Setki komputerów na Ukrainie zainfekowane malwarem niszczącym dane. Używa zaufanych podpisów cyfrowych. Atak mógł być przygotowywany od dwóch miesięcy.

O temacie donosi na gorąco ekipa Eseta (aktualizacja: świeża analiza techniczna tutaj oraz tutaj) dodając, że być może atak był przygotowywany już od dwóch miesięcy:

the PE compilation timestamp of one of the sample is 2021-12-28, suggesting that the attack might have been in preparation for almost two months.

Złośliwy kod usuwający dane z dysków, jest podpisany zaufanym certyfikatem (utrudnienie wykrycia):

Na koniec notki, mamy również podaną informację, że w przypadku jednej organizacji malware (o kodowej nazwie HermeticWiper) został uruchomiony z poziomu kontrolera domeny Windows (który został wcześniej przejęty):

In one of the targeted organizations, the wiper was dropped via the default (domain policy) GPO meaning that attackers had likely taken control of the Active Directory server.

Nie wyklucza to punktowej instalacji na konkretnych serwerach / PC-tach – po uzyskaniu stosownego dostępu przez napastników (czytaj: zhackowaniu konkretnych systemów).

Problem namierzyła również ekipa Symanteca:

Próbka została zuploadowana na Virustotal, więc kto posiada tam odpowiednie konto może pobrać szkodnika do dalszej analizy:

Poziom detekcji przez silniki antywirusowe jest na razie mizerny: 9/71:

Aktualizacja: techniczna analiza tego malware dostępna jest tutaj.

~Michał Sajdak