CryWiper-malware gebruikt om Russische doelen aan te vallen

Een geheel nieuwe soort malware die nog nooit eerder in het wild was gezien, wordt nu gebruikt bij aanvallen op administratieve instanties in Rusland. De nieuwe malware heet CryWiper. CryWiper richt zich op de kantoren van stadsambtenaren en rechtbanken in Russische steden.

De malware doet zich voor als een soort ransomware. CryWiper verandert versleutelde bestandsextensies zoals de meeste varianten van ransomware doen, door de ".cry"-tekenreeks aan de namen van gecodeerde bestanden toe te voegen. De malware laat ook een losgeldbrief achter en vraagt om 0,5 aan Bitcoin als losgeld.

Ondanks de schijn is CryWiper, zoals de naam al doet vermoeden, in werkelijkheid een destructieve bestandswisser en geen legitieme ransomware-stam, wat de mogelijkheid van herstel en decodering zou impliceren.

Volgens beveiligingsonderzoekers zijn bestanden niet versleuteld, worden de gegevens erin vernietigd en kunnen ze niet worden hersteld. Een diepere analyse van de kwaadaardige tool laat zien dat dit niet eens een bug of een vergissing is van een deel van de CryWiper-ontwikkelaar - dit is bedoeld gedrag.

De gegevens in bestanden die door de malware zijn aangetast, worden vervangen door getallen die worden geproduceerd door een pseudo-willekeurige nummergenerator, waardoor herstel onmogelijk wordt.