סין: מעצר למעלה מ-15 אלף פושעים קיברנטיים

ב-19 באוגוסט פורסם כי משטרת סין עצרה למעלה מ-15 אלף איש באשמת 7,400 מעשי פשיעה קיברנטית ובכלל זה פריצה והונאה. אולם פעילים טוענים כי פעילות זו קשורה במלחמתו הנמשכת של המשטר הסיני בדעת הקהל המקוונת.

העצורים הואשמו ב"פגיעה בבטחון הלאומי המקוון" וב"פגיעה בזכויות ובאינטרסים הלגיטימיים של הציבור הרחב". בכלל זה נמנו פריצות, הונאות וקידום הימורים מקוונים. במקרה אחד שכזה נעצרו שבעה האקרים אשר השתלטו על אתר חברה והציבו בו תוכן של הימורים מקוונים, לאחר מעשה התברר כי אלו פרצו ללמעלה מאלפיים אתרים.

עם זאת פעילים שונים מציינים כי ההגדרה "פשעי אינטרנט" רחבה מאוד במדינה והיא מאפשרת לממשל לפעול להצרת צעדי משתמשי האינטרנט וחופש הביטוי, תוך הכללת פעולות מקוונות פוליטיות או דיווחים על שחיתויות תחת הגדרה זו של "פשעי אינטרנט".

ארה"ב: הונאה של 46.7 מיליון דולר כתוצאה מהתחזות לעובד פנימי בחברה

חברת Ubiquiti Networks פרסמה ב-4 באוגוסט הודעה רשמית לרשות לניירות ערך בארה"ב לפיה היא גילתה ב-5 ביוני 2015 כי היתה קורבן להונאה פלילית במהלכה בוצעה התחזות לעובד החברה ובקשות כוזבות מישות חיצונית למול המחלקה הפיננסית של החברה.

הונאה זו הביאה לכדי העברת סכום מצטבר של 46.7 מיליון דולר מהחברה בהונג קונג לחשבונות ברחבי העולם בבעלות צד שלישי. עם היוודע הארוע החברה פתחה במהלכים במסגרתם הצליחה להחזיר 8.1 מיליון דולר מהסכום שהועבר. 6.8 מיליון דולר נוספים נמצאים כעת תחת צו מניעה משפטי וצפויים להיות מושבים לחברה, אשר פועלת להשיב אליה את יתרת 31.8 מיליון הדולרים. זאת בשיתוף פעולה עם הרשויות הפדרליות בארה"ב ואחרות.

החברה מסרה בהודעתה כי היא מוגבלת במידע אותו ביכולתה למסור, הואיל והארוע עדיין מצוי תחת חקירה. עם זאת החברה דיווחה כי סיימה ב-17 ביולי בדיקה ובה לא נמצאו עדויות כי מערכות החברה נפרצו, או כי היתה גישה למידע של החברה ובכלל זה מידע פיננסי. לפיכך נמסר כי החברה מאמינה שהיה זה ארוע בודד וכי לא נפרצו מערכות המידע שלה ואין חשש למעורבות פלילית של העובדים בהונאה זו.

מתקפת Malvertising נגד שרות המודעות של Yahoo

חברת המחקר Malwarebytes פרסמה ב-3 באוגוסט כי במהלך החודשים יוני ויולי נרשמו שיאים חדשים בהתקפות מסוג malvertising – מתקפות העושות שימוש בהודעות פרסומת באתרים השונים, תוך ניצול רשת המודעות של !Yahoo. הודעה על כך נמסרה לחברה אשר נקטה בצעדים מיידיים לעצור את המתקפה.

המתקפה החלה ב-28 ביולי ובשל היות האתר מוקד ל-6.9 מיליארד מבקרים בחודש, היתה זו אחת מהמתקפות הגדולות ביותר מסוג זה בה נתקלה לאחרונה חברת המחקר.

פרשת JP Morgan

בסוף אוגוסט 2014 פורסם דבר פריצה למערכות המחשב של לפחות חמישה בנקים גדולים בארה"ב ובכללם JPMorgan, תוך גנבת "ג'יגות של מידע". באוקטובר הסיפור קיבל מימדים מוחשיים, מדהימים, כאשר התברר שבפריצה למערכות המחשב של JPMorgan  נגנבו פרטיהם של 76 מיליון משקי בית ו-7 מיליון עסקים קטנים מבין לקוחות הבנק. הארוע הוגדר כאחד "מבין הפריצות הגדולות ביותר בכל הזמנים", תוך הפניית האשם לעבר ממשלת רוסיה או להאקרים רוסיים.

הבנק מסר כי הפריצה השפיעה על לקוחות אשר עשו שימוש באתר הבנק ובאפליקציות הסלולריות שלו וזו הביאה לגנבת מידע אשר כלל שמות, כתובות, מספרי טלפון, כתובות דוא"ל ועוד. אולם נטען כי לא נמצאו עדויות לכך שנגנב מידע פיננסי של הלקוחות. כלומר מספרי החשבון, סיסמאות ומספרי הביטוח הלאומי של אלו לא דלפו בפריצה.

כעת מתברר כי ככל הנראה לא בהכרח היה צורך במידע הפיננסי כדי להביא מחד גיסא רווח כספי לפושעים למול אובדן ונזק ללקוחות. מהפרשה שנחשפה ב-21 ביולי מתברר כי קבוצה בת חמישה (אשר שניים מהם מישראל) גרמה להונאה באמצעות הרצת מניות.

מהדיווחים השונים עולה כי בין השנים 2011 ו-2012 (דיווחים אחרים מתארכים זאת עד לעת האחרונה) בוצעה מניפולציה על ידי שני הישראלים, על פעילותן של לפחות חמש מניות שונות, אשר הביאה להם רווח של לפחות 2.8 מיליון דולר. זאת באמצעות שיטת הונאה אשר תוארה כ-“pump-and-dump” בה בוצעה מלאכת ניפוח ערכי המניות, בין השאר באמצעות משלוח מיליוני הודעות דוא"ל המעודדות את הקורבנות לרכוש "מניות חמות".

פעולה זו הביאה לעליה בערכן של המניות, אשר מכירתן הביאה רווח לנוכלים והפסדים למשקיעים. עוד נטען כי את הרווחים העבירו והלבינו אותם השניים שנעצרו בארה"ב.

ההנחה הראשונית המתבקשת היא כי הרשומות הרבות אשר נגנבו במהלך פריצה זו שימשו כר לביצוע פעולת הרצת המניות באמצעות משלוח הודעות דוא"ל ללקוחות הרלבנטיים, אולם לפחות לפי הידוע עד כה מאמצעי התקשורת הרי שהודעת הבנק על הפריצה נמסרה באוקטובר 2014 בעוד שמלאכת הרצת המניות החלה כבר ב-2011.

פרשה זו נראית כהונאה וכהרצת מניות תוך שימוש באינטרנט לשם כך, מידת הקשר בין זו לבין הפריצה למחשבי JP Morgan וגניבת הרשומות, מעורפלת לפי שעה; בתקשורת נמסר כי העצורים "קשורים בפריצה", וכי לדברי גורמים אשר שמרו על עילום שם, הרשויות חושדות כי חלק מהעצורים – וכן האדם החמישי שטרם נעצר – "מעורבים בפריצה" וב"גניבת המידע".

אולם בבקשת המעצר בישראל מיום 22 ביולי אין כל עדות ממשית לקשר לפרשת הפריצה. הדבר היחיד במסמך זה אשר יכול לקשר את שתי הפרשות טמון אולי בסעיף 2 המתאר את העברות בגינן מבקשים שלטונות ארה"ב את מעצר השניים. הסעיף השישי מבין השבעה מתייחס ל"גניבת זהות בנסיבות מחמירות".

 

לפי שעה ומהגלוי עד כה בפרשת הרצת המניות המהווה את ליבו של השיח התקשורתי, נראה כי בפרשה זו שימש האינטרנט אחת מהפלטפורמות להרצת המניות. אולם נראה כי אין בזו כל עיסוק בפריצה, פשיעה קיברנטית וכדומה. מה סוג הקשר בין שתי הפרשות ? האם הפריצה למחשבי הבנקים היתה זמן רב לפני שהתגלתה ושימשה בסיס לפעילות הרצת המניות ? אין ספק כי הזמן הקרוב יחשוף פרטים נוספים אודות שתי אלו.

Dyre – נוזקה מתוחכמת התוקפת בנקים ברחבי אירופה

ב-14 ביולי פורסם מחקר של חברת IBM בדבר סוס טרויאני בשם Dyre אשר תקף עד כה 17 בנקים ספרד, כאשר זהו עדכון חדש המרחיב את יכולותיה של נוזקה זו, אשר בגרסתה הקודמת תקפה רק 3-5 בנקים שמקורם בספרד, ככל הנראה כניסוי כלים לפני ביצוע המתקפה האמיתית אשר כללה גם בנקים במדינות דוברות ספרדית ובכללן צ'ילה, קולומביה וונצואלה. דבר אשר כלל אינו מפתיע בהתחשב בעובדה כי הספרדית היא השפה המדוברת השניה בתפוצתה בעולם.

אולם נוזקה זו תקפה ברחבי אירופה בראש ובראשונה בבריטניה, צרפת ולאחריה בספרד, פעילת שהסבה לחברות בספרד נזקים בשווי 14 מיליארד אירו מפשיעה קיברנטית בשנת 2014.

שמה של הנוזקה נגזר מהמשפט “I am Dyreza” אשר נמצא בשורות הקוד ומהווה פעילות מסוג RAT אשר החלה במחצית שנת 2014. בזמנו מטרתה היתה רק להאזין לפרטי גישה מוצפנים, אולם מאז היא התפתחה במהירות ובאופן אגרסיבי הן טכנית והן פשיעתית, דבר ההופך את הנוזקה לאחת מהמתקדמות ביותר הפעילות כיום בשל יכולותיה הרחבות והעדכונים המתמידים שלה אשר נועדו לחמוק ממנגנוני גילוי שונים ובכללם אנטי וירוסים.

ההנחה היא כי העומדים מאחורי נוזקה זו אינם חובבנים ולאור התשתית, כוח האדם, הידע באתרי בנקאות ושיטות אימות, זוהי קבוצה סגורה הנתמכת במשאבים, נסיון וידע, האופייניים לקבוצות פשיעה קיברנטית. קבוצות אלו אינן חולקות ידע ומשאבים ואינן מוכרות את הנוזקות שלהן, זאת לצד זהירות מופלגת בהוספת חברים לקבוצה. הקבוצה המדוברת נבדלת מהאחרות בשל מטרות האיכות אותן בחרה, לפחות חצי מיליון דולר בכל ארוע.

תקיפות אלה מהוות שילוב בין APT והונאה, במהלכן השיגו הפורצים מודיעין על ארגון היעד, תוך השקעת משאבים בפריצה למערכותיו והנחת התשתית לפעילות ההונאה לפני ביצוע העברת הכספים הנרחבת.

הקבוצה כללה צוות אשר עסק בהונאה מסוג 'הנדסה חברתית' בשפה ובמבטא המדוייק בהתאם לבנק.

Dyre Wolf – Flow of Events of Targeted Wire Fraud Attacks

לצידם היו ה"פועלים" אשר הפעילו את ההונאה עצמה במשמרות בין הימים שני ושישי, משעות הבוקר ועד הערב בהתאם לאזורי הזמן בארה"ב, לצד קבוצה יעודית שעסקה בהונאות הגדולות, חשבונות בנק והעברות כספים גדולות במיוחד בין 500 אלף דולר ל-1.5 מיליון דולר להעברה. הואיל וההונאות הגדולות מתבצעות תוך כדי מבצעים קטנים אחרים, ההנחה היא כי קיימת הפרדה בין פעילות הצוותים השונים.

הנחה נוספת של המחקר היא כי הצוות ממוקם באוקראינה או ברוסיה, זאת בהתבסס על שעות העבודה והעובדה כי 80% מהשרתים של הנוזקה מצויים בכתובות IP במדינות אלה.

עוד מגלה המחקר כי עוצמת הנוזקה ביכולתה לשנות את התנהגות הדפדפן באופן מיידי וספציפית בהתאם לבנק שמשמש יעד לתקיפה, תוך משלוח הקורבן לעמוד אינטרנט מזוייף אשר הוכן לשם כך מבעוד מועד על ידם, ושמירת חיבור ה-SSL עם הבנק פעיל, רק על מנת ליצור מצג שווא של אתר אמיתי ומאובטח של הבנק. כאשר המניפולציה על עמוד הבנק מבוצעת באופן דינמי.

תפוצת הנוזקה במהלך החודש החולף, ממקמת אותו שני לאחר הנוזקה Neverquest המהווה נוזקה מסחרית רחבת שימוש;

Top Ten Most Prolific Advanced Malware in Past 30 Days (IBM Security Data)

מומחי החברה ממליצים לבנקים להזהיר את לקוחותיהם בתחום הבנקאות המקוונת ולבקש מהם לדווח על כל דוא"ל חשוד ולפעול עם ספק שרותי מניעת ההונאה שלהם כדי לצמצם את סיכוני הנוזקה ככל שניתן.

הסגרת אזרח תורכי לארה"ב המואשם בפשיעה קיברנטית

ב-24 ביוני פורסם כי האזרח התורכי Ercan Findikoglu הוסגר לארה"ב וצפוי להיות מואשם בתכנון מתקפת סייבר אשר גרמה להפסד של 55 מיליון דולר בשל פריצה שביצע למחשבי שלוש חברות של עיבוד תשלומים וזאת על מנת להעלות את סכום ההגבלה בכרטיסי תשלום נטענים.

לדברי התובע הפדרלי בברוקלין, לאחר הגנבה הוא מכר את המידע לאנשים אשר משכו סכומי כסף גדולים ממכשירי ATM עוד בטרם גילו החברות את דבר הפריצה.

Findikoglu נעצר בגרמניה בשנת 2013 ונלחם במשך 18 חודשים בהסגרה.

כופרה אילצה משפחה קנדית לשלם 2,500 דולר

ב-23 באפריל פורסם על מקרה בקנדה בו מחשב משפחתי הודבק בכופרה אשר דרשה סכום השווה ל-2,500 USD בתמורה לשחרור התמונות המשפחתיות.

כשהמחשב של Angele Bisaillon הציג הודעה ובה היא התבקשה לשלם 3 ביטקויין השווה ערך ל-1,500 USD, במידה והיא רוצה גישה לתמונותיה הואיל והגישה אליהם הוצפנה, היא חשבה שמחשבה הודבק בוירוס. במעבדת המחשבים הטכנאי עזר לה לשלם את הכופר ואז התברר כי על הקבצים היתה כופרה נוספת אשר אילצה אותה לשלם שני ביטקויין נוספים לשחרור מוחלט של הקבצים. אולם גם לאחר התשלום הכולל של 2,500 USD המשפחה לא קיבלה בחזרה את הגישה לקבצים אלו.

על סמך נתוני המרכז הקנדי ללוחמה בהונאה, מספר ההונאות במחוזות אונטריו וקוויבק גדול פי ארבע מביתר המחוזות, כמו גם הסכום ששולם ככופר.

מומחה אבטחת מידע ריכז מספר המלצות במטרה להמנע מחשיפה לנוזקות שכאלה;

  • יש לגבות את הקבצים לעיתים קרובות, אך בזהירות.
  • לא להשאיר את הכוננים החיצוניים מחוברים למחשב באופן קבוע הואיל וניתן לפגוע בקבצים שעליהם או להצפינם.
  • במידה והמחשב הודבק, לא לחבר מחדש את הכונן עד אשר תוודא שהמחשב נקי מהנוזקה.
  • חשוב לגבות את המידע המצוי בענן, אולם נטען כי במידה ואפשרות הסכנרון פעילה תמידית, אנו "מזמינים פנימה את הנוזקה", לפיכך יש הגורסים כי עדיף לכבות את האפשרות של סנכרון אוטומטי של הקבצים.
  • במידה ועולה החשד כי המחשב הודבק, יש ליצור עותק מהכוננים החיצוניים ליתר בטחון.
  • לא להקיש על קישורים לאתרים בלתי מוכרים וכאלה המציעים צפיה בחינם בטלביזיה, או לפחות לפתח מודעות לסכנה שבדבר, זאת הואיל ונוזקות מופצות באמצעות פעולות של שיטוט אינטרנטי.
  • עוד נטען כי מחשבי אפל אינם מוגנים טוב יותר מאחרים, אלא מספרם הנמוך יחסית ברחבי העולם גורם לכך שהאקרים לא נוטים להקדיש מאמציהם ליצירת וירוסים עבור Mac.

רוסיה: מעצר חשוד בהפצת הנוזקה Spveng

ב-16 באפריל פורסם כי רשויות הבטחון ברוסיה עצרו צעיר בן 25 באשמת יצירת נוזקה מבוססת אנדרואיד בשם 'Spveng' שמטרתה גנבת כסף, תוך התייחסות לכך כי זו הדביקה כ-350 אלף מכשירים במהלך השנה שעברה לאחר שהתגלתה ביולי 2013 על ידי חברת קספרסקי אשר זיהתה את הנוזקה בשם SMS.AndroidOS.Svpeng.

פעילות זו גרמה דאגה רבה למשטרת רוסיה הואיל ובעטיה נגנבו כ-930 אלף דולר מאזרחי המדינה ומהבנק הגדול במדינה, עם זאת גם בארה"ב וברחבי אירופה התקבלו דיווחים על פגיעתה.

נטען כי קבוצת הפושעים החלה לגנוב כספים מהקורבנות באמצעות משלוח מיסרונים. עם הדבקת המכשיר, החלה הנוזקה לעקוב אחר משלוח כל המסרונים מהמכשיר הנגוע ואז עשתה שימוש במסרונים אלו לבנקים השונים כדי לשלוח הנחיות להעברת כספים, באמצעות מעקב של הנוזקה אחר קודי אישורי התשלום, זאת כדי לוודא שהעברת הכספים תבוצע מבלי לעורר חשד.

לשם הפצת הנוזקה נשלח למכשירי היעד קישור מזוייף של Adobe Flash Player באמצעות מסרון. משעה שנפתח הקישור הוא איפשר הורדת נוזקה וחיפוש אחר אפליקציות של בנקים אמריקאיים דוגמת של Wells Fargo, Citi Amex, Chase, Bank of America. אולם נמסר כי אין הוכחה בדבר מטרת האפליקציה משעה שבוצעה הסריקה.

האם האקרים תורמים כספים שנגנבים מפריצה לחשבונות ישראליים ?

ב-4 אפריל פורסמה הודעה בחשבון פייסבוק המזוהה עם AnonGhost ובה הטענה כי הם תורמים כספים אשר נגנבים מישראלים באמצעות גנבת פרטי האשראי שלהם;

Capture90

 

טענה להונאת פישינג נגד לקוחות אמריקאן אקספרס

ב-29 במרץ פורסם על הודעת דוא"ל שנשלחה ללקוחות American Express המזהירה אותם לכאורה מפני "פעילות לא שגרתית" בחשבונם. אלו נדרשו להקיש על קישור בגוף ההודעה ולהזין את פרטיהם ופרטי חשבונם בחברה בעמוד יעודי מזוייף שהוכן לשם כך על ידי שולחי המייל, וזאת על מנת לכאורה לאבטח את חשבונם מפני פורצים.

הודעה על כך נמסרה מהלקוחות אשר קיבלו מייל זה מכתובת מזוייפת של החברה, אולם לפי שעה לא נמצאה עדות לאחר באתר החברה, בחשבון הטוויטר או הפייסבוק שלה.

הכתבה כוללת שלושה צילומי מסך אשר נטען כי היו חלק מהונאה זו;

american-express-users-hit-with-ununsual-activity-phishing-scam-1

american-express-users-hit-with-ununsual-activity-phishing-scam-2

american-express-users-hit-with-ununsual-activity-phishing-scam-3

הפשיעה הקיברנטית במזרח התיכון

ב-18 במרץ פורסמה ידיעה לפיה הפשיעה הקיברנטית היא הפשיעה הכלכלית השניה בתפוצתה במזרח התיכון.

הידיעה מתייחסת לקבוצות דוגמת Desert Falcons אשר תקפה למעלה מ-3,000 ארגונים וגורמים פרטיים בעלי חשיבות רבה באזור וגנבה יותר ממליון קבצים. לטענת ה-Center of Strategic and International Studies, הפשיעה הקיברנטית גורמת לנזקים ברחבי העולם בהיקף של 445 מילארד דולר בשנה, כאשר הנזקים במזרח התיכון מוערכים בין 1 ל-100 מיליון דולר.

לדברי ראש מחלקת האבטחה ב- BT Middle East and Africa, על החברות להשקיע ביצירת סביבה מאובטחת בה יהיו האנשים, התהליכים והטכנולוגיות הנדרשות להאבק בהאקרים אלו.

שיעור הפשיעה הקיברנטית באיראן הכפיל את עצמו בשלוש השנים האחרונות

ב-2 במרץ מסר Ali Niknafs, מנהל המרכז האיראני למעקב ומניעת פשיעה קיבנרטית, כי במהלך שלוש השנים האחרונות פשיעה זו הכפילה עצמה במדינה. ההודעה נמסרה בשולי ועידת אבטחה קיברנטית שהתקיימה בעיר משהד ובה מסר הבכיר כי פשעים אלו מבוצעים על פי רוב על ידי הדור הצעיר, בעיקרם בגילאי 16-17.

לדבריו, מרבית הארועים מבוצעים ממניעים כלכליים וכי 80% מהמקרים כוללים פריצה לחשבונות בנקים. עם זאת, הוסיף הבכיר כי 91% ממקרי הפשיעה הקיברנטית המבוצעים במדינה, מזוהים על ידי שרותי הבטחון. שנה קודם לכן נמסר כי משטרת הסייבר מצליחה לסכל 80% מהפשעים המתבצעים במרחב הוירטואלי, 81% מהפשעים הקיברנטיים באיראן קשורים לפשיעה פיננסית וכי משטרת הסייבר במדינה סגרה מאות אתרי הימורים.

בתוך כך נמסר כי מרכז פיקוד האבטחה הקיברנטית של משמרות המהפכה לחקירת פשיעה מאורגנת, הצהיר ב-1 במרץ כי בכוונתו לחשוף את היות הפייסבוק ככלי ל"פשיעה מוסרית מאורגנת". בהודעה נמסר כי עלה בידו לנטר פעילותם של שמונה מיליון משתמשי פייסבוק תוך שימוש במיזם פיקוח המכונה Spider, דבר שהביא למעצרים בהאשמות שונות ובכלל זה פגיעה בקודשי הדת וביצוע פעולות לא מוסריות. בנוסף, בחודש פברואר 2015 עצרה היחידה מספר משתמשי פייסבוק באשמה כי הפיצו שחיתות וחתרו תחת אורח החיים האסלאמי במדינה, ההודעה מסרה כי העצורים – אשר נטען כי נתמכו על ידי ממשלות זרות – יצרו 350 עמודי פייסבוק במשך שנתיים.

כדי להעמיק את ההתמודדות עם הפשיעה הקיברנטית, נמסר על כוונה לנטר את הפעילות ברשתות דוגמת Instagram, Viber, WhatsApp במהלך החודשיים הקרובים. אולם אין זו ההודעה הראשונה בעניין זה; כבר בספטמבר 2014 דווח על הנחיית התובע הכללי לשר התקשורת ובו קבע כי שרותי מסרים דוגמת Viber, WhatsApp ו-Tango מנוהלים על ידי יישויות זרות העויינות את הרפובליקה האסלאמית והקציב לשר התקשורת וטכנולוגית המידע חודש על מנת "לנקוט בפעולה מיידית ובהכנות הטכניות הנדרשות לסגירה ופיקוח על המידע" בשרותים אלו, תוך איום כי אם הדבר לא יבוצע בפרק זמן זה, מערכת המשפט תנקוט בצעדים הנדרשים בהתאם לחובותיה לשם פיקוח על הרשתות החברתיות. כמו כן, ידיעות על כוונה לחסום מיידית את LINE, WhatsApp,Tango פורסמו בסוף ינואר השנה.