Volgens de security-analisten Anton Cherepanov en Robert Lipovsky van ESET is de hackersgroep TeleBots (ook wel bekend als Sandworm) verantwoordelijk voor de drie grootste malware-uitbraken van de afgelopen jaren. Het is voor het eerst dat er een verband wordt gelegd tussen de drie uitbraken.

De code van de drie malware varianten die bekend staan als BlackEnergy, Industroyer en NotPeyta vertoont diverse opvallende overeenkomsten. BlackEnergy bijvoorbeeld, bevat hetzelfde KillDisk encryptie-component als de NotPetya-malware. KillDisk wordt door de TeleBots-groep gebruikt om bestanden met bepaalde extensies op het systeem van het slachtoffer te overschrijven. Zo zijn er meer aanwijzingen in de code die duiden op één en dezelfde dader.

Ook het startpunt van de aanvallen wijst op TeleBots. Het betrof bedrijven waar een TeleBots-backdoor was geïnstalleerd via de gecompromitteerde Oekraïense financiële software M.E.Doc., aldus ESET.

Alle drie de malware varianten lijken bedoeld te zijn om het openbare leven in Oekraïne te verstoren. Industroyer richtte zich in december 2016 op het elektriciteitsnet van Oekraïne. In 2015 was de BlackEnergy-aanval al gericht op hetzelfde doelwit. NotPetya resulteerde in juni 2017 in stroomuitval in Kiev, de hoofdstad van Oekraïne.

Aanleiding voor het onderzoek van ESET is de meeste recente malware van TeleBots van april dit jaar, Win32/Exaramel, dat een verbeterde versie van Industroyer blijkt te zijn, aldus Threatpost. Deze malware kopieert bestanden van besmette systemen, comprimeert en versleutelt ze en stuurt ze vervolgens naar de command-and-control server. Ook dat is een methode die eerder door TeleBots werd toegepast.