La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y el FBI publicaron una nueva guía sobre las cepas de malware WhisperGate y HermeticWiper en un aviso conjunto este fin de semana.
Las agencias gubernamentales advirtieron a las organizaciones y empresas estadounidenses que estuvieran atentos a WhisperGate y HermeticWiper después de que se viera que se usaban contra organizaciones en Ucrania en el período previo a la invasión rusa del país.
Tanto CISA como el FBI reiteraron que no existe una amenaza específica contra las organizaciones estadounidenses.
«A raíz de la continua denegación de servicio y los ataques destructivos de malware que afectan a Ucrania y otros países de la región, CISA ha estado trabajando mano a mano con nuestros socios para identificar y compartir rápidamente información sobre malware que podría amenazar las operaciones de infraestructura crítica. aquí en los Estados Unidos», dijo la directora de CISA, Jen Easterly.
«Nuestros socios del sector público y privado en el Joint Cyber Defense Collaborative (JCDC), los socios del equipo internacional de preparación para emergencias informáticas (CERT) y nuestros viejos amigos en el FBI están trabajando juntos para ayudar a las organizaciones a reducir su riesgo cibernético».
CISA instó a las organizaciones de EE. UU. a tomar medidas para protegerse permitiendo la autenticación multifactor, implementando programas antivirus y antimalware, habilitando filtros de spam, actualizando todo el software y filtrando el tráfico de red.
El aviso conjunto, «Organizaciones dirigidas contra el malware destructivo en Ucrania», llega cuando CISA amplió su página web Shields Up para incluir nuevos servicios y recursos, recomendaciones para líderes corporativos y acciones para proteger activos críticos.
CISA también ha creado una nueva página web de orientación técnica de Shields Up que proporciona más detalles sobre otros ataques cibernéticos que enfrenta Ucrania y recursos técnicos para hacer frente a las amenazas.
«El FBI, junto con nuestros socios federales, continúa viendo actividad cibernética maliciosa que apunta a nuestro sector de infraestructura crítica», dijo el subdirector de la División Cibernética del FBI, Bryan Vorndran.
«Nos esforzamos por interrumpir y disminuir estas amenazas, sin embargo, no podemos hacer esto solos, continuamos compartiendo información con nuestros socios del sector público y privado y los alentamos a informar cualquier actividad sospechosa. Pedimos que las organizaciones continúen fortaleciendo sus sistemas para evitar cualquier impedimento mayor en caso de incidente”.
Docenas de sistemas dentro de al menos dos agencias gubernamentales ucranianas fueron borrados durante un ciberataque utilizando WhisperGate en enero. Microsoft publicó un blog detallado sobre WhisperGate y dijo que se descubrió por primera vez el 13 de enero. Varias compañías de seguridad han publicado guías y exámenes del malware desde que surgió.
En un examen de seguimiento de WhisperGate, la compañía de seguridad CrowdStrike dijo que el malware tiene como objetivo «corromper irrevocablemente los datos de los hosts infectados e intentar hacerse pasar por operaciones de ransomware genuinas y modernas».
«Sin embargo, el SusurroPuerta bootloader no tiene un mecanismo de descifrado o recuperación de datos y tiene inconsistencias con el malware comúnmente implementado en las operaciones de ransomware», explicó CrowdStrike.
«La actividad recuerda al destructivo ataque de VOODOO BEAR. NoPetya malware, que incluía un componente que se hacía pasar por la utilidad chkdsk legítima después de un reinicio y corrompía la tabla maestra de archivos (MFT) del host infectado, un componente crítico del sistema de archivos NTFS de Microsoft. sin embargo, el SusurroPuerta El cargador de arranque es menos sofisticado y actualmente no se pudo identificar ninguna superposición técnica con las operaciones de VOODOO BEAR».
Kitsoft, la compañía que creó alrededor de 50 sitios web del gobierno de Ucrania, dijo que también descubrió el malware WhisperGate en sus sistemas.
