Industroyer2: Angriffe auf ukrainische Energiewirtschaft

Umspannwerke in der Ukraine werden angegriffen. Ziel der Hacker ist die Stilllegung der Infrastruktur. Forscher vermuten mit hoher Sicherheit die APT-Gruppe Sandworm hinter den neuesten Attacken.

ESET-Forscher haben eng mit dem ukrainischen CERT zusammengearbeitet, um das Netzwerk des Unternehmens zu schützen. Hierbei gelang die Entdeckung einer neuen Variante der Industroyer-Malware, welche die Experten nun als Industroyer2 bezeichnen. Industroyer ist ein berüchtigtes Schadprogramm, das bereits 2016 von der APT-Gruppe Sandworm eingesetzt wurde, um die Stromversorgung in der Ukraine zu unterbrechen.

„Die Ukraine steht wieder einmal im Mittelpunkt von Cyberangriffen auf ihre kritische Infrastruktur. Diese neue Industroyer-Kampagne folgt auf mehrere Wellen von Wipern, die es auf verschiedene Sektoren in der Ukraine abgesehen haben“, erklärt Thorsten Urbanski, Sicherheitsexperte bei ESET. „Wir werden die Bedrohungslandschaft weiterhin beobachten, um Unternehmen vor dieser Art von zerstörerischen Angriffen zu schützen.“

Zusätzlich zu Industroyer2 verwendete die Sandworm-Gruppe mehrere destruktive Malware-Familien, darunter CaddyWiper, ORCSHRED, SOLOSHRED und AWFULSHRED. CaddyWiper kam erstmals Mitte März zum Einsatz, als es gegen eine ukrainische Bank verwendet wurde. Eine Variante von CaddyWiper wurde am 8. April gegen den bereits erwähnten ukrainischen Energieversorger eingesetzt.

Wer ist Sandworm?

Den Namen „Sandworm“ wählten die Sicherheitsforscher von iSIGHT Partners, die 2014 in den Binaries der BlackEnergy-Malware Hinweise auf Frank Herberts Roman „Dune“ entdeckten. Zu dieser Zeit präsentierten ESET-Forscher auf einer Virus-Bulletin-Konferenz ihre Erkenntnisse über mehrere gezielte BlackEnergy-Angriffe in der Ukraine und in Polen.

Zwar gab es einige Spekulationen darüber, dass es sich bei Sandworm um eine aus Russland heraus agierende Gruppe handeln müsse. Aber es dauerte bis ins Jahr 2020, bis das US-Justizministerium Sandworm konkret als die Militäreinheit 74455 der Hauptverwaltung für Aufklärung (GRU) des russischen Militärnachrichtendienstes identifizierte. Dieser soll in einem Gebäude im Moskauer Stadtteil Chimki residieren, welches umgangssprachlich „der Turm“ genannt wird.

Die ESET-Forscher aktualisieren fortlaufend den Blog-Artikel zum Industroyer2 auf WeLiveSecurity.

Weitere Informationen gibt es auch auf der Webseite des CERT-UA.