El malware Meteor Wiper llega a los ferrocarriles iraníes

En los últimos años, hemos visto un cambio masivo en la forma en que operan los ciberdelincuentes. En lugar de utilizar malware destructivo, se han centrado en desarrollar complicados esquemas de extorsión o malware de alta calidad que roba datos confidenciales de la víctima. Si bien estas operaciones son muy rentables, todavía hay algunos actores de amenazas que dependen del malware destructivo clásico. Uno de los implantes populares que se ajustan a esta categoría son los llamados "limpiadores". Se comportan de manera similar al ransomware, pero hay una diferencia importante: eliminan archivos en lugar de cifrarlos. Naturalmente, los delincuentes no ofrecen una opción de recuperación ni piden dinero; su objetivo es ser lo más destructivo posible.

El malware Meteor Wiper entra en escena

En julio, los expertos en ciberseguridad identificaron un nuevo implante, que se ajusta a la descripción anterior: el malware Meteor Wiper. Se utilizó en un ataque a gran escala contra la agencia ferroviaria iraní. Aunque la "eliminación de archivos" puede parecer una tarea sencilla, puede estar seguro de que las amenazas como Meteor Wiper Malware no son básicas en absoluto. Suelen realizar una larga lista de tareas para asegurarse de que su ejecución transcurra sin problemas y que la víctima no tenga tiempo de reaccionar.

En el caso del Meteor Wiper Malware, parece que el ataque podría tener una motivación política; sin embargo, la lealtad política o el origen de los atacantes aún no está claro. Durante el ataque, los foros de mensajes de la vía férrea recibieron spam con mensajes que decían a los pasajeros que llamaran a un teléfono específico para obtener más detalles. Sin embargo, el teléfono no pertenece al ferrocarril; llamarlo pondría a los pasajeros en contacto con la oficina del Líder Supremo Ali Khamenei.

El ataque de Meteor Wiper Malware implica varias etapas para garantizar una ejecución impecable. El vector de infección inicial no está claro. Una vez en funcionamiento, el limpiaparabrisas utiliza varios componentes para llevar a cabo el ataque:

• Setup.bat: manipula la Política de grupo de Windows para que sea posible copiar los ejecutables maliciosos en otros sistemas de la misma red. También verifica la presencia de software antivirus, deshabilita Windows Defender y desconecta temporalmente la computadora de Internet. También borra los registros de eventos de Windows y procede a ejecutar tres archivos.
• Env.exe o msapp.exe: ambos archivos sirven a un sistema idéntico, pero sus nombres difieren. Estos alojan el componente de limpiaparabrisas, que elimina archivos.
• Nti.exe: un casillero MBR, que anula el MBR (Master Boot Record) para evitar que las PC se inicien.
• Mssetup.exe: un bloqueador de pantalla que muestra una imagen y un mensaje para la víctima.

Normalmente, los ataques destructivos como el que lleva a cabo Meteor Wiper Malware están destinados a enviar un mensaje. Sin embargo, los actores de la amenaza no hacen tal cosa: no tienen demandas, no citan su motivación y dejan a la víctima en la oscuridad. Todavía tenemos que ver si Meteor Wiper Malware atacará a otra agencia o empresa.