Откриха нов тип кибератака

Експерти на компанията за киберсигурност SentinelOne обявиха, че са открили нов тип кибератака. Тя е била използвана срещу железниците на Иран, съобщава ZDNet.

На 9-ти юли т.г. местни медии в Иран са съобщили за кибератака срещу железниците. На екраните, които показват разписанието на влаковете на няколко гари, се е появило съобщение към пътниците да се обадят на телефона на офиса на иранския лидер.

Графикът също е бил объркан, като ден по-късно хакерите са свалили и сайта на иранското транспортно министерство. Експертите са започнали реконструция на случая, като са открили, че става дума за нов тип кибератака.

Използван е изцяло нов зловреден код, който е кръстен Meteor и е бил разработен през последните три години. От SentinelOne коментират, че са възстановили повечето компоненти на атаката, като са намерили "отпечатъците на непознат атакуващ".

Вирусът е разработен на отделни компоненти, които "пристигат" в компресирани архиви. Някои от тях криптират файловата система, докато други повреждат главни файлове за управлението на файловата система и я заключват. Всичко е програмирано да се случва в определен порядък.

Meteor има и други функции. Една от тях е, че изключва засегнатото устройство от мрежата и сканира за антивирусен софтуер, който да изключи. Също така създава фалшиви изключения за сигурност, за да заобиколи и защитите на Windows Defender.

Следваща стъпка в атаката на Meteor е да изтрие логовете, да криптира собствените си файлове и да направи така, че компютърът да не може да се стартира, ако бъде изключен. Meteor работи по график, като обикновено започва да изпълнява стъпките си 5 минути преди полунощ.

Експертите описват, че Meteor е "странно фрагментиран", като множество файлове и компоненти създават други компоненти. Това прави атаката доста сложна, като има много опции за конфигурация. Освен това накрая изтрива и файловете на системата. От компанията коментират, че това са само малка част от възможностите на Meteor.

Открити са и други модули, които не са били използвани в атаката срещу иранските железници. Например възможност да променя паролите на потребителите, да деактивира режими за възстанояване на системата, да изпълнява команди и др.