עדכון שבועי 17.11.2022

ה-FBI מזהיר מפני נוכלים המתחזים לנציגי תמיכה טכנית של פורטלי תשלום לקבלת החזרים

לשכת החקירות הפדרלית (FBI) מזהירה מפני נוכלים המנסים לגנוב מידע ופרטים מקורבנות, בעיקר כאלה המשתייכים לאוכלוסיה מבוגרת. תחילת ההונאה במיילי פישינג או שיחות טלפון שמטרתם קבלת גישה למחשבי הקורבנות. על פי הודעת ה-FBI, בגוף המייל מוצע חידוש של שירות ספציפי, למשל הגנה על מחשבים או אחריות, בעלות הנעה בין 300 ל-500 דולר. מכיוון שהקורבנות אינם מנויים על השירות, התוקפים מקווים שהם יצרו עמם קשר דרך פרטי ההתקשרות המופיעים במייל, על מנת לבקש החזר. עם יצירת הקשר, הנוכלים טוענים כי לשם ביצוע החזר מאובטח עליהם לגשת מרחוק למחשב הקורבן. למרות שתרמיות המתבססות על התחזות לנציגי תמיכה טכנית קיימות מזה שנים, ה-FBI מציין שמאז אוקטובר האחרון הנוכלים משתמשים לשם כך בסקריפט המדמה בפני הקורבנות ממשק של פורטל לביצוע החזרים. הסקריפט מאפשר איסוף מידע אישי ובנקאי של הקורבן, במטרה לבצע העברת כספים מחשבון הבנק שלו, ומכיל פקודות לכתיבת מידע לקובץ טקסט, עם מספר עצירות המעודדות אינטראקציה מצד הקורבן, בזמן שהוא ממתין ל״החזר״. למרות שהארגון לא חשף את שמות החברות שאליהן מתחזים הנוכלים, מגזין אבטחת המידע BleepingComputer מצא דוגמאות של הסקריפט בהתחזות ל-Chase Bank, מבית JPMorgan Chase, וכן קובצי סקריפט נוספים המאפשרים לשנות את שם החברה בפורטל ה״החזרים״, תוך כדי פעילות התוקפים.

​

ארה״ב: ה-FBI ושירות הפיקוח על הדואר החרימו 18 דומיינים המשמשים לגיוס ״עובדים״ לשם הונאות משלוחים במסווה של הצעות עבודה מהביתבאתרים הוצעו משרות ״בודקי בקרת איכות״ בחברה לגיטימית, כביכול, כאשר המועמדים התבקשו לרכוש סחורות באמצעות כרטיסי האשראי שלהם או לצלם חבילות שקיבלו ולשלוח אותן לכתובות אחרת, כל זאת בעבור 20 דולר. מטרת התוקפים היתה לבצע רכישות באמצות כרטיסי אשראי גנובים ולשלוח אותן אל כתובות ה״עובדים״ החדשים, על מנת לטשטש את עקבותיהם. במסגרת ההונאה, ה״עובדים״ היו מתחברים לממשק מקוון של ה״חברה״' דרכו קיבלו הנחיות. כשאנשי לשכת החקירות הפדרלית (FBI) התחברו אל המשתמש של אחד הקורבנות, הם מצאו היסטוריה בת 25 רכישות, לרבות רכישת מחשב נייד חדש, שבוצעו באמצעות כרטיסי אשראי גנובים. רשויות החוק האמריקאיות חוקרות את המקרים עוד מפברואר אשתקד, לאחר שמרכז התלונות על פשעי אינטרנט של ה-FBI קיבל 64 פניות בדבר העוקץ. למרות שהדומיינים האמורים הוחרמו, טרם בוצעו מעצרים של מפעילי האתרים המתחזים, משום שהם מתגוררים מחוץ לארצות הברית - ככל הנראה ברוסיה, כך לדברי משרד המשפטים האמריקאי. בשעה זו מופיעה באתרים המוחרמים הודעה מטעם ה-FBI, המזהירה מחפשי עבודה מפני הסכנות שבהצעות ״לעבודה מהבית״ והונאות Reshipping מסוג זה. דוגמה להודעת האזהרה ניתן למצוא כאן.

משרד הבריאות האמריקאי מתריע מפני שימוש בכופרה Venus נגד ארגונים ממגזר הבריאות 

ב-9 בנובמבר הודיעה מחלקת הבריאות ושירותי האנוש של ארצות הברית (HHS) כי לפחות ארגון אמריקאי אחד מהמגזר נפל קורבן לנוזקת הכופרה Venus, שמפעיליה ידועים בניצול מכשירים פתוחים לעולם בעלי גישה מרוחקת לשולחן העבודה, ובשימוש בגישה זו להצפנת מכשירי הקורבנות. עם הפעלת הנוזקה, היא משביתה 39 תהליכים המקושרים למאגרי מידע וליישומי מיקרוסופט בשולחן העבודה. נוסף על כך, Venus מוחקת את הלוגים שבמערכת ואת ה-Volume Shadow Copy ומשביתה את ה-DEP, שתפקידו למנוע הרצת פקודות של יישומים שונים על גבי זיכרון המערכת. קובצי הקורבן בעלי הסיומת ״venus." הם כאלה שהוצפנו על ידי הכופרה באמצעות RSA ו-AES.

צוות קונפידס ממליץ לעקוב אחר פעולות המיטיגציה המופיעות כאן על מנת להתמגן מפני הכופרה.

​

ה-CISA מוסיפה ל״קטלוג החולשות הידועות המנוצלות״ מזהה נוסף לחולשות ב-Zimbra Collaboration Suite וחולשה חדשה ב-MotW

בהמשך להתראה הממוקדת שפרסמה הסוכנות האמריקאית להגנת סייבר ותשתיות (CISA) בנוגע לממשק ה-Zimbra Collaboration ב-18 באוגוסט (ראו ״הסייבר״, 18.8.22), בה דווח כי האקרים מנצלים באופן פעיל גרסאות של המוצר שאינן מעודכנות במגזר הממשלתי והפרטי כאחד, כעת מוסיפה הסוכנות מזהה נוסף, המעיד על ניצול החולשות במוצר. המזהה החדש, JSP (Java Server Pages) Webshell, שמקורו בקובצי קוד בשפת Java המצויים בצד השרת, עלול לאפשר לתוקף להריץ על שרת הקורבן פקודות קוד מרחוק.

במקביל, ה-CISA הוסיפה לקטלוג חולשה (CVE-2022-41049, CVSS 5.4) המצויה ברכיב MotW של מיקרוסופט, שנועד להגן על משתמשים מפני מקורות שאינם אמינים. החולשה עלולה לאפשר לתוקף לחמוק מפעולת הרכיב באופן שיחשוף את מחשב הקורבן לפגיעה.

צוות קונפידס ממליץ למשתמשי Zimbra Collaboration Suite לעדכן את המוצר בהקדם על פי הוראות היצרן, ולמשתמשי Windows לעדכן את הפלטפורמה על פי ההנחיות המופיעות בתחתית עמוד זה.

​

האקרים משתמשים ב-YouTube להפצת נוזקות באמצעות התחזות ל-100 יישומים פופולריים

חברת Cyble זיהתה קמפיינים זדוניים הפועלים ב-YouTube במסווה של מדריכים להורדה והתקנת תוכנות פרוצות ומשחקים בחינם, כאשר ההאקרים משלבים בסרטוני ההדרכה פעולות שנועדו להוביל את הצופים להתקנת נוזקה הגונבת מידע, דרך קישור המופיע בסרטון. בדוח שפרסמה Cyble מופיעות כתובות URL של האתרים הקשורים לקמפיין ומציעים גרסאות פרוצות או חינמיות של התוכנות הפופולריות Adobe Photoshop ,Microsoft Office ,Spotify Premium 2022 ואחרות, ושל משחקים נפוצים, כגון Roblox ,GTA Online Mod Menu ,Fortnite Hack ,Elden Ring ,Fortnite Skin Changer ועוד. על מנת להתמגן מפני הקמפיין, Cyble ממליצה:

• להימנע מהורדת תוכנות פיראטיות מאתרים שאינם מאומתים.

• להשתמש בסיסמאות חזקות ובאימות דו-שלבי (2FA).

• לשנות סיסמאות בתדירות קבועה.

• להשתמש בתוכנת אנטי-וירוס ובאמצעי אבטחה נוספים בכלל המכשירים המחוברים לאינטרנט, לרבות מחשבים נייחים, מחשבים ניידים וסמארטפונים.

• להימנע מפתיחת קישורים שאינם מהימנים וקבצים המצורפים למיילים מבלי לאמת תחילה את מקורם.

צוות קונפידס ממליץ להזין במערכות ניטור את מזהי התקיפה (IOCs) שפורסמו.

​

האקרים פרצו למערכות חברת הקורקינטים הרוסית Whoosh; מידע חלקי של 7.2 מיליון לקוחות מוצע למכירה ברשת

מן החברה, הפועלת ב-40 ערים ברחבי העולם, נגנבו גם קודים המאפשרים גישה חינמית לשירות, וכן נתונים כספיים. החברה אישרה את דבר הפריצה בהצהרה לסוכנות החדשות הרוסית ״רי״א נובוסטי״ ומסרה כי ״הפריצה לא השפיעה על נתונים רגישים, כמו גישות לחשבונות, פרטי עסקאות או פרטי נסיעות". על פי פרסום במגזין אבטחת המידע BleepingComputer, משתמש בפורום ההאקרים Breached פרסם מאגר מידע המכיל פרטים של 7.2 מיליון לקוחות Whoosh, הכוללים כתובות מייל, מספרי טלפון ושמות פרטיים, וכן פרטי תשלום חלקיים של 1.9 מיליון משתמשים ו-3 מיליון קודים חינמיים לשימוש בקורקינטים של Whoosh. הנתונים מוצעים לחמישה קונים בלבד, תמורת 4,200 דולר כל אחד (0.21490980 ביטקוין).

​

זהירות! תמונות תמימות עלולות להכיל נוזקה סמויה 

צוות המחקר של חברת ESET חשף תוקפים המשתמשים בכלים שטרם תועדו, לתקיפת יעדים בעלי פרופיל גבוה ברחבי אסיה ואפריקה. קבוצת התקיפה, שכונתה Worok ופעילה לפחות מ-2020, משתמשת בכלי פריצה שהיא מפתחת בשפות התכנות ++C#, C ו-PowerShell, ואשר משמשים לטעינת נוזקה המוחבאת בקובצי PNG. עוד נצפה שימוש של הקבוצה בכלים פומביים הנגישים לציבור, בהם Mimikatz ,EarthWorm ,ReGeorg ואחרים. טרם עלה בידי החוקרים להשיג את המטענים הסופיים בהם משתמשת הקבוצה או לפענח את וקטור הכניסה שלה למערכות הקורבנות, ואולם בדוח שפורסם מוצגת בפירוט דרך הפעולה של Worok, המבוססת על שתי שרשראות תקיפה שונות לטעינת המטען הזדוני מקובץ ה-PNG. ההבדל בין שתי הדרכים מתבטא בטוען הראשוני, אשר ב-2021 היה בתצורת CLR assembly ונכתב בשפת ++C, ואילו ב-2022 הופיע בתצורת דלת אחורית שנכתבה בשפת PowerShell. בשני המקרים, המטרה היא לטעון את השלב הבא (Stage), או את הטוען השני - של הנוזקה המוחבאת בתוך קובץ ה-PNG, אשר בעצמו מוחבא בתיקייה בעלת שם לגיטימי, כדי לבלבל את הקורבנות ואת צוותי התגובה (IR). כמו כן, נתיבו של הטוען מוצפן בהצפנת XOR. עוד חשוב לציין שעבור קוד ה-PowerShell נצפו שלוש שכבות הגנה: שימוש בקידוד Base64, שימוש בהצפנה סימטרית מסוג DES ודחיסה בפורמט Gzip. דרכי התקשורת שנצפו בין עמדת הקורבן לשרת ה-C2 של התוקפים הינן מסוג HTTP ו-ICMP, כל זאת לשם העברת פקודות משרת הפיקוד וקבצים בין הצדדים בפורמט PNG, בו מוסתר תוכן. הטוען מצדו מחפש בתוך קובץ ה-PNG בייטים ספציפיים השייכים לנוזקה, ומרכיב אותם ישירות בתוך זיכרון העמדה.

צוות קונפידס ממליץ למנהלי רשתות לבצע את ההקשחות הנדרשות במערכות ההגנה שלהן, למניעת תקשורות לא רצויות עם גורמים מחוץ לארגון.

​

התגלו 42 אלף אתרים המשמשים לתרמית שמטרתה לייצר הכנסות ממודעות

קבוצת ההאקרים המכונה Fangxiao יצרה רשת של עשרות אלפי דומיינים המתחזים לדומיינים של מותגים מוכרים, כל זאת לשם הפניית משתמשים לאתרים המקדמים אפליקציות לחסימת מודעות, להכרויות רומנטיות ולחלוקת פרסים. הדומיינים מהווים חלק מתרמית מאסיבית לייצור תנועה באתרים, שמטרתה לגרוף הכנסות ממודעות. ממחקר של חברת Cyjax עלה שקבוצת התקיפה האמורה פועלת מסין, ומאז 2017 זייפה אתרים של יותר מ-400 מותגים ידועים בתחומי הקמעונאות, הבנקאות, התיירות ועוד, בהם Coca Cola ,McDonald's ,Knorr ,Unilever ,Shopee ,Emirates ואחרים. על מנת לייצר תנועה מרבית באתריה ובאתרי לקוחותיה, Fangxiao רושמת כ-300 דומיינים מתחזים חדשים מדי יום, מרביתם בעלי הסיומת ״top.״. אל האתרים, שמוחבאים באמצעות Cloudflare ונרשמים ב-GoDaddy ,Namecheap ו-Wix, מגיעים משתמשים דרך מודעות בטלפונים הניידים או הודעות WhatsApp המכילות קישור והצעה מיוחדת או הודעת זכייה, כביכול. דומיינים אלה מפנים את המבקרים לדומיינים של סקרים בהם מופיע טיימר, על מנת לייצר תחושת דחיפות. בחלק מהמקרים השלמת הסקר מובילה להורדת אפליקציה אותה מתבקש הקורבן להשאיר פתוחה משך 30 שניות, ככל הנראה על מנת לאפשר רישום של משתמש חדש דרך קישור ייעודי של התוקפים. האתרים כוללים מודעות מ-ylliX, אותן Google ופייסבוק סימנו כחשודות, ולחיצה עליהן מובילה לשרשרת הפניות נפרדת, שתלויה במיקום הקורבן, על פי כתובת ה-IP שלו, ובמערכת ההפעלה בה הוא משתמש. ההפניות יכולות להוביל, למשל, ל-A​​mazon באמצעות לינק לשותפים (Affiliates), להורדה של הטרויאני Triada או לעמוד של האפליקציה App Booster Lite – RAM Booster ב-Play Store, לה יותר מ-10 מיליון הורדות. על פי חוקרי Cyjax, האפליקציה אינה זדונית, אך היא מבקשת הרשאות חריגות ומפעילה כמות גדולה של מודעות בחלונות קשים לסגירה. זאת ועוד, מפרסם האפליקציה הוא LocoMind, אשר חולק כתובת IP עם מפתח אפליקציות אחר, Holacode, שנקשר בעבר להפצת תוכנות פרסום (Adware). רשימה מלאה של הדומיינים שנרשמו במסגרת המתקפה ניתן למצוא כאן. 

​

קבוצת האקרים סינית הפועלת למטרות ריגול פורצת לרשויות ממשלתיות במדינות אסיאתיות 

דוח חדש של חברת הסייבר Symantec שופך אור על קמפיין מתמשך בו נתקפו רשות המנפיקה תעודות דיגיטליות ומספר סוכנויות ממשלתיות במדינות אסיאתיות. Symantec מייחסת את המתקפות לקבוצת ריגול הסייבר הסינית Billbug, שהיא ככל הנראה הקבוצה המכונה Thrip, אחריה עוקבת החברה עוד מ-2019. ייחוס זה מתבסס על שימוש באותם כלי תקיפה. במהלך תקיפתה של הרשות האמורה, התוקפים ניסו לגשת לאישורים שהיא מנפיקה, על מנת להשתמש בהם לאישור נוזקות. תוכנות זדוניות מאושרות ייראו לגיטימיות ולא יתגלו על ידי פתרונות אבטחה, ואולם Symantec לא איתרה ראיות המצביעות הצלחתם התוקפים לחדור אל הרשות ולהנפיק את האישורים. בתוך כך, ישנם כמה רמזים לכך שהתוקפים משתמשים בכלי תקיפה פומביים הנגישים לציבור ובמספר נוזקות מותאמות אישית. למרות ש-Symantec לא צפתה בדלף נתונים במסגרת הקמפיין, Billbug נחשבת לקבוצת ריגול, דבר המצביע על גניבת נתונים כמניע לפעולותיה.
צוות קונפידס ממליץ להזין במערכות ניטור את מזהי התקיפה (IOCs) שפורסמו

שתי חולשות SQLi קריטיות נמצאו בשירות של Zendesk Analytics

חוקרי אבטחת סייבר מחברת Varonis חשפו פרטים על החולשות שהתגלו ותוקנו בשירות Zendesk Explore, ואשר היו יכולות להיות מנוצלות לקבלת גישה לא מורשית למידע מחשבונות לקוחות שבהם היתה התוכנה מופעלת, לרבות גישה לשיחות, לכתובות מייל, לכרטיסי תמיכה, להערות ולמידע נוסף. Zendesk Explore הינו פתרון דיווח המאפשר לארגונים להציג ולנתח מידע אודות לקוחותיהם ומשאביהם. בשעה זו אין ראיות המצביעות על כך שהחולשות נוצלו באופן פעיל, ואין צורך בפעולה מצד הלקוחות. לדברי החוקרים, נראה שניצולה של אחת החולשות דורש הרשמה לשירות הטיקטינג של התמיכה הטכנית מחשבון ה-Zendesk של הקורבן כמשתמש חיצוני חדש, תכונה שככל הנראה מופעלת כברירת מחדל, על מנת לאפשר למשתמשי קצה לפתוח בקשות לשירות התמיכה של Zendesk. החולשה מאפשרת החדרת שאילתת SQL ב-API של GraphQL, שעלולה להיות מנוצלת לסינון כל המידע המאוחסן במסד הנתונים כמשתמש אדמין, לרבות כתובות מייל, כרטיסים ושיחות עם סוכנים אנושיים. החולשה השנייה נוגעת לבעיה לוגית בגישה ל-API לשם ביצוע שאילתות, שנובעת מהגדרה להרצת השאילתות שאינה כוללת בדיקה אם ל"משתמש" המבצע את הקריאה יש הרשאה נאותה לעשות זאת. הדבר עלול לאפשר גניבת נתונים מכל טבלה ב-RDS של חשבון Zendesk, ללא צורך ב-SQLi. מ-Varonis נמסר כי ב-30 באוגוסט חשפה את החולשות בפני Zendesk, שתיקנה אותן ב-8 בספטמבר.

​

DTrack: דלת אחורית בשימוש קבוצת התקיפה $Lazarus מתמקדת באירופה ובאמריקה הלטינית, אך מרחיבה את פעילותה לאזורים נוספים

DTrack, שהתגלתה לראשונה ב-2019, שימשה עד כה נגד מגוון מטרות, לרבות פריצה לכספומטים ולתחנת כוח גרעינית, או לכל יעד אחר ש-$Lapsus מוצאת ערך כלכלי בפריצה אליו. DTrack מאפשרת לתוקפים להעלות, להוריד, להפעיל ולמחוק קבצים במחשב הקורבן, חלקם מגיעים כחלק מערכת DTrack, בה כלולות תוכנה לתיעוד הקשות מקלדת, (Keylogger) תוכנה לצילום מסך ותוכנה לאיסוף מידע מהמערכת הנגועה. כלים אלה מאפשרים לתוקפים לנוע רוחבית ברשת הקורבן. DTrack מחביאה עצמה בתוך קובץ הפעלה שנראה כתוכנה לגיטימית, והיא מבצעת מספר שלבי הצפנה לפני הפעלת הנוזקה, שהיא עצמה מופעלת בשלושה שלבים, שבסופם מפוענח קובץ DLL המועלה ל-explorer.exe בתהליך המכונה Process hollowing. בגרסאות קודמות של הדלת האחורית, הספריות שמועלות מבוצעות על ידי מחרוזות מעורפלות, ואולם בגרסאותיה האחרונות ישנו שימוש ב-API hashing לטעינת הספריות למערכת. שינוי נוסף בגרסאות החדשות מתבטא בשימוש בשלושה שרתי C2 במקום במקום בשישה. בבחינת שמות הדומיינים שבשימוש שרתי ה-C2 (למשל pinkgoat[.]com ו-purewatertokyo[.]com) מזוהים דפוסים מסוימים, כדוגמת שילוב בין צבע לחיה. מכיוון ש-DTrack נצפתה פועלת בגרמניה, בברזיל, בהודו, באיטליה, במקסיקו, בשוויץ, בערב הסעודית, בטורקיה ובארצות הברית, נראה כי היא מתרחבת לחלקים נוספים של העולם, כשהיא מתמקדת בארגוני חינוך, במפעלים כימיים, במרכזי מחקר ממשלתים, בספקי שירותי IT ועוד.

צוות קונפידס ממליץ לחסום את מזהי התקיפה (IOCs) המופיעים כאן.

​

ארגונים חשופים למתקפות מסוג ״תשישות אימות דו-שלבי״

בשנים האחרונות נפוץ בקרב האקרים סוג של מתקפת הנדסה חברתית במסגרתה מושגת גישה לרשת הארגונית על ידי העמסת משתמשים בבקשות לאימות דו-שלבי (2FA), עד שאחת מבקשותיו של התוקף מאושרת מתקפות מסוג זה עשויות לצלוח בעיקר כשדעת הקורבן מוסחת או כאשר הוא עמוס בהודעות ובנוטיפיקציות, ועלול לפרש בשוגג בקשות אימות זדוניות כלגיטימיות. דוגמה למתקפת ״תשישות אימות דו-שלבי״ מוצלחת מהווה הפריצה ל-Uber (ראו ״הסייבר״, 22.9.22), המיוחסת לקבוצת התקיפה $Lapsus. שיטה זו יעילה במיוחד כאשר מדובר בקורבנות חסרי ידע בנוגע למתקפות הנדסה חברתית בכלל, ומתקפות ״תשישות אימות דו-שלבי״ בפרט, שיאשרו מבלי משים בקשת אימות זדונית.

צוות קונפידס ממליץ לארגונים להגביל את מספר בקשות האימות הדו-שלבי עבור כל משתמש, כאשר מספר בקשות גדול מזה המוגדר יביא לנעילת החשבון. עוד ניתן להטמיע בארגון תוכנה לאיפוס סיסמה באופן עצמאי על ידי משתמשים, ומומלץ להעלות את מודעות עובדי הארגון למתקפות הנדסה חברתית בכלל, ולבקשות אימות דו-שלבי שהם מקבלים, בפרט.

​

האקרים מנצלים אתרי אינטרנט ממשלתיים בעשרות מדינות להפצת שלל נוזקות ולביצוע פישינג האתר VirusTotal, המספק שירותי בדיקה של קבצים חשודים למציאת תכנים זדוניים, פרסם דוח המתאר כיצד האקרים מנצלים לרעה אתרים ממשלתיים ואתרים אחרים הקשורים אליהם. מן הדוח עולה שאתרים ממשלתיים ביותר מ-50 מדינות נגועים בווירוסים, בנוזקות, בסוסים טרויאניים, בכופרות, בתוכנות לכריית מטבעות מטבעות קריפטוגרפיים, בפישינג ועוד. חוקרי VirusTotal אף מצאו עשרות אתרים הכוללים Web shells (סקריפטים זדוני) שביכולתם להפיץ מתקפות פישינג ונוזקות למבקריהם. ככל הנראה, במקרים רבים מדובר באתרים שתחזוקתם ירודה, דבר המביא לחשיפת מידע רגיש ומאפשר לתוקפים לפרוס בכתובות הללו נוזקות וכלי פישינג. בדוח של VirusTotal מחולקים הממצאים לפי סוג המתקפה, כגון סוסים טרויאניים, מתקפות פישינג המכוונות נגד בנקים, תקיפה מזדמנות (קורבן רנדומלי) ועוד. למזעור הסיכון לפריצה לאתרים ממשלתיים, החוקרים ממליצים למפעיליהם לנקוט בפעולות הבאות:

• לעדכן ולתחזק את האתרים באופן קבוע, ובייחוד מערכות לניהול תוכן (CMS), על מנת לטפל בפירצות.

• לנטר את האתרים באופן פעיל, לאיתור שינויים חריגים.

• לסרוק בקביעות כל הקבצים המתארחים בהם.

• לא להניח שתעבורת רשת מאתרים מאושרים בהכרח אינה זדונית.

• במקרה של ממצא חשוד, יש להניח שהתרחשה פריצה ולהתחיל בחקירה.

​

Snapshots של Amazon Public RDS Snapshots נמצאו חשופים ופגיעים ברחבי האינטרנט 

RDS Snapshot הינו רכיב המשמש לגיבוי נתוני מערכת בסביבת הענן AWS. את ה-Snapshots ניתן לשתף עם אנשים נוספים לפרקי זמן שבין מספר דקות לשבועות. צוות חוקרים של Mitiga, שבדק את היתכנות הגישה ל-Snapshots ששותפו, הצליח לסרוק, לשכפל, ליצור רשימות חדשות ולחלץ תוכן מתוך טבלאות שהיו שמורות ב-Snapshots. החוקרים הופתעו לגלות, למשל, כי מאגרי מסד הנתונים MySQL היו חשופים לכל, לרבות מידע אישי רגיש (שמות משתמשים, סיסמאות, כתובות IP, מספרי כרטיסי אשראי ועוד), מידע על החברה, מידע על שכירויות ועוד. בפרק זמן תחום בן חודש (21/09/2022-20/10/2022), הצליחו החוקרים לשים את ידיהם על 2,783 Snapshots שונים, מהם 810 היו חשופים משך כל אותו זמן ואילו 1,859 מהם היו חשופים משך פרקי זמן של בין יום ליומיים.

צוות קונפידס ממליץ למשתפים גיבויים שלא לכלול בהם מידע עודף, וכן להצפין גיבויים, למניעת שיתופם בפומבי.

קבוצות תקיפה איראניות תקפו משרדים פדרליים בארה״ב

מדוח שפרסמה  הסוכנות האמריקאית להגנת סייבר ותשתיות (CISA), עולה שקבוצות תקיפה הממומנות על ידי הממשל האיראני ניצלו את חולשת ה-Log4Shell לחדירה לשרת VMware של ארגון FCEB אמריקאי (סניף ניהול אזרחי פדרלי). באמצעות תנועה רוחבית בשרת עלה בידי התוקפים להגיע אל שאר הרשת, לא לפני שהתקינו על שרת ה-VMware תוכנה לכריית מטבעות דיגיטליים (XMRig). נוסף על כך, התוקפים אספו פרטי התחברות של משתמשים מה-DC ברשת הארגונית והטמיעו כלי Reverse proxy להשגת אחיזה קבועה ברשת. כלל מזהי התקיפה (IOCs) מצויים בדוח שפרסמה ה-CISA.

צוות קונפידס ממליץ למשתמשים במוצרי VMware לעדכנם ולעיין בפרסומי האבטחה של החברה. במידה ולא ניתן לעדכן רכיבים פגיעים באופן מיידי, מומלץ למנוע מהם גישה לרשת. עוד מומלץ לשמור על כלל התוכנות והאפליקציות בארגון מעודכנות, ליצור רשימת סיסמאות החשופות ברשת ולוודא שמשתמשי הארגון אינם בוחרים בסיסמאות הדומות להן.