Cos'è e come funziona HermeticWiper, malware emerso durante la guerra in Ucraina

Il malware HermeticWiper scoperto in Ucraina in seguito alle offensive russe ai danni di organizzazioni e reti governative interne si sta diffondendo anche in Occidente prendendo nel mirino sempre più paesi. Anche noi italiani siamo a rischio, quindi vediamo cos’è e come funziona HermeticWiper per prepararci al meglio.

HermeticWiper è un data wiper scoperto da ESET e altri esperti di cybersecurity come Malwarebytes proprio nelle ultime giornate di febbraio, quando ha avuto inizio anche la guerra ibrida tra Russia e Ucraina. Il numero di entità ucraine colpite ha portato anche allarme in Italia per il CSIRT (Computer Security Incident Response Team) che, giusto negli ultimi giorni, ha avvertito aziende ed enti governativi di un’emergenza cyberattacchi.

Il funzionamento di HermeticWiper è stato illustrato nei minimi dettagli da MalwareBytes, ma noi manterremo l’analisi alquanto semplice affinché chiunque possa comprenderne il funzionamento. Trattandosi di un data wiper, il suo intervento sul PC è pensato per distruggere i dati del sistema in maniera tale da renderne impossibile il futuro recupero, minando al contempo il funzionamento del sistema operativo. Ciò significa che l’infezione porterà infine al blocco completo del PC, risolvibile solamente cambiando gli hard disk e reinstallando l’OS da zero.

Le analisi hanno determinato che HermeticWiper sfrutta un software completamente lecito di gestione dei dischi chiamato EaseUS Partition Manager, il quale è contenuto integralmente nel malware e viene estratto e decompresso cosicché il virus agisca indisturbato e in completa autonomia.

Una volta avviato il file infetto concedendo i privilegi di amministratore, il malware agisce deframmentando il disco rigido bersaglio e portando a una escalation dei danni, portando gradualmente al mancato funzionamento di alcune applicazioni in quanto anche DLL di sistema vengono rimpiazzati da dati generati casualmente, inutili per i software installati. Insomma, l’obiettivo di HermeticWiper è danneggiare l’intero computer lasciando infine traccia alcuna del suo passaggio.

C’è un modo per riconoscere e quindi evitare HermeticWiper? Sì: come spiegato dagli stessi esperti di Malwarebytes, l’omonimo antivirus è in grado di tracciare il virus come Trojan.HermeticWiper; dunque, basterà una scansione regolare dei file scaricati sul computer per accertarsi che non siano infetti.