Meteor Wiper Malware träffar iranska järnvägar

Under de senaste åren har vi sett en massiv förändring av hur cyberbrottslingar fungerar. I stället för att använda destruktiv skadlig kod har de fokuserat på att utveckla komplicerade utpressningssystem eller skadlig programvara som stjäl känslig data från offret. Även om dessa operationer är mycket lönsamma, finns det fortfarande några hotaktörer som förlitar sig på den klassiska destruktiva skadliga programvaran. Ett av de populära implantaten som passar denna kategori är de så kallade "torkarna". De beter sig på ett sätt som liknar ransomware, men det är en stor skillnad - de tar bort filer istället för att kryptera dem. Naturligtvis erbjuder de kriminella inte ett återhämtningsalternativ, inte heller ber de om pengar - deras mål är att vara så destruktiv som möjligt.

Meteor Wiper Malware kommer in i scenen

I juli identifierade cybersäkerhetsexperter ett nytt implantat som passar beskrivningen ovan - Meteor Wiper Malware. Det användes vid en storskalig attack mot den iranska järnvägsbyrån. Även om "radering av filer" kan låta som en enkel uppgift, kan du vara säker på att hot som Meteor Wiper Malware inte alls är grundläggande. De utför vanligtvis en lång lista med uppgifter för att se till att deras utförande går felfritt och att offret inte hinner reagera.

När det gäller Meteor Wiper Malware verkar det som om attacken kan vara politiskt motiverad-men angriparnas politiska lojalitet eller ursprung är ännu inte klart. Under attacken spammades järnvägens anslagstavlor med meddelanden som berättade för passagerare att ringa en specifik telefon för mer information. Telefonen tillhör dock inte järnvägen - att ringa den skulle få passagerare i kontakt med kontoret för högsta ledaren Ali Khamenei.

Meteor Wiper Malwares attack involverar flera steg för att säkerställa felfritt utförande. Den initiala infektionsvektorn är inte klar. När torkaren är igång använder den flera komponenter för att utföra attacken:

• Setup.bat - manipulerar med Windows grupprincip för att göra det möjligt att kopiera skadliga körbara filer till andra system i samma nätverk. Den kontrollerar också om det finns antivirusprogram, inaktiverar Windows Defender och kopplar tillfälligt bort datorn från Internet. Det raderar också ut Windows Event Logs och fortsätter att köra tre filer.
• Env.exe eller msapp.exe - båda filerna tjänar ett identiskt system, men deras namn skiljer sig åt. Dessa är värd för torkarkomponenten, som tar bort filer.
• Nti.exe - ett MBR -skåp, som åsidosätter MBR (Master Boot Record) för att förhindra att datorer startas.
• Mssetup.exe - ett skärmskåp som visar en bild och ett meddelande till offret.

Vanligtvis är destruktiva attacker som den som Meteor Wiper Malware utför, avsedda att leverera ett meddelande. Hotaktörerna gör dock inget sådant - de har inga krav, de citerar inte sin motivation och de lämnar offret i mörkret. Vi har ännu inte sett om Meteor Wiper Malware kommer att gå efter en annan byrå eller ett företag.