מערך הסייבר הלאומי | תקיפות דיוג ממוקד נגד גורם ממשלתי במזרח התיכון
תקיפות דיוג ממוקד נגד גורם ממשלתי במזרח התיכון
לאחרונה דווח כי קבוצת התקיפה Oilrig ביצעה תקיפות ממוקדות כנגד גורם ממשלתי במדינה אחרת באזור. התקיפות בוצעו באמצעות דיוג ממוקד, כאשר הדואר האלקטרוני כולל 2 צרופות המשמשות להורדת סוס טרויאני לעמדה המותקפת.
בתאריך 23 לאוגוסט 2017 הגיעו לגורמים ממשלתיים במדינה מזרח תיכונית הודעות דוא"ל, שכותרתן "Importan Issue" (שגיאת הכתיב במקור), המכילות 2 קבצי ZIP.
בנוסף הכילה ההודעה לינק לקובץ תמונה בשרת מרוחק - www.cdnakamaiplanet[.]com. מטרתו של קובץ זה לסמן ככל הנראה לתוקף האם ההודעה נפתחה על ידי הנמען.
מבדיקת ה- Headers של ההודעה נראה כי מקורה ככל הנראה בשרת ה- OWA של הארגון המותקף,אשר נפרץ ככל הנראה מוקדם יותר באמצעות ניחוש סיסמאות משתמשים.
הקבצים הכילו כל אחד קובץ בודד – הראשון נקרא Issue.doc והשני Issue.dot. שני הקבצים הללו הינם קבצים זדוניים. הראשון מנסה לגרום למשתמש לאפשר הרצת Macro, ואם יופעל יכתוב קובץ לדיסק ויפענח אותו באמצעות פקודת PowerShell, אשר תיצור קובץ המשמש להורדת הרכיב האחרון בתקיפה – סוס טרויאני.
הקובץ השני מנסה לנצל את פגיעות CVE-2017-0199 המוכרת.
הפוגענים משמרים אחיזה בעמדה המותקפת באמצעות הרצת 2 פקודות SchTasks (מתזמן הפעלה).
הפעלת הקוד הסופי של הפוגען כוללת שימוש באמצעים כנגד ניתוח הקוד, ע"מ להקשות על הבנת אופן פעולתו. שרתי הניהול של הפוגען מאוחסנים בדומיינים בעלי שמות דומים לאלו של דומיינים לגיטימיים של חברות מוכרות.
ראו קובץ אינדיקטורים. מומלץ לנטרם במערכות הארגוניות.
מומלץ לשקול היטב אם לפתוח צרופות מהודעות שמקורן לא ידוע, או שהגיעו באופן לא צפוי.
מומלץ להגדיר אי הרצה של Macro בקבצי Word שהגיעו כצרופה, וכן צפיה בקבצים אלו רק ב- Protected View, ולא להסיר הגנות אלו אלא לאחר שביררתם עם המקור, באמצעים שאינם דוא"ל חוזר, כי אכן ההודעה נשלחה ממנו.
מומלץ לשמור על עדכניות התוכנה שבשימושכם ובפרט לוודא כי התקנתם את עדכוני האבטחה CVE-2017-0199, CVE-2017-8759.
במידה שבבדיקתכם התגלה ממצא כלשהו נבקש לקבל היזון חוזר. לכל מידע נוסף ניתן לפנות אלינו.
ISMINJECT-CERT-IL-W-325.csv( 2.55 Kb )