נחשפה קבוצת האקרים שהצליחה לגרום נזק לגופים ישראלים

חברת אבטחת המידע טרנד מיקרו (Trend Micro) חשפה קבוצת סייבר שתקפה גורמים עסקיים, מוסדות אקדמיים וגופים ציבוריים בישראל וכן מספר יעדים בגרמניה.

בדו"ח שמפרסמת טרנד מיקרו עולה כי בוצעו שני גלי מתקפות זו אחר זו. הראשונה, המכונה GHOLE על שם הנוזקה ששימשה את התוקפים, נקטה באמצעי פישינג פשוטים יחסית המבוססים על אמצעי Social Engineering כדי להתאים לפרופיל הקורבן ולפתות אותו לפתוח קובץ Office של מיקרוסופט במייל. לאחר פתיחת הקובץ, הנוזקה חודרת אל מערכות המחשוב הארגוניות ולשלוט עליהם מרחוק. מתקפות אלה החלו כבר בשנת 2011.

הגל השני, המכונה "Woolen-Goldfish", כבר מצביע על מגמת התקדמות משמעותית מבחינת היכולות הטקטיות והטכנולוגיות של הקבוצה. דפוס הפעולה, שזוהה במהלך חודש פברואר 2015, עשה שימוש בגניבת פרופילים מוכרים בישראל ושימוש בהם כאמצעי פיתוי. גם אופן ההדבקה השתפר לעומת גל המתקפה הראשון. מייל הפישינג שנשלח לקורבנות הכיל לינק שלחיצה עליו הובילה לשירות אחסון אינטרנטי חינמי של מיקרוסופט, OneDrive. הקובץ המאוחסן הכיל קובץ ארכיון שנראה כמו קובץ פאוור פוינט שכלל כותרת בעלת אופי בעל עניין (למשל "תוכנית הטילים האיראנית". לאחר ההקלקה, הוחדר למחשב נוזקה מסוג חדש, TSPY_WOOLERG.A, אשר פותחה על-ידי אותם גורמי הסייבר.

הכותבים מציינים בדו"ח כי אמנם הפעילות המאפיינת את הקמפיין מאופיינת ברמה מקצועית נמוכה יחסית לאלה המוכרים כיום בשוק הסייבר אחרים הפועלים כיום אך הם בהחלט ניכרת מגמת שיפור ביכולות. דואר הפישינג שהם נוקטים הולך ונעשה אגרסיבי יותר ואינו דורש את האינטראקציה עם הקורבן כדי להחדיר את הנוזקה.

חוקרי טרנד מיקרו מציינים כי תקיפת Woolen-Goldfish הצליחה לחדור בהצלחה למספר חברות וארגונים בישראל ואירופה ונראה כי נוהלי אבטחה לקויים הובילו לכך שקורבנות התקיפה נפלו בפח ואיפשרו את הצלחת המתקפה.

על פי הממצאים שנאספו והיעדים שנבחרו לתקיפה, מעלים חוקרי טרנד מיקרו הערכה זהירה כי יתכן והיו בעלי אינטרס איראניים שהיו מעורבים בתקיפות.

תמיר סגל, מנכ"ל טרנד מיקרו ישראל, אמר: "מערכות הניטור והמעקב של טרנד מיקרו מזהות גידול משמעותי בהיקף הניסיונות של גורמים שונים לפגוע בגופים ממשלתיים וגם ביעדים עסקיים שונים בישראל במטרה לשנות את זירת המאבק למרחב הקיברנטי. המשמעות היא כי ארגונים חייבים לנקוט אמצעים מתקדמים יותר בעלי יכולות ודפוסי פעולה שונים המסוגלים לנטר ניסיונות מעקב ואיסוף מידע. טרנד מיקרו מציעה כיום פריסה של מאות אנליסטים בכל העולם העוקבים אחר הנעשה ברשת ובמקביל כלים טכנולוגיים המסוגלים לתת מענה לאיומים אלה".

את הדו"ח המלא ניתן לקרוא כאן.