Un nuevo malware de borrado, conocido como PathWiper, se ha utilizado en un ciberataque destructivo contra una organización ucraniana de infraestructura crítica.
El ataque se ejecutó mediante una herramienta legítima de gestión de endpoints, lo que sugiere que los atacantes tenían acceso a la consola administrativa, que utilizaron para enviar comandos maliciosos a los sistemas conectados.
PathWiper representa una evolución en el malware destructivo, con capacidades que le permiten borrar datos críticos del sistema en múltiples volúmenes de almacenamiento.
Cisco Talos, que descubrió y analizó el ataque, lo ha atribuido con gran certeza a un actor ruso de amenazas persistentes avanzadas (APT). Su evaluación se basa en tácticas y comportamientos de borrado similares en campañas de malware anteriores vinculadas a grupos patrocinados por el estado ruso que atacaban a Ucrania.
La implementación del malware se orquestó a través del marco de administración de endpoints. La consola emitió comandos que simulaban una actividad rutinaria, pero ejecutó un archivo VBScript. Este script escribió el ejecutable del limpiador en el disco del sistema y lo ejecutó, iniciando así el proceso de destrucción.
Una vez iniciado, PathWiper escanea el sistema para identificar todos los medios de almacenamiento conectados, incluyendo:
- Unidades físicas
- Recursos compartidos de red, incluyendo aquellos que ya no están activos
- Nombres y rutas de los volúmenes
Para ello, utiliza las API del sistema y consultas de registro para localizar las unidades compartidas.
Tras mapear el entorno de almacenamiento, genera un subproceso para cada volumen descubierto y comienza a sobrescribir los componentes clave del sistema de archivos con datos aleatorios.
Los artefactos objetivo incluyen estructuras NTFS esenciales como el registro maestro de arranque (MBR), $MFT y $LogFile.
Antes de comenzar el proceso de sobrescritura, PathWiper intenta desmontar los volúmenes para evitar bloqueos de archivos. Este enfoque es particularmente dañino, ya que garantiza que tanto las unidades activas como las inactivas se corrompan sin posibilidad de recuperación.
Según Cisco Talos, el comportamiento del malware se asemeja al de HermeticWiper, un limpiador de 2022 vinculado al grupo ruso Sandworm, pero con una segmentación más precisa y sistemática.
Mientras que HermeticWiper atacaba ciegamente las unidades del 0 al 100, PathWiper valida cuidadosamente las etiquetas y los volúmenes de las unidades antes de ejecutar su rutina destructiva.
Cisco Talos enfatizó que el uso de una consola administrativa legítima y la familiaridad del atacante con las operaciones de la herramienta indican un alto nivel de sofisticación y acceso previo.
Para protegerse contra amenazas similares, las organizaciones deben auditar periódicamente los controles de acceso, segmentar las redes críticas, aplicar principios estrictos de privilegios mínimos y asegurarse de que las herramientas de monitoreo de endpoints estén configuradas para detectar comportamientos administrativos inusuales.