Aramco-aanval mogelijk door Shamoon-malware

Vorige week ontdekten antivirusbedrijven een nieuwe trojan, ‘Shamoon’ genoemd, die zijn sporen uitwist na het stelen van data door de Master Boot Record (MBR) te overschrijven. De malware neemt een systeem over dat verbonden is met internet en verspreidt zich vervolgens over de pc’s die in het (bedrijfs-)netwerk zitten. Door het overschrijven van de MBR is een geïnfecteerde pc niet meer op te starten.

Redactie AG ConnectMeer van deze auteur

Opvallend is dat een timer die werd aangetroffen in Shamoon, ingesteld stond op exact hetzelfde moment dat hackersgroep ‘Cutting Sword of Justice’ een aanval uitvoerde op de pc’s van Aramco, het nationale oliebedrijf van Saoedi-Arabië. Daarbij zijn duizenden pc’s van Aramco geïnfecteerd. Het oliebedrijf isoleerde daarop de pc’s en zei dat de productie niet in gevaar is gekomen door de aanval.

Shamoon mogelijk ingezet voor aanval op Aramco

Gezien de overeenkomsten tussen Shamoon en de beschrijving van de aanval door de hackers, wordt erover gespeculeerd dat Shamoon is ingezet voor de aanval op Aramco. De hackers schreven een ‘kwaadwillend virus’ naar Aramco te hebben gestuurd om dertig duizend computers in het netwerk te vernietigen. “De operatie begon op woensdag 15 augustus 2012 om 11:08 's ochtends lokale tijd, en zal na enkele uren zijn afgerond.”

Volgens Dmitry Tarakanov van Kaspersky Lab was precies dat tijdstip hard gecodeerd in de timer van de ‘wiper’ in Shamoon. Symantec verklaarde eerder dat de Shamoon-malware is gebruikt om een anonieme organisatie in de energiesector aan te vallen. In Shamoon trof Symantec een directory aan met de naam ‘ArabianGulf’.