Sicherheitsforscher entdecken AcidRain-Nachfolger AcidPour Malware greift Te­le­kom­mu­ni­ka­ti­ons­netz in der Ukraine an

Anbieter zum Thema

SentinelOne GmbH

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Analysten von SentinelLabs haben eine neue, brandaktuelle Malware-Variante identifiziert: AcidPour. Diese erweitert die Funktionalität ihres berüchtigten Vorgängers, AcidRain, und zielt auf große Speichergeräte und RAID-Systeme ab. AcidPour ist möglicherweise mit russischer Militärspionage verbunden und könnte der Auslöser von aktuellen Ausfällen ukrainischer Te­le­kom­mu­ni­ka­ti­ons­netze sein.

Am 16. März 2024 stießen Analysten von SentinelLabs auf eine verdächtige Linux-Binärdatei, die aus der Ukraine hochgeladen wurde. Erste Untersuchungen offenbarten oberflächliche Ähnlichkeiten mit dem AcidRain-Wiper, der während des berüchtigten "Viasat-Hacks" verwendet wurde. Dieser Hack hat den US-Anbieter Viasat und sein KA-Sat-Netz für Satelliteninternet im Februar – parallel zum Beginn der russischen Invasion in der Ukraine – zum Absturz gebracht. Das führte zur Deaktivierung von KA-SAT-Modems in ganz Europa.

Bei AcidPour handelt es sich um eine neue Wiper-Variante mit ähnlichen und erweiterten Fähigkeiten wie den von AcidRain. Recherchen zu AcidPour sind aktiv im Gange, aber aktuelle Analysen deutet darauf hin, dass AcidPour „embedded devices“ – einschließlich Netzwerken, IoT, großen Speichern (RAIDs) und möglicherweise ICS-Geräten mit Linux x86-Distributionen – effektiv deaktivieren kann. Wahrscheinlich ist, dass Bedrohungsakteure diese Malware gegen die Ukraine einsetzen, um sowohl bestimmte Kommunikationskanäle als auch kritische Infrastrukturen lahm zu legen.

Background und die Verbindung zu AcidRain

Mit dem Ziel, Kunden in der Ukraine vom Satelliteninternet abzuschneiden, wurden am 24. Februar 2022 die KA-SAT-Modems von Eutelsat in der Ukraine durch einen Cyberangriff funktionsunfähig gemacht. Die Auswirkungen dieses Angriffs beeinträchtigten wichtige Dienste in ganz Europa – in Deutschland wurde zum Beispiel der Betrieb von 5.800 Enercon-Windturbinen stark eingeschränkt.

Einen Monat nach diesem Cyberangriff identifizierten Malware Analyste eine Wiper-Komponente, die diese Störung verursachte, um die ukrainische Militärkommunikation zu Beginn der russischen Invasion zu deaktivieren. Diese Komponente benannten Forscher AcidRain.

Bei weiteren Analysen wurde festgestellt, dass es entwicklungsbedingte Ähnlichkeiten zwischen AcidRain und einem Plugin von VPNFilter namens "dstr" gab, die von dem FBI und dem Justizministerium der russischen Regierung zugeschrieben wurde und offiziell von der Europäische Union verurteilt wurde.

Trotz einer Vielzahl von Wipern und Cyberoperationen gegen die Ukraine in den darauffolgenden Monaten und Jahren, haben Sicherheitsexperten keine weiteren Verwendungen von AcidRain oder ähnlichen Komponenten entdeckt – bis heute.

Ein Blick hinter die technischen Kulissen

Die Architektur von AcidRain und dem neu-entdeckten AcidPour erscheint auf den ersten Blick ähnlich – beide verwenden denselben Neustart-Mechanismus, die gleiche Methode der sich selbst löschenden Directories, nutzen denselben IOCTL-basierten Löschmechanismus und zielen auf Linux-Systeme ab. Während AcidRain aber für die MIPS-Architektur kompiliert wurde, um mit den anvisierten Geräten kompatibel zu sein, ist AcidPour für die x86-Architektur konzeptioniert.

AcidPour richtet sich gezielt auf große Speichergeräte und RAID-Systeme, beinhaltet aber auch Unsorted Block Image (UBI) und Device Mapper (DM) Logik. Da besonders UBIs häufig in Geräten wie Handhelds, IoT-, Netzwerk- oder in einigen Fällen ICS-Geräte vorkommen, entsteht dadurch eine enorm große und anfällige Angriffsoberfläche.

Ebenfalls sind Geräte wie Storage Area Networks (SANs), Network Attached Storage (NASes) und dedizierte RAID-Arrays in dem Anwendungsbereich von AcidPour. Die Malware-Variante kann also als allgemeineres Tool dienen, das eine größere Anzahl von Geräten deaktiviert, die auf eingebettete Linux-Distributionen angewiesen sind. Und – wahrscheinlich als Reaktion der Bedrohungsakteure auf die Entdeckung von AcidRain – beginnt AcidPour mit einer Selbstlöschfunktion.

Auswirkungen und Wege zur Bekämpfung der Bedrohung

Die Entdeckung von AcidPour macht deutlich, dass sich Angriffsszenarien nach AcidRain noch weiterentwickeln. Besonders beunruhigend ist die mögliche Rolle von AcidPour bei den aktuellen Ausfällen ukrainischer Telekommunikationsnetze, die seit dem 13. März 2024 gemeldet werden. Während konkrete Ziele von AcidPour noch nicht abschließend bestätigt wurden, wird vermutet, dass AcidPour eine Rolle bei diesen Störungen spielt, was die Dringlichkeit einer effektiven Reaktion auf diese Bedrohung verdeutlicht.

Der Übergang von AcidRain zu AcidPour zeigt nicht nur eine Verfeinerung der technischen Fähigkeiten der Bedrohungsakteure, sondern auch ihre kalkulierte Herangehensweise bei der Auswahl von Zielen, die zu weitaus größerem Schaden führen, indem sie kritische Infrastrukturen und die globale Kommunikation stören.

SentinelLabs beobachtet diese Aktivitäten weiterhin und hofft, dass die Forschungsgemeinschaft diese Verfolgung mit zusätzlichen Telemetrie- und Analyseergebnissen unterstützen wird.

Über den Autor: Roland Stritt ist Vice President Central EMEA bei SentinelOne.

(ID:50000489)