יצרנית ג'ק דניאלס נפגעה מהגל החדש של תוכנות הכופר – התקפות בשלושה שלבים

ענקית המשקאות בראון פורמן היא הקורבן הגדול הנוכחי של עברייני תוכנות הכופר. גם אם שם החברה לא נשמע מוכר, את המוצרים שלה רבים מכירים, ובעיקר את וויסקי ג'ק דניאלס ו-וודקה פינלנדיה. פול דקאלין, חוקר בכיר בסופוס יצא לנתח את התקיפה ואת הדור החדש של תוכנות הכופר.

על פי אתר בלומברג, אשר טוען כי קיבל הודעה אנונימית מהתוקפים עצמם, העבריינים שמעורבים בתקיפה משתייכים לכנופיות REvil או Sodinokibi. צוות REVil הוא חלק ממה שניתן לכנות "הגל החדש" של מפעילי תוכנות כופר, אשר מוציאים לפועל התקפות בשלושה שלבים המייצרות מנגנון סחיטה כפול:

• בתחילה הם פורצים לרשת של הקורבן וסורקים אותה. במהלך פעילות הסיור והתצפית, העבריינים יתקדמו בהדרגה אל רמת גישה של sysadmin, ימפו את כל נקודות הקצה והשרתים ברשת, יחפשו היכן נמצאים הגיבויים המקוונים, ויאתרו או יפעילו כלי ניהול מערכת עוצמתיים שיסייעו במהלך ההתקפה. הם גם ישנו הגדרות (או יכבו) של מערכות אבטחת מידע כדי להעניק להם את מרחב הפעולה הגדול ביותר. לעיתים הם אפילו יפעילו מיני התקפות בעזרת דוגמיות של קוד זדוני, במטרה לבחון את ההגנות הקיימות ולמצוא אילו טכניקות הן היעילות ביותר.
• שנית, הם יחלצו (מילה מכובסת ל"יגנבו") נתונים ארגוניים רבים ככל הניתן. בהתקפה על בראון-פורמן, טוענים התוקפים, הם הצליחו לחלץ 1 טרה של נתונים. מבלומברג נמסר כי קיבלו קישור לאתר בו העבריינים פרסמו דוגמאות למידע גנוב המתפרס על פני 10 שנים.
• בשלב השלישי הם יצפינו ברשת קבצים רבים ככל הניתן, באמצעות אלגוריתם ערבול שרק להם יש את המפתח לפיענוחו. העבריינים בדרך כלל יעתיקו לפני כן את תוכנת הקוד הזדוני לרוחב הרשת, כדי שכאשר הם מתחילים בתהליך ההצפנה הוא ירוץ במקביל בכל המכשירים ויגרום לפגיעה מירבית בזמן קצר ככל הניתן.

שני השלבים הראשונים בתיאור ההתקפות הם חדשים יחסית. בעבר מתקפות סייבר התמקדו רק בשלב 3 – הצפנת הקבצים ושליחה של דרישת כופר . התקפות על רשתות היו נדירות, וההתקפות כוונו נגד "כולם" – ממשתמשים פרטיים שלא גיבו את תמונות הילדים שלהם ונדרשו לשלם 300 דולר להחזרתם, ועד לחברות גדולות שנדרשו לשלם 300 דולר עבור כל מחשב בחברה שעצר את פעילותו.

העבריינים הבינו עם הזמן, שמבחינה כלכלית, עדיף להם למקד מאמצים בסחיטה של חברה אחת עבור עשרות אלפי דולרים, במקום לרדוף אחרי אלפי מחשבים אישיים שונים. ההאקרים הראשונים שפנו לדרך זו, היו אפילו נועזים מספיק אפילו כדי להציע שני מסלולי כופר, האחד לפי מחשב והשני במסלול "שחרר כפי יכולתך" – ממש כאילו מדובר במבצע של חברה מסחרית.

כך לדוגמא, קבוצת הקוד הזדוני האיראנית SamSam הציעה מסלול תשלום עבור חצי ממפתחות ההצפנה, כך שאם יתמזל מזלך תוכל לשחרר מספיק מחשבים כדי לאפשר חזרה לפעילות, ובחצי המחיר. לעיתים העבריינים גם מציעים תשלום ראשוני גבוה, כגון 8,000 דולר עבור מחשבים חיוניים, ולאחר שהם חוזרים לפעילות, קיימת האפשרות לרכוש את המפתח הראשי, שבמקרה של SamSam מחירו עמד על 50,000 דולר. לפני שפעילותה נעצרה על ידי רשויות החוק בארה"ב, SamSam הצליחה לגרוף 2 מיליון דולר ברחבי העולם.

כתוצאה מהשינוי בטקטיקה של התוקפים, נוצרה אינפלציה במחירי הכופר כאשר מחיר של 50,000 דולר כבר נחשב לנמוך ביחס לנהוג היום. ההתקפה האחרונה על חברת שעוני הכושר גרמין הביאה את החברה לשלם, על פי דיווחים, כמה מיליוני דולרים אל מול דרישת תשלום של 10 מיליון דולר. גם חברת הנסיעות האמריקאית CWT שילמה לאחרונה סכום מוערך של 4.5 מיליון דולר אל מול דרישה בסכום דומה, כדי לשחרר 30,000 מחשבים שנלכדו על ידי העבריינים.

השינוי הטקטי הגדול ביותר

השינוי המהותי ביותר הוא שלב 2. באמצעות הוצאת מידע מהארגון טרם ההצפנה, העבריינים יכולים להציג איום כפול. כעת, הארגונים נסחטים גם כדי לגרום לעבריינים לעשות משהו – לשלוח את מפתח ההצפנה, וגם כדי לא לעשות משהו – לפרסם את הנתונים שלהם. בצורת העבודה הישנה היה די ברור שאם אתה משלם לעבריין, אתה מקבל את המידע שלך חזרה, וכאן מסתיימת השליטה שלו עליך. לכאורה, כדי לדרוש כופר נוסף, העבריין צריך לפרוץ פעם נוספת לרשת שלך.

אבל עם התקפות הכופר של היום, הדרך הישנה נשמעת כמעט ידידותית. העבריינים מבטיחים למחוק את הנתונים שכבר גנבו, ובכך למנוע מהאירוע להפוך לציבורי, אבל אין לך שום דרך לדעת אם הם יעמדו בהבטחה. גרוע מכך, אין לך דרך לדעת אם לעבריינים יש בכלל דרך לקיים את ההבטחה שלהם. ייתכן שהמידע שנגנב מהארגון כבר נגנב גם מהם – רבים מהמעצרים בעולם תוכנות הכופר התרחשו בגלל שעבריינים לא נזהרו מספיק, ואפשרו לגורמים אחרים לחדור לרשת שלהם. ייתכן גם שמישהו מתוך הכנופיה יחליט לפעול בצורה עצמאית ולמכור את המידע הלאה, מבלי לשתף את האחרים.

מה המשמעות של "הגל החדש"?

מנקודת מבט רגולטורית, כל מתקפת כופר נחשבת כדליפה של נתונים, אפילו אם רק הוצפנו קבצים. אחרי הכל, אם גורם זר הצליח לשנות קבצים שלא אמורה להיות אליהם גישה, זה עונה על ההגדרה של פשע פלילי – של גישה בלתי מורשית ושל פגיעה בקבצים. כארגון, אפילו שהתקיפה הופכת אותך לקורבן, היא גם מעמידה אותך כאחראי לכשל בהגנת הנתונים. אפילו אם אתה מונע את השלב האחרון של ההתקפה, או אם יש ברשותך גיבויים מעודכנים כך שאתה לא זקוק למפתחות ההצפנה, העבריינים עדיין ינסו לסחוט אותך כדי שלא יפרסמו את המידע הגנוב.

החדשות הטובות במקרה של בראון פורמן, היא שהדיווחים מצביעים על שני דברים חשובים:

1. בראון-פורמן מנעו את שלב הצפנת הקבצים. אלה חדשות מצוינות כי כנראה נמנעה השבתה של המערכת, ופגיעה מתגלגלת בספקים, שותפים, מפיצים, קמעונאים ועוד.
2. בראון-פורמן, לכאורה, אמרה לעבריינים כי הם יכולים "לתקוע" את דרישת התשלום שלהם היכן שירצו. ועל כך יש לברך את הארגון.

גם פירמת עורכי הדין "גרוברמן, שייר, מייזלאס וסאקס" חוותה דרישת כופר שהגיעה אליהם באנגלית רצוצה בעקבות פריצה למערכות. גם במקרה זה, החברה ראתה בדרישת הכופר סוג של פעולת טרור וסירבה לשלם. ההבטחה לפרסם מידע רגיש אודות לקוחות החברה, כפי שנטען בדרישת התשלום, עדיין לא התרחשה. לא ברור זה נובע ממריבות פנימיות או שפשוט המידע שנגנב לא באמת היה מעניין מספיק.

בחברת אבטחת המידע סופוס קוראים לאנשים שלא לעודד את העבריינים, ולתמוך בחברות שלא מוכנות לשלם לתוקפים, ובעיקר לא להיכנס למידע שמתפרסם בעקבות גניבה: "לא משנה כמה זה נראה שימושי, לא משנה כמה נראה שהדברים הפכו לציבוריים, לא משנה עד כמה אתה חושב שזו הייתה צריכה להיות אחריות החברה שנפרצה, אפילו אם זה 'סתם נראה לך מעניין', פשוט אמור לא!", נכתב בבלוג החברה. מה לעשות כדי להתגונן?
טיפים ועצות ניתן למצוא בדוח "כיצד להתגונן מפני תוכונת כופר" של סופוס