最初の侵入経路は不明なままですが、標的となった組織ではラテラルムーブメント（ネットワーク内での横展開）の痕跡が観察されています。ある組織では、このワイパーは、次のシステムパスにあるように、ActiveDirectoryのデフォルトのドメインポリシー（GPO）を介して展開されていました。

C:\Windows\system32\GroupPolicy\DataStore\0\sysvol\<redacted>\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}\Machine\cc.exe

これは、攻撃者がActive Directoryサーバーを掌握している可能性が高いことを示しています。

また、他の事例では、HermeticWiperを展開するためにImpacketが使用されていた可能性があります。Symantecはブログ記事の中で、このワイパーが以下のコマンドラインを使用して展開されたと説明しています。

cmd.exe /Q /c move CSIDL_SYSTEM_DRIVE\temp\sys.tmp1 CSIDL_WINDOWS\policydefinitions\postgresql.exe 1> \\127.0.0.1\ADMIN$\__1636727589.6007507 2>&1

このコマンドの最後の部分は、GitHubにあるImpacketのwmiexec.pyのデフォルトの動作と同じです。

最後に、SMBとWMIを介して、侵害されたネットワーク全体にHermeticWiperを拡散するために独自のワームが使用されていました。ESETはこのワームをHermeticWizardと命名しました。

HermeticWiperはWindowsの実行ファイルであり、そのリソースには4つのドライバが埋め込まれています。これらは、EaseUS Partition Masterソフトウェアの正規のドライバであり、CHENGDU YIWO Tech Development Co.によって署名されています。これらのドライバは、下位レベルでディスクを操作します。以下のファイルが観測されています。

• 0E84AFF18D42FC691CB1104018F44403C325AD21：x64ドライバ
• 379FF9236F0F72963920232F4A0782911A6BD7F7：x86ドライバ
• 87BD9404A68035F8D70804A5159A37D1EB0A3568；x64 XPドライバ
• B33DD3EE12F9E6C150C964EA21147BF6B7F7AFA9；x86 XPドライバ

OSのバージョンによって、4つのドライバの中の1つが選択され、
C:\Windows\System32\drivers\<4 random letters>.sysにドロップされます。 次に、サービスを作成してこのドライバをロードします。

HermeticWiperは、次に、ボリュームシャドウコピーサービス（VSS）を無効にし、ランダムなバイトで自身のファイルを上書きして、ディスクから自身を消去します。これは、インシデント後の解析によってこのワイパーの構造が解析されないようにするフォレンジック対策と考えられます。

ファイル操作のほとんどが、DeviceIoControlコールを使用して下位レベルで実行されていることは注目に値します。

Windows API関数のDeviceIoControlによって生成されるランダムバイトによって、以下の場所が上書きされます。

• マスターブートレコード(MBR)
• マスターファイルテーブル（MFT）
• すべてのドライブの$Bitmapおよび$LogFile
• レジストリキーが含まれるファイル（NTUSER*）
• C:\Windows\System32\winevt\Logs

また、FSCTL_MOVE_FILE操作を使用して、Windows、Program Files、Program Files(x86)、PerfLogs、Boot、System Volume Information、およびAppDataフォルダにあるフォルダおよびファイルも再帰的に消去します。この手法は、特異であり、GitHubのWindowsワイププロジェクトで実装されている内容と酷似しています（wipe_extent_by_defrag関数を参照）。My DocumentsおよびDesktopフォルダにあるシンボリックリンクや大きなファイルについても、ランダムバイトで上書きして消去します。

最後に、マシンを再起動します。しかし、MBR、MFT、および多くのファイルが消去されているため、起動に失敗します。ESETは攻撃を受けたマシンを復旧することは不可能だと考えています。

同じコード署名証明書（Hermetica Digital Ltd）で署名されている他の検体をESETが調査したところ、新しいマルウェアファミリーを特定し、HermeticWizardと命名しました。

2022年2月23日14:52:49（UTC）に、ウクライナのあるシステムにワームが展開されました。このワームは、C++で開発されたDLLファイルで、DllInstall、DllRegisterServer、およびDllUnregisterServer関数をエクスポートします。エクスポートDLLの名前は、Wizard.dllです3つのリソースが含まれています。これらは暗号化されたPEファイルです。

• HermeticWiperの検体（912342F1C840A42F6B74132F8A7C4FFE7D40FB77）
• exec_32.dll、WMIから他のローカルコンピュータに拡散する機能を提供します
  （6B5958BFABFE7C731193ADB96880B225C8505B73）
• romance.dll、SMBから他のローカルコンピュータに拡散する機能を提供します
  （AC5B6F16FC5115F0E2327A589246BA00B41439C2）

これらのリソースはリバースXORループで暗号化されます。4バイトの各ブロックは、前のブロックでXORされます。最後に、最初のブロックはハードコードされた値（0x4A29B1A3）でXORされます。

HermeticWizardは、コマンドラインregsvr32.exe /s /i <path>を使用して起動されます。

HermeticWizardは、最初にローカルネットワークにある他のマシンを探そうとします。以下のWindowsの関数を使用して、既知のローカルIPアドレスを収集します。

• DNSGetCacheDataTable
• GetIpNetTable
• WNetOpenEnumW(RESOURCE_GLOBALNET, RESOURCETYPE_ANY)
• NetServerEnum
• GetTcpTable
• GetAdaptersAddresses

次に、これらのIPアドレス（ローカルIPアドレスの場合のみ）に接続し、アクセス可能かどうかを確認します。HermeticWizardの起動時に、-s引数が指定された場合（regsvr32.exe /s /i:-s <path>）、/24の全範囲をスキャンします。つまり、たとえばDNSキャッシュで192.168.1.5が見つかった場合、192.168.1.1から192.168.1.254まで順番にスキャンします。各IPアドレスに対して、以下のポートでTCP接続を開こうとします。

• 20: ftp
• 21: ftp
• 22: ssh
• 80: http
• 135: rpc
• 137: netbios
• 139: smb
• 443: https
• 445: smb

ポートはランダムな順序でスキャンされているため、HermeticWizardのトラフィックをフィンガープリンティングすることはできません。

HermeticWizardは、アクセス可能なマシンを見つけると、WMIスプレッダ（詳細は後述）をディスクにドロップし、コマンドラインrundll32 <current folder>\<6 random letters>.ocx #1 -s <path to HermeticWizard> – i <target IP>を使用して、新しいプロセスを作成します。

SMBスプレッダ（詳細は後述）も同じ処理を実行し、異なるランダムな文字を使用して、<current folder>\<6 random letters>.ocxにドロップします。

最後に、HermeticWiperを<current folder>\<6 random letters>.ocxにドロップして、実行します。

このWMIスプレッダ「exec_32.dll」は、その開発者によってファイル名が付けられており、次の2つの引数を取ります。

• -i: ターゲットのIPアドレス
• -s: ターゲットマシンにコピーして実行するファイル

最初に、WNetAddConnection2Wを使用してターゲットのリモート管理共有への接続を作成します。次に、-s引数で指定されるファイルは、CopyFileWを使用してコピーされます。リモートファイルには、CoCreateGUIDで生成されるランダムな名前（例、 cB9F06408D8D2.dll）と、c%02X%02X%02X%02X%02X%02Xの文字列形式が設定されます。

次に、コピーしたファイル（HermeticWizard）を、DCOMを使用してリモートマシンで実行します。引数としてCLSID_WbemLocatorを使用して、CoCreateInstanceを呼び出します。次に、コマンドラインC:\windowssystem32.exe /c start C:\windowssystem32.exe /s /i C:\windowssystem32.dll /s /i C:\windows<filename>.dllを使用し、WMIのWin32_Processを使用してリモートマシンで新しいプロセスを作成します。

-s引数はHermeticWizardに渡されないため、この新しく侵害されたマシンのローカルネットワークが再びスキャンされることはありません。

WMIの手法に失敗すると、上記と同じコマンドとOpenRemoteServiceManagerを使用して、サービスの作成を試行します。

何らかの方法でリモートDLLの実行に成功すると、このリモートファイルを削除できるようになるまで休眠します。

SMBスプレッダ「romance.dll」は、その開発者によってファイル名が付けられており、WMIスプレッダと同じ2つの引数を取ります。SMBスプレッダはエクスプロイトを使用しませんが、このDLLの名前はEternalRomanceエクスプロイトに因んでいる可能性があります。

最初に、リモートのSMB共有（ポート445）にある以下のパイプへの接続を試みます。

• samr
• browser
• netlogon
• lsarpc
• ntsvcs
• svcctl

これらのパイプは、ラテラルムーブメントで使用されることが分かっています。このスプレッダには、SMB共有に対してNTLMSSP経由で認証するために使用されるハードコードされた認証情報のリストが含まれています。

— usernames —
guest
test
admin
user
root
administrator
manager
operator

— passwords —
123
Qaz123
Qwerty123

この認証情報のリストは極めて短く、十分に保護されていないネットワークでも認証は成功しない可能性があります。

接続に成功すると、ターゲットの管理共有に、-s引数で指定されたファイルをドロップします。WMIスプレッダについては、リモートファイルの名前は、CoCreateInstanceへの呼び出しによって生成されます。 .

次に、SMBから、コマンドラインcmd /c start regsvr32 /s /i ..\\<filename> & start cmd /c \”ping localhost -n 7 & wevtutil cl System\”を実行します。

IsaacWiperは、Authenticode署名のないWindows DLLまたはEXEとして検出されています。ESETのテレメトリに最初に登場したのは、2022年2月24日です。先に説明したように、ESETが発見した最も古いPEコンパイルのタイムスタンプは2021年10月19日です。つまり、そのPEコンパイルのタイムスタンプが改ざんされていなければ、IsaacWiperは数ヶ月前から使用されていた可能性があります。

PEエクスポートディレクトリにあるDLLの検体の名前はCleaner.dllであり、シングルエクスポート_Start@4が設定されています。

ESETは、%programdata%およびC:\Windows\System32フォルダにある次の名前のIsaacWiperを確認しています。

• clean.exe
• cl.exe
• cl64.dll
• cld.dll
• cll.dll

HermeticWiperとIsaacWiperのコードには類似性がなく、IsaacWiperのコードはそれほど高度ではありません。タイムラインを考えると、両者が関連している可能性もありますが、関連性を強く示唆する証拠は見つかっていません。

IsaacWiperは、最初に物理ドライブを列挙し、DeviceIoControlをIOCTLのIOCTL_STORAGE_GET_DEVICE_NUMBERと一緒に呼び出して、デバイス番号を取得します。次に、各ディスクの最初の0x10000バイトを、ISAAC疑似乱数発生器を使用して消去します。この疑似乱数発生器には、GetTickCountの値がシードとして提供されます。

次に、論理ドライブを列挙し、各ディスクにあるすべてのファイルを、同じくISAAC PRNGで生成したランダムバイトで再帰的に消去します。単一のスレッドで再帰的にファイルを消去していることから、大きなディスクを消去する場合に長い時間が必要となっています。

2022年2月25日に、攻撃者はデバッグログ機能のあるIsaacWiperの新バージョンをドロップしました。攻撃者がターゲットマシンの一部を消去できなかったことから、その問題を理解するためにログメッセージを追加した可能性があります。以下のようなログメッセージがC:\ProgramData\log.txtに保存されます。

• getting drives…
• start erasing physical drives…
• –– start erasing logical drive
• start erasing system physical drive…
• system physical drive –– FAILED
• start erasing system logical drive

このレポートでは、2022年2月23日にウクライナを標的として実行された破壊的なサイバー攻撃と2022年2月24日から26日にかけてウクライナの別の組織を標的として実行された2回目の攻撃について詳しく説明しました。現時点では、他の国がターゲットになった事例は確認されていません。

しかし、現在進行中であるウクライナ危機により、同じサイバー攻撃者がウクライナ政府を支持する国家や、ロシアの組織に制裁を科している国家に対して別のキャンペーンを展開する恐れもあります。