AcidPour-wisser ingezet tegen Oekraïense doelen
Onderzoekers hebben voorheen onzichtbare wiper-malware ontdekt die verband houdt met Rusland en die ruim twee jaar geleden werd gebruikt bij een operatie die zich richtte op meer dan 10.000 satellietmodems, voornamelijk in Oekraïne, vlak vóór de Russische invasie van het buurland.
Deze nieuwe malware, door beveiligingsbedrijf Sentinel One AcidPour genoemd, vertoont opvallende gelijkenissen met AcidRain, een ruitenwisser die in maart 2022 werd geïdentificeerd en waarvan Viasat bevestigde dat hij eerder die maand betrokken was bij de aanval op zijn modems. Wipers zijn kwaadaardige programma's die zijn ontworpen om gegevens te vernietigen of apparaten onbruikbaar te maken. Viasat meldde dat AcidRain werd geïnstalleerd op meer dan 10.000 Eutelsat KA-SAT-modems nadat aanvallers het privénetwerk van het bedrijf hadden binnengedrongen.
Overeenkomsten tussen AcidPour en VPNFilter
Sentinel One, hetzelfde bedrijf dat AcidRain ontdekte, merkte technische overeenkomsten op tussen het programma en een malware die in 2018 aan de Russische overheid werd toegeschreven, bekend als VPNFilter. Dit verband suggereert dat AcidRain en de malware uit 2018 mogelijk producten zijn van hetzelfde ontwikkelaarsteam. De recente ontdekking van AcidPour ondersteunt dit verder en geeft aan dat het waarschijnlijk is ontwikkeld door het aan het Kremlin gelieerde team.
Technische parallellen tussen AcidPour en andere malware, zoals het herstartmechanisme, de recursieve logica voor het wissen van mappen en het op IOCTL gebaseerde wismechanisme, versterken deze associatie nog verder. AcidPour deelt ook programmeerkenmerken met andere malware die wordt toegeschreven aan de Sandworm-groep, waaronder Industroyer2 en CaddyWiper, die beide gericht waren op de Oekraïense infrastructuur.
De programmeertaal en technieken die in AcidPour worden gebruikt, komen overeen met die van eerdere Sandworm-gerelateerde aanvallen, wat wijst op een consistente modus operandi. De Oekraïense autoriteiten koppelen AcidPour aan UAC-0165, een splintergroep geassocieerd met Sandworm, bekend om zijn geschiedenis van het aanvallen van Oekraïense kritieke infrastructuur.
Speculaties van Sentinel One-onderzoekers suggereren dat AcidPour mogelijk is ingezet om Oekraïense telecommunicatienetwerken te ontwrichten, die sinds 13 maart offline zijn geweest, kort voor de ontdekking van de nieuwe ruitenwisser.
