קמפיין איראני נגד גופים בישראל כלל טכניקות הסוואה וחדירה מתקדמות

תמונה: יחצ ESET

המאבק בין איראן וישראל במרחב הסייבר ממשיך להתקיים ולהתקדם ללא הפסקה והיום (ה') חושפת חברת ESET קמפיין חדש של קבוצת MuddyWater האיראנית, הנחשבת למקורבת לשלטון ולמשרד המודיעין האיראני. על פי המידע שפרסמה החברה, הקמפיין שנחשף כוון נגד ארגוני תשתית בישראל ומצרים.

על פי הממצאים, הקורבנות בישראל של מתקפת הסייבר כללו מגוון רחב של גופים, כגון חברות טכנולוגיה, גופים הנדסיים, מפעלי ייצור, רשויות מקומיות ומוסדות אקדמיים. היקף הפגיעה מעיד על מאמץ ממוקד לפגוע במערכות חיוניות ובארגונים בעלי השפעה מערכתית רחבה.

החוקרים מצאו כי הקבוצה עשתה שימוש בכלי תקיפה שלא תועדו בעבר, בהם דלת אחורית חדשה בשם MuddyViper, מספר גונבי סיסמאות מתקדמים, ומטען זדוני שהוסווה כמשחק מחשב פשוט. שילוב הכלים מצביע על יכולת גבוהה לשהות ממושכת ברשתות ארגוניות, לבנות תמונת מודיעין ולהעביר מידע רגיש מבלי לעורר חשד.

שיטת החדירה המרכזית: אימייל

לפי ESET, התוקפים שלחו הודעות המכילות PDF עם לינק שמוביל לכאורה לכלי תמיכה טכנית. בפועל, הקישור הוריד כלים זדוניים מאתרי אחסון פופולריים, שהותקנו על ידי הקורבן ללא תשומת לב לכך שהוא מתחבר לשרשרת תקיפה רחבה.

אחד הממצאים הבולטים הוא מטען זדוני שמתחזה למשחק נוסטלגי, אך בפועל משתמש בעיכובים יזומים ובטעינה ישירה לזיכרון כדי לחמוק מכלים שמבוססים על סריקות קבצים או התנהגות. כך הצליחו התוקפים לבצע גניבת מידע בלי להשאיר כמעט עקבות.

כל עדכוני ה-IT, תשתית וטכנולוגיה בערוץ הטלגרם של ITtime

בנוסף, הדלת האחורית שנחשפה איפשרה לתוקפים לאסוף פרטים מתוך המערכת, להריץ פקודות מרחוק, להוריד קבצים ולהעלות אחרים וגם לגנוב פרטי משתמשים מתוך הדפדפנים של הקורבן. ממצאי החקירה העלו כי בחלק מהמקרים קבוצת MuddyWater פעלה במקביל לקבוצה איראנית נוספת, מה שמעיד לטענת ESET על תיאום בין גורמי תקיפה שונים והרחבת היקף הפעולה למספר גזרות בו זמנית – מה שמחזק את החשד כי מדובר במערך תקיפה שמגובה על ידי השלטונות באיראן ולא סתם בפעולה עצמאית של הקבוצות.

"חשיפת הקמפיין ממחישה עד כמה קבוצות התקיפה האיראניות משקיעות בשיפור היכולות שלהן ובשכלול דרכי ההסוואה", אומר אבנר מימון, מנכ"ל קומסקיור, המפיצה של ESET בישראל, "השילוב בין כלים חדשים, התחזות מתוחכמת ותכנון מדויק של כל שלבי התקיפה הוא סימן אזהרה לכל ארגון שמפעיל מערכות חיוניות או מחזיק מידע רגיש. זוהי תזכורת לכך שמערכי ההגנה חייבים להיות רב שכבתיים ולכלול ניטור מתמשך, בקרה על הרשאות ומשמעת אבטחת מידע גבוהה. מדובר באיום שאינו רק טכנולוגי אלא גם אסטרטגי, ויש להיערך אליו ברמת הנהלה ולא רק ברמת מערכות המידע".