Un año de ataques de wiper apuntando a Ucrania

Este artículo elaboramos una recopilación de los ataques disruptivos en los que se utilizó malware del tipo wiper en Ucrania desde comienzos de 2022, poco antes del comienzo de la invasión militar rusa. La mayoría de los ataques los atribuimos con gran confianza al grupo Sandworm. Esta recopilación incluye ataques detectados por ESET, así como también algunos reportados por otras fuentes acreditadas como el CERT-UA, Microsoft y SentinelOne.

Nota: Las fechas aproximadas (~) se utilizan cuando la fecha exacta en que se desplegó el ataque es incierta o desconocida. En algunos casos, se utiliza la fecha de descubrimiento o (en el caso de descubrimientos que no son de ESET) la fecha de publicación del ataque.

Previo a la invasión

Entre las numerosas oleadas de ataques de DDoS que apuntaron a instituciones ucranianas en ese momento, el malware WhisperGate apareció el 14 de enero de 2022. Este malware del tipo wiper se hizo pasar por un  ransomware, al igual que lo hizo NotPetya en junio de 2017, una táctica que también veríamos en ataques posteriores.

El 23 de febrero de 2022, una campaña destructiva que utilizó HermeticWiper apuntó a cientos de sistemas en al menos cinco organizaciones ucranianas. Este malware que destruye datos fue detectado por primera vez justo antes de las 17:00 hora local (15:00 UTC). Durante unas pocas horas después de la invasión de Ucrania por parte de las fuerzas de la Federación Rusa el ciberataque continuó. Junto con HermeticWiper, el gusano informático HermeticWizard y el falso ransomware HermeticRansom también se desplegaron en esta campaña.

Después de la invasión

El 24 de febrero de 2022, con el fin del invierno ucraniano, comenzó un segundo ataque destructivo contra una red gubernamental ucraniana en el cual se utilizó un wiper que hemos llamado IsaacWiper.

Por otra parte, el día de la invasión también se registró la campaña de wipers AcidRain, la cual se centró en los módems Viasat KA-SAT y se extendió fuera de Ucrania.

Otro wiper revelado inicialmente por Microsoft es DesertBlade, supuestamente desplegado el 1 de marzo de 2022 y luego nuevamente alrededor del 17 de marzo de 2022. El mismo reporte de Microsoft también menciona otros ataques que utilizan wipers de la campaña Hermetic, como son HermeticWiper (que Microsoft lo llama FoxBlade) alrededor 10 de marzo de 2022, HermeticRansom (que Microsoft lo llama SonicVote) alrededor del 17 de marzo de 2022, y un ataque alrededor del 24 de marzo de 2022 utilizando HermeticWiper y HermeticRansom.

El CERT-UA (Equipo de respuesta ante emergencias informáticas de Ucrania) informó sobre el hallazgo del wiper DoubleZero el 17 de marzo de 2022.

El 14 de marzo de 2022, los investigadores de ESET detectaron un ataque con CaddyWiper que tenía como objetivo un banco ucraniano.

El 1 de abril de 2022 detectamos nuevamente a CaddyWiper, esta vez siendo cargado por el loader cargador ArguePatch, que generalmente es un binario legítimo modificado que se usa para cargar el shellcode desde un archivo externo. Detectamos un escenario similar el 16 de mayo de 2022, donde ArguePatch tomó la forma de un binario de ESET modificado.

También detectamos el tándem ArguePatch-CaddyWiper el 8 de abril de 2022, en lo que tal vez fue uno de los ataques más ambiciosos de Sandworm desde el comienzo de la invasión, ya que el objetivo era interrumpir el flujo de electricidad utilizando Industroyer2. Además de ArguePatch y CaddyWiper, en este incidente también descubrimos el uso de wipers para plataformas que no son de Windows: ORCSHRED, SOLOSHRED y AWFULSHRED. Para obtener más información, consulte la notificación del CERT-UA y nuestra publicación en WeLiveSecurity.

Un verano tranquilo

Durante los meses del verano europeo fueron menos los hallazgos de nuevas campañas de wipers apuntando a Ucrania en comparación con los meses anteriores, pero se produjeron varios ataques destacados.

Hemos trabajado junto con el CERT-UA en casos donde se desplegó ArguePatch (y CaddyWiper) contra instituciones ucranianas. El primer incidente tuvo lugar en la semana del 20 de junio de 2022 y otro el 23 de junio de 2022.

Ola de ataques durante el otoño

Con la baja de las temperaturas previo al invierno, el 3 de octubre de 2022 detectamos una nueva versión de CaddyWiper desplegada en Ucrania. A diferencia de las variantes utilizadas anteriormente, esta vez CaddyWiper se compiló como un binario de Windows x64.

El 5 de octubre de 2022 identificamos una nueva versión de HermeticWiper fue subida a VirusTotal. La funcionalidad de esta muestra de HermeticWiper era la misma que en las instancias anteriores, con algunos cambios menores.

El 11 de octubre de 2022 detectamos que se desplegó el ransomware Prestige contra empresas de logística en Ucrania y Polonia. Esta campaña también fue reportada por Microsoft.

El mismo día también identificamos un wiper previamente desconocido al que llamamos NikoWiper. Este wiper se utilizó contra una empresa del sector energético en Ucrania. NikoWiper se basa en la utilidad de línea de comandos SDelete de Microsoft para eliminar archivos de forma segura.

El 11 de noviembre de 2022, CERT-UA publicó una publicación de blog sobre un ataque con el falso ransomware Somia.

El 21 de noviembre de 2022 detectamos en Ucrania un nuevo ransomware escrito en .NET al que llamamos RansomBoggs. El ransomware tiene múltiples referencias a la película Monsters, Inc. Observamos que los operadores del malware usaron scripts POWERGAP para desplegar este ransomware.

Enero de 2023

En 2023 los ataques disruptivos contra las instituciones ucranianas continúan.

El 1 de enero de 2023 detectamos la ejecución de la utilidad SDelete en un distribuidor de software ucraniano.

Otro ataque con múltiples wipers, esta vez contra una agencia de noticias ucraniana, tuvo lugar el 17 de enero de 2023, según el CERT-UA. En este ataque se detectaron los siguientes wipers: CaddyWiper, ZeroWipe, SDelete, AwfulShred y BidSwipe. BidSwipe es digno de mención, ya que es un wiper para el sistema operativo FreeBSD.

El 25 de enero de 2023 detectamos un nuevo wiper, escrito en Go, al que llamamos SwiftSlicer, que se estaba desplegando contra entidades gubernamentales locales de Ucrania.

En casi todos los casos mencionados anteriormente, Sandworm usó la Política de Active Directory Group (T1484.001) para implementar sus wipers y ransomware, específicamente usando el script POWERGAP.

Conclusion

El uso de malware disruptivo como son los wipers —e incluso wipers disfrazados de ransomware— por parte de grupos APT rusos —especialmente Sandworm— contra organizaciones ucranianas no es nuevo. Desde aproximadamente 2014 que el grupo de APT BlackEnergy utilizó plugins disruptivos. El wiper KillDisk fue un denominador común en los ataques de Sandworm en el pasao, mientras que el subgrupo Telebots ha lanzado numerosos ataques de wipers, siendo el más infame NotPetya.

Sin embargo, la intensificación de las campañas en las que se utiliza malware del tipo wiper desde la invasión militar en febrero de 2022 no tiene precedentes. Como nota positiva, muchos de los ataques han sido detectados y frustrados. Sin embargo, continuamos monitoreando atentamente la situación, ya que esperamos que los ataques continúen.

Indicadores de Compromiso

Archivos