El malware BlackEnergy se informó por primera vez en 2007 como un conjunto de herramientas basado en HTTP que generaba bots para ejecutar ataques distribuidos de denegación de servicio . [1] Fue creado por el hacker ruso Dmyrtro Oleksiuk alrededor de 2007. Oleksiuk también utilizó el alias Cr4sh . [2] En 2010, BlackEnergy 2 surgió con capacidades más allá de DDoS. En 2014, BlackEnergy 3 vino equipado con una variedad de complementos . [3] A un grupo con sede en Rusia conocido como Sandworm (también conocido como Voodoo Bear) se le atribuye el uso de ataques dirigidos de BlackEnergy. El ataque se distribuye a través de un documento de Word o un archivo adjunto de PowerPoint en un correo electrónico, atrayendo a las víctimas para que hagan clic en el archivo aparentemente legítimo. [4]
El código de BlackEnergy facilita distintos tipos de ataques para infectar las máquinas objetivo. También está equipado con scripts del lado del servidor que los perpetradores pueden desarrollar en el servidor de comando y control (C&C). Los cibercriminales utilizan el kit de herramientas de creación de bots BlackEnergy para generar archivos ejecutables de cliente de bot personalizados que luego se distribuyen a los objetivos a través de campañas de correo electrónico no deseado y de phishing . [5] BE1 carece de las funcionalidades de explotación y depende de herramientas externas para cargar el bot. [6] BlackEnergy se puede detectar utilizando las firmas YARA proporcionadas por el Departamento de Seguridad Nacional de los Estados Unidos (DHS).
[6]
BlackEnergy 2 utiliza sofisticadas técnicas de inyección de rootkits y procesos, un cifrado robusto y una arquitectura modular conocida como "dropper". [7] Esto descifra y descomprime el binario del controlador del rootkit y lo instala en la máquina víctima como un servidor con un nombre generado aleatoriamente. Como actualización de BlackEnergy 1, combina el código fuente de rootkits más antiguo con nuevas funciones para desempaquetar e inyectar módulos en los procesos del usuario. [7] El contenido empaquetado se comprime utilizando el algoritmo LZ77 y se cifra utilizando una versión modificada del cifrado RC4 . Una clave de 128 bits codificada de forma rígida descifra el contenido incrustado. Para descifrar el tráfico de red, el cifrado utiliza la cadena de identificación única del bot como clave. Una segunda variación del esquema de cifrado/compresión agrega un vector de inicialización al cifrado RC4 modificado para protección adicional en el dropper y el stub de desempaquetado del rootkit, pero no se utiliza en el rootkit interno ni en los módulos del espacio de usuario. La modificación principal en la implementación de RC4 en BlackEnergy 2 radica en el algoritmo de programación de claves. [7]
La última versión completa de BlackEnergy apareció en 2014. Los cambios simplificaron el código del malware: el instalador de esta versión coloca el componente principal de la biblioteca vinculada dinámicamente (DLL) directamente en la carpeta de datos de la aplicación local. [8] Esta variante del malware estuvo involucrada en el ciberataque a la red eléctrica de Ucrania en diciembre de 2015. [ 9]
[3]