Todos estamos cientes do conflito em curso entre a Rússia e a Ucrânia. À medida que a guerra física se desenrola no terreno, também surgem ciberataques contra a Rússia e a Ucrânia. Observamos um aumento nas atividades cibernéticas maliciosas conforme o conflito evolui ao longo das semanas. Este artigo aborda a maioria dos ataques maliciosos noticiados relacionados à guerra cibernética entre a Rússia e a Ucrânia.
- Limpador hermético:
Isso foi observado pela primeira vez em 23 de fevereiro e tem como alvo a Ucrânia. O HermeticWiper recebeu esse nome devido ao certificado da Hermetica Digital Ltd., que ele contém. Ele explora o driver legítimo do EaseUS, apagando o processo carregando-o como um serviço. Ele também desabilita os despejos de memória com a ajuda de entradas de registro e cópias de sombra de volume por meio do serviço. Ele sobrescreve MBR, MFT e arquivos em vários locais com bytes aleatórios. A máquina infectada não inicializa devido à sobrescrição do MBR.
- WhisperGate:
Este é um malware destrutivo que foi observado pela primeira vez em 13 de janeiro de 2022 e tem como alvo a Ucrânia. Ele corrompe o disco sobrescrevendo o código MBR com código assembly de 16 bits e uma nota de resgate. Neste caso, a nota de resgate é apenas uma tática, pois não há como recuperá-lo. Se a sobrescrita do MBR falhar, há um segundo estágio envolvido, que utiliza um corrompidor de arquivos. Este malware sobrescreve arquivos de extensão específicos em diretórios específicos com um número fixo de bytes 2xCC, adicionando extensões aleatórias ao nome do arquivo.
- Isaac Wiper:
Mais um malware direcionado à Ucrânia. O Isaac Wiper foi detectado pela primeira vez em 24 de fevereiro de 2022. Ele identifica unidades físicas e apaga os primeiros 0x10000 bytes de cada disco. Este malware também pode identificar unidades lógicas e apagar todos os arquivos nessas unidades com bytes aleatórios.
- RURansom:
Apesar do nome, o RURansom é um limpador de arquivos e não uma variante de ransomware, devido à destruição irreversível de arquivos criptografados. Ele se espalha como um worm, copiando-se para todos os discos removíveis e unidades de rede mapeadas. Após a disseminação, ele inicia a criptografia de todas as extensões de arquivo, exceto os arquivos ".bak", que são excluídos. Os arquivos são criptografados com uma chave gerada aleatoriamente com comprimento igual a base64. O algoritmo de criptografia usado pelo RURansom é o AES-CBC.
As chaves de criptografia usadas pelo RURansom são exclusivas para cada arquivo criptografado e não são armazenadas em nenhum lugar. Isso torna a criptografia irreversível e caracteriza o malware como um wiper, e não como uma variante de ransomware. Algumas variantes de malware verificam o endereço IP para evitar a execução fora da Rússia.
Como a Seqrite proteger seus usuários?
Seqrite Detecta os malwares listados acima com os seguintes nomes de detecção:
- Sussurros.S26928601
- Sussurros.S26928613
- WhisperGateCiR
- HrmetcWipr.S26876287
- HermeticWiperCiR
- Limpador hermético
- Win32CiR
- RURansom
- Msil
Conclusão
Com a continuidade dos conflitos entre Rússia e Ucrânia, os autores de malware estão usando novas ferramentas e truques para atrair vítimas. A melhor defesa contra esses ataques cibernéticos em constante evolução é manter-se vigilante e praticar práticas de higiene cibernética seguras.
Mantenha o seu Seqrite Os produtos EPS foram atualizados com as definições de vírus mais recentes. Nós, da [nome da empresa], Seqrite Estamos monitorando continuamente todos os desenvolvimentos e atualizaremos nossas detecções em tempo hábil. Até o momento, já temos proteção contra todos os malwares relatados.
