30.1.2022-3.2.2022

המתיחות בין אוקראינה לרוסיה: נאט״ו מצטרף לאזהרה מפני מתקפות סייבר רוסיות
על פי ההערכה, הקרמלין מגייס יחידות חי"ר ותותחנים בדרום מערב רוסיה, מטוסי מלחמה בקלינינגרד שבאזור הים הבלטי וספינות מלחמה בים השחור ובקוטב הצפוני. לדברי נאט״ו, על המערב להיות מוכן ל"פלישה רוסית מלאה" לאוקראינה, שעלולה לכלול ניסיון הפיכה, התקפות סייבר ופעולות חבלה אחרות. לדברי מזכ"ל נאט"ו ינס סטולטנברג, יש להתכונן למגוון רחב של צורות תוקפנות ולהפעלת לחצים באפיקים נוספים, מעבר להצטברות הכוחות הרוסיים בגבולות עם אוקראינה ובלארוס. לאחר שכבר סיפקו גיבוי דיפלומטי וצבאי, גורמים אמריקאים ואירופיים דנים כעת בסיוע נוסף לאוקראינה במקרה של התקפות סייבר רוסיות, ופקידים מארצות הברית, מהאיחוד האירופי ומנאט"ו דנים באופני סיוע אפשריים במרחב הסייבר, כשברקע מתגברים הדיבורים על סנקציות כלכליות נגד רוסיה. לפי גורמים אוקראינים רשמיים, הראיות מצביעות על כך שרוסיה היא מקור התקיפות האחרונות שספגו גופים במדינה, למרות שרוסיה מכחישה את מעורבותה בכך. אן נויברגר, סגנית היועץ האמריקאי לביטחון לאומי לענייני סייבר וטכנולוגיה מתפתחת, נמצאת השבוע בבריסל כדי לדון עם עמיתיה בצעדי התגובה האפשריים לאיומים רוסיים במרחב. במקביל, מומחים טוענים שאספקת מודיעין אודות איומים וסיוע בהכשרת מומחים לתגובה לתקריות יוכלו לעזור לאוקראינה להתגונן מפני התקפות סייבר עתידיות. לדברי נאט"ו, הארגון יספק לאוקראינה גישה לפלטפורמה לשיתוף מידע אודות תוכנות זדוניות. נוסף על הגישה לכלי זה, שהיה חיוני בהבנת איומי סייבר גדולים, לרבות NotPetya, נאט"ו דנה בדרכים לסייע לאוקראינה להדוף מתקפות סייבר בטווח הבינוני והארוך. לדברי פטריק פאולק, מנכ"ל המכון למחקרי ביטחון של האיחוד האירופי, מאמצי תמיכת סייבר בינלאומיים יהיו יעילים ביותר אם יצליחו לשפר את שירותי האבטחה ואת רמת המומחיות של אוקראינה לאורך זמן, במקום להגיב למתקפה ספציפית שתגיע מרוסיה. לדידו, אמצעים כמו מתן כלי בודד או שליחת צוות תגובה עלולים להיות מסוכנים לבדם, בכך שיספקו תחושת ביטחון מזויפת.

בריטניה: ה-NCSC מפציר בארגונים מקומיים לחזק את הגנות הסייבר שלהם נוכח המתיחות באוקראינה ובסביבתה
קריאה זו של המרכז הלאומי לאבטחת סייבר, המהווה חלק ממטה התקשורת הממשלתית (GCHQ), מגיעה על רקע ההנחיות שפרסם המרכז בשבוע שעבר לארגונים בריטיים בנוגע לפעילות במרחב הסייבר. בימים אלה ה-NCSC חוקר דיווחים בדבר תקריות סייבר זדוניות באוקראינה, שהינן בעלות דפוס דומה לזה של מתקפות שיוחסו בעבר לרוסיה, לרבות מתקפת NotPetya ההרסנית ב-2017 ומתקפות סייבר נגד גיאורגיה. בעוד שבשעה זו אין בידי ה-NCSC מידע על איומים ספציפיים המרחפים מעל ארגונים בבריטניה בהקשר של האירועים המתרחשים במזרח אירופה, הנחייתו מעודדת ארגונים, בדגש על ארגונים גדולים, לבצע צעדים להפחתת הסיכון שיפלו קורבן למתקפה, לרבות עדכוני מערכות, שיפור בקרות גישה, יישום של אימות רב-שלבי (MFA), בניית תכנית תגובה יעילה לאירועים, בדיקת תקינותם של מנגנוני גיבוי ושחזור ושל מערכות הגנה מקוונות, וכן מעקב דרוך אחר המידע העדכני ביותר בנוגע לאיומים. עוד נמסר שארגונים שנפלו קורבן למתקפת סייבר נדרשים לדווח על כך לצוות ניהול האירועים של ה-NCSC, הפועל מסביב לשעון.

נפרץ ערוץ התקשורת של רשות השידור האיראני IRIB
ב-28 בינואר, למשך כ-10 שניות, הופיעו בערוץ IRIB קריאות גנאי כנגד התיאוקרטיה באיראן, קריאות מוות למנהיג ח׳אמינאי וקריאות שבח לאופוזיציה המתנגדת למשטר הנוכחי. נציגי ערוץ התקשורת דיווחו כי הם חוקרים את האירוע, וכי מדובר ב״תקיפה מורכבת ביותר״. עם זאת, ב-1 בפברואר הערוץ נפרץ בשנית על ידי קבוצה המכנה עצמה ה״צדק של עלי״, במהלך שידור חי של משחק כדורגל שהתקיים באיחוד האמירויות. במסגרת הפריצה לשידור, שארכה 50 שניות, קבוצת התקיפה קראה לציבור הרחב לצאת לרחובות במחאות המוניות כנגד משטרו של ח׳אמינאי, במהלך תקופה הפאג׳ר (חגיגות 11 הימים למהפיכה האיסלאמית שהתרחשה באיראן ב-1979). מסר זה שב והופיע על המסך מספר פעמים לאורך כמה שעות, עד שהרשת החזירה לעצמה את השליטה בפלטפורמה.

חברת Recorded Future סוקרת את משטח התקיפה בסין לקראת משחקי החורף האולימפיים בבייג׳ינג

לפי חוקרי החברה, ייתכן שתוקפי סייבר בעלי מניע כלכלי ינצלו את משחקי החורף להפצת מיילי פישינג לקהל, לבעלי עניין, לחברות המעורבות באירועים ולגופים אחרים. תרחיש אפשרי נוסף העולה מן הסקירה הוא ש״האקטיביסטים״ (Hacktivists, או האקרים אקטיביסטים) בעלי מניעים אידיאולוגיים יתקפו במרחב הסייבר נותני חסות תאגידיים בתגובה לפגיעה בזכויות אדם המיוחסת לסין. עם זאת, המחקר מצביע על כך שעל אף שהמשחקים עצמם עשויים להסתמן כמטרה אטרקטיבית לתוקפים, לא נצפו ברשת האפלה קריאות או כוונות לבצע מתקפות כופרה הנוגעות להם. זאת ועוד, לא צפויות להתרחש תקיפות לשיבוש המשחקים מצד קבוצות מוכרות הפועלות בחסות מדינות, כדוגמת רוסיה, איראן וקוריאה הצפונית, זאת בשל יחסיהן עם סין. ואולם, יש להניח כי מדינות אלה, לרבות סין עצמה, יבוצעו תקיפות שמטרתן איסוף מידע מודיעיני אודות אתלטים, ישויות זרות ומדינות. בתוך כך, לשכת החקירות הפדרלית של ארצות הברית (FBI) פרסמה התרעה בנושא משחקי החורף בסין, בה היא מזהירה מפני הורדת האפליקציה הרישמית של האירוע (ראו ״הסייבר״, 20.1.22) ומייעצת לספורטאים המשתתפים בו להשאיר את הטלפונים האישיים שלהם בבית ולטוס לסין עם מכשירים סלולריים חלופיים, מחשש לגניבת פרטים אישיים באמצעות היישומון. בדומה לממצאי המחקר של Recorded Future, הסוכנות ציינה כי לא איתרה כוונות לחבל במשחקים האולימפיים, אך בד בבד היא קוראת למארגניה להיות ערים לניסיונות כאלה וליישם שכבות הגנה מתאימות. הסוכנות האמריקאית לאבטחת סייבר ותשתיות (CISA) הצטרפה אף היא להמלצות ה-FBI וקראה ליישומן על ידי כל מי שמתעתד להגיע לאירוע.

סכנה חדשה לפרטיות גולשים: חוקרים עוקבים אחר שימושים באינטרנט באמצעות טביעת אצבע המבוססת על יחידת עיבוד גרפי
צוות החוקרים, הכולל מומחים מאוניברסיטאות בישראל, בצרפת ובאוסטרליה, בודק את האפשרות לשימוש ב-GPU במטרה ליצור טביעות אצבע ייחודיות של גולשים, שתאפשרנה מעקב אודות פעולות המתבצעות באינטרנט באופן מתמשך באמצעות WebGL. מן המחקר עולה כי הטכניקה בה השתמשו החוקרים, המכונה DrawnApart, עשויה להגביר את משך המעקב באופן ניכר ביחס לשיטות העדכניות ביותר הקיימות כיום, דבר שהינו בעייתי למדי מבחינת פרטיות המשתמש, שבמקרה זה אינה נהנית מהגנתם של החוקים להגנת הפרטיות בגלישה ברשת, המתמקדים בקבלת הסכמה לשימוש בעוגיות.

חוקרים מקוריאה הדרומית פיתחו מפתחות מאובטחים לאימות חזק המבוסס על סיבי משי

קבוצת אקדמאים מהמכון למדע וטכנולוגיה של גוואנגז'ו (GIST) השתמשה בסיבי משי טבעיים שמקורם בתולעי משי מבויתות לבניית מערכת אבטחה דיגיטלית ידידותית לסביבה, שלטענתם הינה "כמעט בלתי ניתנת לפריצה". לדברי החוקרים, "הפונקציה הטבעית הבלתי ניתנת לשיבוט (PUF) […] מנצלת את יתרונות עקיפת האור דרך חורים טבעיים במשי מקורי לייצור מפתח דיגיטלי מאובטח וייחודי״. עוד נאמר כי בפריסת מערכת כזו לאימות משתמשים באמצעות כרטיס חכם, פיצוח באמצעות Brute-force ידרוש 5 כפול 10 בחזקת 41 שנים, מה שהופך את המפתח לקריפטוגרפי ולכזה שאינו ניתן לשבירה. פרופ׳ יונג מינג סונג מצוות החוקרים אמר כי "למיטב ידיעתנו, זהו מודול ה-PUF הראשון שתוכנן באמצעות משי, חומר ביולוגי המצוי בטבע בשפע. פירוש הדבר הוא שאין צורך להשקיע זמן בפיתוח מפתחות אבטחה מסובכים, שכן הטבע כבר עשה זאת עבורנו".

Apple משלמת מענק זיהוי חולשה על סך 100 אלף דולר לחוקר יחיד
השבוע פרסמה החברה כי חוקר אבטחת המידע ריאן פיקרן מצא שתי חולשות בדפדפן Safari 15 וב-iCloud Sharing, המאפשרות ביצוע מתקפה שעלולה להביא לשליטה מלאה של תוקף במצלמה ובמיקרופון של המכשיר, ואף לגניבת קבצים ממנו. למרות שמדובר במענק בלתי מבוטל, החברה מציעה סכומים גבוהים אף יותר בתוכנית איתור הבאגים שלה, לרבות פרס של עד מיליון דולר עבור מציאת חולשה בהרצת קוד מרחוק על מכשיר ללא User Interaction. 

קבוצת התקיפה Shuckworm ממשיכה בריגול אחר ארגונים אוקראיניים
הקבוצה המקושרת לשירות הביטחון הפדרלי של רוסיה (FSB), אשר פעילה מ-2013 וידועה גם בכינוי Gamaredon, חזרה השבוע לכותרות לאחר שחוקרים מחברת Symantec זיהו פעילות המאפיינת אותה נגד ארגון אוקראיני, שהתבטאה בתקיפה בת 4 ימים. ככל הנראה, התקיפה החלה באמצעות מייל פישינג אשר כלל בתוכו קובץ Word זדוני, אשר חמש דקות לאחר פתיחתו החלו לרוץ על מחשב הקורבן פקודות חשודות. פקודות אלה הביאו להפעלתו של קובץ ה-VBS הזדוני ״depended.lnk״, אשר שימש את Shuckworm כדלת אחורית לארגון. באמצעות דלת זו נוצר קשר עם שרתי ה-C2 של התוקפים, שהריצו והורידו קבצים זדוניים נוספים, אשר בתורם אספו מידע על מערכות הקורבן ושימשו אמצעים לשליטה מרחוק. עוד גילו החוקרים כי רוב הכתובות של שרתי ה-C&C הרלוונטיים שייכות לספקית הדומיינים הרוסית AS9123 TimeWeb Ltd, ושרוב שמות הקבצים הזדוניים מתחילים באותיות ״de״, למשל ״deceive.exe״, ״decide.exe״ ו-״deep-vaulted.exe״. כמו כן, הקבצים הזדוניים אותרו בתיקיית ״CSIDL_PROFILE״. ניתן למצוא IOCs נוספים הקשורים לתקיפות בדוח שפרסמו החוקרים.

גרמניה: שתי ספקיות דלק ונפט נפגעו במתקפת סייבר; שיבושים באספקת הדלק בגרמניה
ב-29 בינואר גילו חברת אספקת הדלק הגרמנית Oiltanking וחברת הנפט המינרלי Mabanaft, שתיהן חברות בנות של Marquard & Bahls, כי נפגעו במתקפה ששיבשה את מערכות ה-IT ושרשרת האספקה ​​שלהן, כך נמסר בהצהרתן המשותפת. עוד מסרו החברות כי הן פועלות לפתרון הבעיה במהירות האפשרית. "אנו עורכים חקירה יסודית ביחד עם מומחים חיצוניים,״ נאמר בהצהרה, ״ומשתפים פעולה באופן הדוק עם הרשויות הרלוונטיות. כל המסופים ממשיכים לפעול בבטחה". בשעה זו הטרמינלים של החברות, שהכריזו על פגיעה בידי ״כוח עליון״, פועלים בקיבולת מוגבלת. בתוך כך, ארנה שנבום, נשיא המשרד הפדרלי לביטחון מידע של גרמניה (BSI), אמר במסיבת עיתונאים כי מדובר ב״באירוע משמעותי, אך לא חמור", שכן למרות שהתקרית משפיעה כל 233 תחנות הדלק בצפון גרמניה, ככל הנראה ניתן לשלם בהן במזומן. כזכור, בעקבות מתקפת כופרה שאירעה אשתקד סגרה Colonial Pipeline, מפעילת צינורות הדלק הגדולה בארצות הברית, את כל רשת האספקה שלה, המהווה את המקור לכמעט מחצית מאספקת הדלק של החוף המזרחי במדינה. במסגרת התקרית, שהיתה לאחת מהפעולות הדיגיטליות המשבשות ביותר שדווחו אי פעם, החברה שילמה להאקרים כמעט 5 מיליון דולר על מנת להשיב לה את הגישה למערכותיה. מנגד, באירוע הנוכחי המתרחש בגרמניה אין חשש מפני כשל מוחלט באספקה, בין היתר בשל העובדה שבשוק הגרמני פועלות 26 חברות. כך, למשל, רשת תחנות הדלק הגדולה בגרמניה, Aral, מסרה כי לאור ההפרעה היא נעזרת במקורות אספקה חלופיים. לאחרונה חברות גרמניות נופלות שוב ושוב קורבן למתקפות סייבר, ורק לפני ימים אחדים הזהיר המשרד הפדרלי להגנת החוקה (BfV) מפני סכנה הולכת גוברת מצד האקרים סינים.

חשופים בצריח: המעבר המהיר לעבודה מרחוק הותיר ארגונים פגיעים
מסקר שביצעה חברת Remotely עולה כי ארגונים המונים ביחד מיליוני עובדים נותרו חשופים לשיבושים עקב העומס שנוצר כתוצאה מהמעבר לעבודה מרחוק בתקופת הקורונה. בסקר, שנערך בתחילת החודש שעבר, השתתפו 600 מנהלי מערכות ו-IT במגזרי החינוך, הייעוץ, הממשלה, השירותים הפיננסיים, הטלקום, השיווק, המכירות והקמעונאות. לאחת משאלות הסקר - "מהם האתגרים הגדולים ביותר שכחבר בצוות IT מרוחק אתה מתמודד עמם מבחינת שמירה על אבטחת המידע ופרודוקטיביות של משתמשים?", סיפקו כמעט 33% אחוז מהנשאלים את התשובה "שמירה על אבטחת המשתמשים, באופן יומיומי", בעוד ש-67.49% אחוזים השיבו שהם עוסקים במשימות הנוגעות לאספקת שירותים ואפליקציות, לניהול זהויות משתמשים, לסכסוכים עם עובדים שהתעלמו מפרקטיקות ה-IT המומלצות, לעזרה לעובדים חדשים ולמגוון פעולות אחרות. כאשר התבקשו המשתתפים למנות לפי סדר החשיבות את המשימות בהן עסקו במידה הרבה ביותר לפני מגפת הקורונה, במקום הראשון ניצבה "הבטחת המשכיות עסקית", בשני "הגנה על המשתמשים מעצמם" ובשלישי "אבטחה/מלחמה בניסיונות פריצה או סיכון של הרשת". תשובות אלה, שאינן מצביעות על התמקדות באבטחה, מדגישות את חוסר המוכנות שאפיין ארגונים נוכח הדרישה הפתאומית לעבור לעבודה מרחוק. "בעידן המחשוב המודרני, דבר לא היה משבש יותר עבור חברות מאשר המעבר לעבודה מרחוק בשנתיים האחרונות," אמר טיילר רוהרר, מנכ"ל Remotely. בהתחשב באתגרים הקיימים כיום, מנהלי IT ומערכות מחזיקים פה אחד בעמדה לפיה בראש סדר העדיפויות מצויה אבטחת הסייבר ואחריה מציאת דרכים לאפשר למשתמשי קצה לפתור בעצמם מקרים בהם נדרש איפוס סיסמה, כמו גם ניהול אחסון באמצעות גישה דרך אפליקציה.