Škodlivý kód zachycený ve středu 23. února zneužívá k destrukci dat uložených na pevném disku počítače legitimní ovladač rhdr.sys softwaru EaseUS Partition Master, který jinak slouží ke správě pevných disků. Tento ovladač si malware nese s sebou, není tedy nutné, aby byl na zařízení již instalován.
Podrobný pohled na malware použitý na Ukrajině
Škodlivý kód kromě přepisu a mazání souborů v uživatelských adresářích maže také uživatelský profil uložený v souboru NTUSER.DAT. To ale není vše, finálním krokem, který znemožňuje následné nastartovaní operačního systému, je přepis částí disku, které jsou nezbytné pro start operačního systému. Útok tohoto malware je schopen vyřadit nejen jednotlivé počítače, ale i celé organizace. ESET dodává, že majitelé jeho bezpečnostních produktů na Ukrajině jsou proti těmto hrozbám chráněni.
„V jedné z organizací, které byly cílem útoku, byl wiper nasazen prostřednictvím GPO, tedy standardního mechanizmu pro hromadnou konfiguraci operačního systému Windows i aplikací v prostředích s adresářovou službou Active Directory. Což znamená, že útočníci museli již předtím převzít kontrolu nad samotným serverem s Active Directory službou. Ta mimo jiné také zajišťuje v počítačové síti autentizaci a autorizaci uživatelů,“ říká Michal Cebák, bezpečnostní analytik společnosti ESET.
Situace v Česku
Bezpečnostní analytici společnosti ESET pozorně sledují i situaci v České republice s ohledem na eskalaci situace na Ukrajině. Aktuálně však nejsou sledovány žádné anomálie či výkyvy v počtu či charakteru kybernetických hrozeb.
„V České republice sledujeme řadu kybernetických útoků a aktivit, nelze je ale dát do přímé souvislosti s aktuálními událostmi na Ukrajině. Česko je dlouhodobým cílem útočníků a v tuto chvíli nesledujeme žádný abnormální nárůst těchto aktivit,“ vysvětluje Cebák. „Pokud by se tato situace změnila, okamžitě na to zareagujeme,“ dodává bezpečnostní analytik společnosti ESET.
