Neue Bedrohung durch PathWiper-Malware zielt auf die kritische Infrastruktur der Ukraine ab

Russische Malware „PathWiper“ zielt auf kritische Infrastruktur der Ukraine

Forscher von Cisco Talos haben einen weiteren zerstörerischen Angriff auf die kritische Infrastruktur der Ukraine aufgedeckt. Diesmal handelt es sich um eine bisher unbekannte Datenlösch-Malware, die sie „PathWiper“ nennen – und sie trägt alle Merkmale russischer Beteiligung.

Den Angreifern gelang es, ein Framework zur Endgeräteverwaltung – die Werkzeuge, die eigentlich die Systeme schützen sollen – zu kapern und gegen deren Besitzer zu richten. Laut Talos erlangten die Cyber-Angreifer wahrscheinlich Zugriff auf eine administrative Konsole, bevor sie diese nutzten, um ihre zerstörerische Nutzlast auf verbundenen Systemen zu verteilen.

Cisco Talos schreibt den Angriff mit „hoher Wahrscheinlichkeit“ einer mit Russland verbundenen Advanced Persistent Threat-Gruppe zu – im Sicherheitsjargon bedeutet das, fast sicher zu sein. Die Taktiken stimmen perfekt mit früheren russischen Cyberangriffen überein, die sich seit Beginn der Invasion gegen die kritische Infrastruktur und private Organisationen der Ukraine richten.

Wolf im Admin-Pelz

Was diesen Angriff so hinterhältig macht, ist die Art und Weise, wie die Angreifer ihre Malware eingesetzt haben. Anstatt offensichtliche bösartige Techniken zu verwenden, sendeten sie Befehle über die bereits kompromittierte Verwaltungskonsole – Befehle, die für jeden, der den Netzwerkverkehr überwacht, relativ normal aussehen würden.

Die Choreographie des Angriffs war akribisch geplant. Zuerst wurde eine bösartige VBScript-Datei namens 'uacinstall.vbs' über das Verwaltungstool eingeschleust. Bei der Ausführung stellte dieses Skript die eigentliche PathWiper-Datei bereit, die täuschend als 'sha256sum.exe' bezeichnet wurde, um sich unter legitime Systemprogramme zu mischen.

Besonders beunruhigend ist vielleicht, dass sich die Angreifer in den Systemen des Opfers auskannten. Sie ahmten absichtlich legitime Dateinamen und Aktionen nach, die typischerweise vom Verwaltungsdienstprogramm verwendet werden. Dies deutet darauf hin, dass sie sich einige Zeit im Netzwerk versteckt gehalten und es beobachtet haben, bevor sie ihren Angriff starteten.

PathWiper ist in seinen Absichten nicht subtil. Einmal aktiviert, zerstört es systematisch alles in seinem Weg und ersetzt kritische Dateisystemkomponenten durch zufällige, sinnlose Daten. Das Endergebnis? Völlig unbrauchbare Systeme.

Zunächst erstellt es einen umfassenden Katalog aller an den infizierten Computer angeschlossenen Speichergeräte, einschließlich physischer Laufwerke, Netzwerkfreigaben und sogar zuvor getrennter Netzwerkstandorte. Nichts entgeht seiner Aufmerksamkeit.

Dann beginnt die eigentliche Zerstörung. PathWiper erstellt separate Verarbeitungsthreads für jedes identifizierte Speichergerät und zielt auf wichtige Dateisystemstrukturen ab. Es ist besonders gründlich bei NTFS-Komponenten und überschreibt den Master Boot Record, die Master File Table, Protokolldateien und andere wichtige Systembestandteile mit zufälligen Bytes.

Bevor dieser digitale Vandalismus ausgeführt wird, versucht PathWiper, Volumes mithilfe spezieller Systemaufrufe auszuhängen – eine Technik, die ihm hilft, bestimmte Schutzmechanismen zu umgehen und den Schaden zu maximieren. Die Gründlichkeit macht eine Wiederherstellung ohne einwandfreie Backups, die weit entfernt vom betroffenen Netzwerk gespeichert sind, praktisch unmöglich.

PathWiper und HermeticWiper: Eine Malware-Familienähnlichkeit

Sicherheitsforscher von Cisco Talos stellten Ähnlichkeiten zwischen PathWiper und einer anderen zerstörerischen Malware-Variante, HermeticWiper, fest, die im Jahr 2022 in der kritischen Infrastruktur und bei privaten Organisationen der Ukraine verheerende Schäden anrichtete.

HermeticWiper (auch bekannt als FoxBlade oder NEARMISS) wurde von verschiedenen Sicherheitsunternehmen mit der berüchtigten russischen Hackergruppe Sandworm in Verbindung gebracht. Beide Malware-Stämme versuchen, dieselben kritischen Systemkomponenten zu beschädigen, was auf gemeinsame Entwicklungsressourcen oder Inspiration hindeutet.

PathWiper stellt jedoch eine Weiterentwicklung der Raffinesse dar. Während HermeticWiper stumpf versucht, Laufwerke zu beschädigen, indem es einfach von 0 bis 100 zählt, verfolgt PathWiper einen intelligenteren Ansatz, indem es alle angeschlossenen Laufwerke (einschließlich versteckter) identifiziert, Volume-Bezeichnungen überprüft und gültige Ziele sorgfältig dokumentiert, bevor es seinen Angriff startet.

Die digitale Front besteht fort

Von Russland unterstützte Hacker zeigen keine Anzeichen dafür, die Cyberfront aufzugeben. Die Entdeckung von PathWiper unterstreicht die unerbittliche digitale Bedrohung, der die kritische Infrastruktur in der Ukraine mehr als drei Jahre nach der russischen Invasion ausgesetzt ist.

Für ukrainische Organisationen – insbesondere solche, die kritische Dienste wie Energie, Wasser und Telekommunikation verwalten – ist die Botschaft klar: Wachsamkeit bewahren, robuste Backup-Verfahren implementieren und Netzwerke segmentieren, um die Ausbreitung solcher Angriffe zu begrenzen.

Die umfassendere Implikation für Organisationen weltweit ist ebenso ernüchternd. Kritische Infrastruktur bleibt fest im Fadenkreuz der Angreifer, wobei staatlich unterstützte Gruppen ihre digitalen Waffen ständig weiterentwickeln.

Das Cyber-Schlachtfeld entwickelt sich ständig weiter, und jede neue Malware-Variante enthüllt etwas über die Zukunft digitaler Konflikte. PathWiper mag das heutige Problem sein, aber morgen wird es unweigerlich neue Herausforderungen mit sich bringen, während dieses digitale Wettrüsten weitergeht.

Bibliographie: https://www.telecomstechnews.com/news/russian-pathwiper-malware-targets-ukraine-critical-infrastructure/ https://thehackernews.com/2025/06/new-pathwiper-data-wiper-malware.html https://www.securityweek.com/destructive-pathwiper-targeting-ukraines-critical-infrastructure/ https://www.linkedin.com/pulse/pathwiper-malware-targets-ukraine-your-critical-infrastructure-ji3pc https://securityaffairs.com/178726/apt/russia-linked-threat-actors-targets-ukraine-with-pathwiper-wiper.html https://www.bleepingcomputer.com/news/security/new-pathwiper-data-wiper-malware-hits-critical-infrastructure-in-ukraine/ https://www.facebook.com/thehackernews/posts/%EF%B8%8F-ukraine-hit-by-pathwiper-malware-wiping-critical-data-via-hacked-admin-tools-l/1089515016546414/ https://otx.alienvault.com/pulse/6841b92b694f10dda07d9db8 https://x.com/780thC/status/1930596327794131009 https://x.com/Gadget_Ry/status/1931024911004279023