יצרנית ג'ק דניאלס נפגעה מהדור החדש של תוכנות הכופר - מה משמעות הדור החדש?
מאת: מערכת Telecom News, 31.8.20, 13:52

ענקית המשקאות בראון-פורמן היא הקורבן הגדול הנוכחי של עברייני תוכנות הכופר. רבים מכירים את מוצריה, ובעיקר את וויסקי ג'ק דניאלס וגם וודקה פינלנדיה. ניתוח מנגנון הסחיטה הכפול על 3 שלביו החדשים ומשמעות הדור החדש של תוכנות הכופר. היכן החליטו ההאקרים להתמקד מבחינה כלכלית ומה קרה כתוצאה מהשינוי הטקטי הגדול? עם התקפות הכופר של הדור החדש, הדרך הישנה נשמעת כמעט ידידותית. בראון-פורמן, אמרה לעבריינים, שהם יכולים "לתקוע" את דרישת התשלום שלהם היכן שירצו. ועל כך יש לברך את הארגון.
 
פול דקאלין, חוקר בכיר בחברת אבטחת המידע סופוס, מנתח את התקיפה על ענקית המשקאות:

על פי אתר בלומברג הטוען, שקיבל הודעה אנונימית מהתוקפים עצמם, העבריינים, שמעורבים בתקיפה, משתייכים לכנופיות REvil או Sodinokibi. צוות REVil הוא חלק ממה שניתן לכנות "הגל החדש" של מפעילי תוכנות כופר, שמוציאים לפועל התקפות ב-3 שלבים המייצרות מנגנון סחיטה כפול:

1) בתחילה הם פורצים לרשת של הקורבן וסורקים אותה. במהלך פעילות הסיור והתצפית, העבריינים יתקדמו בהדרגה אל רמת גישה של sysadmin, ימפו את כל נקודות הקצה והשרתים ברשת, יחפשו היכן נמצאים הגיבויים המקוונים, ויאתרו או יפעילו כלי ניהול מערכת עוצמתיים, שיסייעו במהלך ההתקפה. הם גם ישנו הגדרות (או יכבו) של מערכות אבטחת מידע כדי להעניק להם את מרחב הפעולה הגדול ביותר. לעיתים הם אפילו יפעילו מיני התקפות בעזרת דוגמיות של קוד זדוני, כדי לבחון את ההגנות הקיימות ולמצוא אילו טכניקות הן היעילות ביותר.

2) שנית, הם יחלצו (מילה מכובסת ל"יגנבו") נתונים ארגוניים רבים ככל הניתן. בהתקפה על בראון-פורמן, טוענים התוקפים, שהם הצליחו לחלץ 1 טרה של נתונים. מבלומברג נמסר, שקיבלו קישור לאתר בו העבריינים פרסמו דוגמאות למידע גנוב המתפרס על פני 10 שנים.

3) בשלב השלישי הם יצפינו ברשת קבצים רבים ככל הניתן, באמצעות אלגוריתם ערבול, שרק להם יש את המפתח לפיענוחו. העבריינים בד"כ יעתיקו לפני כן את תוכנת הקוד הזדוני לרוחב הרשת, כדי שכאשר הם מתחילים בתהליך ההצפנה הוא ירוץ במקביל בכל המכשירים ויגרום לפגיעה מרבית בזמן קצר ככל הניתן.

2 השלבים הראשונים בתיאור ההתקפות הם חדשים יחסית. בעבר מתקפות סייבר התמקדו רק בשלב 3 - הצפנת הקבצים ושליחה של דרישת כופר. התקפות על רשתות היו נדירות, וההתקפות כוונו נגד "כולם" - ממשתמשים פרטיים, שלא גיבו את תמונות הילדים שלהם ונדרשו לשלם 300 דולרים להחזרתם, ועד לחברות גדולות, שנדרשו לשלם 300 דולרים עבור כל מחשב בחברה, שעצר את פעילותו.

העבריינים הבינו עם הזמן, שמבחינה כלכלית, עדיף להם למקד מאמצים בסחיטה של חברה אחת עבור עשרות אלפי דולרים, במקום לרדוף אחרי אלפי מחשבים אישיים שונים. ההאקרים הראשונים, שפנו לדרך זו, היו אפילו נועזים מספיק כדי להציע 2 מסלולי כופר, האחד לפי מחשב והשני במסלול "שחרר כפי יכולתך" - ממש כאילו מדובר במבצע של חברה מסחרית.

כך לדוגמא, קבוצת הקוד הזדוני האיראנית SamSam הציעה מסלול תשלום עבור חצי ממפתחות ההצפנה. כך, שאם יתמזל מזלך תוכל לשחרר מספיק מחשבים כדי לאפשר חזרה לפעילות, ובחצי המחיר. לעיתים העבריינים גם מציעים תשלום ראשוני גבוה, כגון 8,000 דולרים עבור מחשבים חיוניים, ולאחר שהם חוזרים לפעילות, קיימת האפשרות לרכוש את המפתח הראשי, שבמקרה של SamSam מחירו עמד על 50,000 דולרים. לפני שפעילותה נעצרה ע"י רשויות החוק בארה"ב, SamSam הצליחה לגרוף 2 מיליון דולרים ברחבי העולם.

כתוצאה מהשינוי בטקטיקה של התוקפים, נוצרה אינפלציה במחירי הכופר כאשר מחיר של 50,000 דולרים כבר נחשב לנמוך ביחס לנהוג היום. ההתקפה האחרונה על חברת שעוני הכושר גרמין הביאה את החברה לשלם, על פי דיווחים, כמה מיליוני דולרים אל מול דרישת תשלום של 10 מיליון דולרים. גם חברת הנסיעות האמריקאית CWT שילמה לאחרונה סכום מוערך של 4.5 מיליון דולרים אל מול דרישה בסכום דומה, כדי לשחרר 30,000 מחשבים, שנלכדו על ידי העבריינים.

השינוי הטקטי הגדול ביותר
השינוי המהותי ביותר הוא שלב 2. באמצעות הוצאת מידע מהארגון טרם ההצפנה, העבריינים יכולים להציג איום כפול. כעת, הארגונים נסחטים גם כדי לגרום לעבריינים לעשות משהו - לשלוח את מפתח ההצפנה, וגם כדי לא לעשות משהו - לפרסם את הנתונים שלהם. בצורת העבודה הישנה היה די ברור, שאם אתה משלם לעבריין, אתה מקבל את המידע שלך חזרה, וכאן מסתיימת השליטה שלו עליך. לכאורה, כדי לדרוש כופר נוסף, העבריין צריך לפרוץ פעם נוספת לרשת שלך.

אבל עם התקפות הכופר של היום, הדרך הישנה נשמעת כמעט ידידותית. העבריינים מבטיחים למחוק את הנתונים שכבר גנבו, ובכך למנוע מהאירוע להפוך לציבורי, אבל אין לך שום דרך לדעת אם הם יעמדו בהבטחה. גרוע מכך, אין לך דרך לדעת אם לעבריינים יש בכלל דרך לקיים את ההבטחה שלהם. ייתכן שהמידע, שנגנב מהארגון, כבר נגנב גם מהם – רבים מהמעצרים בעולם תוכנות הכופר התרחשו בגלל שעבריינים לא נזהרו מספיק, ואפשרו לגורמים אחרים לחדור לרשת שלהם. ייתכן גם שמישהו מתוך הכנופייה יחליט לפעול בצורה עצמאית ולמכור את המידע הלאה, מבלי לשתף את האחרים.

מה המשמעות של "הגל החדש"?
מנקודת מבט רגולטורית, כל מתקפת כופר נחשבת כדליפה של נתונים, אפילו אם רק הוצפנו קבצים. אחרי הכל, אם גורם זר הצליח לשנות קבצים שלא אמורה להיות אליהם גישה, זה עונה על ההגדרה של פשע פלילי - של גישה בלתי מורשית ושל פגיעה בקבצים. כארגון, אפילו שהתקיפה הופכת אותך לקורבן, היא גם מעמידה אותך כאחראי לכשל בהגנת הנתונים. אפילו אם אתה מונע את השלב האחרון של ההתקפה, או אם יש ברשותך גיבויים מעודכנים כך שאתה לא זקוק למפתחות ההצפנה, העבריינים עדיין ינסו לסחוט אותך כדי שלא יפרסמו את המידע הגנוב.

החדשות הטובות במקרה של בראון-פורמן הן, שהדיווחים מצביעים על 2 דברים חשובים:
1) בראון-פורמן מנעו את שלב הצפנת הקבצים. אלו חדשות מצוינות כי, כנראה, נמנעה השבתה של המערכת, ופגיעה מתגלגלת בספקים, שותפים, מפיצים, קמעונאים ועוד.

2) בראון-פורמן, לכאורה, אמרה לעבריינים, שהם יכולים "לתקוע" את דרישת התשלום שלהם היכן שירצו. ועל כך יש לברך את הארגון.

גם פירמת עורכי הדין "גרוברמן, שייר, מייזלאס וסאקס" חוותה דרישת כופר, שהגיעה אליהם באנגלית רצוצה בעקבות פריצה למערכות. גם במקרה זה, החברה ראתה בדרישת הכופר סוג של פעולת טרור וסירבה לשלם. ההבטחה לפרסם מידע רגיש אודות לקוחות החברה, כפי שנטען בדרישת התשלום, עדיין לא התרחשה. לא ברור אם זה נובע ממריבות פנימיות או שפשוט המידע שנגנב לא באמת היה מעניין מספיק.

בחברת אבטחת המידע סופוס קוראים לאנשים שלא לעודד את העבריינים, ולתמוך בחברות, שלא מוכנות לשלם לתוקפים, ובעיקר לא להיכנס למידע המתפרסם בעקבות גניבה: "לא משנה כמה זה נראה שימושי, לא משנה כמה נראה, שהדברים הפכו לציבוריים, לא משנה עד כמה אתה חושב, שזו הייתה צריכה להיות אחריות החברה שנפרצה, אפילו אם זה 'סתם נראה לך מעניין', פשוט אמור לא!", נכתב בבלוג החברה.

מה לעשות כדי להתגונן? טיפים ועצות ניתן למצוא בדו"ח "כיצד להתגונן מפני תוכונת כופר" של סופוס.