פגיעות Zero Day במערכת ההפעלה macOS של אפל מאפשרות הרצת קוד מרחוק

הפגיעות שחשף חוקר אבט"מ, פארק מנצ'ן, מתאפשרת בשל האופן בה מנהלת מערכת ההפעלה קבצי Inteloc ומספקת לתוקף אפשרות להריץ קוד זדוני במערכת ההפעלה ללא התראה וללא התערבות של המשתמש.

אפל ניסתה לבצע תיקון שקט לפגיעות שנחשפה, מבלי לפרסם CVE, אך נראה כי התיקון שהפיצה אינו מטפל באופן מלא בפגיעות.

בשלב זה הפגיעות עדיין קיימת בכל גרסאות מערכת ההפעלה של אפל.

https://news.1rj.ru/str/CyberSecurityIL/1343

https://threatpost.com/unpatched-apple-zero-day-code-execution/174915/

המפתחים הראשיים בקבוצת REvil מערימים על השותפים בקבוצה וגורפים לכיסם את כל דמי הכופר

כך עולה ממחקר שביצעו חוקרים מחברת Emisoft ומתלונות של שותפים שפורסמו לאחרונה ברשת.

כזכור, קבוצת REvil עובדת במנגנון של RAAS המאפשר לשותפים לקחת חלק בפעילות, לפרוץ לארגון ולהשתמש בנוזקה של REvil, בתמורה השותפים מקבלים את רוב דמי הכופר (70-80%) והשאר הולך למפתחים של REvil.

לפי הדיווח המפתחים של קבוצת REvil החזיקו במפתח פיענוח המסוגל לפענח הצפנות שביצעו השותפים (מה שסייע להשיג את המפתח במתקפה על Kaseya ואת המפתח הכללי לפני כשבוע וחצי) ובנוסף להשתלט על הצ'ט שהתנהל בין הארגונים לשותפים, כשהיו רואים שהשותפים מגיעים לנקודה קריטית מול הארגונים היו משתלטים על הצ'ט, מתחזים לארגון המותקף וכותבים לשותפים שהם לא מוכנים לשלם.
מאחורי הקלעים היו המפתחים ממשיכים את ההתכתבות מול הארגון ומקבלים את מלוא דמי הכופר לכיסם.

https://news.1rj.ru/str/CyberSecurityIL/1344

https://www.bleepingcomputer.com/news/security/revil-ransomware-devs-added-a-backdoor-to-cheat-affiliates/

התוקף שבפנים: הכירו את המדור שמחפש חולשות במערכות הסייבר של צה"ל

בצה"ל הקימו מדור תקיפה מיוחד ביחידת מצו״ב - מרכז צופן וביטחון לאומי באגף התקשוב וההגנה בסייבר, שבו החיילים תוקפים את מערכות הסייבר המורכבות והמוצפנות בצבא, זאת במטרה ברורה: לדמות את האויב ולמצוא את נקודות התורפה שעלולות להיווצר במערכות הסודיות והמשפיעות ביותר.

מדובר באחד הגופים היחידים בעולם אשר מבצע תרגולי סייבר רטובים, ברשתות חיות ומבצעיות. כאשר כל הצבא מתרגל יממות קרב בבחני הרמטכ״ל, גם הם תוקפים יעדים שונים במערכות של חיל האוויר, אגף המודיעין ושאר היחידות המבצעיות, הם יוצרים בהן נזק מבוקר ומלווים את יחידות הסייבר שמתפעלות אותן בתהליך צמצום הפערים שאותרו.

https://news.1rj.ru/str/CyberSecurityIL/1345

https://www.maariv.co.il/business/tech/Article-866346

מה ההשפעה של מתקפות כופר על ערך המניה של החברות שהותקפו?
מחקר של חברת Comparitech מנתח את הממצאים

המחקר בחן 24 חברות הנסחרות בנאסדק ושסבלו ממתקפת כופר הכוללת השבתה נרחבת ודרישה לדמי כופר, בין החברות שנדגמו: Garmin, Canon, Equinix, Xerox, ועוד.

להלן נקודות מרכזיות ממסקנות המחקר:

🔻בממוצע, מחיר המניה צונח בכ-22% בסמוך לדיווח על מתקפת הכופר.

🔸הצניחה במחיר המניה נמשכת זמן קצר, ברוב המקרים כעבור יום חלה כבר התאוששות ותוך 10 ימים המניה חוזרת לביצועי שוק.

🔹ערך המניה של חברות טכנולוגיות צונח בשיעורים גבוהים יותר לעומת חברות שאינו טכנולוגיות.

💰 המניות של חברות שנפגעו עלו בחצי שנה שקדמה למתקפה בשיעור של 4.4% בממוצע בעוד שבחצי שנה שאחרי המתקפה הם עלו בשיעור ממוצע של 11.9% (מי אמר שמתקפת כופר זה לא טוב לעסקים? 😉)

המחקר בחן גם את ההשפעה של קבוצת התקיפה השונות כגון Ryuk, Maze, REvil ועוד.

https://news.1rj.ru/str/CyberSecurityIL/1346

מוזמנים לעיין במחקר המלא כאן

שלוש חולשות Zero Day במכשירי אפל פורסמו לאחר שבאפל סירבו (שוב) להתייחס לממצאים שנשלחו אליהם.

החוקר שלח את הממצאים לאפל בין מרץ למאי השנה, ביולי אפל ביצעה עדכון באופן שקט וללא פרסום לאחד הממצאים שנשלחו אך לשלושה נוספים לא הוציאה עדכון.

כשפנה החוקר לאפל שוב במטרה להבין מדוע התיקון בוצע באופן שקט (ללא פרסום CVE) ומדוע הם לא נתנו לו קרדיט על הממצאים התנצלו באפל ואמרו שמדובר בטעות, אבל מאז לא השתנה דבר ובאפל הפסיקו להגיב לפניות של החוקר.

כעת החוקר החליט לפרסם בגיטהאב הוכחת יכולת (POC) לכל החולשות, כשכולם עדיין לא תוקנו ורלוונטיות גם לגרסת מערכת ההפעלה iOS 15.0.

המקרה הנוכחי לא חריג בנוף של אפל, חוקרי אבט"מ נוספים מדווחים כי חוו תרחישים דומים עם אפל כאשר דיווחו על חולשות אבט"מ, חלקם לא קיבלו את התגמול הכספי המגיע להם, חלקם נתקלו בחוסר תגובה מוחלט ואילו אחרים גילו כי אפל מתקנת את הממצאים ששלחו באופן שקט ללא מתן קרדיט וללא שיוך CVE.

https://news.1rj.ru/str/CyberSecurityIL/1347

https://www.bleepingcomputer.com/news/security/exploit-code-released-for-three-ios-0-days-that-apple-failed-to-patch/amp/

המרכזים הרפואיים Unitea Health Centers שבקליפורניה סובלים ממתקפת כופר.

ארגון UHC מנהל כ-21 מרכזים רפואיים בערים שונות במדינת קליפורניה.

קבוצת Vice Society היא זו שאחראית למתקפה שבמהלכה נגנב מידע רפואי רגיש והוצפנו שרתים.
כתוצאה מהמתקפה נאלצו ב-UHC להשבית את כל מערכות הארגון בכל המרכזים השונים.

למרות שהמתקפה החלה ככל הנראה עוד בסוף אוגוסט ב-UHC עוד לא פירסמו הודעה בנושא.

אתר BleepingComputer פנה לקבוצת Vice Society כדי לשאול מדוע הם, בשונה מקבוצות אחרות, תוקפים ארגוני בריאות? (כ-20% מהמתקפות של הקבוצה הם כנגד בתי חולים ומרפאות.)

בתגובה קבוצת Vice Society ענתה:

"למה לא?

הם תמיד שומרים את הנתונים הפרטיים שלנו חשופים, אתה, אני וכל אחד אחר הולכים לבתי חולים, נותנים להם את הדרכונים שלנו, חולקים עימם את בעיות הבריאות שלנו וכו' והם אפילו לא מנסים להגן על הנתונים שלנו.
מה הם עושים עם תקציבים של מיליארדים, גונבים את הכסף?

אם מחלקות ה- IT לא רוצות לעשות את עבודתן אנו נעשה את שלנו ולא אכפת לנו אם זה בית חולים או אוניברסיטה."

מקור

https://news.1rj.ru/str/CyberSecurityIL/1348

חברת GSS, המספקת שירותים שונים בתחום שירות הלקוחות, סובלת ממתקפת כופר, דמי הכופר עומדים על 8.5 מיליון דולר.

חברת GSS זו השלוחה הספרדית של החברה האמריקאית Covisian המספקת מרכזי שירות לקוחות טלפוניים, איסוף הודעות ועוד.

ב-18.9 קבוצת התקיפה Conti הצפינה שרתים ב-GSS והציבה הודעה לדמי כופר בגובה של 8.5 מיליון דולר. בעקבות המתקפה נאלצו ב-GSS להשבית חלק נרחב ממערך המחשוב והמוקדים הטלפוניים שהוקמו עבור לקוחות אינם זמינים מזה מספר ימים.

דובר החברה העביר הצהרה לתקשורת בה הוא מוסר כי לא ידוע להם על דליפת מידע רגיש וכי הם לא מקיימים מו"מ עם התוקפים בשום צורה.

https://news.1rj.ru/str/CyberSecurityIL/1349

https://www.databreaches.net/major-european-call-center-provider-goes-down-in-ransomware-attack-not-negotiating-with-conti/

כנס הענן של EuropeClouds יתקיים בין התאריכים 19-21.10.
בכנס 3 מסלולים ועשרות הרצאות בנושאים שונים.

היום השלישי של הכנס (21.10) מוקדש כולו למרחב הסייבר בענן.

לרישום ללא עלות ולפרטים נוספים לחצו כאן

https://news.1rj.ru/str/CyberSecurityIL/1350

ניתוח של StealBit 2.0 - כלי הוצאת המידע שפיתחה קבוצת התקיפה LockBit 2.0

זה לא סוד שקבוצת התקיפה LockBit 2.0 תופסת תאוצה לאחרונה, ומאז המיתוג החדש לגרסה 2.0 היא מפרסמת באתר ההדלפות שלה כבר למעלה מ-120 ארגונים שהותקפו.

בחודשים האחרונים, כחלק מהשדרוג והמיתוג מחדש, פיתחה הקבוצה כלי חדש להוצאת המידע מהארגון שהותקף, הכלי, StealBit 2.0, עובד בצמוד לכלי ההצפנה Lockbit 2.0 ומאפשר הוצאת מידע בנפחים גדולים ובמהירות.
כזכור הקבוצה התהדרה ביכולות של הכלי החדש שפיתחה כשניסתה לגייס עובדים חדשים.

חברת Yoroi העוסקת בתחום מודיעין הסייבר מפרסמת ניתוח טכני לכלי StealBit 2.0 כשהיא כוללת גם IOC לחסימה וזיהוי מהיר של הכלי ע"י ארגונים.

מוזמנים לעיין בפרסום המלא של Yoroi כאן

https://news.1rj.ru/str/CyberSecurityIL/1351

מסע בארץ היוניקורנים: כך הפכה ישראל למעצמת סייבר

כל יוניקורן חמישי שנולד בישראל הוא בעצם סייברקורן, 10 מתוך כ-50 חברות הסטארט-אפ בשווי של מיליארד דולר ויותר שייכות לעולם הסייבר ומקבעות את מעמדה של ישראל כמעצמה הבלתי מעורערת בתחום.

מעבר לכמות הסייברקורנים החריגה בכל קנה מידה עולמי, ישראל שולטת גם בגזרת החברות הציבוריות בתחום. מי שירצה להוציא ממדדי מניות הסייבר את הנציגות הישראליות, ייאבד יותר מחצי מהמדד. הנציגות הבולטות בתעשייה מעבר לצ'ק פוינט היא כמובן פאלו אלטו, אחריה וורוניס, סלברייט, סייברארק, רדוור וגם קוגנייט שפוצלה מוורינט. סנטינל וואן הישראלית היא גם הנפקת הסייבר הגדולה בתולדות וול סטריט.

תעשיית הסייבר המקומית מונה יותר מ-400 סטארט-אפים, כמעט 15% מכלל חברות הסייבר בעולם הן ישראליות, מדובר במקום שני בעולם אחרי ארה"ב עם 57% מחברות הסייבר, אבל אסור לשכוח כמובן שעם חברות הסייבר שמוגדרות רשמית אמריקאיות נמנות גם פאלו אלטו או סנטינל וואן, שהוקמו על ידי ישראלים ומחזיקות כאן מרכזי פיתוח גדולים שמעסיקים מאות עובדים.

https://news.1rj.ru/str/CyberSecurityIL/1352

https://m.calcalist.co.il/Article.aspx?guid=39184760

הסוכנות להגנת סייבר ותשתיות בארה"ב (CISA) ביחד עם ה-NSA מפרסמים מסמך אבט"מ בנושא מערכות VPN.

המסמך עוסק בתהליך הבחירה וההקשחה של מערכות אלו.

https://news.1rj.ru/str/CyberSecurityIL/1353

מוזמנים לעיין במסמך המלא כאן 👇🏻

חודש אוקטובר - חודש המודעות בתחום הסייבר

מאז שנת 2003 חודש אוקטובר (שיחל מחר) הוא החודש הרשמי להעלאת המודעות במרחב הסייבר.
אז נכון שאין חודש עדיף וכל יום זה זמן מצוין אבל ארגונים רבים ברחבי העולם מקפידים בחודש זה לתקשר מול העובדים את נושא המודעות בצורה רחבה יותר.

אז למי מכם שירצה לקדם את הנושא בארגון/במשפחה וכדו' אני מצרף כאן מספר מקורות שיתנו לכם רעיונות וכלים בהם תוכלו לעשות שימוש.

תכנים בעברית

מערך הסייבר הלאומי:

מידע לארגונים, מידע לאזרחים, שבוע הגנת הסייבר 2020, ערכת הדרכה בנושא איומי סייבר

הסרטונים של חברת Wizer בשלל נושאי סייבר שונים, לילדים, למבוגרים, לארגונים ועוד.

מורים לתלמידים יכולים להסתייע במערכים של משרד החינוך

תכנים באנגלית

הסוכנות להגנת סייבר ותשתיות בארה"ב (CISA) הקימה עמוד ייעודי המרכז תכנים שונים לשימושכם (ואפילו מתורגם לכמה שפות)

חברת מקאפי פירסמה תכנית המתחלקת ל-4 שבועות כשכל שבוע מתמקדים בנושא אחר.

חברות נוספות מפרסמות תכנים נוספים לחודש זה, חיפוש קצר בגוגל יוביל אתכם לים של מידע.

שיהיה חודש מודעות יעיל 💪

https://news.1rj.ru/str/CyberSecurityIL/1355

מאות חנויות ספרים בבלגיה, צרפת והולנד סובלות בשל מתקפת כופר המתרחשת בחברת TiteLive

חברת TiteLive מספקת מערכות מבוססות ענן למכירות ספרים וניהול מלאי, בשבוע האחרון החברה סובלת ממתקפת כופר בעקבותיה נאלצה להשבית את כל מערכות המחשוב וכתוצאה מכך לשבש את פעילותן של מעל 1000 חנויות.

בשלב זה לא ידוע מי קבוצת התקיפה שעומדת מאחורי המתקפה אך דובר החברה ציין כי התוקפים דורשים סכום כפור עצום וכי אין בכוונתם לשלם.

https://news.1rj.ru/str/CyberSecurityIL/1357

https://therecord.media/ransomware-attack-disrupts-hundreds-of-bookstores-across-france-belgium-and-the-netherlands/

חברת Symphony תמזג את הפעילות של חברות FireEye ו-Mcafee

במהלך השנה האחרונה רכשה חברת Symphony את הפעילות העסקית של חברת McAfee ושל חברת FireEye, כעת מכריזה Symphony כי היא ממזגת את שתי החברות לחברה אחת.

החברה הממוזגת תעסיק כ-5,000 עובדים, תשרת כ-40,000 לקוחות ותנהל הכנסות שנתיות של כמעט 2 מיליארד דולר.

במקביל, בעוד מספר ימים תשנה חברת FireEye את שמה לחברת Mandiant (הסימבול למסחר בנאסדק ישתנה אף הוא ל-MNDT)

https://news.1rj.ru/str/CyberSecurityIL/1358

https://www.darkreading.com/endpoint/fireeye-products-mcafee-enterprise-merge-to-create-2b-entity

סנאטורים בארה"ב הניחו השבוע הצעת חוק המחייבת ארגונים לדווח לממשל על מתקפת סייבר וביצוע תשלומי כופר

הצעת החוק מבקשת להסדיר את נושא הדיווח של מתקפות סייבר על גופים המספקים תשתיות קריטיות וכן את נושא תשלום דמי הכופר בארגונים שונים.

לפי הצעת החוק שפורסמה ארגונים המוגדרים כתשתיות קריטיות יידרשו לדווח ל-CISA על מתקפת סייבר תוך 72 שעות מרגע זיהוי המתקפה.

ארגונים עם מעל 50 עובדים, מלכ"רים וגופים ממלכתיים יידרשו לדווח תוך 24 שעות על ביצוע תשלום דמי כופר לתוקפים, במידה וארגונים לא יעמדו בדרישות רשאי משרד המשפטים למנוע מהארגון לבוא בקשרי עבודה עם הממשל הפדרלי.

במקביל הצעת החוק תחייב את המשרד להגנת סייבר ותשתיות (CISA) להפעיל תכנית בה היא תזהיר ארגונים מניצול חולשות המבוצעות ע"י קבוצות תקיפה ואף תקים כח משימה לשיבוש ומניעה של מתקפות כופר.

(הצעת החוק הנ"ל מצ"ב בתגובות)

אגב, בארץ הרשות להגנת הפרטיות מחייבת דיווח על אירוע סייבר חמור תוך 24-72 שעות.

https://news.1rj.ru/str/CyberSecurityIL/1359

https://edition.cnn.com/2021/09/28/politics/senators-introduce-cyber-reporting-bill/index.html

חברת Kenwood סובלת ממתקפת כופר, קבוצת Conti שאחראית למתקפה טוענת שגנבה 1.7TB של נתונים ודורשת דמי כופר של 7 מיליון דולר

החברה, שמעסיקה כ-17 אלף עובדים ובעלת הכנסות שנתיות של 2.45 מיליארד דולר, מדווחת כי מערכות המחשוב השייכות למחלקת המכירות באירופה נפרצו ע"י תוקפים שהצליחו לגשת למידע רגיש.

בשלב זה מתקיים מו"מ בין הצדדים וזאת במקביל להצהרה של דובר החברה שככל הנראה דמי הכופר לא ישולמו.

https://news.1rj.ru/str/CyberSecurityIL/1360

האקרים הצליחו לנצל חולשה במנגנון ה-MFA של בורסת הקריפטו Coinbase וגנבו מטבעות דיגיטליים מכ-6,000 לקוחות

בורסת Coinbase היא בורסת הקריפטו השנייה בגודלה בעולם, עם כ-68 מיליון משתמשים במעל 100 מדינות.

בדיווח שהוציאה החברה היא מפרסמת כי בין חודשים מרץ למאי 2021 הצליחו האקרים לנצל חולשה במנגנון שליחת הודעות SMS ללקוחות שעשו שימוש בהזדהות רב שלבית (MFA), לגנוב מאלפי לקוחות מטבעות דיגיטליים ולצפות במידע רגיש.

התוקפים עשו עבודה מקדימה והשיגו את כתובת הדוא"ל של הלקוחות, הסיסמה לחשבון הדוא"ל ואת מספר הטלפון המקושר לחשבון, את הפרטים הנ"ל השיגו ככל הנראה באמצעות קמפיין פישינג.

בשלב זה ב-Coinbase מדווחים כי הם סגרו את החולשה ופיצו את כל הלקוחות שנפגעו בסכום שנגנב.

https://news.1rj.ru/str/CyberSecurityIL/1361

https://www.bleepingcomputer.com/news/security/hackers-rob-thousands-of-coinbase-customers-using-mfa-flaw/

חברת הסייבר הישראלית Profero מפרסמת כקוד פתוח כלי לתיקון ושחזור קבצים שנפגמו במהלך ההצפנה של קבוצת RansomEXX

קצת רקע: חוקרים מקבוצת Profero חקרו ומצאו כי קבוצת התקיפה RansomEXX אינם מצפינים קבצים במערכות Linux בצורה תקינה, התוצאה היא שאפילו גופים ששילמו את דמי הכופר אינם מצליחים לבצע שחזור של חלק מהקבצים עם מפתח הפיענוח.

כעת משחררת Profero כלי קוד פתוח המאפשר תיקון ושחזור הקבצים שנפגמו במהלך ההצפנה, הכלי משוחרר כקוד פתוח כך שכל ארגון יוכל להשתמש בכלי ללא תשלום.

חשוב להדגיש, כי השימוש בכלי רלוונטי רק לחברות המחזיקות את מפתח הפיענוח כתוצאה מתשלום דמי כופר וכדו'.

https://news.1rj.ru/str/CyberSecurityIL/1362

https://www.bleepingcomputer.com/news/security/ransomexx-ransomware-linux-encryptor-may-damage-victims-files/

תביעה בגין מוות של תינוק הוגשה כנגד המרכז הרפואי Springhill שבאלבאמה, האם טוענת כי התינוק נפטר מאחר ומתקפת סייבר מנעה את האפשרות של הרופאים לעקוב אחר המדדים הרפואיים.

ביולי 2019 המרכז הרפואי Springhill סבל ממתקפת כופר בעקבותיה חלק ממערכות המחשוב הושבתו, בעוד בית החולים נמצא תחת מתקפה הגיעה ניקו סילאר ללדת את בנה, הלידה הייתה מורכבת וככל הנראה במהלכה התינוק היה במצוקה, אנשי הרפואה שעוקבים אחר המדדים של התינוק דרך מערכות המחשוב לא היו יכולים לעשות זאת בצורה תקינה מאחר ומתקפת הסייבר השביתה חלק ממערכות המחשוב.

התינוק נולד עם מספר בעיות ונפטר לאחר תשעה חודשים, כעת מגישה האם תביעה כנגד בית החולים וכנגד הרופאה שטיפלה בה בטענה כי בשל ההתמודדות הלקויה עם מתקפת הסייבר בנה נפטר.

בית החולים הגיב כי למרות מתקפת הסייבר לא נפגעה היכולת של בית החולים ללדת את התינוק בביטחה וכי על בית החולים לא חלה החובה לדווח למטופלים על מתקפת סייבר אך למרות זאת הודעה יצאה לעיתונות יום לפני הגעתה של ניקו למרכז הרפואי.

https://news.1rj.ru/str/CyberSecurityIL/1363

https://www.securityweek.com/suit-blames-babys-death-cyberattack-alabama-hospital

חברת Sandhills סובלת ממתקפת כופר בעקבותיה הושבתו מספר חברות.

החברה, שעוסקת בסחר ופרסום של מוצרים שונים, הושבתה בשל מתקפת סייבר שביצעה קבוצת Conti, כתוצאה מהמתקפה מספר רב של אתרים המתארחים ו/או מתופעלים ע"י החברה מושבתים אף הם וגורמים לשיבוש בפעילות של חברות רבות.

בשלב זה לא ידוע מה גובה דמי הכופר והאם קבוצת Conti הוציאה מידע רגיש מהרשת של Sandhills.

https://news.1rj.ru/str/CyberSecurityIL/1364

https://www.bleepingcomputer.com/news/security/sandhills-online-machinery-markets-shut-down-by-ransomware-attack/