Meteor Wiper Malware colpisce le ferrovie iraniane

Negli ultimi anni abbiamo assistito a un enorme cambiamento nel modo in cui operano i criminali informatici. Invece di utilizzare malware distruttivo, si sono concentrati sullo sviluppo di complicati schemi di estorsione o malware di alta qualità che ruba dati sensibili alla vittima. Sebbene queste operazioni siano molto redditizie, ci sono ancora alcuni attori delle minacce che si affidano al classico malware distruttivo. Uno degli impianti più diffusi che rientrano in questa categoria sono i cosiddetti "pulitori". Si comportano in modo simile al ransomware, ma c'è una grande differenza: eliminano i file invece di crittografarli. Naturalmente, i criminali non offrono un'opzione di recupero, né chiedono denaro: il loro obiettivo è essere il più distruttivo possibile.

Meteor Wiper Malware entra in scena

A luglio, gli esperti di sicurezza informatica hanno identificato un nuovo impianto, che si adatta alla descrizione di cui sopra: il Meteor Wiper Malware. È stato utilizzato in un attacco su larga scala contro l'agenzia ferroviaria iraniana. Sebbene la "cancellazione dei file" possa sembrare un'attività semplice, puoi essere certo che minacce come Meteor Wiper Malware non sono affatto basilari. Di solito eseguono una lunga lista di compiti per assicurarsi che la loro esecuzione avvenga in modo impeccabile e che la vittima non abbia il tempo di reagire.

Nel caso del Malware Meteor Wiper, sembra che l'attacco possa essere motivato politicamente, tuttavia, la fedeltà politica o l'origine degli aggressori non è ancora chiara. Durante l'attacco, le bacheche della ferrovia sono state inondate di messaggi che dicevano ai passeggeri di chiamare un telefono specifico per maggiori dettagli. Il telefono, tuttavia, non appartiene alla ferrovia: chiamandolo i passeggeri si metterebbero in contatto con l'ufficio del leader supremo Ali Khamenei.

L'attacco di Meteor Wiper Malware coinvolge più fasi per garantire un'esecuzione impeccabile. Il vettore di infezione iniziale non è chiaro. Una volta in funzione, il tergicristallo utilizza diversi componenti per eseguire l'attacco:

• Setup.bat: manomette i Criteri di gruppo di Windows per consentire la copia degli eseguibili dannosi su altri sistemi sulla stessa rete. Inoltre, verifica la presenza di software antivirus, disabilita Windows Defender e disconnette temporaneamente il computer da Internet. Cancella anche i registri eventi di Windows e procede con l'esecuzione di tre file.
• Env.exe o msapp.exe: entrambi i file servono un sistema identico, ma i loro nomi differiscono. Questi ospitano il componente wiper, che elimina i file.
• Nti.exe: un armadietto MBR, che sovrascrive l'MBR (Master Boot Record) per impedire l'avvio dei PC.
• Mssetup.exe – un salvaschermo, che mostra un'immagine e un messaggio alla vittima.

In genere, gli attacchi distruttivi come quello effettuato da Meteor Wiper Malware hanno lo scopo di recapitare un messaggio. Tuttavia, gli attori della minaccia non fanno nulla del genere: non hanno richieste, non citano le loro motivazioni e lasciano la vittima all'oscuro. Dobbiamo ancora vedere se Meteor Wiper Malware andrà contro un'altra agenzia o azienda.