קבוצת התקיפה Ransomhub מפרסמת כקרבן את חברת Payxpress הישראלית.

בשלב זה הקבוצה לא מפרסמת כמה מידע גנבה אך מציגה מספר מסמכים שגנבה לכאורה מהרשת הארגונית.

החברה עוסקת בהפצה של מוצרי תקשורת ובפיתוח מערכות ממוחשבות ייעודיות להפצה אלקטרונית של מוצרי צריכה בתחום התשלומים מראש.
בין מוצרי הקבוצה ניתן למנות כרטיסי חיוג מקומיים, כרטיסי חיוג בינלאומיים, טעינות זמן אוויר, מכירת מכשירי טלפון נייד, אביזרים לטלפונים ניידים וכד'.
כיום, הקבוצה מספקת שירותים ומוצרים עבור למעלה מ – 1700 בתי עסק הפרוסים ברחבי הארץ.

https://t.me/CyberSecurityIL/5951

#כופר #ישראל #תקשורת #קמעונאות

תודה על כל הדיווחים לגבי אי הזמינות של אלעל, כרגע לא ידוע לי על משהו סייברי אם יהיה שינוי אעדכן.

מצ"ב מסמך של מערך הסייבר שפורסם לאחרונה העוסק במתקפות סייבר על משרדי עו"ד בישראל.

https://t.me/CyberSecurityIL/5953

#ישראל #מערך_הסייבר_הלאומי

פרטים אישיים ומידע רפואי רגיש של עשרות אלפי ישראלים היו זמינים ברשת (כתבה של רן בר זיק)

חולשה משמעותית ופשוטה לניצול, בעזרת דפדפן בלבד, חשפה פרטים רפואיים רגישים ותמונות של למעלה מ-25,000 חולים ומטופלים בישראל. זאת על אף קיומו של חוק זכויות החולה, שמטרתו בין היתר להגן על כבודם ועל פרטיותם של אזרחים שפונים לשירותים רפואיים.

בשנים האחרונות בדיקות רבות שאנו עושים עולות לרשת. זה כולל את הצילומים עצמם וגם פענוח שלהם. לעיתים מקבל המטופל קישור לממשק ויכול לצפות בתוצאות, להוריד אותן למחשבו האישי או לשלוח אותן לרופאים לפי בחירתו, שיוכלו לבחון את הממצאים. לעתים הקישור נשלח גם לרופא ששלח את המטופל לבדיקה.

חברת Vision Erc היא חברה כזו, והיא מספקת שירותים למגוון מכוני דימות ישראלים. כשחולה מופנה לאחד מהמכונים שעובדים איתה הוא יקבל קישור לממשק ובו נמצאים צילומי הרנטגן, תמונות נוספות וגם סיכומים רפואיים, עליהם מופיעים הפרטים המלאים של הנבדק, כולל מספר תעודת זהות

הקישור הזה אישי, ומסתיים בטקסט שלעין הלא טכנולוגית יראה אקראי לחלוטין, אבל אנשים טכניים יותר — במיוחד מתכנתים העוסקים ברשת — יזהו מיד: קידוד base64. זו לא הצפנה, פשוט דרך להציג נתונים, כמו שהספרה 3 מופיעה כ-III בספירה רומית. מי שלא מכיר את השיטה לא ידע מה זה MMXXIV וזה יראה לו כמו צופן מסובך לפענוח, אך מי שכן יבין מיד שכתוב שם 2024.

אורי בינה הוא יועץ אבטחת מידע מחברת CWG, וגם מטופל שקיבל את תוצאות הבדיקה שלו באמצעות המערכת של Vision Erc. לאחר שזיהה את הקידוד ושינה אותו הוא גילה שממתין שם מספר רץ. כשהחליף אותו במספר הבא בתור וקידד חזרה לפורמט base64, הגיע לנתונים של אדם אחר. אז פנה למערך הסייבר וגם אלי. אימתי את הממצאים וגיליתי עד כמה נרחב ההיקף שלהם — כ-26,000 לקוחות.

"ההרגשה לא נעימה, במיוחד כאשר אני מיד מבין שגם המידע הרפואי שלי חשוף לכל", אומר בינה. "לא האמנתי. אחרי מעל עשור במקצוע ואין סוף חולשות חריגות בקרב מגוון לקוחות, בהם גם מסווגים, המערכת הזו הצליחה להפתיע אותי. ניהול גישה כה לקוי, שמוביל לחשיפה של עשרות אלפי צילומי רפואיים רגישים לצד מכתבים רפואיים, הוא לא דבר שרואים כל יום. בעיקר הופתעתי מקלות הניצול".

האתר הכיל חולשות אבטחה נוספות: כל האבחנות הרפואיות אוחסנו בתיקיה בשם comprobantes — "מסמכים" בספרדית (עושה רושם שזו שפת אימו של מי שבנה את האתר) — והיו גם הן במספור רץ. העובדה הזו איפשרה לי להוריד מאות מסמכים, וללא הפרעה מצד הגנת האתר.

ההגנות לא התעוררו גם בכניסה שנעשתה כביכול ממדינה זרה (באמצעות VPN), ולא בכניסות רבות מאותו IP. האתר הכיל גם ממשק כניסה חשוף למסד הנתונים ולנתוני השרת, ואני הצלחתי לקבל את הסריקות בזמן שהן עולות למערכת, ממש בזמן אמת ועוד לפני שחוברו מכתבי הסיכום הרשמיים.

באופן מעניין, באתר החברה היא דווקא מתגאה באבטחת המידע של האתר, וכן בשלל הסמכות אבטחה ועמידה בתקני אבטחה נוקשים, שאפילו למתכנתים מנוסים קשה מאוד לעמוד בהם. איך ייתכן שחברה עם כל כך הרבה הסמכות כשלה באופן בסיסי כל כך.

מ-Vision Erc נמסר: "החברה מייחסת לנושא אבטחת המידע חשיבות עליונה, וכל היבט, מניעתי או בזמן אמת, מטופל באופן מיידי ובלתי מתפשר, בידי חברת אבטחת המידע החיצונית אשר אמונה על תחום זה. אתר החברה מאובטח ברמה גבוהה והוא נבדק תדיר. ככל שהתגלה או יתגלה מקום לשיפור, הרי שזה יוטמע ללא דיחוי.

"שירות הפיענוחים הדחופים שהועמד לרשות מכוני הדימות התגלה כיעיל ומועיל, במיוחד בזמן מלחמה, וסייע רפואית למי שביקש ממכוני הדימות להיעזר בו, בהם מוגבלי הניידות ומקרי החירום — ועל כך גאוותנו. בעניינו, האתר נחסם באופן מיידי ובוצעה בדיקה מקיפה לכל תקלה טכנית כלשהי, ככל שאירעה כזו, הוגברה רמת האבטחה, וזאת מבלי שלמעשה אירע דבר, ומבלי שחלילה דלף או נחשף מידע כלשהו, ונקודה זו ראויה להדגשה.

"חברתנו תוסיף ותעמיד לרשות לקוחותיה שירותים רפואה מתקדמים בסטנדרט הטכנולוגי הגבוה ביותר והמאובטח ביותר, ותוסיף להעמיד שירות זה במיוחד בעת מלחמה שבו ציבור המטופלים נזקק לו ביותר" (דה מרקר)

https://t.me/CyberSecurityIL/5954

#ישראל #דלף_מידע #רפואה

אלעל מעדכנת:
אתר החברה שב לפעילות מלאה, אחרי שהגישה אליו נמנעה עקב עומסים על קווי התקשורת.

התייחסות של A.G.A.S למתקפת הסייבר.

מצ"ב מסמך של מערך הסייבר הלאומי אודות נוזקת הכופר SHINRA לאחר שזו זוהתה בישראל.

משטרת הולנד מכריזה על השלמת מבצע Magnus במסגרתו הצליחה להשבית את התשתיות של הנוזקות Meta ו-Redline.

מדובר בנוזקות מסוג infostealers בהן תוקפים עשו שימוש באופן נרחב.
גורמי האכיפה הצליחו להשיג שליטה מלאה על השרתים של התוקפים וובכל למעשה השביתו את כל התשתיות של הנוזקות.

עם סיום המבצע הקימה המשטרה אתר ייעודי בו הם חושפים מידע על הפעילות.

משטרת הולנד היא אחד מגופי האכיפה המעניינים בתחום הסייבר.... (תעשו חיפוש בערוץ).

https://t.me/CyberSecurityIL/5958

חברת התקשורת הצרפתית Free מדווחת על אירוע סייבר לאחר שתוקפים פירסמו מידע של החברה למכירה בפורומים שונים.

הדיווח מגיע לאחר שהתוקף פירסם 43GB של מידע שגנב.

החברה מציינת כי היא עוד לא דיווחה ללקוחות שנפגעו אך היא תעשה זאת בהקדם האפשרי.

חברת Free היא חברת הטלקום השניה בגודלה בצרפת.

https://t.me/CyberSecurityIL/5959

#דלף_מידע #תקשורת

שימו לב - בשבוע האחרון ישנו קמפיין פישינג רחב תוך התחזות לחברת Cal.

מצרף לכם אינדיקטורים שנאספו עד כה (חלק מהקישורים כבר לא פעילים לאחר שהוסרו על ידי גורמים שונים).
מזכיר לכם שכדאי ורצוי לבדוק כל sms באתר ScanMySms.com

clck[.]ru/3E5rkA
lxp[.]tv/wp-admin/Cal
did[.]li/cal-online-heIp-co-iI
cal-il[.]com/il
ilcal-il[.]es/cl
ilcal[.]es/i[.]l
ilupdate[.]es/a[.]cal
rebrand[.]ly/cal-authenticate
support-teamil[.]com/cal
cutt[.]iy/Cal-Security
diamondtrustshipping[.]com/cal/payment.php
tinyurl[.]com/cal-co-il
diamondtrustshipping[.]com/cal
jpo[.]vux[.]mybluehost[.]me/wp-content/online/
m-r[.]pw/Cal

https://t.me/CyberSecurityIL/5960

#ישראל #פישינג

👆🏻 עדכון לסיפור עם סייברסטארטס:

כלכליסט: סייברסטארטס עצרה את תוכנית התגמולים ל־CISO.

תחקיר של פורבס מעלה כי קרן ההון סיכון של גילי רענן עצרה את תוכנית התגמולים השנויה במחלוקת למנהלי הסייבר כשבועיים לאחר חשיפת כלכליסט. עוד עולה מהתחקיר כי רבים מהמנהלים הפסיקו את עבודתם עם הקרן.

בוקר טוב, במהלך הלילה הופץ לאזרחים סמס עם קישור להורדת אפליקציה המתחזה לאפליקציית פיקוד העורף.

אינדיקטורים

http://oref-support.one/alert.apk 

https://tinyurl.com/yc2t5cnp

Reports:

Virustotal (apk)

ScanMySms (url)

https://t.me/CyberSecurityIL/5962

מנכ"ל וויז חושף בכנס: "מתקפת דיפ-פייק עשתה שימוש בקולי"

מנכ"ל חברת הסייבר וויז (Wiz), אסף רפפורט, התארח אחר הצהריים (ב') בכנס השנתי של אתר הטכנולוגיה טקרנץ', "דיסראפט", והודה כי גם חברת אבטחת המידע בעלת השווי הגבוה ביותר בישראל איננה חסינה למתקפות. רפפורט ציין כי עובדיו הפכו מטרה למתקפת דיפ-פייק לפני כשבועיים, במסגרתה עשרות עובדים קיבלו הודעה קולית המתחזה לרפפורט בקולו. "המתקפה ניסתה לחלץ מהם פרטים מזהים", אמר רפפורט.

לדבריו, המתקפה נבלמה לאחר שעובדים בחברה זיהו שמשהו אינו כשורה בקולו של רפפורט בהודעה המוקלטת. "ההאקר דגם קובץ קול שלי מדבר בכנס", אמר. "אך כיוון שאני סובל מחרדת דיבור מול קהל, הקול שלי באירועים פומביים לא מזכיר את הדיבור האותנטי שלי כפי שהעובדים שלי מכירים אותו. כך הם הגיעו למסקנה שזה לא אני שיוצר עמם קשר". וויז הצליחו, אמנם, להבין מה מקור הקול שהודבק, אך לא הצליחו לעלות על התוקף: "עבור ההאקרים, מתקפות סייבר הן עסק יעיל - הסיכוי להיתפס נמוך מאוד", אמר לטקרנץ'. (גלובס)

https://t.me/CyberSecurityIL/5963

נבדק חשד למתקפת סייבר על שב"א: נותקו החיבורים מחו"ל
במערך הסייבר הלאומי קיבלו עדכון על האירוע. מומחים בתחום מעריכים כי מדובר במתקפת מניעת שירות, שמעמיסה כניסות על שרתים וכך מובילה לקריסתם

בשב"א ניתקו הבוקר, כחלק מפעולות הניטור, את החיבורים מחו"ל. לאחר ניתוק החיבורים מרבית השרתים חזרו לפעילות מה שמעלה ומחזק את הסברה שמדובר במתקפת מניעת שרות - אך אין עדיין אימות רשמי (כאן 11)

https://t.me/CyberSecurityIL/5964

מצרף לכם אינדיקטורים נוספים+ווידאו של איך האפליקציה הזדונית מופעלת, תוך התחזות לפיקוד העורף ובקשת הרשאות רבות במכשיר הטלפון (כולל שליחת סמס בשמכם).

תודה לאתר ScanMySms על הווידאו ולכל מי ששלח לי אינדיקטורים.

קבוצת התקיפה שעומדת מאחורי הקמפיין היא קבוצת אנונימוס.

91[.]193[.]18[.]91
185[.]123[.]102[.]27
185[.]80[.]53[.]8
38[.]180[.]226[.]179
89[.]150[.]48[.]38
98[.]142[.]254[.]243
http://185[.]123[.]102[.]27/TServer/check[.]txt
http://185[.]80[.]53[.]8/TServer/check[.]txt
http://38[.]180[.]226[.]179/TServer/index[.]php
http://89[.]150[.]48[.]38/TServer/index[.]php
http://98[.]142[.]254[.]243/TServer/check[.]txt
http://98[.]142[.]254[.]243/TServer/index[.]php

https://t.me/CyberSecurityIL/5965

מבצע עלום גילה את זהות המשרתים בעשרות בסיסים רגישים. מערכת הביטחון פתחה בחקירה.

גורם עלום מנהל מבצע איסוף מודיעיני על בסיסים ומתקנים רגישים בישראל באמצעות אפליקציית הריצות סטראבה. בעזרת האפליקציה נחשף הגורם לזהותם ולמקום מגוריהם של עשרות חיילים בתפקידים רגישים. מדובר במחדל מתמשך של דליפת מידע מתוך צה"ל, שכן הפרצה מוכרת למערכת זה שנים. לאחר פניית "הארץ" פתחה מערכת הביטחון בחקירה בניסיון לאתר את הגורם.

הגורם, משתמש פיקטיבי בסטראבה שכינויו שמור במערכת, זייף עשרות מסלולי ריצה שלו עצמו בתוך בסיסי חיל האוויר, מודיעין ומתקנים רגישים אחרים. לאחר שהערים על האפליקציה הוא הצליח לגלות את זהותם של מאות חיילים ואזרחים ששירתו או משרתים במתקנים אלו. החיילים האלה לא שמרו על ביטחון שדה, ומדדו לעצמם — באפליקציית סטראבה — את מסלולי הריצה שלהם בתוך הבסיסים. המידע נשמר בשרתי סטראבה, ונחשף למשתמש הפיקטיבי באמצעות פיצ'ר ספציפי באפליקציה.
במערכת הביטחון לא זיהו את מבצע האיסוף לפני פניית "הארץ". אז כונסה ישיבת הערכת נזקים במחלקת ביטחון מידע בצה"ל, ונפתחה חקירה בשיתוף גורמי ביטחון אחרים. במערכת הביטחון סבורים כי יצליחו לאתרו. במערכת הביטחון סבורים שהמקרה הזה משקף את כל הבעיות בפלטפורמה.

החשבון הפיקטיבי נפתח ביולי השנה, ואולם תחילה לא היתה בו כל פעילות. אלא שלאחר זמן מה העלה המשתמש לחשבונו האישי בסטראבה 60 מסלולי ריצה מזויפים שכביכול השלים, בתוך 30 בסיסים בישראל, בפרק זמן של ארבעה ימים בלבד. ניכר שיש לו מודיעין מדויק על הבסיסים המדוברים, על מיקומם ועל תפקידם. בכלל זה מדובר על בסיסי חיל האוויר חצרים ותל נוף, בסיסי חיל הים באשדוד ובאילת, בסיסי 8200 בגלילות ובירושלים, בסיס יחידת המודיעין 504 בצפון, מאגרי החימוש ובסיס שדות מיכה, שעל פי פרסומים זרים מאוחסנים בו הטילים הגרעיניים של ישראל, הבסיס של ארה"ב בהר קרן, שבו שוכן מכ"ם מתקדם לגילוי טילים בליסטיים, ועוד.
בחינה מלאה של הפרופיל הפיקטיבי מוכיחה כי מדובר בהתנהגות מזויפת. אין סיכוי שהמשתמש השלים 60 ריצות בתוך 30 בסיסים במשך ארבעה ימים. כל הריצות המתועדות בפרופיל שלו הן למרחקים קצרים ביותר — על פי רוב פחות מקילומטר. בכמה מהמקטעים שבהם כביכול תיעד את עצמו אין שום כביש או מסלול ריצה. המשתמש לא ידע שבסיס שדה דב בצפון תל אביב כבר פונה, והעלה מקטע מזויף שלו רץ בין מסלולי ההמראה וההסעה שאינם קיימים זה שנים.
חיילים ואזרחים המשרתים במתקנים רגישים אלו ואחרים מעלים תדיר לחשבונותיהם בסטראבה את מקטעי הריצות שהשלימו. משתמש אחר שרץ באזורים האלה יכול לראות את זהות כל המשתמשים שרצו במקטע שהוא העלה לאתר. כך המשתמש הפיקטיבי יכול לראות את זהות כל המשתמשים שרצו בתוך הבסיסים שבהם כביכול רץ.

המשתמש ניצל פרצה בסטראבה — ולא היה צריך לרוץ בבסיסים האלה באמת כדי שיירשם לו מקטע ריצה בהם. הוא טען למערכת קובץ גאוגרפי מזויף שיצר במחשב, שלכאורה מציג ריצה בתוך המתקנים האלה. מאותו הרגע הוא נחשף לזהותם של כל הרצים האחרים באזור.
(הכתבה המלאה - הארץ)

https://t.me/CyberSecurityIL/5967

חברת שב"א מדווחת באופן רשמי לבורסה בת"א כי התקלה הבוקר התרחשה בעקבות מתקפת דידוס.

https://t.me/CyberSecurityIL/5968

ישראל לא לבד - בשבוע האחרון פירסם עיתון Le Monde הצרפתי תחקיר נרחב המציג כיצד בעזרת אפליקציית Strava נחשפו המיקומים של מנהיגים שונים בעולם (מקרון, טראמפ, ביידן, האריס, פוטין ועוד)

התחקיר מצביע על כך שאנשי הביטחון, השומרים על אישים שונים, עושים שימוש באפליקציה ובכך למעשה חושפים את המיקום של הדמות עליה הם שומרים.

התחקיר התפרסם ככתבת ווידאו בשלושה חלקים, עד כה שוחררו שניים - חלק 1, חלק 2.

https://t.me/CyberSecurityIL/5969