עדכון שבועי 20.01.2022

המשרד האמריקאי לאחריות ממשלתית מפרסם את מסקנותיו מחקירת תקיפות ה-Microsoft Exchange וה-SolarWinds

לדברי ה-GAO, הגוף המפקח והמבקר את הוצאות הממשלה ופעולותיה תחת סמכותו של המבקר הכללי, תוצאות המחקר מדגישות את התגברות סיכוני הסייבר והפיכתם להרסניים יותר למערכות טכנולוגיות המידע והתשתיות הקריטיות של ארצות הברית. הגורמים להסלמת הסיכונים הם השתכללות התוקפים, לצד חוסר המודעות של עובדי ארגונים לסיכוני סייבר. כזכור, בתחילת 2019 נמצא כי שירות הביון הרוסי פרץ ל-Orion, תוכנת ניהול הרשת של SolarWinds, בה משתמשת באופן נרחב ממשלת ארצות הברית, ואשר נועדה לניהול התקנים ולניטור פעולות ברשת. במרץ 2021, תוך כדי חקירת התקרית הראשונה, חברת Microsoft דיווחה על חולשות שנמצאו במספר גרסאות של Microsoft Exchange ונוצלו לרעה על ידי תוקפים, בהן גרסאות ששימשו סוכנויות פדרליות שונות. על פי הצהרת הבית הלבן, תוקפים המזוהים עם המשרד לביטחון המדינה של סין ניצלו את החולשות לשם התחברות לשרתי Exchange ממקורות חיצוניים שאינם מורשי חיבור לשרת. לאחר ההתחברות השתמשו התוקפים בחולשות נוספות במערכת על מנת לקבל הרשאות גבוהות יותר, עד שקיבלו גישה להתחברות מרחוק לשרת ה-Exchange. בעקבות שני האירועים הוקמו בארצות הברית שתי קבוצות תגובה בתמיכת הסוכנות האמריקאית לביטחון לאומי (NSA), בהן לוקחות חלק הסוכנות לאבטחת סייבר ותשתיות (CISA), לשכת החקירות הפדרלית (FBI) ומשרד ראש המודיעין הלאומי (ODNI).

מתקפת סייבר מאסיבית פוגעת באתרי האינטרנט של ממשלת אוקראינה

בלילה שבין ה-13 ל-14 בינואר נפרצו מספר אתרים ממשלתיים השייכים לממשלת אוקראינה, בהם גם משרד החוץ, ומשרד החינוך והמדע, ובעמודיהם הראשיים פורסמו על ידי התוקפים הודעות פרובוקטיביות. לפי מידע ראשוני מה-CERT-UA, תוכן האתרים לא השתנה ולא התרחשה דליפת נתונים אישיים, אך על מנת למנוע את התפשטות המתקפה, הופסקה באופן זמני פעילותם של מספר אתרים של סוכנויות ממשלתיות. נכון לשעה זו, שירות התקשורת המיוחד של אוקראינה חבר לשירות הביטחון של המדינה ולמשטרת הסייבר במטרה לאסוף ראיות דיגיטליות לצורך חקירת האירוע. במקביל, הגופים מעניקים סיוע למנהלי האתרים שניזוקו במתקפה ומצויים בהליך התאוששות. בעקבות האירועים, מיקרוסופט מזהירה מפני תוכנות זדוניות והרסניות שמטרתן למחוק נתונים ממערכות של קורבנות, אשר מופעלות נגד ארגונים רבים באוקראינה, לרבות סוכנויות ממשלתיות, במסווה של תוכנות כופר. החל מה-13 בינואר זיהתה מיקרוסופט את ההתקפות החדשות, בהן פעלו יחדיו התוכנה MBRLocker ותוכנה זדונית המשמידה נתונים בכוונת תחילה. בעת כיבוי מכשיר הקורבן מופעלת התוכנה הזדונית, אשר מחליפה את תוכנת ה-MBRLocker בהודעת כופר, שאינה אלא תחבולה. בפועל, הנוזקה הורסת הן את תוכנת ה-MBRLocker והן קבצים ממוקדים. תוכנה זדונית זו משתייכת למשפחה חדשה של תקיפות המכונה על ידי מיקרוסופט WhisperGate, ואשר מתבססת על מתקפה דו-שלבית של הרס נתונים באמצעות שני רכיבי תוכנה זדוניים. הודעת הכופר של WhisperGate מורה לקורבן לשלוח 10,000 דולר במטבעות ביטקוין לכתובת המצוינת על המסך, ולאחר מכן ליצור קשר עם גורמי האיום באמצעות מזהה צ'אט של Tox. אלא שלדברי מיקרוסופט, השימוש ב-Tox מצביע על כך שתוכנת הכופר מזויפת. זאת ועוד, בהודעת הכופר נעשה שימוש באותה כתובת ביטקוין עבור כלל הקורבנות. לדברי מיקרוסופט, מכיוון שאף אחד משני רכיבי התוכנה הזדונית אינו מציע אמצעים להזנת מפתחות פענוח לשחזור רשומת האתחול הראשית המקורית, ומכיוון שהקבצים מוחלפים בנתונים סטטיים בלתי ניתנים לפענוח, ברור כי ההתקפה נועדה למטרות הרס ולא לקבלת תשלומים. בעת כתיבת שורות אלה טרם עלה בידה של מיקרוסופט לייחס את ההתקפות לגורם איום מסוים, אך היא עוקבת אחר פעילותו של תוקף המכונה על ידה DEV-0586, ומאמינה שההסלמה נועדה לזרוע הרס באוקראינה על רקע המתיחות הגיאופוליטית בינה לבין רוסיה. מתקפה דומה לזו הנוכחית התרחשה ב-2017, כאשר אלפי עסקים אוקראינים הותקפו על ידי כופרת NotPetya, שהתבססה על הכופרה הידועה Petya. התקפות ה-NotPetya שימשו כנשק סייבר נגד אוקראינה, למטרת יצירת תשלומים. בשנת 2020 ארצות הברית הפלילה באופן רשמי קבוצת האקרים רוסית כאחראית לאירועי 2017, אשר ייתכן ומהווה חלק מקבוצת הפריצה הרוסית Sandworm. בין ששת החשודים שנגדם הוגש כתב אישום בפרשה היו גם כאלה שהשתייכו למנהל המודיעין הראשי של רוסיה (GRU). בחזרה לתקיפות שאירעו השבוע, נראה כי לפחות 15 אתרים של מוסדות ציבוריים וסוכנויות ממשלתיות באוקראינה נפרצו, הושחתו ולאחר מכן הועברו למצב לא-מקוון. בהודעה שהוצגה באתרים לאחר ההשחתה הוזהרו הגולשים שנתוניהם נגנבו ושותפו באופן ציבורי באינטרנט. כחלק ממסע ההפחדה בו נקטו התוקפים, הם יצרו חשבונות חדשים בפורום הפריצה הפופולרי RaidForums, שם חשפו את הנתונים שגנבו, לכאורה. ואולם, גורמי סייבר שבדקו את הנתונים שפורסמו טוענים כי אין להם זיקה לסוכנויות ממשלתיות באוקראינה וכי מקורם בהדלפה ישנה. אוקראינה מצדה ייחסה את התקיפות לרוסיה, בטענה שזו מנסה לערער את אמון אזרחי אוקראינה בממשלתם. ב-17 בינואר פרסמה ממשלת אוקראינה את ההודעה הבאה: "חיילי הסייבר של רוסיה פועלים לעתים קרובות נגד ארצות הברית ואוקראינה, ומנסים להשתמש בטכנולוגיה כדי לזעזע את המצב הפוליטי. מתקפת הסייבר האחרונה היא אחד הביטויים של המלחמה ההיברידית של רוסיה נגד אוקראינה, שנמשכת מאז 2014״. בתוך כך, מיקרוסופט מפצירה בכל ארגון לערוך חקירה יסודית ומידית וליישם במערכותיו הגנות בהתאם למידע המופיע בדוח שפרסמה החברה, אשר צפוי להמשיך ולהתעדכן עם התקדמות החקירה. כמו בכל פעילות התקפית שנצפית במדינה ריבונית, מיקרוסופט מודיעה באופן ישיר ויזום ללקוחותיה שנפגעו במתקפה ומספקת להם את המידע הדרוש כדי לסייע להם בחקירותיהם. זאת ועוד, ה-(Microsoft Security Intelligence Center (MSTIC פועל כעת ביחד עם חברי קהילת הסייבר העולמית ועם שותפים אסטרטגיים אחרים לשיתוף מידע שיכול לסייע רבות להתמודדות עם האיום המתפתח.

פגישה בבית הלבן לקידום אבטחת תוכנה והגנת סייבר

הבית הלבן כינס בעלי עניין ממשלתיים ופרטיים על מנת לדון ביוזמות לשיפור אבטחתן של תוכנות קוד פתוח ובדרכים להניע שיפורים בתחומים אלה באמצעות שיתופי פעולה חדשים. מרבית חבילות התוכנה העיקריות כוללות תוכנת קוד פתוח, לרבות אלה המשמשות את קהילת הביטחון הלאומי. תוכנות קוד פתוח ניצבות בפני אתגרי אבטחה ייחודיים, בשל רוחב השימוש שנעשה בהן ומספר המתנדבים האחראים על תחזוקת האבטחה השוטפת שלהן. הדיון שהתקיים בבית הלבן התמקד בשלושה נושאים: מניעת ליקויי אבטחה וחולשות בחבילות קוד וקוד פתוח, שיפור תהליכי איתור הליקויים ותיקונם וקיצור זמן התגובה להפצה והטמעת התיקונים. נשיא ארצות הברית ג׳ו ביידן הפך את נושא אבטחת התוכנות לעדיפות לאומית וקבע הוראה ביצועית לפיה רק חברות המשתמשות בפרקטיקות מאובטחות של פיתוח תוכנה ועומדות בהנחיות אבטחה פדרליות ספציפיות יוכלו למכור את המוצרים לממשלה הפדרלית. הוראה זו נועדה, בין היתר, למינוף כוח הקנייה של הממשל הפדרלי לשם הנעת שיפורים בשרשרת האספקה, מהם יהנו חברות וממשלות ברחבי העולם.

שחקן מרכזי בשוק הונאות כרטיסי האשראי הודיע על פרישה מה-Dark web לאחר 9 שנות פעילות

פלטפורמת UniCC, המתמחה בהונאות כרטיסי אשראי על ידי מכירת פרטי כרטיסים גנובים בפורומים מוכרים ברשת האפלה, מסיימת את פעילותה לאחר שרשמה מכירות בשווי כולל של כ-358 מיליון דולר. הפלטפורמה, שהייתה פעילה משנת 2013, פרסמה בפורומים בשפה האנגלית והרוסית פוסט פרידה: ״הצוות שלנו פורש. תודה לכל מי שהיה חלק מאיתנו במהלך השנים. לשותפינו, לקוחותינו ועמיתינו הנאמנים, אשר סייעו לנו בדרכים רבות. במידה ואני או אחד מחברי הצוות שלנו אכזבנו אתכם, אנו מצטערים על כך מאוד״. פרטי אשראי גנובים נמכרים ומוצעים למכירה בפורומים רבים ברחבי ה-Dark web תמורת מטבעות קריפטוגרפיים, היות וניתן להשתמש בפרטים הגנובים לביצוע רכישות של כרטיסי מתנה באשראי, אשר נמכרים במועד מאוחר יותר עבור כסף מזומן. זאת ועוד, פרטים אלה משמשים להלבנת מטבעות קריפטוגרפיים שנגנבים במהלך פשעי סייבר שונים. אל הסיבות לסיום פעילותם התייחסו חברי צוות UniCC במילים הבאות: ״אל תבנו שום תיאוריות קונספירציה סביב הבחירה שלנו לסיים את פעילותנו. זו הייתה החלטה כבדת משקל, שנעשתה בשל גילם ומצבם הבריאותי של חברי הצוות, אשר אינו מאפשר לנו עוד לעבוד במתכונת זו״. הצוות המליץ למשתמשי הפלטפורמה לנקות ממנה את חשבונותיהם בהקדם, בטרם תסגר ביחד עם הדומיין הנלווה לה, LuxSocks, ואף ביקש מהקוראים ״לא להיות חכמים ולא לעקוב אחר זיופים הקשורים לקאמבק שלנו״.

DHL מובילה במספר ניסיונות הפישינג שבוצעו תוך התחזות למיילים וקישורים מטעמה

חברת שירותי השילוח עקפה חברות כמו Google ו-Microsoft במדד המפוקק  במהלך הרבעון האחרון של שנת 2021. רבעון זה היווה קרקע פוריה מאוד לתוקפים לביצוע ניסיונות דיוג, בשל תקופת החגים ואירועי פתיחת השנה החדשה, במהלכה מתגברות הרכישות ברשת בכל רחבי העולם. בשל הגידול בהיקף החבילות הנשלחות מדי יום, גדל גם הסיכוי שמקבל ההודעה אכן ימתין למייל לגיטימי מחברות השילוח ויפול קורבן לניסיון הפישינג.

האפליקציה הרשמית של משחקי אולימפיאדת החורף בבייג'ינג אינה מגינה על מידע אישי כראוי

MY2022 הינה אפליקציית חובה שכל משתתפי האירוע, שיתקיים בחודש הבא בסין, נדרשים להוריד למכשיריהם, לרבות הספורטאים, אנשי התקשורת והקהל. לאפליקציה שימושים רבים, בהם שימוש בצ׳אט ובצ׳אט עם אודיו, העברות קבצים וקבלת מידע ועדכונים על המשחקים האולימפיים. עוד נותנת האפליקציה מענה לצרכים הנובעים ממגפת הקורונה, לרבות איסוף מידע רפואי אודות המבקרים במשחקים. ואולם, מבדיקה שביצעה חברת Citizen Lab, עולה כי האפליקציה סובלת מכשלים מהותיים בשמירה על פרטיות משתמשיה. למרות שהכשלים שנמצאו דווחו לחברה המתפעלת את האפליקציה ב-3 בדצמבר, בעדכון שפורסם למוצר ב-17 בינואר לא ניכרה התייחסות לדברים. אי לכך, ב-18 בינואר הוחלט להביא לידיעת הציבור את המידע הבא: ממשתמשים סיניים תאסוף האפליקציה שמות, מספרי זיהוי, מספרי טלפון, כתובות מייל, תמונות פרופיל ומצב תעסוקתי, ומזרים המגיעים למשחקים יאסף המידע המופיע בדרכוניהם (תאריך הוצאה ותפוגה), מידע דמוגרפי ושיוך ארגוני. זאת ועוד, מכלל המשתמשים אוספת האפליקציה נתונים הנוגעים לבקרה בריאותית, בהם תוצאות בדיקות קורונה, סטטוס חיסונים ודיווחים אישיים בנושא מאת המשתמשים. עוד נאסף מידע על סוגי מכשירים, ספקי שירות, אפליקציות המותקנות על המכשירים, מצב הרשת, מיקומים בזמן אמת, הגדרות שמע וגישה לאחסון המכשיר. למרות שהחברה המפעילה את האפליקציה מפרסמת בגלוי שהיא אוספת את המידע הנזכר לעיל, לא מצוין לאילו גורמים מועבר המידע הרפואי שנקלט בה. מלבד זאת, החוקרים גילו חולשה מהותית באפליקציה, שמקורה בכך שהיא אינה מבצעת אימות מול אתרים עמם היא מנהלת תקשורת. הדבר עלול לאפשר לתוקף להתחזות לאתר לגיטימי העובד עם האפליקציה ובכך ליירט את התקשורת עם המוצר. במילים אחרות, על אף שהמידע המועבר עשוי להיות מוצפן, הוא עלול ליפול לידיים הלא נכונות ולאפשר לתוקפים גישה למידע ו/או הצגת מידע כוזב למשתמשים. בתוך כך, חולשה נוספת נמצאה באחד מהאתרים שאליהם מעבירה האפליקציה מידע דמוגרפי על משתמשים, נתוני דרכונים, מידע אודות נסיעות ומידע רפואי, ונמצאו גם אתרים אליהם מועבר מידע מהאפליקציה ללא הצפנה או כל אמצעי אבטחה אחרים. לדברי חוקרי Citizen Lab, בשל הכשלים הקיימים במוצר הוא מפר את תנאי השימוש של החנויות האינטרנטיות של Google ו-Apple, כמו גם את חוקי מדינת סין עצמה. למרות זאת, האפליקציה עודנה זמינה להורדה בחנויות.

הצעת חוק חדשה תחייב גופי ממשל אמריקאיים להעניק גישה למשאבים לשם צמצום משטח תקיפת הסייבר בלוויינים

ב-19 בינואר הציגו הסנטורים גארי פיטרס וג׳ון קורנין הצעת חוק אשר תחייב את ענף הגנת הסייבר של המחלקה לביטחון המולדת (DHS) לספק לבעלי ולמפעילי לוויינים מסחריים כלי הגנה מפני מתקפות סייבר. הסוכנות האמריקאית לאבטחת סייבר ותשתיות (CISA) השיקה במהלך השנה החולפת קבוצת עבודה בתחום התשתיות הקריטיות של מערכות חלל, שמטרתה ליצור מאגר מקוון וזמין לציבור שיאפשר גישה לחברות שונות למשאבי אבטחת סייבר הספציפיים לתחום ויספק המלצות רלוונטיות לאבטחת רשת. ״החוק לאבטחת סייבר בלוויינים״ יחייב כעת את ה-CISA ליצור מאגר מקוון וזמין לציבור שיאפשר לחברות גישה למשאבים העוסקים בהיבטי אבטחת סייבר ספציפיים ללוויינים. זאת ועוד, החוק יאפשר למשרד האמריקאי לאחריות ממשלתית (GAO), המכונה "כלב השמירה של הקונגרס", לבחון את תמיכתה של ממשלת ארצות הברית בהיבטי אבטחת סייבר של תעשיית הלוויינים המסחרית כיום. ״תוקפים כבר הצליחו לתקוף בהצלחה לוויינים ממשלתיים, וזה רק עניין של זמן עד שהם יחלו להתמקד בלוויינים המשמשים למסחר,״ אמר הסנטור פיטרס, יו״ר הוועדה לביטחון המולדת של הסנאט, והוסיף כי ״פגיעות במערכות אלה מהוות הזדמנות ליריבים זרים ולפושעי סייבר לשבש באופן משמעותי את חייהם ופרנסתם של אמריקאים״. ג׳ון קורנין, חבר בוועדת המודיעין של הסנאט, הוסיף ואמר כי לוויינים מסחריים ״הינם חלק בלתי נפרד מרשת התשתית שלנו וחייבים להיות מוגנים מפני התקפות סייבר אשר עשויות לפגוע בביטחון הלאומי שלנו״.

מתקפת סייבר על הצלב האדום חושפת מידע של 515,000 אנשים המחפשים את משפחותיהם

המתקפה חשפה נתונים אישיים ומידע סודי על מאות אלפי אנשים הרשומים במאגרי הארגון, בהם כאלה שהופרדו ממשפחותיהם עקב סכסוך, הגירה או אסון, כמו גם נעדרים ומשפחותיהם ועצירים. מקור הנתונים הוא ביותר מ-60 איגודים לאומיים של הצלב האדום והסהר האדום ברחבי העולם, והחשש הגדול העולה בעקבות המתקפה הוא מפני פגיעה באנשים שעליהם מנסה הארגון להגן. בשלב זה אין בידי הצלב האדום מידע אודות מבצעי המתקפה או אינדיקציה לכך שהמידע הודלף או שותף באופן ציבורי. בפנייה לתוקף אמר מנכ״ל הארגון רוברט מרדיני כי "פעולותיך עלולות לגרום לנזק וכאב נוספים לאלה שכבר סבלו סבל עצום. האנשים האמיתיים והמשפחות האמיתיות שמאחורי המידע שיש בידיך כעת הם מהחלשים בעולם. אנא עשה את הדבר הנכון. אל תשתף, תמכור, תדליף או תשתמש בכל דרך אחרת בנתונים הללו".