🔥הפסקת אש? בא נסכם מה היה לנו עד עכשיו במרחב הסייבר במהלך מבצע "שאגת הארי".

1. במהלך המבצע פורסמו כ-1,300 מתקפות סייבר כנגד ארגונים בישראל.
המתקפות פורסמו בעיקר בטלגרם, באתרים של תוקפים, בפורומים וכו'. שימו לב שהמידע בפוסט הזה מתייחס רק למתקפות שפורסמו ושעקבתי אחריהן.

2. למעלה מ-100 קבוצות תקיפה לקחו חלק בפעילות ההתקפית נגד ישראל.

3. רוב הקבוצות היו עסוקות במתקפות שהיו כמעט חסרות משמעות כמו דידוס, השחתה ומיחזור של מידע שדלף כבר בעבר.

4. בראש הנחש עמדה כמובן איראן שהובילה את מתקפות הסייבר על ישראל (ולא רק...)

5. בין הקבוצות האיראניות, שלקחו חלק במתקפות על ישראל וגופים נוספים בעולם, ניתן למצוא את קבוצת הנדלה, Homeland Justice, בני ישמעאל, Anonymous For Justice, Ababil of Minab, APT iran, ועוד.

6. האיראנים ושות' ביצעו מספר סוגים של מתקפות:

6.1 מחיקת מידע מארגונים:
אנונימוס פרסמו מחיקת מידע מכ-35 ארגונים.
הנדלה פרסמה מחיקת מידע של עוד 14 ארגונים.
אני קיבלתי בפרטי דיווחים על ארגונים נוספים שהמידע שלהם נמחק ולא מופיעים ברשימות הנ"ל.
המספרים מסתדרים עם הדיווח של מערך הסייבר על כ-50 ארגונים שנפגעו.

6.2 דלף מידע מגופים ואישים בכירים בישראל:
כאן פעלה בעיקר הנדלה תוך שהיא מתמקדת באישים בכירים מתחום הביטחון, מכון INSS, ועוד כמה גופים עסקיים.

6.3 מתקפות על ארגונים במדינות נוספות בהקשר של המלחמה:
כך לדוגמה קבוצות הנדלה, APT Iran ו-Minab תקפו גופים בארה"ב, קבוצת Homeland Justice תקפה גופי ממשל באלבניה, ועוד.

7. כצפוי, פעולות הסייבר ההתקפיות של ישראל כמעט ולא מתפרסמות, ישראל עסוקה בהשפעה תכלס ולא ביח"צ ולכן רב הנסתר על הגלוי.
במהלך המלחמה פירסמתי דיווח על שיבושים בבנקים באיראן ועל השמדה של מתקנים, בניינים וגורמי משטר שהיו קשורים למרחב הסייבר האיראני.

8. מצ"ב גרף מעודכן, שמציג מגמה של כמות המתקפות שפורסמו בכל יום.

9. אתם אוהבים אתרים, אז ביקשתי מ-Manus שיכין גם אתר לסיכומון הזה.

https://t.me/CyberSecurityIL/8741

כמה נקודות לגבי TeamPCP, קבוצת LAPSUS וכו'...

ניסיתי להבין קצת יותר מה הסיפור של TeamPCP ומה "יחסי הכוחות" בין הקבוצות שתנהלו סביב המתקפות של שרשרת האספקה.

מצד אחד היו מחקרים שהציגו כי קבוצת TeamPCP הפעילה נוזקת Wiper בשם kamikaze, המוחקת באופן אוטומטי מערכות מחשוב אליהם פרצה במידה והמערכות שייכות לגורם איראני....
אז הקבוצה היא לכאורה אנטי איראנית, או אולי פרו ישראלית?

בנוסף, בחשבון ה-Xוויטר של הקבוצה הקבוצה מציגה כמיקום את "ישראל" ותאריך פתיחת החשבון הוא אוקטובר 2023.
זה קצת מחזק את האפשרות שהקבוצה אולי פרו ישראלית...

מצד שני, הקבוצה פרצה ל-Trivy ששייכת לחברת Aqua, שהיא חברה ישראלית, ומשם הגיעה לחברות נוספות, שחלקן גם כן ישראליות..

אז אולי כל הקטע עם ישראל זה סתם לבלבל את כולם?

דיברתי שוב עם Lapsus כדי לנסות להבין מה הולך שם...

לטענת Lapsus הם אלו שהחזיקו בגישה ל-Trivy מלכתחילה, אבל מאחר והם מתעסקים יותר בגניבת מידע וסחיטה הם העבירו את הגישה בהסכם ל-TeamPCP כדי שאלו ייכתבו את הנוזקה הטכנית שתביא אותם מ-Trivy לכל ה-1000+ ארגונים שנפגעו מהמתקפה....

עוד טוענים ב-Lapsus כי Trivy הייתה נקודת הכניסה לכל השאר, דהיינו, LiteLLM, Checkmarx, Telnyx וכו'. אלו לא היו מתקפות נפרדות אלא חלק מאותה שרשרת...

אז בעצם, אם מה ש-Lapsus אומרים נכון, הם החזיקו בגישה ל-Trivy, העבירו אותה ל-TeamPCP איתם הייתה להם היכרות מוקדמת, ו-TeamPCP ניצלו את הגישה כדי להפיץ את הנוזקה שגונבת טוקנים של מאות ארגונים שונים....
עם הפצת הנוזקה לגניבת טוקנים הם גם ביצעו פעולה אנטי איראנית של זיהוי ומחיקת מידע באופן אוטומטי לכל ארגון איראני, סתם כבונוס/נספח למתקפה הרחבה יותר...

ברגע שהם השיגו את הטוקנים הם העבירו חלק ל-Lapsus, ואלה השתמשו בגישה כדי לגנוב מידע ולהתחיל בתהליך הסחיטה.

שאלתי את לפסוס אם יש קשר כלשהו בין TeamPCP לישראל אבל לטענתם הם לא מכירים קשר כזה 🤷‍♂️

סיפור מעניין, נראה לאן זה יתגלגל ומה עוד ייחשף.

https://t.me/CyberSecurityIL/8742

⚠️תוקפים מנצלים חולשת zero-day באפליקציית Adobe Acrobat Reader כבר מספר חודשים.

לפי דיווח של חוקר אבט"מ Haifei Li, המתקפה מתבצעת באמצעות פתיחה בלבד של מסמכי PDF זדוניים, והפרצה פועלת בגרסה העדכנית ביותר של Adobe Reader ללא צורך בפעולה נוספת מצד המשתמש מלבד פתיחת הקובץ.

אחרי השגת הגישה התוקפים אפילו גונבים מידע מהמחשב הנגוע באמצעות ממשקי API של התוכנה....
בשלב זה אין תגובה רשמית או עדכון אבטחה של אדובי.

ההמלצה, שנכונה גם באופן כללי ולא רק בגלל החולשה הנוכחית, היא לא לפתוח מסמכי PDF שנשלחו מגורם לא מוכר, בדגש כעת על פתיחה באמצעות Adobe reader.

https://t.me/CyberSecurityIL/8746

חברת Bitcoin Depot, המפעילה למעלה מ-25,000 כספומטים לקריפטו מסביב לעולם, מדווחת כי תוקפים פרצו לרשת החברה וגנבו מטבעות קריפטו.... 💸

לפי הדיווח של החברה לבורסה בארה"ב התוקפים הצליחו להשיג גישה למספר ארנקים דיגיטליים וגנבו כ-50 מטבעות ביטקוין (3.6 מיליון דולר).

https://t.me/CyberSecurityIL/8749