מתקפה כפולה - שתי קבוצות כופר תקפו ארגון במקביל

יום ג', 22 במרץ 2022

 

סופוס, הפעילה  באבטחת סייבר פרסמה ממצאים אודות מתקפת כופר במסגרתה הודעות הסחיטה שהשאירו מפעילי תוכנת הכופר Karma הצפנו 24 שעות לאחר מכן על ידי Conti- כנופיית מתקפות כופר ששהתה ברשת הקורבן באותו הזמן בדיוק.

המחקר שפרסמה סופוס על המתקפה הכפולה  Conti and Karma Actors Attack Healthcare Provider at Same Time Through ProxyShell Exploits”מסביר כיצד מפעילי ההתקפות השיגו גישה לרשת דרך שרת Microsoft Exchange  שלא עודכן, אבל לאחר מכן השתמשו בטקטיקות שונות כדי להוציא לפועל את ההתקפות.

"לחטוף פגיעה כפולה ממתקפות כופר הוא תרחיש אימה עבור כל ארגון. לאורך רצף הזמן המשוער היו בערך 4 ימים בהם תוקפי Conti  ו-Karma  היו פעילים במקביל בתוך רשת הקורבן. הם נעו אחד מסביב לשני, כשהם מורידים ומריצים קוד, מתקינים beaconsשל Cobalt Strike, אוספים ומחלצים נתונים, ועוד", אמר שון גלגאהר (בתמונה), חוקר איומים ראשי, סופוס. "Karma  הפעילה ראשונה את השלב הסופי של ההתקפה שלה, כשהיא משאירה הודעת סחיטה במחשבים עם דרישה לתשלום בביטקוין בתמורה לאי-פרסום נתונים שנגנבו. לאחר מכן פגעה Conti, כשהיא מצפינה את נתוני הקורבן באמצעות מתקפת כופר מסורתית יותר. בהשתלשלות המוזרה של הדברים, הודעות הסחיטה של Karma  הוצפנו על ידי Conti".

"ראינו מספר מקרים כאלה לאחרונה, בהם גורמי ההפצה של תוכנות כופר, כולל מפיצים של Conti, השתמשו בחולשות של ProxyShell  כדי לחדור לרשותות של מטרות. ראינו גם דוגמאות של מספר גורמים הפורצים דרך אותה חולשה כדי להשיג גישה לקורבן. עם זאת, רק במעט מהמקרים נצפו קבוצות כופר תוקפות את הקורבן במקביל. הדבר מראה עד כמה אופק איומי תוכנות הכופר הפך לתחרותי וצפוף".

מתקפה כפולה

סופוס מאמינה כי האירוע הראשון החל ב-10 באוגוסט, 2021, כאשר תוקפים, כנראה גורמים המתמחים בהשגה ומכירה של גישה ראשונית (Initial Access Brokers) השתמשו בחולשת ProxyShell  כדי להשיג גישה לרשת ולבסס נוכחות בשרת הפגוע. החקירה של סופוס מראה כי כמעט 4 חודשים עברו לפני ש- Karma  הופיע ב- 30 בנובמבר, 2021, כשהוא מחלץ אל הענן יותר מ- 52 גיגהביט של נתונים.

  • תוקפי Karma  העלו את הודעות הסחיטה ב- 20 מחשבים, עם דרישת הכופר והסבר כי הם לא הצפינו את הנתונים מכיוון שמדובר בארגון שהוא ספק שירותי בריאות.
  • Conti  פעל בשקט ברקע כשגם הוא מחלץ נתונים
  • הארגון הכניס את צוות התגובה של סופוס לזירת האירועים כדי לסייע עם Karma

כאשר סופוס נכנסה למעגל התגובה, Conti  הפעילו את תוכנת הכופר ב-4 בדצמבר, 2021. סופוס איתרה את מקור ההתקפה של Conti  בחולשת ProxyShel  אחרת שנוצלה ב- 25 בנובמבר, 2021.

"בין אם הפורץ הראשוני מכר את הגישה לשתי קבוצות כופר שונות, או ששרת ה- Exchange הפגוע היה פשוט מטרה חסרת מזל למפעילי תוכנת הכופר, העובדה כי התאפשרה התקפה כפולה היא תזכורת חזקה לצורך לעדכן פגיעויות עם קישוריות לאינטרנט בהקדם האפשרי", אמר גלגאהר. "עומק הגנתי הוא חיוני כדי לזהות ולחסום תוקפים בכל שלב של שרשרת ההתקפה. במקביל, הגנה פרו אקטיבי, בהובלת ציידי איומים אנושיים, נדרשת כדי לחקור כל התנהגות חשודה, כגון גישה מרחוק בלתי צפויה או שימוש בכלים לגיטימיים מחוץ לתבניות השימוש המוכרות – אלו יכולים לשמש כהתראות מוקדמות למתקפת כופר מתקרבת".

צוין בהקשר לכך כי מוצרי הגנת נקודות הקצה של סופוס, כגון Intercept X, מגינים על משתמשים על ידי זיהוי פעולות והתנהגויות של תוכנות כופר והתקפות אחרות, כגון אלו שתוארו במחקר הזה של סופוס.