עדכון שבועי 02.02.2023

סייבר בגופי בריאות

Atlantic General Hospital חווה מתקפת כופרה

ביום שני האחרון (30.1), בית החולים הכללי אטלנטיק דיווח כי הוא מתמודד עם אירוע כופר, כאשר דובר בית החולים מסר כי סיבת השיבוש נחקרת כעת. עוד מסרו כי בעודם חווים שיבושים ברשת, ההשפעה על המטופלים הינה מוגבלת. חדר המיון של בית החולים ממשיך לקלוט ולטפל בחולים וימשיך לבצע ניתוחים אלקטיביים והליכי אשפוז אחרים. מתקני בית החולים ישארו פתוחים וכל השירותים ממשיכים לפעול, למעט בית המרקחת, מעבדת החוץ של בית החולים ובדיקות לתפקוד ריאות. 

קליפורניה: סוכנות הבריאות Livingston Memorial VNA מדווחת על חשיפת נתונים בעקבות מתקפת כופרה

בחודש שעבר (ינואר, 2023), סוכנות הבריאות Livingston Memorial דיווחה לתובע הכללי של מונטנה על הפרת נתונים, לאחר שחוותה ככל הנראה מתקפת כופר. המתקפה הביאה לכך שגורם לא מורשה קיבל גישה למידע רגיש של מטופלים. עם זאת, הנתונים שנפגעו כתוצאה ממתקפת הסייבר טרם פורסמו לציבור. בעקבות כך, החל התאגיד בהפצת הודעות על הפרת הנתונים לכל המטופלים שהושפעו מהאירוע האחרון.
האירוע החל לפני כשנה, 19 בפברואר 2022, כאשר נודע לסוכנות הבריאות כי חלק ממערכות המחשב שלה הוצפנו. בתגובה, חסמה את הגישה הבלתי מורשית והחלה לחקור ולטפל בנושא עם חברת אבטחת סייבר חיצונית. החקירה אישרה כי גורם לא מורשה השיג גישה למערכת המחשב של הסוכנות וגם כן למידע מוצפן הכלול בחלק מהקבצים. Livingston Memorial הצליחה גם לקבוע שחלק מהקבצים שנפרצו הכילו מידע סודי. בהתגלה הדבר, החלה לבדוק את הקבצים כדי לקבוע איזה מידע נפגע ואילו מטופלים הושפעו. תהליך זה הושלם ב-3 בנובמבר 2022, אך עם זאת עדיין לא אישרו גורמי הסוכנות בפומבי את המידע שהיה חשוף לגישה הבלתי מורשית.  

מטופלים אשר קיבלו הודעה בנושא, חשוב כי יכירו את הסיכון ומה באפשרותם לעשות על מנת להגן על עצמם מהונאה או גניבת זהות בעקבות המתקפה על Livingston Memorial. המדריך שפורסם בנושא מפרט גם את האפשרויות המשפטיות של אותם מטופלים להגנה על עצמם. 

איגוד בתי החולים האמריקאי (AHA) מתריע מפני קבוצת Killnet  המכוונת למגזר הבריאות 

KillNet היא קבוצת האקרים פרו-רוסית הפעילה מאז ינואר 2022. היא ידועה בביצוע מתקפות DDoS נגד מדינות התומכות באוקראינה, ובמיוחד נגד מדינות נאט"ו. מתקפת DDoS היא מתקפה המביאה לאלפי בקשות חיבור וpackets הנשלחות לשרת היעד, וכתוצאה מכך מתרחשת האטה או אפילו השבתה, שעלולות להביא להפסקות שירות הנמשכות מספר שעות או אפילו ימים. אין וודאות לגבי הקשרים של KillNet לארגונים ממשלתיים ברוסיה כדוגמת שירות הביטחון הפדרלי הרוסי (FSB) או שירות המודיעין (SVR), ועם זאת ה AHA מתריע כי היא מהווה איום על תשתיות קריטיות. יעדי התקיפה של KillNet ידועים כמגזר הבריאות והמגזר הציבורי. חבר בכיר בקבוצת התקיפה איים בעבר על הקונגרס בפרסום מידע אישי של אמריקנים כתגובה על המדיניות הפרו-אוקראינית של הקונגרס. בדצמבר 2022, קבוצת ההאקרים טענה כי ברשותה כמות גדולה של מידע אישי מארגון בריאות אמריקאי הנותן שירותים לרבים  מאנשי צבא ארה״ב. 
במאי 2022, חבר  ב- KillNet נעצר בעבור מתקפות על אתרי אינטרנט של ממשלת רומניה. בתגובה למעצר, Killnet דרשה את שחרורו ואיימה לפגוע במכונות הנשמה מצילות חיים בבתי חולים בריטיים וכן לפגוע במשרד הבריאות הבריטי. על פי דוח ה AHA  הקבוצה נוטה להעצים את היכולות האמיתיות שלה, וחלק מהצהרותיה נועדות למשיכת תשומת לב ציבורית. עם זאת, היא מהווה איום למגזר הבריאות הציבורי ויש להערך למתקפות מסוגים אלה. 

סייבר בעולם

CISA מוסיפה ל״קטלוג החולשות המנוצלות הידועות״ חולשה קריטית המשפיעה על מוצר של חברת Telerik

הסוכנות האמריקאית לאבטחת סייבר ותשתיות (CISA) הוסיפה לקטלוג שהיא מתחזקת חולשה (CVE-2017-11357, CVSS 9.8) שמקורה במוצר Telerik UI עבור ASP.NET AJAX (ספריית UI), ואשר עלולה לאפשר לתוקף מרוחק העלאה של קבצים והרצת קוד שרירותי. 

CISA ממליצה לכל ארגון לפעול לטיפול בחולשה המנוצלת, על מנת לצמצם את חשיפתו לתקיפות סייבר. 

דלף מידע הכולל קוד מקור של ענקית הטכנולוגיה Yandex 

השבוע פורסם באתר האקרים מוכר, קוד מקור מתוך פרוייקטים שונים של החברה כמו Yandex Maps, Alice (AI assistant), Yandex360 (workspaces service), Yandex Market, Yandex Travel (travel booking platform), Yandex Pay (payment processing service) ועוד.  בשיחה של Bleeping Computer עם החברה דווח על ידם כי מערכות Yandex לא נפרצו ונראה שהמידע הודלף ע״י עובד לשעבר שהיה נגיש לקוד המקור עד יולי 2022. עוד הוסיף עובד לשעבר בחברה כי המידע שהודלף לא כולל מידע על לקוחות החברה והמידע אינו מהוה סיכון ישיר לפרטיות לקוחות או טכנולוגיה קניינית.   לפי דיווח של אתר החדשות Meduza.io, הקוד של מנוע החיפוש של Yandex מוגדר למנוע העלאה של תמונות של פוטין כנגד חיפוש מילים כגון 'bunker grandfather', 'dick in a suit', 'master thief', Nazi וכן הגנות כנגד חיפוש הסימבול Z שכאמור מסמל את רכבי צבא רוסיה ומוכר לעולם כסמל המלחמה בין רוסיה ואוקראינה.  

​

הערכה שקבוצות התקיפה האיראניות Moses Staff ו- Abraham's Ax מופעלות ע״י אותו גורם. 

בדוח של חברת Secureworks, מציגים החוקרים קווי דמיון המצביעים על הקשר שבין קבוצת התקיפה האיראנית Moses Staff המתמקדת ביעדים ישראליים, לבין Abraham's Ax שהופיעה לראשונה בנובמבר 2022 הטוענת כפועלת מטעם החיזבאללה ואשר ממומנת ע״י איראן (טרם נמצאו ראיות המשייכות את הקבוצה לחיזבאללה). 

בין מאפייניה המשותפים קיים הדימיון בין תמונת הלוגו של שתי הקבוצות אשר בשתיהן יד מאוגרפת מושטת ומחזיקה באובייקט (מטה או גרזן). בחירת שמות תנ״כיים לקבוצות, וציטוטים דתיים המפוזרים באתרים. 

כמו כן, שתי הקבוצות משתמשות ב WordPress כבסיס לאתרי ההדלפות שלהם, שני הדומיינים רשומים אצל אותו Register, ובשלבים הראשוניים של אתרי ההדלפות של הקבוצות הם התארחו באותו ה Subnet (תת רשת). 

בנוסף קיים דימיון ויזואלי בסרטונים המופצים ע״י שתי הקבוצות אשר בשתיהן מוטיבים דומים כמו מבנה הסרטון, הצגה מהירה של מסמכים שנגנבו לכאורה מקורבנותיהם והצגת הפריצות שלהם בנוסח הוליוודי. 

טרם זוהו אנדיקטורים או תוכנות זדוניות הקשורות לפעילות של Abraham's Ax, אך בהנחה והקבוצות אכן מנוהלות תחת יישות אחת, סביר שהם חולקות באותן כלים וטכניקות המזוהות עם Moses Staff כמו StrifeWater RAT ו DiskCryptor למטרות ריגול ושיבוש פעילות הקורבנותיהם.

צוות קונפידס ממליץ לצוותי אבטחה בארגונים להזין במערכות ההגנה את מזהי הקבוצות (IOCs) המצוים בדוח שפורסם. 

מרכז הסייבר הלאומי של אנגליה מזהיר מפני מתקפות פישינג שמופעלות על ידי תוקפים מרוסיה ואיראן

מרכז הסייבר הלאומי של אנגליה פרסם אזהרה מפני מתקפות פישינג שמבוצעות על ידי קבוצות התקיפה SEABORGIUM הרוסית וקבוצת התקיפה TA453 האיראנית. קבוצות התקיפה מתמקדת באירגונים ויחידים באנגליה ומבצעת שימוש בטכניקת פישינג מתוחכמת הכולל איסוף מידע על הקורבן ושליחת מייל פישינג ממוקד . שתי קבוצות התקיפה משתמשות בטכניקות דומות אך אינם פועלות בשיתוף פעולה, קווי המתאר של התקיפה כוללים:

1) איסוף מידע על הקורבן שכולל שימוש בכלים הכוללים את חיפוש בגוגלת שימוש ברשתות חברתיות.

2) הכנה של תשתית התקיפה שכוללת יצירה של דומיינים שדומים לדומיינים של ארגונים מוכרים, שימוש בכתובות מייל של Outlook, Gmail ו Yahoo ליצירת קשר ראשונית.

3) העדפה לכתובות מייל פרטיות של מטרות על פני כתובות עסקיות וזאת על מנת לעבור אבטחות המוגדרות על כתובות מייל ארגוניות.
4) העברה של לינק זדוני בדרך כלל במסווה של לינק שמוביל למסמך או אתר אינטרנט בעל עיניים לקורבן, הלינק יכול להיות כלול בגוף המייל או כחלק ממסמך שמועבר ומוביל לשרת בשליטה של התוקף בו לרוב הקורבן מתבקש להזין פרטי חשבון.

5) לאחר קבלה של פרטי החשבון התוקפים מבצעים שימוש בפרטים על מנת להתחבר לחשבון הקורבן ומשמה לבצע את המשך המתקפה.

ההמלצות המצורפות למסמך כוללת שימוש בסיסמא חזקה לחשבון והפעלת אימות דו שלבי, עדכון של מכשירים ושירותים, ניטרול של אפשרות להפניית מיילים אוטומטית והפעלה של אפשרות סריקת מיילים אוטומטית של ספק המיילים והפעלת עירנות בכול הנוגע למיילים שמתקבלים.

הנוזקה GootKit ממשיכה להתפתח ומציגה רכיבים ואפשרויות חדשות

על פי Mandiant קבוצת התקיפה הידועה בשם UNC2565 שעיקר התקיפות שלה מוכוונות לעסקים ונמצאת במעקב של Mandiant מאז ינואר 2021, ולהם מיוחסת הנוזקה GootKit מציגים שינויים משמעותיים לנוזקה שלהם ביניהם רכיבים חדשים והסתרה של פעולות ההדבקה של הנוזקה. הנוזקה Gootkit הידועה גם בשם Gootloader מופצת באמצעות אתרי אינטרנט שהקורבנות מבקרים בהם בזמן חיפוש של מסמכים עסקיים כמו חוזים והסכמים באמצעות טכניקה הנקראת search engine optimization (SEO) poisoning/כאשר הקורבן מוריד את המסמך מהאתר מורד למחשב שלו קובץ ארכיון זיפ המכיל נוזקה הכתובה ב JavaScript כאשר היא מופעלת מורידה נוזקות נוספות כמו  Cobalt Strike Beacon, FONELAUNCH, SNOWCONE נוזקות אלו מופעלות לאחר ההורדה שלהם על מחשב הקורבן באמצעות PowerShell בשלבים מאוחרים יותר של המתקפה. חושב להדגיש כי מטרת הנוזקה והתוקפים העומדים מאחורייה נשארה זהה והשינוי שנעשה הינו הוספת טכניקות של הסתרת התהליכים של הנוזקה והוספקה של שלבים למתקפה ואפשרויות מתקפה נוספות. הגרסה החדשה של הנוזקה נראתה לראשונה כבר בנובמבר 2022 וקיבלה את השם as GOOTLOADER.POWERSHELL.

סייבר בישראל

כנס ״סייברטק גלובל״ - מערך הסייבר הלאומי חושף את נתוני הסיכול של השנה האחרונה

ראש מערך הסייבר הלאומי גבי פורטנוי הציג בכנס ״סייברטק גלובל״ את נתוני הסיכול של המעך בשנה האחרונה, על פי הנתונים שהוצגו מערך הסייבר סיכל ומנע יותר מאלף ניסיונות מתקפות סייבר משמעותיים שהיו אמורות לגרום לזק כלכלי חמור. מעבר לניסיונות התקיפה החמורים מערך הסייבר סיכל בנוסף אלפי ניסיונות תקיפה נוספים שנצפו בישראל. כחלק מהדברים ציין גבי פורטנוי כי "ישראל חווה מתקפות סייבר כמו באזורים אחרים בעולם, אך בנוסף לכל אלו, יש לנו גם את איראן שמובילה מתקפה מאורגנת, מתוזמרת ואגרסיבית על מרחב הסייבר הישראלי" בנוסף הוסיף ואמר כי ״"ההגנה שלנו חזקה כתמיד. אנחנו רואים איך הם עובדים, פעמים רבות ללא הצלחה לגרום לנזק ממשי״. בנוסף במסגרת הנאום שלו הציג ראש המערך את מערכת ״כיפת סייבר״ של המערך שתספק כלים ושירותים לאירגונים דרך פורטל לאומי.

קמפיין תקיפה חדש באמצעות צרופות HTML

השבוע פרסם מערך הסייבר הלאומי התרעה אודות קמפיין תקיפה באמצעות צרופות מסוג HTML המגיע כמובן דרך סביבת המייל הארגוני. לפי הדוח שפורסם, הצרופות מכילות קוד JS ׳מעורפל׳ ומקודד מה שמקשה על צוותי ומערכות ההגנה בזיהוי. בחלק מהמקרים המדובר בקמפיין פישינג הנועד לגניבת פרטי זיהוי לסביבת MS 365 ובחלקם נועד הקובץ להריץ קוד זדוני בתחנת המשתמש.  צוות קונפידס ממליץ לארגונים לבצע חסימה או בדיקה של צרופות מסוג html,htm,shtml ולהגביר את עירנות המשתמשים לגבי מקרי פישינג וקמפיינים דומים. 

מתקפת פישינג חדשה עושה שימוש ב SMS שנשלח בשם Paybox או Bit

באזהרה שפורסמה על ידי משטרת ישראל בערוץ הפייסבוק והטוויטר של משטרת ישראל נמסר כי קיים קמפיין פישינג פעיל בחודשים האחרונים בארץ, שמנצל את העובדה כי משתמשי אפליקציות התשלומים הפופולריות Bit ו Paybox נדרשו להשלים לאחרונה פרטיים אישיים באפליקציות על מנת להמשיך להשתמש בשירות, בקמפיין זה הקורבנות מקבלים SMS עם לינק מצורף לביצוע עידכון פרטים באפליקציה.

צוות קונפידס ממליץ למשתמשי השירות לא לבצע עידכון פרטים דרך לינקים חיצוניים אלא ישירות מהאפליקציה הרלוונטית.