Malver Shamoon koji briše hard diskove se vratio, a pojavio se još jedan takav malver - StoneDrill

Opisi virusa, 09.03.2017, 01:00 AM

Malver koji briše hard diskove Shamoon pretrpeo je značajne promene prethodnih meseci, a sada je dobio i novi modul - ransomware, kao i podršku za 32-bitne i 64-bitne arhitekture.

Shamoon koji je poznat i pod nazivom Disttrack, prvi put primećen 2012. godine, danas je jedan od najozloglašenijih, ali i jedan od najređih malvera.

Shamoon se "proslavio" 2012. posle incidenta za koji su odgovorni hakeri koji su delovali pod pokroviteljstvom i u ime neke države, tokom koga su obrisani podaci sa više od 35000 kompjutera saudijske naftne kompanije Aramco.

Malver je korišćen i za napade na manje ciljeve, ali je manje više ostao neprimetan do novembra prošle godine, kada su kompanije Symantec i Palo Alto Networks otkrile napade na brojne privatne kompanije u Saudijskoj Arabiji.

Napadi su se nastavili i u decembru, a zatim i u januaru 2017.

Analizirajući malver koji je korišćen u ovim napadima, istraživači kompanije Kaspersky Lab ne samo da su otkrili izmenjenu verziju Shamoona, koja se prati kao Shamoon 2.0, već su otkrili i novi malver koji briše hard disk, koji je u tesnoj vezi sa Shamoonom, i koji su istraživači nazvali StoneDrill.

StoneDrill je mnogo napredniji od Shamoona 2.0, i za razliku od njega, StoneDrill nije korišćen samo u napadima u Saudijskoj Arabiji već i u napadu na jednu evropsku kompaniju.

StoneDrill koristi napredne tehnike izbegavanja sandboxa, eksterne skripte za zlonamerne aktivnosti, kao i metod infekcije bez fajlova koji podrazumeva ubacivanje komponente za brisanje u memoriju, umesto korišćenja drajvera kao što to radi Shamoon.

Shamoon 2.0 i StoneDrill imaju i neke sličnosti koje se tiču brisanja diska, krađe lozinki sa inficiranih računara, backdoor funkcionalnosti za krađu podataka od žrtava i zajedničku komandno-kontrolnu infrastrukturu.

Kao i prva verzija Shamoona, i Shamoon 2.0 i ima brojne nove funkcije, među kojima se izdavaja ransomware modul. Oni koji koriste Shamoon 2.0 za napade mogli bi da upotrebe ransomware modul kao alternativu za brisanje podataka sa računara.

Razlog za brisanje podataka je želja napadača da uklone svoje tragove pošto prethodno ukradu podatke sa računara.

Stručnjaci veruju da će taj modul biti korišćen da bi se žrtve prevarile da poveruju da su pretrpele infekciju ransomwareom, i da treba da vrate podatke iz rezervnih kopija, da obrišu ili reinstaliraju sistem, a da im pri tom ne padne na pamet da istraže šta se tačno dogodilo.

Raniji izveštaji kompanija Kaspersky, Seculert i Websense koji su se bavili malverom Shamoon aludirali su da bi za napade na saudijske kompanije mogla biti odgovorna hakerska grupa iz Irana iza koje stoji država.