翻译的国外文章：https://www.sentinelone.com/labs/hermetic-wiper-ukraine-under-attack/
执行摘要
- 2 月 23 日，威胁情报社区开始观察在乌克兰组织中传播的新的擦除恶意软件样本。
- 我们的分析表明，在删除卷影副本并在重新启动后操纵 MBR 之后，使用签名的驱动程序来部署擦除 Windows 设备的擦除器。
- 此博客包含名为 HermeticWiper 的擦除器的技术细节，并包含 IOC，以使组织能够免受这种攻击。
- 这个样本正被积极地用于对付乌克兰组织，随着更多信息的出现，这个博客将被更新。
- SentinelOne 客户可以免受这种威胁，无需采取任何行动。
背景
2 月 23 日，我们在赛门铁克和 ESET 研究部门的朋友在推特上发布了与乌克兰擦除器攻击相关的哈希值，其中包括在撰写本文时尚未公开的哈希值。
我们开始分析这种新的擦除器恶意软件，将其称为“HermeticWiper”，指的是用于签署样本的数字证书。该数字证书以公司名称“Hermetica Digital Ltd”颁发，有效期为 2021 年 4 月。目前，我们还没有看到任何使用此证书签名的合法文件。攻击者可能使用空壳公司或挪用已倒闭的公司来颁发此数字证书。
HermeticWiper 数字签名
这是分析第一个可用的 HermeticWiper 样本的早期工作。我们认识到乌克兰当地局势正在迅速发展，并希望我们能够为集体分析工作贡献自己的一小部分。
技术分析
乍一看，HermeticWiper 似乎是一个自定义编写的应用程序，标准功能很少。恶意软件样本大小为 114KB，其中大约 70% 由资源组成。开发人员正在使用经过验证的擦除恶意软件技术，滥用良性分区管理驱动程序，以执行其攻击中更具破坏性的组件。Lazarus Group ( Destover ) 和 APT33 ( Shamoon ) 都利用了 Eldos Rawdisk 的优势，以便在不调用 Windows API 的情况下获得对文件系统的直接用户态访问。HermeticWiper 通过滥用不同的驱动程序来使用类似的技术empntdrv.sys。
包含 EaseUS Partition Manager 驱动程序的 HermeticWiper 资源
驱动程序的副本是 ms 压缩资源。恶意软件根据操作系统版本、位数和 SysWow64 重定向部署其中之一。
EaseUS驱动资源选择
当涉及到直接访问物理驱动器以及获取分区信息时，良性的 EaseUS 驱动程序被滥用来承担相当一部分繁重的工作。这增加了分析 HermeticWiper 的难度，因为许多功能被推迟到DeviceIoControl使用特定 IOCTL 的调用。
MBR 和分区损坏
HermeticWiper 从 0 到 100 多次枚举一系列物理驱动器。对于每个物理驱动器，\\.\EPMNTDRV\都会调用设备以获取设备编号。
然后，恶意软件专注于破坏前 512 个字节，即每个物理驱动器的主引导记录 (MBR)。虽然这应该足以让设备不再启动，但 HermeticWiper 继续枚举所有可能驱动器的分区。
然后他们区分 FAT 和 NTFS 分区。在 FAT 分区的情况下，恶意软件会调用相同的“bit fiddler”来破坏分区。对于 NTFS，HermeticWiper 在再次调用相同的位摆弄函数之前解析主文件表。
MFT 解析和位摆弄调用
为简洁起见，我们委婉地指代位摆弄功能。通过它，我们看到对 Windows API 的调用以获取加密上下文提供程序并生成随机字节。这很可能被用于内联加密实现和字节覆盖，但目前该机制并不完全清楚。
进一步的功能是指有趣的 MFT 字段 ( $bitmap, $logfile) 和NTFS 流( $DATA, $I30, $INDEX_ALLOCATION)。该恶意软件还会枚举常用文件夹（“我的文档”、“桌面”、“AppData”），引用注册表（“ntuser”）和 Windows 事件日志（"\\\\?\\C:\\Windows\\System32\\winevt\\Logs"）。我们正在进行分析以确定如何使用此功能，但很明显，由于已经损坏了所有驱动器的 MBR 和分区，受害系统在执行时应该无法运行。
在此过程中，HermeticWiper 更普通的操作为我们提供了更多的 IOC 来监控。其中包括临时创建被滥用的驱动程序以及系统服务。它还修改了几个注册表键，包括将SYSTEM\CurrentControlSet\Control\CrashControl CrashDumpEnabled键设置为 0 ，在被滥用的驱动程序开始执行之前有效地禁用故障转储。
通过注册表禁用 CrashDump
最后，恶意软件在启动系统关闭之前等待休眠线程，最终确定恶意软件的破坏性影响。
结论
经过一周的破坏和不断增加的 DDoS 攻击，通过擦除恶意软件进行的破坏操作的扩散是预期的和令人遗憾的升级。目前，我们对乌克兰的袭击以及随后蔓延到邻国和盟国的情况只有很小的了解。如果说这种困难的情况有一线希望的话，那就是威胁情报研究团队、独立研究人员和记者之间的开放合作，他们希望了解真相。我们感谢赛门铁克、ESET、Stairwell 和 RedCanary 等提供样本、时间和专业知识的研究人员。
