נחשפה קבוצת ריגול סייבר איראנית שגנבה מידע מיעדים שונים בישראל

העימות הישראלי-איראני קיים מזה זמן רב בתחומי הסייבר ולצרכים שונים, והיום מדווחת חברת הסייבר ההגנתית סייבריזן (Cybereason) כי חשפה תשתית ריגול מתוחכמת המיוחסת לקבוצת תקיפה איראנית, אשר לפי כל הסימנים מקושרת לארגוני ביון של המדינה האיסאלמית. הקבוצה פעלה לטובת ריגול וגניבת מידע רגיש בקרב יעדים שונים בישראל, ברחבי המזרח התיכון וכמו כן גם בארה"ב, רוסיה ואירופה, ובתוך זה בחברות הפועלות בתעשיות ביטחוניות. לפי הדיווח הם ניסו לגנוב מידע על טכנולוגיות של מוצרים ביטחוניים ומוצרים אחרים. התקיפות התמקדו באיסוף המידע ולא בתקיפות זדוניות לשיבוש פעולת החברות.

מסייבריזן נמסר כי הארגונים שנפגעו והגורמים הביטחוניים הרלוונטים עודכנו על ידה על התקיפה, אולם טרם התבהר הנזק הממשי שנגרם. בישראל מדובר ברשות הסייבר הלאומית, בגופי ביטחון נוספים העוסקים בכך וכמובן בחברות שהותקפו.

לאיראן מיוחסת גם תקיפה נגד אתרי תשתיות ישראלים ובהם מתקנים של מקורות, ומנגד לישראל מיוחסות תקיפות סייבר על מתקני תשתית איראנים ובהם הנמל הענק בבנדר עבאס וגם של מתקני חשמל באיראן שהושבתו לזמן רב. לישראל גם יוחסה תקיפת פרויקט הגרעין האיראני באמצעות וירוס התולעת "סטוקסנט" Stuxnet לפני עשור. במקרה הזה מדובר בריגול לצורך איסוף מידע ולא תקיפה כאמור.

לפי הדיווח היום, בתום חקירה שנמשכה מספר חודשים, צוות המחקר של סייבריזן חשף קמפיין תקיפה רחב אשר מיוחס לקבוצת תקיפה איראנית המכונה MalKamak. מהחקירה עולה כי הקבוצה פעלה מתחת לרדאר משנת 2018 ולא נחשפה עד היום. התוקפים פעלו בצורה חשאית ומדוקדקת, וביקשו לחדור ליעדים אסטרטגיים, בעיקר בקרב חברות וארגונים העוסקים בתקשורת נתונים, טכנולוגיות אוויריות וחקר החלל.

במהלך קמפיין התקיפה השתמשו התוקפים בנוזקה מסוג (RAT (Remote Access Trojan המכונה ShellClient אשר לא תועדה כלל עד היום והתפתחה באופן משמעותי במהלך השנים. הנוזקה הוחדרה לתשתיות הארגונים ושימשה ככלי מרכזי לריגול וגניבת מידע רגיש של תשתיות קריטיות, נכסים וטכנולוגיות שונות. התוקפים ניצלו את השימוש הרחב בפלטפורמה הפופולרית Dropbox (המציעה שירותים חינמים של אחסון בענן) לטובת שליטה מרחוק בנוזקה, תחת מסווה של תעבורת רשת לגיטימית.

באמצעות כך, סרקו התוקפים את הרשתות הפנימיות וגנבו מידע מבלי להיחשף ע"י תוכנת אנטי וירוס או אמצעי הגנה אחרים. במהלך החקירה נמצאו קשרים אפשריים לקבוצות תקיפה איראניות נוספות, אולם המחקר מדגיש כי שיטת הפעולה הייחודית של קבוצת MalKamak מבדילה את פועלה משאר הקבוצות האחרות.

החקירה החלה בהזמנת חברה אחת שזיהתה תקיפת סייבר, ולאחר הגילוי הראשוני נמצאו עקבות של התקיפות באמצעות פלטפורמת DROPBOX בחברות רבות נוספות, כאמור לרבות חברות המקושרות לתעשיות ביטחוניות ישראליות.

אסף דהן, ראש קבוצת מחקר איומי סייבר בסייבריזן, אמר לגלובס כי "המחקר החל לאחר שצוותי המחקר וניהול המשברים (Incident Response) של סייבריזן נקראו לסייע לאחת החברות שהותקפו. במהלך הטיפול באירוע ולאחר התקנת הטכנולוגיה שלנו על מחשבי הארגון, זיהינו נוזקה מתוחכמת וחדשה שטרם נראתה או תועדה שום דבר שראינו אי פעם - באמצעות Dropbox ששימשה כסות לפעילות.

"חקר מעמיק של הצוות הצביע על כך שהתקיפה היא למעשה חלק אחד מתוך קמפיין ביון איראני שלם, אשר מתנהל בחשאיות ומתחת לרדאר בשלוש השנים האחרונות והצליח לפעול בחשאיות עד לחשיפתו כעת. על פי ממצאי המחקר, ולפי העקבות המעטות שהשאירו התוקפים מאחור, ניתן להבין בבירור כי הם פעלו ביסודיות ובחרו את קורבנותיהם באופן קפדני. מדובר בתוקף איראני מתוחכם, שפעל במקצועיות לפי אסטרטגיה שקולה ומחושבת. הסיכון הפוטנציאלי אשר טמון בקמפיין תקיפה שכזה הוא גדול ומשמעותי עבור מדינת ישראל ואף עשוי להוות איום ממשי", הוסיף דהן.

"בחודשים האחרונים צוות המחקר של סייבריזן חשף שורה של תשתיות ריגול במדינות שונות אשר בכולן התוקפים עקפו את מערכות ההגנה הקיימות ואף ניצלו אותן לטובתם", אומר ליאור דיב, מנכ"ל ומייסד סייבריזן. "פריסת מערכות הגנה מרובות אשר מייצרות מספר רב של התראות לא מסייע בעצירת מתקפות מתוחכמות. הפתרון של סייבריזן אשר זיהה את התקיפה הזו מסתמך על ניתוח התנהגותי ונותן תמונת מצב מלאה וממוקדת בזמן אמת״.

סייבריזן (Cybereason) הינה חברת סייבר הגנתית אשר מגנה על נקודות הקצה בארגונים ומטרתה לבצע זיהוי, מניעה ונטרול של תקיפות סייבר (NGAV ,EDR, XDR). החברה נוסדה בשנת 2012 ע"י שלושה יזמים: ליאור דיב, יוסי נער ויונתן שטרים-עמית ומונה כיום למעלה מ- 1000 עובדים ועובדות ברחבי העולם עם משרדים בטוקיו, סינגפור, לונדון, בוסטון ותל אביב.

 מייסדי סייבריזן. מימין לשמאל - יוסי נער, ליאור דיב, יונתן שטרים עמית / צילום: ריוג'י סוזוקי

סייבריזן פיתחה מערכת איתור תקיפות זדוניות אשר אוספת מידע מכלל תחנות הקצה בארגון (מחשבים,שרתים, טלפונים ועוד) ומנתחת את פעולותיהן. בעזרת המידע הרב שנאסף בזמן אמת, המוצר מזהה התנהגויות זדוניות ומציג את השתלשלות האירוע. הפלטפורמה מאפשרת לארגונים לפקח באופן רציף אחר המערכות השונות בארגון, וכן לזהות, לחקור, לבודד ולעצור התקפות בזמן אמת.