Ucrania bajo la amenaza de un grave ataque cibernético por parte del software Industroyer
Investigadores de ESET y del CERT ucraniano descubrieron recientemente una nueva variante de malware llamada Industroyer2. La nueva versión puede adaptarse mejor al escenario de ataque, y el software incluye una configuración codificada detallada que controla sus acciones.
Esta compilación crea algunas restricciones para los atacantes que tienen que volver a compilar Industroyer2 para cada nueva víctima o entorno. Sin embargo, dado que la familia Industroyer solo se ha utilizado dos veces hasta ahora, con una brecha de cinco años entre cada versión, esto probablemente no sea una limitación para los operadores del grupo Sandworm, dice Kamil Sadkowski, especialista senior en ciberseguridad de ESET. “ Por el momento, no sabemos cómo llegaron los atacantes desde la red de TI a la red de ICS ”, agrega.
El malicioso «Industroy» se desplegó en subestaciones de alta tensión, lo que debería haber provocado problemas mucho mayores que en 2016. Vale la pena agregar que los atacantes también usaron otras herramientas aquí (incluido CaddyWiper, un programa para borrar el contenido de los discos duros). ), que se suponía que ralentizarían el proceso de recuperación y provocarían aún más daños. El ataque estaba programado para comenzar el 8 de abril de 2022.
Creemos que el uso de CaddyWiper tenía la intención de ralentizar el proceso de recuperación del sistema y evitar que los operadores de servicios públicos recuperaran el control de las consolas ICS. El CaddyWiper también se colocó en la máquina que ejecutaba el software Industroyer2, probablemente para cubrir todos los rastros , resume Kamil Sadkowski.
No es ningún secreto que el ataque a las subestaciones de alto voltaje estuvo planeado durante mucho tiempo. Según los expertos de ESET, la creación de Industroyer requería un buen conocimiento del sistema que se suponía iba a ser su víctima. Además, el análisis del código mostró que esta versión de Industroyer2 se compiló el 23 de marzo de 2022, lo que sugiere que los atacantes habían estado planeando el ataque durante más de dos semanas. ¿Quién está detrás del ataque? Todo apunta a que estamos hablando de nuevo del grupo ruso APT Sandworm.
Fuente: ESET, CERTUA
Deja una respuesta