Neuer Daten-Wiper „Lotus" gegen Energieversorger in Venezuela eingesetzt

Nach den Erkenntnissen von Kaspersky beginnt der Angriff mit der Ausführung des Batch-Skripts OhSyncNow.bat. Es deaktiviert den Windows-Dienst „UI0Detect" und führt eine Prüfung einer XML-Datei durch, um die Ausführung über mehrere in eine Domäne eingebundene Systeme hinweg zu koordinieren.

Sind bestimmte Bedingungen erfüllt, folgt ein Skript der zweiten Stufe namens notesreg.bat. Es zählt die vorhandenen Benutzerkonten auf, deaktiviert diese durch Passwortänderungen, meldet aktive Sitzungen ab, schaltet sämtliche Netzwerkschnittstellen ab und deaktiviert zwischengespeicherte Anmeldungen.

Anschließend erfasst der Schadcode die vorhandenen Laufwerke und überschreibt sie mit Nullen, indem er den Befehl „diskpart clean all" ausführt. Zusätzlich überschreibt er mit „robocopy" die Inhalte von Verzeichnissen. In einem weiteren Schritt berechnet das Skript den freien Speicherplatz und legt mit „fsutil" eine Datei an, die den Datenträger vollständig füllt – das erschwert eine spätere Wiederherstellung der gelöschten Daten.

Nachdem das Skript die Umgebung auf diese Weise vorbereitet und bereits selbst erste Löschvorgänge ausgeführt hat, entschlüsselt und startet es als finale Komponente den eigentlichen Lotus-Wiper. Dieser arbeitet auf einer tieferen Ebene: Er greift über IOCTL-Aufrufe direkt auf die Datenträger zu, ermittelt deren Geometrie, löscht Einträge im USN-Journal, entfernt Wiederherstellungspunkte und überschreibt physische Sektoren – nicht nur logische Datenträger.

Ausdrücklich weist Kaspersky darauf hin, dass es keine öffentlichen Belege dafür gibt, dass die Systeme von PDVSA bei dem Angriff gelöscht wurden, ebenso wenig wie Details zur Art des Vorfalls.

Als Warnsignale, die einem solchen Angriff vorausgehen, nennt Kaspersky Veränderungen an der NETLOGON-Freigabe, Manipulationen am Dienst UI0Detect, massenhafte Kontoänderungen sowie das Abschalten von Netzwerkschnittstellen. Auch eine unerwartete Nutzung der Werkzeuge „diskpart", „robocopy" und „fsutil" sollte demnach Anlass zur Aufmerksamkeit geben. Gegen Wiper und Ransomware empfiehlt Kaspersky regelmäßige Offline-Backups, deren Wiederherstellbarkeit häufig überprüft wird.