Mercoledì 23 febbraio, poco prima delle 17 ora locale, i sistemi di monitoraggio di alcune aziende di sicurezza hanno iniziato a rilevare in Ucraina un malware mai visto. Non chiede riscatti e non ruba dati: distrugge. È stato chiamato HermeticWiper ed è comparso su centinaia di computer di grandi organizzazioni ucraine. Poche ore dopo è cominciata l’invasione militare russa.
Il programma è firmato con un certificato digitale valido, rilasciato a una piccola società cipriota, e per questo supera alcuni controlli. Usa il driver legittimo di un noto software di gestione delle partizioni per accedere direttamente al disco, danneggia il master boot record e le strutture del file system, poi riavvia il computer, che non riparte più. La data di compilazione indica il 28 dicembre 2021: l’attacco era pronto da settimane.
In almeno un caso, secondo i ricercatori, il malware è stato distribuito tramite i criteri di gruppo di Active Directory. Significa che gli attaccanti controllavano già il dominio da tempo. Tra le vittime ci sono anche organizzazioni con sedi in Lettonia e Lituania che lavorano per il governo ucraino e un istituto finanziario. Un’attribuzione ufficiale non c’è; diversi analisti notano somiglianze con operazioni collegate in passato all’intelligence militare russa.
HermeticWiper arriva dopo settimane di attacchi: a gennaio un altro wiper camuffato da ransomware, WhisperGate, e dal 15 febbraio ondate di DDoS contro ministeri, forze armate e grandi banche ucraine, ripetute proprio il 23.
Il precedente di NotPetya
Nel 2017 NotPetya, nato per colpire l’Ucraina, si propagò in tutto il mondo e causò miliardi di danni ad aziende che con il conflitto non avevano nulla a che fare. Per questo le agenzie europee e statunitensi chiedono di alzare il livello di allerta anche lontano dal fronte.
Contro un wiper non c’è riscatto da pagare: conta solo quanto in fretta riesci a reinstallare da zero e a ripristinare da backup offline recenti. Chiudi le vulnerabilità già sfruttate su VPN, server esposti e controller di dominio, e tieni d’occhio le modifiche ai criteri di gruppo e le nuove attività pianificate. Se hai filiali, partner o fornitori nell’area, rivedi le connessioni con loro. Verifica infine con il tuo provider la protezione DDoS dei servizi online essenziali, prima di averne bisogno.
