מיקרוסופט: היינו יעד למתקפת הסייבר הרוסית, "מספר הקורבנות ימשיך לגדול בוודאות"

מיקרוסופט מצטרפת לרשימת הנפגעות ממתקפת הסייבר שמקורה על פי החשד ברוסיה. החברה הודיעה הלילה (בין חמישי לשישי) כי תוכנה זדונית אותרה במערכות שלה, הקשורה למתקפת ההאקרים הנרחבת שנחשפה על ידי גורמים אמריקניים רשמיים השבוע. בכך מתווספת חברת הטכנולוגיה הבכירה לשורת ארגונים ממשלתיים שהותקפו גם כן.

החברה ציינה כי גרסאות בעייתיות של תוכנה מסוימת הותקנו אצל יותר מ-40 לקוחות שלה ברחבי העולם. 80% מהקורבנות נמצאים בארה"ב והיתר ב-7 מדינות אחרות: ישראל, קנדה, מקסיקו, בלגיה, ספרד, בריטניה ואיחוד האמירויות.

https://mobile.mako.co.il/news-world/2020_q4/Article-a6542db52547671026.htm

חוקרים מאוניברסיטת בן גוריון מפרסמים מחקר בו הם מציגים אפשרות לגנוב מידע ממחשב המנותק מהאינטרנט באמצעות הפיכת כרטיס זיכרון ה-RAM למשדר WiFi.

מרדכי גורי, שהוביל את המחקר מסביר שבאמצעות טכנולוגיית AIR-FI המוצגת במחקר, גניבת המידע יכולה להתבצע ממחשבים המנותקים לחלוטין מרשת האינטרנט אף אם אין להם כרטיס רשת כלשהו.

עם זאת, על מנת לממש את גניבת המידע יש להתקין משדר WiFi במרחק של עד 7 מטרים מהמחשב המיועד.

(למעוניינים, קישור למחקר המלא מצורף בתגובות)

אתר Yahoo חושף פרטים נוספים על הפירצה הענקית שבוצעה דרך חברת SolarWinds.

בכתבה שפורסמה אתמול נכתב כי התוקפים שהו ברשת של SolarWinds לפחות שנה, בזמן שהותם ברשת התוקפים ביצעו "ניסוי על יבש" והפיצו קבצים ללא נוזקה דרך מערכת העדכונים של SolarWinds.

לאחר שראו שהניסוי עובר בהצלחה ושכל הארגונים התקינו את העדכון ישבו התוקפים ברשת עוד מספר חודשים עד להפצת העדכון הזדוני.

הראשונה שגילתה את הפריצה הייתה FireEye, לדברי צ'ארלס קרמקאל, סמנכ"ל טכנולוגיות בחברת Mandiant, הפירצה התגלתה בעקבות התרעה של עובד שזיהה כי גורם לא ידוע רשם מכשיר טלפון חדש תחת החשבון שלו.
רישום המכשיר נועד בכדי לעקוף את מנגנון הזיהוי הרב שלבי בחיבור ה-VPN לרשת החברה.
בעקבות ההתרעה של העובד ביצעה FireEye תחקיר וגילתה את הנוזקה במערכת SolarWinds.

https://news.yahoo.com/hackers-last-year-conducted-a-dry-run-of-solar-winds-breach-215232815.html

בתאריך 28.12.20 בשעה 11:00 יתקיים וובינר בנושא: "ארועי אבטחה – להתכונן, להתמודד ולנהל"

מוזמנים להירשם בלחיצה כאן

חוקרי אבט"מ מחברת IBM חשפו רשת הונאות שגנבה מיליוני דולרים מאלפי חשבונות בנק.

קבוצת התקיפה עשתה שימוש באמולטרים של טלפונים ניידים ובתהליכי אוטומציה כדי להסוות את עקבותיהם ולהימנע ממנגנוני ההגנה של הבנקים.

בחלק מהמקרים, מציינים ב-IBM, כי התוקפים אף הצליחו לעקוף את מנגנון הזיהוי הרב שלבי הנדרש בשביל לבצע העברות בנקאיות באמצעות השגת הגישה להודעות הסמס של הלקוחות.

https://securityintelligence.com/posts/massive-fraud-operation-evil-mobile-emulator-farms/

הקרבן הבא: קבוצת Pay2Key (המגובה ע"י איראן) מפרסמת כי הצליחה לפרוץ לשרתים של התעשייה האווירית.

קבוצת Pay2Key שאחראית למספר תקיפות סייבר בישראל, כולל על האבנה לאבס של אינטל, מפרסמת כעת כי הם פרצו לשרתים של התעשייה האווירית וגנבו מידע רגיש.

חלק מהמידע שנגנב מפורסם באתר האינטרנט שהקימה הקבוצה לצורך הדלפת המידע הגנוב.

כבר מספר ימים שקבוצת Pay2Key רומזת על גישה למערכות התעשייה האווירית, זה התחיל בסקר בחשבון הטוויטר והמשיך בפנייה ישירה הכוללת סיסמה גלויה שככל הנראה שייכת לעובד בתעשייה.

לפי חלק מהדיווחים צוותי חקירה ותגובה נמצאים כבר בתעשייה האווירית ומנסים לכמת ולהכיל את האירוע.

(תמונות בתגובות)

חברת symrise, העוסקת בפיתוח ושיווק של חומרי טעם וריח, מדווחת כי היא נאלצה להשבית את מערך המחשוב בשל מתקפת כופרה.

קבוצת התקיפה Clop היא זו שתקפה את החברה, גנבה מידע בנפח 500GB והצפינה כ-1000 נקודות קצה ושרתים (בשלב זה לא ידוע סכום הכופר).

חברת symrise מספקת חומרי טעם וריח לכ-30k מוצרים שונים ולחברות ענק כגון קוקה קולה, נסטלה וכדו',
החברה מעסיקה כ-10k עובדים והכנסותיה השנתיות ב-2019 עמדו על 3.4 מיליארד דולר.

https://www.bleepingcomputer.com/news/security/flavors-designer-symrise-halts-production-after-clop-ransomware-attack/

חברת Ledger, המספקת רכיבים פיזיים לשמירה של מטבעות דיגיטליים, מעדכנת כי מידע של לקוחות שנגנב ע"י האקרים פורסם אונליין.

המידע, שפורסם בפורום של האקרים כולל 2 קבצים:
קובץ אחד הכולל את כתובות הדוא"ל של כמיליון לקוחות.
קובץ נוסף מכיל את כתובות המגורים של כ-250k לקוחות שרכשו את המוצרים של Ledger.

המידע שפורסם נגנב ככל הנראה מוקדם יותר השנה, בחודש יוני.

https://www.bleepingcomputer.com/news/security/physical-addresses-of-270k-ledger-owners-leaked-on-hacker-forum/

חברת Flashpoint המספקת שירותי מודיעין סייבר מפרסמת את דו"ח סוף השנה של 2020 בנושא השוק הפיננסי ברשת האפילה.

מספר נקודות מעניינות מהדו"ח:

💰מחיר של כרטיס אשראי ברשת האפילה עלה בכ-50% בשנה האחרונה (ממחיר של 14.64$ ל-20.16$)

💰מחיר דרכון מזוייף של אזרח ארה"ב יכול להגיע ל-350$ בעוד מחירו של דרכון מזוייף השייך לאזרחי בריטניה ואירופה יכול להגיע ל-3500$.

💰מתקפת Ddos של 60GB למשך כחצי שעה תעלה לכם רק 90$.

💰 נתוני הזדהות לחשבון בנק בארה"ב עם יתרה של 4000$ מינימום תעלה 55$.

מוזמנים לעיין במסמך המלא כאן 👇🏻

מערך הסייבר הלאומי:

פגיעות במוצר BIG-IP של חברת F5.

שלום רב,

1. חברת F5 פרסמה לאחרונה התרעת אבטחה עבור פגיעות קריטית שהתגלתה בציוד מסוג BIG-IP מתוצרתה.

2. הפגיעות (CVE-2020-5948) עלולה לאפשר תקיפה מסוג Reflected XSS, כנגד ממשק הניהול, באמצעות פגיעות שלא פורטה ב-iControl REST.

3. אם למשתמש המותקף יש הרשאות מנהלן, המתקפה עלולה לאפשר לתוקף השתלטות מלאה על הציוד.

בורסת הקריפטו הבריטית EXMO מדווחת כי האקר הצליח לפרוץ לרשת החברה ולגנוב 5% מכלל נכסי הארנקים החמים.

הפריצה דווחה למשטרת לונדון אבל הסיכוי לאתר את ההאקר הוא נמוך מאד, בשלב זה החברה מבטיחה לפצות את כל הלקוחות שנפגעו.

הגניבה התבצעה רק מארנקים חמים (ארנקים המשמשים לאחסון זמני של מטבעות בזמן העברות כספים) כך שהמטבעות בארנקים הקרים לא נגנבו.

בבורסת EXMO מתבצעים ביום תנועות בנפח כספי כולל של 52 מיליון דולר בממוצע.

https://www.bleepingcomputer.com/news/security/exmo-cryptocurrency-exchange-hacked-loses-5-percent-of-total-assets/

חברת המשאיות והלוגיסטיקה Forward Air מעדכנת כי היא נפלה קרבן למתקפת כופרה המשבשת את פעילות החברה.

את התקיפה ביצעה קבוצה תקיפה חדשה בשם Hades שהחלה לפעול בגלוי לפני כשבוע (תמונות מצ"ב בתגובות).

בשל התקיפה חברת Forward Air נאלצה להשבית את מערך המחשוב וכן את האתר הרשמי של החברה מה שגרם לעיכובים בפעילות השוטפת.

חברת Forward Air מעסיקה כ-4,300 עובדים והכנסותיה השנתיות ב-2019 הסתכמו ב-1.4 מיליארד דולר.

https://www.bleepingcomputer.com/news/security/trucking-giant-forward-air-hit-by-new-hades-ransomware-gang/

מאחדים כוחות: 19 חברות וארגונים, ביניהם מייקרוסופט, מקאפי, רפיד7 ועוד, מקימים כח משימה משותף להתמודדות עם מתקפות כופרה.

מטרת האיחוד היא ליצור למשק תשתית עבודה גלובלית שתאפשר לארגונים להתכונן בצורה טובה יותר למתקפת כופרה.

כח המשימה יחל את פעילותו הרשמית בינואר 2021 בתקווה שכבר במהלך השנה יוכל לתת תרומה משמעותית למשק.

רשימת החברות והארגונים המלאה שלוקחת חלק ב- Ransomware Task Force (RTF) מצ"ב בתגובות.

https://www.zdnet.com/google-amp/article/microsoft-and-mcafee-headline-newly-formed-ransomware-task-force/

מחקר: ישראל – היעד המוביל בעולם למתקפות סייבר.

ישראל הייתה היעד המוביל בעולם למתקפות סייבר ברבעון השלישי של 2020 – כך לפי דו"ח הגנת היישומים שהוציאו באחרונה מעבדות F5.
המדינות המותקפות ביותר אחרי ישראל בתקופה זו, בהפרש גדול, היו ארצות הברית, רוסיה והודו.

הדו"ח מבוסס על ניתוח מפורט של נתוני מלכודות דבש, שנאספו מאמצע יולי עד אמצע אוקטובר השנה.

עוד עולה מהדו"ח כי התעבורה העצומה המרוכזת בנכסים ישראליים התמקדה בפורטלים ניהוליים של וורדפרס – בעיקר למתקפות מסוג Credential stuffing או Brute force.
92% מהמתקפות נגד אתרים שבנויים על וורדפרס התמקדו בישראל.

https://www.pc.co.il/news/328480/

מערך הסייבר הלאומי:

ניצול מנגנוני אימות למתקפות

1. הסוכנות האמריקאית לביטחון לאומי (NSA) פרסמה התרעת אבטחה העוסקת בניצול של מנגנוני אימות על-ידי תוקפים להשגת נגישות למשאבי ענן.

2. התוקפים מנצלים גישה בהרשאות גבוהות לשרתי אימות ברשת הארגונית, על מנת לבצע מניפולציה במנגנוני ההזדהות המשמשים את הארגון למתן גישה למשאבים הן ברשת הארגונית והן בשירותי הענן הארגוניים.

3. ההתרעה מתמקדת בשתי שיטות פעולה (TTPs) העלולות לאפשר לתוקפים גישה למשאבי הענן הארגוניים, במקרים רבים תוך התמקדות בתשתיות דוא"ל ארגוניות.

4. מסמך זה יסקור את שיטות הפעולה הללו, ואמצעים להתמודד עמן.

חברת ניהול הפנסיות הבריטית NOW: Pensions מדווחת על דליפת מידע של 1.7 מיליון לקוחות.

במכתב שהוציאה החברה ללקוחות היא טוענת כי בשל טעות של אחד מספקי השירות איתם עובדת החברה פורסמו פרטים מזהים של כ-1.7 מיליון לקוחות.

הפרטים היו חשופים ברשת למשך 3 ימים וכללו שמות מבוטחים, תאריכי לידה, כתובות דוא"ל ומספרי ביטוח לאומי.

https://www.theregister.com/2020/12/22/now_pensions_data_breach/

מכללת Roanoke שבוירג'יניה נאלצת לדחות בחודש את פתיחת שנת הלימודים האקדמית בשל מתקפת סייבר.

המכללה הוציאה הודעה לכ-2,000 סטודנטים ומסרה כי בשל מתקפת סייבר המונעת גישה לקבצים (כופרה 🧐) שנת הלימודים תיפתח באיחור של חודש.

בהודעה נוספת שהוציאה המכללה היא מעדכנת כי כל הקבצים האישיים של סטודנטים לא ייאבדו וכי תהליך שחזור הקבצים מגיבויים כבר החל.

https://www.bleepingcomputer.com/news/security/roanoke-college-delays-spring-semester-after-cyberattack/

ללא תקציבים או סמכויות - ואשם בהכל: התפקיד כפוי הטובה של מנהל סייבר

אבטחת מידע צריכה לזכות בקדימות בעולם הדיגיטלי, ומנהל אבטחת המידע, ה-CISO, צריך להיות איש טכנולוגיה מקצועי שמבין גם בעסקים ומקורב להנהלה.
בפועל, בחברות רבות הסיסו הוא עדיין מנהל בדרג ביניים, נטול משאבים ולעתים גם עובד מיקור חוץ.

"האחריות המקצועית של הסיסו היא שהארגון יתפקד באופן רציף ובלי פגיעויות", אומרת עינת מירון, יועצת בתחום חסינות סייבר לארגונים. "זה אדם שמבין סיכוני סייבר, והוא טכנולוגי, אבל גם מבין את הביזנס שעליו הוא מגן".

מירון מצביעה על הבעייתיות בתפקיד הסיסו. "יש לו לא מעט אחריות — אבל אין לו כמעט סמכות. הוא גם 'האיש הרע' בשגרה, מפני שהוא חוסם לעובדים את הגישה לאתרים כמו עלי אקספרס, ובגללו אי אפשר להוציא מצגת של החברה למייל הפרטי. ואחרי כל זה, הוא האיש שאליו מפנים את האצבע כשמתרחשת מתקפת סייבר".

https://www.themarker.com/technation/.premium-1.9393164