Malware do Meteor Wiper atinge as ferrovias iranianas

Nos últimos anos, vimos uma grande mudança na forma como os cibercriminosos operam. Em vez de usar malware destrutivo, eles se concentraram no desenvolvimento de esquemas complicados de extorsão ou malware de alta qualidade que roubam dados confidenciais da vítima. Embora essas operações sejam muito lucrativas, ainda existem alguns agentes de ameaças que contam com o malware destrutivo clássico. Um dos implantes populares que se enquadram nessa categoria são os chamados 'limpadores'. Eles se comportam de maneira semelhante ao ransomware, mas há uma grande diferença - eles excluem arquivos em vez de criptografá-los. Naturalmente, os criminosos não oferecem uma opção de recuperação, nem pedem dinheiro - seu objetivo é ser o mais destrutivo possível.

Malware Meteor Wiper entra em cena

Em julho, especialistas em segurança cibernética identificaram um novo implante, que se encaixa na descrição acima - o malware Meteor Wiper. Foi usado em um ataque em grande escala contra a agência ferroviária iraniana. Embora a 'exclusão de arquivo' possa parecer uma tarefa simples, você pode ter certeza de que ameaças como o Malware Meteor Wiper não são básicas. Eles geralmente realizam uma longa lista de tarefas para garantir que sua execução ocorra sem falhas e que a vítima não terá tempo para reagir.

No caso do Malware Meteor Wiper, parece que o ataque pode ter motivação política - no entanto, a lealdade política ou origem dos atacantes ainda não está clara. Durante o ataque, os painéis de mensagens da ferrovia receberam spam com mensagens instruindo os passageiros a ligar para um telefone específico para obter mais detalhes. O telefone, no entanto, não pertence à ferrovia - chamá-la levaria os passageiros a entrar em contato com o escritório do líder supremo Ali Khamenei.

O ataque do malware Meteor Wiper envolve vários estágios para garantir uma execução perfeita. O vetor de infecção inicial não é claro. Uma vez executado, o limpador usa vários componentes para realizar o ataque:

• Setup.bat - altera a Política de Grupo do Windows para possibilitar a cópia de executáveis maliciosos para outros sistemas na mesma rede. Ele também verifica a presença de software antivírus, desativa o Windows Defender e desconecta temporariamente o computador da Internet. Ele também apaga os Logs de Eventos do Windows e executa três arquivos.
• Env.exe ou msapp.exe - ambos os arquivos atendem a um sistema idêntico, mas seus nomes são diferentes. Eles hospedam o componente limpador, que exclui arquivos.
• Nti.exe - um armário MBR, que substitui o MBR (Master Boot Record) para evitar que os PCs inicializem.
• Mssetup.exe - um bloqueio de tela, que exibe uma imagem e uma mensagem para a vítima.

Normalmente, os ataques destrutivos como aquele que o Malware Meteor Wiper realiza têm como objetivo entregar uma mensagem. No entanto, os atores da ameaça não fazem isso - eles não têm demandas, não mencionam sua motivação e deixam a vítima no escuro. Ainda estamos para ver se o malware Meteor Wiper irá atrás de outra agência ou empresa.