ESET: Συνδέει διακοπή ρεύματος με κυβερνοκατασκοπεία

14:22 5/1/2016 - Πηγή: Sigma Live

Οι κυβερνοεπιθέσεις ενάντια σε εταιρίες παροχής ηλεκτρικής ενέργειας στην Ουκρανία το Δεκέμβριο 2015 συνδέονται με επιθέσεις σε μέσα ενημέρωσης και στοχευμένη κυβερνο-κατασκοπεία ενάντια σε Ουκρανικές κυβερνητικές υπηρεσίες.

Αναλύοντας το κακόβουλο λογισμικό των επιθέσεων αυτών, KillDisk, οι ερευνητές της ESET διαπίστωσαν ότι η νέα παραλλαγή του συγκεκριμένου malware, περιλαμβάνει κάποια πρόσθετη

λειτουργία με στόχο να σαμποτάρει βιομηχανικά συστήματα.

Στις 23 Δεκεμβρίου τα μισά σπίτια της ς, επηρεάζοντας ανθρώπους Οι της την οποία πρώτο από όλα τα ά το, καθώς και άλλοι πάροχοι αποτελέσει κυβερνο-ιών

Σύμφωνα με τους ερευνητές της ESET, οι επιτιθέμενοι χρησιμοποιήσαν το backdoor του BlackEnergy για να εμφυτέψουν ένα στοιχείο του KillDisk στους υπολογιστές που στόχευαν, για να καταστήσουν αδύνατη τη λειτουργία της επανεκκίνησης.

Το έχει σπονδυλωτή δομή και περιλαμβάνει διάφορα στοιχεία, τα οποία γίνονται για να εκτελέσουν συγκεκριμένα καθήκοντα. Το 2014, χρησιμοποιήθηκε σε μια σειρά από επιθέσεις κατασκοπείας στον κυβερνοχώρο εναντίον στόχων υψηλού προφίλ στην Ουκρανία, που είχαν σχέση με την κυβέρνηση. Στις πρόσφατες επιθέσεις κατά των εταιρειών ηλεκτρικής ενέργειας, έγινε λήψη και εκτέλεση ενός καταστρεπτικού trojan KillDisk, σε συστήματα που είχαν ήδη μολυνθεί με το BlackEnergy.

Η πρώτη γνωστή σχέση μεταξύ BlackEnergy και KillDisk αναφέρθηκε από το ουκρανικό πρακτορείο ασφάλειας στον κυβερνοχώρο, CERT-UA, το Νοέμβριο του 2015. Στη συγκεκριμένη περίπτωση, ένας αριθμός εταιριών του χώρου των μέσων μαζικής ενημέρωσης είχε δεχθεί επίθεση κατά τη διάρκεια των τοπικών ουκρανικών εκλογών του 2015. Η αναφορά υποστηρίζει ότι, εξαιτίας της επίθεσης, ένας μεγάλος αριθμός βίντεο και διάφορων εγγράφων έχουν καταστραφεί.

Η παραλλαγή KillDisk, που χρησιμοποιήθηκε στις πρόσφατες επιθέσεις εναντίον ουκρανικών εταιριών παροχής ηλεκτρικής ενέργειας, περιείχε επίσης κάποια πρόσθετη λειτουργία. Εκτός του ότι μπορεί να διαγράψει αρχεία του συστήματος για να καταστεί αδύνατη η επανεκκίνηση του συστήματος – μία τυπική λειτουργία τέτοιων καταστροφικών trojans - η συγκεκριμένη παραλλαγή περιείχε ένα κώδικα που προορίζονται ειδικά για να σαμποτάρει βιομηχανικά συστήματα.

Εκτός από τη συνηθισμένη λειτουργία του, το KillDisk θα προσπαθήσει επίσης να τερματίσει διαδικασίες που παραδοσιακά ανήκουν σε μια πλατφόρμα που χρησιμοποιείται συνήθως σε βιομηχανικά συστήματα ελέγχου», εξηγεί ο Anton Cherepanov, ερευνητής Malware στην ESET.

Αν οι διαδικασίες αυτές εντοπιστούν στο σύστημα, το trojan όχι μόνο δεν θα τις τερματίσει, αλλά επιπλέον θα αντικαταστήσει το αντίστοιχο εκτελέσιμο αρχείο τους στο σκληρό δίσκο με τυχαία δεδομένα, προκειμένου να καταστήσει την αποκατάσταση του συστήματος ακόμη πιο δύσκολη. «Σύμφωνα με την ανάλυση που έχουμε διεξάγει στο καταστροφικό malware KillDisk που έχει εντοπιστεί σε αρκετές εταιρείες ηλεκτρικής ενέργειας στην Ουκρανία, το ίδιο σύνολο εργαλείων που χρησιμοποιήθηκε με επιτυχία στις επιθέσεις εναντίον των ουκρανικών μέσων μαζικής ενημέρωσης το Νοέμβριο του 2015, είναι θεωρητικά ικανό να σταματήσει τη λειτουργία κρίσιμων συστημάτων» καταλήγει ο Cherepanov.