Tietoturvatutkijat sanovat, että hakkerit käyttävät SwiftSlicer Wiperiä tuhoamaan Windows-tiedostoja

Kyberturvallisuustutkijat ovat tunnistaneet uuden haittaohjelman, jonka kerrotaan olevan suunnattu Ukrainaan. Kyberturvallisuusyhtiö ESETin havaitsema haittaohjelma on tarkoitettu Microsoftin Windows-käyttöjärjestelmän käyttämien tiedostojen päälle. Turvallisuustutkijat syyttivät hyökkäyksestä "Sandworm"-nimistä ryhmää, jota on toistuvasti syytetty kyberhyökkäyksistä. Hakkerointitiimin väitetään ottaneen käyttöön uuden pyyhkimen nimeltä SwiftSlicer käyttämällä Active Directoryn ryhmäkäytäntöä. Kun SwiftSlicer on suoritettu, se poistaa varjokopiot, korvaa peräkkäin järjestelmässä ja muissa asemissa olevat tiedostot ja käynnistää sitten tietokoneen uudelleen.

Tietoturvayritys ESET löysi hiljattain kyberhyökkäyksen, joka kohdistui Ukrainaan. Hyökkäyksen on katsottu olevan Sandwormin syyksi ja se tapahtui 25. tammikuuta. Ryhmän väitetään olevan yksi Venäjän federaation puolustusvoimien pääesikunnan pääosaston (tunnetaan myös nimellä GRU) hakkerointiryhmistä, ja sitä syytetään usein suorittaa kyberhyökkäyksiä. Uusi haittaohjelma on kirjoitettu Go-ohjelmointikielellä.

"Hyökkääjät ottivat käyttöön uuden pyyhkimen, jonka nimesimme #SwiftSlicer Active Directoryn ryhmäkäytännön avulla. #SwiftSlicer-pyyhin on kirjoitettu Go-ohjelmointikielellä. Pidämme tämän hyökkäyksen syyksi #Sandworm", ESET paljasti Twitterin kautta.

ESETin tutkijat selittää että SwiftSlicer-pyyhin poistaa varjokopiot Windows-järjestelmästä suorituksen jälkeen. Haittaohjelma korvaa sitten rekursiivisesti (peräkkäin) useita tiedostoja, jotka sijaitsevat järjestelmäohjaimissa sekä muissa asemissa, ja käynnistää sitten tietokoneen uudelleen. Korvaamiseen se käyttää 4096 tavun pituista lohkoa, joka on täytetty satunnaisesti luoduilla tavuilla ESETin mukaan.

Ukrainan Computer Emergency Response Teamin (CERT-UA) mukaan Venäjän Sandworm teki viisi pyyhkivää hyökkäystä Ukrainan kansallista uutistoimistoa – Ukrinformia – vastaan.

Neuvoa-antavana, CERT-UA kertoo löytäneensä uutistoimiston järjestelmiin asennetut CaddyWiper-, ZeroWipe-, SDelete-, AwfulShred- ja BidSwipe-pyyhkimien variantit. Näistä kolme ensimmäistä kohdistuivat Windows-järjestelmiin, kun taas AwfulShred ja BidSwipe kohdistuivat Ukrinformin Linux- ja FreeBSD-järjestelmiin. Hyökkäys onnistui vain osittain, eikä se vaikuttanut uutistoimiston toimintaan.