Facebook Google Plus Twitter LinkedIn YouTube RSS Menu Search Resource - BlogResource - WebinarResource - ReportResource - Eventicons_066 icons_067icons_068icons_069icons_070

Blog da Tenable

Inscrever-se

O Sandworm APT implanta novo limpador SwiftSlicer usando uma política de grupo do Active Directory

Tenable Research Cyber Exposure Alert for Sandworm APT Deploys New SwiftSlicer Wiper Using Active Directory Group Policy
Sandworm APT Deploys New SwiftSlicer Wiper Using Active Directory Group Policy

Sandworm, the Russian-backed APT responsible for NotPetya in 2017, has recently attacked an Ukrainian organization using a new wiper, SwiftSlicer.

Contexto

On January 27, ESET Research has published a thread on Twitter discussing its analysis of a new wiper malware used in a cyberattack in Ukraine. This new malware, dubbed "SwiftSlicer", was deployed in the target environment using Active Directory (AD) Group Policy. ESET has attributed the attack to Sandworm, an advanced persistent threat (APT) group most notably responsible for the NotPetya attacks in Ukraine in 2017.

Análise

SwiftSlicer is a wiper malware written in the Go programming language. It was deployed against Ukrainian targets by using Domain Policy Modification: Group Policy Modification. Use of AD group policies indicates that, after gaining access to the target, the threat actor compromised the domain controller. SwiftSlicer then overwrites shadow copies, files in the driver directory "%CSIDL_SYSTEM%/drivers", NT Directory Services folder "%CSIDL_SYSTEM%/Windows/NTDS" and other non-system drives with random data before force rebooting the machine.

Sandworm, which has been operating since at least 2009, has targeted Ukraine in a years-long campaign, launching numerous high-profile attacks against Ukrainian infrastructure and entities, such as attacks on the national power grid in 2015 and 2016 and an attempted attack in 2022. The use of AD group policies is not new for Sandworm. In the first few months of 2022, two similar wiper variants, HermeticWiper and CaddyWiper, were dropped onto devices of target organizations in Ukraine using group policies.

Historical exploitation of vulnerabilities for initial access

Researchers from iSIGHT Partners detailed the Sandworm Team’s use of vulnerabilities as part of spearphishing attacks against targeted entities, including a zero-day in Windows Object Linking and Embedding (OLE), identified as CVE-2014-4114, as well as CVE-2013-3906, a remote code execution vulnerability in the Microsoft Graphics Device Interface (GDI+).

In 2020, the National Security Agency (NSA) issued a cybersecurity advisory detailing the Sandworm Team’s use of CVE-2019-10149, a remote command execution vulnerability in the Exim mail transfer agent.

In 2022, the Computer Emergency Response Team of Ukraine (CERT-UA) warned that Sandworm was observed exploiting CVE-2022-30190, a remote code execution vulnerability in the Microsoft Windows Support Diagnostic Tool (MSDT), also known as Follina.

Identificação de sistemas afetados

Sandworm has been known to utilize zero days and spearphishing techniques to infiltrate networks and spread a variety of malware. As demonstrated in this attack, the group often takes advantage of AD in order to infect as many machines as possible. Their techniques are often destructive, as they continue to favor “wiper” type malware to render workstations inoperable, while generally leaving AD intact to maintain their foothold into a victims organization. We highly recommend reviewing your AD environment to focus on misconfigurations that may put your organization at risk. Tenable's Active Directory Security solution helps organizations gain visibility into your complex AD environment, predict what matters to reduce risk, and eliminate attack paths before attackers exploit them.

The Tenable One Exposure Management Platform extends beyond traditional vulnerability management, which concentrates on the discovery and remediation of publicly disclosed Common Vulnerabilities and Exposures (CVEs). A foundational part of any exposure management program, Tenable One includes data about configuration issues, vulnerabilities and attack paths across a spectrum of assets and technologies — including identity solutions (e.g., Active Directory); cloud configurations and deployments; and web applications.

Tenable has coverage for CVEs known to be used by Sandworm. A dynamic and filtered list can be found here.

Obtenha mais informações

Join Tenable's Security Response Team on the Tenable Community

Learn more about Tenable One, the Exposure Management Platform for the modern attack surface.

Artigos relacionados

As notícias de segurança cibernética mais relevantes

Informe seu e-mail e nunca mais perca os alertas oportunos e orientações de segurança dos especialistas da Tenable.

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes.

Sua avaliação do Tenable Vulnerability Management também inclui o Tenable Lumin e o Tenable Web App Scanning.

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

100 ativos

Escolha sua opção de assinatura:

Compre já

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes.

Sua avaliação do Tenable Vulnerability Management também inclui o Tenable Lumin e o Tenable Web App Scanning.

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

100 ativos

Escolha sua opção de assinatura:

Compre já

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes.

Sua avaliação do Tenable Vulnerability Management também inclui o Tenable Lumin e o Tenable Web App Scanning.

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

100 ativos

Escolha sua opção de assinatura:

Compre já

Experimente o Tenable Web App Scanning

Aproveite o acesso total à nossa mais recente oferta de verificação de aplicações Web, projetada para aplicações modernas, como parte da Plataforma de gerenciamento de exposição Tenable One. Verifique com segurança em busca de vulnerabilidades em todo o seu portfólio on-line com um alto grau de precisão sem grandes esforços manuais ou interrupção de aplicações Web críticas. Inscreva-se agora mesmo.

Sua avaliação do Tenable Web App Scanning também inclui o Tenable Vulnerability Management e o Tenable Lumin.

Comprar o Tenable Web App Scanning

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

5 FQDNs

US$ 3.578,00

Compre já

Avalie o Tenable Lumin

Visualize e explore o gerenciamento de exposição, acompanhe a redução de riscos ao longo do tempo e faça comparações com seus pares por meio do Tenable Lumin.

Sua avaliação do Tenable Lumin também inclui o Tenable Vulnerability Management e o Tenable Web App Scanning.

Compre o Tenable Lumin

Entre em contato com um representante de vendas para ver como o Tenable Lumin pode ajudar você a obter insights em toda a sua organização e gerenciar o risco cibernético.

Experimente o Tenable Nessus Professional gratuitamente

GRATUITO POR POR 7 DIAS

O Tenable Nessus é o verificador de vulnerabilidade mais abrangente do mercado atualmente.

NOVIDADE: Tenable Nessus Expert
Já disponível

O Nessus Expert adiciona ainda mais recursos, incluindo verificação de superfície de ataque externa e a capacidade de adicionar domínios e verificações de infraestrutura em nuvem. Clique aqui para testar o Nessus Expert.

Preencha o formulário abaixo para continuar com uma avaliação do Nessus Pro.

Comprar o Tenable Nessus Professional

O Tenable Nessus é o verificador de vulnerabilidade mais abrangente do mercado atualmente. O Tenable Nessus Professional ajudará a automatizar o processo de verificação de vulnerabilidades, economizar tempo nos ciclos de conformidade e permitir que você envolva sua equipe de TI.

Compre uma licença para vários anos e economize. Inclua o Suporte avançado para ter acesso ao suporte por telefone, pela comunidade e por bate-papo 24 horas por dia, 365 dias por ano.

Selecione sua licença

Compre uma licença para vários anos e economize.

Adicionar suporte e treinamento

Experimente o Tenable Nessus Expert gratuitamente

GRÁTIS POR 7 DIAS

Desenvolvido para a superfície de ataque moderna, o Nessus Expert permite ver mais e proteger sua organização de vulnerabilidades, da TI à nuvem.

Já adquiriu o Tenable Nessus Professional?
Atualize para o Nessus Expert gratuitamente por 7 dias.

Comprar o Tenable Nessus Expert

Desenvolvido para a superfície de ataque moderna, o Nessus Expert permite ver mais e proteger sua organização de vulnerabilidades, da TI à nuvem.

Selecione sua licença

Compre uma licença para vários anos e economize mais.

Adicionar suporte e treinamento