Cybercrime veroorzaakt stroomstoringen in Oekraïne
Onlangs schreven we al over de BlackEnergy malware die energiemaatschappijen en mediabedrijven in Oekraïne aanvalt. De aanvallen blijken de directe aanleiding te zijn geweest voor stroomstoringen waar Oekraïne in december 2015 mee te kampen had.
Op 23 december vorig jaar werden ongeveer 700.000 mensen in de Ivano-Frankivsk-regio in Oekraïne getroffen door een stroomstoring van enkele uren. Volgens onderzoekers van beveiligingsspecialist ESET stond het incident niet op zichzelf. Tegelijkertijd werden andere energiecentrales in het land onder vuur genomen door cybercriminelen.
BlackEnergy
De aanvallers kwamen binnen via de zogeheten 'BlackEnergy' malware. Vervolgens konden ze een aangepaste variant van de malware 'KillDisk' achterlaten, waardoor de getroffen systemen niet meer konden starten. Het Trojaanse paard BlackEnergy is modulair en bestaat uit verschillende downloadbare componenten die elk specifieke taken uitvoeren. In 2014 werd het gebruikt in een serie cyberspionage-aanvallen gericht op belangrijke overheidsgerelateerde doelen in Oekraïne.
De eerste bekende link tussen BlackEnergy en het zeer destructieve Trojaanse paard KillDisk werd gerapporteerd in november 2015, door de Oekraïense cybersecurity-instelling CERT-UA. Toen werden enkele nieuwsmedia getroffen, precies in de periode van de lokale verkiezingen. Volgens CERT-UA vernietigden de aanvallers daarbij veel videomateriaal en verschillende documenten.
KillDisk
De KillDisk-variant gebruikt in de recente aanvallen was 'geoptimaliseerd' voor het aanvallen van energiecentrales. De normale variant wist systeembestanden en maakt daarmee een systeem volledig onklaar. De gebruikte variant bevatte echter code die specifiek gericht was op industriële systemen.
"Behalve de reguliere KillDisk-functionaliteit, probeerde deze variant ook processen uit te schakelen die wellicht behoren bij een in de industrie veelgebruikt platform voor Industrial Control Systems", zegt Anton Cherepanov, malware-onderzoeker bij ESET.
Lastig herstel
Als de malware deze processen aantreft, dan schakelt het deze niet alleen uit, maar overschrijft het bijbehorende uitvoerbare bestand met willekeurige gegevens. Dat maakt het systeemherstel veel lastiger.
"Onze analyse van de destructieve KillDisk-malware die we aantroffen in verschillende elektriciteitsbedrijven in Oekraïne toont aan dat dezelfde middelen zijn gebruikt als bij de aanval op de Oekraïense media. En die middelen kunnen kritische systemen platleggen", concludeert Cherepanov. Meer informatie over de aanval op Oekraïense elektriciteitsbedrijven is te vinden op WeLiveSecurity.com.
Meer over
Lees ook
Cisco Annual Security-rapport: sterke groei in geavanceerde aanvallen; het netwerk speelt een centrale rol bij de beveiliging
Uit het vandaag gepresenteerde Cisco 2014 Annual Security Report blijkt dat het aantal dreigingen dat misbruik maakt van het vertrouwen dat gebruikers hebben in systemen, toepassingen en persoonlijke netwerken, ongekende proporties heeft bereikt. Volgens het rapport heeft een wereldwijd tekort aan bijna een miljoen beveiligingsprofessionals negati1
Microsoft-medewerkers trappen in spear phishing-aanval
Medewerkers van Microsoft zijn vorige week in een spear phishingaanval getrapt. De hackersgroep Syrian Electronic Army (SEA) wist op deze wijze de inloggegevens van zowel het blog als het Twitter-account van Microsoft in handen te krijgen. Microsoft bevestigt tegenover The Verge de cyberaanval. "Een social engineering aanvalsmethode die bekend st1
Wiskundig model voorspelt grootschalige cyberaanvallen
Grootschalige cyberaanvallen kunnen met behulp van een computermodel worden voorspeld. Onderzoekers van de Amerikaanse universiteit van Michigan hebben een wiskundige model ontwikkeld dat in staat is te berekenen wanneer dergelijke cyberaanvallen waarschijnlijk plaatsvinden. Het model is alleen geschikt voor zeer grootschalige aanvallen, zoals de1