De politie in Oekraïne heeft de servers in beslag genomen van het softwarebedrijf Intellect Service dat MeDoc heeft ontwikkeld. Deze boekhoudsoftware is populair in Oekraïne en werd volgens beveiligingsbedrijf ESET gebruikt om de NotPetya-malware te verspreiden.
Het hoofd van de Oekraïense cyberpolitie heeft tegen Reuters gezegd dat de servers van het bedrijf in beslag zijn genomen in het kader van een onderzoek naar de grootschalige aanval met de NotPetya-malware. Volgens functionarissen van de Oekraïense inlichtingendienst en Oekraïense beveiligingsbedrijven konden een aantal van de initiële besmettingen plaatsvinden via een malafide update van de MeDoc-software. De eigenaren van het softwarebedrijf hebben hier nog niet op gereageerd.
Eerder ontkende het familiebedrijf Intellect Service iets te maken te hebben met de verspreiding van de malware. Reuters sprak maandag met de directeur en zijn dochter, die het bedrijf runnen. Zij zouden hun eigen software onderzocht hebben en tot de conclusie zijn gekomen dat er geen sprake van kwaadaardige code is.
Dinsdag meldde het Slowaakse beveiligingsbedrijf ESET op basis van een analyse van de MeDoc-software dat er updates zijn aangetroffen met backdoors. Volgens ESET bevatten verschillende MeDoc-updates een dll-bestand met een backdoor. Het is niet duidelijk hoe deze zijn aangebracht, maar volgens het bedrijf kan dit niet zonder toegang te hebben gehad tot de broncode. Ook weet ESET nog niet hoe lang de backdoor precies in gebruik is geweest.
ESET heeft nog geen diepgaande analyse uitgevoerd, maar merkte in een eerdere analyse ook al op dat er een backdoor aanwezig was. Daaruit leidt het bedrijf af dat de aanvallers mogelijk controle hadden over de server en zo onderscheid konden maken tussen normaal verkeer en verkeer van geïnfecteerde systemen.
De backdoor werd volgens ESET niet alleen gebruikt om informatie te verzamelen, zoals de registratienummers van Oekraïense bedrijven en de proxy- en e-mailconfiguraties inclusief wachtwoorden en gebruikersnamen. Zo is het via de backdoor ook mogelijk om een binary blob te ontvangen en deze te ontsleutelen, waarna verschillende acties uitgevoerd kunnen worden. Bijvoorbeeld het ophalen van een bepaald bestand of het uitvoeren van een bepaald commando of payload. Daarnaast is er een functie die autopayload heet. Deze zou gebruikt zijn om de NotPetya-malware uit te voeren.
Beelden van de inval waarbij beslag op de servers van Intellect Service is gelegd.