Jena – Im Zuge der russischen Invasion in der Ukraine haben ESET Forscher neue Wiper-Malware-Familien entdeckt, die bei gezielten Cyberangriffen auf ukrainische Organisationen zum Einsatz kamen. Die erste Cyberattacke begann einige Stunde vor der russischen Invasion mit massiven DDoS-Attacken gegen grosse ukrainische Webseiten. Im Zuge dieser Angriffe kamen auch ein Teil der neuartigen Malware zum Einsatz: HermeticWiper für die Datenlöschung, HermeticWizard für die Verbreitung im lokalen Netzwerk und HermeticRansom als Lockvogel-Ransomware.
Mit dem Start der russischen Invasion begann ein zweiter Angriff gegen ein ukrainisches Regierungsnetzwerk, bei dem ebenfalls ein Wiper verwendet wurde. Die ESET Forscher haben diesen IsaacWiper genannt. Die Malware-Artefakte deuten darauf hin, dass die Aktionen seit mehreren Monaten geplant waren. Bisher waren die Experten des europäischen IT-Sicherheitsherstellers nicht in der Lage, die Angriffe einer bekannten Hackergruppe zuzuordnen. Es ist nicht auszuschliessen, dass die Schadprogramme früher oder später auch ausserhalb der Ukraine zum Einsatz kommen. Ihre weiteren Analysen haben die Experten auf WeLiveSecurity veröffentlicht.
„Wir prüfen derzeit, ob es eine Verbindung zwischen IsaacWiper und HermeticWiper gibt. IsaacWiper wurde bei einer ukrainischen Regierungsorganisation entdeckt, die nicht von HermeticWiper betroffen war“, sagt Jean-Ian Boutin, ESET Head of Threat Research.
Angriffe von langer Hand geplant
Die ESET-Forscher gehen davon aus, dass die betroffenen Organisationen schon lange vor dem Einsatz des Wipers kompromittiert wurden. „Diese Einschätzung basiert auf mehreren Fakten: den Zeitstempeln für die Kompilierung der HermeticWiper, von denen der älteste der 28. Dezember 2021 ist; dem Ausstellungsdatum des Codesignatur-Zertifikats vom 13. April 2021; und der Bereitstellung von HermeticWiper über die Standard-Domänenrichtlinie in mindestens einem Fall. Das deutet darauf hin, dass die Angreifer zuvor Zugriff auf einen der Active Directory-Server des Opfers hatten“, so Boutin weiter.
IsaacWiper tauchte am 24. Februar in der ESET-Telemetrie auf. Der älteste gefundene Zeitstempel für die Kompilierung war der 19. Oktober 2021, was bedeutet, dass IsaacWiper, wenn der Zeitstempel nicht manipuliert wurde, möglicherweise schon Monate zuvor in früheren Operationen verwendet wurde.
Weitere Angriffswelle mit IsaacWiper
Nur einen Tag nach dem Einsatz von IsaacWiper veröffentlichten die Angreifer eine neue Version mit Debug-Protokollen. Dies könnte darauf hindeuten, dass die Angreifer nicht in der Lage waren, einige der anvisierten Rechner zu löschen und Log-Meldungen hinzugefügt haben, um zu verstehen, was passiert ist. Die ESET Forscher waren bisher nicht imstande, diese Angriffe einem bekannten Bedrohungsakteur zuzuordnen, da es keine signifikanten Code-Ähnlichkeiten mit anderen Beispielen in der ESET Malware-Sammlung gibt.
HermeticWiper verbreitet sich in angegriffenen Organisationen
Im Fall von HermeticWiper hat ESET Hinweise für eine seitliche Bewegung des Schadprogramms innerhalb der angegriffenen Organisationen beobachtet und festgestellt, dass die Angreifer wahrscheinlich die Kontrolle über einen Active Directory-Server übernommen haben. Ein benutzerdefinierter Wurm, den die ESET Forscher HermeticWizard nannten, wurde zur Verbreitung des Wipers in den angegriffenen Netzwerken verwendet. Für den zweiten Wiper – IsaacWiper – verwendeten die Angreifer RemCom, ein Fernzugriffstool, und möglicherweise Impacket, um sich innerhalb des Netzwerks zu bewegen.
Ausserdem löscht sich HermeticWiper selbst von der Festplatte, indem er seine eigene Datei mit Zufallsbytes überschreibt. Diese Anti-Forensik-Massnahme soll wahrscheinlich die Analyse des Wipers nach einem Vorfall verhindern. Die Lockvogel-Ransomware HermeticRansom wurde zur gleichen Zeit wie HermeticWiper eingesetzt, möglicherweise um die Aktionen des Wipers zu verschleiern.
Der Begriff „Hermetic“ leitet sich von Hermetica Digital Ltd. ab, einem zypriotischen Unternehmen, auf das das Code-Signatur-Zertifikat ausgestellt wurde. Einem Bericht von Reuters zufolge wurde dieses Zertifikat offenbar nicht von Hermetica Digital gestohlen. Es ist vielmehr wahrscheinlich, dass sich die Angreifer als das zypriotische Unternehmen ausgaben, um dieses Zertifikat von DigiCert zu erhalten. ESET Research forderte das ausstellende Unternehmen DigiCert auf, das Zertifikat sofort zu widerrufen.
Ihre detaillierte Analyse zu den beiden Wiper-Schadprogrammen haben die ESET Forscher auf WeLiveSecurity veröffentlicht: www.welivesecurity.com/2022/03/01/isaacwiper-hermeticwizard-wiper-worm-targeting-ukraine
Ablauf der Cyberangriffe auf die Ukraine
- Am 23. Februar wurde das Schadprogramm HermeticWiper (zusammen mit HermeticWizard und HermeticRansom) gegen mehrere ukrainische Regierungsbehörden und Organisationen eingesetzt. Dieser Cyberangriff erfolgt wenige Stunden vor dem Beginn der russischen Invasion in der Ukraine.
- HermeticWiper löscht sich selbst von der Festplatte, indem er seine eigene Datei überschreibt. Dieses Vorgehen soll die Analyse des Vorfalls erschweren.
- HermeticWiper wird in kompromittierten lokalen Netzwerken durch einen benutzerdefinierten Wurm verbreitet, den wir HermeticWizard genannt haben.
- Am 24. Februar begann eine zweite Angriffswelle auf ein ukrainisches Regierungsnetzwerk, bei dem auch ein Wiper verwendet wurde, den ESET als IsaacWiper bezeichnet.
- Am 25. Februar veröffentlichten die Angreifer eine neue Version von IsaacWiper mit Debug-Protokollen, die darauf hindeuten, dass sie nicht in der Lage waren, einige der Zielcomputer zu löschen.
- Analyseergebnisse deuten darauf hin, dass die Angriffe seit mehreren Monaten geplant waren.
- ESET Sicherheitsexperten konnten diese Attacken noch keiner Hackergruppe zuordnen.
(ESET/mc/ps)