Bienvenido al blog de Undercode   Click to listen highlighted text! Bienvenido al blog de Undercode
Inicio Noticias CaddyWiper: otro malware de limpieza de datos dirigido a redes ucranianas

CaddyWiper: otro malware de limpieza de datos dirigido a redes ucranianas

por Dragora

Dos semanas después de que surgieran los detalles sobre una segunda cepa de borrador de datos lanzada en ataques contra Ucrania, se detectó otro malware destructivo en medio de la continua invasión militar del país por parte de Rusia.

La empresa eslovaca de ciberseguridad ESET denominó al tercer limpiaparabrisas » CaddyWiper «, que dijo que observó por primera vez el 14 de marzo alrededor de las 9:38 am UTC. Los metadatos asociados con el ejecutable (» caddy.exe «) muestran que el malware se compiló a las 7:19 am UTC, poco más de dos horas antes de su implementación.

CaddyWiper se destaca por el hecho de que no comparte ninguna similitud con los limpiaparabrisas descubiertos anteriormente en Ucrania, incluidos HermeticWiper (también conocido como FoxBlade o KillDisk) e IsaacWiper (también conocido como Lasainraw), los dos de los cuales se han implementado en sistemas pertenecientes a gobiernos y empresas comerciales. entidades.

«El objetivo final de los atacantes es el mismo que el de IsaacWiper y HermeticWiper: inutilizar los sistemas borrando los datos de los usuarios y la información de las particiones», dijo a The Hacker News Jean-Ian Boutin¸, jefe de investigación de amenazas de ESET. «Todas las organizaciones objetivo de los recientes ataques de limpiaparabrisas estaban en el sector gubernamental o financiero».

A diferencia de CaddyWiper, se dice que las familias de malware HermeticWiper e IsaacWiper estuvieron en desarrollo durante meses antes de su lanzamiento, con las muestras más antiguas compiladas el 28 de diciembre y el 19 de octubre de 2021, respectivamente.

Malware de borrado de datos

Pero el limpiador recién descubierto comparte una superposición táctica con HermeticWiper en el sentido de que el malware, en un caso, se implementó a través del controlador de dominio de Windows, lo que indica que los atacantes habían tomado el control del servidor de Active Directory.

«Curiosamente, CaddyWiper evita la destrucción de datos en los controladores de dominio», dijo la compañía. «Esta es probablemente una forma de que los atacantes mantengan su acceso dentro de la organización mientras siguen perturbando las operaciones».

Microsoft, que ha atribuido los ataques de HermeticWiper a un grupo de amenazas rastreado como DEV-0665, dijo que el «objetivo previsto de estos ataques es la interrupción, degradación y destrucción de los recursos objetivo» en el país.

El desarrollo también llega cuando los ciberdelincuentes han aprovechado cada vez más y de manera oportunista el conflicto para diseñar señuelos de phishing, incluidos temas de asistencia humanitaria y varios tipos de recaudación de fondos, para ofrecer una variedad de puertas traseras como Remcos.

«El interés global en la guerra en curso en Ucrania lo convierte en un evento de noticias conveniente y efectivo para que los ciberdelincuentes exploten», dijeron los investigadores de Cisco Talos . «Si cierto tema de señuelo va a aumentar las posibilidades de que una víctima potencial instale su carga útil, lo usarán».

Pero no es solo Ucrania la que ha estado en el extremo receptor de los ataques de limpiaparabrisas. La semana pasada, la firma de ciberseguridad Trend Micro reveló detalles de un limpiador basado en .NET llamado RURansom que se ha dirigido exclusivamente a entidades en Rusia al cifrar los archivos con una clave criptográfica generada aleatoriamente.

«Las claves son únicas para cada archivo cifrado y no se almacenan en ningún lugar, lo que hace que el cifrado sea irreversible y marca el malware como un limpiador en lugar de una variante de ransomware», señalaron los investigadores.

Fuente: https://thehackernews.com

You may also like

Dejar Comentario

Click to listen highlighted text!