עדכון שבועי 02.03.2023

אתרי אינטרנט של תשעה בתי חולים הושבתו על ידי ״סודן האנונימית״

אתרי האינטרנט של תשעה בתי חולים בדנמרק הושבתו ביום ראשון ה-26 לפברואר בעקבות התקפות מניעת שירות  (DDoS)  שבוצעו על ידי קבוצה האקרים המכונה ״סודן האנונימית״.

משרד הבריאות בקופנהגן ציין בחשבון הטוויטר כי למרות השבתת אתרי האינטרנט, השירותים הרפואיים פועלים כסדרם.  מאוחר יותר, הוא הוסיף כי אתרי האינטרנט חזרו לפעילות לאחר כשעתיים. 

קבוצת התקיפה ״סודן האנונימית״ פרסמה בטלגרם את כי ביצעה את ההתקפות בהקשר ל״שריפת הקוראן״ המתייחסת לתקרית בשטוקהולם בה הוצת ספר קוראן מול שגרירות טורקיה על ידי אזרח דני-שוודי שתואר כפוליטיקאי אנטי-איסלאמי קיצוני.

על פי דו״ח שפרסמה חברת הסייבר השוודית "Truesec" מיקום משתמש הטלגרם של ״סודן האנונימית״ הוא ברוסיה, ואולם תעבורת ה-DDOs יצאה משרתים בתשלום הממוקמים בגרמניה. ההערכה בדו״ח היא שהתעבורה נותבה דרך Proxy על מנת להסוות את מיקום התוקפים וכן התשלום עבור שרתיה מצביע על מבצע מאורגן בקפידה  ולא על פעילות ספונטנית. 

בתגובה להודעות בערבית המבקרות את פגיעת הקבוצה בבתי חולים, נכתב בחשבון הטלגרם של הקבוצה: ״אם אתה חושב שלחולים אין שום קשר לשריפת קוראן, אז אתה אידיוט״. התגובה נכתבה עם שגיאות דקדוקיות שעשויות להצביע על כך שהכותב אינו דובר אנגלית, ערבית או רוסית. פרט זה אינו מחזק את ההערכה שמדובר בקבוצה רוסית. 

קצינת בטחון לאומי ב״Microsoft" שוודיה, ציינה בפני העיתון השוודי Aftonbladet כי התגובות לשריפת הקוראן, הן מבחינת הסיקור התקשורתי של הרוסים והן מבחינת תשלום עבור פעולות תגובה של אקטיביסטים, מצביעות על כך שנעשו הכנות לפעולות הנקמה על שריפת הקוראן, עוד לפני שהתרחשה השריפה עצמה.

קבוצת הכופרה MedusaLocker מאיימת על מגזר הבריאות

מרכז הגנת הסייבר של מגזר הבריאות האמריקאי (HC3) מתריע על קבוצת הכופרה MedusaLocker, אשר לדבריהם צריכה להדאיג את מקבלי ההחלטות בתחום הבריאות. בדו״ח שפרסמו פירטו כי תוכנת הכופר של MedusaLocker זוהתה לראשונה בספטמבר 2019 ומאז נכנסה לפעולה ופועלת בשיטת הצפנת מערכות של מגזרים שונים, כאשר ישנו מיקוד במגזר הבריאות. ניכר כי הקבוצה פועלת בשיטת RaaS (או Ransomware-as-a-Service) ומשתפת פעולה עם גורמי איום אחרים בתמורה לחלק מתשלום הכופר. 

תחילה, פעילות הקבוצה הסתמכה על קמפיינים של פישינג ודואר זבל כדי להגיע ליעדים והחל משנת 2022, פגיעויות של RDP (או Remote Desktop Protocol) הן הטקטיקות שבשימוש נפוץ.
ה- HC3 ממליצים לארגוני הבריאות על שורה של צעדים על מנת להתגונן מפני התקפות RDP, ביניהם: שימת דגש על ניסיונות כניסה כושלים למערכות, יישום מדיניות נעילת חשבונות, תיקון פגיעויות RDP אשר ידועות כמנוצלות, שימוש בסיסמאות חזקות ואימות דו-שלבי, הגבלת גישה לכתובת IP מהימנות בלבד ועוד. 

​

Mysterious Team Bangladesh מפרסמת שתקפה לכאורה אתרי אינטרנט של בתי חולים בישראל

קבוצת התקיפה Mysterious Team Bangladesh מפרסמת כי לטענתם אתרי אינטרנט של בתי חולים במחוז תל אביב הפכו ללא מקוונים, מצ״ב פירוט בתי החולים שנפגעו.

​

סייבר בעולם

קבוצת האקרים לא ידועה שמה למטרה  גופים ממשלתיים דרך Discord

חברת הסייבר Menlo Labs פרסמה דו״ח חדש על סוס טרואני ששם למטרה גופים ממשלתיים. החקירה החלה כאשר פלטפורמת אבטחת הענן של החברה חסמה קבצי ארכיון המוגנים בסיסמה בקרב לקוחותיה הממשלתיים באזור אסיה וצפון אמריקה. החקירה העלתה כי PureCrypter שזהו סוס טרויאני (RAT) הגונב מידע, מורד למחשב ובו זמנית מוריד תוכנה זדונית שנייה בשם AgentTesla שהיא דלת אחורית מתקדמת עם יכולות הכוללות גניבת סיסמאות שמאוחסנות בדפדפנים שונים, רישום לוח, רישום מקשים למסך ולכידת מסך. ההפצה של התוכנות הזדוניות האלה נעשות דרך פלטפורמת Discord.י AgentTesla יוצרת חיבור לשרת FTP שבו היא מאחסנת את האישורים הגנובים. האישורים הודלפו משרת ה-FTP וככל הנראה ככה ההאקרים קיבלו גישה לשרת. כמו כן החוקרים של Menlo Labs  מצאו  שקישור ההורדה של AgentTesla הוא מדומיין שנפרץ של ארגון ללא מטרות רווח שהאישורים שלו נדלפו ונמצאים ברשת, שרת זה פועל בתור C2 של קבוצת ההאקרים הלא ידועה.  כמו כן חוקרי Menlo Labs  מסרו כי הם ממשיכים לעקוב אחרי התפתחות הנושא ואחרי קבוצת ההאקרים הלא ידועה ששמה למטרה גופיים ממשלתיים . 

צוות קונפידס ממליץ להטמיע במערכות ההגנה את המזהים (IOC'S) מדו״ח זה .

ענקית התקשורת News Corp חושפת כי האקרים שהו ברשת שלה במשך שנתיים

חברת הפרסום והתקשורת האמריקנית החלה בשבוע שעבר להודיע לאנשים שייתכן שהנתונים שלהם נפגעו. התוקפים קיבלו גישה למסמכים ומיילים בין פברואר 2020 לינואר 2022. חלק מהודעות המייל הכילו גם נתונים אישיים. מתקפת הסייבר פגעה במטה ניוז קורפ, בפעילות בבריטניה, ובעסקים בבעלות ניוז קורפ כמו הוול סטריט ג'ורנל, הדאו ג'ונס וניו יורק פוסט. ההודעה, שהעתק שלה הוגש לרשויות במסצ'וסטס, מגלה שההאקרים קיבלו גישה לאימייל עסקי ולמערכת אחסון מסמכים ששימשה כמה עסקים של החברה. ייתכן שחלק מהמידע האישי הושג על ידי התוקפים, כולל שם, תאריך לידה, מספר תעודת זהות, מספר דרכון, מספר רישיון נהיגה, פרטי חשבון פיננסי, פרטי ביטוח בריאות ומידע רפואי. מטעם החברה נמסר כי "החקירה שלנו מצביעה על כך שנראה שהפעילות הזו לא מתמקדת בהשגת מידע אישי. איננו מודעים לדיווחים על גניבת זהות או הונאה בקשר לנושא הזה". עם זאת, החברה החליטה להציע 24 חודשים של הגנה על זהות ושירותי ניטור אשראי בחינם לאנשים שנפגעו.

​

אוניברסיטת סטנפורד חשפה כי נפגעה מדלף מידע 

אוניברסיטת סטנפורד דיווחה על דלף מידע לאחר שקבצים המכילים מידע על התוכנית של לימודי תואר בכלכלה הורדו מהאתר שלהם בין דצמבר 2022 וינואר 2023, בעקבות דלף המידע האוניברסיטה שלחה מכתבים המודיעים על הדבר ל 897 סטודנטים שהגישו מידע אישי ורפואי כחלק מתהליך ההרשמה לתואר לכלכלה באוניברסיטה, במכתב צויין כי ב 24 לינואר השנה האוניברסיטה קיבלה הודעה כי תיקייה שמכילה את פרטי הרישום של מועמדים לתואר לכלכלה הייתה זמינה להורדה באתר האוניברסיטה בעקבות הגדרה שגוייה של התיקייה בנוסף נמסר במכתב כי הגישה למידע החל ב 5 לדצמבר 2022 וכי זוהו שתי הורדות של התיקייה ב 5 לדצמבר 2022 וב 24 לינואר 2023. על פי הודעת האוניברסיטה המידע שנחשף הכיל שמות, תאריכי לידה, כתובות מגורים, מספרי טלפון, כתובות אימייל ועוד וכי מידע פיננסי ומספרי זהות (Social Security) לא נחשפו במהלך דלף המידע. בנוסף נמסר על ידי האוניברסיטה כי פועלים לשפר את אבטחת המידע שלהם וכי מבצעים עידכוני מדיניות והגברת מודעות לצוות העובדים על מנת למנוע תקרית מסוג זה בעתיד.

​

הולנד: שלושה נעצרו בחשד לסחיטה של 2.5 מיליון אירו באמצעות מתקפות כופרה

משטרת פשעי הסייבר באמסטרדם עצרה שלושה גברים בגין מתקפות כופרה שביצעו על ארגונים במספר מדינות, שהניבו 2.5 מיליון אירו. החשודים, מואשמים בגניבת נתונים רגישים מרשתות הקורבנות והערכה כי תקפו אלפי חברות. חלק מהקורבנות הינם חנויות מקוונות, חברות תוכנה, שירותים קריטיים ועוד. השלושה דרשו בין 100,000 ל-700,000 אירו, בהתאם לגודל הארגון אליו פרצו ובנוסף לסחיטה הכספית, איימו בהדלפת הנתונים. טרם ברור אם ההאקרים גם הצפינו את הקבצים במהלך המתקפות, או רק גנבו אותם ואיימו להדליפם. בהודעת המשטרה בנושא נמסר כי חקירת האירוע החלה במרץ 2021, לאחר שחברה הולנדית גדולה דיווחה על גניבת נתונים. שיטת התוקפים כללה תחילה, יצירת גישה לא חוקית לנתוני החברות, לאחר מכן איום עליהן בהרס התשתיות הדיגיטליות ופרסום הנתונים, כך שחברות רבות נאלצו לשלם את התשלום מפחד למימוש איום התוקפים. בעקבות כך, עשרות מילוני נתונים רגישים נפלו לידיהם של התוקפים, נתונים הכוללים כרטיסי אשראי, כתובות, שמות, מספרי טלפון ובנק ועוד.

​

נוזקת Parallax מסוג RAT מאיימת על חברות קריפטו

דו״ח חדש של חברת Uptycs מזהיר כי חברות קריפטו עלולות להיות בסכנה בעקבות נוזקה חדשה מסוג RAT אשר עושה שימוש בדרכים מתוחכמות להזרקת הנוזקה אל תהליכים לגיטימיים שרצים על מערכת הפעלה נתקפת. הנוזקה מופצת באמצעות ספאם או פישינג עם קבצים מצורפים ועושה שימוש בטכניקה של Process Hollowing על מנת להתחבא בתוך תהליכי Windows לגיטימיים, הקמפיין ככל הנראה פעיל  עוד מדצמבר 2019 ולאחרונה שודאגו יכולותיו. הנוזקה מאפשרת לתוקפים לקרוא הקשות על המקלדת (Keylogging) לקרוא קבצים על העמדה הנתקפת ואף לגשת אל העמדה בתצורה של שליטה מרחוק (זהה ל-RDP) ומאפשרת שליטה מלאה על עמדה נתקפת. בנוסף לכך, לנוזקה ישנה יכולות להעתיק ולקרוא את המידע השמור ב-Clipboard של ה-Session הפעיל ולשנותו מה שעלול לאפשר לשינוי של ארנק קריפטו שהועתק לצורך שליחת מטבעות דיגיטליים לארנק קריפטו אחר שבבעלות התוקפים. צוות קונפידס ממליץ לבצע בדיקה חוזרת לפני שליחת מטבעות על מנת להימנע ממתקפות שעושות שימוש בטכניקה זו. צוות קונפידס ממליץ לחברות מתחום הקריפטו להזין את המזהים שניתנו בבלוג של Uptycs.

​

מתקפת כופרה על שירות המרשלים של ארה״ב

שירות המרשלים של ארצות הברית (USMS), המחלקה במשרד המשפטים המספקת שירותי תמיכה שונים למערכת המשפט הפדרלית , מנהלת חקירה של מתקפת כופרה על גניבת המידע הרגיש ממערכת U.S. Marshals Service המשמשמת את הסוכנות. דובר שירות המרשלים של ארה"ב אישר כי ב-17 בפברואר התגלתה מתקפת תוכנת כופר שהובילה לגניבת נתונים במערכת USMS נפרדת. המערכת הכילה מידע רגיש של יישום החוק, הכולל מידע מנהלי, מידע אישי מזהה ומידע על הליכי משפט הקשורים לנושאים של חקירות USMS, צדדים שלישיים ועובדי USMS מסוימים. בעת שהמערכת נפרצה, נותקה מרשת ה-USMS, והתקרית נחקרת באופן פעיל כפרצת אבטחה גדולה. על פי מקורות קרובים לאירוע, לתוקפים לא הייתה גישה למערכת המידע לUSM'S Witness Security Files Information System הידועה גם כבסיס הנתונים של תוכנית הגנת העדים.

​

Bitdefender  מפרסמת מפענח חינמי לכופרה MortalKombat

חברת אבטחת הסייבר Bitdefender מפרסמת מפענח חינמי לקבצים שהוצפנו על ידי הכופרה MortalKombat שהיא כופרה חדשה שהופיעה לראשונה בינואר 2023 ומבוססת על Xorist שמופץ כשירות לבניית נוזקות כופרה ומאפשר לתוקפים ליצור ולהתאים גירסה שלהם לכופרה וכוללת אפשרויות לשינוי של פתק הכופר, שם הקובץ של פתק הכופר, סיומות הקבצים להצפנה והסיומת של קבצים אשר הוצפנו. תוכנת פיענוח לקבצים שננעלו על ידי Xorist פורסמה במאי 2016. הכופרה MortalKombat הופצה לאחרונה בקמפניי פישינג למגוון רחב של אירגונים על ידי תוקף אנונימי שפועל ממניעים כספיים, הנוזקה מצפינה מגוון רחב של קבצים על מחשב הקורבן ביניהם הצפנה של אפליקציות, דאטה בייסים, גיבויים, קבצים של מכונות וירטואליות ועוד, נראה שלכופרה אין יכולות של מחיקת קבצים אך כן יכולה בין הייתר לנטרל את שורת הפקודה (CMD) של ווינדוס, הסרה של כלל התוכנות מתיקיית ה startup של ווינדוס וביצוע שינויים בריגיסטרי (Registry) כדי להשיג התמדה במערכת. 

סייבר בישראל

הוועדה לביטחון לאומי: "ישראל נמצאת בפיגור אחרי מדינות המערב ביחס לרגולציית הגנת הסייבר״

הוועדה לביטחון לאומי קיימה סקירה עם מערך הסייבר הלאומי בנוגע לפעילות מערך הסייבר, מגמות בתחום ואיומי הייחוס הרלוונטיים לעת הנוכחית. מערך הסייבר ציין כי מספר מתקפות הסייבר בעולם גדלו ב-38% בשנת 2022. ראש מערך הסייבר, גבי פורטנוי, ציין כי ״בעולם פשיעת הסייבר, התשלום הולך וגדל משמעותית והתוקפים בוחרים את היעדים שלהם באופן ספציפי. ישנם גופים משמעותיים במשק ואנחנו משתפרים בהגנה שלהם והגופים הללו מבינים את האיום ואת הצורך לתחזק את הכלים ההגנתיים. יש חשיבות רבה שמאות אלפי הארגונים במשק יעבדו מול הסקטורים הממשלתיים במטרה להגדיל את משטח ההגנה בדיווח והשקעה בהגנת סייבר".

​הייעוץ המשפטי של מערך הסייבר הציף את הפערים הקיימים בכלי המדיניות והסטנדרטים הרצויים להגנה מיטבית בסייבר, לצד פיקוח ואכיפה על הקיום שלהם. מטעם המערך נמסר כי הפנמת הסיכון לוקה בחסר בשל חוסר השקעה בתגבור הגנת הסייבר אל מול הנזק הגדול שנגרם מהתקפות הללו. בנוסף הועלתה הדרישה לעגן רגולציה אחידה ולתת תקציבים הולמים לרשויות המקומיות לצורך ההתמודדות עם מיגון מערכות המחשוב של הרשויות המקומיות לצורך מניעת דליפת מידע אישי של תושבים.