Malware penghapus data baru bernama ‘Pathwiper’ sedang digunakan dalam serangan yang ditargetkan terhadap infrastruktur kritis di Ukraina, yang bertujuan mengganggu operasi di negara tersebut.
Payload dikerahkan melalui alat administrasi titik akhir yang sah, menunjukkan bahwa penyerang telah mencapai akses administratif ke sistem melalui kompromi sebelumnya.
Peneliti cisco talos yang menemukan serangan itu mengaitkannya dengan kepercayaan tinggi dengan ancaman persisten canggih yang terkait dengan Rusia (APT).
Para peneliti membandingkan Pathwiper dengan Hermeticwiperyang sebelumnya dikerahkan di Ukraina oleh kelompok ancaman ‘cacing pasir’, yang memiliki fungsionalitas serupa.
Oleh karena itu, Pathwiper dapat menjadi evolusi hermeticwiper, yang digunakan dalam serangan oleh kelompok ancaman yang sama atau tumpang tindih.
Kemampuan destruktif Pathwiper
Pathwiper mengeksekusi pada sistem target melalui file batch windows yang meluncurkan vbscript berbahaya (uacinstall.vbs), yang pada gilirannya turun dan menjalankan muatan primer (sha256sum.exe)[[Virustotal].
Eksekusi meniru perilaku dan nama yang terkait dengan alat admin yang sah untuk menghindari deteksi.
Alih -alih hanya menyebutkan drive fisik seperti HermeticWiper, Pathwiper secara terprogram mengidentifikasi semua drive yang terhubung (lokal, jaringan, turun) pada sistem.
Selanjutnya, ia menyalahgunakan API Windows untuk menurunkan volume untuk mempersiapkannya untuk korupsi dan kemudian menciptakan utas untuk setiap volume untuk menimpa struktur NTFS yang kritis.
Di antara file sistem yang ditargetkan di direktori root NTF adalah:
- Mbr (Catatan Boot Master): Sektor pertama disk fisik yang memegang tabel bootloader dan partisi.
- $ Mft (Tabel File Master): File sistem inti NTFS yang membuat katalog semua file dan direktori, termasuk metadata dan lokasi mereka di disk.
- $ Logfile: Jurnal digunakan untuk pencatatan transaksi NTFS, melacak perubahan file, dan membantu dengan pemeriksaan integritas dan pemulihan.
- $ Boot: File yang berisi sektor boot dan informasi tata letak sistem file.
Pathwiper menimpa di atas dan lima file NTFS kritis lainnya dengan byte acak, membuat sistem yang terkena dampak sepenuhnya tidak dapat dioperasikan.
Serangan yang diamati tidak melibatkan pemerasan atau segala bentuk tuntutan keuangan, sehingga tujuan mereka satu -satunya adalah kerusakan dan gangguan operasional.
Cisco Talos menerbitkan hash file dan aturan mendengus untuk membantu mendeteksi ancaman dan menghentikannya sebelum merusak drive.
Wiper data telah menjadi alat yang kuat dalam serangan di Ukraina sejak perang dimulai, dengan aktor ancaman Rusia biasanya menggunakannya untuk mengganggu operasi kritis di negara itu.
Ini termasuk wiper bernama Doublezero, Caddywiper, Hermeticwiper, IsaacWiper, Whisperkill, WhispergateDan Acidrain.
Mengapa timnya membuang manajemen tambalan manual
Patching digunakan untuk berarti skrip yang kompleks, berjam -jam, dan latihan api yang tak ada habisnya. Tidak lagi.
Dalam panduan baru ini, tines meruntuhkan bagaimana modern IT Orgs naik level dengan otomatisasi. Patch lebih cepat, mengurangi overhead, dan fokus pada pekerjaan strategis – tidak ada skrip kompleks yang diperlukan.
