Cybercriminelen veroorzaken stroomstoringen in Oekraïne
De stroomstoringen in Oekraïne van december vorig jaar zijn het directe gevolg van cyberspionage. De digitale spionnen gebruikten speciale malware die industriële systemen kan saboteren.Op 23 december vorig jaar werden ongeveer 700.000 mensen in de Ivano-Frankivsk-regio in Oekraïne getroffen door een stroomstoring van enkele uren. Volgens onderzoekers van beveiligingsspecialist ESET stond het incident niet op zichzelf. Tegelijkertijd werden andere energiecentrales in het land onder vuur genomen door cybercriminelen.
BlackEnergy
De aanvallers kwamen binnen via de zogeheten 'BlackEnergy' malware. Vervolgens konden ze een aangepaste variant van de malware 'KillDisk' achterlaten, waardoor de getroffen systemen niet meer konden starten. Het Trojaanse paard BlackEnergy is modulair en bestaat uit verschillende downloadbare componenten die elk specifieke taken uitvoeren. In 2014 werd het gebruikt in een serie cyberspionage-aanvallen gericht op belangrijke overheidsgerelateerde doelen in Oekraïne.
De eerste bekende link tussen BlackEnergy en het zeer destructieve Trojaanse paard KillDisk werd gerapporteerd in november 2015, door de Oekraïense cybersecurity-instelling CERT-UA. Toen werden enkele nieuwsmedia getroffen, precies in de periode van de lokale verkiezingen. Volgens CERT-UA vernietigden de aanvallers daarbij veel videomateriaal en verschillende documenten.
KillDisk
De KillDisk-variant gebruikt in de recente aanvallen was 'geoptimaliseerd' voor het aanvallen van energiecentrales. De normale variant wist systeembestanden en maakt daarmee een systeem volledig onklaar. De gebruikte variant bevatte echter code die specifiek gericht was op industriële systemen.
"Behalve de reguliere KillDisk-functionaliteit, probeerde deze variant ook processen uit te schakelen die wellicht behoren bij een in de industrie veelgebruikt platform voor Industrial Control Systems", zegt Anton Cherepanov, malware-onderzoeker bij ESET.
Lastig herstel
Als de malware deze processen aantreft, dan schakelt het deze niet alleen uit, maar overschrijft het bijbehorende uitvoerbare bestand met willekeurige gegevens. Dat maakt het systeemherstel veel lastiger.
"Onze analyse van de destructieve KillDisk-malware die we aantroffen in verschillende elektriciteitsbedrijven in Oekraïne toont aan dat dezelfde middelen zijn gebruikt als bij de aanval op de Oekraïense media. En die middelen kunnen kritische systemen platleggen", concludeert Cherepanov. Meer informatie over de aanval op Oekraïense elektriciteitsbedrijven is te vinden op WeLiveSecurity.com.
Dossiers
Meer over
Lees ook
Barracuda's nieuwe Cybernomics 101-rapport onthult de financiële aspecten achter cyberaanvallen
Barracuda heeft zijn Cybernomics 101-rapport gepubliceerd, waarin de financiële aspecten en winstmotieven achter cyberaanvallen worden onderzocht. Uit het nieuwe rapport blijkt dat de gemiddelde jaarlijkse kosten om te reageren op securityinbreuken en -lekken meer dan 5 miljoen dollar bedragen.
Dreigingsactor 'BattleRoyal' gebruikt DarkGate-malware voor cybercriminele doeleinden
Onderzoekers van cybersecuritybedrijf Proofpoint publiceren vandaag onderzoek over de activiteiten van dreigingsactor 'Battle Royal'. Deze actor gebruikt DarkGate- en NetSupport-malware om controle te krijgen over geïnfecteerde hosts via meerdere verschillende aanvalsketens en social engineering technieken.
Recruiters slachtoffer van malware door lures van TA4557
Cybersecuritybedrijf Proofpoint brengt onderzoek naar buiten over nieuwe activiteit van TA4557. Dit is een financieel gemotiveerde dreigingsactor die bekend staat om het gebruik van lures met sollicitatiethema’s. Ook verspreidt het de More_Eggs backdoor, een strategische loop gemaakt voor het verlengen van de uitvoeringstijd wat de ontwijkingsmoge1