Dos semanas después de que surgieran los detalles sobre una segunda cepa de borrador de datos lanzada en ataques contra Ucrania, se detectó otro malware destructivo en medio de la continua invasión militar del país por parte de Rusia.
La empresa eslovaca de ciberseguridad ESET apodó el tercer limpiaparabrisas “limpiaparabrisas“, que dijo que observó por primera vez el 14 de marzo alrededor de las 9:38 a. m. UTC. Metadatos asociados con el ejecutable (“caddy.exe“) muestra que el malware se compiló a las 7:19 a. m. UTC, poco más de dos horas antes de su implementación.
“Este nuevo malware borra los datos de los usuarios y la información de las particiones de las unidades adjuntas”, dijo la empresa. dijo en un hilo de tuit. “La telemetría de ESET muestra que se vio en unas pocas docenas de sistemas en un número limitado de organizaciones”.
CaddyWiper se destaca por el hecho de que no comparte ninguna similitud con los limpiaparabrisas descubiertos anteriormente en Ucrania, incluidos HermeticWiper (también conocido como FoxBlade o KillDisk) e IsaacWiper (también conocido como Lasainraw), los dos de los cuales se han implementado en sistemas pertenecientes a gobiernos y empresas comerciales. entidades.
A diferencia de CaddyWiper, se dice que las familias de malware HermeticWiper e IsaacWiper estuvieron en desarrollo durante meses antes de su lanzamiento, con las muestras más antiguas compiladas el 28 de diciembre y el 19 de octubre de 2021, respectivamente.
Pero el limpiador recién descubierto comparte una superposición táctica con HermeticWiper en el sentido de que el malware, en un caso, se implementó a través del controlador de dominio de Windows, lo que indica que los atacantes habían tomado el control del servidor de Active Directory.
“Curiosamente, CaddyWiper evita la destrucción de datos en los controladores de dominio”, dijo la compañía. “Esta es probablemente una forma de que los atacantes mantengan su acceso dentro de la organización mientras siguen perturbando las operaciones”.
Microsoft, que ha atribuido los ataques de HermeticWiper a un grupo de amenazas rastreado como DEV-0665, dijo que el “objetivo previsto de estos ataques es la interrupción, degradación y destrucción de los recursos objetivo” en el país.
El desarrollo también llega cuando los ciberdelincuentes han aprovechado cada vez más y de manera oportunista el conflicto para diseñar señuelos de phishing, incluidos temas de asistencia humanitaria y varios tipos de recaudación de fondos, para ofrecer una variedad de puertas traseras como Remcos.
“El interés global en la guerra en curso en Ucrania lo convierte en un evento de noticias conveniente y efectivo para que los ciberdelincuentes exploten”, investigadores de Cisco Talos. dijo. “Si cierto tema de señuelo va a aumentar las posibilidades de que una víctima potencial instale su carga útil, lo usarán”.
Pero no es solo Ucrania la que ha estado en el extremo receptor de los ataques de limpiaparabrisas. La semana pasada, la firma de ciberseguridad Trend Micro reveló detalles de un limpiador basado en .NET llamado RURansom que se ha dirigido exclusivamente a entidades en Rusia cifrando los archivos con una clave criptográfica generada aleatoriamente.
“Las claves son únicas para cada archivo cifrado y no se almacenan en ningún lugar, lo que hace que el cifrado sea irreversible y marca el malware como un limpiador en lugar de una variante de ransomware”, señalaron los investigadores.
About the Author
