidSwipe. O BidSwipe se destaca por ser um wiper para o sistema operacional FreeBSD.

Em 25 de janeiro de 2023 detectamos um novo wiper, escrito em Go, chamado de SwiftSlicer, que foi implantado contra entidades governamentais locais na Ucrânia.

Em quase todos os casos acima, o grupo Sandworm usou a Política do Active Directory Group (T1484.001) para implantar os wipers e ransomwares, especificamente usando o script POWERGAP.

Conclusão

O uso de malwares destrutivos como os wipers ou ransomwares - e até mesmo wipers disfarçados de ransomware - por grupos APT russos - especialmente o Sandworm - contra organizações ucranianas não é uma novidade. Desde aproximadamente 2014, o grupo APT BlackEnergy tem usado plugins destrutivos. O wiper KillDisk foi um denominador comum nos ataques realizados pelo grupo Sandworm anteriormente, enquanto o subgrupo Telebots lançou numerosos ataques de wipers, com destaque para o infame NotPetya.

No entanto, a escalada das campanhas usando wipers desde a invasão militar em fevereiro de 2022 é sem precedentes. Em uma nota positiva, muitos dos ataques foram detectados e frustrados. No entanto, continuamos monitorando a situação de perto, pois esperamos que os ataques continuem.

Caso tenha dúvidas sobre alguma pesquisa publicada no WeLiveSecurity, envie um e-mail para threatintel@eset.com.

Indicadores de Comprometimento

Arquivos