Güvenlik araştırmacıları, Windows işletim sistemi tarafından kullanılan önemli dosyaların üzerine yazmayı amaçlayan SwiftSlicer adlı yeni bir veri açan kötü amaçlı yazılım belirlediler.
Yeni kötü amaçlı yazılımlar, Ukrayna'daki bir hedefe karşı yakın zamanda yapılan bir siber saldırıda keşfedildi ve Rusya'nın Genel Personel Ana İstihbarat Müdürlüğü (GRU) için çalışan bir hack grubu olan Sandworm'a atfedildi (GTSST) Özel Teknolojiler Merkezi 74455 Merkezi 74455 .
Şu anda SwiftSlicer hakkında ayrıntılar yetersiz olsa da, siber güvenlik şirketi ESET'teki güvenlik araştırmacıları, Ukrayna'daki bir siber saldırı sırasında dağıtılan yıkıcı kötü amaçlı yazılımları bulduklarını söylüyorlar.
Hedefin adı yayınlanmadı, son Sandworm etkinliği Ukrayna Ulusal Haber Ajansı Ukrinform'a veri açma saldırısı içeriyor.
Bununla birlikte, ESET'in 25 Ocak'ta keşfettiği saldırıda, tehdit oyuncusu daha önce Ukrayna hedeflerine yapılan diğer saldırılarda gözlemlenen Caddywiper adlı farklı bir yıkıcı kötü amaçlı yazılım başlattı [1, 2].
ESET, Sandworm'un Active Directory Grubu ilkesini kullanarak SwiftSlicer'ı başlattığını ve bu da etki alanı yöneticilerinin Windows ağındaki tüm cihazlar boyunca komut dosyalarını ve komutları yürütmesine izin verdiğini söylüyor.
ESET araştırmacıları, SwiftSlicer'ın Gölge kopyalarını silmek ve Windows Sistem Dizini, özellikle sürücüler ve Active Directory veritabanındaki kritik dosyaların üzerine yazmak için dağıtıldığını söylüyor.
%CSIDL_SYSTEM_DRIVE %\ Windows \ NTDS klasörünün özel hedeflemesi, silecekin yalnızca dosyaları yok etmek için değil, aynı zamanda tüm Windows alanlarını da indirmek için olduğunu gösterir.
SwiftSlicer, rastgele oluşturulan baytlarla doldurulmuş 4096 bayt blok kullanarak verilerin üzerine yazar. ESET araştırmacıları, veri tahribat işini tamamladıktan sonra kötü amaçlı yazılım sistemleri yeniden başlatıyor.
Araştırmacılara göre, Sandworm, çok yönlülüğü için çoklu tehdit aktörleri tarafından benimsenen Golang programlama dilinde Swift Swiftslicer geliştirdi ve tüm platformlar ve donanımlar için derlenebilir.
Kötü amaçlı yazılımlar sadece son zamanlarda (26 Ocak'ta gönderilmiştir) virüs toplam veritabanına eklenmiş olsa da, şu anda tarama platformunda bulunan antivirüs motorlarının yarısından fazlası tarafından tespit edilmektedir.
Bugün bir raporda, Ukraynalı Bilgisayar Acil Müdahale Ekibi (CERT-UA), Sandworm'un UkRinform haber ajansının ağında beş veri yok etme yardımcı programı kullanmaya çalıştığını söylüyor:
Ajansın soruşturması, Sandworm'un kötü amaçlı yazılımları ağdaki bilgisayarlara bir Grup Politikası Nesnesi (GPO) kullanarak dağıttığını ortaya koydu - yöneticilerin bir aktif dizin ortamında işletim sistemlerini, uygulamaları ve kullanıcı ayarlarını yapılandırmak için kullandığı bir dizi kural, aynı yöntem de kullanılan SwiftSlicer'ı yürütmek için.
Ukrayna: Sandworm hacker'ları 5 veri silmesiyle haber ajansına vurdu
Ukrayna, haber ajansına verilen veri açma saldırısını Rus hacker'lara bağlar
Microsoft, kış boyunca Rus siber saldırıları konusunda uyarıyor
Ukraynalı Govt Networks, Truva Azalanmış Windows 10 Montajcılar aracılığıyla ihlal edildi
Masif DDOS Saldırısı
Kaynak: Bleeping Computer