Stroomstoringen Oekraïne direct gevolg van cyberspionage

01-05-2016

Sliedrecht, 17 december 2015 – De stroomstoringen in Oekraïne van december vorig jaar zijn het directe gevolg van cyberspionage. De digitale spionnen gebruikten speciale malware die industriële systemen kan saboteren. Op 23 december vorig jaar werden ongeveer 700.000 mensen in de Ivano-Frankivsk-regio in Oekraïne getroffen door een stroomstoring van enkele uren. Volgens onderzoekers van beveiligingsspecialist ESET stond het incident niet op zichzelf. Tegelijkertijd werden andere energiecentrales in het land onder vuur genomen door cybercriminelen.De aanvallers kwamen binnen via de zogeheten 'BlackEnergy' malware. Vervolgens konden ze een aangepaste variant van de malware 'KillDisk' achterlaten, waardoor de getroffen systemen niet meer konden starten.

BlackEnergy

Het Trojaanse paard BlackEnergy is modulair en bestaat uit verschillende downloadbare componenten die elk specifieke taken uitvoeren. In 2014 werd het gebruikt in een serie cyberspionage-aanvallen gericht op belangrijke overheidsgerelateerde doelen in Oekraïne. De eerste bekende link tussen BlackEnergy en het zeer destructieve Trojaanse paard KillDisk werd gerapporteerd in november 2015, door de Oekraïense cybersecurity-instelling CERT-UA. Toen werden enkele nieuwsmedia getroffen, precies in de periode van de lokale verkiezingen. Volgens CERT-UA vernietigden de aanvallers daarbij veel videomateriaal en verschillende documenten.

KillDisk

De KillDisk-variant gebruikt in de recente aanvallen was 'geoptimaliseerd' voor het aanvallen van energiecentrales. De normale variant wist systeembestanden en maakt daarmee een systeem volledig onklaar. Maar de gebruikte variant bevatte code die specifiek gericht was op industriële systemen. “Behalve de reguliere KillDisk-functionaliteit, probeerde deze variant ook processen uit te schakelen die wellicht behoren bij een in de industrie veelgebruikt platform voor Industrial Control Systems”, zegt Anton Cherepanov, malware-onderzoeker bij ESET.

Lastig herstel
Als de malware deze processen aantreft, dan schakelt het deze niet alleen uit, maar overschrijft het bijbehorende uitvoerbare bestand met willekeurige gegevens. Dat maakt het systeemherstel veel lastiger. “Onze analyse van de destructieve KillDisk-malware die we aantroffen in verschillende elektriciteitsbedrijven in Oekraïne toont aan dat dezelfde middelen zijn gebruikt als bij de aanval op de Oekraïense media. En die middelen kunnen kritische systemen platleggen”, concludeert Cherepanov.Meer informatie over de aanval op Oekraïense elektriciteitsbedrijven is te vinden op WeLiveSecurity.com.

Over ESET

Sinds 1987 ontwikkelt ESET bekroonde beveiligingssoftware die meer dan 100 miljoen gebruikers helpt om technologie veiliger te gebruiken. Het brede portfolio van beveiligingsproducten is geschikt voor alle populaire platformen en biedt bedrijven en consumenten over de gehele wereld de perfecte balans tussen prestaties en proactieve bescherming. Het wereldwijde verkoopnetwerk beslaat 180 landen, met regionale kantoren in Bratislava, San Diego, Singapore en Buenos Aires. Meer informatie is te vinden op www.eset.nl of via social media: LinkedIn, Facebook en Twitter.