מתקפות נגד מגזרי אנרגיה, גרעין, מים, תעופה ותשתיות ייצור קריטיות
מאת: מערכת Telecom News, 23.17.19, 16:22
 
DHS בשיתוף ה FBI- פרסמו התרעה לגבי פעילות תקיפה מתמשכת המתבצעת נגד ארגונים ממשלתיים ומסחריים. שיטת הפעולה העיקרית מבוססת על תקיפת ארגונים קטנים, שבהם מערכות ההגנה והזיהוי חלשות יחסית, ושימוש בהם כקרש קפיצה לתקיפת ארגוני היעד העיקריים. ניתוח מפורט של התקיפה. כיצד ארגונים יכולים להתמודד?

דווח, שהקמפיין החל לכל המאוחר בחודש מאי 2017.

ניתן לחלק את הארגונים המותקפים בקמפיין זה ל-2 קטגוריות:

1) "יעדי ביניים" - ארגונים המצויים בשרשרת האספקה של היעדים, בד"כ חברות קטנות יותר עם מערכות הגנה פחות מתקדמות. השגת אחיזה ברשתות אלו מאפשרת תקיפה עקיפה של רשתות היעדים.
2) "יעדים סופיים" - רשתות של ארגונים במגזר האנרגיה. 

בקמפיין זה התוקפים פועלים במגוון טכניקות וטקטיקות:

1) איסוף מודיעין דרך מידע גלוי ברשת (בעיקר מידע מאתרים ארגוניים),
2) דיוג ממוקד (Spear Phishing) באמצעות הודעות דוא"ל מכתובות לגיטימיות,
3) Watering Hole Attacks (תקיפת אתרים לגיטימיים הרלוונטיים למושאי התקיפה, בד"כ אתרים טכניים וחדשותיים בתחום המקצועי, באופן שגישה אליהם תגרום לתקיפת מערכות המשתמשים),
4) תקיפות של עמדות הקצה בשימוש מושאי התקיפה,
5) תקיפות נגד מערכות שו"ב תעשייתיות (ICS),
6) גניבת/איסוף נתוני גישה למערכות שונות. 

ניתוח התקיפה לפי מודל ה- :Cyber Kill Chain
1.איסוף מודיעין
איסוף המודיעין בוצע נגד יעדים, שנבחרו מראש, ולא נצפתה פעילות נגד יעדים מזדמנים. התוקפים עשו שימוש בטכניקות של איסוף מידע גלוי  מתוך המידע המתפרסם באתרי האינטרנט של ארגוני היעד. המידע המבוקש כלל בעיקר מבנים ארגוניים ורשתיים, סוגי מערכות בשימוש ויכולותיהן.לעיתים נעשה שימוש במידע הנראה תמים, כגון תמונה באתר החברה, שהגדלתה מאפשרת זיהוי של מערכות תפעוליות בשימוש הארגון.
 
 2.הכנת אמצעי התקיפה
במהלך קמפיין הדיוג הממוקד, התוקפים השתמשו בצרופות דוא"ל המכילות מסמכי Office. מסמכים אלו הכילו בתוכם פניה לאחזור מסמך משרת מרוחק באמצעות פרוטוקול (SMB)Server Message Block . לדוגמה, פניה עשויה להיראות כך: file[:]//<remote IP address>/Normal.dotm.
 
פניה מסוג זה שולחת באופן אוטומטי את נתוני הגישה של המשתמש (שם משתמש ו-HASH של הסיסמה) לשרת המרוחק. התוקפים לכדו מידע זה, ועשו, ככל הנראה, שימוש בטכניקות לא-מקוונות שונות לפיצוח סיסמאות, כדי לחלץ את נתוני הגישה הרלוונטיים.
 
3.השגת אחיזה ראשונית בעמדה המותקפת
כדי לתקוף את יעדיהם, השתמשו התוקפים  בקמפיין דיוג ממוקד שונה מעט מהרגיל.
 
כותרת הדוא"ל הייתה גנרית - “AGREEMENT & Confidential”. הצרופה הייתה קובץ PDF בשם “’’document.pdf”. תשומת לב לכך, ששם הקובץ כולל 2 תווי גרש בודד (') בתחילת שמו. הקובץ עצמו לא הכיל קוד אקטיבי, אך פתיחתו הציגה למשתמש לינק עם הודעה ללחוץ עליו במקרה שהורדת המידע (Download) לא החלה באופן אוטומטי (בקובץ עצמו לא הייתה שום פניה לביצוע הורדת מידע כלשהו). לחיצה על הלינק הפעילה את מנגנון התקיפה.
 
בדיווחים קודמים הקשורים לקמפיין זה, דווח על שימוש בהודעות דוא"ל בעלות תוכן הקשור למערכות שו"ב, ואזכורים בתוכן ההודעות של שמות מערכות ופרוטוקולים שונים בשימושן. הצרופות היו מסוג Word וכללו קורות חיים של אנשי שו"ב, הזמנות לכנסים, מסמכי מדיניות וכד'.
 
4.ניצול השגת האחיזה הראשונית
התוקפים השתמשו בשיטות שונות נגד יעדי הביניים והיעדים הסופיים.

נגד יעדי הביניים, נעשה שימוש בטכניקה חריגה יחסית של שימוש במספר הפניות (successive redirects). הצרופה הכילה URL מקוצר, שהפנה לקישור מקוצר אחר ורק אז לאתר הסופי.
http://bit[.]ly/2m0x8IH -> http://tinyurl[.]com/h3sdqck -> http://imageliners[.]com/nitel
אתר זה כלל עמוד אינטרנט, בו המשתמש צריך להזין כתובת דוא"ל וסיסמה.
 
תקיפות נגד יעדים סופיים כללו צרופות מסוג DOCX עם הפניה לשרת SMB בשליטת התוקף, כפי שהוסבר לעיל (סעיף 2).
 
אחת מהמטרות העיקריות של תקיפות נגד יעדי ביניים הייתה לייצר תשתית למתקפות מסוג Watering Hole. כמחצית מהתקיפות מסוג זה בקמפיין זה כללו אתרים בעלי מידע חדשותי או טכני בתחום השו"ב. התוקפים שינו את קוד האתרים ,Javascript או PHP, כדי לכלול הפניה לשרת SMB בשליטתם, לשם גניבת נתוני הגישה.
 
5.התקנות נוספות והתבססות ביעד
התוקפים ניצלו את נתוני הגישה שהשיגו כדי לתקוף את רשתות ארגוני היעד. כלי תקיפה נוספים הורדו משרת מרוחק, תחילה עם סיומת TXT ולאחר מכן הסיומת שונתה לסיומת הנדרשת, בדרך כללEXE או ZIP. במקרים מסוימים לאחר הרצת הכלים הנוספים, הם נמחקו מידית מהעמדה המותקפת.
 
במקרים  אחרים הכלים הנוספים הם סקריפטים המבצעים מספר פעולות עבור התוקף. לדוגמה, נצפה סקריפט, שיוצר לתוקף חשבון משתמש, מנטרל את ה-FW  המקומי בעמדה, מאפשר גישה לפורט 3389 (RDP) ומנסה להוסיף את חשבון המשתמש שיצר לקבוצת המנהלנים.
 
התוקפים יצרו משימה מתוזמנת (scheduled task) בשם "RESET", שמיועדת לביצוע ניתוק (LOGOUT) של חשבון המשתמש שיצרו, כל 8 שעות.

בתקיפה של יעדי ביניים נעשו שימוש בכלים מתאימים למימוש ייעודם. בין השאר נצפתה התקנה של תוכנת Forticlient, שמשמשת להתחברות לשירותי VPN, ככל הנראה ביעדים הסופיים.
 
שמירת אחיזה ביעד והשגת סיסמאות נוספות בוצעו באמצעות מניפולציה של קבצי LNK. קבצים אלה מכילים שדה המאפשר לציין מהיכן יש לטעון את ה-ICON של הקובץ. התוקפים הפנו שדה זה לשרת SMB בשליטתם כדי להשיג נתוני גישה, כפי שצוין לעיל (סעיף 2).
 
התוקפים עשו שימוש בחשבונות משתמש שונים עבור שימושים שונים ביעדים שונים. ביעד ביניים מסוים, נצפתה יצירה של 4 חשבונות משתמש שונים ע"י התוקף, על שרת בודד, ששימש הן כשרת Domain Controller והן כשרת Mail:

חשבון מס' 1 קיבל שם משתמש, שנועד להזכיר תוכנת גיבוי בשימוש היעד. החשבון שימש לאיסוף מידע על היעדים הסופיים.
חשבון מס' 2 נוצר ע"י חשבון מס' 1 כדי להתחזות לחשבון מנהלן של שירות הדוא"ל. חשבון זה יצר את חשבון מס' 3.
חשבון מס' 3 היה חשבון משתמש בשרת הדוא"ל, שנבנה בהתאמה לכללי שמות המשתמש הנהוגים ביעד.
חשבון מס' 4 נוצר ע"י חשבון מס' 1 כחשבון מנהלן מקומי ושימש למחיקת הלוגים השונים בשרת.

6.שליטה ובקרה
באופן שכיח, התוקפים עשו שימוש בפוגענים מסוג Webshell. (WebShell הוא סקריפט זדוני המועלה לשרת Web, ומאפשר לתוקף להריץ על השרת פקודות שונות, להוריד אליו פוגענים נוספים וכו') למימוש המשך שליטה ובקרה על היעדים המותקפים. הגישה ל- Webshell בוצעה באופן מוצפן על גבי פורט 443.
 
התוקפים עשו שימוש בשירותי גישה מרחוק שונים כגון VPN, RDP ו-OWA, לשימור גישתם מרשתות יעדי הביניים אל היעדים הסופיים. מטרת התוקפים הייתה להיטמע בתוך התעבורה הלגיטימית של גישה מרחוק אל היעד. נעשה שימוש בשירותי גישה מרחוק העושים שימוש באמצעי זיהוי יחיד בלבד.
 
7.מיקוד העניין במערכות ICS ו-SCADA
עם השגת הגישה ליעד סופי, התוקפים התמקדו בחיפוש וזיהוי של קבצי מידע העוסקים במערכות ICS או SCADA. שמות קבצים אלה מכילים בד"כ שמות של ספקים מתחומים אלה או מציינים פרטים על שימוש במערכות אלו בארגון, כגון"SCADA Wiring Diagram.pdf"  או "SCADA Panel Layouts.xlsx".
הרחבה ופרטים נוספים לגבי תקיפה זו ניתן למצוא - כאן.

דרכי התמודדות
מומלץ לנטר גישה לא מורשית של שרת ה-Web לאינטרנט או למערכות ארגוניות שאינן רלוונטיות.
מומלץ לנטר הוספה לא מורשית או שינוי של קבצים בשרת ה-Web.
מומלץ לעשות שימוש במנגנוני הזדהות חזקה הכוללים שני אמצעי זיהוי (2 factor authentication), עבור כל מערכת או שירות המאפשרים גישה מרחוק למערכות הארגוניות.
מומלץ לחסום שימוש בפרוטוקול SMB (פורטים, 445/139 TCP, ופורטים 137/138 UDP) בין הרשתות הארגוניות לרשתות חיצוניות אחרות בכלל, ולרשת האינטרנט בפרט. אם נדרש קישור מסוג זה משיקולים עסקיים, מומלץ לאבטחו באמצעות VPN עם הזדהות חזקה.