Cyber Land - Security and awareness

מתקפת הסייבר "ToolShell" (המנצלת את הפגיעויות CVE-2025-53770 ו-CVE-2025-53771) מכוונת באופן פעיל נגד שרתי Microsoft SharePoint מקומיים (On-Premises). המתקפה מאפשרת לתוקפים לא מאומתים להשתלט על השרת, לגנוב מידע רגיש, ובחמור מכל – להתבסס ברשת הארגונית לטווח ארוך באמצעות גניבת מפתחות הצפנה. אם הארגון שלכם מפעיל שרתי SharePoint מקומיים שהיו חשופים לאינטרנט, יש לפעול מתוך הנחה שהם כנראה נפגעו. איך תדעו אם נפגעתם? המזהים העיקריים (IOCs) שיש לבדוק מיידית: 1. בדיקת לוגים (IIS Logs):      1.1 דפוס הפריצה הראשוני: חפשו בקשות POST לנתיב /_layouts/15/ToolPane.aspx שהגיעו עם Referer"       header" המכיל /_layouts/SignOut.aspx.      שילוב זה הוא אינדיקטור חזק מאוד לניסיון פריצה.      1.2 גישה לקבצים זדוניים: בדקו בקשות GET לקבצים חשודים בנתיב /_layouts/15/, ובמיוחד לקבצים בשם spinstall0.aspx או ghostfile*.aspx. 2. בדיקת מערכת הקבצים: חיפוש קבצי Webshell: סרקו את שרתי ה-SharePoint לאיתור קבצי aspx זדוניים, בעיקר בנתיב: C:\Program File...

  לאחרונה פורסם על שירות חדשים שמשמש האקרים ,רוורס פרוקסי כשירות , על מנת לשמש מתווך בין אתר פישינג לבין השירות האמיתי (ניתן לקרוא כאן ). בעת הגעה לאתר פישינג , הקורבן מזין שם משתמש וסיסמה , האתר משתמש בשירות פרוקסי על מנת להעביר את הפרטים לאתר האמיתי , ולאחר מכן מבקש גם את הטוקן שנשלח למשתמש באמצעות אפליקציה או SMS , ולאחר מכן מעביר גם אותו דרך השירות פרוקסי לאתר האמיתי , בשלב הזה התוקף מקבל COCKIE SESSION שמכיל את הטוקן של ההזדהות ומאפשר גישה לאתר ללא הזדהות . באמצעות הכלים האלה תוקפים יכולים גם לעקוף את שרותי ה MFA\2FA שנותים לגולשים תחושת בטחון לגבי החשבונות שלהם . לסיכום הדרך להתגונן מפני מתקפות כאלה צריכה לעשות ע"י שילוב פעולות. 1.הגברת מודעות עובדים 2.שימוש בטנולוגיות משולבות AI\ML לזיהוי אתרי פישינג בזמן אמרת , לדוגמא Harmony Broswe או Harmony Endpoint של חברת CHECK POINT.וכלים דומים שימנעו מהמשתמש הזנת פרטים באתר פישינג.

 כל ארגון רוצה להגביר את רמת אבטחת המידע שלו .  ברוב הארגונים קונים מוצרים כמו : חומת אש ,סינון דוא"ל , כלי הגנה על תחנות קצה , מוצרי דלף מידע , חומת אש לבסיסי נתונים ואפליקציות ועוד ועוד . למרות כל המוצרים האלה אף ארגון לא חסין ומוגן ב 100% , והמוצרים האלה לא מכסים את הרובד האנושי . כל ארגון צריך לשים לעצמו למטרה לרתום את העובדים לאבטחת מידע  ולהפוך לחלק מההגנה של ארגון .  במקרה של מייל פישינג ממוקד שעשוי  להכיל מתקפה שמנצל חולשה מסוג יום אפס (Zero Day) כלל לא בטוח שכל מערכות ההגנה שלנו יעזרו . במקרה כזה עירנות של העובד ודיווח למחלקת המחשוב או אבטחת המידע תציל את הארגון !  לכן אנו מציעים עכשיו ביצוע קמפיין פישינג . אנו מבצעים קמפיינים ייחודים עם דגש לכל ארגון ואיום הייחוס שלו כולל התאמה לסקטור ולצרכי הארגון . בסוף כל קמפיין תקבלו דוח הכולל הסבר על הקמפיין , הדוח מיועד להפצה לכלל העובדים על מנת להסביר וללמד כיצד יש לנהוג ואיך מזהים שהמייל שהתקבל הוא פישינג . ובנוסף דו"ח מפורט עם סטטיסטיקות מלאות , מהם ניתן  להסיק מסקנות ולדבר עם העובדים שלחצו על הקישור...

  לאחרונה אנו עדים ליותר ויותר מתקפות סייבר על ארגונים . במרבית מהמתקפות ניתן לראות שהתוצאה הסופית מביאה איתה נזק בשני מישורים : 1.       התקפת כופר – הצפנה קבצים , שרתים   ותחנות עבודה של הארגון - השבתת הפעילות של הארגון ודרישת כופר על מנת לשחרר את הקבצים כדי לחזור לעבוד . 2.       דלף מידע – לפניי ההצפנה התוקפים מעבירים אליהם את הקבצים ומציעים אותם למכירה ברשת האפלה או מבקשים תשלום על מנת לא להדליף את המידע . ברוב הארגונים קיים שרת קבצים שמחולק לספריות , בדרך כלל לפי נושאים ו\או מחלקות . ברוב הארגונים הבינונים \ קטנים לא מנטרים את שרת הקבצים . ניטור כזה יכול לעזור הרבה לארגון ! א.         הניטור מהווה זוג עיניים , מי ניגש לקבצים , קרא , שינה , העתיק וכו' ב.       הניטור יכול להעיד על ניסיונות גישה לא מוצלחים , ניסיונות של עובד לגשת למידע שאין לו הרשאה וכו' ג.        הניטור יכול להצביע על אנומליה ברשת.   בהקשר של אנומ...

לאחר המתקפה האחרונה על חברת הביטוח שירביט ,אינטל ומשרד האוצר האמריקאי כולנו שואלים את עצמנו איך עוד אפשר להגן על הארגונים . פעולה זאת חשובה על מנת לנסות ולצמצם במידת האפשר את משטח התקיפה . ברוב הארגונים מתקינים כלי הגנה רישתיים וכלי הגנה על התחנות קצה . אבל לא כולם שמים דגש ובודקים איך הארגון שלהם ניראה לתוקפים מבחוץ . לכל ארגון יש כתובת או טווח כתובות IP ציבוריות שנגישות מהעולם. במקרים של מתקפות ממוקדות (APT) בהם התוקפים יודעים את מי הם תוקפים , הם מתכננים את המתקפה ומבצעים מודיעין על היעד . באמצעות כלים פשוטים ניתן לחפש לדוגמא את כל החשבונות של אנשים שמציניים ב"לינקדין" שזה מקום העבודה שלהם . כך תוקפים יכולים למקד את המתקפה שלהם לאנשים בכירים , ובעלי פרופיל מתאים למתקפה . לדוגמא להונאה פיננסית  יחפשו את סמנכל הכספים של הארגון וכדומה . באמצעות עוד כלי , ניתן להבין את מבנה כתובות הדוא"ל שבארגון , ולאחר שיש לנו שם מלא ותבנית דוא"ל , כל שנשאר לתוקף הוא לשלוח דוא"ל פישינג  . במידה ועובד נפל במלכודת פישינג כל שנותר לתוקף הוא להעמיק את התקיפה שלו כדי לקבל אחיזה חזקה...

מייקרוסופט הודיעה היום (18.1.2020) על חולשה חדשה בדפדפן IE שסיים את מחזור החיים שלו (CVE-2020-0674) . להסבר מאתר מייקרוסופט  כאן החולשה מאפשרת לנצל פגיעות באופן בו מנוע הסקריפטים מטפל באובייקטים בזכרון הניגשים לספרייה   JScript.dll  , החולשה מאפשרת לתוקף מרוחק לקחת שליטה על המחשב של הקורבן רק מלהכנס לאתר אינטרנט זדוני . הפגיעות קיימת בכל מערכות ההפעלה שיש בהם  IE בגרסאות 9-11 (כולל ווינדוס 10). מייקרוסופט עדיין לא הוציא תיקון רשמי לפגיעות . אבל בכל זאת יש מה לעשות כרגע , להגביל את הגישה לספרייה הבעייתית . ניתן להריץ את הפקודות הבאות בCMD למניעת גישה לספרייה : מחשב עם מערכת הפעלה 32 סיביות: takeown / f% windir% \ system32 \ jscript.dll cacls% windir% \ system32 \ jscript.dll / E / P everyone: N מחשב עם מערכת הפעלה 64 סיביות : takeown / f% windir% \ syswow64 \ jscript.dll cacls% windir% \ syswow64 \ jscript.dll / E / P everyone: N takeown / f% windir% \ system32 \ jscript.dll cacls% windir% \ system32 \ jscript.dll / E / P ev...

בפוסט הזה אגע ב"חור שחור" שיש בהרבה חברות גדולות . יש נקודה שבהרבה חברות שוכחים להתייחס אליה , והיא מאפשרת לתוקפים לנסות לבצע מתקפות דיוג (פישינג) בשם החברה . למרבית החברות יש יותר ממתחם שמות אחד (דומיין) , לפעמים לצורך אתר שמיועד לחו"ל או למטרות שיווק כאלה ואחרות. בד"כ מהשמות מתחם האלה החברות לא שולחות הודעות דוא"ל  , והכתובות האלה גם לא  מוגדרות בשרתי הדוא"ל של החברות . אבל מה יקרה אם לקוחות יקבלו הודעות מייל זדוניות ומתחזות מהכתובות האלה ? השולח יראה לגיטימי , לכן סיכוי גבוה שהנמען של ההודעות ילחץ על קישור או יפתח קובץ שמצורף להודעה. לכן על מנת למנוע מקרים כאלה שגוררים פגיעה במוניטין ובשם החברה , יש להגדיר על כל תחום שמות שנרכש הגדרות שיגנו מפניי שליחת דוא"ל ממקורות לא רצויים . הבסיסי ביותר זה רשומת SPF , רצוי ומומלץ גם להגדיר DMARC ו DKIM . וככה נבטיח שלא ישלח דוא"ל זדוני שיראה לגיטימי . רשומת SPF מגדירה מי יכול לשלוח הודעות דוא"ל בשם הדומיין . רשומת DKIM מוסיפה חתימה מוצפנת להודעה , השרת שמקבל את המייל מנסה לפתוח את ההצ...

אבטחת מידע בארגון דורשת גישה הוליסטית ושילוב מערכות אבטחת מידע והגנה למגוון הערוצים הקיימים בארגון . אחד הערוצים שמקבל פחות תשומת לב הוא הגורם האנושי. והגורם האנושים זה אחד הגורמים החשובים בשרשרת אבטחת המידע של הארגון . אפשר לשים מערכות במיליוני שקלים ולהקשיח מערכות , אבל כל הפעולות האלה לא יבטיחו לארגון 100% הגנה . מספיק חוסר ערנות או מודעות של עובד ללחוץ על לינק זדוני בדוא"ל שהצליח לעבור את כל מעגלי האבטחה של הארגון , או לחבר מדיה נתיקה שנמצאה במקרה והעובד רוצה לנסות להבין למי זה שייך , או להעביר קובץ שספק \ לקוח קיבל כדי להגיע לכמה אחוזים שנשארו ללא הגנה בארגון .                  אז איזה פעולות נדרש לעשות כדי לחזק את המודעות של העובדים בארגון ולרתום אותם להיות כלי לאבטחת מידע בארגון ?                 לבצע הדרכה לעובדים חדשים על הנהלים הקיימים בארגון , החל ממדיניות שמירת מסמכים , אי שמירה במערכות ענן , לא לפתוח דוא"ל וקבצים חשודים , לא לחבר מדיה נתיקה וכו' . הכל כמובן בהתאם למדינ...

השקענו הרבה כסף , תכנון ומחשבה , ביצענו סינון על תעבורת האינטרנט בארגון , יישמנו שכבות הגנה על הדוא"ל שלנו , התקנו תוכנת הגנה בתחנת קצה , אז איך בכל זאת הארגון יכול להינזק גם אם זה דרך מתקפה מתוכננת או בתמימות וטעות של אחד העובדים ?                    מדיה נתיקה ניידת , או כפי שכולנו מכנים אותה   DOK- Disk On Key . אז מה הסכנות הנפוצות  בשימוש ב DOK ? הכנסת וירוסים לארגון – וירוס שמתפשט דרך הכנסה של התקן נייד ומתפשט בכל הרשת ,יכול להיות מהרבה סוגים , כופרה ,תולעת , נוזקה שפותחת חיבור לאינטרנט להאקרים וכו' .                        תוכנה זדונית לגניבת מידע בסביבות מנותקות מאינטרנט – התגלה בעבר וירוס שכונה גנב ה USB , דרך הכנסה של DOK שממנו רץ כלי זדוני שגנב מידע חזרה ל DOK , בחיבור הבא למחשב בעל גישה לאינטרנט המידע הועבר לתוקפים .                         תוכנה זדונית לשיבוש מערכות ייצור ...

ברוב הארגונים , משקיעים הרבה משאבים בהגנה על השרתים , על חומת האש וכו' . ובתחנות הקצה מתקינים אנטי וירוס ובטוחים שהתחנה מוגנת .   אז זהו שלא , ראשית יש להבין , אנטי-וירוס מסורתי הוא מנגנון שמבוסס על חתימות . הוא סורק קבצים ותהליכים בתחנת עבודה , משווה לחתימות של מתקפות זדוניות שהוא מכיר , ובמידה והוא מזהה משהו מוכר , מנסה לעצור את התהליך ומתריע . האם זה מספיק ?? זה הספיק אולי בשנות ה90 ותחילת שנות ה2000 . היום אפשר להשיג ברשת ההאפלה מתקפות לכל דורש , והם מורכבות יותר   וקשות יותר לזיהוי . והם מייצרות לעצמם עוד ועוד מוטציות , אותה מתקפה שמשתנה ומשנה לעצמה את החתימה , ולכן האנטי וירוס לא מכיר   אותה .                           אז איך בעצם נגן על התחנות קצה ? אנטי-וירוס מהדור הבא , כזה שיודע לנתח התנהגות ומשתמש בלימוד מכונה על מנת להשוות התנהגות של מתקפה חדשה למתקפה מוכרת ולחסום אותה גם מבלי שיש לו חתימה מתאימה .   EDR – Endpoint Detection And Response – זהו מוצר שיודע לבצע ניתוח מעמיק ...

  אחד הכלים השימושיים ביותר בחברות (אחרי מות הפקס) זה הדואר האלקטרוני. בעצם הוא מאפשר לנו לקבל הודעות וקבצים מאנשים מחוץ לארגון דרך האינטרנט , לכן חשוב מאוד להגן על הערוץ הזה ועל מה שנכנס אלינו לארגון   (ואפילו על מה שיוצא מהארגון שלנו) . בעידן הנוכחי הרבה חברות עוברות לקבל שירותי דוא"ל דרך ספקי ענן Office 365)   וכו') . אחת הטעויות זה לחשוב שספק הענן יגן עלינו . מייקרוסופט ממליצים למשתמשי Office 365 להשתמש בגיבוי חיצוני לשרות , וגם להשתמש בשרותי אבטחה נוספים , שאת חלקם גם הם יכולים לספק בתשלום נוסף .                    לכן גם שימוש בשרות ענן לא פותר אותנו מלהגן עליו. ההגנה לשירותי דוא"ל נקרא Mail Relay   , שזה בעצם רכיב שהמיילים יועברו אליו , והוא בהתאם להגדרות ודרישות הארגון יבצע סינון ובדיקות להודעות דוא"ל . החל מבדיקות וסינון לדוא"ל זבל (ספאם) ועד לנוזקות , וירוסים ופישינג . בדומה לחומת אש גם ב Mail Realy יש חוקים . מומלץ להקשיח את ההגדרות . אם בעבר נהגו לעבוד עם רשימה שחורה , שאומרת איזה ...