עדכון שבועי 17.02.2022

העימות במזרח-אירופה: עשרות חברות, בנקים ומשרדי ממשלה באוקראינה נפגעו בתקיפות סייבר המיוחסות לרוסיה

בצל המלחמה העלולה לפרוץ בין שתי המדינות, נראה כי הלוחמה במימד הסייבר יצאה לדרך. השבוע דווח באוקראינה על עשרות גופים שחוו מתקפות סייבר, רובן מסוג DDoS (מניעת שירות), כאשר בציוץ של משרד הביטחון האוקראיני בטוויטר נכתב כי ״אתר משרד הביטחון האוקראיני ספג כנראה מתקפת DDoS: נרשמה כמות מופרזת של בקשות לשנייה". עוד נפגעו במתקפות האפליקציות הבנקאיות Privat24 ,Oshchadbank 24/7 ו-Monobank, ואתרי הצבא ושירות הביטחון האוקראינים. על פי דיווח של המרכז לתקשורת אסטרטגית, שהינו גוף הסברתי שהוקם על ידי הממשלה המקומית, גל מתקפות הסייבר שפקד את המדינה במהלך השבוע הוא הגדול ביותר בהיסטוריה של אוקראינה והתאפיין, בין היתר, במתקפות UDP flood ,SYN flood ,MAC flooding ו-DNS Amplification. המתקפות ארכו שעות בודדות ומרבית הארגונים שבו לשגרת פעילותם תוך זמן קצר. על פי ההערכות, מטרת התקיפות הייתה מפגן כוח של גורמים חיצוניים. בתוך כך, על פי דיווח של שירות הביטחון האוקראיני, שתי חוות בוטים שנמצאו בעיר לבוב ותפעלו כ-18,000 חשבונות ברשתות החברתיות נתפסו ונסגרו. לדברי שירותי הביטחון, החוות שימשו בעיקר להפצת מידע כוזב ברשתות החברתיות על מנת לעורר פחד בקרב תושבי המדינה, כדוגמת הדיווח לכאורה בטוויטר של מחלקת הסייבר של משטרת אוקראינה על הודעות SMS המתריעות מפני כשלים טכניים בכספומטים. עוד נמסר משירותי הביטחון כי במהלך הפשיטה על החוות נתפסו גם כ-3,000 כרטיסי SIM ששימשו את מפעיליהם להפצת מידע באמצעו מסרונים.

ספרד: המשטרה עצרה כנופייה החשודה בגניבת כספים מחשבונות בנק באמצעות גניבת SIM

8 חשודים שפעלו מאזור קטלוניה נעצרו בסוף השבוע שעבר בחשד לגניבת זהויות וכספים מחשבונות בנק ברחבי המדינה. מהמשטרה נמסר כי החשודים זייפו מסמכים רשמיים, הזדהו בפני הקורבנות כנציגי בנק על מנת להשיג מידע רגיש שבאמצעותו רימו חברות סלולר, והתחזו לקורבנות עצמם בבקשם לבצע החלפת כרטיס SIM. משבוצעה ההחלפה, התוקפים התחברו לחשבונות הבנק של הקורבנות, דבר אשר לרוב דורש הקשת קוד שנשלח אל הטלפון הנייד, או במקרה הזה - אל מכשיריהם של התוקפים, עם כרטיסי ה-SIM החדשים. באופן זה הצליחו חברי הכנופייה להשתלט על חשבונות הבנק והחלו לרוקן אותם. עד כה הוקפאו 12 חשבונות שנפרצו, לאחר שנאספו ממצאים המעידים על ניסיון להלבין את הכספים על ידי העברות בנק רבות ושימוש באמצעי תשלום דיגיטליים.  

​

חוקרי אבטחת מידע של Secureworks מייחסים את הנוזקה ShadowPad לקבוצות תקיפה הקשורות לממשל הסיני

נוזקת ה-RAT, שהופצה באמצעות קבוצת התקיפה הסינית BRONZE ATLAS עוד משנת 2017, התפשטה למספר גדול של קבוצות תקיפה סיניות אחרות, ומ-2019 שימשה במתקפות נגד ארגונים במספר מגזרים עסקיים. ShadowPad נטענת אל זיכרון המערכת, מוצפנת באמצעות אלגוריתם ייחודי ומפוצחת בעת הרצתה על מנת לחמוק ממערכות הגנה. בהמשך, ShadowPad מחלצת מידע אודות מערכת ההפעלה ומסוגלת להריץ עליה פקודות ולבצע פעולות בקבצי מערכת ועריכה של מפתחות וערכי Registry. טעינת הנוזקה מנצלת חולשה בשירותים במערכת ההפעלה, הפגיעים למתקפת DLL Hijacking. באופן זה מתאפשר לה לטעון את עצמה ״בשקט״, עם הרשאות גבוהות. בתוך כך, יש הקושרים את פעילות הנוזקה לתנועות של פעילים פוליטיים.

​

Fortinet מזהירה מפני קמפיין של Moses Staff נגד ארגונים ישראליים המנצל חולשות בשרתי דואר של מיקרוסופט

לפי מחקר שפרסמה החברה, התקיפות - שנמשכות מזה מספר חודשים - מתמקדות במערכת ההפעלה Windows. במהלך השנה האחרונה מנעה FortiEDR התקפות מרובות שניסו לנצל חולשות בשרתי Microsoft Exchange, בהן אותו קמפיין שהופעל על ידי קבוצת ״מטה משה״, הפועלת ממניעים גיאו-פוליטיים, ככל הנראה בחסות הממשל האיראני. קמפיין זה מכוון אך ורק כלפי ארגונים ישראליים, ובחינה מדוקדקת שלו מעלה כי הקבוצה פעילה כבר יותר משנה ומתאפיינת בפעילות ״מתחת לרדאר״, עם קצב זיהוי נמוך במיוחד. מן המחקר של Fortinet עולה כי החדירה הראשונית של ״מטה משה״ למערכת מושגת על ידי ניצול ProxyShell בשרתי Microsoft Exchange, על מנת לאפשר לתוקף שאינו מאומת לבצע בשרת פקודות שרירותיות דרך יציאת HTTP\S חשופה. כתוצאה מכך, התוקפים מצליחים לפרוס ברשת שני מאזינים ולהטמיע בה קבצים להתקנת המטען שנמצא ב- C:\Windows\System32\drvguard.exe. כאשר המטען מופעל ביחד עם ארגומנט שורת הפקודה "I- ", הוא מתקין את עצמו כשירות המכונה DriveGuard. בשלב הבא מורצות פקודות להטמעת Backdoors נוספות ברשת, לשם שמירת אחיזת התוקפים בה והתחלת תהליך גניבת המידע והצפנת הקבצים. במחקר מפורטת דרך הפעולה המלאה של הקבוצה, לצד IOCs  אותם מומלץ להזין במערכות הגנה של ארגונים, על מנת להתגונן מפני הקמפיין.