עדכון שבועי 01.09.2022

נאט"ו חוקרת מכירה של מידע שנגנב מחברה אירופית גדולה לייצור טילים

החקירה נפתחה לאחר שהאקרים העמידו למכירה בעבור 15 ביטקוין (כ-273,000 ליש"ט) נתונים רגישים בנפח 80GB הקשורים ל-MBDA Missile Systems, שבסיבה בצרפת. בין הנתונים מצויים שרטוטים של כלי נשק המשמשים את בעלות הברית החברות בנאט"ו במסגרת הלחימה באוקראינה, וכן מצגות, סרטי וידאו, חוזים ונתונים אישיים אודות עובדים שלקחו חלק בפרויקטים של החברה. בתוך כך, הארגון הודה שנתונים השייכים לו כלולים במאגר המוצע למכירה, אך לטענתו אף אחד מהקבצים המסווגים שנגנבו על ידי ההאקרים אינו שייך לו. עוד נמסר כי מקורו של המידע השייך לארגון הוא בפריצה לכונן קשיח חיצוני שנפגע. לדברי MBDA Missile Systems, היא משתפת פעולה עם הרשויות באיטליה, שם התרחשה הפריצה.

מונטנגרו: מתקפת סייבר על תשתיות ממשלתיות הובילה להשבתה זמנית של שירותים לאזרחים; שר הביטחון קונייביץ׳ האשים את רוסיה במתקפה

המתקפה, שבוצעה ב-25 באוגוסט בערב, אילצה את הרשויות להשבית באופן זמני שירותים וחשבונות של אזרחים וחברות, כל זאת כאמצעי זהירות. במקביל, חברת החשמל EPCG שבבעלות המדינה עברה לפעילות ידנית, מחשש שתהווה אף היא מטרה לתקיפה. בכנס של המועצה לביטחון לאומי של מונטנגרו אמר ראש הממשלה היוצא דריטן אבזוביץ׳ כי המתקפה נבעה ממניעים פוליטיים, בעקבות נפילת ממשלתו בשבוע שעבר, ואילו שר הביטחון רסקו קונייביץ׳ האשים את רוסיה במתקפה. מתקפות על תשתיות ממשלתיות כבר התרחשו במדינה על רקע פוליטי ביום הבחירות ב-2016, ובמהלך 2017 על רקע תהליך ההצטרפות של המדינה לנאט״ו. בהתרעת אבטחה שפרסמה שגרירות ארצות הברית בפודגוריצה, בירת מונטנגרו, נכתב כי "המתקפה עשויה לכלול שיבושים בשירות הציבורי, בתחבורה (כולל מעברי גבול ונמל התעופה) ובמגזרי התקשורת״. השגרירות המליצה לאזרחים אמריקאים השוהים במדינה להמעיט בנסיעות ולהחזיק מסמכים פיזיים, למקרה שהמתקפה תסלים. שר החוץ של מונטנגרו רנקו קריבוקפיץ׳ צייץ בחשבון הטוויטר שלו כי ״אנו אסירי תודה לצרפת, בעלת בריתנו בנאט"ו, אשר בטווח קצר הציעה לסייע בהגנה על מונטנגרו מפני התקפות הסייבר ובשימור מערכות החיוניות לשגרת חייהם של אזרחינו.״

ארה״ב: אתרו הרשמי של מפעל הלוטו של מדינת ניו המפשייר הושבת משך יותר מ-15 שעות עקב מתקפת סייבר

על פי דובר ה-New Hampshire Lottery, המתקפה שחווה באתר ב-26 באוגוסט והובילה להשבתתו משך יותר ממחצית היממה לא פגעה במכירות בחנויות. נכון לכתיבת שורות אלה, האתר שב לפעילות כסדרו. הדבר תואם את אחת מהודעות החברה, לפיה על מבקרי האתר להימנע מלחיצה על חלונות קופצים בעת הגלישה בו. 
צוות קונפידס ממליץ לגלות ערנות בעת גלישה באתרים ולא להתפתות ללחוץ על קישורים שאינם מזוהים או אינם צפויים. ניתן למנוע הידבקות בנוזקות על ידי שימוש בתוכנות אנטי-וירוס או EDR. לפרטים חייגו 8272*.

צבא ארה״ב פתח בקמפיין לגיוס ״לוחמי סייבר״ לשורותיו  
ב-27 באוגוסט פורסם בעמוד הסייבר הרשמי של צבא ארצות הברית כרוז הקורא לאזרחי המדינה העוסקים בתחום סייבר, וגם לכאלה שאינם, להתגייס לשורות הארגון על מנת לקחת חלק משמעותי בפעילות הסייבר האמריקאית ההולכת ומתעצמת, הן בתפקידי הגנה והן בתפקידי התקפה. התוכנית שמציע הצבא מאפשרת הרשמה לתפקידים שונים, כאשר למי שיתקבל אליה יוענק שכר מלא כבר בתחילת ההכשרה, לצד בונוסים ענקיים של עד עשרות אלף דולרים למתחייבים למשרה מלאה למשך 3-5 שנים.

בריטניה: שחזור קובצי המטופלים שנפגעו במתקפת הסייבר על ה-NHS עלול להימשך יותר משנה

מתקפת הסייבר שהתרחשה בחודש אוגוסט נגד חברת Advanced (ראו ״הסייבר״, 11.8.22), ספקית התוכנה Adastra למוקדי שיחות החירום 111, המאפשרת הזמנת אמבולנסים, מילוי מרשמי חירום ותזמון פגישות דחופות, גרמה לשיבושים רבים בשירות הבריאות הלאומי הבריטי (NHS) (ראו ״הסייבר״, 18.8.22), לאחר שפגעה, בין היתר, במערכת Carenotes, המשמשת לתיעוד רישומים של חולים. ב-17 באוגוסט נאמר לצוות בית החולים Birmingham Hospital שמרגע ש-Carenotes תחזור לפעולה ייקח עד חמישה שבועות להחזיר את המערכת לתפקוד - שבועיים לכל יום השבתה, ולהעלות בשנית את קובצי המטופלים, בעוד שהשבת המערכות לתפקוד מלא עלולה להימשך יותר משנה. מקורות הנחשבים מהימנים דיווחו לעיתון ה-Independent כי חלק מבתי החולים שנפגעו מוצאים דרכים לעקוף את הבעיה ומעלים דוחות חדשים של מטופלים למערכות נפרדות. עוד נאמר ל-Independent כי צוותי בתי החולים חוששים לבטיחות המטופלים, מפני שלא ניתן לגשת לרשומותיהם, כאשר בעקבות המתקפה כבר אירעו מקרים בהם חולים לא קיבלו את המינון התרופתי הנכון בשל חוסר היכולת לגשת אל הרשומות הרלוונטיות. דובר מטעם ה-NHS מסר כי "השימוש ברשומות אלקטרוניות הינו היבט קטן אך חשוב באבחון וטיפול בחולים. Advanced פועלת לפתרון הבעיות בתוכנה שלה, ובכל מערכות הבריאות המקומיות נכנסו לפעולה תוכניות מגירה איתנות״.

CISA מוסיפה 10 חולשות ל״קטלוג החולשות הידועות המנוצלות״ שלה

הסוכנות האמריקאית להגנת סייבר ותשתיות (CISA) הוסיפה את החולשות לקטלוג שהיא מתחזקת בהתבסס על עדויות לניצולן האקטיבי על ידי תוקפים. החולשות מצויות במוצרים של PEAR ,Apple ,Grafana Labs ,WebRTC ,VMware Tanzu ,Apache ו-dotCMS ועלולות לאפשר לתוקף לעקוף אימות, להריץ קוד מרחוק, להעלות קבצים ללא הגבלה ולעקוף Sandboxes. אחת החולשות (CVE-2021-38406, CVSS 7.8), הרלוונטית למוצר DOPSoft 2 של Delta Electronic ורמת חומרתה גבוהה, היא מסוג Out-of-bounds write ועלולה לאפשר לתוקף להריץ קוד מרחוק. חולשה זו נחשפה בספטמבר 2021 ואין לה תיקון, אך לדברי ה-CISA מדובר במוצר End-of-life שיש להפסיק את השימוש בו. אף על פי שרק סוכנויות פדרליות מחויבות לטפל בחולשות המופיעות ברשימה, ה-CISA ממליצה לכל ארגון לפעול לטיפול בהן, על מנת לצמצם את חשיפתו לתקיפות סייבר.

צוות קונפידס ממליץ למשתמשי המוצרים של החברות האמורות לעדכנם לגרסאותיהם האחרונות. 

LastPass מדווחת ללקוחותיה שחוותה תקרית אבטחת מידע

בהודעה שנשלחה ללקוחות מטעם מערכת ניהול הסיסמאות הפופולרית נאמר כי לפני כשבועיים זוהתה פעילות חריגה בסביבת הפיתוח של החברה, וכי לאחר חקירת הנושא לעומקו נמצא שגורם שאינו מורשה השיג גישה לחלקים בסביבת הפיתוח באמצעות פריצה לחשבונו של אחד ממפתחי החברה, ובכך שם את ידו על מקטעים מקוד המקור שלה. בתגובה לאירוע, החברה נקטה בפעולות מיטיגציה מיידיות ויצרה קשר עם חברת סייבר ופורנזיקה לצורך חקירתו. נכון לכתיבת שורות אלה, החברה טוענת כי בלמה את התקרית ושיפרה את אמצעי האבטחה שלה, וכי אין בידיה ראיות לפעילות בלתי מורשית נוספת בסביבת הפיתוח שלה. עוד הדגישה LastPass שאין ראיות לכך שהתקרית כללה גישה לנתוני לקוחות או לכספות של סיסמאות מוצפנות, ושלא נשקפת סכנה לסיסמאות המאסטר של המשתמשים, שכן היא משתמשת בארכיטקטורת Zero-knowledge הסטנדרטית בתעשייה, אשר מבטיחה שלעולם לא תתאפשר גישה לסיסמת האב של לקוחותיה. עוד מסרה החברה שעם התקדמות החקירה תמשיך לפרסם מידע אודות האירוע.

צוות קונפידס ממליץ למשתמשי המוצר להפעיל אימות רב-שלבי (MFA) על חשבונותיהם על מנת להוסיף להם שכבת הגנה, ולהפעיל התראות אודות שינויים המתבצעים בחשבונות, להגברת המעקב והשקיפות בנוגע לנעשה בהם.

מידע של יותר מ-2.5 מיליון משתמשים של סטודנטים הזכאים למלגות לימוד נחשף בפריצה ל-Nelnet Servicing

אחד מהשירותים המוצעים על ידי Nelnet Servicing הוא פורטל אינטרנטי בו משתמשות החברות Edfinancial ו-OSLA, כדי לאפשר לסטודנטים בעלי מלגת לימוד לנהל את פרטיה באופן מקוון. בחודש יוני עלה בידיהם של האקרים להשיג גישה אל מערכות Nelnet Servicing, ככל הנראה על ידי ניצול חולשה, ולהישאר בהן עד ל-22 ביולי. הפריצה השפיעה על כ-2,501,324 משתמשים, כך להערכתה Nelnet Servicing,  שעם זיהוי התקרית חסמה את גישת התוקפים אל מערכותיה והודיעה עליה ל-OSLA ו-Edinancial, שבתורן הודיעו על כך ללקוחותיהן. מחקירה משנית שהושלמה ב-17 באוגוסט עלה שחרף טענתה של Nelnet Servicing כי חסמה את המתקפה ברגע שזוהתה, מידע רגיש של משתמשים נחשף בכל זאת, לרבות שמות מלאים, כתובות פיזיות, כתובות מייל, מספרי טלפון ומספרי ביטוח לאומי (SSN). עם זאת, Nelnet Servicing מבהירה כי לא נחשפו פרטי חשבונות פיננסיים או אמצעי תשלום אחרים. בתוך כך, Edfinancial ציינה כי התקרית השפיעה רק על חלק ממשתמשיה, שכן לא כולם מאוחסנים בשירותי Nelnet Servicing. הגישה הבלתי מורשית למידע הרגיש שנחשף עלולה להוביל למתקפות פישינג רבות, לנסיונות הונאה והתחזויות ולפעולות של הנדסה חברתית, בין היתר למטרת רווח אישי. לאור חומרת המקרה, משרד עורכי הדין Markovits, Stock & DeMarco פתח ב-28 באוגוסט בחקירה לבחינת האפשרות להגשת תביעה ייצוגית. החברות Edfinancial ו-OSLA מציעות למי שמידע אישי שלו נחשף בפריצה גישה חינם למשך שנתיים לשירות הגנה מפני גניבת זהויות דרך חברת Experian, והן שלחו ללקוחותיהן מכתבים שכוללים הוראות לביצוע התהליך.

משטרת אוקראינה חשפה רשת של "מוקדים טלפוניים״ ששימשו ל״עקיצה״ של מטבעות קריפטוגרפיים

רשת המוקדים שהופלה פעלה במסווה של מרכז סיוע אשר לעתים אף התיימר לעזור לקורבנות עוקץ להשיב מטבעות אבודים בתמורה לעמלה, והיוותה תשתית לביצוע מעשי נוכלות נגד אזרחים אוקראינים ואירופים במגזרי הקריפטו, הזהב והנפט. במהלך מבצע בין-יבשתי שניהלה משטרת אוקראינה, נתפסה קבוצה שהשתמשה בתוכנה מתקדמת ובציוד טכנולוגי מורכב שאפשרו התחזות למספרי טלפון של בנקים לאומיים. לדברי המשטרה, באמצעות התחזות לעובדי בנקים ולסוחרי קריפטו, חברי הקבוצה חילצו מידע מסווג אודות כרטיסי אשראי בנקאיים של אזרחים. הנוכלים הקימו מבעוד מועד אתרים ופלטפורמות למסחר במטבעות זרים, במטבעות קריפטו, בזהב ובנפט, על מנת להבטיח קבלה של רווח מהיר, והשתמשו במידע אישי של קורבנות של גניבות קודמות במגזר הקריפטו על מנת לזכות באמון הקורבנות ולהוליך אותם שולל, עד לביצוע העברות כספים לחשבונות שבשליטת התוקפים. רשויות החוק האוקראיניות אימתו את הדברים לאחר שביצעו חיפושים בצו בית משפט במספר מקומות בהם על פי החשד התקיימה פעילותו של אותו ״מוקד טלפוני״. במהלך המבצע הוחרמו ציוד טכנולוגי ורשומות מידע של קורבנות, ונעצרו חשודים אשר נחקרים כעת על חלקם בפשע מאורגן, במרמה ובשימוש והפצה של נוזקות. החשודים צפויים לעמוד למשפט בגין סעיפים שבצדם עונש של עד 12 שנות מאסר. 

״נטפליקס הרוסית״ נפרצה: פרטיהם של כ-44 מיליון משתמשים הודלפו לרשת

חברת הסטרימינג הרוסית Start אישרה השבוע את דבר הפריצה, כאשר בהודעתה הרשמית בטלגרם נכתב כי תוכן המידע שהודלף לא יהיה לתוקפם לעזר רב, היות והוא רלוונטי ל-2021 ו״אין בו פרטי סיסמאות חשופות או מידע פיננסי אחר, כמו כרטיסי אשראי״. ואולם, מקורות אחרים בתקשורת הרוסית טוענים שחשיבות המידע שהודלף גדולה בהרבה מכפי שתוארה בהודעתה של Start, וכי המידע מכיל סיסמאות מגובבות ב-MD5, כתובות IP, תאריכי הרשמה לשירות ותאריכי התחברות אחרונים. נראה כי בהודעתה ניסתה Start ״לכבות שריפות״, באמצעות טענות כמו זו לפיה לא דלפו לרשת סיסמאות חשופות, כאשר בפועל סיסמה ממוצעת ב-MD5 ניתנת לפיענוח תוך מחצית השעה. מידע זה, בשילוב עם כתובות IP, כתובות מייל ומידע שדלף בפריצות אחרות, יכול לסייע לתוקף באופן משמעותי למעקב אחר קורבנות ותקיפתם.

מיקרוסופט משביתה מערכות Ubuntu בסביבת Azure בשל באג בעדכון גרסה

בציוץ שפרסמה השבוע החברה בחשבון הטוויטר שלה דווח כי זיהתה תקלה במערכות Linux מסוג Ubuntu, בתרגום כתובות (DNS) לאחר שדרוג גרסה ל-237-3ubuntu 10.54. לדברי החברה, התקלה, שהחלה ב-30 באוגוסט ב-9 בבוקר (שעון ישראל), השפיעה על כל סביבות הענן שלה בכל המדינות בהן היא מספקת את השירות, והיא קיימת במגוון שירותים, בהם Azure Kubernets ,Azure Sentinel ,Container Apps ועוד. מיקרוסופט פרסמה דף עדכון מערכות המתעדכן בזמן אמת בנוגע למצב השירות במדינות השונות. נכון לכתיבת שורות אלה, לא נראה שהתקלה קיימת באזור גיאוגרפי כלשהו.