酸雨蚀星:Viasat网络攻击事件源于恶意数据擦除攻击

admin 2022年4月1日23:50:38安全新闻评论43 views2559字阅读8分31秒阅读模式


编者按


美国网络安全公司SentinelLabs于3月31日发布题为《酸雨:调制解调器擦除软件浇淋欧洲》的报告。报告称,美国卫星通信提供商Viasat于2月底遭受的网络攻击可能源于名为“酸雨”的恶意擦除软件。


SentinelLabs表示,“酸雨”可能是专门为针对乌克兰的行动而开发的,用于破坏调制解调器和路由器;该软件通过使用KA-SAT管理机制被部署在调制解调器和路由器上,随后会对设备文件系统进行深度擦除,完成擦除后会重新启动设备导致设备无法启用;“酸雨”功能相对简单,并且会进行暴力尝试,这意味着攻击者可能不熟悉目标固件的详情,或希望该工具保持通用性和复用性;“酸雨”和恶意软件VPNFilter存在相似之处,后者被认为与俄罗斯黑客组织“奇幻熊”和“沙虫”存在关联。


“酸雨”是今年以来被发现的针对乌克兰的第七种数据擦除恶意软件,此前六种恶意软件包括:乌克兰计算机应急响应小组发现的DoubleZero;网络安全公司ESET发现的HermeticWiper、IsaacWiper和CaddyWiper;乌克兰国家特殊通信和信息保护局发现的WhisperKill;微软公司发现的WhisperGate。


奇安网情局编译有关情况,供读者参考。


酸雨蚀星:Viasat网络攻击事件源于恶意数据擦除攻击


根据最新发布的安全研究,最近对美国卫星通信提供商Viasat的网络攻击可能是破坏性擦除恶意软件攻击的结果,该事件引发了中欧和东欧的卫星服务中断,影响了位于乌克兰的数千名客户和欧洲各地的数万名客户,包括断开了对德国约5800台风力涡轮机的远程访问。


自2月24日俄乌战争爆发以来,导致Viasat的KA-SAT网络无法运行的网络攻击的详细信息迄今尚不清楚。该攻击最初被认为是分布式拒绝服务攻击的结果。但SentinelLabs研究人员现在认为此次事件源于一种名为“酸雨”(AcidRain)的新型恶意擦除软件,该软件可远程擦除易受攻击的调制解调器和路由器。


酸雨蚀星:Viasat网络攻击事件源于恶意数据擦除攻击


01

用于擦除乌克兰卫星通信调制解调器


在一名意大利用户以“ukrop”为名将“酸雨”上传到VirusTotal后,SentinelLabs研究人员于3月15日发现了该软件。研究人员称,“ukrop”可能是“乌克兰行动”(Ukraine operation)的缩写。


SentinelOne表示,该恶意软件可能是专门为针对乌克兰的行动而开发的,并可能用于在KA-SAT网络攻击中擦除调制解调器。SentinelOne认为,“威胁行为者在供应链攻击中使用KA-SAT管理机制来推动为调制解调器和路由器设计的擦除软件。这种设备的擦除软件会覆盖调制解调器闪存中的关键数据,使其无法操作并需要重新刷新或更换。”


酸雨蚀星:Viasat网络攻击事件源于恶意数据擦除攻击


Viasat证实了SentinelOne的看法,称破坏数据的恶意软件是使用“合法管理”命令部署在调制解调器上的。Viasat发言人称,“SentinelLabs报告中关于ukrop二进制文件的分析与我们报告中的事实一致。具体而言,SentinelLabs确定了使用Viasat之前描述的合法管理命令在调制解调器上运行的破坏性可执行文件。”


被部署后,“酸雨”会遍览受感染的路由器或调制解调器的整个文件系统。它还使用所有可能的设备标识符擦除闪存、SD/MMC卡和可以找到的任何虚拟块设备。为了破坏受感染设备上的数据,“酸雨”使用最多0x40000字节的数据覆盖文件内容,或使用MEMGETINFO、MEMUNLOCK、MEMERASE和MEMWRITEOOB输入/输出控制(IOCTL)系统调用。在数据擦除过程完成后,该恶意软件会重新启动设备,使其无法使用。


02

恶意擦除软件与俄罗斯黑客组织存在关联


SentinelLabs研究人员胡安·安德烈斯·格雷罗-萨德和马克斯·范·阿梅隆根称,“AcidRain的功能相对简单,并且会进行暴力尝试,这可能意味着攻击者要么不熟悉目标固件的详情,要么希望该工具保持通用性和复用性。”


虽然攻击者的身份仍然未知,但SentinelLabs已经注意到“酸雨”和VPNFilter恶意软件间的相似之处,后者感染了全球数千个家庭和小型企业路由器和网络设备。2018年,美国联邦调查局将VPNFilter操作归因于俄罗斯支持的黑客组织“奇幻熊”(Fancy Bear,又名APT28)。而最近,美国国家安全局和网络安全和基础设施安全局(CISA)将其与被指控开展5年疯狂攻击的“沙虫”(Sandworm)相关联,包括针对全球数百家公司和医院的破坏性NotPetya网络攻击,以及导致部分乌克兰电网瘫痪的网络攻击。APT28和“沙虫”都与俄罗斯军事情报机构GRU有联系。


研究人员指出,虽然“不能明确地”将“酸雨”与VPNFilter或更大的“沙虫”威胁集群联系起来,但“对其组件之间非平凡的发展相似性进行了中等置信度评估。”


03

今年针对乌克兰部署的第七个数据擦除软件


“酸雨”是在针对乌克兰的攻击中部署的第七种数据擦除恶意软件,自今年年初以来,已有六种恶意软件被用于攻击乌克兰。


乌克兰计算机应急响应小组最近报告称,其跟踪为“双零”(DoubleZero)的数据擦除器已被部署在针对乌克兰企业的攻击中。


在俄乌战争爆发的前一天,ESET发现了一种现在称为HermeticWiper的数据擦除恶意软件,该恶意软件与勒索软件诱饵一起用于攻击乌克兰机构。


在俄乌战争爆发当日,ESET还发现了一个名为IsaacWiper的数据擦除器和一个名为HermeticWizard的新蠕虫,该蠕虫用于投放HermeticWiper有效载荷。


ESET还发现了第四种破坏数据的恶意擦除软件CaddyWiper,该软件可以从附加的驱动程序中删除用户数据和分区信息,还可以擦除其部署的Windows域中的数据。


乌克兰国家特殊通信和信息保护局发现了第五个恶意擦除软件WhisperKill,该机构表示它重复使用了80%的Encrpt3d勒索软件代码(又名WhiteBlackCrypt勒索软件)。


1月中旬,微软发现了第六个被追踪为WhisperGate的擦除软件,该软件伪装成勒索软件对乌克兰数据开展擦除攻击。


网络国防知识库

产业发展前哨站

开源情报信息源


酸雨蚀星:Viasat网络攻击事件源于恶意数据擦除攻击

奇安网情局


原文始发于微信公众号(奇安网情局):酸雨蚀星:Viasat网络攻击事件源于恶意数据擦除攻击

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月1日23:50:38
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  酸雨蚀星:Viasat网络攻击事件源于恶意数据擦除攻击 http://cn-sec.com/archives/861836.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: