עדכון שבועי 16.12.2021

עיקרי הדברים

1. Log4j: החולשה הקריטית שמשגעת את העולם - אלפי תקיפות ברחבי העולם עושות שימוש בחולשה; איראן משתמשת ב-Log4j כדי לתקוף חברות בישראל.

2. השבוע הוא שבוע הסייבר הלאומי: ראש הממשלה נפתלי בנט אמר כי ״ישראל מאוד חזקה בסייבר, אבל צריך לדעת שגם האיומים כלפי ישראל גוברים כל העת״; בתרגיל פישינג שקיים המערך נפלו עשרות אלפי ישראלים בפח. 

3. Google מציגה ניתוח של שיטת ההדבקה של מכשירי Apple על ידי קבוצת NSO.

4. ארה״ב: מחסור במוצרי גבינה עקב מתקפת כופרה על ענקית מוצרי החלב Schreiber; ענקית ניהול משאבי האנוש UKG מדווחת על אירוע כופרה שהשבית את פעילותה. חשש שמשכורות לא ישולמו בזמן.

5.  אנו ממליצים לעדכן את המוצרים הבאים: ספריית Log4j בפרויקט Apache (קריטי); מוצרי ושרתי מיקרוסופט (קריטי); מוצרי SAP (קריטי); דפדפן Google Chrome (קריטי); מוצרי Apple (גבוה); Zoom Clients (בינוני); מוצרי Adobe.

תוכן עניינים

הציטוט השבועי

איפה אפשר לקרוא את הדוחות

חולשות חדשות

Log4j: החולשה הקריטית שמשגעת את העולם
עדכוני אבטחה למגוון מוצרי Apple
עדכון אבטחה ל-Google Chrome נותן מענה ל-4 חולשות בדרגת חומרה גבוהה ולחולשה אחת קריטית
עדכוני אבטחה למוצרי SAP נותנים מענה ל-11 חולשות במוצריה, 6 מהן בדרגה קריטית
עדכון אבטחה ל-Zoom Clients נותן מענה לחולשות המשפיעות על משתמשי הקצה בכל מערכות ההפעלה
עדכוני אבטחה ל-11 מוצרים של Adobe
עדכון האבטחה החודשי למוצרי ושרתי מיקרוסופט נותן מענה ל-76 חולשות, בהן 6 חולשות Zero-day

התקפות ואיומים

ארה״ב: מחסור במוצרי גבינה עקב מתקפת כופרה על ענקית מוצרי החלב Schreiber
AWS: שיבושים בקבלת שירותי החברה
Volvo: מידע נגנב ממחלקת ה-R&D של החברה
Google מציגה ניתוח של שיטת ההדבקה של מכשירי Apple על ידי קבוצת NSO
חולשות בתוספי WordPress חשפו יותר ממיליון וחצי אתרים למתקפה
ה-World Economic Forum פרסם טבלה המסייעת לקבוע חוזק של סיסמאות
קבוצת תקיפה איראנית תקפה עשרות חברות תקשורת בחצי השנה האחרונה
מודול לשרתי IIS המריצים את ה-Outlook Web App התגלה כזדוני
קבוצת תקיפה המזוהה עם איראן תקפה חברת תעופה אסיתית באמצעות אפליקציית המסרים Slack

השבוע בכופרה

ברזיל: משרד הבריאות חווה מתקפת כופרה ודלף מידע
מרכז אבטחת הסייבר האוסטרלי פרסם אזהרה לגבי קבוצת הכופרה Conti, לאחר שפגעה במספר ארגונים במדינה
קבוצת ההאקרים המסתורית Karakurt עולה אל פני השטח
היורופול סייע ל-FBI ולמשטרת רומניה לעצור שותף של קבוצת כופרה
חברת UKG מדווחת על אירוע כופרה שהשבית את פעילותה

סייבר בישראל

תרגיל פישינג של מערך הסייבר הלאומי הפיל עשרות אלפי ישראלים בפח

סייבר בעולם

המרכז הקנדי להגנת סייבר מפרסם מסמך בנוגע להגברת המודעות למתקפות כופר ולהתמודדות עמן
דוח של ה-CyberPeace Institute מנתח מתקפות כופרה על הסקטור הרפואי
סין: לוויין קוואנטי ינהל ויאבטח את תשתית החשמל במדינה מהחלל

סייבר ופרטיות - רגולציה ותקינה

הדוח הסופי של הכנס השנתי של הפורום למשילות האינטרנט: כ-60% מאוכלוסיית העולם מחוברת לאינטרנט
בריטניה מציגה אסטרטגיה לאומית להגנת סייבר הכוללת הגנה מפני איומים מדינתיים

כנסים

הציטוט השבועי

״אנו מעריכים שזהו אחד הניצולים המתוחכמים ביותר מבחינה טכנית שראינו אי פעם, המוכיח עוד יותר שהיכולות של NSO משתוות ליכולות שנחשבו בעבר כנגישות רק למעט מדינות.״ 

​

איאן ביר וסמואל גרוס מ-Google Project Zero, בנוגע לניתוח שיטת ההדבקה של Pegasus 

ארה״ב: מחסור במוצרי גבינה עקב מתקפת כופרה על ענקית מוצרי החלב Schreiber

החברה האמריקאית, המשווקת את מוצריה לרשתות מזון מהיר, חוותה במהלך חודש אוקטובר מתקפת סייבר שגרמה להשבתת מערכותיה משך שבוע שלם, זאת לצד דיווחים על דרישת כופר בסך 2.5 מיליון דולר. לדברי החברה היא שכרה את שירותיו של צוות תגובה חיצוני ולאחר מספר ימים הצליחה להחזיר את מערכותיה לפעולה ושבה לתפקוד מלא. כעת, יותר מחודש לאחר המתקפה, מתבררות השלכות נוספות של האירוע, כשארה״ב סובלת ממחסור חמור בגבינת שמנת, בתקופת השיא של צריכת המוצר. מן החברה נמסר כי באוקטובר ירד קצב ייצור גבינת השמנת ב-6.9% לעומת התקופה המקבילה אשתקד, בעוד שצריכת המוצר עלתה ב-18% לעומת התקופה המקבילה.

AWS: שיבושים בקבלת שירותי החברה
ב-7 בדצמבר התבצעה פעילות אוטומטית לשם הגדלת הקיבולת של אחד משירותי הווב של אמאזון המתארחים ברשת הראשית של AWS. הפעולה גרמה להתנהגות בלתי צפויה, שהביאה בתורה לעיכובים בתקשורת בין השרתים ברשת הפנימית של החברה, בה מתארחים שירותים בסיסיים, בהם ניטור ו-DNS, לבין שרתיה הראשיים, בהם מתנהלים רוב שירותי החברה. בעקבות העיכובים התקבלו שגיאות עבור שירותים המתבצעים תוך תקשורת בין הרשתות, מה שגרם לעלייה בנסיונות ההתחברות החוזרים. הדבר הוביל לעומס מתמשך ולבעיות בביצועיהם של מכשירים המחברים בין הרשתות, ואף השפיע באופן מיידי על זמינותם של נתוני הניטור בזמן אמת. עקב כך, חלק מלקוחות החברה חוו שיבושים בקבלת שירותיה. בהועדה שפרסמה AWS מסרה כי ״אנו מתנצלים על השפעת האירוע על לקוחותינו. בעוד שאנו גאים בזמינות שלנו, אנו מודעים לעבודה שהשירותים שלנו הינם קריטיים ללקוחתינו, לאפליקציות שלהם, לעסקיהם ולמשתמשיהם״. עוד הבטיחה החברה שתעשה כל שביכולתה על מנת ללמוד מהאירוע ולשפר את זמינותה בעתיד.

Volvo: מידע נגנב ממחלקת ה-R&D של החברה

יצרנית הרכב השבדית הצהירה ב-10 בדצמבר על הגניבה שהתרחשה מאחד ממאגריה, המכיל מידע הנוגע למחקר ופיתוח, זאת לאחר שזיהתה גישה לא-מורשית למספר שרתים. עוד נמסר כי החברה מבצעת חקירה עצמאית ביחד עם מומחה צד ג׳ אודות המידע שנגנב, וכי הממצאים מצביעים על כך שאין סכנה לביטחון ולפרטיות של לקוחות Volvo. עם זאת, תיתכן השפעה מסוימת על פעילות החברה. על התקיפה קיבלה אחריות כנופיית הכופרה Snatch, אשר ב-30 בנובמבר העלתה לאתרה 35.9MB של מסמכים אשר מכילים, לטענתה, את המידע שנגנב מ-Volvo. אופן הפעולה של הכנופייה, הפעילה מ-2018, הוא אתחול עמדת ה-Windows הנתקפת במצב Safe Mode, הרצת הנוזקה במקביל כשירות Windows והצפנת קבצי הקורבן שבכוננים הקשיחים. ייתכן והשימוש בטכניקה זו נועד לעקוף את מנגנוני ההגנה המותקנים על העמדה, אשר אינם מופעלים כאשר המחשוב מצוי במצב Safe Mode.

Google מציגה ניתוח של שיטת ההדבקה של מכשירי Apple על ידי קבוצת NSO
מניתוח של מכשיר טלפון נייד השייך לפעיל סעודי שנדבק בנוזקת Pegasus של NSO, עלה Exploit המנצל חולשת (Zero-day Zero-click (CVE-2021-30860, CVSS 6 בתוך אפליקציית ה-iMessage של Apple. ה-Exploit לחולשה, שקיבל את השם FORCEDENTRY, מתבסס על ספריית עיבוד התמונות של Apple והתגלה כאפקטיבי גם בשעוני Apple חכמים ובמערכת ההפעלה OSX Big Sur. החוקרים קבעו כי קבוצת NSO ניצלה את החולשה מרחוק כדי להדביק מכשירי Apple בנוזקת Pegasus עוד מפברואר השנה. בתוך כך, Citizen Lab דיווחה על החולשה ל-Apple, אשר ב-13 בספטמבר פרסמה עדכון שנתן לה מענה. המכשירים הפגיעים לחולשה הם כל מכשירי האייפון עם מערכת הפעלה הקודמת ל-iOS 14.8, כל מכשירי ה-Mac עם גרסאות מערכת הפעלה הקודמת ל-OSX Big Sur 11.6 וכל שעוני Apple החכמים עם גרסה הקודמת ל-watchOS 7.6.2. חולשת Zero-click היא חולשה שאינה דורשת אינטראקציה מצד הנתקף, זאת בשונה מחולשות אחרות שנוצלו על ידי קבוצת NSO, אז נדרשו הנתקפים ללחוץ על קישור כלשהו או לבצע פעולה מסוימת. קבוצת NSO נקשרה בעבר לניצול חולשה נוספת מסוג Zero-click ב-WhatsApp בשנת 2019 (CVE-2019-3568, CVSS 9.8) ובשנת 2020 לניצול חולשה ב-iMessage, החולשה האחרונה לא פורסמה בפומבי, אך החוקרים מאמינים כי כבר לא ניתן לנצלה בעקבות שחרור עדכון של Apple לגרסאות iOS 14, שהציג לראשונה את שירות ה-BlastDoor, מערכת אבטחה שנועדה לאמת את אמינות ההודעות המתקבלות ב-iMessage. מכיוון שמתווה התקיפה הראשוני של נוזקת Pegasus מתבסס על אפליצקיית ה-iMessage, כל שהתוקף זקוק לו הוא מספר הטלפון הנייד של הקורבן או שם המשתמש של ה-AppleID שלו. חולשת ה-FORCEDENTRY, שהוצגה לראשונה בספטמבר, מנוצלת על ידי שליחת קבצים בעלי הסיומת gif דרך iMessage, זאת למרות שאינם באמת קבצי GIF אלא קבצי PDF, שבתוכם מוטמע קוד זדוני. קבצים בעלי סיומת gif המגיעים ל-iMessage עוברים לספריית עיבוד התמונות, כאשר עיבוד קובץ ה-PDF המכיל קוד זדוני על ידי הספרייה עלול לגרום להרצת הקוד, ובכך לאפשר לתוקף להתקין על המכשיר את הנוזקה Pegasus, ללא ידיעת הנתקף.

צוות קונפידס ממליץ למשתמשים במוצרי Apple לעדכנם בהתאם להוראות היצרן, ולעקוב אחר עדכוני אבטחה עתידיים.

חולשות בתוספי WordPress חשפו יותר ממיליון וחצי אתרים למתקפה

לדברי חברת Defiant, המתמחה באבטחת אתרי WordPress, כ-1.6 מיליון אתרים היוו בימים האחרונים מטרה לתקיפות, אשר הגיעו מכ-16,000 כתובות IP שונות. ואולם, מניינים אלה מתייחסים רק לכתובות שנוטרו במתקפות על אתרים שלהם מספקת Defiant שירותי הגנה, כך שבפועל נראה שמספר כתובות ה-IP מהן בוצעו תקיפות ומספר האתרים שנתקפו גדולים בהרבה. התוקפים זיהו חולשות ב-4 תוספים וב-15 ערכות נושא בהם משתמשים האתרים שהותקפו. החולשות איפשרו לשנות את הגדרת ה-users_can_register, להירשם לאתרים כמשתמשים חדשים עם הרשאות אדמין ובכך להשתלט עליהם בקלות. עם זאת, החולשות שנוצלו מצויות רק בגרסאות התוספים וערכות הנושא שאינן עדכניות, כאשר לכל המוצרים הפגיעים קיים עדכון, למעט לערכת הנושא NatureMag Lite.

צוות קונפידס ממליץ למשתמשי ערכת הנושא להסירה מהאתר עד להפצת עדכון אבטחה שיתקן את החולשות שהתגלו בה, ולמשתמשי המוצרים הפגיעים האחרים לעדכנם לגרסאותיהם האחרונות.

ה-World Economic Forum פרסם טבלה המסייעת לקבוע חוזק של סיסמאות 

הטבלה, המציגה כמה זמן ייקח למחשב לנחש סיסמאות, קובעת, בין היתר, שלמרות שישנם 209 מיליארד צירופים אפשריים להרכבת סיסמה מ-8 אותיות ״קטנות״, מחשב יוכל לנחש סיסמה כזו באופן מיידי. הוספת אות ״גדולה״ אחת לסיסמה תאריך את זמן הניחוש לכדי 22 דקות. לעומת זאת, סיסמה בת 12 תווים המכילה לפחות אות גדולה אחת, סימן מיוחד אחד וספרה אחת תקשה מאוד על ניחושה ותאריך את זמן החישוב לכ-34,000 שנים.

​

​

​

​

​

​

​

​

​

​

                                                                                                           (מקור תמונה: Security.org)

קבוצת תקיפה איראנית תקפה עשרות חברות תקשורת בחצי השנה האחרונה

מתחקיר שפרסמה חברת Symantec עולה שבחצי השנה האחרונה התנהל קמפיין ריגול ותקיפה של עשרות חברות תקשורת במזרח התיכון ובאסיה. צוות המחקר אסף מידע וראיות מתקיפות שונות שהתרחשו בישראל, בירדן, בכווית, בערב הסעודית, באיחוד האמירויות, בפקיסטן, בתאילנד ובלאוס, ולמרות שזהות התוקפים לא אושרה באופן חד-משמעי, נמצא שבחלק מהאירועים נעשה שימוש בכלים העשויים להצביע על קבוצת התקיפה האיראנית Seedworm (הידועה גם כ-MuddyWater). עוד נמצא כי הקבוצה נוהגת לגנוב סיסמאות ולנוע רוחבית ברשת המותקפת, וכי היא מגלה עניין רב בשרתי Exchange, בהם היא מקימה Backdoors. החוקרים משערים שהתוקפים משתמשים בחברות אליהן הצליחו לפרוץ כ״גשר״ לחברות אחרות, ואף טוענים כי קיימת אפשרות שחלק מהחברות הותקפו רק על בסיס קשריהן לחברות אחרות. עד כה לא זוהתה נקודת התחלה עבור אף אחת מהתקיפות, אך באחת מהן נמצא קובץ ZIP שככל הנראה הגיע אל המחשב באמצעות מתקפת פישינג, ואשר הכיל בתוכו קובץ התקנה של ScreenConnect (אחד מכלי השליטה מרחוק בהם השתמשה Seedworm בעבר). בתקיפה אחרת, שהתרחשה באוגוסט השנה, ה-IOC הראשון היה יצירת Service המריץ Windows Script File) WSF). התוקפים השתמשו בסקריפטים מסוג זה בעיקר על מנת לאסוף מידע ולסרוק רשתות. לאחר מכן נעזרו ב-eHorus, שהינו כלי נוסף לשליטה מרחוק, על מנת להתקין ולהפעיל כלים כמו Mimikatz ו-Ligolo, המשמשים לביצוע Tunneling.

​

מודול לשרתי IIS המריצים את ה-Outlook Web App התגלה כזדוני

במהלך חיפוש שערכו חוקרי אבטחת מידע של חברת Kaspersky אחר שתלים זדוניים המכוונים אל שרתי Exchange של Microsoft, זוהה קובץ בינארי שהועלה לקראת סוף 2020 למערכת סריקה רב-מערכתית. לאחר ניתוח ראשוני של הקוד הצליחו החוקרים לקבוע כי מדובר במודול לשרתי IIS שמטרתו לגנוב פרטי התחברות ולהפעיל את האפשרות להריץ קוד מרוחק על (OWA (Open Web App. המודול הזדוני, שהחוקרים העניקו לו את הכינוי Owowa, פותח, ככל הנראה, בין סוף 2020 לאפריל 2021, והוא בנוי בצורה שנועדה להטמעתו בשרתי IIS אשר מקבלים פרטי התחברות ממשתמשים דרך OWA, ואשר תאפשר הרצת קוד מרחוק על השרת המארח. פעולתו של המודול מתבססת על סריקת בקשות HTTP שנשלחות ומתקבלות בשרת ה-Exchange, כאשר הוא מצפין את פרטי ההתחברות ושומר אותם בתוך קובץ Log מסוים, C:\Windows\Temp\af397ef28e484961ba48646a5d38cf54.db.ses, שנועד לפרטי התחברות של משתמשים שהצליחו לאמת עצמם מול השרת. המודול יודע לוודא זאת על ידי סריקה של ה-HTTP Response מצד השרת אל המשתמש. מחקירת קוד המקור של המודול נראה כי תוקף יכול לתקשר עמו על ידי הזנת ערכים שהמודול יודע לזהות בשדה המיועד להקלדת שם המשתמש בדף ההתחברות, ועל ידי כך לקבל פרטים מהשרת במקום השגיאה הרגילה המתקבלת כאשר מוזן שם משתמש שגוי. למשל, אם התוקף יזין את הערך jFuLIXpzRdateYHoVwMlfc - המודול יחזיר אליו את קובץ ה-Log המוצפן בצורת קידוד של Base64. יכולת הרצת הפקודות המרוחקות מתרחשת אף היא באופן זהה, כאשר התוקף מזין בשדה המיועד לשם המשתמש בדף ההתחברות את הערך dEUM3jZXaDiob8BrqSy2PQO1. בקבלת ערך זה המודול יודע להריץ את כל מה שנמצא בשדה הסיסמה בדף ההתחברות בתוך PowerShell. גם כאן התוצאה המתקבלת ב-PowerShell מוצפנת ומוחזרת אל התוקף בקידוד של Base64. המודול הזדוני Owowa פותח בצורה יסודית וייחודית, המאפשרת לתוקף גישה מלאה אל השרת הפגיע. נכון לשעה זו חוקרי Kaspersky זיהו מספר שרתים באסיה שנדבקו בו וסבורים כי הוא מצוי גם בשרתים באירופה. למרות שטרם נמצא קשר ישיר אל קבוצת תקיפה מסוימת, נראה שהתוקף לא הצליח למחוק את עקבותיו כליל: בחקירת הקובץ נמצא שם משתמש אשר ככל הנראה מקושר לפיתוח המודול, S3crt, כאשר משתמשים עם שם זהה נמצאו בפורומים המעידים על תחומי העניין של אותו משתמש בטכניקות האקינג שונות. זאת ועוד, באתר Keybase אותר משתמש בשם זהה המכיל תיקייה עם קוד המקור של כלי התקיפה Cobalt Strike, שכנראה כי הודלף בנובמבר 2018. טרם התברר מתווה התקיפה הראשוני שנועד להטמעת המודול בשרתי IIS פגיעים, אך פורסמו IOCs ששויכו בחקירה אל Owowa.

​

קבוצת תקיפה המזוהה עם איראן תקפה חברת תעופה אסיתית באמצעות אפליקציית המסרים Slack

מדוח שפרסם השבוע צוות IBM Security X-Force עולה כי התקיפה, שאירעה במרץ 2021, התבססה על תקשורת Backdoor דרך האפליקציה, תוך שימוש שעשו התוקפים בשפת כתיבת סקריפטים המכונה ב-IBM בשם Aclip. על פי הדוח, התוקפים יצרו שרת C2 המנצל את ה-API של Slack לקבלת פקודות ולשליחת מידע, וכן Workspaces ו-Channels להעברת מסרים ב-Slack, אשר נשלטו על ידי התוקפים ושימשו אותם לקבלת מידע מהמערכות (צילומי מסך וקבצים, למשל) ולביצוע פקודות במערכות דרך שרת ה-C2. נראה כי מאחורי המתקפה המתקפה עומדת MuddyWater האיראנית (המכונה גם Seedworm), אשר קורבנותיה הם בעיקר חברות בתחומי התקשורת, ה-IT והדלק במזרח התיכון, באירופה ובארצות הברית.

השבוע בכופרה

ברזיל: משרד הבריאות חווה מתקפת כופרה ודלף מידע

קבוצת התקיפה Lapsus$ Group הודיעה השבוע כי הצליחה לגנוב 50TB של מידע ממערכות המשרד ולהצפין את מחשבי רשת הארגון על מנת לגבות דמי כופר. בתגובה פרסם המשרד כי ברשותו גיבויים איכותיים של המידע וכי לא אבדו נתונים חשובים אודות אזרחים. לרוע מזלם של אזרחי ברזיל, התקיפה שאירעה השבוע הגיעה לאחר אירוע נוסף של דלף מידע שהתרחש במדינה בשנה שעברה, אז עובד בית חולים העלה לרשת מידע אישי של יותר מ-16 מיליון מחוסני קורונה ברזילאים.

מרכז אבטחת הסייבר האוסטרלי פרסם אזהרה לגבי קבוצת הכופרה Conti, לאחר שפגעה במספר ארגונים במדינה

באחד המקרים פגעה Conti בחברת Frontier, האחראית על חלוקת משכורות למספר גופים ממשלתיים במדינה. בהודעה שהוציא משרד שר האוצר של דרום אוסטרליה נמסר כי בעקבות מתקפת הכופרה, ייתכן וכ-80 אלף רשומות של עובדי ממשל מוחזקות בידי Conti ומצויות בסיכון להדלפה, בהן מידע הכולל שמות, כתובות מגורים ופרטי חשבונות בנק. בדוח שפרסם מרכז אבטחת הסייבר האוסטרלי מופיעות פעולות שבהן מומלץ לארגונים לנקוט על מנת לאבטח את מערכותיהם ורשתותיהם ולהיערך למתקפות מסוג זה. הכופרה Conti זוהתה לראשונה בתחילת 2020 והיא משמשת כ-RaaS (נוזקה כשירות) בידיהם של קבוצות ותוקפים רבים, המנצלים חולשות בתוכנות שאינן מעודכנות ובפתרונות גישה מרחוק על מנת להשיג גישה לרשתות פנימיות. הכופרה חוסמת גישה לקבצים ולמערכות על ידי הצפנתם לפורמט נעול ובלתי שמיש, ופוגעת בחברות ובארגונים רבים במגוון סקטורים.

קבוצת ההאקרים המסתורית Karakurt עולה אל פני השטח

הקבוצה, שנהגה לחמוק מתחת לרדאר, ואשר נצפתה בעבר פועלת במגזר הפיננסים, הגבירה את תקיפותיה במהלך הרבעון השלישי של 2021 ונראה כי גם ברבעון הנוכחי היא ממשיכה בהרחבת פעילותה. Karakurt זוהתה לראשונה ביוני 2021, אז רשמה שני דומיינים המקושרים לפעילותה, ובאוגוסט פתחה חשבון טוויטר תחת שם המשתמש karakurtlair. חברת Accenture Security, המדווחת כעת על מעללי הקבוצה, היא זו שהבחינה בה לראשונה, כאשר התגלתה כמות גדולה של מתקפות בעלות איפיונים המקשרים את התקיפות אל הקבוצה בפרק זמן קצר יחסית. לדברי Karakurt, עלה בידיה לפגוע ביותר מ-40 קורבנות במגוון סקטורים ותעשיות במהלך החודשים ספטמבר-נובמבר, כאשר עיקר עיסוקה הוא בגניבת מידע רגיש ואישי ובסחיטת הקורבנות, זאת בשונה ממתקפות הכופר ההרסניות המתרחשות ברחבי העולם, הכוללות הצפנת מידע. מ-Accenture Security נמסר כי זיהתה שינויים והתאמות בטקטיקות בהן משתמשת Karakurt, בהתאם למטרה שעל הכוונת, דבר המקשה על זיהוי הכלים ודרכי הפעולה שלה על ידי מערכות ההגנה של הארגונים הנתקפים. נכון לשעה זו, נראה כי תשתית התקיפה של Karakurt הייתה מקושרת בעבר לתוקפים אחרים, וכי כיום היא פועלת ללא שותפים. לאור כמות האיומים המתגברת מצד הקבוצה, נראה כי זוהי רק ההתחלה של התרחבות מתקפותיה.

היורופול סייע ל-FBI ולמשטרת רומניה לעצור שותף של קבוצת כופרה

הדבר פורסם על ידי היורופול ב-13 בדצמבר ללא ציון שם הקבוצה, דבר אשר ממנו ניתן להסיק כי ככל הנראה מדובר בכנופיית REvil, ששניים משותפיה נעצרו ברומניה בתחילת נובמבר. לדברי היורופול, השותף שנעצר כעת חשוד כי תקף חברת IT גדולה שפועלת ברומניה ומחוצה לה, תוך גנבה והצפנת מידע פיננסי, פרטי עובדים ומסמכים חשובים השייכים לחברה. עוד חשוד העצור כי איים להדליף את המידע בפורומים שונים במידה ודרישות הכופר שהציג לא תקבלנה מענה. 

חברת UKG מדווחת על אירוע כופרה שהשבית את פעילותה

ענקית ניהול משאבי האנוש האמריקאית אישרה כי המתקפה השפיעה על ה-(Kronos Private Cloud (KPC, שאחראי על מספר שירותים בהם משתמשים לקוחותיה לניהול עובדים ומשכורות. עוד מסרה החברה כי היא עובדת על פתרון האירוע ביחד עם מומחים בתחום הסייבר, וכי דיווחה עליו לרשויות כנדרש. לדברי UKG, כל המוצרים הנוגעים ל-KPC אינם זמינים, ויחלפו מספר שבועות עד שישובו לפעילות תקינה. נכון לשעה זו, לא ידוע על מידע אישי שנגנב או הודלף בתקרית.

​

סייבר בישראל

תרגיל פישינג של מערך הסייבר הלאומי הפיל עשרות אלפי ישראלים בפח

במסגרת התרגיל נשלחו ב-12 בדצמבר יותר מ-80 אלף הודעות מזויפות לעובדים בארגונים שונים. 40% מהם לחצו על הקישור המזויף, שהפנה אותם להסבר אודות התרגיל. דוגמה למלל הודעת פישינג שנשלחה: ״שלום, אותרה פעילות חריגה בכרטיס האשראי שלך, במידה ואתה ביצעת אותה, התעלם מהודעה זו. במידה ולא נא עדכן בקישור המצורף. http://lp6.me/PM0HB״. לחיצה על הקישור הובילה לעמוד נחיתה בו נכתב: ״אופס! פרטי האשראי שלך לא כאן… השתתפת בתרגיל דיוג (פישינג) של מערך הסייבר הלאומי בשיתוף עם מערך ביטחון מידע בצה״ל. אין ללחוץ על קישורים הנראים חשודים, בקבלתך קישורים אלה נא לפנות לגורמי ביטחון מידע״ (ראו תמונה להלן). עוד צוין בעמוד הנחיתה כי ״אם באמת היינו מתחזים, היית מגיע לעמוד מתחזה שעשוי להיראות אמין מאוד״, לצד דוגמה לעמוד סליקת אשראי מדומה. נוסף על כך, מערך הסייבר הלאומי אף הציג בפני לוחצי הקישור 5 סימנים מחשידים לזיהוי פישינג, בהם נוסח חובבני של ההודעה, כתובת אתר או מייל שאינם רשמיים או כוללים שגיאות, בקשה להזנת פרטים אישיים בקישור או להורדת תוכנה, יצירת לחץ ותחושת דחיפות והבטחה לפרס או שימוש בפיתוי.  יגאל אונא, ראש מערך הסייבר הלאומי, אמר במסגרת שבוע הגנת הסייבר, המתקיים השבוע, כי "ככל שעושים יותר פעולות פיננסיות בדיגיטל, כך הגורמים הרעים מנסים לנצל זאת. יש להיות ערניים - אם מקבלים הודעה חשודה, עם טעויות בעברית, הסמל במקום הלא נכון ובלי פנייה ישירה - צריך לבדוק אם היא אמיתית". נפתלי בנט, ראש ממשלת ישראל, אמר באותו מעמד כי ״ישראל מאוד חזקה בסייבר ואנחנו רק הולכים ומתחזקים, אבל צריך לדעת שגם האיומים כלפי ישראל הולכים וגוברים״. לדבריו, עלינו להיות ממוקדים וערניים נוכח ניסיונות לדלות פרטים על אזרחי ישראל. הוא קרא לאזרחים לשים לב לסימנים חשובים במרחב הסייבר ולעקוב אחר הנחיות מערך הסייבר הלאומי, שיש ביכולתן לסייע לזהות מתקפות סייבר ואתרים מתחזים בזמן אמת. ״כשיש הוראות של מערך הסייבר צריך להקשיב להן,״ אמר. ״ראינו שבמקרים שלא הקשיבו להן יש חברות מסוימות שחטפו.״

​

​

​

​

​

​

​

​

​

​

​

(מקור: מערך הסייבר הלאומי)

​

סייבר בעולם