Malware-Infektionen machen aktuell Energieunternehmen und Medien in der Ukraine zu schaffen. Für die Verbreitung der Trojaner BackEnergy sowie Disakil alias Killdisk ist die Hacker-Gruppierung Sandworm verantwortlich, berichtet Symantec.
Die Internet-Kriminellen der Bande „Sandworm“ sind offensichtlich politisch motiviert. In der Vergangenheit haben sie bereits ukrainische Medien, die NATO, einige westeuropäische Länder und Energieunternehmen angegriffen. Jüngst haben sie mithilfe von Malware die Stromnetze der Ukraine lahmgelegt.
Ein Beispiel aus dem Oktober 2015 zeigt, wie sie dabei vorgehen: Seinerzeit hatten die Angreifer ein großes ukrainisches Medienunternehmen aufs Korn genommen. Zunächst hatten sie eine neue Variante des BlackEnergy-Trojaners auf einem Rechner eingeschleust.
Dieser diente anschließen dazu, Anmeldedaten abzugreifen und wiederum den Trojaner Disakil auf einer großen Anzahl an PCs zu installieren. Die mehrstufig aufgebaute Malware zeichnet sich durch ihre Zerstörungswut aus, heißt es im Symantec Security Response Center.
Die Techniken von Disakil alias Killdisk seien einfach, aber effizient, erörtert der Antivirus-Experte: Fällt Disakil in ein Windows-System ein, kann es den Rechner gar vorübergehend unbrauchbar machen. Der Trojaner überschreibt schlicht und einfach den kompletten Master Boot Record (MBR).
Interessant ist aber besonders die Ausrichtung auf kritische Infrastrukturen: Der Trojaner versucht beispielsweise, den Prozess „sec_service“ zu beenden und zu entfernen. Dieser Dienst gehöre zu einem „Serial to Ethernet“-Konnektor, welcher dazu dient, serielle Ports per Remote-Verbindung anzusteuern. Laut Symantec kommt diese Technik insbesondere bei der Fernüberwachung von SCADA-Systemen zum Einsatz.
