עדכון שבועי 09.06.2022

מתקפת סייבר משבשת את פעילותן של אלפי מצלמות אבטחה ברחבי טהרן

כלי תקשורת באיראן מדווחים כי המתקפה השפיעה על כ-5,000 מצלמות אבטחה המצויות בשימוש הממשלה. בתוך כך, ארגון אופוזיציה של גולים איראנים לקח אחריות על האירוע, ואף דיווח כי הצליח, בין היתר, לפרוץ למצלמות הסובבות את קברו של האייתוללה רוחאללה ח׳ומייני, מייסד הרפובליקה האיסלאמית, ולהשבית את אתר האינטרנט של עיריית טהרן ושל מערכות תקשורת אחרות המשמשות את בירת איראן. עוד פרסם הארגון סרטון בו נראים אתרים איראניים, לרבות אתרה של עיריית טהרן, לאחר שנשתלו בהם הודעות בגנות ח׳ומייני ותמונות של המנהיג הנוכחי של איראן, עלי ח׳אמינאי, עם סימן X אדום על פניו, לצד קריאה להתקומם נגד משטר האייתוללות במדינה. המתקפה מתרחשת במקביל להיערכות באיראן לציון יום השנה ה-33 למותו של ח׳ומייני. 

​

מיקרוסופט חוסמת את השימוש ב-OneDrive לקבוצת התקיפה הלבנונית Polonium, אשר פרצה לרשתותיהן של חברות ישראליות

עוד נחסמה גישתה של הקבוצה הידועה ל-20 יישומים נוספים המבוססים על הפלטפורמה ושימשו לפריצה, כל זאת לאחר שנצפה שימוש שעשתה בחשבונות לגיטימיים ב-OneDrive לצורכי דלף מידע ופיקוד ושליטה (C&C) במסגרת תקיפות ממוקדות של ארגונים ישראלים. מאז פברואר השנה התמקדה פעילות הקבוצה בחברות ישראליות ממגזרי הייצור, ה-IT והביטחון, כאשר להערכת מיקרוסופט הפעילות בוצעה משטח לבנון ובשיתוף גורמים המזוהים עם משרד המודיעין והביטחון של איראן. בתקיפותיה השתמשה Polonium במספר זנים של תוכנות זדוניות, כגון שתלי CreepySnail מבוססי CreepyDrive ו-PowerShell, לשליטה ובקרה ולגניבת נתונים. במרבית התקיפות, וקטור הכניסה היה ניצול חולשה ידועה (CVE-2018-13379) במכשירי Fortinet SSL VPN שאינם מעודכנים, המאפשרת גישה והורדת קבצי מערכת ללא הזדהות. הקישור לאיראן מתבסס על דמיון בטכניקות ובכלים של הקבוצה לאלה שבהם משתמשות קבוצות תקיפה איראניות מוכרות, כמו גם על שימוש במידע גנוב לפריצה לארגונים נוספים. על פי הדוח של מיקרוסופט, במידע שגנבה הקבוצה לאחר פריצה לספקית ענן ישראלית נעשה שימוש לפריצה לחברת תעופה ולמשרד עורכי דין ששמם טרם פורסם. מיקרוסופט ממליצה ללקוחותיה לעיין ב-IOCs שפרסמה ולוודא את הזנתם במערכות ההגנה של ארגוניהם, וכן לעדכן את ה-Microsoft Defender ולוודא את תקינותו של מנגנון האימות הרב-שלבי (MFA).

​

ה-CISA מוסיפה חולשה חדשה ל״קטלוג החולשות המנוצלות הידועות״

ב-6 ביוני הסוכנות האמריקאית להגנת סייבר ותשתיות הוסיפה לקטלוג אותו היא מנהלת חולשה (CVE-2022-26134) מסוג Zero-day העלולה לאפשר לתוקף לבצע מתקפת RCE (הרצת קוד מרחוק) בשרתי Confluence של חברת Atlassian. החולשה נוספה למאגר על בסיס עדויות לניצולה הפעיל, ולדברי ה-CISA היא מהווה כלי נשק בידי גורמי סייבר זדוניים ומסכנת באופן ממשי ארגונים פדרליים. ב-8 ביוני הוסיפה ה-CISA לקטלוג 36 חולשות נוספות, לאחר שהוכח כי נוצלו על ידי תוקפים. בתוך כך, ה-CISA עדכנה את הקטלוג ואת אזור ה״שאלות והתשובות״ הנלווה אליו על מנת לספק מידע אודות הקריטריונים וההליך המשמשים להוספת החולשות המנוצלות לפרויקט, והיא מעודדת משתמשים ומנהלי מערכות לעיין במידע החדש.

​

מיקרוסופט נוקטת בצעדים משפטיים נגד 41 דומיינים ששימשו קבוצת תקיפה איראנית לביצוע תקיפות פישינג

מחלקת הפשעים הדיגיטליים של מיקרוסופט (DCU) הודיעה כי נקטה בצעדים משפטיים נגד קבוצת Bohrium, המקושרת לקמפייני פישינג ממוקד (Spear phishing) רבים, שיעדיהם היו ארגונים במגזרי ההייטק, הממשל, התחבורה והחינוך ברחבי העולם. במסגרת התקיפות השתמשה הקבוצה בפרופילים מזויפים ברשתות החברתיות על מנת להתחזות למגייסים למשרות שונות, ובכך השיגה מידע אישי מקורבנותיה. במידע זה השתמשו התוקפים למשלוח מיילי פישינג, להשתלטות על עמדות ולסריקתן מרחוק, וכן לאיסוף מידע פנימי. לאחר שניתן למיקרוסופט צו משפטי שאישר לה לפעול, היא הסירה עשרות דומיינים ששימשו את Bohrium לניהול שרתי השליטה והבקרה שלה, אשר באמצעותם מימשה את תקיפותיה. 

​

קבוצות תקיפה הפועלות בחסות סין מנצלות חולשות ידועות במוצרי רשת 

בין היתר, התוקפים מנצלים חולשות במוצרי Cisco ,Citrix ,D-Link ו-Fortinet, במטרה לפרוץ לרשתות ארגונים מהסקטור הפרטי והציבורי כאחד. במסגרת הפריצות נעשה שימוש במכשירי רשת כגון ראטורים ועמדות NAS לניתוב התעבורה מעמדות נגועות לשרת מרוחק שברשות התוקפים, או כ״קרש קפיצה״ לפריצה לעמדות נוספות. התוקפים אינם משתמשים בנוזקה ייחודית שברשותם, אלא מתבססים על ניצול חולשות מוכרות במוצרים, כמו גם על העובדה שהמכשירים מעודכנים בתדירות נמוכה, בשל הקושי שבמעקב ובהטמעה של העדכונים לעתים תכופות. בשלב הראשוני של התקיפה, התוקפים מבצעים בדיקה מקדימה לאיתור מידע ראשוני (גרסת ודגם המוצר, למשל) באמצעות כלי קוד פתוח, כגון RouterSploit או Router Scan, על מנת לנצל את החולשה המתאימה על פי נתוני המוצר. במקרים רבים, לאחר קבלת אחיזה ראשונית ברשת של ספק רשת או ארגון תקשורת, התוקפים מאפיינים את המשתמשים והתשתיות הקריטיות בארגון, לרבות מערכות לניהול הרשאות למשאבים. לאחר מכן התוקפים מתשאלים מאגר SQL של שרת RADIUS על מנת לקבל את פרטי ההתחברות של משתמשים ומשתמשי אדמין, ואז מושכים את מידע הקונפיגורציה של הנתב ברשת באמצעות SSH והרצת סקריפט, כל זאת כדי להבין כיצד לתמרן את תעבורת הרשת. מידע זה מאפשר לתוקפים להריץ פקודות על הנתבים על מנת לנתב, לתפוס ולייצא תעבורה מהרשת אל השרת המרוחק שבבעלותם. עם סיום השינויים בקונפיגורציה, התוקפים משמידים את הלוגים המקומיים שתיעדו את פעולותיהם. בהתרעה שפרסמה הסוכנות האמריקאית להגנת סייבר ותשתיות (CISA) בנושא פעילות זו מופיעות המלצות רבות, לרבות עדכון תכוף של המערכות והמוצרים בהם עושים ארגונים שימוש, בהתאם להנחיות היצרנים העדכניות, הטמעת מערכת אוטומטית לניהול עדכונים והחלפת מוצרי End-of-life שכבר אינם נתמכים על ידי היצרן.

​

ארה״ב: נפרצו שתי חנויות מקוונות למכירת כלי נשק ופרטי האשראי של לקוחותיהן נגנבו

בשני אירועים שונים חוותה כל אחת מהחנויות, Rainier Arms ו-Numrich Gun Parts, מתקפה מסוג Credit card skimming, בה מושתל באתר האינטרנט קוד JavaScript זדוני, או מוחדר אליו ממשאב מרוחק הנראה כלגיטימי, כגון  Favicon (אייקון המקושר לכתובת URL ומוצג בשורת כתובת האתר). המתקפות נועדו לגניבת פרטי האשראי המוזנים בדף התשלום, לרבות מספרי כרטיסי אשראי, תוקפם, קודי ה-CVV שלהם, סיסמאותיהם/PIN, שמות הלקוחות ומספרי הטלפון שלהם וכתובתיהם. בחודש מאי האחרון גילתה Numrich Gun Parts שנתקפה, לאחר שזוהתה פעילות חשודה באתרה. היא פתחה באופן מידי בחקירה, שהעלתה כי תוקף הצליח לגשת לפרטיהם האישיים של כ-45,169 מלקוחותיה בין ה-23 בינואר ל-5 באפריל השנה. החברה הודיעה על הפריצה בהודעה משותפת עם התובע הכללי של מדינת מיין, ובימים אלה היא מיידעת את לקוחותיה שנפגעו באירוע ומעדכנת אותם בדבר הצעדים בהם נקטה לשם לחסימת גישתו של התוקף למידע רגיש. בתוך כך, החברה מבקשת מלקוחותיה לגלות ערנות לתנועות חשודות בחשבונותיהם. באשר ל-Rainier Arms, מדובר בתקיפה שהתגלתה באפריל השנה, בעקבות דיווחים של לקוחות על חיובים עבור רכישות שלא ביצעו. חקירה שנפתחה הביאה לגילוי קוד זדוני ולממצאים לפיהם בין ה-19 בינואר ל-1 ביוני השנה הצליח תוקף לגשת לפרטי כרטיסי האשראי של לקוחות החנות המקוונת שביצעו רכישות אונליין דרך אתרה. החברה שלחה כ-46,319 פניות ללקוחות שנפגעו מחשיפת הפרטים, בהן הסבירה באילו פעולות מנע נקטה על מנת שהמקרה לא יישנה. החברה הנחתה את לקוחותיה לעבור על פירוט האשראי שלהם ולחפש בהם אחר פעילות חשודה, ובמידה ויאתרו כזו - ליידע בכך את ספק האשראי שלהם. בשני המקרים טרם התבררה זהות התוקף.