קבוצת Lockbit 3.0 לא עוצרת - לוקחת אחריות על המתקפה כנגד בית החולים CHSF בצרפת, ומפרסמת 33 קרבנות חדשים ב-24 שעות האחרונות

קבוצת התקיפה LockBit ממשיכה להיות חוד החנית של קבוצות הכופר, בשבוע האחרון הקבוצה לקחה אחריות על המתקפה בבית החולים CHSF בצרפת, פירסמה כי תקפה את חברת האנרגיה הקנדית Canadian Solar ורק ביממה האחרונה הוסיפה לאתר ההדלפות שלה לא פחות מ-33 ארגונים חדשים שתקפה.

במקביל לפעילות הנ"ל, קבוצת Lockbit פירסמה כי תשלם 1000 דולר לכל מי שיקעקע את הלוגו של הקבוצה על גופו וברשת הופיעו כבר מספר תמונות של מקועקעים 🙈

https://news.1rj.ru/str/CyberSecurityIL/2199

#כופר #רפואה

חברת Sophos מפרסמת סקר שביצעה בנושא מתקפות כופר בקרב מאות ארגונים בסקטור הקמעונאות

יש כל מיני נתונים במחקר שמצ"ב בתגובות.
אבל הנה כמה נתונים מעניינים:

🔺 77% מהנשאלים השיבו כי סבלו ממתקפת כופר, 90% מהם דיווחו על אבדן הכנסות ו/או שיבוש בפעילות בעקבות המתקפה

🔺 רק 5% מהחברות הצליחו לשחזר את כל המידע שהוצפן לאחר ששילמו את דמי הכופר.

🔺סכום הכופר הממוצע ששולם עומד על 226,000 דולר, עם זאת, 22% מהעסקים שילמו פחות מ-1k דולר עבור מפתח הפיענוח.

🔺97% מהארגונים שיפרו את רמת האבטחה שלהם בהתאם לדרישות חברות הביטוח על מנת שיוכלו להיות מבוטחים כנגד מתקפות סייבר.

https://news.1rj.ru/str/CyberSecurityIL/2200

#כופר #דוחות #סטטיסטיקות

פישינג - השלב הבא: האקרים השתמשו בטכניקת "דפדפן בתוך דפדפן" על מנת לגנוב חשבונות של משתמשים בפלטפורמת Steam.

לפני כמה ימים פירסמתי את EvilProxy כפלטפורמת פישינג מתקדמת, כעת נראה כי האקרים עושים שימוש בטכניקה חדשה שנראית אפילו אמינה יותר.

במחקר, שפירסמה חברת Group-IB, היא מפרסמת כיצד האקרים מציגים למשתמש דפדפן בתוך דפדפן (Browser-in-the-Browser או בקיצור BitB) על מנת לגנוב חשבונות של משתמשים בפלטפורמת המשחקים Steam.

בשלב ראשון ההאקרים שולחים הודעה למשתמשים להצטרף לטורניר משחקים ב-Steam כשבדף יש כפתור עבור חיבור למערכת של Steam, בלחיצה על הכפתור סקריפט של התוקף יוצר חלון המדמה חלון דפדפן חדש עם כתובת אמיתית של Steam, כולל תעודת SSL, טופס להזנת שם משתמש וסיסמה, תמיכה ב-27 שפות ועוד, דף שנראה לגיטימי לחלוטין.

ברגע שמשתמש מזין את הפרטים המידע עובר לאתר האמיתי של Steam, ואם יש צורך גם ב-2fa אז גם המסך של הקוד מוצג למשתמש ומועבר לאחר מכן לתוקף.

חלון ה-BitB שמייצרים התוקפים אינו דפדפן אמיתי אלא רק תצוגה מזויפת של כזה, במחקר תוכלו למצוא המלצות כיצד לזהות חלון BitB שכזה.

https://news.1rj.ru/str/CyberSecurityIL/2201

#פישינג

האקרים איראנים פרצו למאות גופים בארה"ב - וסחטו כסף ממקלט לנשים

ארה"ב הודיעה הערב (יום ד') כי הטילה סנקציות חדשות על משמרות המהפכה של איראן, בשל מה שמשרד האוצר בוושינגטון כינה "פעולות זדוניות" בתחום הסייבר.

הסנקציות הוטלו על עשרה בני אדם ושתי ישויות שקשורים למשמרות המהפכה ולפי החשד לקחו חלק באותן מתקפות סייבר, שכללו גם דרישת כופר מהקורבנות.

במשרד האוצר האמריקני מסרו כי הסנקציות החדשות הן רק תגובה נרחבת יותר של ארה"ב למתקפות הסייבר בשטחה, והערב הודיע גם מזכיר המדינה אנתוני בלינקן כי וושינגטון מציעה פרס של עד 10 מיליון דולר עבור מידע שיאפשר לזהות מעורבים במתקפות סייבר בחסות ממשלתית, שבהן ייפגעו או נפגעו תשתיות קריטיות בארה"ב.

https://news.1rj.ru/str/CyberSecurityIL/2202

https://m.ynet.co.il/articles/bjejmoy11s

#כופר

משתמשים באפליקציית Teams? חוקרי אבטחת מידע מצאו כי מייקרוסופט שומרת טוקן הזדהות באופן גלוי.
מייקרוסופט בתגובה: לא מדובר בסיכון משמעותי, אולי נתקן בהמשך


חוקרי אבטחת מידע מחברת Vectra מצאו כי אפליקציית Team מבית מייקרוסופט שומרת את טוקן ההזדהות באופן גלוי במחשבי ווינדוס, לינוקס ומאק.

הממצאים נשלחו למייקרוסופט לפני כחודש אך אלה מצידם הגיבו כי מאחר והתוקף צריך גישה ראשונית למחשב מדובר בסיכון נמוך שלא יתוקן מיד. תיקון יתבצע אולי בהמשך.

לדברי החוקרים מחברת Vectra, באמצעות הטוקן הגלוי תוקף יכול להשתלט על חשבונות של משתמשים, ולדוגמה, במקרים של השתלטות על חשבונות של בכירים התוקף יכול לשלוח הוראות בצ'ט או לקיים פגישות ולהוציא לפועל הונאות ומתקפות.

https://news.1rj.ru/str/CyberSecurityIL/2203

https://www.bleepingcomputer.com/news/security/microsoft-teams-stores-auth-tokens-as-cleartext-in-windows-linux-macs/

#חולשות

חברת Uber מדווחת כי היא מתמודדת עם מתקפת סייבר, ההאקר הצליח לגשת למספר מערכות פנימיות של החברה.

הפריצה החלה ככל הנראה לאחר שההאקר הצליח להשתלט על חשבון Slack של אחד העובדים ומשם הגיע למערכות פנימיות בחברה, ב-Uber נאלצו להשבית מספר מערכות בעקבות המתקפה.

מדיווחים שונים עולה כי ההאקר השיג גישה לשירותי הענן של Uber באמזוו, מערכת הצ'טים Slack, שרתי VMware, גוגל Workspace, חשבון ה-Bug bounty של Uber באתר HackerOne ועוד.

בשלב זה Uber מדווחת כי היא עובדת עם גורמי אכיפה לניהול האירוע.

https://news.1rj.ru/str/CyberSecurityIL/2204

https://www.theguardian.com/technology/2022/sep/15/uber-computer-network-hack-report

#דלף_מידע #תחבורה

קבוצת התקיפה Hive מדווחת כי תקפה את חברת התקשורת Bell Canada.

בהודעה שפירסמה קבוצת התקיפה היא מדווחת כי הצפינה את השרתים של Bell ב-20.8 וגנבה מידע רגיש.

חברת Bell פירסמה הודעה לפיה בשל מתקפת סייבר חלים מספר שיבושים במערכות, וכי התוקפים הצליחו לגשת למידע של משתמשים הכולל שמות, כתובות, מספרי טלפון וכדו'.
החברה מציינת כי התוקפים לא הצליחו להגיע למידע פיננסי רגיש כגון כרטיסי אשראי וכו'.

https://news.1rj.ru/str/CyberSecurityIL/2205

https://www.bleepingcomputer.com/news/security/hive-ransomware-claims-cyberattack-on-bell-canada-subsidiary/

#תקשורת #כופר

" טוויטר לא יודעת איזה מידע היא מחזיקה, איפה הוא נמצא ומאיפה הוא הגיע"

" לעובדים בטוויטר יש יותר מדי גישה ליותר מדי מידע ביותר מדי מערכות."

השבוע העיד בסנאט פיטר זאטקו, מי שהיה מנהל אבטחת המידע של טוויטר מנובמבר 2020 ועד ינואר 2022 כשהוא חושף את הניהול הלקוי של כל תחום אבטחת המידע והפרטיות בטוויטר.

נתחיל בקצת היסטוריה, פיטר זאטקו, הידוע בכינויו ההאקרים Mudge הוא האקר לבן שעוד בראשית ימי האינטרט עסק במציאת חולשות באתרים וכדו'.
במהלך השנים הועסק פיטר בחברות ממשלתיות, גוגל ועוד, בתפקידי סייבר שונים.

ביולי 2020 חברת טוויטר חוותה את אחת מפריצות האבטחה הגדולות בהיסטוריה של החברה כשבחור צעיר בשם Graham Clark, בסיוע של שני חברים נוספים, מצליח לפרוץ לחשבונות של עשרות חברות ואישים מפורסמים בטוויטר כשהוא מקדם הונאת קריפטו.
גראהם הרוויח מההונאה הזו כ-120 אלף דולר אך נתפס ונשפט לשלוש שנות מאסר.

מנכ"ל טוויטר דאז, ג'ק דורסי, החליט לאחר הפריצה כי הגיע הזמן לגייס איש סייבר ברמה גבוהה לטוויטר וארבעה חודשים לאחר מכן פיטר זאטקו הצטרף לטוויטר כמנהל אבטחת מידע ראשי, אחראי על פרטיות ומידע של משתמשים, פרסום מידע כוזב בטוויטר, ואבטחה פיזית (כן, קצת יותר מדי בשביל אדם אחד...)

בסוף שנת 2021-תחילת 2022 מתבקש פיטר להעביר מצגת לדירקטוריון של טוויטר, הוא מכין מה שצריך אבל לטענתו הוא מתבקש להציג דברים כוזבים ונתונים שאינם עולים בקנה אחד עם מה שבאמת קורה ברשת הארגונית של החברה.
פיטר מסרב להציג את המידע לדירקטוריון ויום לאחר מכן מוזמן לשימוע ומפוטר מהחברה.
הסיבה לפיטורים: העובד הציג ביצועים חלשים שאינם מספקים...

כמה חודשים לאחר מכן, פיטר שולח תצהיר לנציבות הסחר הפדרלית (FTC), לרשות לניירות ערך (SEC), למחלקת המשפטים ולקונגרס, כשהוא מפרט שורה של ליקויי אבטחת מידע חמורים בתוך טוויטר.

השבוע, ביום שלישי, הגיע פיטר לקונגרס כדי לתת עדות על מה שמתרחש בטוויטר, והעדות שלו, איך לומר, קצת מטרידה.

מדובר בעדות של שעתיים+ ואתם מוזמנים לצפות בה כאן, בסרטון שצירפתי ניתן לצפות ב-Opening statement של פיטר.

קצת מהדברים המרכזיים שפיטר הציג בעדות:

- אלפי עובדים בטוויטר מחזיקים בהרשאות עודפות וחשופים למידע רגיש.

- החברה מתעדפת צמיחה על פני סינון ספאם ובוטים, ורווחים על פני אבטחת מידע.
בונוסים של עד 10 מיליון דולר מוצעים למנהלים בהתאם לגדילה של כמות המשתמשים.

- סוכן שעבד עבור הממשלה הסינית הועסק בטוויטר במחלקת הכספים ונחשף למידע רגיש.
טוויטר איפשרה גם לסוכנים של מדינת הודו לעבוד בחברה ולגשת למידע רגיש.
כשהתלונן בפני מנהליו על הסוכנים הזרים, נענה בתגובה כי "אם יש כבר סוכן בחברה אז מה זה משנה אם יש עוד אחד, העיקר שנגדל ונצמח"
סביר להניח שסוכנים נוספים של מדינות שונות מועסקים בחברה.

- טוויטר נמצאת בפיגור של עשור בהשוואה לחברות אחרות בכל הקשור לאבטחת המידע של משתמשים.

- לטוויטר אין מושג איזה נתונים יש להם, איפה הם מוחזקים ומאיפה הם מגיעים, ולכן, באופן לא מפתיע, הם לא יכולים להגן על נתונים אלו.

- עובד פשוט בטוויטר יכול להשתלט בקלות ולקבל גישה לחשבונות של כל חברי הקונגרס היושבים כאן.

מצרף עוד שני ציטוטים של פיטר:

"זה לא משנה למי יש מפתחות אם אין לך מנעולים" על הדלתות"

"קשה להסביר למישהו דבר מסויים, כשהמשכורת שלו תלויה באי-הבנה של אותו הדבר."

הדוברת של טוויטר התייחסה בקצרה לעדות של פיטר וטענה כי "הטענות של זטקו רצופות בחוסר עקביות ואי דיוקים".

מי שגייס את פיטר לעזרתו הוא אילון מאסק, שנמצא בקרב משפטי מול טוויטר.
כזכור, מאסק משך את הצעתו לרכוש את טוויטר בשל החשש כי הרשת מלאה בבוטים, טוויטר מצידם תובעים את מאסק בשל ביטול הסכם הרכישה.
כעת מקווה מאסק שפיטר יוכל לסייע לו בהוכחה שטוויטר אכן מלאה בבוטים ולכן הוא זכאי לבטל את עסקת הרכישה.

https://news.1rj.ru/str/CyberSecurityIL/2207

#דיגיטל #דלף_מידע

שבת שלום ✌🏻

קבוצת התקיפה Lockbit שילמה 50,000 דולר עבור חולשה שדיווחו להם במסגרת תכנית ה-Bug Bounty של הקבוצה

בהתכתבות בין המדווח לאחד מחברי הקבוצה נראה כי החולשה מאפשרת לפענח קבצים מוצפנים ללא קבלת מפתח הפיענוח ותשלום דמי הכופר.
(ההתכתבות מצורפת בתגובות).

קבוצת Lockbit מדווחת כי החולשה תוקנה באותו יום וכי 50,000 דולר הועברו למדווח.

https://news.1rj.ru/str/CyberSecurityIL/2208

#כופר #bug_bounty

חברת Empress EMS המספקת שירותי רפואה דחופה בניו יורק מדווחת על דלף מידע לאחר מתקפת כופר

בדיווח שפירסמה החברה היא מדווחת כי התוקפים חדרו לרשת הארגון ב-26.5.22 ושהו ברשת הארגון עד 14.7.22, אז החלו להוציא ולהצפין מידע.
קבוצת Hive היא זו שאחראית למתקפה.

משרד עו"ד כבר החל בבחינת האירוע לקראת הגשת תביעה בשם הלקוחות שהמידע שלהם נחשף.

https://news.1rj.ru/str/CyberSecurityIL/2209

https://www.bleepingcomputer.com/news/security/new-york-ambulance-service-discloses-data-breach-after-ransomware-attack/

#כופר #רפואה

קוד מקור וקטעי וידאו מהמשחק GTA 6 פורסמו ברשת לאחר שהאקר פרץ לרשת של חברת Rockstar.

ההאקר, שהצליח להשיג את המידע לאחר שפרץ לחשבונות Slack ו-Confluence בחברה, פרסם חלק מהמידע שגנב בפורום של GTA, וטען כי הוא מוכר את קוד המקור של GTA 5 עבור 10,000 דולר+ וכי בשלב זה הוא לא מוכר את הקוד של GTA 6.

לאחר שמספר משתמשים הטילו ספק באמינות של המידע, פירסם ההאקר כי הוא זה שעומד גם מאחורי הפריצה לחברת Uber ופירסם חלק מקוד המקור של GTA 6.

https://news.1rj.ru/str/CyberSecurityIL/2210

#דלף_מידע #דיגיטל #מדיה

הבנק הדיגיטלי הבריטי Revolut מדווח על מתקפת סייבר במהלכה תוקפים נחשפו למידע של לקוחות.

חברת הפינטק Revolut מחזיקה ברישיון בנקאות בריטי ומספקת שירותים פיננסיים לכ-20 מיליון לקוחות.

בהודעה שפירסמה החברה היא מדווחת כי במתקפת סייבר ממוקדת מאד גורם צד ג' הצליח לגשת למידע של כ-50,000 לקוחות.
בין המידע שכנראה נחשף - שמות, כתובות, מספרי חשבון, מידע חלקי של כרטיסי אשראי ועוד.

https://news.1rj.ru/str/CyberSecurityIL/2211

https://cybernews.com/news/revolut-banking-data-exposed/

#דלף_מידע #פיננסי

תכינו תקציבים: מערך הסייבר הולך לסרוק לכם את רשת הארגון מבחוץ - ולהגיד לכם איפה הבעיות

מערך הסייבר יוצא למכרז בשם ״תכלית״ לרכש שירות בתצורת ענן (SaaS) לטובת ניתוח משטח תקיפה והערכת סיכונים עבור נכסים החשופים לאינטרנט (Internet-facing assets). הזוכה יצטרך לספק מספר יכולות, ביניהן: ניהול משטח תקיפה חיצוני ופלטפורמה לדירוג סיכוני סייבר.

״במסגרת משימותיו, יאפשר השירות למערך הסייבר הלאומי, לגבש ולשקף לארגונים תמונת מצב בסיסית לגבי סיכוני הסייבר שלהם, בהתבסס על נתוני משטח התקיפה החיצוני והערכת סיכונים המבוססת על מקורות ונתונים שונים כולל העשרת מידע, עיבוד והמלצות לפעולה.
בנוסף, תשקף תמונת המצב את רמת החוסן של ארגון ביחס לארגונים אחרים באותו מגזר״, נכתב במכרז.

״המערך מעוניין בשירות על בסיס יכולות סריקה חיצונית עם העשרה של נתונים ממגוון מקורות מידע פתוחים ומקורות נוספים. המערכת תעבד ותארגן את המידע שנאסף על ידה, תבצע הערכת סיכונים ע"ב מודלים מובילים בתעשייה ותספק המלצות לתיקון ושיפור ההגנה.

https://news.1rj.ru/str/CyberSecurityIL/2212

https://www.israeldefense.co.il/node/55860

#מערך_הסייבר_הלאומי #ישראל

מדינת בוסניה והרצגובינה סובלת ממתקפת כופר שמשביתה את הפרלמנט במדינה מזה כשבועיים

לפי הדיווחים, התוקפים השתלטו על מספר שרתים לפני כשבועיים ומאז אתר הפרלמנט והגישה לדוא"ל מושבתים, עובדים בפרלמנט התבקשו לא להדליק את המחשב עד להודעה חדשה.

https://news.1rj.ru/str/CyberSecurityIL/2213

https://therecord.media/bosnia-and-herzegovina-investigating-alleged-ransomware-attack-on-parliament/

#כופר #ממשלה

חברת Uber מדווחת כי קבוצת Lapsus היא זו שאחראית למתקפה שבוצעה כנגד החברה.

בדיווח שפירסמה Uber היא מעדכנת כי קבוצת Lapsus שאחראית למתקפות על סמסונג, Okta, Rockstar, Nvidia, Microsoft ועוד, היא זו שאחראית למתקפת הסייבר שחוותה החברה.

לפי Uber התוקף קנה ברשת האפילה שם משתמש וסיסמה של אחד מהספקים של Uber ודרכו הצליח להשתלט על חשבונות נוספים ומספר מערכות.

ב-Uber טוענים כי התוקף לא הצליח להגיע למערכות בסביבת הייצור ולמאגרי מידע המכילים מידע רגיש של לקוחות.

בינתיים ברשתות החברתיות משתמשים החלו לפרסם צילומי מסך מתוך לינקדין שם נראה כי Uber החלה בגיוס עובדים לתפקידי סקיוריטי שונים....

https://news.1rj.ru/str/CyberSecurityIL/2214

https://cybernews.com/news/uber-hack-update/

#דלף_מידע #תחבורה

חברת Wintermute, המספקת שירותי נזילות לבורסות קריפטו, מדווחת על מתקפת סייבר במהלכה האקרים הצליחו לגנוב מטבעות דיגיטליים בשווי 162 מיליון דולר

חברת Wintermute מספקת שירותי נזילות לבורסות גדולות, ביניהן Binance, Coinbase, Kraken, ו-Bitfinex.

מנכ"ל החברה פירסם הודעה לפיה האקר הצליח לגנוב מטבעות דיגיטליים בשווי של כ-162 מיליון דולר והחברה מוכנה להעניק לו תגמול חוקי אם ישיב את הכספים הגנובים.

ווקטור התקיפה עדיין לא ברור לגמרי אך מומחי אבטחה בתחום קריפטו טוענים כי כתובת הארנק של Wintermute נוצרה לפני מספר שנים בעזרת מוצר בשם Profanity, הטכנולוגיה של Profanity איפשרה ללקוחות ליצור כתובות ארנקים ייחודיות אך המוצר נסגר בשל ליקוי אבטחה רבים.
ככל הנראה הכתובת של Wintermute שנוצרה ע"י Profanity לפני זמן רב הכילה מספר חולשות מובנות שאיפשרו לתוקף להגיע למפתח הפרטי של הארנק ולגנוב את הכסף.

https://news.1rj.ru/str/CyberSecurityIL/2217

https://www.bleepingcomputer.com/news/security/hackers-steal-162-million-from-wintermute-crypto-market-maker/

#קריפטו

חברת 2K מדווחת כי האקר הצליח לפרוץ למערכת התמיכה של החברה ושלח ללקוחות הודעות עם נוזקה.

בשלב זה אתר התמיכה של החברה מושבת עד להודעה חדשה.

https://news.1rj.ru/str/CyberSecurityIL/2218

https://www.bleepingcomputer.com/news/security/2k-games-says-hacked-help-desk-targeted-players-with-malware/

חברת Imperva מדווחת כי חסמה את מתקפת ה-Ddos הארוכה ביותר עד כה - 25.3 מיליארד פניות בזמן מצטבר של 4 שעות.

לפי הדיווח של Imperva המטרה הייתה חברת תקשורת סינית כשהתוקפים עשו שימוש ב-170,000 מכשירים הפזורים ב-180 מדינות.

https://news.1rj.ru/str/CyberSecurityIL/2219

https://www.bleepingcomputer.com/news/security/imperva-mitigated-long-lasting-253-billion-request-ddos-attack/

#DDoS

ארגון New York Racing Association מדווח על מתקפת כופר, קבוצת התקיפה Hive לקחה אחריות על המתקפה.

ארגון New York Racing Association הינו ארגון ללא מטרות רווח המנהל את מסלולי מירוצי הסוסים הגדולים בניו יורק.

בדיווח שמפרסמת החברה היא מדווחת כי בשל מתקפת סייבר אתר החברה מושבת וכי תוקפים הצליחו לגשת למידע רגיש של חברים בארגון.
במקביל קבוצת Hive מפרסמת באתר ההדלפות מידע שגנבה מרשת הארגון.

בשלב זה לא נראה שיש למתקפה השלכות על המשך הפעילות השוטפת של מירוצי הסוסים, והמירוצים יתקיימו כסדרם 🏇

https://news.1rj.ru/str/CyberSecurityIL/2220

https://www.bleepingcomputer.com/news/security/hive-ransomware-claims-attack-on-new-york-racing-association/

#כופר