Directoratul de Securitate Cibernetică: Un nou malware distructiv, folosit activ în contextul escaladării conflictului militar din Ucraina pentru atacuri

Un nou malware distructiv, numit HermeticWiper (alias KillDisk.NCV), este folosit activ în contextul escaladării conflictului militar din Ucraina pentru atacuri cibernetice care au ca țintă organizații guvernamentale și private, avertizează Directoratul Naţional de Securitate Cibernetică. Acesta afectează factori de decizie, personal tehnic, dar și utilizatori obișnuiți. Până în acest moment, Directoratul nu a înregistrat la nivelul României atacuri HermeticWiper.

HermeticWiper este un executabil mic, de aproximativ 115KB, semnat digital cu un certificat emis către “Hermetica Digital Ltd” și valabil în perioada aprilie 2021 – aprilie 2022.

Malware-ul se folosește de un driver legitim (asociat cu software-ul EaseUS Partition Master) pentru a corupe datele de pe harddisk-uri, inclusiv zona MBR (Master Boot Record). Pasul final al atacului cu HermeticWiper este inactivarea computer-ului victimă prin repornirea acestuia.

Recomandări Video

Articolul continuă mai jos

„România dezvoltată cu 90 miliarde euro de la UE. Ce urmează?”

2:04:19

Conferința Economedia: A.I. PLAY în business și administrație – Panel 2

1:18:45

Conferința Economedia: A.I. PLAY în business și administrație – Panel 1

1:41:24

Mateusz Majewski, UiPath, la conferința Economedia A.I. PLAY în business și administrație

2:50

Elisabeta Moraru, Google România, la conferința Economedia A.I. PLAY în business și administrație

1:11

Atacurile cu HermeticWiper au fost cel mai probabil pregătite cu câteva luni în avans, atacatorii obținând acces la rețelele / infrastructura victimelor încă din noiembrie 2021, exploatând inițial vulnerabilități cunoscute ale serverelor Microsoft Exchange sau Apache Tomcat, spun specialiștii.

Accesul inițial a fost, de obicei, urmat de furt de credențiale de acces, mișcare laterală și web shells. HermeticWiper se propagă la nivel de Active Directory prin intermediul Group Policy Objects (GPO). Aceasta este o indicație a faptului că atacul este inițiat când atacatorii au preluat deja controlul parțial sau complet asupra rețelei / infrastructurii informatice.

Până în acest moment, Directoratul nu a înregistrat la nivelul României atacuri HermeticWiper.

Recomandările DNSC:

• Creați, actualizați, întrețineți și exersați periodic capacitățile de răspuns la incidente cibernetice, precum și planurile de continuitate și reziliență în cazul pierderii accesului sau controlului rețelei / infrastructurii informatice.
• Revizuiți strategia de back-up implementată la nivel de organizație, având în vedere că datele afectate / șterse de HermeticWiper nu pot fi recuperate.
• Aplicați imediat update-urile de securitate necesare pentru software-ul utilizat, în special pentru serverele Microsoft Exchange sau Apache Tomcat.
• Urmăriți indicatorii de compromis (IOC) HermeticWiper pe care Directoratul i-a inclus în această alertă sau cei comunicați de furnizorii de soluții de securitate cibernetică.
• Urmăriți, în paralel cu indicatorii de compromis HermeticWiper, și indicatorii de compromitere de rețea (de tip IP sau domenii) pentru care recomandăm includerea acestora în listele de tip threat intelligence ale echipamentelor de securitate din cadrul organizației dumneavoastră.
• Folosiți un scanner de IOC-uri (cum ar fi „LOKI Open-Source IOC Scanner”) pentru a automatiza monitorizarea indicatorilor de compromis în cadrul infrastructurii IT.
• Monitorizați atent fluxurile de date și componentele interconectate direct cu parteneri ucraineni și/sau situate în rețelele ucrainene, dar și celelalte conexiuni către exterior.
• Aplicați principiul celui mai mic privilegiu pentru toate sistemele cheie cu posibilitate de acces la distanță pe care le gestionați.
• Contactați imediat Directoratul, în cazul în care ați fost afectați de un atac cu HermaticWiper.