La APT rusa lanza otra variante mortal del malware AcidRain Wiper

Los investigadores han descubierto una versión más peligrosa y prolífica del malware Wiper que fue utilizado por la inteligencia militar rusa para interrumpir el servicio de banda ancha satelital en Ucrania poco antes de la invasión rusa del país en febrero de 2022.

La nueva variante «vertido de ácido,“comparte numerosas similitudes con su predecesor, pero está compilado para la arquitectura X86, a diferencia de AcidRain, que apuntaba a sistemas basados ​​en MIPS. El nuevo limpiador también incluye funciones para su uso contra una gama significativamente más amplia de objetivos que AcidRain, según los investigadores de SentinelOne, quienes descubrieron el peligro.

Mayores capacidades destructivas

«Las capacidades de destrucción avanzadas de AcidPour incluyen la lógica Linux Unsorted Block Image (UBI) y Device Mapper (DM) que afecta a los dispositivos portátiles, IoT, redes o, en algunos casos, dispositivos ICS», dijo Tom Hegel, investigador principal de amenazas en Sentinel One. «Dispositivos como redes de área de almacenamiento (SAN), almacenamiento conectado a la red (NAS) y matrices RAID dedicadas ahora también entran dentro del alcance del impacto de AcidPour».

Otra característica nueva de AcidPour es una función de autoeliminación que elimina todos los rastros del malware de los sistemas infectados, afirma Hegel. En general, AcidPour es un limpiador relativamente más sofisticado que AcidRain, afirma, señalando su uso excesivo de ramificación de procesos y la repetición injustificada de ciertas operaciones como ejemplos de su descuido general.

SentinelOne descubrió AcidRain en febrero de 2022 tras un ciberataque desconectó aproximadamente 10.000 módems satelitales conectado a la red KA-SAT del proveedor de comunicaciones Viasat. El ataque interrumpió el servicio de banda ancha para miles de clientes en Ucrania y decenas de miles de personas en Europa. SentinelOne concluyó que el malware probablemente era obra de un grupo vinculado a Sandworm (también conocido como APT 28, Fancy Bear y Sofacy), una empresa rusa responsable numerosos ciberataques disruptivos en Ucrania.

Los investigadores de SentinelOne descubrieron por primera vez la nueva variante, AcidPour, el 16 de marzo, pero aún no han visto a nadie usándola en un ataque real.

Lazos de gusanos de arena

Su análisis inicial del limpiaparabrisas reveló varias similitudes con AcidRain, que luego confirmó una inmersión más profunda posterior. Entre las superposiciones notables que SentinelOne descubrió se encontraba el uso por parte de AcidPour del mismo mecanismo de reinicio que AcidRain y una lógica idéntica para eliminar directorios de forma recursiva.

SentinelOne también descubrió que el mecanismo de eliminación basado en IOCTL de AcidPour es el mismo que el mecanismo de eliminación en AcidRain y en VPNFilter, un plataforma de ataque modular que el Departamento de Justicia de EE.UU. ha asociado con gusano de arena. IOCTL es un mecanismo para borrar o eliminar datos de dispositivos de almacenamiento de forma segura mediante el envío de comandos específicos al dispositivo.

“Uno de los aspectos más interesantes de AcidPour es su estilo de codificación, que recuerda al pragmático Caddy limpiaparabrisas se utiliza junto con malware conocido como B. también se utiliza con frecuencia contra objetivos ucranianos. Industria 2dijo SentinelOne. Tanto CaddyWiper como Industroyer 2 son malware utilizados por grupos estatales respaldados por Rusia para llevar a cabo ataques destructivos contra organizaciones en Ucrania, incluso antes de que Rusia invada el país en febrero de 2022.

El CERT de Ucrania analizó AcidPour y atribuyó el UAC-0165 a un actor de amenazas que forma parte del grupo Sandworm, dijo SentinelOne.

AcidPour y AcidRain se encuentran entre los numerosos limpiadores que los actores rusos han utilizado contra objetivos ucranianos en los últimos años, y especialmente después del inicio de la actual guerra entre los dos países. Aunque el actor de la amenaza en el ataque de Viasat logró desconectar miles de módems, la empresa pudo recuperarlos y volver a implementarlos después de que se eliminó el malware.

Sin embargo, en muchos otros casos, las empresas se han visto obligadas a deshacerse de los sistemas después de un ataque de limpieza. Uno de los ejemplos más notables es 2012. chamoon Ataque de limpieza contra Saudi Aramco, que paralizó aproximadamente 30.000 sistemas de la empresa.

Como fue el caso de Shamoon y AcidRain, los actores de amenazas normalmente no necesitaban desarrollar limpiadores sofisticados para ser efectivos. Porque la única función del malware es sobrescribir o eliminar datos de los sistemas y dejarlos inutilizables. Tácticas de evasión y no se requieren técnicas de ofuscación asociadas con el robo de datos y los ataques de ciberespionaje.

La mejor manera de protegerse contra los limpiadores (o de limitar el daño causado por ellos) es implementar las mismas defensas que el ransomware. Esto significa tener copias de seguridad de los datos críticos y garantizar capacidades y planes sólidos de respuesta a incidentes.

La segmentación de la red también es crucial porque los limpiadores son más efectivos cuando pueden propagarse a otros sistemas. Por lo que este tipo de postura defensiva ayuda a prevenir los movimientos laterales.