CaddyWiper: otro malware de limpieza de datos dirigido a redes ucranianas

Data Wiping Malware Noticias

Dos semanas después de que surgieran los detalles sobre una segunda cepa de borrador de datos lanzada en ataques contra Ucrania, se detectó otro malware destructivo en medio de la continua invasión militar del país por parte de Rusia.

La empresa eslovaca de ciberseguridad ESET apodó el tercer limpiaparabrisas «limpiaparabrisas«, que dijo que observó por primera vez el 14 de marzo alrededor de las 9:38 a. m. UTC. Metadatos asociados con el ejecutable («caddy.exe«) muestra que el malware se compiló a las 7:19 a. m. UTC, poco más de dos horas antes de su implementación.

CaddyWiper se destaca por el hecho de que no comparte ninguna similitud con los limpiaparabrisas descubiertos anteriormente en Ucrania, incluidos HermeticWiper (también conocido como FoxBlade o KillDisk) e IsaacWiper (también conocido como Lasainraw), los dos de los cuales se han implementado en sistemas pertenecientes a gobiernos y empresas comerciales. entidades.

«El objetivo final de los atacantes es la mismo como con IsaacWiper y HermeticWiper: hacer que los sistemas queden inutilizables borrando los datos del usuario y la información de la partición», dijo a The Hacker News Jean-Ian Boutin¸, jefe de investigación de amenazas de ESET. el sector gubernamental o financiero».

A diferencia de CaddyWiper, se dice que las familias de malware HermeticWiper e IsaacWiper estuvieron en desarrollo durante meses antes de su lanzamiento, con las muestras más antiguas compiladas el 28 de diciembre y el 19 de octubre de 2021, respectivamente.

Malware de borrado de datos

Pero el limpiador recién descubierto comparte una superposición táctica con HermeticWiper en el sentido de que el malware, en un caso, se implementó a través del controlador de dominio de Windows, lo que indica que los atacantes habían tomado el control del servidor de Active Directory.

«Curiosamente, CaddyWiper evita la destrucción de datos en los controladores de dominio», dijo la compañía. «Esta es probablemente una forma de que los atacantes mantengan su acceso dentro de la organización mientras siguen perturbando las operaciones».

El limpiador está programado para destruir sistemáticamente todos los archivos ubicados en «C:Usuarios», antes de pasar al siguiente letra de unidad y borrando los archivos hasta que lleguen a la unidad «Z», lo que significa que CaddyWiper también intentará borrar cualquier unidad asignada a la red conectada al sistema.

«El algoritmo de destrucción de archivos se compone de dos etapas: una primera etapa para sobrescribir archivos y otra para destruir el diseño del disco físico y las tablas de partición junto con él», investigadores de Cisco Talos dijo en un análisis del malware. «Destruir el inicio de los archivos y las tablas de particiones es una técnica común que se ve en otros limpiadores y es muy eficaz para evitar la recuperación de archivos».

Microsoft, que ha atribuido los ataques de HermeticWiper a un grupo de amenazas rastreado como DEV-0665, dijo que el «objetivo previsto de estos ataques es la interrupción, degradación y destrucción de los recursos objetivo» en el país.

El desarrollo también llega cuando los ciberdelincuentes han aprovechado cada vez más y de manera oportunista el conflicto para diseñar señuelos de phishing, incluidos temas de asistencia humanitaria y varios tipos de recaudación de fondos, para ofrecer una variedad de puertas traseras como Remcos.

«El interés global en la guerra en curso en Ucrania lo convierte en un evento de noticias conveniente y efectivo para que los ciberdelincuentes exploten», investigadores de Cisco Talos. dijo. «Si cierto tema de señuelo va a aumentar las posibilidades de que una víctima potencial instale su carga útil, lo usarán».

Pero no es solo Ucrania la que ha estado en el extremo receptor de los ataques de limpiaparabrisas. La semana pasada, la firma de ciberseguridad Trend Micro reveló detalles de un limpiador basado en .NET llamado RURansom que se ha dirigido exclusivamente a entidades en Rusia cifrando los archivos con una clave criptográfica generada aleatoriamente.

«Las claves son únicas para cada archivo cifrado y no se almacenan en ningún lugar, lo que hace que el cifrado sea irreversible y marca el malware como un limpiador en lugar de una variante de ransomware», señalaron los investigadores.

David
Rate author
Hackarizona