עדכון שבועי 26.05.2022

לידיעת משתמשי Linux: עלייה של 254% בפעילות הנוזקה הטרויאנית XorDdos

בחצי השנה האחרונה נרשמה עלייה של מאות אחוזים בשימוש בנוזקה, המאפשרת פגיעה בהפצות שונות של מערכת ההפעלה Linux ומשמשת לביצוע מתקפות מניעת שירות (DDoS) באמצעות רשת בוטים, המשבשות ואף משביתות את פעילות העמדות ושרתי הקורבנות. זאת ועוד, הנוזקה משתמשת בשיטות שונות להסוואת פעילותה הזדונית, לרבות את חדירתה למערכות. הכניסה הראשונית של התוקפים אל העמדה מתבצעת באמצעות מתקפת Brute-force נגד שירות ה-SSH שלה. לאחר שהנוזקה הותקנה על העמדה, היא מעבירה אל שרת הפיקוד והשליטה (C2) של התוקפים מזהים חשובים של העמדה שנפרצה, כגון סוג מערכת ההפעלה, רמת האחיזה שהושגה ומהירות הרשת (LAN) הזמינה למכונה, כל זאת באמצעות תקשורת המוצפנת בצופן Xor. בשלב הבא הנוזקה מצרפת לרשת הבוטים את העמדה הפרוצה לשם כריית מטבעות קריפטוגרפיים, הפצת נוזקות וביצוע מתקפות Brute-force נגד מחשבים אחרים ברשת עם שירות SSH פעיל. בכך מורחבת רשת הבוטים ומושגת שליטה מלאה במחשבים. הנוזקה, אשר כתובה בשפת C++\C, מאופיינת ביכולות התאמה עצמית להפצת מערכת ההפעלה ולארכיטקטורה של העמדה, וביכולות מתקדמות המאפשרות לה לחמוק מזיהוי. XorDdos, שנחקרה על ידי מיקרוסופט, מסוגלת לטשטש את עקבותיה באמצעות ביצוע פעולות סטנדרטיות המבוצעות באופן רנדומלי בין הפעולות הזדוניות, כמו גם באמצעות פיצול תהליכים על מנת להימנע ממעקב אחר תהליך האב, הוספת מחרוזות אקראיות בסוף קובץ הנוזקה ושינוי ערכיו לערכים ריקים על מנת לשנות ערך הגיבוב שלו, העתקת קובץ הנוזקה למספר תיקיות במערכת הקבצים ומחיקה שיטתית של קבצי המעקב וההיסטוריה של המערכת (Logs). בחלק מהמקרים נצפתה גם התקנת Rootkit המאפשר לנוזקה הרשאות גבוהות (Root), הסוואת חיבורי אינטרנט פעילים, ביצוע תהליכים על המחשב והתחמקות מגילוי. הנוזקה מתמידה בפעילותה באמצעות הנחת סקריפט init הפועל בעת עליית המחשב, כמו גם באמצעות שירות המשימות המתוזמנות Cron Jobs, המגדיר את הרצת הנוזקה בכל 3 דקות. פרטים נוספים ואינדיקטורים להימצאות הנוזקה ניתן למצוא כאן.

צוות קונפידס ממליץ על הפעלה של שירות SSH רק בזמן שהשימוש בו נדרש, ועל בחירת סיסמאות מורכבות.

חבילת פייתון זדונית מתקינה את הכלי Cobalt Strike על מערכות Mac, Windows ו-Linux

החבילה הזדונית pymafka מתחזה לחבילת הפייתון הלגיטימית PyKafka, המשמשת כלי עזר למפתחים בעבודתם עם פלטפורמת Kafka לעיבוד זרם נתונים. Pymafka, שהופיעה ב-17 במאי ב-PyPI Registry סומנה כזדונית על ידי הפלטפורמה Nexus של חברת Sonatype, המציעה פתרונות אוטומציה לניהול שרשרת אספקה. מבדיקה מעמיקה של החבילה, שבעת הדיווח רשמה כמעט 300 הורדות, התגלה כי היא שונה בתכלית מ-PyKafka, שהורדה יותר מ-4 מיליון פעמים. בחבילת pymafka, הסקריפט setup.py מזהה את מערכת ההפעלה של מחשב הקורבן ומוריד אליו את תוכנת Cobalt Strike, המיועדת לביצוע בדיקות חדירות, אך מרבה לשמש תוקפים למטרות זדוניות. עוד מורידה pymafka את הקובץ win.exe או macOS (בהתאם למערכת ההפעלה), המתקשרים עם שרת של Alibaba. מבדיקתה של Sonatype עלה שפחות משליש מתוכנות האנטי-וירוס זיהו את החבילה כזדונית בעת הדיווח ל-VirusTotal, כאשר במהלך גילויה הראשוני אף תוכנת אנטי-וירוס לא זיהתה אותה. לאחר ש-Sonatype דיווחה על החבילה ל-PyPI, האחרונה הסירה אותה משרתיה לפני שהגיעה ל-300 הורדות. את רשימת ה-IOCs הרלוונטיים ניתן למצוא כאן.

צוות קונפידס ממליץ על הורדת תוכנות אך ורק ממקורות רשמיים ואמינים. כמו כן, יש לגלות ערנות למספר ההורדות של תוכנות ולבדוק שמדובר בכמות הורדות העולה בקנה אחד עם פופולריות המוצר.

ארה״ב: מתקפת גניבת פרטי התחברות על לקוחות חברת GM חשפה מידע אישי של בעלי הרכבים

חברת הרכבים האמריקאית GM חשפה כי נפלה קורבן למתקפת גניבת פרטי התחברות (Credential Stuffing Attack) שבוצעה נגד פלטפורמת האינטרנט שלה, המשמשת את החברה לניהול חשבונות, למתן שירותים ולניצול שוברים של בעלי רכבים מתוצרת שברולט, ביואיק, GMC וקאדילק. במהלך המתקפה, אשר התרחשה בין ה-11 ל-29 באפריל ופגעה בכמעט 5000 חשבונות, בוצעו התחברויות זדוניות לפלטפורמת האינטרנט האמורה על ידי האקרים, שניצלו קופונים של לקוחות לרכישת Gift Cards. כמו כן, עם הפריצה המוצלחת לחשבונות, קיבלו ההאקרים גישה לשמות מלאים, לכתובות מייל ומגורים, למספרי הטלפון ששימשו להרשמה, לסיסמאות Wi-Fi, להיסטוריית הטיפולים והקילומטרז׳ של רכבים, למיקומו האחרון של המשתמשים ולמיקומים מועדפים, לתמונות פרופיל של הלקוחות ושל בני משפחותיהם ולהיסטוריית חיפושי מיקום. למרות זאת, לא נחשפו פרטים כגון מספרי תעודות זהות, מספרי ביטוח לאומי, ופרטי רישיונות נהיגה, כרטיסי אשראי וחשבונות בנק, משום שאין גישה לפרטים אלה דרך ממשק המשתמש. מן החברה נמסר כי היא תשחזר את הקופונים הגנובים, וכי מחקירה שביצעה לא עלו ראיות לפרצת אבטחה. במקום זאת, התוקפים השתמשו, לדבריה, בשמות משתמשים וסיסמאות שדלפו ממקורות אחרים. עוד נאמר כי החברה ביצעה פעולות להעלאת בטיחות המשתמשים בפלטפורמה, בהן חיוב המשתמשים שנפרצו לשנות את סיסמת ההתחברות שלהם, אך לדברי מגזין אבטחת המידע BleepingComputer טרם פעיל באתר אימות דו-שלבי (2FA), אשר היה יכול למנוע את המתקפה. בתוך כך, GM פרסמה מדריך ללקוחות בו מוסבר כיצד להגיש בקשה לקבלת דוחות על חשבונות הבנק שלהם, על מנת לבדוק אם התוקפים ניצלו את נקודות הזכות שעמדו לרשותם, וכן כיצד לבצע פעולות רלוונטיות, במידת הצורך.

צוות קונפידס ממליץ על שימוש בסיסמאות שונות לכל פלטפורמה אינטרנטית, על מנת שלא ליפול קורבן בהתרחש מתקפות מסוג זה.

חולשה שהתגלתה במנעולים דיגיטליים מסכנת מיליוני מערכות טכנולוגיות ומאפשרת פתיחת מכוניות כאשר בעליהן אינו בקרבתן

החולשה, שפורסמה השבוע על ידי סוכנות הידיעות רויטרס, רלוונטית למיליוני מערכות מסביב לעולם, כולל מכוניות ״טסלה״, מנעולים מבוססי טכנולוגיית Bluetooth ומוצרים נוספים. בסרטון שפרסם חוקר אבטחת המידע סולטן קאסים בשיתוף רויטרס, הוא מוכיח כי הצליח לפתוח מכונית מסוג ״טסלה״ באמצעות יצירת ״גשר״ בינה לבין מחזיק המפתח (בעל הרכב), כאילו המפתח מצוי בקרבת הרכב. הממצא מוכיח כי כל מנעול המבוסס על (BLE (Bluetooth Low Energy חשוף לחולשות דומות ועלול להיפתח על ידי תוקף. נכון לכתיבת שורות אלה, לא פורסמו מזהי חולשות ולא התקבלה תגובה מיצרניות רלוונטיות, לרבות ״טסלה״. 

PayPal: נמצאה פרצה המאפשרת גניבת כספים מקורבנות ללא ידיעתם

הפרצה נמצאה לפני כ-7 חודשים על ידי חוקר אבטחה המכונה h4x0r dz, והיא מאפשרת להוליך קורבנות שולל באמצעות טכניקת Clickjacking ולגרום להם לשלם לתוקף ללא ידיעתם. חולשה זו נובעת מאלמנט במערכת של PayPal שאליו נשלחים אישורי עסקאות: בעוד שאלמנט זה אמור לקבל רק Tokens מסוג BillingAgreementToken, לאחר מחקר מעמיק מצא החוקר כי זה אינו סוג ה-Token היחיד שאותו האלמנט לקבל. לאחר שהרכיב בקשת GET מיוחדת המחזירה Token שמאפיין את הרכישה (או הגניבה), ומורכבת מכתובת המייל של התוקף (המשמשת ככתובת למשלוח הכסף) ומהסכום שנבחר על ידו, החוקר שלח אותה אל האלמנט האמור ומצא שהכספים מועברים מחשבון הקורבן לחשבון התוקף ללא כל בקשת אישור או הודעה מקדימה. יש לציין כי על מנת שהבקשה תצלח, על הקורבן להיות מחובר לחשבון ה-PayPal שלו באותו הרגע. PayPal תגמלה את החוקר בסכום של 200 אלף דולר על מציאת החולשה, שנכון לכתיבת שורות אלה טרם ברור אם תוקנה.

צוות קונפידס ממליץ למשתמשי PayPal להתחבר למערכת רק לשם ביצוע פעולות, ולהתנתק ממנה מיד עם סיום השימוש בפלטפורמה. 

חוקרי מיקרוסופט: הונאות Web Skimming הופכות מתוחכמות וקשות יותר לזיהוי 

Web Skimming היא הונאת אינטרנט המתבססת על גניבת אמצעי תשלום באמצעות הזרקת קוד זדוני לדף התשלום והפעלת סקריפט שגונב את הפרטים. לרוב, ההונאה מכוונת למערכות לניהול תוכן (CMS) ולפלטפורומות כמו Magento, PrestaShop ו-WordPress, הפופולריות בקרב חנויות אינטרנט שעושות שימוש בתוספי צד ג׳, העלולים להיות פגיעים, ובשל כך להוות מטרה לתוקפים. השם Magecart מתייחס למספר קבוצות תקיפה עיקריות המזוהות עם הונאות Web Skimming. לאחרונה, חוקרים בצוות המחקר של Microsoft 365 Defender זיהו קמפיינים מסוג זה העושים שימוש בטכניקות של ערפול והסתרת סקריפטים זדוניים בצורה שמאפשרת לתוקפים לחמוק מפתרונות אבטחה מסורתיים. באחד הקמפיינים השתמשו התוקפים בטכניקה לערפול הסקריפט הזדוני באמצעות קידודו ב-PHP והסוואתו בקובץ תמונה. בקמפיינים אחרים, בנוסף להחדרת הסקריפט הזדוני, התוקפים הפיצו בשרתי אינטרנט סוסים טרויאנים בגישה מרחוק (RSA), דבר המצביע על כוונתם להתמקד בהחדרת הסקריפט בצד השרת, ובכך לעקוף הגנות על דפדפנים כמו Content Security Policy, שתפקידה למנוע טעינת סקריפטים חיצוניים. הונאה זו עלולה להשפיע על ארגונים רבים, שכן היא גורמת להפסדים כספיים ולפגיעה באמון הלקוחות ובמוניטין החברה. אי לכך, חשוב מאוד לעקוב אחר ההתפתחויות בנושא ולוודא שמערכות ה-CMS, פלטפורמות המסחר והתוספים הרלוונטיים מעודכנים כולם. עוד יש לוודא ששירותי צד ג׳ מורדים ממקורות אמינים. IOCs של התקיפות מצויים כאן.
צוות קונפידס ממליץ לגולשים המבצעים רכישות באינטרנט לוודא גלישה מאובטחת, במיוחד בדף התשלום.

IBM: תוקפים איראניים שינו את הקוד המקור של Fast Reverse Proxy למטרות זדוניות
מניתוח של אפליקציית ה-Open-source, המשמשת בעיקר למטרות לגיטימיות ומתאפיינת בקהילה רחבה ב-GitHub, עלה כי קבוצת תקיפה איראנית ביצעה שינויים בקוד המקור שלה על מנת להוסיף לקובץ בינארי יכולות אנומרציה (מניה) של קבצי מערכת, כל זאת לביצוע דלף מידע והשגת יכולות נוספות במערכות הנתקפות. באפליקציה, הפועלת כ-Reverse Proxy על שרת מקומי מאחורי חומת אש או NAT, יכולים תוקפים להשתמש ליצירת חיבור עם שרתי C2 או עם ערוצי דלף מידע. השינוי שבוצע בקוד האפליקציה הופך אותה לכלי Backdoor, המבצע תקשורת עם שרת C2 ומשמש כפרוקסי מעבר ל-Firewall.