עדכון שבועי 08.09.2022

Ragnar Locker תוקפת יעדים במגזרי האנרגיה והתעופה

בדוח ניתוח איומים של חברת Cybereason מנותחת הנוזקה Ragnar Locker, המפעילה ומפיצה כופרות מאז 2019 ומתמקדת בתעשיות קריטיות באמצעות שיטת הסחיטה הכפולה. לאחרונה טענה הקבוצה כי פרצה למערכותיה של DESFA, חברת צינורות הובלה יוונית, בהתקפה שממשיכה את המגמה העכשווית של מתקפות כופרה על חברות של צינורות הובלה, המפורסמות שבהן הן התקיפה נגד Colonial Pipeline האמריקאית בשנה שעברה (ראו ״הסייבר״, 13.5.21), תקיפת יצרנית האנרגיה והגז הטבעי הסינית ENN Group על ידי קבוצת הכופרה Hive ותקיפתה של Creos/Encevo, חברת אנרגיה מלוקסמבורג, על ידי BlackCat (ראו ״הסייבר״, 4.8.22). לתקיפתה הנוכחית של DESFA היוונית חשיבות גדולה, מעצם מיקומה האסטרטגי של יוון בכל הנוגע להובלת אנרגיה, שכן דרכה מוזרם גז לאירופה, בין היתר מישראל. לשכת החקירות הפדרלית (FBI) עוקבת אחר הכופרה של Ragnar Locker עוקבת מאז שפרצה ליותר מחמישים ארגונים בעשרה מגזרים של תשתיות קריטיות.

בתוך כך, ב-26 באוגוסט פרסמה חברת התעופה הפורטוגלית TAP שחסמה מתקפת סייבר שכוונה נגדה, ולא מצאה ראיות לגישה לא נאותה שבוצעה לנתוני לקוחות. עם זאת, התקיפה הביאה לחוסר יציבות בתפקוד האתר והאפליקציה של החברה.
על פי אתרה של קבוצת התקיפה Ragnar Locker בדארקנט, נראה שהיא אחראית למתקפה, כאשר בתגובה לפרסום החברה הפורטוגלית טוענת הכנופייה כי דווקא הצליחה לגשת למידע של לקוחות. להוכחת טענותיה, היא העלתה לרשת דוגמית מהמידע הכוללת מידע של לקוחות בנפח מאות GB, ומידע אישי של 9,000 אנשים, בכדי שחברת התעופה ״תפסיק לשקר״ ולטעון שלא נגנב מידע אישי ושהיא נוקטת באמצעים להגנה על לקוחותיה. זאת ועוד Ragnar Locker הציבה בפני החברה דדליין - להודות בהיקפה האמיתי של המתקפה עד ליום שלישי, אלא שלאחר מכן, לדברי Ragnar Locker חברת התעופה TAP תקפה אותה במתקפת מניעת שירות (DDoS). בתגובה, היא פרסמה רשומת בלוג נוספת, שהכילה פנייה מפורשת למנכ״ל חברת התעופה, עם בקשה חוזרת שיתדווה על היקף התקיפה ויפסיק ״לשקר ללקוחות״. במקביל, Ragnar Locker האריכה את הדדליין עד ליום שישי, בטענה שאם לא תיענה דרישתה - היא תפרסם את כלל המידע המלא שנגנב, אודות כ-100 אלף איש. 

בדוח ניתוח האיומים של Cybereason מפורטים מנגנוני הפעולה של Ragnar Locker, זאת באמצעות ניתוח דינמי וסטטי של שתי דגימות. מהחקירה עולה שעם הרצת הכופרה על ידי הקובץ Ragnar Locker.exe נוצרים 3 תהליכים, notepad.exe ,vssadmin.exe ו-Wmic.exe, שמתוכם נוצרים תת-התהליכים הבאים:

• shadowcopy wmic.exe delete: פקודת מערכת המוחקת את כל ה-Shadow copies במערכת הקורבן ומונעת ממנו לשחזר נתונים.

• vssadmin delete shadows /all /quiet: פקודת מערכת המוחקת גם היא Shadow copies ומונעת שחזור נתונים על ידי הקורבן.

• notepad.exe [נתיב משתמש]\RGNR_AABBCCDD.txt: פקודה המפעילה את Notepad.exe לשם הצגת הודעת הכופר לקורבן.

מבחינת התהליך Ragnar Locker.exe, נראה שהוא מכיל 1,081 אירועי קבצים, הקשורים לקבצים המוצפנים ולנתיב החדש שלהם. כמו כן, לא נמצאו שום חיבור רשת בעקבות הפעלת הכופרה או מניפולציה של ערכים ב-Registry. הפעילות הראשונה ש-Ragnar Locker מבצעת היא בדיקה אם מיקום המחשב הנגוע הוא באחת מהמדינות החברות בחבר המדינות העצמאיות (CIS). במידה והתשובה חיובית, הכופרה מפסיקה לרוץ על העמדה הנגועה, ובמידה ולא - הכופרה מחלצת מהמחשב הנגוע מידע, כאשר ראשית נאספים שם המחשב ושם המשתמש באמצעות קריאות ה-API הבאות: GetComputerNameW ו-GetUserNameW. לאחר מכן, הכופרה מבקשת את ה-Registry כדי לאסוף את ה-GUID של המחשב ואת גרסת ה-Windows בה הוא משתמש. המידע שנאסף משורשר ועובר פונקציית גיבוב מותאמת אישית, על מנת להסתיר את הנתונים מהעמדה. לבסוף, לאחר שנבדק שהקובץ המוצפן עומד בקריטריונים של הקבוצה, שם הקובץ נשלח לפונקציה המצפינה את הקובץ המתאים באמצעות האלגוריתם Salsa20. לאחר כל הצפנה, Ragnar Locker מוסיפה את הסיומת "[שם המחשב המגובב]_ragnar." לקובץ המוצפן.

בדוח של Cybereason ניתן למצוא המלצות להתגוננות מפני הכופרה, בהן הפעלת תוכנת אנטי-וירוס במצב Protect על עמדות, הפעלת זיהוי Shadow copies והזנת מזהי התקיפה (IOCs) במערכות ההגנה של ארגונים.

​

מגזר האנרגיה האיטלקי על הכוונת: סוכנות האנרגיה האיטלקית וחברת הנפט Eni נפגעו במתקפות כופרה

ב-30 באוגוסט מסרה חברת הנפט האיטלקית Eni לחברת החדשות Bloomberg כי בימים האחרונים נפרצו רשתות המחשוב שלה וכי ״נראה שהשלכות הפריצה מינוריות״ הודות לזיהוי מהיר של גישה בלתי מורשית לרשתות פנימיות של החברה. ככל הנראה, Eni נפגעה ממתקפת כופרה על ידי גורם לא ידוע, ולדברי דובר החברה היא משתפת פעולה עם הרשויות להערכת השלכות המתקפה. האירוע מגיע על רקע תקיפתה בסוף השבוע של סוכנות האנרגיה האיטלקית הממשלתית Gestore dei Servizi Energetici, המפעילה את שוק החשמל האיטלקי ועל כן מהווה תשתית קריטית, על ידי קבוצת הכופרה BlackCat. מירקו גאטו, מנכ"ל חברת אבטחת הסייבר האיטלקית Yarix, אמר ל-Bloomberg כי ״קבוצות תקיפה המשתמשות בתוכנות כופרה מודעות לכך שכדי להבטיח את המשכיות שירותיהן - חברות האנרגיה עשויות להיות מוכנות לשלם סכומי כופר גבוהים בתמורה לפתיחת המערכות המושפעות״. עוד אמר כי ״להאקרים הפועלים בחסות מדינה עשוי להיות אינטרס לבצע התקפות זדוניות על מגזר האנרגיה במדינות אירופה, התלויות במיוחד בגז מרוסיה או ממקורות מחוץ לאירופה״. בהמשך לתקיפות, מערך הסייבר האיטלקי הוציא אזהרת תקיפה לחברות נוספות במגזר.

צוות קונפידס ממליץ לנטר כניסות לא מוכרות לרשתות ארגוניות באמצעות הטמעת מערכות הגנה וניטור בכלל נכסי הארגון.

​

ממשלת צ׳ילה הודיעה כי חוותה מתקפת כופרה שהביאה להשבתת שרתיה

לפי הודעת הממשלה, ב-25 באוגוסט חוו שרתיה מבוססי ה-Windows וה-Linux מתקפת סייבר שהובילה להשבתת כלל המערכות הווירטואליות שפעלו עליהם, וכל הקבצים שהיו בהם הוצפנו ונוספה להם הסיומת ״cryp.". לדברי ה-CSIRT של צ׳ילה (צוות התגובה לאירועי אבטחת מחשבים), הנוזקה בה השתמשו התוקפים לא זוהתה בפלטפורמת האנטי-וירוס בה השתמשו שרתי הממשלה, ובמהלך האירוע נעשה שימוש ב-NTRUEncrypt להצפנת קובצי log, קובצי הפעלה (exe.), קובצי DLL, קובצי Swap, קובצי דיסק וירטואליים (vmdk.), קובצי זיכרון (vmsn. ו-vmem.) ועוד. כמו כן, הנוזקה גנבה את הסיסמאות שהיו שמורות בדפדפני האינטרנט. בתוך כך, התוקפים יצרו קשר עם גורמים בממשלת צ'ילה והקציבו להם שלושה ימים למענה לדרישת הכופר, בטרם ימכרו את המידע הגנוב ברשת האפלה. נכון לכתיבת שורות אלה, טרם נלקחה אחריות על הפעולה על ידי קבוצת כופרה, אך לפי מזהי התקיפה שממשלת צ'ילה פרסמה, נראה כי קבוצת הכופרה החדשה RedAlert, המוכרת גם כ-N13V, היא זאת שביצעה את המתקפה. תקיפה זאת מצטרפת לתקיפות נוספות על מדינות באמריקה הלטינית, בהן פרו, הרפובליקה הדומיניקנית, קוסטה ריקה (ראו ״הסייבר״, 12.5.22) ומשרד הבריאות הברזילאי (ראו ״הסייבר״, 16.12.21). 

​

ארה״ב: קבוצת הפוטבול San Francisco 49ers שלחה הודעה ללקוחות שפרטיהם נגנבו בפריצה שביצעה השנה קבוצת הכופרה BlackByte

בפריצה, שאירעה ב-13 בפברואר (ראה ״הסייבר״ 17.02.22), נגנבו פרטיהם של יותר מ-20 אלף לקוחות של קבוצת הפוטבול, לרבות שמות ומספרי ביטוח לאומי. לדברי הקבוצה, מאז הפריצה נבדק איזה מידע נגנב במטרה ליצור קשר עם אלה שפרטיהם דלפו. למרות שלא נמסר אם התקיפה כללה פריסה מוצלחת של כופרה, במכתב ללקוחות צוין כי הארגון עדיין עוסק בשחזור מערכותיו, דבר שיכול להצביע על כך שהמכשירים שנפרצו גם הוצפנו. עוד נמסר כי קבוצת הפוטבול עובדת בצמוד לרשויות החוק ותומכת בחקירתן, ובמקביל נוקטת בצעדים למניעת מקרה דומה בעתיד.

​

ארה״ב: גוף החינוך השני בגודלו לחינוך יסודי נפגע במתקפת כופרה; ה-CISA וה-FBI מזהירים מפני תקיפות נוספות כנגד גופי חינוך

ה-LA Unified School District, המונה כ-640,000 תלמידים מלוס אנג׳לס ומרשויות קטנות יותר הסמוכות לעיר, דיווח כי ב-6 בספטמבר הותקף בכופרה, אך חרף הפריצה למערכותיו והשבתה של חלק גדול מהן - הארגון ובתי הספר המשיכו לפעול, תוך התמודדות עם קשיים שמקורם בעובדה שרוב האפליקציות, המחשבים ומערכות הלמידה שלהם נשענים על מערכות אימות שהושפעו מהפריצה. עקב הפריצה עלה חשש גדול מפני השבתה של מערך ההסעות והשכר, המבוסס גם הוא על מערכות ממוחשבות, אך למרבה המזל מערכות אלה המשיכו לפעול כסדרן. עם היוודע דבר התקיפה החל הארגון באיפוס סיסמאותיהם של כלל התלמידים, המורים, אנשי הצוות וההורים. לצורך חקירת האירוע והשבת המערכות לפעילות תקינה, מחלקת ה-IT של הארגון נעזרה בלשכת החקירות הפדרלית (FBI) ובסוכנות האמריקאית להגנת סייבר ותשתיות (CISA), ששלחו אנשי צוות וסוכנים מטעמן. בשעה זו בתי הספר עובדים כסדרם, פרט למספר מערכות שוליות שעדיין מושבתות. 

תקיפה זה מגיעה בסמוך לאזהרה שפורסמה על ידי ה-FBI וה-CISA, לפיה קבוצת התקיפה Vice Society, הפעילה מאז קיץ 2021, תוקפת גופי חינוך, ובעיקר כאלה המיועדים לילדים מגיל גן ועד לסיום התיכון. Vice Society היא קבוצת כופרה הגונבת מידע רגיש ממערכות ומאיימת לפרסמו בתמורה לדמי כופר, תוך שימוש במגוון שיטות וכלים להשגת מטרותיה, בהם Cobalt Strike ו-PSEmpire. בין המלצות הסוכנויות להתגוננות מפני קבוצות מסוג זה: להקפיד על שמירת גיבויים מוצפנים ולא מקוונים, להקפיד על סקירת רמת אבטחת המידע של ספקי צד ג׳, ליצור תוכניות לניהול משברים, לבחור סיסמאות חזקות בעלות 8 תווים או יותר, לנהל סיסמאות באמצעות תוכנות ייעודיות, להשתמש ב-Salts בעת אימות התחברות, להימנע משימוש ב״רמזים״ במקרה שסיסמה נשכחה ולהפעיל מנגנון נעילה בעת נסיונות התחברות כושלים מרובים. עוד ממליצה ה-CISA על החלפת סיסמאות פעם בשנה (או מוקדם יותר, במידה וסיסמה נחשפה לגורם חיצוני) על פני החלפת סיסמאות תכופה, מכיווון שהחלפה תכופה עלולה ליצור בקרב המשתמש דפוס חוזר ביצירתה, ובכך להקל על תוקפים לגלותה.

צוות קונפידס ממליץ לעיין בדוח המלא של הסוכנויות, הכולל את כלל הממצאים, ההמלצות ומזהי התקיפה (IOCs), ולהזין את המזהים במערכות ההגנה של ארגונים. 

קבוצת InterContinental Hotels מדווחת על גישה בלתי מורשית למערכותיה

בהודעת הארגון דווח כי חלק ממערכותיו נפרצו והושגה גישה בלתי מורשית לערוצי ההזמנות והאפליקציה שלו, שחוו הפרעות משמעותיות החל מה-5 בספטמבר. ההפרעות מורגשות באתר ההזמנות,כאשר  לא ניתן להזמין חדרים חדשים או לגשת לפרטי הזמנות שבוצעו. כמו כן, נראה ששאילתות ה-API נכשלות ב-Backend, מה שעשוי להצביע על כך שיורגשו שיבושים בהזמנות גם דרך אתרים חיצוניים שעושים שימוש ב-API. על פי חוקר אבטחת המידע קווין בומונט, ככל הנראה מדובר במתקפת כופרה. בתוך כך, החברה הודיעה כי הגיבה לאירוע, בין היתר על ידי דיווח לרשויות הרגולטוריות הרלוונטיות, עבודה בצמוד לספקי הטכנולוגיה שלה וגיוס אנשי מקצוע נוספים לטיפול בתקרית. עוד נמסר כי החברה מתמקדת כעת בשחזור מלא של מערכותיה, בשיבה לפעילות מלאה ולהערכת הנזק שנגרם בעקבות הפריצה. לסיום הודיע הארגון כי יסייע לבעלי המלונות שנפגעו, ויעדכן בדבר התפתחויות נוספות, במידה ויהיו כאלה.

​

בית-החולים הצרפתי CHSF בתמונת מצב לאחר מתקפת הכופרה שחווה לפני שלושה שבועות; ירידה של 60% בתפוסת המיטות בטיפול נמרץ

בעקבות מתקפת הכופרה שפקדה ב-21 באוגוסט את בית החולים שבקורביי-אסון, מדרום לפריז (ראו ״הסייבר״, 25.8.22 ו״הסייבר״, 1.9.22) ואילצה אותו לעבור לעבודה במתכונת חירום, ב-2 בספטמבר פרסם המוסד הרפואי עדכון בנוגע למצבו, שזהו עיקרו:

1. מאושפזים - קרוב ל-500 חולים מאושפזים כעת במוסד. לא הועברו מטופלים לבתי חולים אחרים, למעט 13 תינוקות שאושפזו בטיפול נמרץ ולצורך החייאה נאונטולוגית (ככל הנראה משום שלא ניתן היה לדעת מהן הוראות ההזנה הנדרשות עבורם, עקב קריסת מערכות בית המרקחת).

2. טיפול נמרץ - חולים מורכבים עדיין מופנים לבתי חולים אחרים. כתוצאה מכך, יש ירידה של 60% בתפוסת המיטות בטיפול נמרץ עבור מבוגרים. ממוצע המטופלים היומי עומד על 90, לעומת 230 לפני המתקפה.

3. חדרי ניתוח - ממשיכים לפעול. תוכניות המחשוב של חדרי הניתוח שוקמו, ובכל יום נעשית הערכת מצב בנוגע לחולים שניתן לנתח. כמות החולים המופנים לניתוחים מטיפול נמרץ קטנה בחצי. בוצעו ניתוחים בכ-200 חולים, ורק מטופל אחד נדחה בשל שיקולים משפטיים-רפואיים, שכן לא ניתן היה לבצע דימות לפני ואחרי הניתוח.

4. נשים - במקצועות גינקולוגיה, מיילדות וקבלת קהל של נשים בהריון: תורים שנקבעו (פרט להתייעצות רפואית ואולטרסאונד) ומקרי חירום ממשיכים להתקבל כסדרם.

5. מרפאות חוץ - מתקיימים התייעצויות רפואיות וטיפולים, לרבות מעקב אחר חולים כרוניים.

6. מערכות מידע - שיקום מערכות בית החולים נעשה בסיוען של שתי חברות IR. בית החולים עדיין בתהליך שיקום, הצפוי להימשך מספר שבועות.

7. רישום מידע רפואי - בית החולים עדיין מתנהל באמצעות רשומות רפואיות ידניות, הוראות ידניות ומרשמים ידניים. אמצעי התקשורת מוגבלים ומתבססים על טלפונים ניידים של העובדים.

8. הגעה לבית החולים - היות ואין גישה לתיקים הרפואיים, מטופלים מתבקשים להגיע עם התיק הרפואי שלהם, לרבות מרשמים ותוצאות בדיקות הדמיה, מעבדות ובדיקות אחרות.

9. מרכזיית בית החולים - עובדת, וניתן לתקשר עם בית החולים כדי לברר מידע על מטופלים ועל טיפולים שנקבעו.

בתוך כך, ממשיך המשא ומתן עם קבוצת התקיפה על תשלום הכופר, לצד הצהרות של גורמים רשמיים שאין בכוונתם לשלמו, אך אחת ההערכות היא שמטרת הפרסומים נועדה להכשיר את דעת הקהל לתשלום. על פי העיתונות הצרפתית, בית החולים נתקף על ידי LockBit, למרות שהדבר נוגד את חוקי ה-Affiliates שלהם, האוסרים באופן גורף על הצפנת מידע של מוסדות בהם הנזק עלול להוביל למוות, לרבות מרכזים קרדיולוגיים, מחלקות נוירוכירורגיות, בתי חולים ליולדות וכיוצא באלה. עם זאת, חוקי הקבוצה מתירים גניבת נתונים מכל מוסד רפואי. בשעה זו, לא נמצא באתרה של LockBit בדארקנט דלף המעיד על כך שאכן תקפה את בית החולים.