Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Gli analisti di Cisco Talos hanno segnalato che le infrastrutture critiche in Ucraina sono state attaccate da un nuovo malware che distrugge i dati chiamato PathWiper. I ricercatori scrivono che il payload è stato distribuito tramite uno strumento di amministrazione degli endpoint legittimo, il che significa che gli aggressori avevano accesso amministrativo al sistema di destinazione in anticipo.
Gli esperti paragonano PathWiper a un altro malware distruttivo, HermeticWiper (noto anche come FoxBlade, KillDisk e NEARMISS), precedentemente distribuito in Ucraina dal gruppo Sandworm. Data la somiglianza di queste minacce, si presume che PathWiper possa essere una continuazione di HermeticWiper e che il malware venga utilizzato in attacchi contro cluster di minacce identici o sovrapposti.
PathWiper viene distribuito sui sistemi di destinazione tramite un file batch di Windows che esegue un VBScript dannoso (uacinstall.vbs), che a sua volta scarica ed esegue il payload principale (sha256sum.exe). Si noti che, per eludere il rilevamento durante l’esecuzione, il malware imita il comportamento e utilizza nomi associati a uno strumento di amministrazione legittimo.
Invece di elencare semplicemente le unità fisiche come fa HermeticWiper, PathWiper identifica programmaticamente tutte le unità connesse (locali, di rete, non montate). Il malware sfrutta quindi la capacità dell’API di Windows di smontare i volumi per prepararli alla distruzione e crea un thread separato per ciascun volume per sovrascrivere le strutture NTFS critiche, tra cui:
PathWiper sovrascrive tutti i file NTFS critici con byte casuali, rendendo i sistemi di destinazione completamente inutilizzabili. Poiché gli attacchi studiati non comportavano estorsione o richieste finanziarie, gli esperti concludono che il loro unico obiettivo fosse distruggere dati e compromettere i sistemi.
Gli esperti concludono che PathWiper è l’ennesima aggiunta alla lista dei programmi che hanno preso di mira l’Ucraina negli ultimi anni, tra cui WhisperGate , WhisperKill , HermeticWiper , IsaacWiper , DoubleZero , CaddyWiper e AcidRain .
