עדכון שבועי 02.12.2021

חולשת Zero-day המעניקה הרשאות אדמין התגלתה במערכות המבוססות על Windows 10

חוקר האבטחה הפרטי עבד אלחמיד נסרי מצא כי הפרצה (CVE-2021-24084, CVSS 5.5) עוקפת עדכון אבטחה שנועד לטפל בפרצה קודמת, אותה גילה גם כן. החולשה מאפשרת קבלת גישה לקבצים ושינויים דרך חיבור לדומיין במקום העבודה או הלימודים. זאת ועוד, באמצעות שימוש בחולשה נוספת (CVE-2021-36934, CVSS: 7.8) ניתן להעלות הרשאות במערכת ולהריץ עליה קוד בהרשאות אדמין. יש לציין כי החולשה ניתנת לניצול רק במערכות בהן נוצר גיבוי לכונן C, ונוסף על כך קיים משתמש מקומי עם הרשאות אדמין. Microsoft טרם פרסמה עדכון אבטחה רלוונטי, אך קיימים עדכונים לא רשמיים של חברת 0patch אשר נותנים מענה לחולשה.

התגלה Trojan בחנות האפליקציות של Huawei

ב-23 בנובמבר מצאו מנתחי הנוזקות של Doctor Web עשרות משחקים ב-AppGallery שבהם סוס טרויאני האוסף מידע על משתמשים, לרבות מספרי טלפון, מיקומים על פי GPS ועוד. יותר מ-9 מיליון משתמשים הורידו את המשחקים הזדוניים, רבים מהם ילדים, מה שמגדיל את הסכנה למידע המצוי במכשיר. לאחר שקבוצת האנליסטים הביאה את הדבר לידיעת Huawei, החברה הסירה את האפליקציות הרלוונטיות מן החנות.

השוק השחור Cannazon הושבת לאחר שחווה מתקפת מניעת שירות

Cannazon היה לאחד מהשווקים השחורים הגדולים בדארנקט למסחר במריחואנה. לאחר שבתחילת נובמבר חווה מתקפת DDos, האופיינית לאתרים ברשת האפלה, מנהלי Cannazon צמצמו את פעילות האתר באופן משמעותי, עד שלבסוף, ב-23 בנובמבר, הודיעו כי ישביתו אותו לאלתר. למרות שהבטחה זו מומשה 6 ימים לאחר מכן, עולה כעת החשש שיוקמו אתרי הונאה אשר יתחזו לאתר הפופולרי וימשכו אליהם את משתמשיו.

​

קבוצת התקיפה APT37, הממומנת על ידי קוריאה הצפונית, מכוונת לגורמי אופוזיציה במדינה
ממחקר עדכני של חברת אבטחת הסייבר הרוסית Kaspersky עולה כי הקבוצה, המכונה גם Temp.Reaper ו-ScarCruft, מבצעת קמפיין תקיפה מבוסס Spear Phishing למטרות מעקב אחרי עריקים צפון קוריאניים, עיתונאים המסקרים את קוריאה הצפונית וכן גורמים בקוריאה הדרומית. על פי Kaspersky, התקיפה מתחילה בשיחת פייסבוק בין התוקף לבין הקורבן בנושא קוריאה הצפונית. לאחר מכן התוקף שולח לקורבן הודעת פישינג במייל, אליה מצורף קובץ RAR המוגן בסיסמה. הקובץ מכיל קוד מאקרו, שעם הרצתו יוצר קשר עם שרת C&C, אליו מועבר תוכן ממכשיר הקורבן. ממחקר שנערך בנוגע לאחד מקורבנות התקיפה עלה כי הנוזקה שהותקנה בעמדתו אספה ממנה צילומי מסך, אותם הזליגה החוצה דרך שרת ה-C&C. הנוזקה, שזוהתה כ-Chinotto (על פי שמות התיקיות בתוכן מוקמה), מסוגלת לתקוף מכשירי Windows ו-Android כאחד, שכן על אף שמדובר בשתי פלטפורמות שונות - הן חולקות מבנה C&C זהה, המבוסס על תקשורת HTTP. בכך שולטת הנוזקה על כלל הנוזקות המותקנות דרך סט אחד של פקודות C&C. את מזהי קמפיין התקיפה ניתן למצוא כאן. APT37 פעילה לכל הפחות משנת 2012, ובמהלך 2017-2018 תקפה סוכנויות ממשלתיות ביפן, בווייטנאם ובמדינות במזרח התיכון. זאת ועוד, הקבוצה אחראית לניצול חולשת Zero-day ב-Adobe Flash שהתגלתה ב-2018, אשר בנוגע אליה פרסמה CERT הקוריאנית התראת אבטחה.

קמפיין נוזקה אשר רץ מ-2019 משפיע על מדינות במזרח התיכון

הקמפיין זוהה במהלך ציד איומי סייבר שהתרחש בפברואר האחרון על ידי חוקרים מ-Securelist, ויוחס ל-WIRTE, אשר החלה לפעול במזרח התיכון לפני כשנתיים. תהליך החדירה של הקבוצה לרשת היעד מתחיל בפישינג ממוקד שמטרתו לגרום לקורבן ללחוץ על קובץ אקסל, המכיל מאקרו שמוריד אל העמדה נוזקה בשם Ferocious. הקבוצה תוקפת גופים ממגזרים רבים, בהם מוסדות פיננסיים, ממשלתיים, דיפלומטיים, משפטיים וצבאיים וחברות טכנולוגיות. הקבוצה משתמשת בתוכנות לגיטימיות, דבר המקל עליה להסתתר, ועל פי ההשערות יש לה קשר לגורם המכונה Gaza Cybergang, הפוגע בעיקר במוסדות ממשלתיים. 

Panasonic: חשש לדלף מידע אישי של לקוחות החברה עקב פריצה לרשתותיה

ענקית האלקטרוניקה היפנית, שחשפה פרצת אבטחה גדולה במערכותיה, אישרה כי ב-11 בנובמבר הצליחו תוקפים לחדור לרשתותיה באמצעות ספק צד ג׳, וכי מחקירה פנימית שניהלה עולה כי התוקפים הצליחו לגשת לשרת הקבצים של החברה. לאחר זיהוי החדירה, Panasonic דיווחה על האירוע לרשויות הרלוונטיות ונקטה באופן מידי בצעדים לאבטחת רשתותיה, לרבות פעולות למניעת גישה חיצונית. במקביל, Panasonic חברה למומחים חיצוניים  לחקירת דלף המידע, בניסיון לקבוע אם נחשף מידע אישי של לקוחות החברה או מידע רגיש הקשור לפעילותה, ופרסמה התנצלות על כל אי-נוחות הנגרמת כתוצאה מהאירוע. בתוך כך, גופי החדשות היפניים Mainichi ו-NHK מסרו כי על פי נתונים המצויים ברשותם עלה בידי התוקפים לקבל גישה למידע רגיש, כגון פרטי לקוחות, מידע אישי של עובדים וקבצים טכניים של Panasonic הנוגעים לפעילותה המקומית. עוד מסרו גופי החדשות כי לתוקפים הייתה גישה לשרת החברה משך יותר מארבעה חודשים, החל מה-22 ביוני ועד ל-3 בנובמבר, בטרם גילתה זאת Panasonic עקב תעבורת רשת חריגה. במהלך שלוש השנים האחרונות, כמעט כל חברות הטכנולוגיה הגדולות ביפן סבלו מפריצות לרשתותיהן על ידי קבוצות ריגול הפועלות בחסות סין, והחשד הוא שגם מאחורי התקרית הנוכחית עומדים אותם גורמים.

Google: האקרים תוקפים משתמשי ענן שאינם מאובטחים לשם כריית מטבעות דיגיטליים

התוקפים מנצלים חולשות אבטחה במטרה להפיץ תוכנות זדוניות המיועדות ברובן לכריית מטבעות דיגיטליים, כך פורסם לאחרונה בדוח של צוות הגנת הסייבר של Google. זאת ועוד, כמה ממקרי הפגיעה נועדו להרחיב את הסריקות למציאת חולשות נוספות במקורות אחרים ברשת ולזיהוי ותקיפה של מערכות נוספות. מרבית המקרים שתועדו התאפשרו עקב הגדרה שגויה של נהלי אבטחת מידע במשתמשי הענן. למרות שנראה כי מרבית הפעולות לא נועדו למטרת גניבת מידע רגיש, ייתכן בהחלט שנוכח התרבות מטרות האיומים - גניבת מידע אישי תימנה בעתיד על מטרות התקיפות. עוד נרשמו במסגרת האירועים קמפייני פישינג ומתקפות כופרה.

קמפיין הפישינג FluBot מתפשט מחדש דרך הודעות SMS

הקמפיין, שרץ לראשונה בפינלנד ביוני האחרון, חזר לפעול ולשלוח הודעות הקוראות לקורבנות ללחוץ על קישור, בו הם מתבקשים להוריד למכשיר הטלפון שלהם קובץ נוזקה. נוזקה זו גונבת מידע מהמכשיר ומשתמשת במספר הטלפון של הקורבן לשם המשך הפצתה. במקרה של הורדת הקובץ, ייתכנו חיובים נוספים מצד ספק השירותים הסלולריים עקב שימוש של התוקפים במנוי הקורבן.  הקמפיין, שמכוון בעיקר למשתמשי אנדרואיד, אך פוגע גם במשתמשי iOS בהיקף מצומצם, עושה שימוש בסימנים מיוחדים (/, @, ₪, %, +) על מנת להימנע מגילוי על ידי חברות התקשורת. המרכז לאבטחת מידע של פינלנד ממליץ לקורבנות הקמפיין להשיב את הגדרות המכשיר הסלולרי ל-Factory Settings, ובמידה ומותקנת עליו אפליקציית בנקאות, מומלץ ליצור קשר עם הבנק.

AT&T תשתית בוטנט תוקפת לקוחות של רשת

ב-27 באוקטובר זיהו מערכות ההגנה של Netlabא360  תקיפה של מכשירי רשת של חברת Edgewater, כולם בבעלות ענקית התקשורת האמריקאית AT&T, תוך ניצול חולשה קריטית (CVE-2017-6079, CVSS 9.8) בת ארבע שנים באמצעות טכניקות שאינן שכיחות. בגרסה הראשונית של תשתית התקיפה של הבוטנט, שקיבל את הכינוי EwDoor, גילו חוקרי Netlabא360 מנגנון C2 אשר פונה לשני דומיינים שונים, אחד מהם לא היה בבעלות התוקפים ונרכש על ידי החוקרים באופן שעשוי לאפשר אומדן של ממדי התשתית. התוקפים, שנתקלו בקשיים בהפעלת המנגנון, עדכנו אותו תוך פרק זמן קצר מאוד וסגרו את ההפניה לדומיין שנרכש על ידי החוקרים. עד כה הצליחו החוקרים לזהות כ-5,700 מכשירים שנדבקו בבוטנט, כולם מסוג EdgeMarc Enterprise Sessions Border Controller וממוקמים בתוך שטח ארצות הברית. עוד זוהו 3 גרסאות שונות של EwDoor, הכוללות פונקציות מרכזיות של עדכוניים עצמאיים, סריקת פורטים, ניהול קבצים, Backdoor, מניעת שירות (DDos) והרצת פקודות מרחוק. נכון לשעה זו, נראה כי מטרתה העיקרית של התשתית היא ביצוע DDoS וגניבת מידע רגיש. מ-AT&T נמסר כי החברה פועלת לסגירת החולשה וכי מבדיקה שביצעה לא עלה שנגנב מידע אישי של לקוחותיה.

נפרצה חברה אמריקאית המחזיקה במידע גנטי רגיש; מידע אישי שנאסף במשך שמונה שנים נגנב

חברת DCC - DNA Diagnostics Center, שבסיסה באוהיו, עוסקת במחקר ובדיקות DNA ומחזיקה במידע רגיש מאוד, לרבות בדיקות אבהות, פוריות, קורונה, קשרים משפחתיים ועוד. בהצהרה שפרסמה לציבור נמסר כי בין החודשים מאי-יולי השנה בוצעה גישה שאינה מאושרת לרשתות החברה, במהלכה התרחשה גניבת מידע המונית, לרבות מספרי כרטיסי אשראי, מספרי חשבונות פיננסיים, מספרי זהות וכן סיסמאות לפלטפורמת ה-DCC. עוד נמסר כי לא נגנב כל מידע גנטי, וכי המידע שנחשף נלקח מתיקיות גיבוי ישנות המתוארכות לשנים 2004-2012, והיו מצויות במערכת חיצונית שהשימוש בה הופסק ב-2012. מערכת חיצונית זו אינה מקושרת למערכות ומאגרי מידע ש-DCC משתמשת בהם כיום. לדברי החברה, המידע שנגנב שייך, למעשה, למערכת של ארגון לאומי לבדיקות גנטיות, ועל כן האירוע משפיע על ארגון זה ולא על DCC. עוד הובהר כי החברה משתפת פעולה עם מומחי סייבר חיצוניים על מנת להשיג גישה לקבצים ולמנוע את הפצתם ברשת. נכון לעכשיו, לא ידוע על שימוש שנעשה במידע הגנוב. מרבית קורבנות האירוע יקבלו על כך התרעה והוראות להפעלת מעקב בחינם אחר טרנזקציות בחשבון הבנק שלהם ואחר גניבת זהויות. עוד נאמר לקורבנות שעליהם להיות דרוכים ולעקוב אחר הפעילות השוטפת בחשבונות הבנק שלהם. 

Proofpoint מזהה שימוש מוגבר של שחקני APT ב-RTF Injection

במאמר שפורסם על ידי החברה היא צופה את המשך העלייה בטכניקה זו, הנהנית מאחוזי זיהוי נמוכים בקרב אנטי-וירוסים, ומכאן מסוכנותה. התוקפים מנצלים את אחד ממאפייני הפורמט של קבצים מסוג RTF, המכונה Template, אשר נועד להצביע על מיקום של תבנית (Path) שבהתאם לה ייפתח התוכן של הקובץ המקורי. ל-Template זה מזריקים התוקפים כתובת URL זדונית, אשר גורמת להרצה של קוד זדוני על המחשב.

IKEA חווה מתקפת פישינג על כתובות מייל פנימיות של החברה

ענקית הרהיטים השוודית נפלה קורבן למתקפה מסוג Reply-Chain Email, בה תוקף משתלט על כתובת מייל לגיטימית מתוך דומיין ההחברה ושולח בשמה הודעות עם תוכן זדוני וקישורים שבעזרתם הוא מתקין נוזקות על מכשירי הנמען. הנמען, שמקבל את ההודעה ממקור שנראה לגיטימי, אינו חושד שמדובר בנוזקה, ולכן הסיכוי להצלחת התקיפה במתווה זה גבוה יותר ביחס למתקפת פישינג רגילה. התקיפה, שהחלה ב-26 בנובמבר, התמקדה בעיקר בתיבות מייל פנימיות של עובדים בחברה, אך כוונה כם כנגד ספקים ושותפים חיצוניים לארגון. במיילים שנחשפו מתוך הרשת הפנימית של IKEA מופיעה אזהרה של צוות ה-IT של החברה לעובדיה מפני האירוע המתמשך ומפני פתיחת מיילים חשודים המכילים צרופות שאינן מזוהות. מן המיילים שנחשפו עולה גם ש-IKEA עושה שימוש ב-Microsoft Exchange, דבר המחזק את ההשערה לפיה התקיפה מבוססת על ניצול של חולשת ProxyLogon, שאפשר כניסה לרשת הפנימית ושליחת מיילים עם צרופות זדוניות. נכון לכתיבת שורות אלה, לא ידוע על חשיפת פרטי לקוחות או שותפים במסגרת התקיפה. מ-IKEA טרם נמסר אם ההתקפה הוכלה או עדיין מתרחשת.

​

עמותת Planned Parenthood מדווחת כי הותקפה וחוותה דלף מידע אישי של לקוחותיה

במכתב ששלחה למטופליה ב-30 בנובמבר, יידעה אותם העמותה כי ב-17 באוקטובר זיהתה פעילות חשודה ברשתותיה, אשר בעקבותיה כיבתה מיד את כל מערכות הארגון ופנתה לרשויות החוק ולחברת סייבר חיצונית, שיסייעו לה בחקירת המקרה. עוד דיווחה העמותה כי ממצאי החקירה עלה כי תוקפים שהו במערכותיה מה-9 באוקטובר, וכי עלה בידיהם לגנוב ממנה פרטים של מטופלים, בהם שמות, כתובות, מידע ביטוחי, תאריכי לידה ומידע קליני, לרבות אבחונים, הליכים ומרשמים רפואיים. לדברי העמותה, למרות שאין בידיה ממצאים המעידים על שימוש שנעשה במידע, על המטופלים לגלות ערנות בנוגע לחשבונותיהם הרפואיים, ולוודא שאינם מחויבים עבור שירותים שלא קיבלו או רכשו. במידה וחיוב שגוי מופיע, Planned Parenthood הנחתה את המטופלים ליצור קשר עם ספק שירותי הבריאות וחברת הביטוח שלהם. עוד הוסיפה העמותה כי היא פועלת לחיזוק והקשחה של אמצעי האבטחה שברשותה, על מנת להבטיח שהמידע בו היא מחזיקה מאובטח, וכי בכוונתה לרכוש עוד משאבים ולשכור אנשי מקצוע נוספים לצרכי הגברת אבטחת המידע. העמותה התנצלה על התקרית והדגישה כי מטופלים יוכלו לפנות אליה לבירורים, במידה ויש להם חששות נוספים. לפי דיווחים שונים, במהלך התקיפה דלף ממערכות החברה מידע אודות 400,000 ממטופליה.