SwiftSlicer
Ukraine gần đây đã trở thành mục tiêu của một cuộc tấn công mạng mới từ Nga, liên quan đến việc sử dụng một công cụ xóa dữ liệu không xác định có tên SwiftSlicer, được viết bằng Golang. Cuộc tấn công được cho là do Sandworm quản lý, một nhóm tin tặc được nhà nước bảo trợ có mối quan hệ với Đơn vị Quân sự 74455 của GRU (Cục Tình báo Chính của Bộ Tổng tham mưu Lực lượng Vũ trang Liên bang Nga). Các chi tiết về chiến dịch đe dọa và mối đe dọa SwiftSlicer đã được các nhà nghiên cứu an ninh mạng công bố.
Khả năng đe dọa của SwiftSlicer
Hành vi xâm nhập có hại khi triển khai SwiftSlicer được phát hiện vào ngày 25 tháng 1 năm 2023. Để thực hiện mục tiêu của mình, tội phạm mạng đã khai thác Chính sách nhóm Active Directory. Sau khi SwiftSlicer được thực thi, mã bị hỏng của nó sẽ xóa tất cả các Bản sao của tệp Shadow Volume và ghi đè đệ quy các tệp nằm trong %CSIDL_SYSTEM%\drivers, %CSIDL_SYSTEM_DRIVE%\Windows\NTDS và các ổ đĩa không thuộc hệ thống khác được tìm thấy trên các thiết bị bị vi phạm. Các tệp được nhắm mục tiêu bị hủy bằng cách ghi đè lên các chuỗi byte được tạo ngẫu nhiên có độ dài 4.096 byte. Sau khi quá trình này hoàn tất, các thiết bị bị nhiễm sẽ khởi động lại.
Tin tặc Sandwork tiếp tục nhắm mục tiêu vào các tổ chức Ukraine
Tập thể đối thủ của Nga, Sandworm, có liên quan đến việc sử dụng các biến thể phần mềm độc hại wiper trong các cuộc tấn công được thiết kế để gây gián đoạn và phá hủy ở Ukraine. Nhóm này, còn được gọi là BlackEnergy , Electrum, Iridium, Iron Viking, TeleBots và Voodoo Bear, đã hoạt động từ năm 2007 và chịu trách nhiệm cho một loạt các chiến dịch mạng tinh vi nhắm mục tiêu vào các tổ chức trên khắp thế giới. Ví dụ về các công cụ tùy chỉnh của họ bao gồm BlackEnergy , GreyEnergy , Industroyer , NotPetya , Olympic Kẻ hủy diệt , Exaramel và Cyclops Blink .
Chỉ riêng trong năm 2022, họ đã tung ra WhisperGate , HermeticWiper , IsaacWiper , CaddyWiper , Industroyer2 , Prestige và RansomBoggs chống lại cơ sở hạ tầng quan trọng ở Ukraine. Điều này trùng hợp với cuộc xâm lược quân sự của Nga vào nước này. Nhóm ứng phó khẩn cấp máy tính của Ukraine (CERT-UA) gần đây đã liên kết Sandworm với một nỗ lực tấn công mạng vào Ukrinform - hãng thông tấn quốc gia - diễn ra không muộn hơn ngày 7 tháng 12 năm 2022. Năm công cụ phần mềm độc hại xóa dữ liệu khác nhau đã được sử dụng trong cuộc tấn công này: CaddyWiper ; ZeroWipe; SDXóa; AwfulShred và BidSwipe - nhắm mục tiêu các thiết bị FreeBSD, Windows và Linux.
