Hackare som använder SwiftSlicer Wiper för att förstöra Windows-filer, säger säkerhetsforskare

Cybersäkerhetsforskare har identifierat en ny skadlig programvara som sägs vara riktad mot Ukraina. Den skadliga programvaran, som upptäckts av cybersäkerhetsföretaget ESET, är avsedd att skriva över filer som används av Microsofts Windows-operativsystem. Säkerhetsforskarna skyllde attacken på en grupp kallad "Sandworm" som upprepade gånger har anklagats för att utföra cyberattacker. Hackingteamet påstås ha distribuerat en ny wiper kallad SwiftSlicer med Active Directory Group Policy. När den väl har körts tar SwiftSlicer bort skuggkopior, skriver successivt över filer i systemet och icke-systemenheter och startar sedan om datorn.

Säkerhetsföretaget ESET upptäckte nyligen en cyberattack som riktade sig mot Ukraina. Attacken har tillskrivits Sandworm och ägde rum den 25 januari. Teamet ska vara en av hackningsgrupperna i Rysslands huvuddirektorat för generalstaben för de väpnade styrkorna i Ryska federationen (även känd som GRU) och anklagas ofta för utföra cyberattacker. Den nya skadliga programvaran är skriven i programmeringsspråket Go.

"Angripare distribuerade en ny torkare som vi döpte #SwiftSlicer med hjälp av Active Directory Group Policy. #SwiftSlicer-torkaren är skriven i programmeringsspråket Go. Vi tillskriver denna attack till #Sandworm", ESET avslöjade via Twitter.

ESET-forskare förklara att SwiftSlicer-torkaren tar bort skuggkopior på Windows-systemet efter körning. Skadlig programvara skriver sedan rekursivt (successivt) över flera filer som finns i systemdrivrutiner såväl som icke-systemenheter och startar sedan om datorn. För att skriva över använder den ett block på 4096 byte, fyllt med slumpmässigt genererade byte, enligt ESET.

Enligt Ukrainas Computer Emergency Response Team (CERT-UA) utplacerade Rysslands Sandworm fem avtorkningsattacker mot Ukrainas nationella nyhetsbyrå – Ukrinform.

I ett rådgivande, uppger CERT-UA att man upptäckte CaddyWiper, ZeroWipe, SDelete, AwfulShred och BidSwipe wipervarianter installerade på nyhetsbyråns system. Av dessa var de tre första riktade mot Windows-system, medan AwfulShred och BidSwipe riktade in sig på Linux- och FreeBSD-system på Ukrinform. Attacken lyckades endast delvis och påverkade inte nyhetsbyråns verksamhet.