עדכון שבועי 09.12.2021

חוקרים מצאו 14 סוגים חדשים של תקיפת דפדפנים מסוג XS-Leak

החוקרים, משתי אוניברסיטאות בגרמניה, רשמו את התגלית במהלך בדיקה של 56 מערכות הפעלה ודפדפנים, שנועדה למצוא כמה מהם מוגנים מפני כמה עשרות של סוגי תקיפות XS-Leak. תקיפות XS-Leak מבוססות על עקיפת מנגנון ה-Same-origin policy, שמטרתו להגן על הדפדפן מתקיפות מסוגים שונים. בתקיפות XS-Leak מנסים התוקפים לזהות מידע אישי שניתן לייצוא באמצעות שליחת בקשות שונות מצד הלקוח. החוקרים הקימו אתר בשם XSinator, הבודק אם דפדפן הנמצא בשימוש מוגן מפני 34 סוגים של תקיפות XS-Leak. 

אפל מתריעה בפני 11 דיפלומטים אמריקאים על פריצה למכשיריהם הניידים באמצעות Pegasus

לדיפלומטים, אשר מרביתם מוצבים באוגנדה, נמסר כי מכשירי האייפון שברשותם נפרצו בחודשים האחרונים על ידי תוכנת הריגול של NSO הישראלית, אותה מוכרת החברה למדינות. התוכנה מאפשרת גניבה וצפייה בקבצים, הדלקת המיקרופון במכשיר הקורבן לשם ציתות לשיחות, מעקב אחר מיקום הקורבן, ולמעשה כל פעולה שהמשתמש עצמו מסוגל לבצע באמצעות המכשיר. על מנת להתקין את Pegasus נעשה שימוש בחולשת ForcedEntry על ידי לחיצה על קישור או התראה המתקבלים בטלפון. לפני כחודש הוכנסה NSO ל״רשימה השחורה״ של ארצות הברית, דבר אשר על פי חוק מונע מחברות אמריקאיות לעמוד עמה בקשרים עסקיים. כ-40% מהחברות הכלולות ברשימה זו מקורן בסין, אך מצויות בה גם חברות מרוסיה וסינגפור. לדברי NSO, המוצר Pegasus אינו יכול לפעול על מכשירי אייפון המשויכים למספר טלפון בעל קידומת אמריקאית (1+). אי לכך, נראה שהדיפלומטים שמכשיריהם נפרצו השתמשו במספרים בעלי קידומת זרה. עוד אמרה החברה הישראלית כי מראש הגדירה את המוצר ככזה המיועד לחקירת פעילותם של פושעים, של טרוריסטים ושל מי שמהווה סכנה ביטחונית, וכי מרגע שנמכרה והועברה ללקוח - אין היא מודעת לשימוש שנעשה בתוכנה ועל כן אינה אחראית להשלכות הדבר. בהצהרה שמסרה NSO לסוכנות הידיעות ״רויטרס״ נמסר כי ״אם יתברר שהפעולות המתוארות אכן בוצעו עם כלים של NSO, לקוח שביצע שימוש זה יושבת לאלתר ויהיה כפוף להליכים משפטיים״. NSO אף ציינה כי תשתף פעולה עם כל סמכות מדינית רלוונטית ותציג בפניה כל מידע שברשותה.

מרילנד: מתקפת סייבר השביתה את מחלקת הבריאות במדינה

ב-5 בדצמבר הודיעה מחלקת הבריאות של מרילנד כי תוקפים הצליחו לחדור למערכותיה, וכי בתגובה הוחלט להשבית מערכות מסוימות ולהעביר משתמשים שניסו לבקר בעמוד האינטרנט של המחלקה אל אתר האינטרנט הרשמי של מרילנד. במהלך ההשבתה, שנמשכה יממה, שירותי בריאות רבים לא היו זמינים לתושבי המדינה, בהם קביעת תורים לחיסונים, בדיקות דם, תוכניות גמילה מסמים ועוד. נכון לשעה זו, מערכות מחלקת הבריאות חזרו לפעול כשורה ולא נראה שנגנב מהן מידע רגיש.

מתקפת פישינג מתוחכמת  נגד לקוחות מיקרוסופט Office 365 

ברשומת בלוג חדשה שפרסמה חברת MailGuard דווח כי התקיפה מכוונת כנגד חשבונות משתמשים של Office 365, ובמהלכה משתמשים ההאקרים בטכניקה ייחודית: התוקפים מפיצים מייל פיקטיבי שכותרתו ״Spam Notification: 1 New Messages״ ואשר נשלח מכתובת המייל quarantine[at]messaging[.]microsoft[.]com. מייל זה מתחזה למייל שנשלח אל תיבת הדואר אך נחסם, כביכול, משום שסומן ״בשוגג״ כספאם. עוד נאמר במייל הזדוני כי אם המשתמש לא ינקוט בפעולות מסוימות, המייל ה״חסום״ יימחק כעבור 30 יום. על מנת להערים על קורבנותיהם, ההאקרים מתחזים לצוות האבטחה של מיקרוסופט, ואף מציינים בכותרת המייל את שם הדומיין של משתמש ה-Office 365 הספציפי (למשל, ״Example_Company] Adjustment: Transaction Expenses Q3 UPDATE]״). המייל הפיקטיבי מפנה את הקורבנות אל קישור מסוים שבו יוכלו, לכאורה, לבצע את הפעולות שיבטלו את חסימת המייל. בפועל, הם מופנים אל כתובת אינטרנטית בה הם נדרשים להזין את פרטי ההזדהות שלהם, שמועברים לידי ההאקרים.

צוות קונפידס ממליץ למשתמשי Office 365 לגלות ערנות מוגברת ואחריות בעת פעילות ברשת, ובעיקר להישמר מפני מיילים זדוניים (קמפייני פישינג בתיבות מייל מהווים את מתווה התקיפה הנפוץ ביותר). כמו כן, מומלץ להימנע מלחיצה על קישורים ומסמכים המצורפים למיילים שמגיעים ממקורות שאינם מוכרים, ולוודא כי פרטי הזדהות נמסרים אך ורק לאתרים מוכרים ולאחר וידוא הכתובת המופיעה בחלקו העליון של הדפדפן. לפרטים נוספים ולהנחיות לחצו כאן.

קבוצת התקיפה הרוסית המכונה Cozy Bear תוקפת גופי ממשל ברחבי העולם

הקבוצה, המוכרת גם בשמות APT29 ו-Nobelium, מקושרת למתקפות ה-SolarWinds וככל הנראה מקבלת גיבוי כלכלי מלא מהקרמלין. השבוע חזרה Cozy Bear לכותרות לאחר שחברת אבטחת המידע והמודיעין Mandiant פרסמה תחקיר מקיף על הקבוצה ועל פעילותה. Mandiant סבורה כי Cozy Bear ממקדת את פעילותה בגופים מדיניים ברחבי העולם, בהם גם צרפת, כך על פי דיווח של הסוכנות הלאומית לביטחון מערכות מידע בצרפת (ANSSI). עד כה מיוחסת הקבוצה לממשל הרוסי בעיקר על סמך טיב המסמכים אשר נגנבים במהלך פריצותיה השונות, שהם בעלי חשיבות גדולה לאינטרסים של רוסיה. את מרבית תשומת הלב מושכת אליה הקבוצה בזכות האמצעים והטכניקות המתקדמים בהם היא משתמשת, לרבות שימוש לרעה במנגנוני אבטחה דו-שלביים, התראות Push בטלפונים, הסוואת כתובות IP דרך שרתי Proxy בעלי קרבה גיאוגרפית לקורבנות ושימוש ברוגלות חדשות ומתוחכמות, כמו Ceeloader. עד כה לא זוהו מתקפות חדשות בפועל, אך Mandiant פרסמה מידע שעשוי לעזור בהתגוננות מפני פעולות הקבוצה, כגון IOCs, כלים אדמיניסטרטיביים בהם היא משתמשת וכתובות IP שמקושרות אליה.

קריפטו: 150 מיליון דולר נגנבו מלקוחות פלטפורמת המסחר BitMart

מנכ״ל החברה שלדון שיה הגיב בחשבון הטוויטר לפריצת הענק, שהתגלתה בליל ה-4 בדצמבר, באומרו כי החברה תזכה את ארנקיהם הדיגיטליים של לקוחותיה שנפלו קורבן למתקפה. מ-BitMart נמסר כי ״בתגובה לאירוע, חברת BitMart השלימה את בדיקות האבטחה וזיהתה את הנכסים אשר הושפעו מהתקרית. אירוע דלף המידע נגרם משימוש במפתח גנוב אשר היה מקושר לשני ארנקים דיגיטליים בחברתנו. יתר הנכסים בחברה לא נפגעו. BitMart תשתמש במשאבים הפיננסיים שלה לכיסוי עלויות האירוע ולפיצוי המשתמשים שנפגעו בפריצה. נוסף לכך, אנו החברה עומדת בקשר עם מספר צוותים כדי להקדיש את מירב המאמצים למציאת פתרונות למצב״.

ה-AirTag של חברת Apple משמשים גנבים להתחקות אחר רכבי יוקרה

כך דיווחה משטרת מחוז יורק הקנדי, בעקבות 5 מקרים בהם נתקלה מאז ספטמבר. הגנבים מאתרים רכבי יוקרה חונים, מחביאים בהן AirTags ואז עוקבים אחר המכוניות כשהן נוסעות למיקומן הקבוע, שם הם גונבים אותן. יכולות השידור הגבוהות של ה-AirTags מאפשרות לאתר את המוצר במהירות גבוהה ובדיוק רב. המשטרה אף המליצה על מספר צעדים שבהם ניתן לנקוט למניעת הגניבה, בהם חניה בחניון נעול, התקנת מערכת מצלמות אבטחה ברכב והתקנת מנעול על ה-Data Port, כך שהגישה למחשב המכונית תיחסם, ולא יתאפשר לגורם זר לתכנת מחדש את מפתחות הרכב.

הבוטנט Moobot מתפשט באגרסיביות בנצלו חולשה קריטית המאפשרת הזרקת קוד מרחוק במוצרי Hikvision

החברה, הנמצאת בבעלות ממשלת סין, מייצרת מצלמות מעקב וציוד אחר שממשלת ארה"ב הטילה עליו סנקציות עקב ניצול והפרה של זכויות אדם. החולשה (CVE-2021-36260, CVSS 9.8) מאפשרת לתוקפים לבצע מתקפת XXE במוצרי החברה ללא צורך באימות השולח, ולהריץ בקלות יחסית פקודות מרחוק על שרתים המכילים את התוכנה המפעילה את המוצרים. ניצול החולשה על ידי Moobot מתבצעת באמצעות שליחת פקודה למוצרים המורה להם להוריד קובץ בשם המטעה macHelper, אשר מדביק את המערכת בנוזקה של Moobot, גונב מידע רגיש ומאפשר תקשורת דרך שרת C2 לשליטה מלאה על המערכת, בהמתינו ליום פקודה. מטרתו העיקרית של Moobot היא להשתמש במערכות שנדבקו למתקפות מניעת שירות (DDoS), כאשר באמצעות שרת ה-C2 התוקפים יכולים לשלוח פקודה אל כל המערכות המודבקות, על מנת שתבצענה תעבורת רשת אל עבר מטרה מסוימת. כל שדרוש לשם כך הם ה-IP וה-Port של המטרה. למרות ש-Hikvision פרסמה עדכון לחולשה עוד בספטמבר, מערכותיכם של משתמשים שלא מיהרו להתקין את העדכון נותרו פגיעות. בתוך כך, חוקרים מחברת Fortinet שחקרו את תעבורת הרשת של Moobot הצליחו לאתר ערוץ טלגרם המציע שירותי DDoS באמצעות הבוטנט. Moobot כבר נצפה בעבר מנצל חולשות קריטיות במכשירי אינטרנט, לראשונה בחודש פברואר השנה.

​