עדכון שבועי 24.02.2022

1. . המתיחות הגוברת בין רוסיה לאוקראינה: מתקפת מניעת שירות הפילה פלטפורמות בנקאות והגנה אוקראיניות. 

2. קבוצת התקיפה האיראנית TunnelVision מנצלת את החולשה Log4j ב-VMware Horizon.

3. לוגיסטיקה תחת מתקפה: קבוצת התקיפה Hive תקפה את Hyundai Samho Heavy Industries, מיצרניות הספינות הגדולות בעולם; מתקפת סייבר משביתה את חברת הלוגיסטיקה וההובלה Expeditors; נמל JPNT במומבאי הושבת בעקבות מתקפת כופרה; קבוצת הכופרה CLOP תקפה את חברת הקרגו Alexim. 

4. יוזמות חדשות של משרד המשפטים האמריקאי למאבק בתקיפות סייבר וכופרה.

5. אנו ממליצים לעדכן את המוצרים הבאים: חבילת ההפצה Snap של Ubuntu (גבוה).

עדכון אבטחה לחולשה ברמת חומרה גבוהה בחבילת ההפצה Snap של Ubuntu

חוקרי אבטחת מידע מחברת Qualys איתרו חולשה (CVE-2021-44731, CVSS 7.8) קלה לניצול בחבילת ההפצה, המצויה גם בהפצות נוספות של Linux. החולשה מאפשרת לתוקף בעל הרשאות נמוכות וגישה לוקאלית לעמדה פגיעה להריץ עליה קוד ברמת הרשאות Root, ובכך להשיג שליטה מלאה בעמדה. החולשה, המומחשת באמצעות סרטון שפרסמה Qualys, דווחה ל-Ubuntu ב-27 באוקטובר אשתקד, אך רק בתחילת החודש הנוכחי ניתן לה מענה בעדכון אבטחה.

צוות קונפידס ממליץ למשתמשי חבילת ההפצה לעדכנה בהקדם בהתאם להוראות היצרן.

Check Point: נוזקת TrickBot עברה עדכון לגרסה מתוחכמת יותר

ממחקר טכני שפרסמה החברה עולה כי לגלגולה החדש של הנוזקה, שבתחילת דרכה נועדה לגניבת פרטי בנק והזדהות, נוספו כמה מודולים מתוחכמים, ולאחר שינויים ושדרוגים שעברה עם הזמן היא מכילה כיום יותר מ-20 מודולים המגדילים את עוצמת הנזק שביכולתה לגרום ומקשים על חקירת פעולותיה. על פי הדוח של Check Point, המודולים כוללים יכולות של מזעור קוד (Minification, פעולה המקטינה את גודל קובץ הנוזקה ומקשה על קריאת הקוד), יכולות Obfuscation ו-Anti-Deobfuscation, אשר כמעט ומבטלות את יכולת קריאת הקוד, וכן יכולות של מניעת חקירה על ידי חסימת שאילתות אוטומטיות של החוקרים בצד השרת C2. 

​

הבוטנט החדש Kraken אוסף מקורבנותיו מידע רגיש רב; מפעיליו משלמים כ-3,000 דולר בחודש למשתתפים בהפצתו

הנוזקה, שזוהתה על ידי חוקרי חברת ZeroFox, כתובה בשפת Go, אשר עדיין נמצאת בפיתוח. ל-Kraken יכולות Backdoor רבות, כדוגמת הורדה והוצאה אל הפועל של Payload זדוני נוסף והרצה של פקודות ב-Shell על מערכת הקורבן. במיוחד, הנוזקה ניחנת ביכולות משמעותיות של גניבת מידע מקורבנותיה, לרבות פרטים אודות ארנקים קריפטוגרפיים, עוגיות, פרטי כרטיסי אשראי וכל מידע נוסף שנשמר בדפדפן. אופן פעולתה של Kraken כולל שימוש בתוכנת SmokeLoader לשם התקנת קבצים זדוניים נוספים על העמדה הנתקפת, בהם קבצי RAR SFX שמורדים על ידי התוכנה ומכילים בעצמם קבצים דחוסים של נוזקת Kraken, קובץ למחיקת Kraken וכן RedLine Stealer. טרם התברר מה מתכוונים מפתחי הנוזקה לעשות עם המידע הרב שאספו.

​

קבוצת התקיפה האיראנית TunnelVision מנצלת את החולשה Log4j ב-VMware Horizon

ממחקר שפורסם על ידי SentinelLabs עולה כי פעילות הקבוצה מאופיינות בניצול רחב של חולשות 1-day, בין היתר ב-Microsoft Exchange, ב-Fortinet FortiOS ולאחרונה גם ב-Log4Shell. כמעט בכל המקרים, התוקפים פורסים כלי Tunneling המוסווים בצורה ייחודית. כעת, ניצול חולשת ה-Log4j במוצר VMware Horizon מתבצע על ידי הרצת תהליך זדוני שמקורו בשירות המכונה Tomcat בו עושה המוצר שימוש, על מנת להפעיל פקודות PowerShell זדוניות, לפרוס Backdoors וליצור באמצעותן משתמשים, לאסוף אישורים ולנוע רוחבית ברשת. לרוב, התוקפים מתחילים מניצול חולשת ה-Log4j להפעלת פקודות PowerShell ישירות, ולאחר מכן מריצים פקודות נוספות על ידי Reverse shells באותה שפת תכנות, המבוצעות באמצעות תהליך ה-Tomcat.

צוות קונפידס ממליץ למשתמשי המוצר להזין במערכות ההגנה שלהם את מזהי התקיפה (IOCs) המופיעים במחקר המלא.

​

OpenSea מאשרת כי בעקבות מתקפת פישינג איבדו עשרות ממשתמשיה נכסי NFT בשווי כולל של 1.7 מיליון דולרלדברי פלטפורמת המסחר הגדולה בעולם של נכסי NFT, הקמפיין פגע ב-32 מלקוחותיה והחל לאחר ש-OpenSea הודיעה על שדרוג החוזה בו היא משתמשת לחוזה חכם חדש אשר טיפל בתקלות שהתגלו בחוזה הקודם, ואשר אליו הועברו נכסי ה-NFT של החברה מהבלוקצ׳יין של אתריום. כמה שעות לאחר ההכרזה דיווחו מספר משתמשים על התנהגויות חשודות בחשבונותיהם, כאשר תוקפים העתיקו את תוכן המייל המקורי שהכיל את הצהרת החברה והפיץ אותו לאנשים אחרים, אותם ניתב לאתר זדוני בו התבקשו להזין את פרטיהם. בעת לחיצת הקורבנות על Sign, הופעלה פונקציה שאפשרה לתוקף לקבל את כל נכסי ה-NFT שברשותם בעבור 0 אתריום, ולאחר מכן למכור אותם בעבור שוויים האמיתי. במתקפה נרשם שימוש בפרוטוקול המבוזר Tornado Cash, המאפשר ביצוע העברות כספים באופן פרטי. בעוד החקירה נמשכת, OpenSea מבקשת לשלוח הודעות למשתמש התמיכה שלה על מנת לספק מידע נוסף על המתקפה.

נוזקת Xenomorph, הגונבת פרטי חשבונות בנק, הופצה בסתר ב-Google Play באמצעות אפליקציה בעלת 50,000 הורדות

מדוח שפרסמה ThreatFabric ההולנדית עולה שהאפליקציה Fast Cleaner, המבטיחה לנקות את מכשיר המשתמש מקבצים מיותרים, להגביר את מהירותו ולשמור על הסוללה שלו, מצאה את מקומה בחנות של Google משום שאינה מכילה נוזקות בעצמה. ואולם לאחר הורדתה - האפליקציה מורידה אל המכשיר את נוזקת הבנקאות הטרויאנית, שסורקת אחר אפליקציות של בנקים שונים באירופה (בעיקר בספרד), ומבקשת מהמשתמש הרשאות גישה שמקנות לה יכולות רבות, בהן צפייה ושליטה במסך המכשיר, לרבות גישה להודעות SMS. בכך מתאפשר ל-Xenomorph להיחשף למסרוני האימות הדו-שלבי (2FA) שנשלחים אל הקורבנות, להשתלט על חשבונותיהם ולגנוב מהם פרטי בנק, שמות משתמשים, סיסמאות ומידע רגיש נוסף. עוד נראה כי אחת הפעולות הראשונות שהנוזקה מבצעת לאחר התקנתה היא איסוף מידע על כל האפליקציות המותקנות במכשיר והצלבת הרשימה עם רשימת אפליקציות, לרוב בתחום הבנקאות, שעמן היא מסוגלת לעבוד. בשעה זו נראה כי האפליקציה הוסרה מהחנות של Google, אך מכיוון שהנוזקה עדיין נמצאת בשלבי פיתוח - לא מן הנמנע שתשוב אליה בעתיד הקרוב.

צוות קונפידס ממליץ להימנע מהתקנת אפליקציות בעלות מספר קטן של הורדות, ולבחון את משוב המשתמשים עליהן.

​

25 ספריות JavaScript זדוניות הופצו במאגר חבילות רשמי של NPM

מעט יותר מחודשיים לאחר שחברת JFrog חשפה 17 חבילות זדוניות שהתגלו במאגר, כעת נוספות אל הרשימה 25 ספריות זדוניות שמצאו החוקרים אנדריי פולקובניצ׳נקו ושחר מנשה, ואשר ביכולתן לגנוב טוקנים למשתמשי Discord, להזריק קוד מסוג Python ולגנוב משתני סביבה. מדוח שפורסם ב-22 בפברואר עולה כי בעקבות זיהוי הספריות והדיווח עליהן ל-NPM - הן הוסרו מהמאגר. על מנת להסוות עצמן בתוך המאגר, הספריות השתמשו בשמות של ספריות מוכרות הנמצאות בשימוש רחב בקרב מפתחים, אחת הבולטות שבהן היא colors.js, בה נמצאה לאחרונה חולשה (CVE-2021-23567, CVSS 7.5) המאפשרת לתוקף לבצע מתקפת DDoS (מניעת שירות). את הניתוח המלא של JFrog ניתן למצוא כאן.

​

מתקפת APT בחסות סין על המגזר הפיננסי בטאיוואן מביאה לגניבת מידע רגיש

מדוח חדש של חברת אבטחת המידע הטאיוואנית CyCraft עולה שהמתקפה, המנצלת חוליה חלשה בשרשרת האספקה של הקורבנות, החלה בנובמבר אשתקד והגיעה לשיאה השבוע. המתקפה מיוחסת לקבוצה APT 10, הידועה גם בשמות Stone Panda ,Cicada ,menuPass ואחרים, אשר החלה את פעילותה ב-2009, לכל המוקדם. לדברי CyCraft, במתקפות הנוכחיות התוקפים ניצלו חולשה במערכות התוכנה של חברות פיננסיות בטייוואן על מנת לקבל גישה מרחוק למערכות מוסדות פיננסיים ולגנוב מידע רגיש, כל זאת באמצעות פריסת הכלי Quasar RAT על יעדי התקיפה. פעולות זדוניות אלה שמאחוריהן עומדת, ככל הנראה, הממשלה הסינית נחשפו על רקע פרסום טיוטות התיקונים לחוק הביטחון הלאומי של טייוואן, בהן הוצגה ההצעה להגדיר כפשע ריגול כלכלי ושימוש שאינו מאושר בטכנולוגיות לאומיות קריטיות ובסודות מסחריים מחוץ לטאיוואן.

​

Cobalt Strike מופץ לשרתי MS-SQL שאינם מאובטחים ומאפשר חדירה מעמיקה ורחבה לרשתות

חוקרי אבטחה הבחינו לאחרונה בגל תקיפות הכולל התקנה של הכלי המסחרי, המשמש לבדיקות חדירות (PTs) בשרתי MS-SQL. התקנת הכלי מתבצעת באמצעות התהליכים cmd.exe ו-powershell.exe, כאשר הזרקתו והוצאתו אל הפועל מבוצעות ב-MSBuild.exe, על מנת שהפעולות ייחשבו ללגיטימיות ויחמקו מזיהוין של מערכות הגנה. התוקפים מתחילים את פעולתם בסריקה אחר שרתים ציבוריים המאזינים לפורט 1433, שהם ככל הנראה שרתי MS-SQL, ולאחר מכן מנסים להשיג את סיסמת האדמין לשרת באמצעות מתקפת Brute-force או Dictionary. עם קבלת הגישה לחשבון האדמין, התוקפים מתקינים בשרת תוכנות לכריית מטבעות קריפטוגרפיים ומשאירים לעצמם Backdoor לצורך ביסוס אחיזתם והמשך תנועה רוחבית ברשת.