Industroyer2 Κακόβουλο λογισμικό
Οι υπηρεσίες υποδομής ζωτικής σημασίας στην Ουκρανία έχουν γίνει στόχος κυβερνοεπιθέσεων, πριν και μετά τη ρωσική εισβολή στη χώρα. Φαίνεται ότι οι κυβερνοεγκληματίες εξακολουθούν να εξακολουθούν να εξαπολύουν περισσότερες επιθέσεις με έναν από τους πιο πρόσφατους στόχους να είναι ο Ουκρανός πάροχος ενέργειας.
Η απειλητική εκστρατεία επιχείρησε να αναπτύξει ένα νέο κομμάτι κακόβουλου λογισμικού που ονομάζεται Industroyer2, το οποίο είναι ικανό να βλάψει ή να διαταράξει το ICS (Βιομηχανικά Συστήματα Ελέγχου) του θύματος. Η επιχείρηση στόχευε σε ηλεκτρικό υποσταθμό υψηλής τάσης και φέρεται να απέτυχε να επιτύχει τους άθλιους στόχους του. Η ομάδα αντιμετώπισης έκτακτης ανάγκης υπολογιστών της Ουκρανίας (CERT-UA), η Microsoft και η εταιρεία κυβερνοασφάλειας ESET αναλύουν την επίθεση. Μέχρι στιγμής, ο πιθανός ένοχος είναι η ομάδα απειλής Sandworm , η οποία πιστεύεται ότι λειτουργεί με εντολή της ρωσικής υπηρεσίας πληροφοριών GRU.
Απειλητικά Χαρακτηριστικά
Η απειλή Industroyer2 φαίνεται να είναι μια νέα και βελτιωμένη έκδοση κακόβουλου λογισμικού που είναι γνωστό ως Industroyer ( CRASHOVERRIDE ). Τον Δεκέμβριο του 2016, το αρχικό Industroyer αναπτύχθηκε ως μέρος μιας επίθεσης εναντίον ενός ηλεκτρικού υποσταθμού στην Ουκρανία που κατάφερε να προκαλέσει βραχύβια διακοπή ρεύματος. Τώρα, η απειλή Industroyer2 χρησιμοποιείται με παρόμοιο τρόπο. Αναπτύσσεται στα στοχευμένα συστήματα ως εκτελέσιμο Windows που υποτίθεται ότι θα εκτελούνταν στις 8 Απριλίου μέσω μιας προγραμματισμένης εργασίας.
Για την επικοινωνία με τον βιομηχανικό εξοπλισμό του στόχου, το Industroyer2 χρησιμοποιεί το πρωτόκολλο IEC-104 (IEC 60870-5-104). Αυτό σημαίνει ότι μπορεί να επηρεάσει τα ρελέ προστασίας σε ηλεκτρικούς υποσταθμούς. Αντίθετα, η παλαιότερη απειλή Industroyer ήταν πλήρως αρθρωτή και μπορούσε να αναπτύξει ωφέλιμα φορτία για πολλά πρωτόκολλα ICS. Μια άλλη διαφορά ανακαλύφθηκε στα δεδομένα διαμόρφωσης. Ενώ η αρχική απειλή χρησιμοποιούσε ένα ξεχωριστό αρχείο για την αποθήκευση αυτών των πληροφοριών, το Industroyer2 έχει τα δεδομένα διαμόρφωσής του ενσωματωμένα στο σώμα του. Ως αποτέλεσμα, κάθε δείγμα της απειλής πρέπει να είναι ειδικά προσαρμοσμένο στο περιβάλλον του επιλεγμένου θύματος.
