Martin Skýpala

Produktový manažer české pobočky společnosti ESET

Produkty ESET Smart Security Premium, ESET Internet Security a ESET NOD32 Antivirus pro operační systém Windows na zařízeních s ARM nabízejí celou řadu preventivních a detekčních technologií i pro běžné uživatele.

Byli to právě testeři z řad domácích uživatelů a jejich zpětná vazba a postřehy, které nám pomohly otestovat beta verze našich produktů a připravit bezpečnostní řešení pro zařízení s ARM v takové kvalitě, která je u našich produktů standardem.

V nabídce funkcí nechybí např. ESET LiveGuard, ESET Password Manager nebo webový portál ESET HOME, který uživatelům nabídne správu licencí všech členů rodiny či přátel na jednom místě.

Michal Cebák

Bezpečnostní analytik společnosti ESET

CaddyWiper je podobný již dříve detekovaným škodlivým kódům HermeticWiper a IsaacWiper a i v tomto případě analýza naznačuje, že dotčené organizace byly napadeny v minulosti. Díky tomu bylo možné malware, který byl mimochodem zkompilován jen několik hodin před naší detekcí, pro útok použít.

S ohledem na všechny tyto zjištěné informace nemůžeme ani vyloučit scénář, že CaddyWiper byl v tomto případě využit jinými útočníky než v případě kybernetických útoků v prvních dnech války.

I v tomto případě byl wiper nasazen prostřednictvím GPO, tedy standardního mechanizmu pro hromadnou konfiguraci operačního systému Windows i aplikací v prostředích s adresářovou službou Active Directory.

Což znamená, že útočníci museli již předtím převzít kontrolu nad samotným serverem s Active Directory službou. Ta mimo jiné také zajišťuje v počítačové síti autentizaci a autorizaci uživatelů.

Miroslav Dvořák

Technický ředitel společnosti ESET

Spolupráce se společností Intel je krokem k okamžitému zvýšení úrovně ochrany, kterou právě integrace hardwarové technologie pro detekci ransomwaru přináší. Využití telemetrie a strojového učení, které poskytuje přímo procesor, je účinným krokem, který umožní lepší sledování běžících procesů a odhalení jejich škodlivého chování, v tomto případě nevyžádaného šifrování souborů. Pro ESET to v podstatě znamená možnost odhalit i takový ransomware, který se snaží vyhnout své detekci v paměti zařízení.

ESET vždy věřil ve vícevrstvý přístup a s přidáním detekce na úrovni hardware si uvědomujeme, že tento způsob ochrany je dalším milníkem v boji proti kybernetickým hrozbám. Současně tato zvýšená ochrana nepředstavuje viditelný dopad na výkon zařízení - k analýze a zpracování je totiž využívána integrovaná grafická jednotka (GPU).

Nízký dopad na výkon systému je oblast, kterou ESET v rámci své vícevrstvé softwarové architektury vždy upřednostňoval, a která je pro mnoho našich klientů důvodem, proč si naše řešení koupit. Využití technologií, které nám pomohou s prevencí a ochranou, a zároveň zachovají výkon, je pro obě strany výhodná volba.

Michal Cebák

Bezpečnostní analytik společnosti ESET

Pokud jde o IsaacWiper, v současné době vyhodnocujeme jeho případné propojení s HermeticWiperem. Je důležité poznamenat, že byl detekován v souvislosti s ukrajinskou vládní organizací, která nebyla zasažena HermeticWiperem.

Postižené organizace byly kompromitovány s dostatečným předstihem ještě před nasazením wiperu - toto naše tvrzení podporuje několik dalších zjištění, jako jsou časové značky kompilace spustitelného souboru obsahujícího HermeticWiper, z nichž nejstarší je z 28. 12. 2021, data vydání certifikátu pro podpis kódu z 13. dubna 2021 a v jednom zjištěném případě také nasazení malwaru HermeticWiper prostřednictvím výchozí doménové politiky.

Všechny tyto parametry a skutečnosti naznačují, že útočníci již měli přístup k jednomu ze serverů Active Directory, které patřily oběti.

Michal Cebák

Bezpečnostní analytik společnosti ESET

První vzorky jsme zachytili ve středu 23. 2. 2022 v 16:52 místního času. Z analýzy malwaru vyplynulo, že vzniknul již 28. 12. 2021, z čehož lze vyvodit, že útok byl připravován poslední dva měsíce.

V jedné z organizací, které byly cílem útoku, byl wiper nasazen prostřednictvím výchozího GPO - Group Policy Management, což znamená, že útočníci převzali kontrolu nad serverem Active Directory, který zajišťuje v počítačové síti autentizaci a autorizaci uživatelů, počítačů i další služby.