Industroyer2 Malware
Kritische Infrastrukturdienste in der Ukraine wurden vor und nach der russischen Invasion des Landes Ziel von Cyberangriffen. Es scheint, dass Cyberkriminelle immer noch weitere Angriffsoperationen starten, wobei eines der neuesten Ziele ein ukrainischer Energieversorger ist.
Die Drohkampagne versuchte, eine neue Malware namens Industroyer2 einzusetzen, die in der Lage ist, das ICS (Industrial Control Systems) des Opfers zu beschädigen oder zu stören. Die Operation zielte auf ein elektrisches Hochspannungs-Umspannwerk ab und verfehlte angeblich ihre schändlichen Ziele. Das ukrainische Computer Emergency Response Team (CERT-UA), Microsoft und die Cybersicherheitsfirma ESET analysieren den Angriff. Bisher ist der wahrscheinliche Schuldige die Sandworm -Bedrohungsgruppe, von der angenommen wird, dass sie auf Befehl des russischen Geheimdienstes GRU operiert.
Bedrohliche Eigenschaften
Die Industroyer2-Bedrohung scheint eine neue und verbesserte Version von Malware zu sein, die als Industroyer ( CRASHOVERRIDE ) bekannt ist. Bereits im Dezember 2016 wurde der ursprüngliche Industroyer im Rahmen eines Angriffs auf ein Umspannwerk in der Ukraine eingesetzt, der einen kurzzeitigen Stromausfall verursachte. Jetzt wird die Industroyer2-Bedrohung auf ähnliche Weise verwendet. Es wird auf den Zielsystemen als ausführbare Windows-Datei bereitgestellt, die am 8. April über eine geplante Aufgabe ausgeführt werden sollte.
Zur Kommunikation mit der Industrieausrüstung des Ziels verwendet Industroyer2 das IEC-104-Protokoll (IEC 60870-5-104). Dies bedeutet, dass es Schutzrelais in Umspannwerken beeinflussen kann. Im Gegensatz dazu war die ältere Industroyer-Bedrohung vollständig modular und konnte Nutzlasten für mehrere ICS-Protokolle bereitstellen. Ein weiterer Unterschied wurde in den Konfigurationsdaten entdeckt. Während die ursprüngliche Bedrohung eine separate Datei zum Speichern dieser Informationen verwendete, sind die Konfigurationsdaten von Industroyer2 fest in seinen Körper codiert. Folglich muss jede Probe der Bedrohung speziell auf die Umgebung des ausgewählten Opfers zugeschnitten werden.
