Ein Jahr Wiper-Attacken in der Ukraine

Dieser Blogpost bietet einen Überblick über die zerstörerischen Wiper-Angriffe, die wir seit Anfang 2022, kurz vor Beginn der russischen Militärinvasion, in der Ukraine beobachtet haben. Wir konnten die meisten dieser Angriffe mit unterschiedlicher Sicherheit auf Sandworm zurückführen. Die Zusammenstellung enthält Angriffe, die von ESET beobachtet wurden, sowie einige, die von anderen seriösen Quellen wie CERT-UA, Microsoft und SentinelOne gemeldet wurden.

Hinweis: Ungefähre Daten (~) werden verwendet, wenn das genaue Datum des Einsatzes unsicher oder unbekannt ist. In einigen Fällen wird das Datum der Entdeckung oder (im Falle von Nicht-ESET-Entdeckungen) das Datum der Veröffentlichung des Angriffs verwendet.

Vor der Invasion

Inmitten zahlreicher DDoS-Angriffswellen, die zu dieser Zeit auf ukrainische Einrichtungen abzielten, schlug am 14. Januar 2022 die Malware WhisperGate zu. Der Wiper tarnte sich als Ransomware und erinnerte damit an NotPetya vom Juni 2017 - eine Taktik, die auch bei späteren Angriffen zum Einsatz kam.

Am 23. Februar 2022 richtete sich eine zerstörerische Kampagne mit HermeticWiper gegen Hunderte von Systemen in mindestens fünf ukrainischen Organisationen. Dieser Wiper wurde erstmals kurz vor 17:00 Uhr Ortszeit (15:00 Uhr UTC) entdeckt: Der Cyberangriff erfolgte nur wenige Stunden vor dem Einmarsch der russischen Streitkräfte in die Ukraine. Neben HermeticWiper wurden bei der Kampagne auch der Wurm HermeticWizard und die gefälschte Ransomware HermeticRansom eingesetzt.

Invasion und Frühlings-Angriffswelle

Am 24. Februar 2022, als der ukrainische Winter zu tauen begann, startete ein zweiter zerstörerischer Angriff auf ein ukrainisches Regierungsnetzwerk, bei dem ein Wiper verwendet wurde, den wir IsaacWiper genannt haben.

Ebenfalls am Tag der Invasion richtete sich die AcidRain-Wiper-Kampagne gegen KA-SAT-Modems von Viasat, die auch außerhalb der Ukraine zum Einsatz kamen.

Ein weiterer Wiper, der ursprünglich von Microsoft aufgedeckt wurde, ist DesertBlade, der Berichten zufolge am 1. März 2022 und erneut am 17. März 2022 eingesetzt wurde. Derselbe Bericht erwähnt auch Angriffe mit Wipern aus der Hermetic-Kampagne, nämlich HermeticWiper (Microsoft: "FoxBlade") um den 10. März 2022, HermeticRansom (Microsoft: "SonicVote") um den 17. März 2022 und einen Angriff um den 24. März 2022, bei dem sowohl HermeticWiper als auch HermeticRansom eingesetzt wurden.

CERT-UA berichtete am 17. März 2022 über die Entdeckung des DoubleZero-Wipers.

Am 14. März 2022 entdeckten ESET-Forscher einen Angriff mit CaddyWiper, der auf eine ukrainische Bank abzielte.

Am 1. April 2022 entdeckten wir erneut CaddyWiper, das diesmal vom ArguePatch Loader geladen wurde, bei dem es sich in der Regel um eine modifizierte, legitime Binärdatei handelt, die zum Laden von Shellcode aus einer externen Datei verwendet wird. Ein ähnliches Szenario entdeckten wir am 16. Mai 2022, als ArguePatch die Form einer modifizierten ESET-Binärdatei annahm.

Außerdem entdeckten wir am 8. April 2022 das "Tandem" ArguePatch-CaddyWiper bei den vielleicht ehrgeizigsten Sandwurm-Angriffen seit Beginn der Invasion: dem erfolglosen Versuch, den Stromfluss mit Industroyer2 zu unterbrechen. Zusätzlich zu ArguePatch und CaddyWiper entdeckten wir bei diesem Vorfall auch Wiper für Nicht-Windows-Plattformen: ORCSHRED, SOLOSHRED, und AWFULSHRED. Einzelheiten finden Sie in der Meldung von CERT-UA und in unserem WeLiveSecurity-Blogpost.

Ein ruhigerer Sommer

In den Sommermonaten wurden in der Ukraine weniger neue Wiper-Kampagnen entdeckt als in den vorangegangenen Monaten, dennoch gab es einige bemerkenswerte Angriffe.

Wir haben gemeinsam mit CERT-UA an Fällen von ArguePatch (und CaddyWiper) gearbeitet, die sich gegen ukrainische Einrichtungen richteten. Der erste Vorfall ereignete sich in der Woche ab dem 20. Juni 2022, ein weiterer am 23. Juni 2022.

Herbstwelle

Während die Temperaturen in Vorbereitung auf den nördlichen Winter sanken, entdeckten wir am 3. Oktober 2022 eine neue Version von CaddyWiper, die in der Ukraine eingesetzt wurde. Im Gegensatz zu den zuvor verwendeten Varianten wurde CaddyWiper dieses Mal als x64-Windows-Binary kompiliert.

Am 5. Oktober 2022 haben wir eine neue Version von HermeticWiper identifiziert, die auf VirusTotal hochgeladen wurde. Die Funktionalität dieses HermeticWiper-Samples war die gleiche wie bei den vorherigen Versionen, mit ein paar kleinen Änderungen.

Am 11. Oktober 2022 entdeckten wir die Ransomware Prestige, die gegen Logistikunternehmen in der Ukraine und Polen eingesetzt wurde. Diese Kampagne wurde auch von Microsoft gemeldet.

Am selben Tag haben wir auch einen bisher unbekannten Wiper identifiziert, den wir NikoWiper genannt haben. Dieser Wiper wurde gegen ein Unternehmen aus dem Energiesektor in der Ukraine eingesetzt. NikoWiper basiert auf dem Microsoft-Befehlszeilenprogramm SDelete zum sicheren Löschen von Dateien.

Am 11. November 2022 veröffentlichte das CERT-UA einen Blogpost über einen Angriff mit der gefälschten Ransomware Somia.

Am 21. November 2022 haben wir in der Ukraine eine neue, in .NET geschriebene Ransomware entdeckt, die wir RansomBoggs genannt haben. Die Ransomware enthält mehrere Verweise auf den Film Monsters, Inc. Wir stellten fest, dass die Malware-Betreiber POWERGAP-Skripte zur Bereitstellung dieses Filecoders verwendeten.

Januar 2023

Im Jahr 2023 gehen die zerstörerischen Angriffe auf ukrainische Einrichtungen weiter.

Am 1. Januar 2023 entdeckten wir bei einem ukrainischen Software-Händler die Ausführung des SDelete-Dienstprogramms.

Ein weiterer Angriff mit mehreren Wipern, diesmal gegen eine ukrainische Nachrichtenagentur, fand am 17. Januar 2023 statt, so CERT-UA. Die folgenden Wiper wurden bei diesem Angriff entdeckt: CaddyWiper, ZeroWipe, SDelete, AwfulShred und BidSwipe. BidSwipe ist besonders erwähnenswert, da es sich um einen FreeBSD OS Wiper handelt.

Am 25. Januar 2023 entdeckten wir einen neuen, in Go geschriebenen Wiper, den wir SwiftSlicer nannten und der gegen ukrainische Kommunalverwaltungen eingesetzt wurde.

In fast allen oben genannten Fällen nutzte Sandworm die Active Directory-Gruppenrichtlinie (T1484.001), um seine Wiper und Ransomware zu verteilen, insbesondere mithilfe des POWERGAP-Skripts.

Fazit

Der Einsatz von zerstörerischen Wipern - und sogar von als Ransomware getarnten Wipern - durch russische APT-Gruppen, insbesondere Sandworm, gegen ukrainische Organisationen ist nicht neu. Seit etwa 2014 setzt BlackEnergy zerstörerische Plugins ein; der KillDisk-Wiper war in der Vergangenheit ein gemeinsamer Nenner bei Sandworm-Angriffen; und die Telebots-Untergruppe hat zahlreiche Wiper-Angriffe gestartet, am bekanntesten ist NotPetya.

Die Intensivierung der Wiper-Kampagnen seit der militärischen Invasion im Februar 2022 ist jedoch beispiellos. Positiv zu vermerken ist, dass viele der Angriffe entdeckt und vereitelt wurden. Wir werden die Situation jedoch weiterhin aufmerksam beobachten, da wir davon ausgehen, dass die Angriffe weitergehen werden.

IoCs

Files

–

Haben Sie Fragen und Anregungen zu diesem, anderen oder zukünftigen Themen, die Sie gern betrachtet sehen wollen? Dann nutzen Sie gern die Kommentarfunktion unter diesem Artikel oder nutzen unser Kontaktformular!