WhisperGate ed ErmeticWiper: timeline e caratteristiche di un attacco annunciato
Dopo un adeguato studio in merito alle caratteristiche tecniche e all’evoluzione della tipologia di attacco, siamo riusciti a definire uno “storico” dell’evoluzione dei malware “distruttivi” che stanno massacrando le infostrutture Ucraine e non solo.
Analisi di WhisperGate Malware
Il 15 Gennaio 2022 il Microsoft Threat Intelligence Center (MSTIC) effettua una disclosure in merito ad un nuovo malware, WhisperGate, che mira a rendere inutilizzabili le infostrutture Ucraine, diffondendosi in maniera estremamente rapida ed inaspettata a tutti i livelli sia istituzionali che aziendali. La particolarità di questo malware è il comportamento del tutto analogo a quello di un Ransomware, con la differenza che il processo malevolo non mira a cifrare i dati ma a compromettere irrimediabilmente il master boot record dei drive di avvio della macchina aggredita inibendo ogni forma di possibile utilizzo della stessa e distruggendone irrimediabilmente ogni contenuto.
I dati risultano quindi irrecuperabili, perduti in maniera irrimediabile. Vengono diffusi immediatamente gli indicatori di compromissione (IoC, le “impronte digitali” del malware tradotte in hash) che riportiamo di seguito:
| Name | File Category | File Hash |
|---|---|---|
| WhisperGate | stage1.exe | a196c6b8ffcb97ffb276d04f354696e2391311db3841ae16c8c9f56f36a38e92 |
| WhisperGate | Stage2.exe | dcbbae5a1c61dbbbb7dcd6dc5dd1eb1169f5329958d38b58c3fd9384081c9b78 |
L’architettura di HermeticWiper, fora di WhisperGate
Il 23 Febbraio 2022 viene isolato un nuovo malware che, ad una più attenta analisi, risulta una fork (un nuovo “modello” basato sullo stesso “telaio”) di WhisperGate ed identificato con il nome di HermeticWiper: stesso comportamento, stesse analogie operative, stesso risultato distruttivo, firme differenti, diffusione estremamente più ampia. L’architettura del malware appare di gran lunga più complessa e ancora più numerosi gli indicatori di compromissione isolati che andiamo, di seguito, ad elencare:
| Name | File Category | File Hash |
|---|---|---|
| Win32/KillDisk.NCV | Trojan | 912342F1C840A42F6B74132F8A7C4FFE7D40FB7761B25D11392172E587D8DA3045812A66C3385451 |
| HermeticWiper | Win32 EXE | 912342f1c840a42f6b74132f8a7c4ffe7d40fb77 |
| HermeticWiper | Win32 EXE | 61b25d11392172e587d8da3045812a66c3385451 |
| RCDATA_DRV_X64 | ms-compressed | a952e288a1ead66490b3275a807f52e5 |
| RCDATA_DRV_X86 | ms-compressed | 231b3385ac17e41c5bb1b1fcb59599c4 |
| RCDATA_DRV_XP_X64 | ms-compressed | 095a1678021b034903c85dd5acb447ad |
| RCDATA_DRV_XP_X86 | ms-compressed | eb845b7a16ed82bd248e395d9852f467 |
| Trojan.Killdisk | Trojan.Killdisk | 1bc44eef75779e3ca1eefb8ff5a64807dbc942b1e4a2672d77b9f6928d292591 |
| Trojan.Killdisk | Trojan.Killdisk | 0385eeab00e946a302b24a91dea4187c1210597b8e17cd9e2230450f5ece21da |
| Trojan.Killdisk | Trojan.Killdisk | a64c3e0522fad787b95bfb6a30c3aed1b5786e69e88e023c062ec7e5cebf4d3e |
| Ransomware | Trojan.Killdisk | 4dc13bb83a16d4ff9865a51b3e4d24112327c526c1392e14d56f20d6f4eaf382 |
Il target operativo di HermeticWiper è, come facilmente deducibile, l’ambiente Windows. Nelle ultime ore si evince una larga diffusione dello stesso mediante allegati compromessi ed inviati su servizi di messaggistica e piattaforme di meeting, tra le prime Discord, quasi certamente compromessa (ulteriori indagini in corso).
Indicatori e Best Practices per la mitigazione del rischio
CISA ed FBI hanno rilasciato una serie di indicatori rispetto a potenziali vettori di infezione più subdoli. Andiamo ad elencarli per completezza di informazione:
- Sistemi di deployment di patch
- Sistemi di management OT
- Software di assistenza remota
- Software antivirus
- Sistemi condivisi di amministrazione di rete
- Server centralizzati di backup
- Sistemi centralizzati di File Sharing
Le best practices per la gestione della mitigazione del rischio sono quelle maggiormente conosciute dal personale IT e di Cyber Defense. Prima tra tutte, l’aggiornamento dei sistemi EDR ed antivirus che ora possono prevenire danni gravissimi rispetto un’infezione riferibile ad HermeticWiper.
Conclusioni
Le conclusioni sono abbastanza evidenti. Rispecchiano, quindi, una prova generale (WhisperGate) per un massiccio attacco distruttivo (HermeticWiper) su scala globale, volto a gettare ulteriormente nel caos in un mondo che sta vivendo la pagina più buia dalla fine della seconda guerra mondiale.