Ameaça Crescente do Malware Wiper

Com o malware limpador em destaque, nós do FortiGuard Labs queríamos fornecer mais informações sobre essa ameaça para ajudar as organizações a entendê-la e implementar melhores proteções contra ela. Neste blog serão abordados os seguintes temas:

• O que é um malware limpador?
• A motivação para os agentes de ameaças usá-los
• Propriedades interessantes que podem influenciar a eficácia do malware
• Técnicas de Wiper sob o capô
• Proteções fornecidas pela Fortinet

O que é o Wiper Malware?

O termo Wiper que sifnifica limpador vem de sua função mais básica, quando o objetivo do malware é limpar (apagar) o disco rígido da máquina da vítima. Mais genericamente, o malware limpador pode ser definido como um software malicioso que tenta destruir dados. Como veremos nas seções a seguir, existem diferentes maneiras de fazer isso.

História do malware Wiper

Abaixo está um breve histórico de malware limpador notável (também mostrado na Figura 1):

• Shamoon , 2012: Usado para atacar as companhias petrolíferas Saudi Aramco e Qatar's RasGas.
• Dark Seoul , 2013: Atacou a mídia sul-coreana e empresas financeiras.
• Shamoon , 2016: Voltou para atacar novamente as organizações da Arábia Saudita.
• NotPetya , 2017: Originalmente direcionado a organizações ucranianas, mas devido à sua capacidade de autopropagação, tornou-se o malware mais devastador até o momento.
• Destruidor Olímpico , 2018: Ataque contra os Jogos Olímpicos de Inverno na Coreia do Sul.
• Ordinypt/GermanWiper , 2019: Organizações alemãs direcionadas com e-mails de phishing em alemão.
• Dustman , 2019: Atores de ameaças patrocinados pelo Estado iraniano atacaram a Bapco, a companhia petrolífera nacional do Bahrein.
• ZeroClare , 2020: empresas de energia atacadas no Oriente Médio.
• WhisperKill , 2022: Atacou organizações ucranianas paralelamente à guerra Ucrânia-Rússia.
• WhisperGate , 2022: Atacou organizações ucranianas paralelamente à guerra Ucrânia-Rússia.
• HermeticWiper , 2022: Atacou organizações ucranianas paralelamente à guerra Ucrânia-Rússia.
• IsaacWiper , 2022: Atacou organizações ucranianas paralelamente à guerra Ucrânia-Rússia.
• CaddyWiper , 2022: Atacou organizações ucranianas paralelamente à guerra Ucrânia-Rússia.
• DoupleZero , 2022: Atacou organizações ucranianas paralelamente à guerra Ucrânia-Rússia.
• AcidRain , 2022: Atacou o provedor de serviços via satélite KA-SAT da Viasat.

Motivações por trás da implantação do Wiper Malware

Nesta seção, veremos as diferentes motivações por trás da implantação de um malware limpador. Embora seus objetivos sejam diretos, isso não significa que a motivação seja sempre a mesma. Distinguimos entre os quatro motivadores potenciais a seguir: ganho financeiro, destruição de evidências, sabotagem e guerra cibernética.

Ganho financeiro

Em geral, o ganho financeiro é o motivador menos significativo para o malware wiper. Isso é compreensível porque é difícil monetizar a destruição. No entanto, um aspecto que gostaríamos de destacar aqui é a variante de ransomware falso que finge criptografar dados e pedir um resgate, mas sem a capacidade de recuperar dados. Isso pode ser chamado de golpe de ransomware porque o conceito de ransomware é fraudulento. Os agentes de ameaças que empregam essas técnicas estão simplesmente procurando ganhar dinheiro rapidamente sem investir no desenvolvimento de uma ferramenta de ransomware real ou no trabalho de administração por trás de uma operação de ransomware real. Claro, tal empreendimento tem vida curta porque, uma vez que se saiba que não é possível recuperar os dados, ninguém pagará o resgate.

Um bom exemplo é o Ordinypt ou GermanWiper, que estava ativo em 2017. Como o ransomware, ele alterou os arquivos e adicionou uma extensão aleatória de 5 caracteres a eles. Ele também destruiu as opções de recuperação, como a cópia de sombra do Windows. E mudou o plano de fundo da área de trabalho para exibir uma nota de resgate com um endereço Bitcoin para onde o pagamento do resgate deveria ser enviado. No entanto, ele realmente não criptografou os arquivos. Em vez disso, ele os preencheu com zero bytes e os truncou. Com essa abordagem, não havia como recuperar os arquivos afetados.  

Destruição de Provas

Este é um motivador difícil de provar, mas às vezes, quando não há outro motivo para implantar um limpador em um ataque, pode-se concluir que o verdadeiro motivo foi outro, como espionagem. O limpador só é implantado depois que o verdadeiro objetivo do ataque é alcançado. Em vez de apagar meticulosamente seus rastros e todas as evidências de seu ataque, os invasores simplesmente implantam um malware limpador na organização. Isso não apenas apaga as evidências, mas a escala da destruição faz com que os defensores se concentrem na recuperação de dados e operações e não na investigação da invasão.

sabotar

A sabotagem é o motivo mais óbvio para implantar um limpador. Assim como o malware Stuxnet foi usado para destruir centrífugas para desacelerar os esforços do Irã para desenvolver armas nucleares, o malware wiper pode ser usado para destruir dados, sabotar o desenvolvimento, causar perdas financeiras ou apenas causar caos.

Um exemplo nessa categoria é o malware Shamoon , usado para atacar a Saudi Aramco e outras empresas de petróleo. O ataque destruiu 30.000 estações de trabalho na Saudi Aramco. Em tal escala, até a substituição desses computadores se torna um pesadelo logístico. O ataque também foi agendado para um momento em que um feriado acabava de começar a maximizar seu impacto, contando com a equipe limitada disponível para responder ao ataque.

Guerra cibernética

Há alguns meses, não seria tão simples incluir essa motivação na lista. Mas, no momento desta postagem, sete ataques diferentes de malware Wiper (WhisperKill, WhisperGate, HermeticWiper, IsaacWiper, CaddyWiper, DoubleZero, AcidRain) foram descobertos visando infraestrutura ucraniana ou empresas ucranianas - todos claramente alinhados com o interesse da Rússia na Ucrânia-Rússia guerra. Geralmente, as operações Wiper nesta categoria atacam alvos cuja destruição é do interesse das forças armadas adversárias. Por exemplo, a motivação por trás de tal ataque pode ser paralisar a infraestrutura crítica. Isso pode ser feito para causar caos e aumentar o estresse mental no inimigo ou para causar destruição em um alvo tático. Os ataques Wiper também podem ter um efeito devastador contra OT e alvos de infraestrutura crítica,

Um exemplo interessante e recente é a suspeita de que o limpador AcidRain foi usado em um ataque contra o provedor de serviços de banda larga por satélite Viasat KA-SAT. O invasor obteve acesso à infraestrutura de gerenciamento do provedor para implantar o AcidRain em modems KA-SAT usados ​​na Ucrânia. O ataque também tornou 5.800 turbinas eólicas inacessíveis na Alemanha.

Propriedades interessantes

Embora o objetivo geral do malware Wiper seja bastante simples, alguns têm propriedades interessantes que vale a pena discutir.

Ransomware falso

Conforme discutido, muitas amostras de malware Wiper fingem ser ransomware. Isso significa que eles aproveitam muitas das Táticas, Técnicas e Procedimentos (TTP) típicos que o ransomware real usa, mas fazem isso sem a possibilidade de recuperar os arquivos. Em teoria, o ransomware padrão também pode ser usado como limpador se a chave de descriptografia nunca for fornecida à vítima. Nesse caso, os arquivos criptografados são praticamente perdidos. No entanto, após uma análise detalhada, é aparente em muitos casos que a funcionalidade do ransomware é apenas um estratagema e, na realidade, o malware é um limpador. Pode haver algumas razões para fazer isso:

• Como visto anteriormente com o Ordinypt, uma amostra pode seguir o modelo de negócios do ransomware sem a intenção de recuperar arquivos.
• Ele pode ser usado para enganar a equipe de resposta a incidentes e, com isso, desacelerar as contramedidas.
• Esconda a motivação por trás de um ataque. Ransomware sugeriria cibercrime, o que poderia ser uma forma de esconder que a verdadeira motivação é sabotagem ou guerra cibernética.

Um excelente exemplo deste último é o infame NotPetyamalware de 2017. Foi o malware mais devastador até agora. Tudo começou com um ataque à cadeia de suprimentos contra empresas ucranianas por meio de atualizações de uma pequena empresa ucraniana de software de contabilidade. No entanto, não parou por aí. Como o NotPetya era um worm, ele também explorou vulnerabilidades em outros softwares para se propagar. Isso foi tão eficiente que rapidamente se tornou um problema global, paralisando redes sem discriminação. Ele fez um grande esforço para imitar o ransomware, como criptografar arquivos, fornecer um endereço Bitcoin para pagamento e entregar uma nota de resgate. No entanto, na realidade, foi um limpador que apenas destruiu os dados. Foi atribuído aos atores Sandworm, que estão associados à Diretoria Principal do Estado-Maior das Forças Armadas da Federação Russa, muitas vezes referido como GRU.

Autopropagação

Assim como no NotPetya, podemos ver que uma propriedade significativa dos limpadores é se eles são autopropagados ou não. Se for um worm, como o NotPetya, ele se autopropagará para outras máquinas assim que for liberado. Não é necessariamente possível controlá-los por mais tempo em tal caso.

Existem algumas maneiras pelas quais o malware pode se autopropagar:

• Explorando vulnerabilidades nos serviços de rede.
• Coletar credenciais em máquinas infectadas e usá-las para se conectar a outras máquinas na rede.
• Usar formas legítimas de passar de um dispositivo para outro, como processos de atualização.

Isso não significa, é claro, que o malware não autopropagado não possa ser devastador. Se o controlador de domínio estiver comprometido em uma rede, ele poderá ser usado para implantar o limpador em todas as máquinas da organização. A principal diferença é que o malware autopropagado não pode ser controlado depois de liberado.

Técnicas de malware Wiper

Agora, vamos arregaçar as mangas e colocar a mão na massa olhando sob o capô do malware limpador para entender as técnicas que eles usam para destruir os dados da vítima.

Sobrescrevendo arquivos

A abordagem mais trivial para os limpadores é simplesmente enumerar o sistema de arquivos e sobrescrever os arquivos selecionados com dados. Discutimos anteriormente que o Ordinypt usou essa abordagem, sobrescrevendo arquivos com zero (0x00) bytes.

Outro bom exemplo é o limpador WhisperGate implantado contra organizações ucranianas no início deste ano. Ele tinha vários estágios e componentes, mas o segundo estágio (stage2.exe) baixou o componente de corrupção de arquivo de um canal Discord codificado. Este componente percorre pastas específicas em busca de arquivos com extensões codificadas no malware. Esses arquivos são arquivos de dados diferentes. O malware substitui o conteúdo dos arquivos por 1 MB de bytes 0xCC e adiciona uma extensão aleatória de 4 caracteres. Vale a pena notar que o WhisperGate também fingiu ser um ransomware, embora corrompa os arquivos além do reparo.

Criptografia de arquivos

Conforme mencionado anteriormente, criptografar um arquivo e destruir a chave é essencialmente equivalente a destruir o arquivo. Claro, uma tentativa de força bruta pode ser feita para recuperar o arquivo, mas se algoritmos de criptografia adequados forem usados, essa abordagem é totalmente inútil. No entanto, a criptografia, em vez de simplesmente sobrescrever, consome muitos recursos e retarda o malware. O único caso de uso para implementar criptografia em um limpador é quando os autores desejam manter a aparência de ransomware pelo maior tempo possível. Este foi o caso do NotPetya, que criptografou os arquivos corretamente.

Sobrescrevendo MBR

Muitos limpadores também garantem a substituição do registro mestre de inicialização (MBR) do disco. Esta parte de um disco informa ao computador como inicializar o sistema operacional. Se o MBR for destruído, o computador não iniciará. No entanto, isso não significa que os dados no disco rígido tenham sido destruídos. Se apenas o MBR estiver corrompido, os dados ainda poderão ser recuperados. Por si só, só pode ser usado para causar caos e confusão, mas sem perda de dados real. É por isso que geralmente é usado em conjunto com outras técnicas.

Por exemplo, o ZeroClareo malware usado contra empresas de energia no Oriente Médio em 2019 também usou essa técnica. Ele usou a ferramenta de gerenciamento de driver de terceiros EldoS RawDisk (mais sobre isso mais tarde) para acessar diretamente os discos rígidos ignorando os mecanismos de proteção do sistema operacional (SO). Em vez de sobrescrever arquivos no nível do sistema operacional, o ZeroClare sobrescreve os discos diretamente com 0x55 bytes. Isso, é claro, começa com o MBR e continua com todas as partições. Uma técnica muito inteligente que devemos mencionar ao falar sobre o ZeroClare é que ele ignorou o Windows Driver Signature Enforcement (DSG), que protege o Windows de carregar drivers não assinados (driver RawDisk). Para fazer isso, ele primeiro carregou um driver assinado vulnerável conhecido publicamente do VirtualBox. Em seguida, ele explorou a vulnerabilidade desse driver legítimo para carregar o driver não assinado do RawDisk.

Sobrescrevendo MFT

MFT significa Master File Table e existe em todos os sistemas de arquivos NTFS. Este é basicamente um catálogo de todos os arquivos que existem no sistema de arquivos, seus metadados e o conteúdo do arquivo ou o local onde o conteúdo do arquivo está armazenado. Se a MFT estiver corrompida, o sistema operacional não conseguirá encontrar os arquivos. Esta é uma maneira muito fácil e rápida para o malware do limpador fazer os arquivos desaparecerem. A única desvantagem é semelhante a corromper o MBR: o conteúdo do arquivo não é necessariamente destruído. Embora os poucos arquivos armazenados diretamente no MFT sejam apagados, a maioria dos arquivos é armazenada em outro lugar no disco, e o MFT apenas fornece sua localização ao sistema operacional. Sem a MFT, o sistema operacional não conseguirá localizar o conteúdo, mas o conteúdo ainda estará no disco.

Um exemplo fascinante é NotPetya novamente. Ele substituiu o MBR da máquina de destino com um carregador de inicialização personalizado e armazenou um código de baixo nível personalizado que esse carregador de inicialização chamou. Este código criptografou o MFT quando a primeira reinicialização ocorreu após a infecção. Depois que o MFT foi criptografado, ele forçou a reinicialização da máquina. Após essa segunda reinicialização, o dispositivo não inicializaria mais, mas exibiria apenas a nota de resgate (Figura 2).

Usando IOCTL

IOCTL é a interface de controle de entrada e saída do dispositivo no Windows. A função DeviceIoControl() é uma interface de propósito geral usada para enviar códigos de controle para dispositivos. Os códigos de controle são essencialmente operações a serem executadas pelo driver do dispositivo. O malware usa essa interface para coletar informações sobre os discos direcionados para a limpeza real.

No caso do HermeticWiper , os IOCTLs foram usados ​​para os seguintes propósitos:

• Fragmentação da unidade (em oposição à desfragmentação): espalhar arquivos pela unidade dificulta a recuperação. Para conseguir isso, os códigos IOCTL FSCTL_GET_RETRIEVAL_POINTERS e FSCTL_GET_MOVE_FILES são usados.
• Analisando o conteúdo da unidade para identificar as partes a serem destruídas: Para fazer isso, os códigos IOCTL_DISK_GET_DRIVE_LAYOUT_EX e IOCTL_DISK_GET_DRIVE_GEOMETRY_EX são usados.
• Coletar clusters ocupados para prepará-los para apagamento: Esta é uma melhoria de desempenho para ignorar clusters que não estão em uso. Para isso, são utilizados os códigos IOCTLs FSCTL_GET_VOLUME_BITMAP e FSCTL_GET_VOLUME_BITMAP.
• E, finalmente, o código FSCTL_GET_NTFS_FILE_RECORD é usado para carregar um registro de um sistema de arquivos NTFS.

Depois que o HermeticWiper coleta todos os dados que deseja apagar para maximizar o impacto da limpeza, ele usa o driver EaseUS Partition Master para substituir as partes selecionadas do disco com dados aleatórios.

Ferramentas de terceiros

Foi mencionado anteriormente que o malware às vezes usa ferramentas de terceiros para substituir dados. Eles geralmente usam o driver do Windows de produtos de prateleira para contornar os mecanismos de proteção do Windows e manipular os discos diretamente. A principal razão para usar drivers de terceiros é provavelmente que drivers mal implementados podem travar facilmente todo o sistema, o que levaria à investigação e detecção. Os invasores provavelmente não querem investir tempo escrevendo seus próprios drivers. Outro motivo pode ser que apenas drivers assinados podem ser carregados em sistemas Windows modernos; portanto, se eles escrevessem seu próprio driver, precisariam ignorar esse mecanismo de segurança. Obviamente, isso não é impossível, como vimos com o ZeroClare, que primeiro carrega um driver assinado, mas vulnerável, e então explora essa vulnerabilidade para carregar o driver não assinado.

Os dois exemplos mais amplamente usados ​​de ferramentas de terceiros são:

• EldoS RawDisk , usado pelos limpadores Shamoon e ZeroClare e pelo Lazarus Group em seu infame Sony Hack.
• EaseUS Partition Master usado por HermeticWiper

Tudo acima

Conforme mostrado nos exemplos acima, a maioria dos limpadores não usa apenas uma técnica, mas uma combinação. Wipers empregam complexidade variada na tentativa de atingir seus objetivos. Quanto mais complexo for o malware, mais técnicas ele precisará usar. E, claro, quanto mais técnicas forem usadas, menor será a probabilidade de que os dados possam ser recuperados.

Telemetria Fortinet

A Figura 3 mostra os números de detecção do Fortinet Anti-Virus (AV) desde janeiro de 2022 de várias assinaturas de malware Wiper. Podemos ver que houve um aumento significativo. Também é interessante ver que ainda há muita detecção do NotPetya, o que pode ser explicado pelo fato de ser um worm, portanto, enquanto houver máquinas vulneráveis, o NotPetya continuará se autopropagando. Também podemos ver como os novos limpadores específicos para a guerra apareceram em março e aumentaram significativamente os números.

Recomendações para minimizar o impacto do Wiper Malware