עדכון שבועי 17.09.2020

הציטוט השבועי

חולה מתה בבית חולים בגרמניה כתוצאה ממתקפת סייבר

ביום חמישי האחרון דיווחו הרשויות בגרמניה כי מתקפת סייבר הביאה לכשל במערכות המחשוב של בית חולים מרכזי בדיסלדורף. כתוצאה מכך נאלץ בית החולים להעביר אישה שהיתה במצב מסכן חיים ונזקקה לאשפוז דחוף לבית חולים בעיר אחרת, המרוחק כ-32 קילומטרים מדיסלדורף, שם מתה בעקבות העיכוב בקבלת הטיפול. בחקירה שערך בית החולים נמצא כי ההאקרים שתקפו את מערכותיו עשו שימוש בחולשה שמצאו ב"תוכנות מסחריות נפוצות״. הדבר הביא לקריסת מערכות בית החולים, מה שמנע גישה לנתונים רפואיים וגרם לדחיית ניתוחים, להעברת חולי המחלקה לטיפול נמרץ לבתי חולים אחרים, וכאמור - למותה של מאושפזת. משטרת גרמניה פתחה בחקירה נגד ההאקרים בחשד להריגה ורשלנות.
 

חולשת BLURtooth מאפשרת לתוקפים להתחבר למכשירי Bluetooth

החולשה (CVE-2020-15802), אשר דווחה על ידי גורם אנונימי, טרם קיבלה דירוג חומרה (CVSS), אך היא מאפשרת לתוקף להתחבר לכל מכשיר תומך Bluetooth בגרסאות 4.0 עד 5.0, על ידי שכתוב או שנמוך איכות ההצפנה של מפתחות האותנטיקציה הנמצאים בשימוש בחיבור. גרסה 5.1 כבר כוללת פיצ'רים המאפשרים מיטיגציה של החולשה, ומלבד עדכון המכשירים לגרסה זו - נכון לעכשיו אין כל דרך מיטיגציה לגרסאות הנגועות.
עד שיעלה patch רלוונטי לסגירת החולשה, אנחנו ממליצים על עדכון המכשירים לגרסה 5.1, לצד בדיקת הפצות הקשורות למזהה החולשה (CVE) ועדכונים בנושא דרך אתר Bluetooth.

​

קמפיין פישינג מתחזה לעמוד התמיכה של אינסטגרם

קמפיין זה דווח ב-12 בספטמבר ברשת הטוויטר על ידי MalwareHunterTeam, אך טרם ידוע הגורם שזיהה אותו. באמצעות התחזות לעמוד תמיכת הלקוחות של אינסטגרם, הקמפיין מתמקד בניסיון להשיג פרטי הזדהות של משתמשים, בעיקר שמות משתמש, כתובות אימייל וסיסמאות. הדומיין המתחזה יושב בכתובת https://helplnstagramsupport[.]com/ (כמובן שלא מומלץ לגשת לכתובת זו), ולמרות שהדפים המתחזים מתאפיינים ברמה גרפית מניחה את הדעת, הם מכילים שגיאות כתיב ודקדוק רבות, מה שמקל על זיהוי הדף כפישינג. עם כניסתו לעמוד מקבל הגולש הודעה לפיה בעקבות הפרת זכויות יוצרים, כביכול, עליו לנקוט בפעולה מיידית פן יימחק חשבון האינסטגרם שלו תוך 24 שעות. בכך משודלים הגולשים לשתף עם התוקפים את פרטיהם, שכן מובן כי פלטפורמת אינסטגרם אינה מכילה פיצ'ר כזה.
אנו ממליצים להימנע מכניסה לדומיין זה, ולשים לב לכתובות העמודים שבהם נדרשת הזנת פרטי הזדהות.

​

פרסום עלון להגנת ישויות הקשורות לבחירות

העלון פורסם ב-10 בספטמבר על ידי CISA, ובו המלצות אבטחת מידע לגופים אמריקאים הקשורים לבחירות לנשיאות ארה״ב. ההמלצות מגיעות על רקע עלייה במתקפות פישינג מתוחכמות לקראת הבחירות הממשמשות ובאות. המלצות הסוכנות לגופים הרלוונטיים: (א) הטמעת הגנות על דומייני האימייל של הארגון. (ב) אכיפת גישות באימות דו-שלבי שיחול על כל משתמשי הארגון. (ג) הטמעת פתרונות אבטחה על ה-email gateway של הארגון.

​

האקרים גונבים 5.4 מיליון דולר מ-Eterbase

ב-15 בספטמבר הודיעה Eterbase, בורסת קריפטו סלובקית, כי מה״ארנקים החמים״ של החברה נגנבו מטבעות קריפטו בבשווי האמור, ובהם ביטקוין וסוגים שונים של מטבעות ERC-20. עוד נמסר כי החברה פועלת בנושא ביחד עם רשויות האכיפה, וכי הודיעה ללקוחותיה שכספם לא ייפגע כתוצאה מגניבה זו. ״ארנק חם״ הינו כלי אינטרנטי המאפשר מסחר במטבעות קריפטו. לכל ארנק יש מפתח פרטי, המצוי בחזקת בעליו בלבד, וכן מפתח ציבורי, שניהם משמשים לביצוע מסחר והעברות לבורסאות או לארנקים אחרים. ״ארנק קר״ לעומת זאת, הוא מכשיר פיזי שאינו חייב בחיבור לאינטרנט. לכן, ״ארנק קר״ נחשב לבטוח יותר.

​

רוסיה, איראן וסין מעורבות במתקפות סייבר לשפעה על  הבחירות לנשיאות ארה״ב

ב-10 בספטמבר דיווחה חברת Microsoft כי זיהתה מתקפות סייבר המכוונות נגד גופים וגורמים המקושרים לבחירות הקרובות לנשיאות ארה״ב, משני צדי המפה הפוליטית. החברה קישרה את התקיפות לשלוש קבוצות תקיפה:

1. קבוצת Strontium, הפועלת משטחה של רוסיה, תקפה יותר מ-200 גופים שלהם קשר ישיר ו/או עקיף לסבב הבחירות הקרוב, ובכלל זה קבוצות תומכים, קמפיינים, מפלגות ויועצים פוליטיים. כמו כן, הקבוצה תקפה ארגונים אירופים העוסקים במדיניות ו/או בפוליטיקה.

2. קבוצת Zirconium, הפועלת משטחה של סין, תקפה גורמים בעלי פרופיל גבוה הקשורים לבחירות, בהם כאלה שהם בעלי זיקה לקמפיין המועמד לנשיאות ג'ו ביידן, וגורמים מובילים בארה״ב בתחום קשרי החוץ והיחסים הבינלאומיים.

3. קבוצת Phosphorus, הפועלת משטחה של איראן, ממשיכה בתקיפות של חשבונות אישיים המזוהים עם הקמפיין לנשיאות של הנשיא המכהן דונלד טראמפ.

החקירה שביצעה Microsoft נערכה בשיתוף פעולה עם הרשויות, אשר בין היתר הקנו לה גישה לדומייני אינטרנט שבשימוש הקבוצה האיראנית.

​

נוזקות באתר למבוגרים בלבד

קבוצת תקיפה בשם Malsmoke הצליחה להעלות מודעות זדוניות לאתר הפורנו xHamster, אשר הובילו את הגולשים להורדת נוזקות. xHamster נחשב לאחד האתרים המצליחים בתחומו, עם מיליוני כניסות מדי יום. הקבוצה פעלה ל״זיהום״ הפרסומות המופיעות באתרים למבוגרים בלבד, על מנת להוליך שולל כמות גדולה של משתמשים באמצעות פרסומות ״מפתות״, המתאימות לתכנים של אתרים אלה. קיט התקיפה ניצל חולשות ב- Adobe Flash Player ו-  Internet Explorer

​

CISA מפרסמת מיפוי של שיטות התקיפה של גורמים המקושרים ל-MSS הסיני

תוקפים מקושרים למשרד לביטחון המדינה של סין. מתוצאות המחקר עולה כי התוקפים משתמשים בשיטות סטנדרטיות הנגישות לכולם, כאשר ניתן לשרטט פעולה שגרתית שלהם באופן הבא: (א) סריקת אתרים ושרתים לזיהוי פורטים פתוחים ושירותים שאינם מעודכנים. (ב) השמשת חולשות Open-source שזוהו לאחרונה. מכיוון שדרך הפעולה היחידה שהתוקף מפגין הינה ניצול עמדות שאינן מעודכנות, שיטת המיטיגציה הטובה ביותר להתמודדות עם תקיפות אלה היא שגרת עדכונים קפדנית לכלל עמדות הקצה בארגון.

​

דליפת מידע של לקוחות Staples

על פי דיווח שהתפרסם ב-Bleeping Computer, בתחילת חודש ספטמבר קיבלו חלק מלקוחות רשת הציוד המשרדי האמריקאית אימייל שהיה חתום בידי מנכ״ל הרשת, אלכסנדר "סנדי" דאגלס (Alexander "Sandy" Douglas) בו הוא מיידע אותם על התקרית. ככל הנראה, המידע דלף בעקבות כניסה בלתי מורשית לאחת ממערכות הרשת, אשר הכילה פירוט הזמנות של כמה מלקוחותיה. עוד ייתכן כי בין החומרים שדלפו מצוי מידע אישי של לקוחות, כגון כתובת מגורים, כתובת אימייל, שם מלא, מספרי טלפון וארבע ספרות אחרונות של כרטיס האשראי. באימייל ששלח הבהיר מנכ״ל Staples כי לא זוהו חיובים או הזמנות שנעשו באופן זדוני באמצעות הפרטים שדלפו. עם זאת, המידע שדלף עלול לשמש עבור תקיפות והונאות אחרות.

​

חולשות קריטיות חדשות מאפשרות עקיפה של מנגנון ה-MFA של מיקרוסופט 365

חוקרי אבטחה של חברת Proofpoint גילו לאחרונה את החולשות, המאפשרות לתוקף גישה ליישומים בסביבות ענן העושות שימוש בפרוטוקול WS-Trust. אחת הפלטפורמות הגדולות העושה שימוש בפרוטוקול היא Microsoft 365. החולשות שהתגלו אפשרו לתוקף פוטנציאלי גישה לכל המידע המצוי על פלטפורמה זו, לרבות תכתובות דואר אלקטרוני, קבצים, אנשי קשר ועוד, כאשר גם יישומי הענן האחרים של Microsoft, בהם Azure ו-Visual Studio, התגלו כפגיעים לחולשות החדשות. חברת Proofpoint יצרה קשר עם ספקיות הענן בהן זיהתה את החולשות הקריטיות, ואלה מיהרו לפתור אותן.

​

מערך תקיפה איראני מנצל חולשות VPN

ב-15 בספטמבר פרסמה CISA מיפוי של טכניקות התקיפה ודרכי הפעולה של מערך תקיפה המקושר לאיראן. תקיפות הסייבר המיוחסות למערכים האיראניים מוכוונות בעיקר כלפי רשתות אמריקאיות, ובכלל זה רשתות של גופים פדרליים. מניתוח השיטות והטכניקות של התוקף, ניתן להעריך כי מדובר בקבוצת תקיפה בשם Pioneer Kitten, או UNC757, אשר נצפתה מנצלת חולשות VPN מוכרות.