Sicherheitsforscher haben eine neue, hochgradig zerstörerische Schadsoftware identifiziert, die gezielt auf das Löschen von Daten ausgelegt ist. Die Malware mit dem Namen „DynoWiper“ wurde bei einem Angriff auf ein Energieunternehmen in Polen eingesetzt. Nach Analyse der Spurenlage sehen Experten deutliche Parallelen zu bekannten russischen Cyberoperationen.
Angriffsmuster erinnert an frühere Ukraine-Vorfälle
Nach Angaben der Analysten zeigen die eingesetzten Taktiken, Techniken und Verfahren auffällige Überschneidungen mit einem früheren Angriff durch den sogenannten ZOV-Wiper in der Ukraine. Die Bezeichnung ZOV verweist auf russische Militärsymbole. Aufgrund technischer Übereinstimmungen ordnen die Forscher DynoWiper der russlandnahen Hackergruppe Sandworm zu.
Der Vorfall gilt als besonders brisant: Erstmals wurde damit ein dokumentierter Fall bekannt, in dem ein Russland zugerechneter Akteur gezielt zerstörerische Lösch-Malware gegen ein Energieunternehmen in Polen eingesetzt hat. Im Jahr 2025 untersuchten die Experten mehr als zehn vergleichbare Wiper-Angriffe dieser Gruppe – fast ausschließlich mit Zielen in der Ukraine.
ESET PROTECT verhinderte größere Schäden
Im aktuellen Fall verhinderte eine installierte EDR/XDR-Sicherheitslösung von ESET die Ausführung der Schadsoftware und begrenzte die Auswirkungen deutlich. Die polnische IT-Sicherheitsbehörde CERT Polska untersuchte den Vorfall umfassend und veröffentlichte dazu einen detaillierten technischen Bericht.
Die Schadsoftware wurde am 29. Dezember 2025 über ein vermutlich gemeinsam genutztes Verzeichnis innerhalb der betroffenen Domäne eingeschleust. Die Angreifer setzten drei unterschiedliche Varianten ein – keiner der Versuche war erfolgreich. Hinweise deuten darauf hin, dass die Täter die Schadsoftware zunächst in virtuellen Umgebungen getestet haben könnten.
Wie DynoWiper Daten zerstört
DynoWiper arbeitet mit einer vergleichsweise einfachen, aber effektiven Methode: Dateien werden mit zufällig erzeugten Daten überschrieben. Dabei erzeugt die Malware zu Beginn ihrer Ausführung einen 16-Byte-Puffer mit Zufallswerten.
- Dateien bis zu einer Größe von 16 Byte werden vollständig überschrieben
- Bei größeren Dateien werden nur Teile des Inhalts gezielt zerstört, um den Prozess zu beschleunigen
- Betroffen sind sowohl lokale Festplatten als auch Wechseldatenträger
- Am Ende erzwingt die Malware einen Neustart des Systems, was die Nutzbarkeit zusätzlich beeinträchtigt
Fokus auf IT-Systeme, nicht auf Industrieanlagen
Anders als frühere Werkzeuge derselben Angreiferfamilie – die teilweise gezielt industrielle Steuerungsanlagen angriffen – konzentriert sich DynoWiper ausschließlich auf klassische IT-Infrastrukturen. Funktionen zur direkten Manipulation von Betriebstechnik wurden in den untersuchten Exemplaren nicht festgestellt. Fachleute schließen jedoch nicht aus, dass solche Komponenten an anderer Stelle der Angriffskette vorhanden gewesen sein könnten.
Technische Nähe zum ZOV-Wiper
Die Analyse zeigt mehrere markante Gemeinsamkeiten mit dem bereits bekannten ZOV-Wiper. Dazu zählen unter anderem identische Logik bei der Trennung von kleinen und großen Dateien, ähnliche Ausschlusslisten bestimmter Verzeichnisse sowievergleichbare Routinen zur Dateizerstörung auf allen Laufwerken
Der ZOV-Wiper wurde erstmals im November 2025 bei einem Angriff auf ein Finanzinstitut in der Ukraine entdeckt. Weitere Einsätze folgten, darunter ein Angriff auf einen ukrainischen Energieversorger im Januar 2024.
Sandworm: Langjährige Angriffskampagnen gegen kritische Infrastruktur
Die Gruppe Sandworm wird seit Jahren mit staatlich unterstützten russischen Cyberoperationen in Verbindung gebracht. Zu den bekannten Zielsektoren zählen Behörden, Energieversorger, Logistik- und Transportunternehmen, Medienhäuser, Telekommunikationsfirmen sowie Unternehmen der Agrarwirtschaft. Charakteristisch ist der Einsatz sogenannter Wiper-Malware, die Systeme gezielt unbrauchbar machen soll.
Neben der Ukraine standen auch polnische Organisationen wiederholt im Fokus. Bereits im Oktober 2022 führten Angreifer eine getarnte Operation gegen Logistikunternehmen in Polen und der Ukraine durch, bei der eine als Ransomware getarnte Zerstörungsroutine eingesetzt wurde.
Sicherheitsbehörden und Forscher arbeiten inzwischen länderübergreifend enger zusammen, um Angriffsmuster schneller zu erkennen und Abwehrmaßnahmen zu verbessern. Der aktuelle Fall zeigt jedoch: Angriffe auf kritische Infrastruktur bleiben ein reales und grenzüberschreitendes Risiko.
Wallpaper, das vom ZOV-Wiper hinterlassen wurde.
