Kaspersky Lab confirma que Wiper fue responsable de los ataques lanzados contra los sistemas informáticos del oeste de Asia del 21 al 30 de abril de 2012.

Santiago. En abril de 2012 una serie de incidentes hicieron pública la aparición de un nuevo programa de malware destructivo llamado Wiper, que estaba atacando a los sistemas informáticos relacionados con una serie de instalaciones de petróleo al oeste de Asia. En mayo de 2012, el equipo de investigación de Kaspersky Lab realizó una búsqueda impulsada por la agencia de Naciones Unidas para la Información y la Comunidad Tecnológica (ITU), para investigar los hechos y determinar la potencial amenaza de este nuevo malware que ponía en jaque la sostenibilidad y la seguridad mundiales.

Hoy se hace pública una nueva investigación de los expertos de Kaspersky Lab tras un análisis forense digital de las imágenes de disco duro obtenidos de las máquinas atacadas por Wiper. El análisis proporciona información detallada sobre el eficaz método utilizado por Wiper para la destrucción de los sistemas informáticos, incluyendo datos exclusivos de limpieza de patrones y comportamientos destructivos. A pesar de que la búsqueda de Wiper desembocó en el descubrimiento accidental de Flame, Wiper en sí no fue identificado.

Kaspersky Lab confirma que Wiper fue responsable de los ataques lanzados contra los sistemas informáticos del oeste de Asia del 21 al 30 de abril de 2012.  El análisis de las imágenes del disco duro de los computadores que fueron destruidas por Wiper revelan un patrón de datos de limpieza específico junto con un nombre de determinado componente de malware, que empezaba con ~ D. Estos resultados son una reminiscencia de Duqu y Stuxnet, que también utilizan nombres de archivo que comienzan con ~ D, y ambos fueron construidos en la misma plataforma, conocida como Tilded.

Kaspersky Lab comenzó a buscar otros archivos que comenzaran con ~ D a través de Kaspersky Security Network (KSN) para tratar de encontrar archivos adicionales de Wiper basados en la conexión con la plataforma Tilded.

Durante este proceso, se identificó un gran número de archivos en el oeste de Asia, llamados ~ DEB93D.tmp. Un análisis más detallado mostró que este archivo era en realidad parte de otro tipo de malware: Flame. Así es como Kaspersky Lab descubrió Flame. A pesar de que Flame se descubriera durante la búsqueda de Wiper, el equipo de investigación de Kaspersky Lab cree que Wiper y Flame son dos programas maliciosos separados y distintos.

A pesar de que Kaspersky Lab analiza los rastros de infección Wiper, el malware sigue siendo desconocido porque no se han registrado incidentes adicionales de limpieza que sigan el mismo patrón.

Wiper es muy eficaz y podría desembocar en la creación de nuevo malware de "imitación" destructivo, como Shamoon.

El análisis de Kaspersky Lab de las imágenes de disco duro adoptadas por las máquinas destruidas por Wiper mostró que el programa malicioso limpió los discos duros de los sistemas de destino y destruyó todos los datos que podrían ser utilizados para identificar el malware. El sistema de archivos corrompidos por Wiper impedía reiniciar los equipos y desembocó en un mal funcionamiento general. Por lo tanto, en cada máquina que se ha analizado, casi no quedó nada después de la activación de Wiper, incluida la posibilidad de recuperar o restaurar los datos.

Además, la investigación de Kaspersky Lab revela información valiosa sobre el patrón específico de limpieza utilizado por el malware, junto con algunos nombres de componentes del malware y, en algunos casos, las claves de registro que revelaron los nombres anteriores de archivos borrados del disco duro. Estas claves del registro apuntaban que el nombre de archivo comenzaba con ~ D.