"פרצנו לחברות ששוות מאות מיליארדי דולרים תוך 30 דקות" -

שלושה חוקרי אבט"מ ישראלים מציגים כיצד הצליחו לשתול תוסף זדוני בחנות התוספים של VSCode ולפרוץ באמצעותו לעשרות ארגונים.

עמית אסרף, איתי קרוק ועידן דרדיקמן החליטו לבדוק את רמת האבטחה בחנות התוספים של VSCode.

ויז'ואל סטודיו קוד (באנגלית: Visual Studio Code) היא פלטפורמה לכתיבת קוד המופצת על ידי חברת מייקרוסופט.
מייקרוסופט מפעילה בנוסף גם חנות תוספים ל-VSCode שם מפתחים יכולים להוריד תוספים שונים שישפרו את חווית הפיתוח.

החוקרים יצרו תוסף המתחזה לתוסף הפופולרי Dracula, המאפשר למפתחים להחליף את ערכת הצבעים של VSCode לערכה כהה הנוחה יותר לעין.
החוקרים הוסיפו כמה שורות קוד זדוניות לתוסף החדש שיצרו ונתנו לו את השם הכמעט זהה - Darcula, תוך שהם מקימים גם אתר מתחזה לאתר הרשמי של התוסף המקורי 🧛.
את האתר המתחזה הם אישרו בקלות מול חנות התוספים של VSCode ובכך למעשה הם הפכו תוך זמן קצר למפיצים של תוסף זדוני הזהה כמעט לחלוטין בשמו לתוסף המקורי.

תוך זמן קצר מאד התוסף הזדוני תופס תאוצה ומשתמשים בארגונים רבים מסביב לעולם החלו להוריד את התוסף הזדוני במקום את התוסף הרשמי.

תוך פחות מ-24 שעות כבר עשרות מחשבים הודבקו בנוזקה, כשחלק מהקרבנות אלו חברות ענק השוות מאות מיליארדי דולרים, חברות אבטחת מידע ועוד.
הנוזקה לא זוהתה על ידי מערכות ההגנה השונות בארגונים...

עד כמה המצב חמור?

החוקרים לקחו את המחקר צעד קדימה והחליטו לבדוק את מצבם של תוספים אחרים בחנות התוספים של VSCode (שמכיל כ-60k תוספים).

שימו לב לנתונים שהם גילו:

- 1,283 תוספים הכילו קוד זדוני (הותקנו 229 מיליון פעמים)

- 8,161 תוספים מבצעים תקשורת מול כתובות IP המוגדרות בתוך הקוד של התוסף.

- 1,442 תוספים מפעילים קבצי הרצה לא ידועים.

המחקר המלא זמין לכם כאן 👉🏻

חשוב לציין כי מחקר זהה בוצע לפני כשנה ע"י חוקרים ישראלים מחברת Aqua - כאן

https://news.1rj.ru/str/CyberSecurityIL/5240

סימני השאלה סביב המודל מאחורי התשואות החריגות של קרן סייברסטארטס 💰

מאז הקמתה, קרן ההון סיכון של גילי רענן שמתמחה בסייבר רשמה ביצועים יוצאי דופן. כלכליסט חושף את מאחורי הקלעים של הקרן: גיוס מנהלי אבטחת מידע (CISO) בארגונים ושיטת נקודות ששוות עשרות אלפי דולרים אם יעמיקו את הקשר עם חברות הפורטפוליו של הקרן, שכך צומחות במהירות.
בארה"ב מתעוררות תהיות סביב מודל התגמול של הקרן וניגוד העניינים האפשרי של מנהלי אבטחת המידע. רענן: "לא תגמלנו אף מנהל סייבר מעבר למודל השקוף. השמועות באות עם ההצלחה"

מנהל אבטחת המידע (CISO) הוא לרוב הדמות הבכירה ביותר בארגון שאחראית על בניית מערך ההגנה שלו ועל מניעת התקפות סייבר. הם מדווחים ישירות למנכ"ל ולעתים אף לדירקטוריון ואמונים על תקציבים של מאות אלפי דולרים בשנה בחברות הקטנות יותר במושגים אמריקאיים ובארגונים גדולים זה יכול להגיע גם למיליונים רבים בשנה.
את התקציב ה־CISO צריך לחלק בין עשרות פתרונות של חברות שמתחרות על הקשב שלו או שלה וגם על הכיס של הארגון.
לפי נתונים אחרונים של חברת פאלו אלטו, שנחשבת לגדולה ביותר בסייבר היום הן במונחי מכירות והן במונחי שווי שוק, בארגון ממוצע יש בערך 75 פתרונות סייבר שונים והמספר לא יורד. לכן ה־CISO הפכו לדמויות המחוזרות ביותר בארגון: החלטות שלהם יחרצו גורלות לא רק של לקוחות ועובדים בארגון שלהם בכל הקשור לאבטחת סייבר, אלא גם מי הסטארטאפים שיצליחו ומי ייפלו. מכאן נגזרות גם התשואות של קרנות הון סיכון שמתמחות בסייבר.

בגלל החשיבות וגם מכיוון שמדובר במומחה טכנולוגי, ה־CISO מתוגמלים בנדיבות ושכרם בארה"ב עומד בממוצע על חצי מיליון דולר. אבל רענן מציע להם את החלום הגדול של עולם השכירים — מניות בקרן הון סיכון עם חשיפה לעולם הנוצץ של היוניקורנים וההנפקות. וכאן, כפי שטוענים המבקרים, מתחיל ניגוד האינטרסים.

רענן לא המציא את הפורמט, כל הקרנות שמתמחות בסייבר מחזרות אחרי CISO ומפתות אותם בארוחות, כנסים וחלקן גם בהחזקות בקרן, אבל על פי עדויות שאסף כלכליסט של מנכ"לים של חברות גדולות, מנהלי המחשוב בארגונים (CIO), יזמים של חברות סטארט־אפ וכן גם קרנות הון סיכון אחרות, הוא שיכלל אותה לרמה אחרת לגמרי.

הפורמט שבנה מאפשר לו לשים את הסטארטאפים שלו על סטרואידים, להצמיח אותם מהר יותר, כשעל פי עדויות הוא מבטיח לצוותים של בוגרים טריים מהיחידות הטכנולוגיות לא רק השקעה וליווי בהקמת סטארטאפ אלא גם "הכנסות ראשוניות של 2 מיליון דולר בשנה". לרוב מדובר בשנת המכירות הראשונה של הסטארט־אפ, שנועדה להקפיץ אותו דרמטית מעל המתחרים שהחלו מאותה נקודה ולהבטיח לו סבב גיוס גדול מקרנות נוספות, שהן לא רק הקרנות המתמחות בסייבר, אלא השמות הגדולים הכלליים.

השלבים בתוכנית הנקודות של סייברסטארטס הם כדלקמן: הראשון הוא פגישה להצגת הפורטפוליו, משהו שכל הקרנות עושות, השלב השני פגישה עם חברת פורטפוליו, נקודות נוספות מתקבלות אם ה־CISO מסכים לנסות את המוצר במסגרת Proof of Concept, כלומר לבדוק האם ואיך המוצר עובד בשטח כדי לשפר אותו, והשלבים המתקדמים הם רכישות מהחברות.
כלכליסט ראה מספר מכתבים כאלה ששלח רענן בשמו אל ה־CISO. בניגוד לטענות שמעלים רבים בשוק הסייבר, אין בהם הבטחה ישירה לתגמול כלשהו עבור רכישות מחברות הפורטפוליו, אך כל מקבלי המכתבים ששוחחנו עמם מעידים כי ההבנה ההדדית בעל פה היא שההתקדמות בצבירת הנקודות כרוכה גם ברכישות ולא רק בפגישות, שעות ייעוץ או מענה על שאלות במייל.
את השלב האחרון בסייברסטארטס מכחישים וטוענים כי מעולם לא תיגמלו CISO עבור רכישת מוצרי חברות הפורטפוליו.

גייסתי CISO חדש לארגון פיננסי שניהלתי מתוך רצון לרענן את מערך הגנת הסייבר. נתתי לו יד חופשית כי סמכתי עליו ואני רואה בתפקיד הזה משרת אמון. כעבור חצי שנה שמתי לב שבאופן מפתיע כמעט כל הלוגואים החדשים שהכניס אותו ה־CISO היו חברות פורטפוליו של קרן סייברסטארטס, זה לא שהיה מדובר בהכרח בפתרונות לא טובים, אלא שחלקם היו בעדיפות מאוד נמוכה מבחינתנו או פתרו בעיות לא דחופות במיוחד. לאחר שהתעמתתי עם ה־CISO בנושא, הוא הודה שהוא נמנה על רשימת היועצים של סייברסטארטס ומקבל מהם אחוזים בקרן. זמן קצר לאחר האירוע הזה הוא עזב את החברה ומיד עם מינויו של CISO חדש ביקשתי ממנו לעדכן אותי אם יוצרים עמו קשר מסייברסטארטס. בתוך שבועות ספורים הוא כבר קיבל מהם מייל ובו תיאור על מעין 'תוכנית נאמנות' שלהם שמפרטת בדיוק מה הוא יקבל ככל שיעבוד יותר עם הקרן". במכתב, שחתום על ידי רענן עצמו ומגיע מתיבת המייל שלו, יש גם משפט שמתייחס לגובה התגמול העתידי: "קשה לחזות את ביצועי הקרן, אך על פי התחזית שלנו, הנקודות שצברת עד כה מוערכות ב־X דולרים. אתה יכול לצפות להקצאות נוספות בקרנות אלה בשנים הבאות ובקרנות החדשות שנגייס בהמשך"

https://news.1rj.ru/str/CyberSecurityIL/5257

הכתבה המלאה - כאן

#ישראל

התעצבן שפוטר, מחק 180 שרתים וגרם לנזקים של מאות אלפי דולרים.

קנדולה נגרג'ה (Kandula Nagaraju) אזרח הודו בן 39, עבד בחברת NCS שבסינגפור בין החודשים נובמבר 2021 לאוקטובר 2022.
כחלק מצוות QA הייתה לו גישה לכל סביבות הטסט של החברה (כ-180 שרתים).

בנובמבר 22 פוטר קנדולה מהחברה בשל בעיות ביצועים, הוא לא הצליח למצוא עבודה נוספת בסינגפור ונאלץ לחזור להודו.

במהלך החודשים ינואר-פברואר 2023, עשה קנדולה שימוש במשתמש אדמין שהחזיק על מנת להתחבר לרשת של NCS מספר פעמים.
בהתחברויות אלו בחן קנדולה סקריפט שכתב בכדי למחוק שרתים וירטואליים בסביבת הטסט של החברה (איש QA כבר אמרנו, כנראה לא רצה לעלות לפרודקשיין בלי בדיקות...😄)

ב-18 למרץ התחבר קנדולה בפעם האחרונה לרשת של NCS ואז הריץ את הסקריפט שכתב ובדק קודם לכן.
הסקריפט הזדוני מחק תוך זמן קצר את כל 180 השרתים שבסביבת הטסטים.

יום למחרת הבינו בחברה את גודל האירוע לאחר שלא הצליחו להתחבר לשרתים (180 שרתים נמחקים אחד אחרי השני ורק יום למחרת שמים לב? 🤔).

כחודש לאחר מכן חברת NCS מוסרת לגופי האכיפה דו"ח על ממצאי האירוע בו היא מציינת כמה כתובות IP חשודות.
המשטרה מאתרת את קנדולה, מחרימה את המחשב שלו ומוצאת בפנים את הסקריפט הזדוני.

חברת NCS מדווחת לגופי האכיפה ולבית המשפט כי קנדולה גרם לחברה נזק בגובה 678,000 דולר. בית המשפט מצא את קנדולה אשם וגזר עליו השבוע עונש מאסר בפועל של שנתיים ושמונה חודשים 👮


⛔שימו לב שהנאשם התחבר לרשת עם יוזר אדמין שהחזיק, ללא קשר ליוזר המקורי שלו בחברה שכנראה הושבת עם עזיבתו.

מה קורה אצלכם בארגון כשעובד עוזב? אני מניח שבמקרה הטוב מנתקים לו את היוזר תוך X שעות. אבל מה עם כל היוזרים האחרים אליהם היה חשוף?
האם אתם מודעים לכל היוזרים האחרים שהיו נגישים לאותו עובד? אם כן, האם אתם משנים סיסמאות לאותם יוזרים כשהעובד עוזב?

https://news.1rj.ru/str/CyberSecurityIL/5258

#השחתה #insider_threat

משתמשים באימוגי'ס כדי לתקשר עם הנוזקה 😈

מחקר מעניין של חברת Volexity מציג את הנוזקה DISGOMOJI בה תוקפים עשו שימוש כנגד גופים בממשלת הודו.
יש מלא מחקרים כאלו אבל במקרה הזה מעניין לראות שהתוקפים עשו שימוש באימוג'יס כדי לשלוח פקודות לנוזקה משרת דיסקורד המשמש אותם כשרת C&C (שליטה ובקרה).

המחקר המלא כאן.
צירפתי תמונה עם כל האימוג'יס והמשמעות שלהם עבור התוקפים.

https://news.1rj.ru/str/CyberSecurityIL/5259