- תוכן שיווקי -

איוש סינג, מייסד ומנכ״ל ARPSyndicate, טוען שמנגנוני תיעדוף חולשות מוכרים כמו CISA KEV ו-EPSS מפספסים לא מעט איומים משמעותיים ❌

מנגנונים אלו נשענים בעיקר על נתוני ניצול המוניים שמגיעים באיחור, מתמקדים בניצולים אוטומטיים ופשוטים, ולא באמת מזהים בזמן איומים חדשים ובעלי השפעה גבוהה 👎

הבעיה המרכזית היא בחוסר היכולת לנתח ארטיפקטים אמיתיים של ניצול, להבין את ההקשר שלהם, ולחבר אותם בצורה מדויקת ל-CVE רלוונטי, מה שמוביל לפספוס של חולשות קריטיות ולעיכוב בתגובה.

🔥מערכת VEDAS, שפיתחה ARPSyndicate, מתמקדת באיתור מוקדם של ניצולים אמיתיים מהשטח.
המערכת סורקת מקורות גלובליים, מנתחת ומקבצת קוד וניסיונות ניצול בפועל, מספקת מזהים ייעודיים לחולשות שניתנות לניצול, מעדיפה בשלות של ניצול אמיתי על פני רעש של מתקפות אוטומטיות ועוד....

הגישה הזו אפשרה ל-VEDAS לזהות איומים מעשיים לפני שהם הופיעו ב-KEV או ב-EPSS, ואף להקדים אותם באופן עקבי לאורך 2025 😎

מצ"ב מידע נוסף על המערכת, דרכי יצירת קשר ועוד.
-----------------------
מעוניינים לפרסם בערוץ? דברו איתי

זוכרים? 👆
אז הראיון הבא יתקיים עם הקבוצה הזו 🤬

מוזמנים לשאול שאלות שמעניינות אתכם בתגובות או בפרטי עד מחר ואשלב אותן בראיון.
(לא צריך לשאול על השם, זו שאלה שכבר נמצאת ברשימת השאלות 😄)

בינתיים מוזמנים לקרוא את הראיונות הקודמים שקיימתי, כאן.

שבוע טוב!
כמה אירועי סייבר מסביב לעולם 🌐

- משטרת ניגריה עוצרת שלושה תוקפים האחראים לקמפיין פישינג רחב בשם Raccoon0365 כנגד משתמשי Microsoft 365.

- שימו לב לחולשה CVE-2025-59718 במוצר FortiCloud המנוצלת בפועל ע"י תוקפים מסביב לעולם.

- גורמי מודיעין בדנמרק מאשימים את רוסיה בביצוע מתקפות סייבר כנגד מתקני מים במדינה.

- אוניברסיטת Sydney מדווחת על דלף מידע של סטודנטים ואנשי הוראה.

- גורמי אכיפה בארה"ב השביתו את בורסת הקריפטו E-note. לפי הדיווח בבורסה בוצעו טרנזקציות בגובה 70 מיליון דולר המשוייכות לקבוצות כופר וגורמים פליליים נוספים.

- גורמי אכיפה בצרפת עצרו שני אנשי צוות (אזרחי לטביה) שהתקינו בספינה איטלקית נוזקה המאפשרת להם לשלוט מרחוק בספינה.

- עוד בצרפת: גורמי אכיפה עצרו חשוד בפריצה וגניבת המידע ממשרד הפנים במדינה.

- בכנס Zeroday Cloud חשפו חוקרים 11 חולשות Zero-Day חדשות וחולקו פרסים בסך 320,000 דולר.

- שימו לב לחולשה קריטית ב-Cisco AsyncOS המנוצלת ע"י תוקפים מסביב לעולם.

- ממשלת בריטניה מדווחת כי תוקפים הצליחו להגיע למידע שישב במערכות של משרד החוץ במדינה.

https://news.1rj.ru/str/CyberSecurityIL/8224

זוכרים את הפוסט שפירסמתי על המעצר של תושבת אריזונה שהפעילה חוות מחשבים ניידים עבור צפון קוריאה?

מסתבר שאמזון זיהתה את אחד העובדים הצפון קוריאנים, שהסתנן לחברה כעובד אצל ספק חיצוני, בעזרת לאג של 60 מילי-שניות בהקלדה על המקשים...

לעובד ממוצע באמזון, העובד מתוך ארה"ב, יש לאג של כ-40ms מרגע שהוא לוחץ על הכפתור עד שהמידע על הלחיצה מגיע לשרתי הניטור של אמזון.

⌨️החברה שמה לב כי לאחד העובדים במערך ה-IT (העובד דרך ספק צד ג') יש לאג קבוע של 110ms מהרגע שהוא מקיש על המקלדת, במחשב הנייד שאמזון סיפקה לו, ועד שהמידע מגיע לשרתי החברה.
🚩 הלאג החריג היה דגל אדום שהוביל לחקירה פנימית בכדי להבין במה מדובר.

מפה לשם החברה הבינה שהלאג נובע מכך שהעובד לא נמצא בכלל בארה"ב אלא בצפון קוריאה, כשהוא עושה שימוש בחוות מחשבים באריזונה.

הסיפור המלא הובא בבלומברג, וכזכור, גורמי אכיפה השביתו את החווה, והמפעילה נידונה ל-8.5 שנות מאסר.

אני לא יודע מה מטריד יותר,
זה שאמזון עוקבת אחרי המילי-שניות בהקלדות של העובדים, או שצפון-קוריאנים הצליחו להסתנן לשרשרת האספקה של אמזון.

מה שכן, דיי מרשים לראות שהפער ב-ms קפץ כהתראה, יצר דגל אדום, הוביל לחקירה וכו' וכו'.

כבר ראינו מקרים שעל אירועים פי 10 יותר חמורים לא קפצה התראה, או שאם קפצה כזו, אז היא זכתה להתעלמות.

https://news.1rj.ru/str/CyberSecurityIL/8225

הראיון עם קבוצת 🤬 יפורסם בהמשך היום.
נראה שיש כאן קבוצת כופר עם זיקה מעניינת לישראל...

הארכיון של אנה טוען כי הצליח להוריד את כל השירים מפלטפורמת ספוטיפיי 🎵

בפוסט שפורסם בארכיון הם טוענים כי המאגר שהורידו, בגודל 300TB, יפורסם להורדה כטורנט.

ספוטיפיי הגיבו וטענו כי גורם חיצוני עשה שימוש בדרכים לא חוקיות כדי לעקוף את מנגנוני ההגנה של הפלטפורמה ולהוריד שירים.

An investigation into unauthorized access identified that a third party scraped public metadata and used illicit tactics to circumvent DRM to access some of the platform’s audio files. We are actively investigating the incident.

https://news.1rj.ru/str/CyberSecurityIL/8230

ראיון עם קבוצת הכופר 🤬 - בלעדי לערוץ חדשות סייבר 🛡️

שימו לב שהראיון כולל 2 חלקים, החלק השני בפוסט הבא.

➖➖➖➖➖➖➖

חלק 1⃣

ש: אתם בטח יודעים ששם הקבוצה שלכם הוא למעשה קללה בשפה העברית.
מה עמד מאחורי הבחירה בשם הזה, והאם יש לכם קשר כלשהו לישראל/יהדות?

ת: שאלה מאוד צפויה 🙂 כשחשבנו איך לקרוא לקבוצה שלנו, עברנו על השמות של קבוצות כופר אחרות באתר ransomware.live.
שמנו לב לרצינות מאולצת שאין לה שום קשר למה שהקבוצות באמת עושות.
כל הקבוצות נראות אותו הדבר, 90% מהן פשוט מחקות את LockBit, גם בשם וגם בלוגו.
אז החלטנו לבחור בשם שכל דובר עברית מכיר, ושאף אחד אחר לא....
זו בחירה פונקציונלית לחלוטין, בלי אג’נדה פוגענית או אידאולוגית מאחוריה.
ככה הרבה יותר קל להבדיל בין "אנשים משלנו" לבין זרים, ועם אנשים משלך תמיד קל יותר להגיע להסכמות, וגם לנו קל יותר לבוא לקראתם.

ש: רוב קבוצות הכופר פועלות מרוסיה או מזרח אירופה. מאיזו מדינה/אזור אתם פועלים?

תשובה:
אני חושב שלא יהיה ראוי לענות על השאלה הזו, משיקולי אבטחה.

ש: אתם מציגים את עצמכם כ"חוקרי אבטחת מידע"/"בודקי חוסן", אך בפועל אתם מצפינים מידע ומאיימים בהדלפת המידע אם הקרבן לא משלם כופר.
מה יש לכם להגיד בנושא?

תשובה:
גם זו שאלה צפויה, ונראה שאתה לא לגמרי מבין איך התעשייה עובדת.
אם מתרחקים רגע מהמסגור הפשטני של "תוקף מול קורבן”, אפשר לראות שתחום הסייבר בכלל, ותעשיית אבטחת המידע בפרט, קיבלו חיים והפכו לרווחיים במידה רבה בזכות קבוצות הכופר.

תחזור לרגע לתחילת שנות ה-2000 או אפילו לעשור הראשון של שנות ה-2010.
אז, הנזק המקסימלי שאפשר היה לחוות היה לרוב איזו תוכנת “סחיטה” מגוחכת שהמשתמש עצמו הריץ על המחשב.
לא היה איום אמיתי, ולא הייתה תעשייה אמיתית. מהרבעון השלישי של שנות ה-2010 המצב השתנה לחלוטין.

אפשר לטעון ש"כופר כמנוע של תעשיית הסייבר" הוא רעיון ציני, אבל זו המציאות.
אם בוחנים את ההערכות של מומחים לגבי ההכנסות של קבוצות כופר בשנים 2024-2025, ומשווים אותן להכנסות של חברות שפועלות באופן חוקי בתחום, מקבלים פער של כ-813 מיליון דולר מול כ-213 מיליארד דולר בתעשייה החוקית (כולל הערכות כמו תשלום כופר ממוצע של 1.13 מיליון דולר) .

הפער, של פי 261 לטובת התעשייה החוקית, רק הולך וגדל מדי שנה. זה רק מדגיש שכמה שזה יישמע אבסורדי, מספר עצום של אנשים שעובדים כחוק ומקבלים משכורת, למעשה "ניזונים" מעבודתם של מספר קטן מאוד של אנשים.

בגלל זה, מפעילי כופר ואנשי אבטחת מידע יכולים להיחשב בצדק כקולגות שעובדים על אותו הדבר. זה לא סותר את העובדה שאנחנו אכן בודקי חוסן מקצועיים ברמה גבוהה. זו לא הצדקה מוסרית ולא ניסיון להרגיע את המצפון, אלא תיאור מדויק של האופן שבו התעשייה פועלת, כשכל מי שמעורב בה, משני הצדדים, הוא חלק ממנגנון שמתפתח בזכות כולם.

לגבי דלף מידע, יש שני סוגים של קבוצות. יש קבוצות "טרוריסטיות", כאלה שדורשות מיליון דולר מעסק עם מחזור שנתי של 20 אלף דולר. ויש קבוצות אחרות, שמסתכלות על ההכנסה השנתית ודורשות, למשל, אחוז אחד.
אנחנו משתייכים לסוג השני. הסכום שאנחנו דורשים הוא כזה שהחברה יכולה לשלם בוודאות, ובמקרים מסוימים אנחנו גם עושים ויתורים.

דלף מידע הוא בעדיפות של החברה. אנחנו לא דורשים את הבלתי אפשרי. זו בחירה שלה האם מסמכים פנימיים יתפרסמו או לא.
אם היא לא רוצה בכך, המידע לא מתפרסם והחברה גם לא תופיע באתר ההדלפות.
בנוסף, אנחנו מספקים סיוע ומייעצים לחברה כיצד לסגור את כל החולשות ולהגדיר את התשתית בצורה נכונה. זו פרקטיקה מקובלת אצל קבוצות רבות.

חברה יכולה להוציא את אותו סכום כסף ועדיין לאבד מידע ולחשוף נתונים פנימיים, אם היא בוחרת לשכור "אנשי אבטחה" חדשים. מהניסיון שלנו, זה לא תמיד מוביל לתוצאה הרצויה.

ש: האתר שלכם עלה לאוויר בסוף 2025.
מה הוביל להקמת הקבוצה? האם מדובר בקבוצה חדשה לחלוטין, או במיתוג מחדש של פעילות קודמת?

ת: לכל דבר יש התחלה ויש סוף. הצוות שלנו חשב על השקת הפרויקט במשך זמן רב, אבל כפי שאתה יכול להבין, לפני שמקימים דבר כזה צריך לפתור מכלול שלם של סוגיות ארגוניות, כמו תשתיות, גישה, ה-locker, כוח אדם ועוד. כל זה לוקח זמן.

מה שחשוב להבהיר הוא שחברי הצוות שלנו מגיעים עם ניסיון נרחב בעבודה במסגרת שיתופי פעולה (RaaS), כך שלא מדובר בפרויקט שמנוהל על ידי חובבנים.

אגב, אנחנו נמצאים כרגע בסוף השנה, תקופה שבה כולם מאטים קצב, חברות, אנשי אבטחת מידע וגם קבוצות כופר. עיקר הפעילות צפויה להתחדש אחרי תחילת השנה החדשה. בשלב זה הדברים מתקדמים לאט יותר.

המשך הראיון בפוסט הבא 👇

המשך הראיון עם קבוצת 🤬

➖➖➖➖➖➖➖

חלק2⃣(חלק 1 בפוסט הקודם)

ש: הקרבנות שמופיעים באתר ההדלפות שלכם הם ממגזרים שונים מאוד במספר מדינות, כולל חברות רכב ברומניה, ארגוני בריאות ועמותות בחוף השנהב, ועסקי מסחר אלקטרוני בטאיוואן.

האם יש מגזרים או מדינות שאתם נמנעים מלתקוף?

ת: אנחנו לא פועלים בישראל, במדינות חבר העמים, ובמספר מדינות באירופה ובאסיה.
אין לנו מטרה לתקוף מגזר מסוים, והחריג היחיד הוא תחום הבריאות, אנחנו לא פוגעים בחברות שקשורות לילדים, או בארגונים בהם תלויים חיי אדם.

לגבי ארגון הבריאות שמופיע באתר ההדלפות שלנו, לא פרסמנו את המידע שלהם מסיבות מסוימות, אך אנחנו יכולים לומר בביטחון שהמטרה המרכזית של החברה היא משיכת כספים מקרן השקעות אמריקאית ואנחנו לא תומכים בסוג כזה של שחיתות.

ש: כיצד אתם משיגים בדרך כלל גישה ראשונית לרשתות של הקורבנות? האם אתם משתמשים בפישינג, ניצול חולשות שלא פוצ'פצ'ו, בפרטי גישה גנובים ל-RDP או VPN, או בשיטות אחרות?
האם אתם רוכשים גישה מ-Access brokers?

ת: אני יכול לומר שמעולם לא שילמנו על גישה במובן המקובל של רכישה מברוקרים.
אני לא יכול לפרט את השיטות המדויקות, אך כן אפשר לומר שאנחנו מבצעים את כל מה שציינת בהקשר הטכני של עבודה מול היעד, ואף מעבר לכך.

ש: אתם מפעילים מודל סחיטה כפול של הצפנה וגניבת מידע. אילו סוגי מידע אתם מעדיפים לשאוב מהמערכות? מהו היקף המידע שנגנב בדרך כלל, והאם המידע משמש רק לסחיטה או גם למכירה לצד ג'?

ת: דבר ראשון המידע שנגנב לא משמש רק כמנוף סחיטה, אלא כהוכחה ממשית לכך שהתרחשה פריצה.

העניין הוא שאפשר לכתוב כמעט כל דבר, אפילו טענות כמו “פרצנו לפנטגון” או ל-Microsoft. אין אימות אמיתי של המידע מעבר להצגת הוכחות. לכן להוכחת הדלף יש משמעות מרכזית.

לגבי תוכן המידע עצמו, לרוב מדובר במסמכים איכותיים ולא זבל, אנחנו מבצעים מיון.
היעד שלנו הוא בדרך כלל סביב 1 טרה-בייט של מידע, לפעמים פחות ולפעמים יותר.

ש: בהודעות הכופר שלכם אתם מציבים דדליין של 72 שעות. האם חלון זמן קצר מגדיל את שיעור הקרבנות המשלמים לעומת דדליינים ארוכים יותר?

ת: זה רק דדליין ראשוני, ניתן להאריך את פרק הזמן הזה במידת הצורך, והוא נועד בראש ובראשונה לאפשר להנהלת החברה זמן ליצור קשר לפני הפרסום הראשוני באתר ההדלפות. השיטה הזו הוכיחה את עצמה כיעילה במיוחד.

ש: לא מזמן פירסמתם שאתם מתכננים להשיק תוכנית Ransomware-as-a-Service לשותפים.
כיצד הולך להיראות מודל העמלות שלכם, ואיך תסננו שותפים כדי למנוע חדירה של גורמי אכיפה/חוקרים?

ת: בשלב זה מדובר בתוכנית שנמצאת בתכנון בלבד. מימוש של התכנית ידרוש היערכות רצינית, וברור לנו שלא נגייס אנשים אקראיים מהרחוב.
סביר להניח שעבור מי שבאמת ירצה להצטרף, יוצבו דרישות כספיות משמעותיות שישמשו כאמצעי לבחינת הרצינות והכוונות שלו.

ש: כל אדם או קבוצה, גם כאלה שפועלים מחוץ לחוק, מושפעים, או מקבלים השראה ממשהו. האם יש ספר, סרט, דמות או קבוצת כופר קודמת שעיצבו/השפיעו על תפיסת העולם והפעילות שלכם?

ת: הטענה שלפיה "כל אדם מושפע ממשהו" אינה נכונה באופן מוחלט, ולמעשה לא ממש רלוונטית לתחום שלנו.
זה לא פשע קלאסי שבו אתה מתחבא בלילה מהמשטרה.
אנחנו חיים חיים רגילים, ולא באמת צריכים להסתתר או להתחבר רק דרך Tor בשעה חמש בבוקר מאיזו חניה נטושה.

לדעתי, רוב האנשים שראיתי בתחום מונעים משיקולים אישיים בלבד, ולא מהשפעות חיצוניות כלשהן. ההסתייגות היחידה היא קבוצות שפועלות ממניעים פוליטיים, שם הדינמיקה שונה.

ש: בינה מלאכותית משנה במהירות את עולם הסייבר. האם אתם עושים שימוש ב-AI לפיתוח נוזקות, איסוף מודיעין, אוטומציה או משא ומתן עם קורבנות?
כיצד אתם רואים את השפעת ה-AI על פעילות הכופר בעתיד הקרוב?

ת: זו שאלה רלוונטית, ואנחנו חושבים עליה לא מעט. באופן עקרוני, פתרונות EDR כבר משתמשים במנגנונים דומים, וגם פיירוולים מתקדמים רבים עושים שימוש במערכות כאלה.
בראייה רחבה ובטווח הנראה לעין זה לא צפוי לשנות משהו בצורה מהותית, למעט היכולת לבקש מ-ChatGPT להתאים פקודה למקרה ספציפי.

שוב, בזכות ChatGPT סף הכניסה לתעשייה ירד בצורה מורגשת. אם בעבר היה צריך לחפש ברחבי האינטרנט איך לבנות סקריפט, במה להשתמש, ומה גורם לשגיאה, היום אפשר לפתור את זה כמעט מיידית. כל אדם עם גישה לאינטרנט יכול, מאפס, להשתמש ב-AI כדי לנסות ולבחון מנגנוני אבטחה, וזה נכון למרות הצנזורה ומנגנוני הגנה.

ש: משהו אחרון שתרצה להגיד לעוקבים בערוץ?

ת: בסך הכול הייתי אומר שהכול בסדר, ואני בטוח שמכאן והלאה הדברים רק ישתפרו עבור כולם. כמובן, בשביל שזה יקרה, כולם יצטרכו לעבוד קשה.

➖➖➖➖➖➖➖
לכל הראיונות הנוספים שקיימתי עם קבוצות כופר לחצו כאן.

🌍 כמה אירועי סייבר מסביב לעולם:

- אוניברסיטת Phoenix מדווחת על דלף מידע של כ-3.5 מיליון סטודנטים ואנשי צוות, בעקבות מתקפת כופר שביצעה קבוצת CL0P (במסגרת קמפיין התקיפה נגד Oracle E-Business Suite).

- חברת Romanian Waters שברומניה (המשמשת כ"רשות לניהול המים" במדינה) סובלת ממתקפת כופר. אספקת המים פועלת כסדרה.

- מחקר של חברת Koi (הישראלית) חושף חבילות קוד פתוח זדוניות שגנבו נתונים ושיחות ווטסאפ ממשתמשים.

- מבצע Sentinel - בהובלת היורופול, עצרו גורמי אכיפה 574 חשודים בביצוע מתקפות סייבר, הונאות וכופר.

- חברת Nissan Motor מאשרת כי מידע של אלפי לקוחות דלף במתקפת סייבר שהתרחשה מוקדם יותר השנה.

- משרד המשפטים בארה"ב מדווח כי הגיש כתבי אישום נגד 54 חשודים ששתלו נוזקה (Ploutus) בכספומטים וגנבו מיליונים.

- עוד ממשרד המשפטים בארה"ב: אזרח אוקראינה הודה באשמה בלקיחת חלק בקבוצת הכופר Nefilim ותקיפת ארגונים בארה"ב.

- זוכרים את מנהלי ה-IR ששיחקו בתפקיד כפול ותקפו ארגונים בכופר? לפי בלומברג, בחמישי האחרון, השניים הודו באשמה.
מהכתבה עולה כי השניים תקפו גופים בנוזקת הכופר AlphV, כאשר באחד המקרים, גם גבו דמי כופר בגובה מיליון דולר מחברה המייצרת ציוד רפואי 😏

https://news.1rj.ru/str/CyberSecurityIL/8234