עדכון שבועי 27.10.2022

״פשיעת הסייבר היא איום ממשי על הביטחון הלאומי נוכח הנזק הכספי המצרפי, וכן בשל השחיקה שהיא גורמת לאורך זמן לרציפות התפקודית, לחוסן הכלכלי, ליכולת להגן על הפרטיות ולאמון הציבור בשלטון החוק. הראייה ההוליסטית והשילוביות בין היתרונות היחסיים של כלל השחקנים, היא זו שתביא את הבשורה.״ 

​

גבי פורטנוי, ראש מערך הסייבר הלאומי בכינוס השביעי של ועדת דוידי, 26.10.2022.

ה-CERT האוקראיני מזהיר מפני תקיפות של כופרת Cuba נגד סוכנויות ממשלתיות

החל מה-21 באוקטובר, צוות החירום של אוקראינה לטיפול באירועי מחשב (CERT-UA) צפה בגל חדש של הודעות פישינג המתחזות לשירות העיתונות של המטה הכללי של הכוחות המזוינים של אוקראינה, במטרה לגרום לנמענים ללחוץ על קישור המצוי בגוף מייל הפישינג. אי לכך, ה-CERT-UA פרסם התרעה מפני מתקפות פוטנציאליות של כופרת Cuba נגד רשתות קריטיות במדינה. לדברי מגזין אבטחת המידע BleepingComputer, הודעות הפישינג מכילות קישור המעביר את הנמען לדף אינטרנט של צד שלישי, על מנת להוריד, כביכול, מסמך בשם "Наказ_309.pdf". ואולם, עם ההגעה לעמוד מוצגת למשתמש התרעה מזויפת, לפיה עליו לעדכן תחילה את קורא ה-PDF שלו כדי לצפות במסמך, על ידי לחיצה על כפתור "הורד". בפועל, לחיצה על הכפתור מובילה להורדת קובץ הפעלה (AcroRdrDCx642200120169_uk_UA.exe) ששמו דומה לזה של התקנת Acrobat Reader. עם הפעלת הקובץ מותקן ומופעל הקובץ rmtpak.dll, המכיל את הנוזקה RomCom RAT המיוחסת ל-Cuba.

ה-CERT-UA מייחס את הפעילות ל-Cuba על סמך השימוש שעושה RomCom בדלת אחורית ובתכונות נוספות של הקבצים הקשורים לפעילותה, וכן לקבוצת התקיפה (Tropical Scorpius (Unit42, הידועה גם בשם (UNC2596 (Mandiant, שאחראית על הפצת הכופרה של Cuba. דיווח נוסף שפורסם אתמול על ידי BlackBerry מספק כמה פרטים נוספים על השימוש ב-RomCom נגד מוסדות צבאיים באוקראינה, ומציין שקובץ ההפעלה הזדוני ששימש בהתקפות חתום בתעודה דיגיטלית תקפה. לדברי BlackBerry, הנוזקה גבתה קורבנות גם בפיליפינים, בברזיל ובארצות הברית.

סייבר בעולם

מיקרוסופט מאשרת: הגדרה לא נכונה של שרתיה הובילה לדלף מידע של יותר מ-65 אלף חברות

על פי הודעת החברה, מידע של אלפי לקוחות היה נגיש באינטרנט באופן פומבי, עקב גישה לא מאושרת שנגרמה בעטייה של הגדרה לא נכונה ברכיב Azure Blob Storage. הדבר נצפתה לראשונה ב-24 בספטמבר על ידי חברת אבטחת הסייבר SOCRadar, שכינתה את הדלף בשם BlueBleed. עוד נמסר ממיקרוסופט כי החלה להודיע על הדליפה ללקוחות שהושפעו ממנה, אך לא נמסר מידע אודות היקפה. לדברי SOCRadar, מדובר ביותר מ-65 אלף חברות ב-111 מדינות, ובמידע בנפח של כ-2.4TB, הכולל חשבוניות, הזמנות של מוצרים, מסמכים חתומים של לקוחות ועוד. ככל הנראה, מדובר בקבצים משנת 2017 ועד לאוגוסט השנה. במסגרת דלף המידע נמצאו גם פרטים של חברות ישראליות. מנגד, מיקרוסופט טוענת כי המידע שדלף מכיל שמות, כתובות מייל, אנשי קשר ומספרי טלפון, וכי חברת SOCRadar הפריזה בהיקף ההדלפה, היות שבפועל המידע מכיל כפילויות. לדבריה, לא נמצאו ראיות לגישה לא מאושרת אל השרתים לפני ה-24 בספטמבר, אך המידע שדלף עלול לשמש למטרות זדוניות, כגון סחיטה, הנדסה חברתית ועוד. בתוך כך, SOCRadar פרסמה כלי חיפוש חינמי לבדיקת מידע שנחשף בהדלפה, ואשר חושף את הקורבנות ל״סיכוני אבטחה מיותרים״. 

​

חולשה קריטית במכונות של VMware מנוצלת בקמפיינים רבים המפיצים נוזקות 

צוות המחקר של Fortinet זיהה מקרים של ניצול החולשה (CVE-2022-22954, CVSS 9.8) באופן פעיל, על אף שכבר בחודש אפריל פורסם עדכון אבטחה שנתן לה מענה (גרסה KB88099). הניצול שנרשם הוא במסגרת קמפיינים המפיצים את הנוזקה Mirai, המיועדת לבוטנטים ומאפשרת שליטה מרחוק על העמדה באמצעות שרת C2, את הכופרה RAR1Ransom, המצפינה את כל תכולת העמדה באמצעות WinRARֿ ולאחר ההצפנה והדחיסה לארכיון מוחקת מן העמדה את קובץ המקור ומותירה מכתב המכיל בקשת דמי כופר בתמורה למפתח ההצפנה, והנוזקה הטרויאנית GuardMiner, הכורה מטבעות קריפטוגרפיים, מבוססת על נוזקת XMRig, שמנצלת את משאבי העמדה עבור הכרייה, ומצוידת במנגנונים מתקדמים להתחמקות מזיהוי: כאשר GuardMiner מזהה שמנסים לחפש את שמות תהליכיה, היא מסירה עצמה מן העמדה הנגועה. עוד נמצא במחקר שכתובות ארנקי הקריפטו של RAR1Ransom ושל GuardMiner זהות, מה שמעיד על כך שהן נפרסות על ידי אותה כנופיית סייבר. 

צוות קונפידס ממליץ להקפיד על שגרת עדכונים של מוצרים בהם נעשה שימוש ולגלות ערנות לתהליכים חשודים או לניצול מוגבר של משאבי עמדות. 

​

משטרת ברזיל עצרה חבר בקבוצת התקיפה $Lapsus 

ב-19 באוקטובר הודיעה המשטרה הפדרלית הברזילאית שהמעצר התבצע כחלק ממבצע האכיפה Dark Cloud, אשר החל באוגוסט השנה. למרות שבהודעה לא נמסרו פרטים אודות החשוד, נראה כי מדובר בנער ולא בבגיר. לדברי המשטרה, החקירה בנוגע למעורבותו בפעילותה של $Lapsus החלה בדצמבר 2021, בעקבות מתקפה שביצעה הקבוצה על אתר משרד הבריאות של ברזיל, לה קדמו מתקפות על גופי ממשל ברזילאים נוספים (ראו ״הסייבר״, 16.12.21), בהם משרד הכלכלה, משטרת התנועה ועוד. מעצרו של החשוד מגיע לאחר מעצר של 7 חשודים בחברות ב-$Lapsus על ידי משטרת לונדון בסוף חודש מרץ השנה, ומעצר נוסף של חשוד בן 17 מלונדון, שהשתתף בתקיפותיה על Uber ו-Rockstar Games. הקבוצה עלתה בשנה האחרונה לכותרות בעקבות פריצותיה לגופים גדולים, כמו מיקרוסופט, Cisco ,Samsung ,Ubisoft ועוד (ראו, ״הסייבר״, 3.3.22 ו״הסייבר״, 17.3.22).

​

קבוצת תקיפה איראנית המכונה Black Reward הדליפה כ-27GB של מידע מתוכנית הגרעין של איראן

הקבוצה ה״האקטיביסטית״ הצליחה לפרוץ לרשת הפנימית של הסוכנות האיראנית לאנרגיה גרעינית ואף נהנתה מגישה חופשית למערכת המיילים שלה. הסוכנות שנפרצה אימתה את דבר האירוע בהודעה לתקשורת, ונכון לשעה זו טרם האשימה גוף או מדינה כלשהם כעומדים מאחורי התקיפה. הקבוצה הדליפה בעמוד הטלגרם שלה אלפי קבצים ומסמכים הכוללים, בין היתר, חוזים, תוכניות בנייה ופרטים על ציוד מהכור הגרעיני שבבושהר, כאשר על פי ציוץ בטוויטר של המשתמש vx-underground, נראה שההדלפה כללה גם סרטונים בהם מוצגים צילומים מתוך הכור עצמו. נכון לכתיבת שורות אלה, טרם התברר אם דלפו מסמכים מסווגים העלולים לפגוע בתוכנית הגרעין של איראן ואם קיים ברשות הקבוצה מידע רגיש נוסף, שלא הודלף. למרות שטרם התבררו זהותה האמיתית ומקורה של Black Reward, לטענת הקבוצה היא מבצעת את הפעולות בשם המחאות המתקיימות בעת הנוכחית באיראן.

​

חוקרים מצאו ברחבי GitHub אלפי ״הוכחות היתכנות״ זדוניות לחולשות 

חוקרים במכון ליידן למדעי המחשב שבהולנד מצאו אלפי מאגרים המציעים הוכחות היתכנות (PoC) מזויפת עבור חולשות שונות, חלקן משמשות כ-Droppers לנוזקות נפוצות וחלקן בעלות חלקי קוד זדוניים עצמאיים, המבצעים פעולות שונות. לדברי החוקרים, ההוכחות פורסמו בין השנים 2017-2021, ורובן אינן עובדות, אלא רק מנסות לחלץ מידע מהעמדה עליה הן רצות או להתקין עליה נוזקה, חלקן אף אינן מציעות כל פונקציה הקשורה לניצול החולשה שעל הפרק. מאגרים אלה ב-GitHub מכוונים בעיקר לבודקי חוסן ולאנשי Red teams, ומי שעומד מאחוריהם מנסה, ככל הנראה, לפלס לו דרך קלה יותר אל רשתות ארגונים, על ידי הרצת ״הוכחת היתכנות״ מזויפת. במחקר הורדו מ-GitHub ונחקרו 47,313 מאגרים, מתוכם 4,893 (כ-10%) התגלו כמאגרים זדוניים המקיימים תקשורת עם כתובות זדוניות, מריצים קוד זדוני או מנסים להתקין נוזקה.

​

ה-CISA מוסיפה 9 חולשות ל״קטלוג החולשות הידועות המנוצלות״

הסוכנות האמריקאית להגנת סייבר ותשתיות (CISA) הוסיפה ב-20, ב-24 וב-25 באוקטובר 9 חולשות לקטלוג שהיא מתחזקת, בהתבסס על עדויות לניצולן האקטיבי על ידי תוקפים. החולשות רלוונטיות למוצרים של Linux ,Zimbra ,GIGABYTE ,Cisco ו-Apple. החולשה (CVE-2022-41352, CVSS 9.8) ב-Zimbra מסווגת כקריטית ומצויה במערכת ה-Zimbra Collaboration (ראו ״הסייבר״, 13.10.22); החולשה (CVE-2021-3493, CVSS 7.5) ב-Linux מצויה ב-Kernel ועלולה לאפשר העלאת הרשאות (חולשה זו פורסמה בתחילת 2021 והיא רלוונטית למערכת ההפעלה Linux ולחבילות נוספות); מבין 4 החולשות שנמצאו במוצרי GIGABYTE, החמורה ביותר (CVE-2018-19323, CVSS 9.8) מסווגת כקריטית ועלולה לאפשר קריאה ועריכה של רכיבים ספציפיים; מבין שתי החולשות שנמצאו במוצרי Cisco, החמורה ביותר (CVE-2020-3433, CVSS 7.8), היא ברמת חומרה גבוהה ומקורה ברכיב ה-Cisco AnyConnect Secure Mobility Client, שמצוי על גבי פלטפורמת Windows. החולשה עלולה לאפשר לתוקף מקומי להריץ קוד בהרשאות מערכת; החולשה (CVE-2022-42827, CVSS 7.5) ב-Apple, שרמת חומרתה גבוהה, מצויה ב-Kernel ועלולה לגרום להשחתת נתונים, לקריסת מערכת ולהרצת קוד עם הרשאות גבוהות (הרשאות Kernel). על אף שרק סוכנויות פדרליות מחויבות לטפל בחולשות המופיעות ברשימה, ה-CISA ממליצה לכל ארגון לפעול לטיפול בהן, על מנת לצמצם את חשיפתו לתקיפות סייבר.

צוות קונפידס ממליץ למשתמשי המוצרים של החברות האמורות לעדכנם לגרסאותיהם האחרונות.

​

קמפיין חדש מנצל את תקופת הניסיון החינמית הניתנת בפלטפורמות CI/CD

צוות המחקר של Sysdig חשף קמפיין תקיפה מאסיבי המתבצע באמצעות פעולות GitHub לכריית מטבעות קריפטוגרפיים ומנצל פלטפורמות CI/CD, בהן GitHub, Heroku, Buddy.works ואחרות. הקמפיין, המכונה PURPLEURCHIN, הוא מסוג Freejacking, ומתבסס על ניצול משאבי מחשוב במהלך תקופת הניסיון החינמית הניתנת לחשבונות בפלטפורמות שונות. במסגרת PURPLEURCHIN נעשה שימוש באוטומציות מתוחכמות לעקיפת מנגנוני ההגנה של ספקי שירותים, כאשר לדברי צוות המחקר הקמפיין מנצל כיום 30 חשבונות GitHub, כ-2,000 חשבונות Heroku וכ-900 חשבונות Buddy. ככל הנראה, המניע העיקרי לקמפיין הוא כלכלי, והוא מתמקד בהרחבת פעילותו והרצת כורים וירטואליים בכמה שיותר סביבות וחשבונות. על פי ההערכות, לאור המשאבים בהם הוא משתמש יידרש שימוש בעלות של 100,000 דולר לייצור מטבע (Monero (XMR אחד. מכאן נובע שנכון לעכשיו PURPLEURCHIN מכוון להכנסות נמוכות בסיכון נמוך, וכורה מטבעות פחות דומיננטיים ומנוטרים מאשר Bitcoin או Monero. עם זאת, הדבר מעלה תהיות בנוגע למטרותיו האמיתיות של הקמפיין.

ניצול החשבונות נעשה באמצעות הרצת סקריפט github-actions.yml, אשר מוסיף מפתח SSH כדי לאפשר שימוש בשורת הפקודה GitHub command line utility ופתיחה של Repository המכניס את נהלי העבודה לתוך ההסתעפות הראשית. שירות ה-Docker מגיע עם תכונות מוגדרות מראש בקובץ ההתקנה ונמצא במאגרי Docker Hub, המכילים מאות קבצי מערכת ייעודיים לכריית המטבעות ומנוהלים תחת שרת ה-C2 שיושב בסביבת הקונטיינר.

עוד נצפו חשבונות המשויכים לקמפיין שנמחקו מ-GitHub, אך לא ידוע אם מדובר בהסרה על ידי ספק השירות, שמנסה למחוק את החשבונות הנגועים, או בפונקציה מתוחכמת שמוחקת את החשבון עם סיום תקופת הניסיון. ממצאים נוספים הינם סקריפט המיועד לפלטפורמת CircleCI, המארחת בקר שמופעל בתוך קונטיינר ומשמש את התוקפים לקבלת סטטיסטיקות אודות כורים פעילים ומצב הארנקים הדיגיטליים שלהם, וכן קישור לחשבון Salesforce ולחשבון Fly.io.

צוות קונפידס ממליץ לכל המשתמשים בסביבות CI/CD וענן לנטרן באופן פעיל על מנת לזהות הדבקות. 

​

הנוזקות MajikPOS ו-Treasure Hunter תוקפות עשרות נקודות מכירה וגונבות פרטי תשלום

מומחי מודיעין האיומים של Group-IB פרסמו דוח המנתח את אופן פעולתן של שתי הנוזקות, שנצפו מדביקות עשרות מסופי תשלום, בעיקר ברחבי ארצות הברית. נוזקות של נקודת המכירה (POS) הן סוג של נוזקות המיועדות למסופי קופה, ואשר הגונבות נתוני תשלום שמאוחסנים בפסים מגנטיים המצויים בגבם של כרטיסי אשראי. בשנים האחרונות ירדה מידת הפופולריות של נוזקות POS בשל מנגנוני ההגנה המוטמעים במערכות מודרניות לעיבוד כרטיסי אשראי במרבית המדינות, אך הן עדיין קיימות ומהוות איום חמור על אנשים ועסקים באזורים שבהם כרטיסי אשראי עם פסים מגנטיים משמשים כמנגנון עיבוד התשלומים העיקרי. אחד מהאזורים הללו הוא ארצות הברית.

לאחר שהמומחים של Group-IB זיהו וניתחו שרת פיקוד ובקרה (C2) של נוזקת POS בשם MajikPOS, הם קבעו שהוא מארח גם פאנל ניהולי של C2 השייך לנוזקת POS אחרת, Treasure Hunter, המשמשת גם היא לאיסוף נתוני כרטיסי אשראי. לאחר ניתוח התשתית הזדונית, החוקרים שלפו מידע על המכשירים הנגועים ועל כרטיסי האשראי שנפגעו בקמפיין, ומצאו כי מפעיליו גנבו יותר מ-167,000 רישומי תשלום, בעיקר בארצות הברית, ועל פי ההערכות יוכלו לשלשל לכיסם עד 3,340,000 דולר ממכירת המידע בפורומים מחתרתיים.

בשל מנגנוני ההגנה הקיימים בתעשיית עיבוד התשלומים, לנוזקות מסוג POS יש מנגנון הצפנת נתונים המיושם בשלבים העיקריים של עיבוד התשלום. לאחר מכן, פענוח הנתונים שהוצפנו מתרחש רק בזיכרון הגישה האקראית (RAM) של מכשיר ה-POS, שבו פרטי תשלום רגישים מאוחסנים כטקסט רגיל. דבר זה הפך את זיכרון ה-RAM למטרתן העיקרית של הנוזקות הללו, כאשר תהליך הוצאתם של פרטי תשלום רגישים מהכרטיס מכונה ״גירוד RAM״. כמעט לכל נוזקות ה-POS יש פונקציונליות הדומה לזו של מכונות לגיטימיות לחילוץ נתונים מכרטיסי אשראי, אך שיטות שונות לשמירה על הגישה למכשירים הנגועים ולעיבוד הנתונים. 

צוות קונפידס ממליץ לארגונים ליישם מדיניות סיסמאות קפדנית, לעדכן תוכנות בזמן, להחיל פתרונות הגנה ברשת ולאפשר ב-Firewall תקשורות רק לכתובות ידועות.

​

האקר אוקראיני נעצר בהולנד בגין מעורבותו בפעילות הנוזקה Raccoon Stealer; ממתין להסגרה לארה״ב

מארק סוקולובסקי (26), החשוד במעורבות בפעילותה של ה״נוזקה כשירות״ (MaaS, או Malware-as-a-Service), נעצר על ידי רשויות אכיפת החוק ההולנדיות והאיטלקיות לאחר שברח מאוקראינה ב-4 במרץ, ויוסגר בהמשך לארצות הברית. סוקולובסקי פעל בפורומים של האקרים תחת מספר חשבונות ושמות, בהם Photix ,raccoonstealer ו-black21jack77777, על מנת לפרסם את השירות. Raccoon Stealer, שהופצה בעיקר במסווה של של תוכנות פרוצות, הינה נוזקה יעילה לגניבת מידע, בעיקר בשל האפשרויות הרחבות שהיא מציעה, בהן גם התאמה אישית. הנוזקה היתה פעילה מאפריל 2019 עד מרץ השנה. למרות שתחילה יוחסה העצירה בפעילותה למותו של מפתחה, כביכול, במלחמת רוסיה-אוקראינה, כעת מתברר שהדבר נעוץ במעצרו של סוקולובסקי. ואולם, גרסה של Raccoon Stealer הכתובה בשפת C++/C נצפתה בפורומים כבר ביוני השנה. לדברי לשכת החקירות הפדרלית (FBI), הנוזקה סייעה לגניבת יותר מ-50 מיליון רשומות מידע, בהן 4 מיליון כתובות מייל, וכן חשבונות בנק, כתובות ארנקי קריפטו, מספרי כרטיס אשראי ועוד. היקף הגניבה הוביל להקמת אתר לבדיקת כתובות מייל מול מאגר המידע של Raccoon Stealer. עוד נמסר מה-FBI כי עלות השימוש בשירותי הנוזקה עמדה על כ-200 דולר לחודש, ששולמו באמצעות מטבעות קריפטו. סוקולובסקי מואשם בקשירת קשר לביצוע הונאה, הונאת סייבר והלבנת כספים וכן בגניבת זהויות. במידה ויימצא אשם, הוא צפוי לקבל עונש מאסר של 27 שנים.

סייבר בישראל

קבוצת האקרים רוסית שככל הנראה משויכת לקרמלין הפילה את אתר הכנסת בתגובה לסיוע הישראלי לאוקראינה

הקבוצה, המכונה Xaknet, ביצעה על האתר מתקפת מניעת שירות (DDoS) שנמשכה מספר דקות, במהלכן האתר לא היה זמין. לטענת הקבוצה, אשר הגיבה בנושא בערוץ הטלגרם שלה, המתקפה הינה תגובה לסיוע הישראלי לאוקראינה, כאשר על פי דיווחים ישראל הזהירה את הכוחות האוקראינים מפני מתקפות של מזל״טים איראנים בשליחות רוסיה. עוד הוסיפה Xaknet שאם מדינת ישראל תמשיך לסייע לאוקראינים - יימשכו המתקפות, תוך ניצול מרבית המשאבים שברשות הקבוצה. לדבריה, בפעמים הבאות היא לא תסתפק במתקפת DDoS בלבד. מן הכנסת נמסר כי מטעמי אבטחה הארגון נמנע מלהגיב לאירועים מסוג זה. מהממצאים שבידי חברת קונפידס עולה כי מערכת ההגנה של אתר הכנסת הורידה את האתר כתוצאה מריבוי בקשות HTTP שנשלחו מצד התוקפים. עוד עולה כי אין קשר בין המתקפה לבין הבחירות שיתקיימו בשבוע הבא.

​

ראש ממשלת אלבניה אדי רמה הגיע לביקור מדיני בישראל לשם קבלת סיוע בחיזוק מערך הסייבר של מדינתו

הרקע לביקור, שהתקיים ב-23 באוקטובר, הוא מתקפות הסייבר (ראו ״הסייבר״, 21.07.22) החריפות שביצעה איראן נגד אלבניה, ואשר הובילו לניתוק היחסים הדיפלומטיים בין שתי המדינות בחודש שעבר. במהלך המתקפה, שאירעה ב-15 ביולי, הושבתו באופן זמני שורה של אתרי ממשל, לרבות שירותים דיגיטליים שסופקו באמצעותם. ההחלטה על ניתוק היחסים הדיפלומטיים עם איראן התקבלה בתום חקירה נרחבת של האירוע, אשר סיפקה "ראיות בלתי ניתנות לערעור" לכך שאיראן עמדה מאחוריה. לדברי רמה, איראן רתמה אל המתקפה ארבע קבוצות האקרים, שעמדו מאחורי מתקפות סייבר נגד ישראל, סעודיה, ירדן, איחוד האמירויות, כוויית וקפריסין. על פי דיווחים אלבניים, במהלך המתקפה הודלפו ממאגרי המדינה נתונים אישיים של חברי ממשלה.