תיעוד מהפשיטה על "ראש הנחש" של הונאת הקריפטו

יחידת הסייבר בלהב 433 קיימה בחודשים האחרונים חקירה סמויה אחר חברה ישראלית מרמת גן שפיתחה "תוכנת עוקץ" שמאפשרת לארגוני פשיעה בארץ ובחו"ל להונות משקיעים במטבעות דיגיטליים בהיקף של עשרות מיליוני אירו.

מי שככל הנראה עומדים מאחורי העוקץ המתוחכם הם ארגוני פשיעה בחו"ל ובישראל, בהם הארגונים של ג'רושי, חייא ומולנר, וארגון מוסלי. אתמול פשטו שוטרי היחידה על משרדי החברה ועצרו שישה חשודים, בהם המנכ"ל, רואה חשבון ובעלי תפקידים נוספים. חוקרי להב 433 עיכבו לחקירה עשרות חשודים נוספים. (וידאו מצ"ב)

במסגרת ההונאה, עבריינים הקימו ברחבי הארץ מוקדים טלפוניים שפונים למשקיעים באירופה ומציעים להם להשקיע בקריפטו. הקורבנות מקבלים שם משתמש וסיסמה לאזור אישי באינטרנט שבו הם יכולים לראות את "תיק ההשקעות" ולעקוב אחר התשואות.

מי שפיתח את התוכנה ששולטת בנתונים ומזייפת אותם היא חברה ישראלית שיושבת במשרדי יוקרה ברמת גן, סמוך למתחם הבורסה. התוכנה מציגה לקורבנות תיק השקעות פיקטיבי ומביאה אותם להמשיך ולהשקיע כספים רבים, אך ברגע שבו הלקוח מבקש למשוך את הכסף, הדבר אינו קורה ואז המשקיעים מבינים שנפלו לתרמית. המשקיעים שנעקצו הם אזרחי סרביה, אוקראינה, גיאורגיה, קוסבו, גרמניה, ספרד וישראל.

חוקרי להב 433 הצליחו להגיע בחודשים האחרונים לכמה מוקדים ברחבי הארץ שארגוני הפשיעה הפעילו ולסגור אותם. אלא שאותם ארגוני פשע המשיכו והקימו מוקדים חדשים, ולמשטרה היה ברור שעליה להשתלט על החברה שמפתחת את תוכנת העוקץ שמאפשרת לעבריינים לייצר תיק השקעות פיקטיבי. חקירה סמויה של יחידת הסייבר בלהב 433 שהתקיימה בחודשים האחרונים הובילה את חוקרי יחידת הסייבר למשרדי החברה, שם פיתחו ותיחזקו עבור ארגוני הפשע את התוכנה שמאפשרת להם להציג ללקוח תשואות פיקטיביות.

במשטרה הגדירו את החברה הזו "ראש הנחש", והחליטו לפשוט על המשרדים במטרה לגדוע את המשך הספקת התוכנה לארגוני הפשע בארץ ובחו"ל.

במהלך הפשיטה המשטרתית היה ניתן להבחין כי מרבית העובדים במקום הם צעירים. ניכר היה שלחלק מהעובדים החשודים אין עבר פלילי והם ניסו לעשות כסף קל.

https://news.1rj.ru/str/CyberSecurityIL/3668

https://www.ynet.co.il/news/article/yokra13578920

#ישראל #קריפטו #הונאה

עושים שימוש בראוטרים של חברת Asus? יש סיכוי שאתם חשופים לחולשות קריטיות המאפשרות לתוקף להריץ קוד מרחוק באופן חופשי.

מערך הסייבר בטייוואן מדווח על שלוש חולשות קריטיות בדגמים מסויימים של חברת Asus, כשחלקם נמכרים גם בארץ:

- ASUS RT-AX55,
- RT-AX56U_V2
- RT-AC86U

החולשות, בדרגת סיכון 9.8 מתוך 10 מאפשרות לתוקף להריץ קוד מרחוק ללא צורך בפעולה מצידו של המשתמש.

אתר BleepingComputer מביא את כל הפירוט של החולשות ואת הגרסאות אליהם צריך לעדכן על מנת לסגור את אותן החולשות.

כל הפרטים - כאן

https://news.1rj.ru/str/CyberSecurityIL/3671

#חולשות

"מישהו רוקן לי את חשבון הבנק"
"כרטיס האשראי שלי חוייב ב-2,500$."
"חוייבתי שלוש פעמים עבור עסקאות שלא ביצעתי."
"קיבלתי כ-100 שיחות והודעות ספאם ביממה האחרונה."
"נאלצתי להחליף את כתובת הדוא"ל שלי בשל הצפה מאסיבית של ספאם והונאות."

כיצד מתקפת כופר משפיעה באופן ישיר על המשתמשים/לקוחות שהמידע שלהם נגנב?

מוקדם יותר השנה, בחודש מרץ, פירסמתי שמחוז בתי הספר בעיר מיניאפוליס סובל ממתקפת כופר שבוצעה ע"י קבוצת Medusa.
דמי הכופר עמדו על 1 מיליון דולר אך במחוז החליטו שלא לשלם את הסכום, שכרו את שירותיה של חברת תגובה ב-150,000 דולר, וטענו כי אין אינדיקציה לדלף מידע רגיש.
לאחר אי תשלום דמי הכופר הקבוצה החלה לפרסם המוו מידע שגנבה מהמחוז, כולל מידע רגיש מאד על ילדים וכו'.

בין המידע שדלף ניתן היה למצוא תלונות על הטרדות מיניות, טיפולים פסיכיאטריים, דיווחים על ניסיונות התאבדות, מידע פיננסי של עובדים, ועוד.

התלמידים שהמידע שלהם דלף התחננו לבית הספר שיעשה משהו, כשחלקן סובלים מתסמינים של פוסט טראומה, שהחמירו בעקבות פרסום המידע.

כעת, מספר חודשים אחרי, מגיעים דיווחים גם על נזקים נוספים, עובדים בהווה ובעבר בבית הספר מתלוננים כי כספם נגנב, הם מוצפים בשיחות הונאה, חיובים מוזרים בכרטיסי אשראי, הודעות פישינג רבות ועוד.

חלק מהמורים אף ביקשו מהנהלת בית הספר חופש ודחיית תאריכי היעד למשימות שברשותם, כדי שיוכלו להתפנות ולטפל בהחלפת כל החשבונות הדיגיטליים שלהם וכו'.

מהמחוז לא התקבלה תגובה רשמית להשלכות שהתפרסמו, וכמו במהלך האירוע גם כעת, תלונות רבות מועלות על האופן בו המחוז מנהל את האירוע תקשורתית ומול הגורמים שנפגעו.
המחוז דיווח השבוע כי רק עכשיו הוא החל בשליחת מכתבים לכל מי שנפגע מהאירוע...
עוד לא ראיתי בתקשורת דיווחים על תביעות ייצוגיות אבל אין לי ספק שגם זה יגיע.

https://news.1rj.ru/str/CyberSecurityIL/3672

#כופר #חינוך

פלטפורמת ההיכרויות CoffeMeetsBagel מדווחת כי אי הזמינות של השירות בשבוע שעבר נגרמה בשל מתקפת סייבר.

לדברי החברה, תוקפים הצליחו לחדור לשרתי הארגון ולמחוק את כל המידע הקיים בשרתים, מה שגרר כמובן השבתה מלאה של הפלטפורמה, וזאת עד להקמת שרתים חדשים עם מידע מגיבוי שבוצע מספר ימים לפני המתקפה.

החברה לא מציינת אם מדובר במתקפת כופר ואם מידע רגיש של משתמשים דלף.
(בשלב זה לא ראיתי לקיחת אחריות של אף קבוצת תקיפה).

https://news.1rj.ru/str/CyberSecurityIL/3673

#טכנולוגיה

.
שמעתם על זה כאן לראשונה (תודה למדווחים) וכעת חברת NXP מפרסמת הודעה רשמית על דלף מידע.

בהודעה שמוסר דובר החברה לתקשורת הוא מדווח כי גורם בלתי מורשה השיג גישה למידע של לקוחות וכי כל הלקוחות שנפגעו קיבלו הודעה בנושא.

שימו לב שהכתבה בתקשורת מציינת שהדיווח ה"ראשון" היה על ידי אתר Have I Been Pwned שפירסם ציוץ בנושא ב-3.9.... כאן קיבלתם את ההודעה כבר ב-17.8!

https://news.1rj.ru/str/CyberSecurityIL/3677

#דלף_מידע #תעשיה

חלומו של כל חוקר אבט"מ (ושל כל האקר...)
נעים להכיר: VX-underground - מאגר הנוזקות בגדול ביותר באינטרנט.

השבוע התברר לי שהמון אנשים, גם כאלו העוסקים בתחום, לא מכירים את האתר Vx-underground אז החלטתי לכתוב פוסט קצר בנושא.

קצת רקע: האתר הוקם ב-2019 על ידי בחור אנונימי שעונה לכינוי smelly_vx.
האתר הוא למעשה מאגר עצום (5TB) של וירוסים ונוזקות מכל הסוגים (כופר, רוטקיטים, סוסים טרויאנים, פישינג ועוד ועוד) ולכל המערכות (אנדרואיד, לינוקס, ווינדוס, מאק ועוד).

המטרה של VX היא לספק מידע בעיקר עבור חוקרי אבט"מ, חברות המתעסקות בהגנה וכו' אך לא מן הנמנע שגם תוקפים ינסו לעשות שימוש במידע או אפילו למכור את מה ש-VX נותנים בחינם תמורת כסף.
באינטרנט תוכלו למצוא לא מעט דיונים על האם מה ש-VX עושים זה נכון או לא ובמקביל תוכלו גם למצוא שיתופי פעולה שונים בין חברות מחקר סייבר לבין VX, וכן חסויות ש-VX מקבלת מחברות שונות בתחום.

המאגר של VX זמין באתר אינטרנט ייעודי וקיים גם כקוד פתוח בגיטהאב וכל המידע המוצע להורדה הוא בחינם.
(הפרוייקט מתקיים בעיקר על תרומות, חסויות וכו'.)

ל-VX-underground יש גם חשבון טוויטר פופולרי המשלב סייבר ובדיחות סייבר, וגם ערוץ טלגרם פעיל.

בקיצור, אם עוד לא הכרתם אז נעים להכיר, ראיון שנעשה בעבר עם מנהל Vx זמין כאן.

https://news.1rj.ru/str/CyberSecurityIL/3678

קבוצת Ragnar Locker מפרסמת באופן רשמי את בית החולים מעייני הישועה באתר ההדלפות של הקבוצה ומשחררת חלק מהמידע שגנבה.

הקבוצה טוענת כי היא שיחררה חלק ראשון מהמידע שגנבה מבית החולים, בנפח 402GB, וזאת לאחר שבית החולים סירב לשלם את דמי הכופר.

לדברי הקבוצה, את שאר החלקים היא תפרסם בימים הקרובים.

https://news.1rj.ru/str/CyberSecurityIL/3679

#כופר #ישראל

.
מזכיר לכולם כי יש צו איסור פרסום על הפצת המידע שנגנב או הפנייה למידע.

בבקשה לא לפרסם קישורים כאלו או אחרים בקבוצת הדיונים של הערוץ.

חברת נתיבי ישראל מדווחת כי החליטה להשבית את שירות הצפייה במצלמות התנועה אונליין לאחר מספר אירועי סייבר שהתרחשו במשרדי ממשלה.

ההודעה המלאה מצ"ב.

https://news.1rj.ru/str/CyberSecurityIL/3682

#תחבורה #ישראל

כמה עדכונים לגבי מעייני הישועה בעקבות פניות, דיווחים ושאלות שמקבל בפרטי.

1. אתחיל בתשובה לשאלה שמטרידה, מסתבר, לא מעט קוראים בערוץ: לא הורדתי את המידע שפירסמו התוקפים ואני לא יודע אם יש שם מידע על ראש הממשלה :) אני גם לא מתכנן להוריד את המידע שיופץ בימים הקרובים.

2. שאלה נוספת שנשאלתי ומעדיף כבר לענות כאן: לא נתקלתי בעבר בסיפורים על וירוסים שמתחבאים בתוך קבצים שקבוצות כופר מפרסמות, אני לא אומר שזה לא יכול להיות אבל אני לא נתקלתי, בטח לא עם הקבוצות המוכרות (אם אתם מכירים סיפורים כאלה אשמח שתפנו איתי למקור).
עם זאת חשוב לזכור - הקבצים מפורסמים על ידי פושעים שבוחרים לפגוע בפרטיות הבסיסית של אנשים ללא מצפון. לא הייתי לוקח את הסיכון (הקטן) רק בגלל יצר הסקרנות והרצון לחטט במידע של אחרים.

3. התוקפים טוענים כי פרסמו רק 10-12% מהמידע (400GB מתוך 4TB).
אני לא יודע אם מדובר באסטרטגיה שנועדה לגרום לבית החולים לחזור/להגיע לשולחן המשא ומתן או שמדובר פשוט בתהליך שדורש זמן והתארגנות מהצד של התוקפים.

4. התוקפים טוענים כי הם מחזיקים במאגרי מידע (SQL DB) ותכתובות דוא"ל ואלו יפורסמו בימים הקרובים.
אני אומר בזהירות כי ייתכן ומדובר במאגרי מידע הכוללים תיקים רפואיים של מטופלים וכו' אך אני לא מתכנן לפרסם עדכונים על כל מאגר חדש שהתוקפים יעלו.

5. המידע שהועלה עד כה מכיל מידע עדכני משנת 2023 והוא כולל ביו היתר מידע רפואי רגיש. לא מדובר בקובץ אחד של 402GB כפי שמפורסם בחלק מהאתרים אלא על המון תיקיות וקבצים מפוזרים...

6. מאחר ורוב שמות המסמכים הם בשפה העברית אז הקידוד של שמות הקבצים באתר של התוקפים מופיע כג׳יבריש ומקשה על איתור מידע ספציפי לאלו המחפשים לחפור במידע שלא שייך להם (תמונה מצ״ב).

7. מי אחראי למחדל? תודה לעיתונאי אמיתי זיו שהפנה את תשומת ליבי, בציוץ שפירסם, למסמך שנקרא ״רגולציית יסוד להגנת סייבר במערכת הבריאות בישראל״, המסמך זמין להורדה כאן ובתקציר המנהלים שבתחילת המסמך מגדירה המדינה מי אחראי למידע רפואי רגיש.
לעיונכם.

https://news.1rj.ru/str/CyberSecurityIL/3684

#כופר #ישראל #רפואה

חברת KIA שבג'ורג'יה, ארה"ב, מדווחת כי נאלצה להשבית את פעילות הייצור ומשלוחי הרכבים בשל מתקפת כופר על אחת ממערכות המחשוב המסופקות לחברה ע"י צד ג'.

בדיווחים שונים ברשת נאמר כי לא רק KIA סובלת מהמתקפה אלא כל יצרניות הרכב העושות שימוש בתוכנה של אותו ספק.

https://news.1rj.ru/str/CyberSecurityIL/3687

#כופר #תעשיה

רשת חנויות הספרים האוסטרלית Dymocks מדווחת כי מידע של 836,000 לקוחות דלף לאחר מתקפת סייבר.

החברה מדווחת כי התוקפים הצליחו להגיע למידע של לקוחות וכעת הוא מוצע למכירה בפורומים שונים.

https://news.1rj.ru/str/CyberSecurityIL/3688

#דלף_מידע #קמעונאות

שבוע טוב, סיכום חדשות השבת בסייבר:

🔺 מידע של חברת Coca Cola Femsa מוצע למכירה באחד מהפורומים, התוקף מציג כאילו הוא בעצמו גנב את המידע מהחברה כשהוא מפרסם 8.16GB של מידע אך יש לי תחושה שמדובר במיחזור של מידע ישן.
ביוני השנה תקפה קבוצת AlphV את Coca Cola Femsa ולאחר אי תשלום דמי הכופר פירסמה את המידע באתר ההדלפות.
לדעתי התוקף הנוכחי עושה שימוש באותו מידע כשהוא אפילו משתמש באותו איום שפירסמה קבוצת AlphV.
(ממידע שהגיע אלי נראה כי ייתכן והתוקף היה בעבר חבר בקבוצת AlphV).

🔺 מה קרה לחשבונות ווטסאפ של חברי כנסת ממפלגת יש עתיד? - במהלך השבת התקבלו דיווחים כי טלפונים של 15 חברי כנסת מהמפלגה נפרצו והגישה לווטסאפ שלהם נחסמה.
בפועל, ככל הנראה, מדובר בהתארגנות של גורמים שונים שיצרו מבול של פניות באמצעות כלי הדיווח של "מטא", וגרמו בכך לחסימת החשבונות באופן זמני.

🔺 יורים בתוך הנגמ"ש - קבוצת הטלגרם של אנונימוס סודאן נסגרה במהלך סוף השבוע ע"י טלגרם.
קבוצה חדשה הוקמה והקרבן הראשון של הסודאנים הייתה פלטפורמת Telegram Web שחוותה שיבושים לזמן קצר.
אנונימוס סודאן טוענים כי הם ימשיכו לתוקף את התשתיות של טגלרם בכל הכח.

🔺 כופר - במהלך הסופ"ש פורסמו למעלה מ-50 קרבנות חדשים באתרים של קבוצות הכופר השונות. (כל הקרבנות פורסמו בפיד הכופר הזמין לאלו התומכים בערוץ).

שבוע מבורך.

https://news.1rj.ru/str/CyberSecurityIL/3691

#כופר #DDoS #ממשלה #טכנולוגיה