Attacco Industroyer2 alla sottostazione elettrica ucraina

L'8 aprile 2022, il Computer Emergency Response Team ucraino (CERT-UA), supportato da ESET e Microsoft, è intervenuto in un'operazione Sandworm attiva contro un fornitore di energia elettrica regionale ucraino che serviva circa due milioni di persone. L'indagine ha stabilito che gli aggressori erano all'interno della rete IT dell'azienda almeno da febbraio 2022 e si erano spostati lateralmente nell'ambiente ICS entro metà marzo. Un codice binario personalizzato, denominato Industroyer2 da ESET, era stato compilato il 23 marzo con indirizzi di oggetti informativi IEC 60870-5-104 codificati corrispondenti alla specifica sottostazione sotto attacco; questo differiva strutturalmente dal malware Industroyer / CrashOverride del 2016, che era modulare e flessibile a livello di protocollo. Un'attività pianificata creata alle 15:02 UTC dell'8 aprile doveva eseguire Industroyer2 alle 16:10 UTC, seguita alle 16:20 UTC da CaddyWiper per distruggere le workstation degli operatori e rallentare il ripristino; AWFULSHRED, SOLOSHRED e ORCSHRED erano pronti a cancellare gli host Linux e Solaris che eseguono ABB MicroSCADA e supportano la connettività RTU. Il rilevamento e la rimozione da parte del CERT-UA dei carichi utili organizzati hanno evitato qualsiasi effettiva interruzione del servizio da parte dei clienti. ESET, Mandiant / Google TAG e Dragos hanno tutti attribuito l'operazione a Sandworm (Unità GRU 74455); Dragos ha valutato la sovrapposizione dei cluster di attività sotto la sua designazione ELECTRUM.

Nessuna interruzione effettiva; l'ambito controfattuale di circa due milioni di clienti ha completato la sequenza distruttiva. Il significato operativo è dottrinale: questo è il primo dispiegamento di classe Industroyer dall’attacco alla rete elettrica ucraina del 2016, in tempo di guerra e contro un obiettivo di valore superiore.