Wiper-attacker på kraftig uppgång

Riskerar att slå hårt mot samhällskritisk infrastruktur

En rapport från cybersäkerhetsföretaget Fortinet visar en kraftig ökning i användandet av så kallad wiper-programvara i cyberattacker under 2022. Attackerna har slagit hårt mot både samhällskritisk infrastruktur och multinationella företag.

Termen wiper kommer från engelskans wipe vilket också är dess grundläggande funktion, att torka (radera) hårddisken på den drabbade datorn. Det är ett skrämmande effektivt cyberhot som använts för att radera kritiska data på infekterade enheter.

Nu visar en ny rapport från cybersäkerhetsföretaget Fortinet att användningen av dessa så kallade wipers ökade kraftigt under 2022. Exempelvis utsattes en satellit från Viasat för en wiper-relaterad attack under 2022, vilket resulterade i att tiotusentals kunder över hela Europa förlorade sin uppkoppling.

Mycket tyder också på att ökningen kan härledas till pro-ryska hackergrupper. En stor del av attackerna har nämligen riktats mot ukrainska organisationer i svallvågorna av att den ryska invasionen av Ukraina.

Även om attackerna inte officiellt har tillskrivits pro-ryska aktörer, ligger attackernas mål i linje med den ryska militärens intressen. Bland annat har sju olika attacker riktade mot ukrainsk infrastruktur eller ukrainska företag observerats under 2022, samtliga med målet att slå ut samhällskritisk infrastruktur.

– Den ökande användningen av wiper-relaterade attacker utgör stora risker i den uppkopplade och sammankopplade värld vi lever i idag. En attack i en annan del av världen kan få ödeläggande effekter även här i Sverige. Det blev tydligt i attacken mot Viasat, som inte bara slog ut uppkopplingen för många av företagets kunder, utan också satte över 5 800 tyska vindkraftverk ur funktion, säger Andreas Gotthardsson, Director Systems Engineering på Fortinet i Sverige.

En typisk wiper kommer oftast i form av en så kallad mask, en form av skadlig programvara som sprids via sårbarheter i applikationer och som samtidigt avlyssnar nätverksanslutningar för att hitta nya måltavlor. När den etablerar sig på en ny maskin raderas data på värddatorn. För att säkerställa att det är helt omöjligt att återställa raderade data är de dessutom utformade för att skriva över hårddiskens data mellan en och åtta gånger.

Till skillnad från många andra typer av cyberattacker är det sällan ekonomisk vinning som är den stora drivkraften bakom wiper-attacker. Om du raderar data hos offret går det inte att kräva en lösensumma för att lämna tillbaka den. Ofta handlar det snarare om regelrätt sabotage av en verksamhet.

– Oavsett vad riskerar det att få förödande konsekvenser för den som drabbas, och med den här typen av maskar kan det vara svårt att säkerställa att endast de tilltänkta måltavlorna hamnar i skottgluggen. Ett av de mest omfattande exemplen på en wiper hittills var NotPetya, som snabbt spreds från ett Ukraina-baserat bokföringsprogram ut i världen och bland annat lamslog flera hamnar i Norden, säger Andreas Gotthardsson.

– Det är det obehagliga med wipers, de är förödande och oberäkneliga.

Andreas Gotthardssons bästa tips för att minska skadeverkningarna av wipers:

• Backup. En välfungerande lösning för säkerhetskopior är det bästa motmedlet. Men det vet upphovsmännen bakom wipers om och de letar aktivt efter backuplösningar på nätverket. Säkerhetskopior behöver hållas separerat från övrigt nätverk – och det är viktigt att det finns fungerande rutiner för att återställa systemen.
• Segmentering. Genom att dela in nätverket i åtskilda delar blir det svårare för en wiper att sprida sig inom organisationen. Brandväggar tillsammans med anti-virus och lösningar som förhindrar intrång spelar också en viktig roll i att både minska spridningen och ge organisationen information om attacken.
• Förberedelser och träning. Hur väl förberedd är organisationen? Vilka processer och lösningar finns på plats för att säkerställa att verksamheten kan fortskrida utan IT? Hur återställer vi säkerhetskopior? Hur hanterar vi kommunikationen mot medier, marknad och medarbetare? Detta behöver finnas på plats på förhand – och organisationen behöver kontinuerligt öva för att vara förberedda.
• Incidenthantering. Ju snabbare en incident upptäcks, desto bättre är förutsättningarna för att kunna hantera den på ett bra sätt. Att bygga upp den här typen av funktion kräver både stora resurser och specifik expertis som är en bristvara, därför tar många organisationer hjälp av externa lösningar.

Några av de mest framträdande wiper-attackerna hittills:

• Shamoon, 2012: Användes i attacker mot bland annat Saudi Aramco och RasGas i Qatar.
• Dark Seoul, 2013: Riktad attack mot medier och banksektorn i Sydkorea.
• NotPetya, 2017: Initialt inriktad på organisationer i Ukraina, men på grund av väl utvecklad förmåga att sprida sig blev NotPetya den mest förödande attacken med skadlig kod hittills.
• Olympic Destroyer, 2018: Måltavla: Vinter-OS i Sydkorea.
• ZeroCleare, 2020: Inriktad på energibolag i mellanöstern.
• WhisperKill, WhisperGate, HermeticWiper, IsaacWiper, CaddyWiper, DoupleZero, 2022: Olika exempel på wipers som riktat in sig på organisationer i Ukraina i samband med Rysslands anfallskrig.
• AcidRain, 2022: Attack mot Viasats KA-SAT.

2023-02-16 - Industritorget