עדכון שבועי 08.04.2021

ה-CISA וה-FBI מזהירות מפני גורמי APT התוקפים שרתי Fortinet FortiOS

הסוכנויות מזהירות כי גורמי זדוניים הפועלים במימון ממשלתי מטרגטים את השרתים באמצעות ניצול החולשות הבאות:
CVE-2018-13379, CVSS 9.8
CVE-2019-5591, CVSS 7.5
CVE-2020-12812, CVSS 9.8
לטענתן, באמצעות פריצה למערכות פגיעות התוקפים עלולים לקבל גישה לרשתותיהם של גופים ממשלתיים, מסחריים וטכנולוגים, לטובת תקיפות עתידיות. ב-CISA ממליצים לעבור על קובץ זה על מנת לסקור דרכי פעולה למזעור ולמניעת הפגיעויות במוצרים הרלוונטיים.
אנו ממליצים לארגונים אשר עושים שימוש בשרתים לפעול בהקדם בהתאם לקובץ ההנחיות CISA. 

​

הודלף מידע של יותר מ-533 מיליון משתמשי פייסבוק מ-106 מדינות

תחילת הפרשה ב-23 במאי 2020, כאשר המגזין HackRead פרסם ידיעה אקסקלוסיבית לפיה גורם עוין טוען כי יש בידיו גישה למסד נתונים המכיל מידע של יותר מ-500 מיליון משתמשי פייסבוק מ-82 מדינות. הגורם, אשר טען כי המידע נגנב בין נובמבר 2019 למאי 2020, ניסה למכור את הנתונים לכל דורש בעבור $30,000. השבוע, ב-4 באפריל, פרסם המגזין כי חלה התפתחות באירוע, כאשר ב-3 באפריל התברר כי הגורם העוין פרסם את המידע, אשר תפח בינתיים לכדי יותר מ-533 מיליון רשומות של משתמשים, מתוכן 3,956,428 מישראל, והן מצויות ברשת להורדה בחינם. יש לציין כי הדבר דווח לראשונה בחשבון הטוויטר של אלון גל, מייסד Under the Breach. המידע שהודלף כולל מספרי טלפון, מספרי פייסבוק, שמות מלאים, מיקומים נוכחיים וקודמים, ימי הולדת, כתובות מייל, תאריכי יצירת חשבונות, מצב משפחתי וביוגרפיות. מכיוון שהמידע טרי יחסית ורלוונטי לשנת 2019, עדיין ניתן לעשות בו שימוש למתקפות פישינג כנגד קורבנות ההדלפה.
אנו ממליצים לנהוג בערנות מיוחדת בקריאת הודעות SMS ומייל, ומפצירים בכל אדם לבדוק אם היה קורבן לאירועי אבטחת מידע בחברות אחרות. תוכלו לבדוק מתי ואיזה מידע אישי שלכם דלף באמצעות הכלי HaveIBeenPwned, בהזנת מייל או מספר טלפון.

​

שמועות לפיהן חברת Ubiquiti מכחישה דליפת מידע לאחר שעברה אירוע אבטחת מידע

בהמשך לפרסומנו בעבר אודות אירוע אבטחת המידע של החברה, שהתרחש בחודש ינואר, ב-30 במרץ פנה לבלוג  Krebs on Security מ-Ubiquiti אשר ביקש לשמור על אנונימיות, וכונה על ידי מערכת המגזין בשם ״אלכס״. לטענתו של ״אלכס״, פרצת האבטחה שנמשכה חודשיים, כביכול, החלה כבר בדצמבר 2020. עוד אמר כי החברה מסתירה את חומרת האירוע האמיתית וכי המצב בשטח היה “גרוע יותר בצורה קטסטרופלית ביחס למה שפורסם”. לדבריו, החברה בלמה נסיונות לשתף את לקוחותיה בחומרת המצב ולהגן עליהם, לאחר שהתרחשה גישה נרחבת ביותר למידע אישי של לקוחות, לרבות גישה למכשירי החברה המותקנים בחברות ובבתי לקוחות, בהם גם מצלמות. למרות שהחברה לא השיבה לבקשות המגזין להגיב לדברים, למחרת, ב-31 במרץ, היא פרסמה באתרה עדכון אודות ההודעה ששלחה ללקוחותיה במקור, ב-11 בינואר. בעדכון האחרון חוזרת החברה על טענתה כי מומחי אבטחת מידע חיצוניים לא מצאו ראיות להתרחשותו של דלף מידע, ומצהירה כי לטענת המומחים התוקף לא הצליח לגשת למידע כלל וכלל. ״אלכס״ מצדו ממשיך וטוען כי החברה מרשה לעצמה לומר שלא נגנב מידע מאחר ולא ניהלה בקרה ורישום של גישה שבוצעה לנתונים, ולכן לא ניתן להוכיח לאיזה מידע בדיוק ניגש התוקף. הוא מוסיף כי התוקף טירגט את מסדי הנתונים של הארגון ואף יצר מכונות וירטואליות מבוססות Linux אשר התחברו אליהם. החברה, לדבריו, סירבה לשחזר את השינויים האחרונים ברשת על מנת למנוע ככל הניתן את התפשטות הידיעה כי מדובר באירוע רציני, כל זאת במטרה לשמר את שוויה בשוק ההון. בתוך כך, דיווחו של ״אלכס״ הגיע, ככל הנראה, לידיעת משקיעי החברה, ובימים שאחריו נצפו ירידות במניות Ubiquiti.
 

האקרים מצפון קוריאה הקימו חברת אבטחת מידע טורקית מזויפת התוקפת חוקרים בתחום

TAG, קבוצת המחקר של גוגל, חושפת כי קבוצת ההאקרים, המגובה על ידי קוריאה הצפונית, שמה לה למטרה לפגוע בחוקרי אבטחת מידע באמצעות פיתויים על ידי חשבונות מזויפים ברשתות החברתיות והחברה המזויפת SecureElite, הממוקמת בטורקיה. על פי הדיווח, החברה מציעה, כביכול, שירותי בדיקות חדירות והערכת סיכוני סייבר לארגונים. בפועל, התוקפים השתמשו ברשתות החברתיות על מנת לפתות את הקורבנות ללחוץ על לינק זדוני, שהכיל קוד המנצל פגיעויות בדפדפן ומתקין דלת אחורית במחשב הקורבן. בתוך כך, גוגל טוענת כי התריעה בפני הרשתות החברתיות על אותם חשבונות מזויפים, ואלה הושעו. עוד נמסר מגוגל כי הוסיפה את הלינק הזדוני לאתר המזויף של החברה לרשימת האתרים המסוכנים שלה, ועל כן הוא אינו מהווה עוד סיכון למשתמשים. את רשימת כל החשבונות המזויפים וה-IOC's וחלק משמות המשתמשים המזויפים ניתן למצוא כאן.

​

חברת הביטוח האמריקאית CNA מושבתת כבר 15 יום בעקבות מתקפת סייבר

בהצהרה המופיעה באתר החברה נאמר כי ב-21 במרץ חווה הארגון מתקפת נוזקה מתוחכמת, שגרמה לשיבושים בפעילותו ברשת והשפיעה על פעולתן של חלק ממערוכתיו. עם גילוי התקיפה שכרה CNA את שירותיה של חברת פורנזיקה חיצונית לחקירת האירוע, דיווחה על התקרית לגורמים המתאימים ברשויות וניתקה את כל הארגון מרשת האינטרנט, למניעת התפשטות התקיפה. עוד הודיעה החברה ללקוחותיה כי תמשיך להעניק להם שירות מלא ורציף. ב-1 באפריל החברה פירסמה הצהרה שנייה, בה פירטה את אופן התמודדותה עם התקיפה ואת הצעדים שננקטו לשם הבטחת המשכיות עסקית, הכלת האירוע וחזרה מהירה לשגרה. חקירת התקיפה נמשכת, והחברה מדגישה כי גם בשעה זו היא מקיימת את פעילותה העסקית בצורה בטוחה וכי ניתן ליצור עמה קשר במייל. 

​

ה-CISA מזהירה מפני מתקפות סייבר על תוכנות SAP שאינן מעודכנות

ההתרעה שפרסמה הסוכנות לאבטחת סייבר ותשתיות של ארה״ב מתמקדת בתקיפות המנצלות חולשות במערכות לשם גניבת מידע רגיש, הונאות פיננסיות, החדרת נוזקות כופרה ועוד. 
אנו ממליצים לעדכן את מערכות ה-SAP שברשותכם לגרסתן העדכנית ביותר.

​