En abril de 2012 una serie de incidentes hicieron pública la aparición de un nuevo programa de malware destructivo llamado Wiper, que estaba atacando a los sistemas informáticos relacionados con una serie de instalaciones de petróleo al oeste de Asia.

En mayo de 2012, el equipo de investigación de Kaspersky Lab realizó una búsqueda impulsada por la agencia de Naciones Unidas para la Información y la Comunidad Tecnológica (ITU), para investigar los hechos y determinar la potencial amenaza de este nuevo malware que ponía en jaque la sostenibilidad y la seguridad mundiales.

Hoy se hace pública una nueva investigación de los expertos de Kaspersky Lab tras un análisis forense digital de las imágenes de disco duro obtenidos de las máquinas atacadas por Wiper. El análisis proporciona información detallada sobre el eficaz método utilizado por Wiper para la destrucción de los sistemas informáticos, incluyendo datos exclusivos de limpieza de patrones y comportamientos destructivos. A pesar de que la búsqueda de Wiper desembocó en el descubrimiento accidental de Flame, Wiper en sí no fue identificado.

Algunas de las conclusiones del estudio son:

• Wiper fue responsable de los ataques lanzados contra los sistemas informáticos del oeste de Asia del 21 al 30 de abril de  2012.

 • El análisis de las imágenes del disco duro de las computadoras que fueron destruidas por Wiper revelan un patrón de datos de limpieza específico junto con un nombre de determinado componente de malware, que empezaba con ~ D. Estos resultados son una reminiscencia de Duqu y Stuxnet, que también utilizan nombres de archivo que comienzan con ~ D, y ambos fueron construidos en la misma plataforma – conocida como Tilded.

 • Kaspersky Lab comenzó a buscar otros archivos que comenzaran con ~ D a través de Kaspersky Security Network (KSN) para tratar de encontrar archivos adicionales de Wiper basados en la conexión con la plataforma Tilded. Durante este proceso, identificó un gran número de archivos en el oeste de Asia, llamados ~ DEB93D.tmp. Un análisis más detallado mostró que este archivo era en realidad parte de otro tipo de malware: Flame.

• A pesar de que Flame se descubriera durante la búsqueda de Wiper, el equipo de investigación de Kaspersky Lab cree que Wiper y Flame son dos programas maliciosos separados y distintos.

 • A pesar de que Kaspersky Lab analiza los rastros de infección Wiper, el malware sigue siendo desconocido porque no se han registrado incidentes adicionales de limpieza que sigan el mismo patrón.

 • Wiper es muy eficaz y podría desembocar en la creación de nuevo malware de “imitación” destructivo, como Shamoon.

El análisis de Kaspersky Lab de las imágenes de disco duro adoptadas por las máquinas destruidas por Wiper mostró que el programa malicioso limpió los discos duros de los sistemas de destino y destruyó todos los datos que podrían ser utilizados para identificar el malware. El sistema de archivos corrompidos por Wiper impedía reiniciar los equipos y desembocó en un mal funcionamiento general. Por lo tanto, en cada máquina que se ha analizado, casi no quedó nada después de la activación de Wiper, incluida la posibilidad de recuperar o restaurar los datos.

El análisis del patrón de barrido de Wiper mostró un método, que se llevó a cabo en cada máquina en la que se activó el malware. El algoritmo de Wiper fue diseñado para destruir rápidamente todos los archivos de forma efectiva y pueden incluir varios gigabytes a la vez. Alrededor de tres de cada cuatro máquinas seleccionadas tenían sus datos completamente borrados, con una operación que se centra en la destrucción de la primera mitad del disco y que luego limpia sistemáticamente los archivos restantes que permitieron que el disco funcionara correctamente, dando lugar a que el sistema finalmente fallase. Además, sabemos que los ataques de Wiper se dirigen a los archivos específicos .PNF, que no tendrían sentido si no se relacionan con la eliminación de componentes maliciosos adicionales. Éste fue también un hallazgo interesante, ya que Duqu y Stuxnet mantuvieron su cuerpo principal cifrado en archivos .PNF.