לפני הכל, רציתי לכתוב שהגליון הזה מוקדש, איך לא, לספיר פדרובסקי, שהגליון הקודם היה הגליון האחרון שלה כחברת מערכת.

ספיר - תודה ענקית על כל הזמן שהשקעת במגזין כעורכת, על כל השעות, הלילות, הסופ"שים ומה לא, שנתת כדי לשפר ולחזק את הקהילה הקטנה שיש לנו בארץ. תודה שלקחת חלק משמעותי בתחזוקת החלום הזה תקופה כל כך ארוכה ועל שעשית את זה באמת מכל הלב שלך, בצורה כל כך מקצועית וחסרת פשרות, תודה על שנתת את הלב שלך למגזין!

אח... חודש אוגוסט, חודש הכנסים הגדולים בווגאס! בתור עורך של מגזין בתחום, זה קשה שלא לכתוב על הכנסים האלה, הייתי יכול לכתוב על הייצוג הישראלי המשמעותי (הן בכמות המשתתפים והן בכמות המרצים), על כמה תחום ה-AI תפס חלק נכבד מהתוכן (אפילו נערך ה-CTF הראשון לסוכני AI!(, על חולשות או הרצאות ספציפיות שהיו בכנסים ובטח על עוד דברים. אבל אני מאמין שבקרוב (ואולי כנראה, בזמן שאתם תקראו את המילים האלה זה כבר יהיה בעבר) כל אתרי החדשות בתחום הטכנולוגיה יהיו מלאים בשלל כתבות וכותרות מפחידות על מה ההאקרים עשו הפעם, ואיך ה-AI יישתלט על העולם ממש אוטוטו. אז נראה לי שאם אכתוב על משהו אחר זה יהיה עדיף :)

החודש בחרתי לכתוב על סיפור ספציפי שתפס לי את העין, בעיקר כי אני מרגיש שיש בו חידוש משמעותי הן ברמת הגישה שבה נקטו החוקרים, והן ברמת הבשורה והפוטנציאל שאותה גישה מביאה לשולחן.

איפשהו לקראת אמצע החודש, פורסמו תוצאות של פעילות סייבר הגנתית מאוד מרשימה ויצירתית. שני החוקרים Mauro Eldritch ו-Heiner García מהחברות BCA LTD ו-NorthScan, בשיתוף פעולה עם החברה ANY.RUN, הקימו סימולציה של רשת ארגונית שלמה על גבי תשתיותיה הוירטואליות של ANY.RUN. לאחר מכן הם הצליחו להשכיר את שירותי ההאקינג של מספר האקרים צפון קוראניים המזוהיים עם קבוצת התקיפה Lazarus (קבוצת תקיפה הפועלת מטעם צפון קוריאה עצמה, וכבר כתבנו עליה לא פעם במגזין), במטרה לנטר את שיטות העבודה של אותה קבוצה.

קבוצת התקיפה הזו, ובפרט תת-מחלקה בה, המכונה "Famous Chollima" ידועה בכך שהם מגישים קו"ח שפוברקו ב-AI ע"פ הדרישות שחברות כוח האדם (בעיקר אמריקאיות) מחפשות, עוברים את ראיונות הקבלה באמצעות AI (בהרבה מקרים באמצעות שימוש ב-DeepFake), מקבלים גישה לרשת החברה ואז גונבים קוד, ארנקי ביטקוין, מאפשרים גישה להאקרים נוספים לגשת לרשת מרחוק. האקרים אלה מבצעים תקיפות נרחבות יותר לעיתים על מנת לנצל את משאבי החברה, ולעיתים על מנת להצפין את הנכסים שלה ולבקש כופר.

מה שאותם חוקרים עשו זה לפרסם מודעות דרושים עבור חברה פיקטיבית שהם הקימו בשםBallena Azul, וסיננו אותם עד שהם הגיעו לחשבונות שנחשדו כאלה המזוהים עם אותה קבוצת תקיפה (זוהו ע"י סימנים כגון סירוב לפתוח את המצלמה בכל מני טענות, זיהוי שימוש ב-DeepFake במידה וכן היה שימוש במצלמה, הפרשים משמעותיים בין יכולות הההתבטאות בכתב לעומת הדיבור, התחמקות ממבחניLive Coding שבוחנים כתיבת קוד בזמן אמת ועוד). ודווקא אותם גייסו לחברה ונתנו להם גישת VPN לאותה הסימולציה.

ההאקרים שנפלו בפח, לא ידעו שהם מחוברים לסימולציה, והניחו שהם עובדיה החדשים של חברה אמריקאית ברת-מזל. הם תועדו מריצים כלים וסריקות ממחשביהם, מנסים להשיג גישות לעומק הרשת עוד ועוד. מהקריאה של הדו"ח לא נראה שימוש בכלים ייעודיים (או לפחות זה מה שפורסם), אלא בכלים דו-שימושיים (כגון AnyDesk לטובת אפשור גישה להאקרים נוספים).

הממצאים של המחקר הם בין היתר זהויותיהם אמיתיות של חלק מהתוקפים, שיטות וכלי העבודה שבהם השתמשו, כתובות IP, חשבונות אמיתיים ופיקטיביים, תשתיות VPN ועוד. ממצאים נוספים מהמחקר הם חשיפת רשת הקישוריות הפנימית (שאפשרה להאקרים שנמצאים בצפון-קוריאה להתחבר לשיחות ולחברות מכתובות IP אמריקאיות), דרכים לזהות ולאפיין חשבונות פיקטיביים או מרואיינים פיקטיביים, זיהוי ספקי התקשורת המשמשים להסוואה (לדוגמא, זוהה שנעשה שימוש כמעט בלעדי ב-VPN של חברת AstrillVPN). עם זאת, לא נחשפו חולשות של קבוצת התקיפה.

החוקרים כתבו שרשת העובדים והתשתיות שלהם הוקמו בצורה כל כך מקצועית, עד שכנראה אין שום סיכוי שחברות כוח אדם "רגילות" שמגייסות לחברות האמריקאיות - היו שמות לב לזה שמדובר בהאקרים צפון קוריאנים שעושים שימוש בחשבונות פיקטיביים.

הדו"ח פורסם בשני חלקים, והם נמצאים כאן וכאן, החלק הראשון כולל תיעוד של ראיונות הגיוס עם התוקפים, והחלק השני בעיקר על איך החוקרים למדו על שיטות העבודה שלהם. ממליץ בחום לקרוא אותם!

אגב, ממש במקביל, חברת צ'ק-פויינט הישראלית חשפה החודש ממצאים מקמפיין תקיפה שהיא מכנה "Operation Dream Job", שבוצע ע"י Lazarus, אך במקרה הזה החוקרים הצליחו לזהות כלים, חולשות (חלקן אפילו 0days), שיטות טעינה לזכרון, וגם גרסה חדשה של הכלי שלהם ל-Post Exploitation בשם FudModule v3.1.

אז תקיפות של Lazarus זה לא משהו חדש. וזה שהם מנסים להתחבר לרשתות ארגוניות באופן "לגיטימי" על ידי קבלה לעבודה באותן חברות שהן המטרה שלהם - זה גם לא חדש. אבל מה שחדש (יחסית) זה ביצוע ניטור של אותה קבוצה בצורה מבוקרת. זאת הגנה פרו-אקטיבית, שמחדשת את הגישה הקלאסית של "בואו נחקור מקרים אמיתיים שבהם הצלחנו לזהות את תקיפה של קבוצה X" והופכת אותה ל-"בואו נכין מעבדה ונפיל את ההאקרים בפח כדי ללמוד עליהם".

זה נכון שהגישה שצ'ק-פויינט השתמשה בה הצליחה להניב יותר תוצאות ברמה הטכנולוגית (חולשות, כלים וכו'), לעומת הגישה של החוקרים Mauro Eldritch ו-Heiner García שלא הצליחה להשיג בפועל טכנולוגיות חדשות של אותה קבוצת תקיפה. אך כלים, וגם חולשות, אפשר כמעט תמיד לכתוב מחדש. עם זאת, מעטים מאוד המקרים שבהם מצליחים לשייך תקיפה לא למדינה ספציפית - אלא ממש לאדם ספציפי. וזה משמעותי עוד יותר.

מעניין אם בזמן הקרוב נשמע על עוד חברות המאמצות גישה פרו-אקטיבית בתחום ההגנתי. נשמע כמו רעיון עם פוטנציאל מבטיח מאוד. נקודה שיכולה לגרום לשיטה הזאת לא לעבוד היא העניין המשפטי והחוקי, וכביכול, סביר שניתן למצוא סעיף או שתיים ששני החוקרים וחברת ANY.RUN עברו עליהם. עם זאת, בהרבה פעמים כשמדובר בצפון קוריאה או סין, אפשר לראות שהחוק האמריקאי מעט מתגמש :)

עד כאן בנוגע לסיפור הזה, מעניין עד היכן הוא יתפתח.

וכמו שיכולתכם לנחש מההקדמה לדברי הפתיחה: המשרה של ספיר כעורכת כרגע פנוייה. אז אם את או אתה חושבים שאתם מספיק רציניים, ומוכנים להשקיע אחת לחודשיים לא מעט מהזמן הפנוי שלכם, לא לקבל שום משכורת בתמורה. אבל כן לקבל הזדמנות לצלול לעומק של המאמרים שמתפרסמים במגזין, לעזור באופן אקטיבי לכותבים להביא רעיונות בוסריים לכדי מאמרים מוגמרים ומרשימים, להיות בקשר עם הכותבים או החוקרות שמאיישות את השורות הראשונות שיש לנו בארץ בתחום אבטחת המידע, ובכלליות - לקבל סיפוק אדיר מקידום הקהילה שלנו ע"י הנגשת הידע והמחקרים החדשים בתחום גם לצעירים שרק מתחילים את דרכם - תרגישו חופשיים לפנות אלי דרך הטופס שבאתר או המייל שבעמוד האחרון של הגליון, ואני אצור איתכם קשר.