עדכון שבועי 24.11.2022

קמפיין פישינג חדש מנצל חולשת Zero-day במערכת ההפעלה Windows להדבקת מחשבים בנוזקה Qakbot באמצעות קובצי JS

בעת הורדת קבצים ממקורות אינטרנטיים שאינם מוכרים (לרוב מדובר בקבצים ללא חתימה דיגיטלית), מערכת ההפעלה Windows מרבה להשתמש ברכיב MOTW) Mark-of-the-Web), המתריע על כך למשתמש בניסיון להגביר את ערנותו לקובץ. בתחילת החודש (ראו ״הסייבר״, 3.11.22) זיהה חוקר אבטחת המידע המכונה proxylife קמפיין פישינג חדש המנצל חולשת Zero-day להפצת הנוזקה Qakbot. נוזקה זו הופצה בעבר באמצעות מייל פישינג שהכיל קובץ ZIP מוצפן בסיסמה, בו ניתן היה למצוא קובצי ISO עם קובצי LNK ו-DLL, שמטרתם להדביק את עמדת הקורבן בנוזקה. השימוש בקובצי ISO להפצת הנוזקה נבע מכך שמערכת ההפעלה Windows לא ידעה להחיל את התרעת האבטחה של MOTW על קבצים המצויים בתוך קובצי ISO. מכיוון שבעדכון האחרון של מיקרוסופט לחודש נובמבר ניתן מענה לבאג ותוקנה החולשה, וכתוצאה מכך קובצי ISO כבר אינם נותנים מענה לצרכי התוקפים, האחרונים החלו לנצל לשם כך חולשה אחרת, שנמצאה באוקטובר האחרון, ולהשתמש בחתימה דיגיטלית שאינה תקינה בקובצי JS.

​

הסוף לשימוש ב-Cobalt Strike בקרב האקרים?

הכלי Cobalt Strike, המשווק על ידי חברת Fortra, משמש ״צוותים אדומים״ המדמים סיטואציות של חדירה לרשתות ארגונים ומסייע להם לבדיקת מערכות הגנה בכל רחבי העולם. ואולם, לא רק שחקנים לגיטימיים עושים שימוש בכלי, וגרסאות פרוצות רבות שלו משמשות האקרים לתנועה רוחבית ברשתות לאחר חדירה לארגונים, ואף כמטען שלב שני (Second-stage) במהלך מתקפות. צוות המחקר של Google ניתח 34 גרסאות פרוצות של הכלי, 275 קובצי ספריות דחוסות שלו ולפחות 340 קבצים בינאריים של גרסאות שונות של Cobalt Strike, כולם מ-2012 ואילך, וקיטלג את כל רכיביו, לרבות כאלה שהוצפנו בהצפנת XOR. כתוצאה מהניתוח נוצרו 165 חתימות וחוקי YARA. כל הנתונים פורסמו בפומבי על מנת לסייע בזיהוי מוקדם של תקיפות המשתמשות ב-Cobalt Strike (גרסאות הכלי הלגיטימיות לא נותחו ולא הוזנו נתונים אודותיהן למאגר שפורסם), כאשר החתימות הדיגיטליות שנמצאו זמינות גם ב-VirusTotal, וחוקי ה-YARA זמינים ב-GitHub.

צוות קונפידס ממליץ להזין את המזהים שפורסמו בכלי ההגנה של ארגונים, לשם זיהוי מוקדם של תקיפה אפשרית.

​

נפרצו חשבונות של משתמשי המשחק DraftKings; החברה תפצה לקוחות על כספים שנגנבו כתוצאה מהתקיפה

שחקנים של המשחק הפופולרי דיווחו על בעיות התחברות לחשבונותיהם בפלטפורמת המשחק, ככל הנראה משום שנגנבו. המכנה המשותף לכל החשבונות בהם דווח על בעיה הוא שבוצעה בהם הפקדה ראשונית בסך 5 דולר, שאחריה תוקפים שינו את סיסמת החשבון ואיפשרו אימות דו-שלבי (2FA) דרך מספר טלפון שאינו של המשתמש המקורי. הדבר איפשר להם למשוך כספים מחשבונות הבנק המקושרים למשתמשי המשחק. פול ליברמן, נשיא ומייסד שותף של DraftKings, צייץ בחשבון הטוויטר שלו כי ״כרגע אנו מאמינים שפרטי ההתחברות של הלקוחות נפגעו באתרים אחרים, ולאחר מכן שימשו לגישה לחשבונות ה-DraftKings שלהם, שם נעשה שימוש באותם פרטי התחברות. לא ראינו כל ראיה לכך שמערכות DraftKings נפרצו". בתוך כך, החברה המליצה ללקוחותיה שלא להשתמש באותה סיסמה ליותר משירות מקוון אחד. כמו כן, היא ממליצה ללקוחות שטרם נפגעו באירוע להפעיל מיד 2FA בחשבונותיהם ולהסיר מהם את הקישור לחשבונות הבנק שלהם. ההפסדים מחטיפת החשבונות עומדים על 300,000 דולר, ולדברי החברה יש בכוונתה לפצות את הלקוחות שנפגעו.

​

תוסף של Google Chrome משמש לגניבת מטבעות קריפטו וסיסמאות

התוסף VenomSoftX מותקן על ידי נוזקות לטובת גניבת מטבעות קריפטו ותוכן מלוח ההעתקה (Clipboard). כאשר משתמש גולש באינטרנט, התוסף מותקן על ידי הנוזקה ViperSoftX, המיועדת ל-Windows ומתפקדת כמעין RAT, ה״חוטף״ מטבעות קריפטו על בסיס JavaScript. הנוזקה ViperSoftX, הפועלת מ-2020, נחשפה על ידי חוקרי האבטחה קולין קאווי ו-Cerberus ופורסמה בעבר בדוח של Fortinet. כעת, דוח חדש של חוקרי Avast מספק פרטים רבים יותר על התוסף הזדוני, כאשר מתחילת השנה חשפה החברה ובלמה 93,000 ניסיונות הדבקה של ViperSoftX, בעיקר בארצות הברית, באיטליה, בברזיל ובהודו. לרוב, ViperSoftX מופצת על ידי קובצי טורנט המכילים קובצי ״פיצוח״ (Crack) למשחקים ותוכנות להפעלת מוצרים באופן פיראטי. מניתוח כתובות ארנקי הקריפטו שנמצאו בדוגמאות של ViperSoftX ו-VenomSoftX הסיקה Avast שהנוזקות הכניסו למפעיליהן כ-130 אלף דולר עד ל-8 בנובמבר השנה. עם הורדת קובץ ההפעלה של הנוזקה נוצרים חמישה קבצים, כאשר שורת הקוד הזדוני היחידה מוחבאת בסוף קובץ טקסט בנפח 5MB, המפעיל את ViperSoftX stealer. הגרסה החדשה של ViperSoftX אינה שונה מהותית מקודמותיהן, והיא מאפשרת גניבת מידע מארנקי קריפטו, הרצת קוד שרירותי, הורדת קבצים משרת C2 ועוד. השינוי המרכזי בגרסה זו מתבטא בהתקנת התוסף ViperSoftX בדפדפנים מבוססי Chrome. על מנת להימנע מגילוי על ידי המשתמש, התוסף מוסווה תחת השמות Google Sheets 2.1 או Update Manager. במהלך החקירה התגלה ש-VenomSoftX גונב מטבעות קריפטו על ידי חיבור לבקשות API לבורסות קריפטו פופולריות או לכאלה שהקורבן חבר בהן. כאשר מבוצעת בקשת API, התוסף משנה אותה לפני שהיא נשלחת, כדי להפנות את הכספים לארנקי התוקף, והוא אף מאפשר לשנות סכום ההעברה לסכום המקסימלי האפשרי. עוד מאפשר התוסף לשנות את ה-HTML של אתרים על מנת לתמרן את האלמנטים שברקע לשם הפניה מחדש של תשלומים לארנקי התוקף, וניתן להשתמש בו גם לגניבת סיסמאות שהוזנו בבורסות הקריפטו שהקורבן התחבר אליהן.

צוות קונפידס ממליץ למשתמשי דפדפנים מבוססי Chrome לבדוק את המצאות התוסף הזדוני במכשיריהם, בהתבסס על כך שתוסף Chrome לגיטימי של Google Sheets מותקן תחת chrome://apps/ ולא כתוסף. 

​

הנוזקות AXLocker ,Octocrypt ו-Alice מובילות גל חדש של תקיפות כופרה

בדוח של Cyble, החושף את המגמה, מתואר אופן הפעולה של שלוש הכופרות החדשות שהתגלו. כיום, כופרות מהוות את אחת ממשפחות הנוזקות הרווחיות ביותר עבור האקרים ונחשבות לאחת מבעיות אבטחת הסייבר המשמעותיות ביותר ברחבי האינטרנט.

AXLocker, הכופרה הראשונה המתוארת בדוח של Cyble, משמשת בעיקר לגניבת אסימוני Discord, וביכולתה להצפין מספר סוגי קבצים ולהוציא אותם לחלוטין מכלל שימוש, כל זאת באמצעות אלגוריתם ההצפנה AES. לאחר סיום ההצפנה תופיע במערכת הקורבן הודעת כופר, לפיה לשם קבלת כלי פענוח לשחזור הקבצים יש להעביר תשלום לידי התוקפים. מניתוח אופן פעולת הכופרה נמצא כי היא מסתירה עצמה באמצעות שינוי תכונות הקובץ וקוראת לפונקציה ()startencryption לשם הצפנת קבצים. פונקציה זו מכילה קוד לחיפוש קבצים על ידי ספירת הספריות הזמינות בכונן C, תוך חיפוש סיומות קבצים ספציפיות להצפנה (הקוד של נוזקה זו אינו כולל רשימת ספריות להצפנה). בשלב הבא נקראות פונקציות אחרות, לביצוע הצפנה נוספת, שאחריה הכופרה אוספת ושולחת אל התוקפים מידע רגיש, כגון שם המחשב, שם המשתמש, כתובת ה-IP של המכונה, מערכת ה-UUID ואסימוני Discord. לגניבת אלה האחרונים, הנוזקה מתמקדת בספריות הבאות:

• Discord\Local Storage\leveldb

• discordcanary\Local Storage\leveldb

• discordptb\leveldb

• Opera Software\Opera Stable\Local Storage\leveldb

• Google\Chrome\User Data\\Default\Local Storage\leveldb

• BraveSoftware\Brave-Browser\User Data\Default\Local Storage\leveldb

• Yandex\YandexBrowser\User Data\Default\Local Storage\leveldb

לבסוף, AXLocker מציגה חלון קופץ עם הודעת כופר ובה הנחיות ליצירת קשר עם התוקפים, לשם שחזור הקבצים המוצפנים.

הכופרה השנייה שנחקרה היא Octocrypt, שהינה מזן חדש של כופרות המכוונות לכל גרסאות Windows. הכופרה בונה, מצפינה ומפענחת בשפת Golang, ומפעיליה עובדים במודל של (Ransomware-as-a-Service (RaaS, או ״כופרה כשירות״, והחל מאוקטובר נצפו בפורומים של פושעי סייבר כשהם מציעים את כלי התקיפה שברשותם תמורת 400 דולר. ל-Octocrypt ממשק אינטרנטי פשוט לבניית המצפין והמפענח, ועמוד אינטרנט ייעודי בו מוצגים פרטי קורבנותיה. מניתוח הכופרה עלה שלאחר הרצת קובץ ההפעלה הבינארי שלה היא מתחברת לרשת המערכת הנגועה ובודקת את חיבור ה-TCP, על מנת לגשת לכתובת URL באמצעות בקשת API. לאחר מכן מתחיל תהליך ההצפנה, על ידי איסוף מידע על ספריות קיימות והצפנת קובצי הקורבן באמצעות האלגוריתם AES-256-CTR, כאשר לקבצים שהוצפנו נוספת הסיומת ”octo.״. לאחר מכן הכופרה טומנת במספר תיקיות הודעת כופר בדמותו של קובץ בשם "INSTRUCTIONS.html", ולבסוף משנה את רקע מכשיר הקורבן להודעה מאיימת בדבר תשלום כופר לכתובת ספציפית של ארנק Monero.

הכופרה האחרונה המנותחת בדוח היא Alice, שהוצעה גם היא בפורומים של פושעי סייבר ופועלת תחת מודל RaaS. הכופרה Alice מאפשרת לתוקפים ליצור קבצים בינאריים של כופרות עם הודעות כופר מותאמות אישית, שלאחר הזנתן ולחיצה על כפתור "בנייה חדשה" ב-Alice מופקים שני קובצי הפעלה, Encryptor.exe ו-Decryptor.exe. הרצת הכופרה על המחשב הנתקף מצפינה את קובצי הקורבן, מוסיפה להם את הסיומת "alice." ומניחה הודעות כופר בשם "How to Restore Your Files.txt" במספר תיקיות.

כופרות ממשיכות להוות סיכון גדול לחברות, ליחידים, לממשלות ולמדינות, וקורבנותיהן עלולים לאבד נתונים יקרי ערך כתוצאה מהמתקפות. לשם התגוננות מפני האיום הגובר ומשתכלל, יש ליישם במערכות שיטות ובקרות אבטחה מומלצות.

צוות קונפידס ממליץ להזין במערכות הגנה ארגוניות את מזהי התקיפה (IOCs) המופיעים במחקר המלא.

Google Play, חנות האפליקציות של Android, כבית לאפליקציות זדוניות 

במהלך החודשים האחרונים זוהו בחנות, הנתפסת כ״סביבה בטוחה״ למשתמשי Android, מספר אפליקציות זדוניות. בין היתר, חוקרי Bitdefender זיהו בה אפליקציות זדוניות אשר ״מקפיצות״ למשתמשים מספר רב של מודעות פרסומת שמובילות לאתרים זדוניים, בהם גלומה סכנה ליפול קורבן למתקפות משמעותיות יותר. עוד מצאו החוקרים כי לאחר הורדת האפליקציות אל המכשיר, ובהתאם למיקומו הגיאוגרפי של הקורבן, מורד הטרויאני הבנקאי SharkBot, שמשמשת לאיסוף מידע מהמכשיר. האפליקציות הזדוניות מוסוות כאפליקציות לניהול קבצים, אשר מראש מבקשות מהמשתמשים הרשאות גבוהות, הדרושות להורדת הנוזקות. דוגמאות לאפליקציות הזדוניות שנמצאו הן X-File Manager ,FileVoyager ו-LiteCleaner M.

צוות קונפידס ממליץ להימנע מהורדת אפליקציות שאינן מוכרות, ולהתקין על מכשירים אמצעי הגנה חכמים, שביכולתם לזהות אפליקציות וקבצים זדוניים.

​

נוזקת Aurora: איום חדש ב״מגרש של הגדולים״

חברת SEKOIA.IO חשפה פרטים אודות נוזקה חדשה לגניבת נתונים המכונה Aurora, ואשר מספטמבר נצפתה עלייה בדגימותיה ובשרתי ה-C2 המשמשים אותה ברחבי הרשת. הנוזקה אינה מזוהה או מתועדת היטב בפומבי, והיא ונמכרת ברשת האפלה כ-(Malware-as-a-Service (MaaS, או ״נוזקה כשירות״. במקביל, הופסקה פעילותו של הבוטנט Aurora, וההשערה היא שמפעיליו עברו להתרכז בפיתוח נוזקות לפי דרישה. זאת ועוד, בפורומים המשמשים כנופיות סייבר נצפו פרסומים אודות הנוזקה Aurora ויכולותיה המתקדמות, בהן חמיקה מזיהוי, גניבת נתונים ממקורות רבים, טעינת נוזקות נוספות וחוסר-תלות ברשת. מחירי הרישיונות להפעלתה עומדים על 250 דולר לחודש ו-1,500 דולר ללא הגבלה, ולדברי צוות החוקרים קבוצות תקיפה רבות הודיעו בפורומים ייעודיים שהוסיפו את הנוזקה לארסנל הנוזקות שלהם. הצהרות אלה תואמות את הגידול בדגימות הנוזקה שנצפו ברשת. כמו כן, נצפו שיטות שונות לפיתוי קורבנות להורדת הנוזקה, בהן דפי פישינג והורדות, ואף סרטוני YouTube. להערכת החוקרים, כל גורם המשתמש בנוזקה מפיץ אותה בדרך שונה.

Aurora, הכתובה בשפת התכנות Go, משתמשת בעיקר בספריית lxn/win, המיועדת למערכת ההפעלה Windows ומבססת את התקשורת שהנוזקה מקיימת באמצעות קריאות API המועברות בפרוטוקול TCP. שיטת איסוף המידע שלה מתבססת על לולאה עם שמות של דפדפנים, על הרחבות לדפדפנים ועל אפליקציות מוכרת ונתיבים גנריים המצויים במערכת ההפעלה. עוד מצאו חוקרי SEKOIA.IO כי שיטת טעינת הנוזקה מיושמת באמצעות ספריית net/http, אשר מורידה את הנוזקה מהנתיב שהוזן על ידי שרת ה-C2 ומפעילה אותה על ידי שימוש ב-PowerShell.

צוות קונפידס ממליץ להזין במערכות ההגנה של ארגונים את מזהי התקיפה (IOCs) שפורסמו, לגלות ערנות למיילי פישינג ולהוריד תוכנות ממקורות ידועים בלבד. 

​

הנוזקה DUCKTAIL ממשיכה לתקוף חשבונות עסקיים בפייסבוק

לאחר שביוני השנה פרסמה חברת WithSecure Labs דוח בנושא הנוזקה, בו חשפה קמפיין שהתנהל נגד ארגונים הפועלים בפלטפורמת העסקים והמודעות של פייסבוק, ולאחר שבאוקטובר פרסמה חברת Zscaler דוח נוסף בנושא (ראו ״הסייבר״, 20.10.22), כעת משחררת WithSecure Labs דוח שני על פעילות הנוזקה, המתמקדת בגניבת מידע. להערכת החברה מדובר בקמפיין מתמשך, שאינו קשור לקמפיין הקודם של DUCKTAIL, ואשר במסגרתו האקרים שככל הנראה פועלים מווייטנאם מתמקדים בעובדי חברות שעשויים להיות בעלי גישה לחשבון הפייסבוק של החברה. DUCKTAIL נועדה לגניבת קובצי עוגיות מדפדפנים ולניצול פעילויות פייסבוק מאומתות לגניבת מידע מחשבון הקורבן בפלטפורמה. לדברי צוות ה-IR של WithSecure Labs, קורבנות DUCKTAIL קיבלו דרך ה-WhatsApp קובצי ארכיון שהכילו את הנוזקה ושנועדו למערכת ההפעלה Windows. במקרים בהם לא יכלו ההאקרים להוסיף את המייל שלהם אל חשבונות הפייסבוק העסקיים של הקורבנות ובכך לגנוב אותם, הם הסתמכו על מידע שכבר הוציאו מהם וניסו להתחזות אליהם על מנת להשיג את מטרותיהם. מ-Meta, חברת האם של פייסבוק, נמסר כי היא מברכת על מחקרי האבטחה בנוגע לאיומים המכוונים נגד התעשייה, וכי בחברה ״מודעים להאקרים הללו, נוקטים באופן קבוע בפעולות נגדם וממשיכים לעדכן את מערכותינו על מנת לזהות את ניסיונות הפריצה שלהם. מכיוון שנוזקה זו מורדת בדרך כלל מחוץ לפלטפורמה, אנו ממליצים לגלות זהירות בנוגע לתוכנות המותקנות במכשירים".

צוות קונפידס ממליץ להזין במערכות ההגנה של ארגונים את מזהי התקיפה (IOCs) שפורסמו.

​

התגלו שני תוספי Chrome זדוניים שהורדו יותר מ-200,000 פעמים על ידי משתמשי Roblox

Roblox הינה פלטפורמת משחקים מקוונת, המאפשרת למשתמשיה לפתח משחקים ולשחק במשחקים שפותחו על ידי משתמשים אחרים. לאחרונה התגלו שני תוספים בשם SearchBlox, המתיימרים לאפשר למשתמשי Roblox לחפש בשרתי החברה אחר שחקן מסוים. התוספים מכילים דלת אחרוית המאפשרת להאקרים לגנוב Credentials מחשבון ה-Roblox ונכסים מ-Rolimons, פלטפורמת מסחר של Roblox. ב-22 בנובמבר חשבון לא רשמי של Roblox צייץ בטוויטר על כך שהתוסף מכיל דלת אחורית, ושיש להסירו ולשנות את סיסמאות המשתמשים שהתקינו אותו. בשעה זו טרם התברר אם מדובר בדלת אחורית שנוצרה בכוונת תחילה על ידי המפתחים או רק לאחר שבוצעה פגיעה בתוספים, אך זו אינה הפעם הראשונה שהתוסף SearchBlox פוגע במשתמשי Roblox, ובעבר כבר הוסר על ידי Google. מגזין אבטחת המידע BleepingComputer ניתח את התוספים ודיווח על הממצאים ל-Google, שמסרה בתגובה כי השניים הוסרו מחנות ה-Chrome ויוסרו באופן אוטומטי מהמחשבים בהם הותקנו.
צוות קונפידס ממליצים למשתמשי Roblox להסיר את התוסף (אם טרם הוסר), לשנות את סיסמאות חשבונותיהם ולנקות את העוגיות מחשבונות ה-Roblox וה-Rolimons שלהם ומאתרים אחרים שאליהם בוצעה התחברות בזמן שהתוסף היה מותקן.

​

אתרים מזויפים של MSI Afterburner מדביקים בכורי מטבעות קריפטוגרפיים

MSI Afterburner הוא כלי בעל יכולות גבוהות, שלרוב מצוי בשימוש מחשבים המיועדים למשחקים ומנטר ביצועי מערכת על מנת לאפשר למשתמשים לבצע שינויים בחומרה, להגברת תפוקת ביצועי המחשב. לאחרונה קבוצת חוקרים מחברת Cyble זיהו מספרי קמייפני פישינג המתמקדים בתוכנות MSI Afterburner לשם הערברת כורי קריפטו למחשבי קורבנות. הקמפיין מתבסס על עמודי פישינג מתוחכמים, שנראים כמו עמודי הורדה לגיטימיים של MSI Afterburner אך בפועל מורדת דרכם נוזקה המבצעת את תהליך הכרייה, לצד קובץ התקנה של תוכנת MSI Afterburner לגיטימית. הורדה כפולה זו מאפשרת לתוקף להקצות משאבי מערכת כמו GPU לטובת תהליך הכרייה ללא הסכמת המשתמש. צוות החוקרים זיהה במהלך שלושת החודשים האחרונים כ-50 אתרי פישינג המתמקדים ב-MSI Afterburner ומעבירים כורי קריפטו. במהלך חקירתו הוריד הצוות את הקובץ MSIAfterburnerSetup.msi מאחד מאתרי הפישינג הללו ומצא שהוא הכיל 4 קובצי הרצה, שבתוכם הנוזקה RedLine Stealer והתוכנה XMR Miner. במהלך הפעלת הקובץ MSIAfterburnerSetup.msi מותקנת תוכנת הכרייה XMR Miner ביחד עם תוכנת ה-MSI Afterburner, כאשר התקנת ה-XMR Miner מתבצעת בצורה ״שקטה״ ברקע, על ידי הזרקת קוד זדוני לתהליכים שרצים, ומבלי לשמור מטען זדוני בדיסק הקשיח. כורה הקריפטו מותקן על ידי Loader בשם browser_assistant.exe, שהוא קובץ התקנה מסוג PyInstaller. בעת הפעלתו של browser_assistant.exe, הוא מוריד מספר קבצים לתמיכה ב-Python לתוך תיקיית %temp%, בהם הקובץ Binary_Stub_Replacer.pyc, שאחראי על פעילות כורה הקריפטו. נוסף על תהליך הכרייה, הנוזקה אוספת מידע על המחשב ומעבירה אותו לשרת ה-C&C של התוקף.

צוות קונפידס ממליץ לחסום את מזהי התקיפה (IOCs) שפורסמו במחקר של Cyble, וכן להוריד תוכנות ממקורות ידועים בלבד ולהימנע מהורדת תוכנות ״פרוצות״ מטורנטים ומקישורים המופיעים באתרים ובפורומים שונים.