100 מיליון דולר בשנה: כך קבוצת SETTRA שיתקה את כלמוביל ☕

" הקפה של דורון " ☕☕ , קפה על הבוקר עם פוסט טכנולוגי\היסטורי\יזמי (הפוסט עלי- הקפה עליכם)

ציידי הצללים של הרשת: כך קבוצת הכופרה SETTRA מפרקת ארגוני ענק בלי דפיקות לב מיותרות

שמעו קטע, זה סיפור מטורף לגמרי. בזמן שכל האימפריות הגדולות כמו רוסיה, איראן וצפון קוריאה מנהלות מלחמות סייבר עצומות שמרעידות את כל החדשות, מתחת לראדאר ובדיוק בלב הבירות שלהן – מוסקבה, טהרן ופיונגיאנג – פועל עולם תחתון שלם של האקרים שעושים מה שבא להם בלי ללבוש שום מדים ובלי לבקש טובות מאף אחד- רק בתנאי אחד – חצי מהרווח הולך לרודן הבייתה. הקטע הכי הזוי הוא שהחבר'ה האלה מקפידים קוצו של חוד לעולם לא לגעת או לתקוף שום מטרה בתוך הערים שלהם עצמם, כי כמו שכל כלב יודע, היטב – לעולם אל תנשך את היד שמאכילה אותך ומגינה עליך בזמן שאתה גוזר קופון על כל שאר העולם.

מדובר בחבורה של חוליגנים דיגיטליים טהורים שחולבים מיליונים מקומבינות של סחיטה טהורה. המטרה שלהם היא אחת ויחידה: לדפוק קופה שמנה, להעלם מהשטח ולהשאיר את הקורבנות עם הלסת ברצפה. אחד השמות הכי לוהטים והכי מפחידים שקמו לאחרונה בשכונה האפלה הזו היא קבוצת הכופרה SETTRA, שהרימה פה מבצעים שהעמידו חברות ענק במקום. מישהו פה התחיל לזלזל, ואז קיבל סטירה מצלצלת שהשביתה לו את כל המערכות עד לרמה של שיתוק טוטאלי, כולל אותה פלישה מתוקשרת למערכות של כלמוביל, יבואנית הרכב הגדולה ביותר במדינה שלנו. תחשבו על זה רגע, איך חבורה קטנה של תוקפים מפרקת תוך כמה דקות חומות אש שעל מיליוני דולרים, ומשאירה חברות ענק מדממות בלב ים בלי שום כיוון אוויר.

כולם מוכנים? אז קדימה להדק את החגורות – אנחנו ממריאים !
היום נמריא אל הסיפור של קבוצת SETTRA שמגלגלת לפי הערכות מעל 100 מיליון דולר בשנה בסחיטות, ומלחמת הסייבר השקטה שלהם שגורמת למנהלי אבטחת מידע להתחיל לקחת כדורי שינה.

כדי להיכנס למטוס קודם כל צריך להבין את הרקע לכל העסק הזה, את הקרב האכזרי ואת הסודות האפלים ביותר של עולם הכופרה המודרני. בשנים האחרונות, עולם הפשיעה המקוונת השתדרג ברמות. במקום סתם לשתול וירוסים שזורקים הודעות שגיאה מטופשות על המסך, קבוצות כמו SETTRA מתנהגות כמו יחידות קומנדו מקצועיות לגמרי. הסיבות לקרב הזה הן פיננסיות פרופר, אבל ההיסטוריה המדעית מאחורי השיטות שלהם נשענת על שנים של פיתוח כלי פריצה מתקדמים שמנוצלים לרעה. התוקפים למדו שאם הם רוצים להרוויח בגדול, הם חייבים לנצל את החולשות האנושיות הכי בסיסיות בשילוב עם טכנולוגיה עיוורת. מבחינה היסטורית, כל משבר הסייבר הגדול של ימינו נולד מזה שחברות ענק חשבו שהן חסינות רק בגלל שהן שפכו תקציבים עצומים על חומות אש ישנות, בזמן שההאקרים פשוט מצאו את הדלת האחורית שמישהו שכח לנעול עם מפתח כפול. ההסבר המדעי מאחורי ההצלחה שלהם טמון בעובדה שהם לא תוקפים את המערכת פיזית, אלא מנצלים את הפסיכולוגיה של המערכת הממוחשבת ואת חוסר היכולת של בני אדם לנהל מורכבות עצומה בלי לעשות אפילו טעות אחת קטנה שחורצת גורלות.

כל האירוע מתחיל בדרך כלל שעות או ימים לפני שמישהו בכלל מרגיש שמשהו לא בסדר. הקבוצה הזו מתמחה בשימוש במה שנקרא כלי ניהול מרחוק חוקיים לחלוטין כמו MeshAgent, אבל הם עושים לו אופרציה מטורפת ומשנים לו את השם לקובץ תמים לחלוטין כדי לעבוד בעיניים על תוכנות הסייבר והאנטי-ווירוס הכי מתקדמות שיש. מבחינה מדעית, התוקפים מנצלים כאן את עיקרון האמון העיוור של מערכת הפעלה חלונות בדרייברים של עצמה. הם מעלים למערכת דרייבר פגיע וחוקי לחלוטין בשיטה שנקראת BYOVD, וברגע שהדרייבר הזה בפנים, הם מקבלים גישה ישירה לקרנל של המערכת, כלומר ללב הפועם של ניהול המשאבים. מהרגע שהם שם, הם מנטרלים ברגע אחד את כל תוכנות ההגנה וה-EDR ששומרות על הארגון, מוחקים את כל לוגי האבטחה כדי שלא ישאר שום זכר למעשים שלהם, ומריצים פקודות מתוחכמות שמוחקות את כל עותקי הגיבוי והצללים מהדיסק הקשיח. ברגע שאין גיבויים, החברה בעצם הפסידה בקרב עוד לפני שהיא הספיקה להרים טלפון לצוות החירום, והדרך סלולה ישירות להטלת מצור והצפנה טוטאלית של כל הנתונים תחת קבצים נעולים בסיומת סודית.

אז איך הם פורצים?
שמעו איזה תרגיל מלוכלך החבר'ה האלה מריצים ברשתות החברתיות, וכשהם שמים עין על איזה ארגון מטרה הם נכנסים ללינקדאין וחופרים לעומק עד שהם מוצאים מי קשור למי ומי מכיר את מי דרך רשת של חבר של חבר בתוך החברה. משם הם מרימים פרופיל מפוברק של חבר של חברה או משתלטים על חשבון אמיתי כדי ליצור אמינות מלאה, ואז הם זורקים עוקץ אישי וחלקלק כאילו מדובר בקולגה מהענף או במגייס בכיר שמציע פעימה עסקית חדשה. ברגע שהקורבן בלע את הפיתיון, הם שולחים לו קובץ תמונה JPEG או PDF שנראה כמו הצעת עבודה מפנקת או מסמך שכר רגיש מחבר שהוא סומך עליו בעיניים עצומות, רק שבפנים יש מטען חבלה דיגיטלי ! ברגע שהמסמך נפתח על המסך הנוזקה שיושבת לו בבטן מתחילה לעבוד בשקט, עוקפת את כל ההגנות ונותנת להאקרים מפתחות כניסה חלקים לכל השרתים של הארגון בלי שאף אחד יצייץ.

קורבן ממוצע משלם בין מיליון לבין 2 מיליון דולר על שחזור הקבצים, והרשימה היא ענקית! פשוט רשימה מטורפת של חברות קורבנות קבוצת הכופרה הזו הפילה ברשת שלה, החל מענקית הקמעונאות האסייתית DFI Retail Group שחטפה הדלפת ענק עם עשרות שנות ארכיון מיילים ורשומות רפואיות של עובדים, דרך חברות הנדסה ואנרגיה קריטיות כמו Passavant באירופה וחברת האנרגיה הלאומית בלאוס, ועד לענקיות תקשורת ותשתיות סיבים כמו Zayo Group בארצות הברית. הרשימה השחורה הזו כוללת גם את חברת האריזה השווייצרית-צ'כית Marvinpac CZ, סוכנות הרכב המסחרי Baltimore Freightliner שמזכירה בול את המכה שחטפה כלמוביל בארץ, חברת המזון האמריקאית Holly Poultry שממנה שאבו מאות ג'יגה של מידע פיננסי רגיש, וגם את ענקית הפארמה Natural Organics שהתכתובות של המנהלים שלה מצאו את עצמן בחוץ, מה שמוכיח שהחבר'ה האלה לא בררנים ודופקים קופה מכל עסק שזז בלי להניד עפעף.

ניתוח התוצאות ההיסטורי של התקיפות הללו מוכיח חד משמעית שרוב הארגונים פשוט לא בנויים להתמודד עם סוג כזה של לוחמה מתוחכמת. ברגע שחברה כמו כלמוביל או כל ענקית בינלאומית אחרת חוטפת מכה כזאת, הנזק הכלכלי והתדמיתי מתחיל להתגלגל כמו כדור שלג שאי אפשר לעצור. מבחינה היסטורית, ארגונים רבים ניסו פשוט להילחם לבד, אבל גילו בדרך הקשה שאיבוד נתונים או חשיפת מסמכים רגישים ברשת האפלה שוברים את האמון של הלקוחות לשנים קדימה. הלקח שנלמד מהאירועים הללו הוא שחברות חייבות לעבור ממודל של הגנה פסיבית למודל של ציד איומים אקטיבי, (שזה בדיוק מה שעושה XIILOCK החברה שהשקעתי בה- שמעלה התראות של "יום העצמאות" של נורות אדומות מיד עם הביט הראשון שזורם לא במקום – או למקום הלא "נכון" מאנשים "בטוחים") כי ההאקרים שם בחוץ לא ישנים לרגע, והם משכללים את השיטות שלהם בקצב מהיר פי כמה מכל מה שאיש אבטחה ממוצע יכול לדמיין לעצמו באמצע יום עבודה שגרתי במשרד.

אם אהבת את הפוסט או למדת משהוא סמן\י 👍, אם אתה חושב\ת שאני טועה \תוכן לא מתאים סמן 😶

להתראות
דורון