AcidPour Wiper déployé contre des cibles ukrainiennes
Les chercheurs ont découvert un logiciel malveillant d'effacement inédit associé à la Russie, qui a été utilisé il y a plus de deux ans dans une opération ciblant plus de 10 000 modems satellite, principalement en Ukraine, juste avant l'invasion du pays voisin par la Russie.
Nommé AcidPour par la société de sécurité Sentinel One, ce nouveau malware présente des ressemblances frappantes avec AcidRain, un wiper identifié en mars 2022, confirmé par Viasat comme ayant été impliqué dans l'attaque de ses modems au début du mois. Les essuie-glaces sont des programmes malveillants conçus pour détruire des données ou rendre des appareils inutilisables. Viasat a signalé qu'AcidRain était installé sur plus de 10 000 modems Eutelsat KA-SAT après que des attaquants ont piraté le réseau privé de l'entreprise.
Similitudes entre AcidPour et VPNFilter
Sentinel One, la même société qui a découvert AcidRain, a noté des similitudes techniques entre celui-ci et un malware attribué au gouvernement russe en 2018, connu sous le nom de VPNFilter. Cette connexion suggère qu'AcidRain et le malware 2018 pourraient être des produits de la même équipe de développeurs. La récente découverte d'AcidPour conforte cette hypothèse, indiquant qu'il a probablement été développé par l'équipe affiliée au Kremlin.
Les parallèles techniques entre AcidPour et d'autres logiciels malveillants, tels que leur mécanisme de redémarrage, leur logique d'effacement récursif des répertoires et leur mécanisme d'effacement basé sur IOCTL, renforcent encore cette association. AcidPour partage également des caractéristiques de programmation avec d'autres logiciels malveillants attribués au groupe Sandworm, notamment Industroyer2 et CaddyWiper, qui ciblaient tous deux l'infrastructure ukrainienne.
Le langage de programmation et les techniques utilisés dans AcidPour s'alignent sur ceux utilisés dans les précédentes attaques liées à Sandworm, indiquant un modus operandi cohérent. Les autorités ukrainiennes associent AcidPour à l'UAC-0165, un groupe dissident associé à Sandworm, connu pour son historique de ciblage des infrastructures critiques ukrainiennes.
Les spéculations des chercheurs de Sentinel One suggèrent qu'AcidPour pourrait avoir été déployé pour perturber les réseaux de télécommunications ukrainiens, hors ligne depuis le 13 mars, peu avant la découverte du nouvel essuie-glace.
