SwiftSlicer: Russische Malware überschreibt wichtige Systemdateien

Sicherheitsforscher haben eine russische Schadsoftware ent­deckt, die wichtige Systemdateien auf Windows-Geräten löscht. Die SwiftSlicer genannte Malware soll gegen Ziele in der Ukra­ine eingesetzt werden und wurde in der Pro­gram­mier­spra­che Go geschrieben. SwiftSlicer wurde von einem ESET-Team entdeckt und soll im Rahmen eines Angriffs auf ukrainische Systeme genutzt worden sein. Hinter der Attacke steht den Sicherheitsforschern zufolge die Hacker-Gruppe Sandworm, welche für eine russische Militäreinheit arbeitet. Welches konkrete Ziel ins Visier genommen wurde, ist allerdings unklar. SwiftSlicer soll über eine Gruppenrichtlinie im Active Directory gestartet worden sein.

Sobald SwiftSlicer auf einen Rechner gelangen konnte und ausgeführt wird, werden zunächst Schattenkopien gelöscht, sodass der aktuelle Systemzustand später nicht mehr wiederhergestellt werden kann. Die Malware überschreibt sämtliche Dateien, die in den Verzeichnissen "%CSIDL_SYSTEM%\drivers sowie %CSIDL_SYSTEM_DRIVE%\Windows\NTDS" abgelegt wurden. Neben den Systemdateien werden auch Nutzerdaten gelöscht.

Daten mit Zufallsblöcken überschrieben

Zum Überschreiben der Verzeichnisse werden zufällig generierte Blöcke mit einer Länge von 4096 Bytes verwendet. Hiermit wird verhindert, dass die Daten mithilfe eines entsprechenden Tools gerettet werden können. Obwohl der von Sandworm entwickelte Schadcode erst vor wenigen Tagen entdeckt wurde, wird die Malware bereits von mehr als 50 Prozent aller von Virus Total gelisteten Antiviren-Apps erkannt. Laut Bleeping Computer hat Sandworm bei einer weiteren Attacke CaddyWiper, ZeroWipe, SDelete, AwfulShred und BidSwipe verwendet, um die Systeme der Nachrichtenagentur Ukrinform lahmzulegen.


Siehe auch: