"פרצנו לחברות ששוות מאות מיליארדי דולרים תוך 30 דקות" -

שלושה חוקרי אבט"מ ישראלים מציגים כיצד הצליחו לשתול תוסף זדוני בחנות התוספים של VSCode ולפרוץ באמצעותו לעשרות ארגונים.

עמית אסרף, איתי קרוק ועידן דרדיקמן החליטו לבדוק את רמת האבטחה בחנות התוספים של VSCode.

ויז'ואל סטודיו קוד (באנגלית: Visual Studio Code) היא פלטפורמה לכתיבת קוד המופצת על ידי חברת מייקרוסופט.
מייקרוסופט מפעילה בנוסף גם חנות תוספים ל-VSCode שם מפתחים יכולים להוריד תוספים שונים שישפרו את חווית הפיתוח.

החוקרים יצרו תוסף המתחזה לתוסף הפופולרי Dracula, המאפשר למפתחים להחליף את ערכת הצבעים של VSCode לערכה כהה הנוחה יותר לעין.
החוקרים הוסיפו כמה שורות קוד זדוניות לתוסף החדש שיצרו ונתנו לו את השם הכמעט זהה - Darcula, תוך שהם מקימים גם אתר מתחזה לאתר הרשמי של התוסף המקורי 🧛.
את האתר המתחזה הם אישרו בקלות מול חנות התוספים של VSCode ובכך למעשה הם הפכו תוך זמן קצר למפיצים של תוסף זדוני הזהה כמעט לחלוטין בשמו לתוסף המקורי.

תוך זמן קצר מאד התוסף הזדוני תופס תאוצה ומשתמשים בארגונים רבים מסביב לעולם החלו להוריד את התוסף הזדוני במקום את התוסף הרשמי.

תוך פחות מ-24 שעות כבר עשרות מחשבים הודבקו בנוזקה, כשחלק מהקרבנות אלו חברות ענק השוות מאות מיליארדי דולרים, חברות אבטחת מידע ועוד.
הנוזקה לא זוהתה על ידי מערכות ההגנה השונות בארגונים...

עד כמה המצב חמור?

החוקרים לקחו את המחקר צעד קדימה והחליטו לבדוק את מצבם של תוספים אחרים בחנות התוספים של VSCode (שמכיל כ-60k תוספים).

שימו לב לנתונים שהם גילו:

- 1,283 תוספים הכילו קוד זדוני (הותקנו 229 מיליון פעמים)

- 8,161 תוספים מבצעים תקשורת מול כתובות IP המוגדרות בתוך הקוד של התוסף.

- 1,442 תוספים מפעילים קבצי הרצה לא ידועים.

המחקר המלא זמין לכם כאן 👉🏻

חשוב לציין כי מחקר זהה בוצע לפני כשנה ע"י חוקרים ישראלים מחברת Aqua - כאן

https://t.me/CyberSecurityIL/5240

התעצבן שפוטר, מחק 180 שרתים וגרם לנזקים של מאות אלפי דולרים.

קנדולה נגרג'ה (Kandula Nagaraju) אזרח הודו בן 39, עבד בחברת NCS שבסינגפור בין החודשים נובמבר 2021 לאוקטובר 2022.
כחלק מצוות QA הייתה לו גישה לכל סביבות הטסט של החברה (כ-180 שרתים).

בנובמבר 22 פוטר קנדולה מהחברה בשל בעיות ביצועים, הוא לא הצליח למצוא עבודה נוספת בסינגפור ונאלץ לחזור להודו.

במהלך החודשים ינואר-פברואר 2023, עשה קנדולה שימוש במשתמש אדמין שהחזיק על מנת להתחבר לרשת של NCS מספר פעמים.
בהתחברויות אלו בחן קנדולה סקריפט שכתב בכדי למחוק שרתים וירטואליים בסביבת הטסט של החברה (איש QA כבר אמרנו, כנראה לא רצה לעלות לפרודקשיין בלי בדיקות...😄)

ב-18 למרץ התחבר קנדולה בפעם האחרונה לרשת של NCS ואז הריץ את הסקריפט שכתב ובדק קודם לכן.
הסקריפט הזדוני מחק תוך זמן קצר את כל 180 השרתים שבסביבת הטסטים.

יום למחרת הבינו בחברה את גודל האירוע לאחר שלא הצליחו להתחבר לשרתים (180 שרתים נמחקים אחד אחרי השני ורק יום למחרת שמים לב? 🤔).

כחודש לאחר מכן חברת NCS מוסרת לגופי האכיפה דו"ח על ממצאי האירוע בו היא מציינת כמה כתובות IP חשודות.
המשטרה מאתרת את קנדולה, מחרימה את המחשב שלו ומוצאת בפנים את הסקריפט הזדוני.

חברת NCS מדווחת לגופי האכיפה ולבית המשפט כי קנדולה גרם לחברה נזק בגובה 678,000 דולר. בית המשפט מצא את קנדולה אשם וגזר עליו השבוע עונש מאסר בפועל של שנתיים ושמונה חודשים 👮


⛔שימו לב שהנאשם התחבר לרשת עם יוזר אדמין שהחזיק, ללא קשר ליוזר המקורי שלו בחברה שכנראה הושבת עם עזיבתו.

מה קורה אצלכם בארגון כשעובד עוזב? אני מניח שבמקרה הטוב מנתקים לו את היוזר תוך X שעות. אבל מה עם כל היוזרים האחרים אליהם היה חשוף?
האם אתם מודעים לכל היוזרים האחרים שהיו נגישים לאותו עובד? אם כן, האם אתם משנים סיסמאות לאותם יוזרים כשהעובד עוזב?

https://t.me/CyberSecurityIL/5258

#השחתה #insider_threat

משתמשים באימוגי'ס כדי לתקשר עם הנוזקה 😈

מחקר מעניין של חברת Volexity מציג את הנוזקה DISGOMOJI בה תוקפים עשו שימוש כנגד גופים בממשלת הודו.
יש מלא מחקרים כאלו אבל במקרה הזה מעניין לראות שהתוקפים עשו שימוש באימוג'יס כדי לשלוח פקודות לנוזקה משרת דיסקורד המשמש אותם כשרת C&C (שליטה ובקרה).

המחקר המלא כאן.
צירפתי תמונה עם כל האימוג'יס והמשמעות שלהם עבור התוקפים.

https://t.me/CyberSecurityIL/5259