בשב"כ חוקרים חשד חמור לזליגת מידע אחרי 7 באוקטובר מגופי המודיעין בישראל אל האקרים שפעלו נגדת מטרות אויב - כך פורסם הערב (שני) בחדשות הערב בכאן 11.

א' נעצר לפני כחודש בחשד כי עמד בראש קבוצת האקרים מישראל ומהעולם וכי מאז פרוץ המלחמה פעל נגד מדינות אויב באופן עצמאי, פעולות שלטענת חוקריו פגעו באופן קשה במדינת ישראל. בריאיון לכאן חדשות סיפר על המעצר במרתפי שב"כ ועל התנאים הקשים בחקירה.

כבר בתחילת החקירה הצביעו חוקרי שב"כ על כך שיש מי מקהילת המודיעין שמעביר לו מידע קריטי לפני פעולות רגישות ומסווגות ביותר. "תשחרר לנו מי עשה מי מקהילת המודיעין הדליף לך. אם לא תגיד לנו יהיו לכך השלכות", אמרו החוקרים לא'.

אחרי בדיקת פוליגרף שוחרר א' למעצר בית, ובימים אלה הוא מחכה להשבת דרכונו כך שיוכל לשוב לארצות הברית, שם הוא מתגורר בשנה האחרונה. הוא ממשיך לטעון שאין לו כל קשר למעשים (כאן 11)

https://news.1rj.ru/str/CyberSecurityIL/5276

#ישראל

מקבל דיווחים ש-ChatGPT לא זמין. (לא ידוע לי על משהו סייברי)

כשמוצר ההגנה הופך להיות ווקטור הכניסה ויותר מזה.
קבוצת האקרים סינית השתמשה במוצר לא מעודכן של חברת F5 כדי לחדור לרשת של החברה ולהישאר לא מזוהים במשך 3 שנים...

במאמר שפירסמה חברת Sygnia היא מתארת כיצד הם נקראו לטפל באירוע במהלכו זיהו כי התוקפים (קבוצת Velvet Ant הסינית) חדרו לרשת דרך מוצר F5 שלא קיבל עדכון ולאחר הפריצה ביססו התוקפים את האחיזה באמצעות הפיכת שרת ה-F5 לשרת ה-C&C שלהם...

המאמר המלא - כאן

https://news.1rj.ru/str/CyberSecurityIL/5278

קבוצת התקיפה Abyss מפרסמת באתר ההדלפות שלה את חברת "מלכה-עמית" העוסקת בשילוח מאובטח ברחבי העולם.

מלכה-עמית היא ספקית של שירותי שילוח מאובטחים ושירותים לוגיסטיים לתעשיות היהלומים והתכשיטים הבינלאומיות, וכן לענפי האמנות והפיננסים. לחברה מתקנים מאובטחים במיקומים אסטרטגיים בניו יורק, לונדון, ציריך, הונג קונג, שנחאי, בנגקוק, סינגפור, טורונטו ורמת גן.

קבוצת Abyss טוענת כי היא מחזיקה ב-30GB של מידע אותם גנבה כביכול מרשת החברה בשלוחה שבקנדה, בשלב זה היא מפרסמת רק את עץ הקבצים ממנו עולה כי המידע עדכני ונגנב לאחרונה והוא כולל גם מכונות וירטואליות ועוד.

https://news.1rj.ru/str/CyberSecurityIL/5279

#כופר #ישראל

עדכון לאירוע הזה: בין השורות החברה מספרת לעובדים כי הם שילמו את הכופר בשביל למנוע דלף מידע.
כך לפי פוסט שפורסם ברדיט על ידי אחד העובדים של Panera.

https://news.1rj.ru/str/CyberSecurityIL/5280

#כופר #קמעונאות

מערך הסייבר הלאומי:

שלום רב,

מצ"ב דוח בנוגע לפעילות קבוצת הכופרה GhostLocker. לדוח מצורף קובץ מזהים. מומלץ לנטרם בכל מערכות האבטחה הארגוניות הרלוונטיות.

https://news.1rj.ru/str/CyberSecurityIL/5281

#ישראל #מערך_הסייבר_הלאומי

קובץ מזהים 👆🏻

מערך הסייבר הלאומי: פגיעויות קריטיות בשרתי VMware vCenter

שלום רב,

החברה פרסמה 3 פגיעויות, 2 מתוכן קריטיות. הפגיעויות עלולות לאפשר הרצת קוד מרחוק ללא צורך בהזדהות.

מומלץ מאד לבחון ולהתקין את הגרסה העדכנית ביותר בהקדם האפשרי.
----------------
הזדמנות להזכיר לכם שיש פיד חולשות קריטיות לתומכי הערוץ, בדקתי עכשיו והחולשות האלו הופיעו שם היום ב-9 בבוקר.

https://news.1rj.ru/str/CyberSecurityIL/5283

#מערך_הסייבר_הלאומי

חברת AMD מדווחת כי היא בוחנת אפשרות לדלף מידע לאחר שתוקף הציע למכירה מידע שנגנב כביכול מהרשת של החברה.

https://news.1rj.ru/str/CyberSecurityIL/5284

#דלף_מידע #טכנולוגיה #תעשיה

איך שרשרת של כשלונות הובילה למתקפת כופר ולהפסדים של מאות מיליוני דולרים באחת מחברות הביטוח הגדולות באוסטרליה.

תשמעו סיפור מעניין...

את מתקפת הסייבר על ענקית ביטוחי הבריאות האוסטרלית Medibank פירסמתי כאן באוקטובר 2022. אז דיווחה החברה על השבתת מערכות מחשוב ודלף מידע רחב בעקבות מתקפת כופר.

כעת, הרשות להגנת המידע באוסטרליה מפרסמת את סיכום תחקיר האירוע ומספרת לנו איך תוקפים הצליחו לחדור לרשת של חברה ששווה מיליארדים בגלל עובד של ספק החברה, סנכרון של סיסמאות בדפדפן, ורשלנות במערך האבטחה של החברה....

מסתבר שהכל התחיל עם עובד של אחד מספקי החברה המעניקים שירותי תמיכה טכנית עבור Medibank.
אותו עובד, שאמנם עשה שימוש במחשב של החברה, הזין נתוני הזדהות של מנהל מערכת למערכות של Medibank תחת הפרופיל האישי שלו בדפדפן.
מאוחר יותר העובד התחבר מהמחשב האישי בבית לאותו פרופיל בדפדפן, וכחלק מנפלאות הדפדפן סיסמת מנהל המערכת שהזין במחשב שבעבודה הסתנכרנה מהפרופיל האישי של המחשב בעבודה לאותו פרופיל אישי במחשב של הבית.

אבל... לצערם של כל המעורבים בסיפור, במחשב האישי של אותו עובד הייתה קיימת נוזקה מסוג Stealer שגונבת את פרטי המשתמש ואת הסיסמאות מהדפדפן ושולחת אותם לתוקף.

אמנם דיווחתי כאן שפרטי ההזדהות ל-Medibank נמכרו לכאורה בטלגרם תמורת 7,000 דולר, אך מהתחקיר עולה כי עוד לא ברור בוודאות אם קבוצת הכופר שפגעה ב-Medibank היא זו שגם הפעילה את הנוזקה לגניבת סיסמאות, או שהיא רכשה את נתוני ההזדהות ממי שהפעיל את הנוזקה, כך או כך קבוצת הכופר החזיקה בסופו של דבר בנתוני ההזדהות שנגנבו מהמחשב האישי של העובד.

התוקפים ניסו להתחבר לרשת ה-VPN של Medibank עם נתוני ההזדהות שגנבו/רכשו, וגילו להפתעתם שהחברה לא אוכפת הזדהות רב שלבית ובעזרת שם משתמש וסיסמה בלבד נפתחה בפניהם גישה של מנהל מערכת (Admin) לכל מערכות החברה.

במשך 10 ימים התוקפים נכנסו ויצאו שוב ושוב מהרשת הארגונית תוך שהם משוטטים ואוספים מידע, מערכת ההגנה (EDR) שהייתה מותקנת בחברה זיהתה פעילות חשודה ושלחה את ההתראות בדוא"ל למי שאמור לנטר התראות אלו.
בפועל, אף גורם לא ביצע ניטור או אסקלציה וההתראות הקריטיות זכו להתעלמות.

במשך כמעט חודשיים(!) התוקפים שאבו מאות ג'יגה של מידע מהרשת של Medibank ושוטטו בין שרתי החברה כאילו הם בעלי הבית, מערכת ה-EDR יצרה התראות אבל אלו לא זכו להתייחסות.

כעבור כמעט חודשיים, צוות הניטור מחליט לבצע בירור לגבי אחת ההתראות שהן קיבלו ממערכת ה-EDR (הללויה!).
תוך זמן קצר הם מבינים שהם באירוע סייבר, מזמינים צוות תגובה ורק כעבור שבוע מבינים את גודל האסון - כל המידע של החברה נמצא בידיים של התוקפים אבל זה כבר מאוחר מדי, דרישת כופר בסך 10 מיליון דולר נשלחת לחברה מהתוקפים.

החברה לא משלמת את דמי הכופר, ובחודשיים שלאחר מכן קבוצת התקיפה פירסמה את המידע שגנבה, כולל מידע רגיש מאד של לקוחות.

מאז המתקפה, דיווחה חברת Medibank כבר על הוצאות ישירות של עשרות מיליוני דולרים, אך ההערכות העדינות הן כי הסכום הכולל יגיע למאות מיליוני דולרים בעקבות תביעות ייצוגיות וכו'...

התחקיר המלא מצ"ב.

https://news.1rj.ru/str/CyberSecurityIL/5285

#פיננסי #כופר

התוקף IntelBroker טוען כי במהלך החודש האחרון חברת אפל סבלה מדלף מידע שהוביל לגניבת קוד מקור של חלק מהשירותים הפנימיים של החברה.

https://news.1rj.ru/str/CyberSecurityIL/5289

#דלף_מידע #טכנולוגיה

חברת CDK Global מדווחת כי היא סובלת ממתקפת סייבר רחבה בעקבותיה מערכות המחשוב הושבתו.

תודה לעוקב מקבוצת הדיונים שהפנה את תשומת ליבי לאירוע ולפוסט בנושא ברדיט.

שימו לב למשפט הזה מההודעה של החברה:

Fail over disaster recovery is not possible as both data centers are involved.

https://news.1rj.ru/str/CyberSecurityIL/5291

#כופר #לוגיסטיקה #טכנולוגיה

עדכון 👆🏻
קבוצת Qilin לוקחת אחריות באופן רשמי על המתקפה נגד Synnovis.

מנהל אבטחת המידע בבורסת הקריפטו Kraken מספר כיצד "חוקר אבט"מ" עשה שימוש בחולשת Zero-Day וגנב יחד עם חבריו מטבעות דיגיטליים בשווי 3 מיליון דולר.

לפי הדיווח צוות אבטחת המידע בבורסה קיבל דיווח על חולשת Zero-Day מ"חוקר אבט"מ" דרך תכנית ה-Bug Bounty של החברה.
החולשה שדווחה אכן זוהתה כקריטי וטופלה תוך שעה.

מאוחר יותר התברר כי מלבד "החוקר" שדיווח על החולשה, שני תוקפים נוספים ניצלו את החולשה כדי לגנוב 3 מיליון דולר מהבורסה, ומתברר כי הם קשורים לאותו "חוקר" שדיווח על החולשה.

כשעימתו בבורסה את המידע אודות הגניבה עם אותו "החוקר", ועל הקשר שמצאו בינו לבין התוקפים האחרים, הפך אותו חוקר את עורו ואמר כי הם לא מתכוונים להחזיר את הכסף אלא אם כן ישלמו להם באג באונטי בסכום גבוה מאד (לא פירטו בדיווח מה גובה הסכום).
בקיצור הם גנבו כסף ומבקשים דמי כופר כדי להחזיר את הכסף 😄

https://news.1rj.ru/str/CyberSecurityIL/5293

#כופר #קריפטו #חולשות

זה היה מהיר - בעקבות הפוסט כל שלושת החברות שפירסמו את המידע, בארץ ובעולם, מחקו את הדיווחים ו/או הוציאו הבהרה שמדובר בפייק. 💪🏻

עדכון - הסתיימו הראיונות עם קבוצות התקיפה Arcus Media ו-Qilin.
מדובר בשתי קבוצות רוסיות- Qilin היא וותיקה יותר ופועלת מזה כשנתיים בעוד Arcus היא חדשה ופועלת כחודש וחצי.
90% מהשאלות שנשאלו היו השאלות שלכם!

הראיון עם Arcus היה קצר מסיבות שונות, אפרסם אותו היום בשעות הערב.
הראיון עם Qilin היה ארוך יותר אבל התשובות שלהן היו מלאות באג׳נדות פוליטיות, אם אספיק אז הוא יפורסם מחר ואם לא אז שבוע הבא.

כמה נקודות:

1. ראיון עם הקבוצות זה לא ראיון קלאסי שבו אני שואל שאלה מקבל תשובה וכן הלאה.
כל קבוצות התקיפה מבקשות את כל השאלות מראש, ומחזירות את כל התשובות בבת אחת ולכן, אין אפשרות להקשות או לנהל שיח על התשובות שהן נתנו.

2. חלק מהתשובות נערכו או צונזרו מעט מסיבות שונות אבל השתדלתי להיצמד לטקסט המקורי.

3. המטרה של הראיונות היא לא לתת במה לפושעים אלא לנסות ולקבל קצת יותר מידע על האנשים שמאחורי הפעילות, אופי הקבוצה, דרכי החשיבה ועוד.

אתם מוזמנים בינתיים לקרוא את הראיון שקיימתי עם קבוצת RansomHouse או את הראיון הקצר שקיימתי עם קבוצת אנונימוס סודאן (לפני שהם ירדו למחתרת).

התוקף IntelBroker מפרסם למכירה מידע פנימי שנגנב לכאורה מחברת התקשורת T-Mobile.

התוקף מפרסם כהוכחה מספר צילומי מסך מתוך המערכות הפנימיות של החברה (סלאק, קונפלואנס וכו' וכו')

https://news.1rj.ru/str/CyberSecurityIL/5299

#דלף_מידע #תקשורת