עדכון שבועי 06.05.2021

N3tw0rm: קמפיין כופרה חדש נגד ישראל?

קמפיין התקיפה, אשר זוהה לראשונה ב-29 באפריל על ידי עמוד חדש בדארקנט, הוא תשתית כופרה שמפעיליה טוענים להדלפת מידע של קורבנות שאינם משלמים, בדומה לקמפיין ה-Pay2Key. ב-1 במאי פורסם הקורבן הראשון של קמפיין ה-N3tw0rm - חברת מוצרי הלוגיסטיקה Veritas, ולאחר מכן נחשפה זהותם של מספר קורבנות נוספים, בהם חברת האופנה H&M ישראל וחברת ההנדסה Ecolog. עד כה פורסם מידע בנפח של 71GB ממערכות H&M ומידע בנפח 6GB ממערכות Veritas. על פי ניתוח מעמיק של צוות מחקר מחברת ClearSky, קיים דמיון רב בין דפוסי הפעולה של קמפיין זה לבין אלה של ה-Pay2Key, מה שמוביל להנחה כי מדובר בקמפיין תקיפה איראני (Fox Kitten). דרך הפעולה של מתקפות ה-N3tw0rm היא הפצת הקובץ slave[.]exe באמצעות הכלי PAExec וניהול כל תשתית התקיפה בתוך הרשת הארגונית עצמה (כלומר, שרת ה-C&C נמצא בתוך הארגון הנתקף). זאת ועוד, לנוזקה מספר מאפיינים אשר מקשים על חקירתה, בהם הסתרת קריאות API, הצפנה בשלוש שיטות שונות, מנגנון זיהוי הרצה במכונה וירטואלית (כלומר יכולת המכונה לזהות את הרצתה במכונה מבוקרת ולשבש את דרך פעולתה של האחרונה) ותת-נוזקה (FreeSpaceWorker[.]exe) שמטרתה ליצור כמות עצומה של קבצים ובכך ״לפוצץ״ את זיכרון המחשב. בתגובה לקמפיין זה ולקראת "יום ירושלים האיראני", במהלכו התנהל בשנה שעברה קמפיין השחתה של אתרי אינטרנט ישראלים רבים, פרסם מערך הסייבר הלאומי אזהרה המכילה קובץ מזהים. מהזווית הרגולטורית של תקיפה זו עולות שתי שאלות מרכזיות. השאלה הראשונה נוגעת לחוקיות של תשלום הכופר - או כל סוג של תשלום - לקבוצת התוקפים, כל עוד אינה מוגדרת כקבוצת טרור או גורם אחר שאליה אסורה העברת תשלום ואין ייחוס פורמלי של התקיפה למדינה עויינת. שאלה נוספת נוגעת לרמת הפירוט של הדיווח הנדרש של חברה שמשלמת לקבוצת התוקפים לרשויות המדינה: הרשות לאיסור הלבנת הון ומימון טרור, משטרת ישראל, ועוד גורמים.   

​

​

​

​

​

​

​

​

​

​

​

​

Kaspersky זיהתה פוגען עם Backdoor שככל הנראה שייך ל-CIA

ב-27 באפריל פרסם הצוות הגלובלי למחקר וניתוח (GReAT) של החברה דוח רבעוני המסכם פעילויות של גופי APT. אחד הנושאים המעניינים המופיעים בדוח הנוכחי הוא פירוט אודות נוזקה שזוהתה בפברואר 2019 במקבץ דגימות. מחקר הנוזקה, אשר כונתה על ידי צוות החוקרים Purple Lambert, עולה כי היא מאזינה לרשת בחיפוש אחר "חבילת קסמים" וביכולתה לייצא מידע בסיסי מהקורבן ולהריץ על מחשבו מטען שהיא מקבלת ממפעיליה. אחת ההשערות היא שמדובר בנוזקה השייכת ל-CIA, זאת משום שכאשר ב-2017 נחשפו ב-WikiLeaks יכולות ההאקינג של ה-CIA, חברת Kaspersky כינתה את משפחת הנוזקות בהם השתמש הארגון כ״משפחת Lambert״. 

​

בורסת המסחר בקריפטו Hotbit מושבתת עקב מתקפת סייבר

במתקפה, שאירעה ב-29 באפריל, ניסו התוקפים לגשת לארנקי החברה, אך נבלמו על ידי צוות האבטחה שלה, אשר זיהה את ניסיון התקיפה בזמן. למרות זאת, עלה בידי התוקפים למחוק את מאגר המידע של החברה. מ-Hotbit נמסר ל-2 מיליון משתמשיה מכ-210 מדינות כי נכסיהם בטוחים, בעודה מודה כי ״מדובר בפגיעה הגדולה ביותר ב-Hotbit מאז הקמתה בינואר 2018״. עוד מסרה החברה בהודעה ללקוחותיה כי ״נושא אבטחת המידע תמיד היה כאבה של תעשיית הבלוקצ'יין, ואחד החששות העיקריים של Hotbit. בעתיד, צוות Hotbit ימשיך לחזק את האבטחה. בינתיים, על ידי שיתוף פעולה עם צוותי אבטחת מידע מפורסמים בעולם, Hotbit תערוך בדיקה וחקירה מקיפות בנושא התקיפה ותשדרג באופן יסודי את רמת האבטחה של המערכת כולה.״

​

​

​

​

​

​

​

​

​

​

ענקית הבריאות מסן דייגו Scripps Health הותקפה בנוזקת כופרה - מטופלים רבים הופנו לבתי חולים אחרים

המלכ״ר, המפעיל 5 בתי חולים ו-19 מרכזי בריאות, פרסם כי חווה תקרית טכנולוגית שבעקבותיה נאלץ לחסום את גישת המטופלים לפורטל האינטרנטי ולאפליקציה. עם זאת, הודגש כי החולים ממשיכים לקבל ״טיפול יעיל ומציל חיים״. על פי דיווח במגזין BleepingComputer, מתקפת הכופרה הביאה לכך שמערכות הטיפול יצאו מכלל שימוש ומטופלים רבים הופנו לבתי חולים אחרים לקבלת טיפול. עוד נכתב כי תורים שנקבעו לסוף השבוע שהחל ב-1 במאי נדחו לתאריכים מאוחרים יותר. מ-Scripps Health נמסר כי מתבצעות כעת עבודות להעלאת גיבויי המערכות הקיימים. מהודעת הארגון ניתן ללמוד כי המתקפה פגעה בשני בתי חולים, לרבות בגישה לבדיקות הדמייה, וכי המוסד יידע את רשויות החוק ואת הארגונים הממשלתיים הרלוונטיים על האירוע. באתר BleepingComputer צויין כי נוכח העובדה שהרווח השנתי של המרכז הרפואי עומד על יותר מ-790 מיליון דולר, קל להבין מדוע היווה יעד מושך לתקיפה.

​

יצרנית צוללות גרעיניות רוסית הותקפה על ידי קבוצת האקרים הנחשדת כסינית

על פי פרסום במגזין BleepingComputer, התקיפה על Rubin Design Bureau, שבסיסה בסנט פטרסבורג, בוצעה באמצעות Spear phishing, במהלכו נשלח למנכ״ל החברה מייל שהכיל קובץ עם תיאור של כלי תחבורה תת-ימי, בו הוסווה קובץ זדוני בשם PortDoor. עם פתיחת המסמך על ידי המנכ״ל, הקובץ הריץ עצמו על המערכת ופתח לתוקפים דלת גישה אחורית לרשת הארגון. לדבריהם של חוקרי חברת Cybereason, לקובץ הזדוני יכולות של איסוף מידע על המערכת, העלאת הרשאות, גניבת מסמכים, הצפנת קבצים והתחמקות ממנגנוני זיהוי שונים. עוד זיהו החוקרים סימנים מזהים של הקובץ ופרסמו אותם ברשת, על מנת שחברות יוכלו להתגונן מפניו. מכיוון שהממצאים מעלים דמיון רב בין אופן הפעולה של קבוצת התקיפה לזה של קבוצות תקיפה המזוהות עם סין, נראה שהפעולה בוצעה על ידי גורמים סיניים.

​

נפרצו חשבונות של לקוחות הבנק האמריקאי First Horizon

מהבנק נמסר כי גורם לא מזוהה פרץ לחשבונותיהם של עד 200 לקוחות וגנב מהם כמעט מיליון דולר, תוך שימוש בפרטי הזדהות גנובים וניצול חולשה בתוכנת צד ג' שבשימוש הבנק. עוד נמסר כי מיד עם זיהוי המתקפה באמצע חודש אפריל פנה הבנק לרשויות הרלוונטיות, מילא טופס דיווח לרשות לניירות ערך (Form 8-K), דאג שהחולשה המנוצלת תטופל, פתח חשבונות חדשים לקורבנות הפריצה ופיצה אותם בגין כספם שנגנב. לדברי הארגון, לא צפוי לו נזק כלכלי עתידי בעקבות האירוע. בתוך כך, הודעה המופיעה כעת באתר הבית של הבנק מזהירה את לקוחותיה מפני הודעות פישינג המתחזות לארגון.