עדכון שבועי 08.10.2020

גרסה חדשה של נוזקה זוהתה על ידי CISA וה-CNMF

קובץ המכיל את הנוזקה, המכונה SLOTHFULMEDIA ומשמשת תוקפים מתוחכמים, הועלה על ידי CISA וה-CNMF(כוח המשימה הלאומי לענייני סייבר במחלקת ההגנה האמריקאית) לאתר VirusTotal. שני הגופים יצרו באתר שרשור, בו הם מעודדים את הגולשים לחוות דעה על הנוזקה. SLOTHFULMEDIA עושה שימוש בקבצי Dropper, המתחזים לקבצים לגיטימיים ואינם מכילים את הנוזקה בעצמם, אלא משמשים להורדת קבצים זדוניים המכילים אותה. לאחר שהורדה אל מחשב הקורבן, SLOTHFULMEDIA שולחת בקשת POST אל שרת C&C ממנו היא מקבלת את פקודות. את רשימת המזהים של הנוזקה ניתן למצוא בניתוח המלא של החולשה.
אנו ממליצים לעדכן באופן שוטף את כלי האנטי וירוס שלכם ואת מערכת ההפעלה בה אתם משתמשים.
 

פייסבוק מפרסמת קמפיין תקיפה נגד משתמשיה שמקורה בסין

הקמפיין, המכונה SilentFade, הינו קמפיין תקיפה רחב, אשר פעולתו זוהתה עוד ב-2018. SilentFade מתמקד במשתמשי הרשת החברתית Facebook ומתאפיין בפריצה לחשבונות משתמשים רבים לצורך פרסום מודעות זדוניות, גניבת Cookies ועוד. התקיפה מתבססת על נוזקה המועברת למשתמשים באמצעות תוכנות מזויפות, אשר מורדות על ידם ומאפשרות לתוקפים לפרוץ לחשבונות הפייסבוק שלהם.

​

​

​

​

​

​

​

​

​

​

​

דוגמה לתוכנה מזוייפת שהורידה למחשב הקורבן את SilentFade

​

Visa מזהירה מפני תקיפה המאפשרת גניבת פרטי כרטיסי אשראי

מחלקת מניעת ההונאות של החברה פרסמה תוצאות ניתוח של נוזקה אשר התמקדה בתקיפת נקודות מכירה (POS)לצורך גניבת הפרטים. במסגרת הניתוח זוהו שתי תקיפות שבוצעו, האחת הצליחה לחדור לרשת חנויות נוחות באמצעות אימייל פישינג ולהשיג הרשאות ניהוליות למידע על כרטיסי אשראי המצוי בידי החברה, ואילו בשנייה נעשה  שימוש בטכניקות של השתלטות מרחוק לצורך חדירה לרשת והטמעת נוזקה הגונבת פרטי אשראי.
אנו ממליצים להטמיע במערכות ההגנה של רשתותיכם את מזהי התקיפה המצויים במסמך המקושר לעיל.
 

צוות חוקרים של ESET זיהה נוזקות המתחזות לאפליקציות מוכרות

המדובר הוא בפעילות נוספת של קבוצת התקיפה APT-C-23, המזוהה עם תקיפות רבות בגזרת המזרח התיכון, ובישראל בפרט. בחקירה שפורסמה השבוע זוהו אפליקציות ריגול רבות המתחזות לאפליקציות כגון Telegram ו-Threema. לאחר הורדת האפליקציה המתחזה וקבלת הרשאות לשליטה על התראות המכשיר, האפליקציה מכבה את התראות האבטחה של Google Play Protect ופותחת ערוץ תקשורת מול השרת התוקף. בכך מתחילה תקיפה אשר יכולה להביא להקלטת Audio במכשיר, לביצוע פעולות על רשת ה-WiFi, למחיקת ולהתקנת אפליקציות נוספות, לקריאת מידע  באפליקציות אחרות במכשיר (למשל Whatsapp, Facebook, Viber,  Skype) ולפעולות נוספות. 

​

מערך התקיפה האיראני MuddyWater משתמש בחולשת Zerologon ב-Windows

כך דיווחה חברת Microsoft במהלך השבוע. Zerologon היא חולשה קריטית (CVE-2020-1472) אשר דורגה ברמת חומרה 10 במדרג CVSS, והיא מאפשרת למשתמש לא מאומת לייצר חיבור ל-Domain Controller של רשת ולקבל הרשאות Domain Administrator. קבוצת התקיפה והריגול MuddyWater, הידועה גם בשמה Mercury, תוקפת בעיקר מדינות במזרח התיכון וברחבי אסיה, ומירב קורבנותיה הם ספקיות תקשורת, חברות IT, גופים ממשלתיים וארגונים ממגזר האנרגיה. Microsoft החלה בפרסום עדכונים ודרכי מיטיגציה להתמודדות עם החולשה.
אנו ממליצים (א) לעדכן את ה-Domain Controller לגרסאות שפורסמו לאחר ה-11 באוגוסט 2020. (ב) לנטר Event Logs על מנת לגלות אילו מחשבים מבצעים חיבורים מוחלשים ל-Domain Controller ולטפל בהם. (ג) לעקוב אחר פרסומי Microsoft בדבר דרכי מיטיגציה. 

​

Palo Alto מפרסמת מחקר אודות כורי קריפטו באתרים הפופולריים

במהלך השבוע פרסמה החברה דוח עם ממצאי מחקר שביצעה, בניסיון לזהות אילו מבין האתרים המופיעים ב-Alexa Top 10,000 (רשימת האתרים הפופולריים ביותר באינטרנט) הודבקו בנוזקות או משמשים לפעילות עוינת. החוקרים זיהו ארבעה אתרים נגועים, (א) libero[.]it (ב) pojoksatu[.]id (ג) heureka[.]cz ו-(ד) zoombangla[.]co, אשר הודבקו ב-Coinminers (כורי מטבעות קריפטו) וב-Web skimmers (מתקפה שנועדה לגניבת פרטי תשלום). עוד נמצא כי התנהגות כורי הקריפטו שהוזרקו לאתרים הייתה שונה מהרגיל: בעוד שכורה קריפטו רגיל מגביל את פעילותו במטרה לחסוך בסוללה ובמשאבים אחרים של המכשיר הנתקף, על מנת להקטין את סיכוייו להתגלות, הכורים שהושתלו באתרים שנבדקו פעלו בעוצמה מלאה ורוקנו את סוללות מכשירי הקורבנות. ככל הנראה, הדבר נובע מכך שהתוקפים חשדו כי פופולריות האתרים תוביל בכל מקרה לזיהוי מהיר של הפעילות, ועל כן רצו לנצל עד תום את הזדמנות התקיפה. צוות X-Force של IBM פרסם רשימת IOCs (מזהי תקיפה) רלוונטית.

​

CISA מזהה עלייה חדה במתקפות Emotet

בהתראה שפרסמה הסוכנות היא מזהירה מפני עלייה חדה בכמות ההדבקות בנוזקה, אשר נצפתה מתחילת חודש אוגוסט - גידול של כ-16,000 התראות על פעילות הכלי ביחס לחודש יולי שקדם לו. Emotet הינו סוס טרויאני מתקדם, המופץ לרוב באמצעות קמפייני פישינג. החל מה-17 ביולי נצפו קמפייני תקיפה בלתי פוסקים, במסגרתם מופץ הכלי באמצעות כ-500,000 אימיילים ביום. CISA מתריעה כי כעת מטרתם העיקרית של מתפעלי הכלי היא גופי ממשל אמריקאיים.
 

קמפיין פישינג משתמש במצבו הבריאותי של דונלד טראמפ להפצת כופרות

הקמפיין המתקדם, שזוהה על ידי חברת המחקר ProofPoint, כולל התחזות למקור אמין המדווח על מצבו של נשיא ארה״ב בעקבות הדבקותו בנגיף הקורונה, מהנושאים הבוערים והמדוברים ביותר באמריקה כיום. על פי שיטת הפעולה והכלי בו נעשה שימוש, עולה החשד כי מאחורי הקמפיין עומדת כנופיית הסייבר TrickBot. הקמפיין מופץ באמצעות אימיילים המכילים הודעה פשוטה, בה מוסבר כי בקובץ המצורף מצוי מידע עדכני ומאומת אודות מצבו הבריאותי של הנשיא. במסמך המעובד, שמטרתו לשדר אמינות בפני הנתקף, מוצגים לוגו של חברת Google והודעה לפיה המסמך נסרק וזוהה כבטוח להורדה. בפועל, בהורדת המסמך מורד למחשב גם סוס טרויאני בשם BazarLoader, שעל פי החשד פותח על ידי TrickBot. בשלב האחרון של התקיפה מוטלת על הנתקף כופרת RYUK, ובכך הופכת ההדבקה היחידנית למתקפה כוללת, המצפינה את הרשת אליה מחובר הנדבק.

סייבר בישראל

ניסיון הונאה של בכירים בתעשיית הקריפטו בישראל לצורך גניבת מטבעות קריפטוגרפיים

באירוע הסייבר החריג, שהתרחש בתחילת ספטמבר, כ-20 בכירים ישראלים בתעשייה נפלו קורבן לניסיון הונאה כושל בו הייתה מעורבת רשת טלקום זרה, אשר לפי החשד פעלה בגיבוי מדינתי. האירוע התאפיין בפריצה לטלפונים הניידים של הקורבנות ובהשתלטות על חשבונות הטלגרם שלהם, על מנת לגרום לאנשי הקשר שלהם לשלוח לתוקפים מטבעות קריפטוגרפיים. חברת הסייבר Pandora, שסייעה בחקירת האירוע, דיווחה כי המשותף לכלל מקרי ההשתלטות הוא העובדה שאימות משתמשי הטלגרם התבצע באמצעות SMS, וכן שכל הקורבנות היו לקוחות ברשת Partner. הדבר מרמז על כך שהתוקפים מצאו דרך ״לחטוף״ הודעות SMS. עוד מצאו החוקרים כי מדובר במתקפת SMSC Spoofing Attack, מתקפה חריגה שבמסגרתה נדרשים ההאקרים לבקש גישה לרשת סלולר אמיתית ברחבי העולם, אשר לה ממשקים לרשת סלולרית ישראלית. מרגע שהשיגו את הגישה הרצויה, יכולים ההאקרים לגנוב הודעות SMS של לקוחות Partner.    

​

חולשה באתר ההטבות של ועד של חברת החשמל חשפה פרטי עובדים

החולשה, שזוהתה על ידי חברת Security Joes הישראלית, סוקרה במהלך השבוע האחרון על ידי אתר החדשות ynet. מאחר וההזדהות לצורך התחברות למאגר ההטבות התבססה אך ורק על תעודת הזהות של העובד, חוקרי  Security Joes הצליחו לגשת לפרטים האישיים המצויים במאגר, שכללו תעודות זהות, כתובות מגורים, כתובות אימייל, מספרי טלפון ואף ספרות אחרונות של מספרי כרטיסי אשראי. חשוב להדגיש כי למרות הנזק שנגרם לפרטיות העובדים, הדבר צופן בחובו נזק גדול יותר בדמותה של מתקפת Spear Phishing, אשר תנצל את המידע שנחשף לצורך יצירת אימייל תקיפה ממוקד. זאת ועוד, הצלבת הפרטים עם מידע המופיע ב-LinkedIn או בפייסבוק עלולה לחשוף את תפקידי העובדים ולהקל על זיהוי מטרות תקיפה איכותיות. חוקרי Security Joes פנו באופן מידי למערך הסייבר הלאומי, אשר עזר בהתמודדות עם האירוע. האתר הורד מהרשת והמערכת הוקשחה.

​

הודעה שקרית בשם Adidas מופצת ברשתות החברתיות

בהודעה נטען כי Adidas מחלקת 3000 זוגות נעליים, חולצות טריקו ומסיכות לכבוד חגיגות יום השנה של החברה. להודעה מצורף לינק, שמוביל לאתר מזויף המתחזה לאתר Adidas, בו מתבקש המשתמש להפיץ את ההודעה ל-20 חברים בפייסבוק. חברת Adidas ישראל פרסמה בתגובה אזהרה מפני הקמפיין, בה מוצהר כי הוא שקרי.
אנו ממליצים לשים לב להודעות חשודות, לא ללחוץ על לינקים שאינם מזוהים ולגלות משנה זהירות בכל הנוגע לשיתוף מידע אישי ברשת.

סייבר בעולם

אזהרה! עליה במתקפות סייבר מסין

האזהרה פורסמה ב-1 באוקטובר על ידי CISA, על רקע המתיחות הגוברת בין ארה״ב לסין. הסוכנות צירפה לפרסום מזהי תקיפה (IOCs) והמלצות על צעדים שבהם יכולים ארגונים לנקוט על מנת להתגונן מפני התקפות מצד גורמים סיניים.

סייבר ופרטיות - רגולציה ותקינה

קנס בגובה 41.3 מיליון דולר הוטל על H&M בגין הפרת ה-GDPR

נציבות הגנת המידע במחוז המבורג שבגרמניה חייבה את רשת ההלבשה בתשלום קנס רגולטורי בגובה 35,258,707.95 אירו, לאחר שאספה מידע אישי רב על מאות עובדיה במרכז שירות הלקוחות בנירנברג. בין הנתונים שנאספו מצויים פרטים אודות היעדרויות עובדים מסיבות בריאותיות ולצורך חופשות, חוויות אישיות במהלך היעדרויות אלה והשתייכות דתית, כמו גם מידע אודות ענייני משפחה שונים. החל מ-2014, שמירת מידע זה ועיבודו על ידי החברה היוו חלק מהתהליכים בהם נקטה להערכת העבודה שמבצעים עובדיה. תהליכים אלה, כמו גם המידע האישי שנאסף במסגרתם, נחשפו לכלל העובדים באוקטובר 2019, עקב טעות בקונפיגורציה של מערכות המחשוב של H&M. מאז כבר נקטה החברה באמצעים לשינוי אופן עיבוד המידע ולצמצומו, זאת על מנת לעמוד בדרישות דיני הגנת המידע. החברה אף התנצלה בפני עובדיה והודיעה כי תשלם את הקנס שהוטל עליה.    

7 שנות מאסר להאקר הרוסי שפרץ ל-LinkedIn ול-Dropbox
יבגני ניקולין הורשע בביצוע עבירות מחשב, שבגינן נגזרו עליו 88 חודשי מאסר (7 שנים ו-4 חודשים). בין מרץ ליולי 2012 פרץ ניקולין למחשביהן של שלוש חברות (השלישית הינה Formspring, שנסגרה), כשהוא משתמש בתוכנות נוזקה לשם שכפול מאגרי מידע שהכילו נתונים של יותר מ-117 מיליון משתמשי LinkedIn ו-68 מיליון משתמשי Dropbox. ניקולין אף מכר נתונים אלה לצדדים שלישיים. ההאקר, שפעל ממקום מגוריו במוסקבה, נעצר ב-2016 על ידי סוכני אינטרפול בעת נסיעה לצ'כיה. הוא הוסגר לארה"ב, שם הועמד לדין במרץ 2018. בהליכי האכיפה והעמדתו לדין של ניקולין שיתפו פעולה ה-FBI, משרד המשפטים והשירות החשאי של ארה"ב ורשויות ברפובליקה הצ'כית.

בית הדין האירופי לצדק מגביל סמכויות מדינתיות לאיסוף מידע אישי לצרכי ניטור ביטחוני

לפני חודשיים פסק בית הדין האירופי לצדק שיש לפסול באופן מיידי את ההסדר הרגולטורי להעברת מידע אישי של תושבי האיחוד האירופי לארה"ב, מחשש לשימוש לא חוקי במידע זה על ידי השלטונות בארה"ב (פרשת ״שרמס 2״, ראו גבולות נסגרים: גם לדאטה שלך). השבוע נפסקה הגבלה דומה על רשויות אירופיות, כאשר בפס"ד Privacy International ואח' קבעו השופטים שדיני הגנת הפרטיות של האיחוד האירופי אינם מאפשרים מסירת נתונים אישיים מספקי שירותי תקשורת אלקטרונית לרשויות הביטחון של ממשלות באופן בלתי מוגבל. עוד נפסק כי ניטור תושבי אירופה על ידי רשויות לביטחון לאומי חייב לעמוד, בין השאר, בדרישות של צורך ומידתיות. השלכות פסק הדין עדיין נלמדות, אך אין ספק כי ישפיעו ישירות על סמכויות הקיימות כיום בחקיקה הבריטית, הצרפתית והבלגית. 

​

עדכון למדריך הצלב האדום בנושא הגנת מידע אישי בשעת ביצוע פעולות הומניטריות

במסגרת ההגנות שקובע הדין הבינלאומי בנוגע לשימוש במידע אישי של קורבנות אסון שזוכים לסיוע הומניטרי, פרסם הצלב האדום מהדורה מעודכנת של המדריך Handbook on data protection in humanitarian action. מדריך זה מדגיש את הצורך בהיערכות ראויה של כוחות הצלה וצוותי סיוע, למניעת פגיעה בזכות לפרטיות ובכבוד האדם של הקורבנות כאשר הם עושים שימוש בנתונים ביומטריים רגישים, בתעודות זהות, בתעודות מעבר ובנתונים בריאותיים ורפואיים במסגרת מבצעים הומניטריים. נושא רגיש במיוחד בו דן המדריך הוא עיבוד מידע אישי של קטינים בשעת משבר. עוד מודגשים ההיבטים של איסוף מידע אישי בשטח, באירועי אסונות טבע, בסביבות של אלימות אזרחית ובמהלך משברים בבריאות הציבור. לאחרונה עלה גם הצורך בפתרונות חדשניים לשמירה על זכויות נשואי מידע לאור השימוש ברחפנים ובאמצעים נוספים של איסוף מידע אישי מרחוק. זאת ועוד, קיים צורך בשיתוף מערכות מידע בין גורמים רבים המטפלים בהיבטים שונים של מצבי אסון.