בתום חקירה שנמשכה מספר חודשים, צוות המחקר של סייבריזן חשף קמפיין תקיפה רחב אשר מיוחס לקבוצת תקיפה איראנית המכונה MalKamak.
מהחקירה עולה כי הקבוצה פעלה מתחת לרדאר משנת 2018 ולא נחשפה עד היום. התוקפים פעלו בצורה חשאית ומדוקדקת, וביקשו לחדור ליעדים אסטרטגיים, בעיקר בקרב חברות וארגונים העוסקים בתקשורת נתונים, טכנולוגיות אוויריות וחקר החלל.
במהלך קמפיין התקיפה השתמשו התוקפים בנוזקה מסוג (RAT (Remote Access Trojan המכונה ShellClient אשר לא תועדה כלל עד היום והתפתחה באופן משמעותי במהלך השנים. הנוזקה הוחדרה לתשתיות הארגונים ושימשה ככלי מרכזי לריגול וגניבת מידע רגיש של תשתיות קריטיות, נכסים וטכנולוגיות שונות.
הארגונים שהותקפו קיבלו התראה בזמן אמת
התוקפים ניצלו את השימוש הרחב בפלטפורמה הפופולרית Dropbox (המציעה שירותים חינמים של אחסון בענן, ואינה קשורה כמובן לריגול או לאיראן) לטובת שליטה מרחוק בנוזקה, תחת מסווה של תעבורת רשת לגיטימית. באמצעות כך, סרקו התוקפים את הרשתות הפנימיות וגנבו מידע מבלי להיחשף ע"י תוכנת אנטי וירוס או אמצעי הגנה אחרים.
במהלך החקירה נמצאו קשרים אפשריים לקבוצות תקיפה איראניות נוספות, אולם המחקר מדגיש כי שיטת הפעולה הייחודית של קבוצת MalKamak מבדילה את פועלה משאר הקבוצות האחרות.
מסייבריזן נמסר כי הארגונים שנפגעו והגורמים הביטחוניים הרלוונטים עודכנו על ידה על התקיפה, אולם טרם התבהר הנזק הממשי שנגרם.
התקיפה - רק חלק מקמפיין ביון איראני
"בחודשים האחרונים צוות המחקר של סייבריזן חשף שורה של תשתיות ריגול במדינות שונות אשר בכולן התוקפים עקפו את מערכות ההגנה הקיימות ואף ניצלו אותן לטובתם." מסר ליאור דיב, מנכ"ל ומייסד סייבריזן. "פריסת מערכות הגנה מרובות אשר מייצרות מספר רב של התראות לא מסייע בעצירת מתקפות מתוחכמות. הפתרון של סייבריזן אשר זיהה את התקיפה הזו מסתמך על ניתוח התנהגותי ונותן תמונת מצב מלאה וממוקדת בזמן אמת".
"המחקר החל לאחר שצוותי המחקר וניהול המשברים (Incident Response) של סייבריזן נקראו לסייע לאחת החברות שהותקפו. במהלך הטיפול באירוע ולאחר התקנת הטכנולוגיה שלנו על מחשבי הארגון, זיהינו נוזקה מתוחכמת וחדשה שטרם נראתה או תועדה.
חקר מעמיק של הצוות הצביע על כך שהתקיפה היא למעשה חלק אחד מתוך קמפיין ביון איראני שלם, אשר מתנהל בחשאיות ומתחת לרדאר בשלוש השנים האחרונות" כך מסר אסף דהן, ראש קבוצת מחקר איומי סייבר בסייבריזן.
"על פי ממצאי המחקר, ולפי העקבות המעטות שהשאירו התוקפים מאחור, ניתן להבין בבירור כי הם פעלו ביסודיות ובחרו את קורבנותיהם באופן קפדני. מדובר בתוקף איראני מתוחכם, שפעל במקצועיות לפי אסטרטגיה שקולה ומחושבת. הסיכון הפוטנציאלי אשר טמון בקמפיין תקיפה שכזה הוא גדול ומשמעותי עבור מדינת ישראל ואף עשוי להוות איום ממשי." הוסיף דהן.
סייבריזן (Cybereason) הינה חברת סייבר הגנתית אשר מגנה על נקודות הקצה בארגונים ומטרתה לבצע זיהוי, מניעה ונטרול של תקיפות סייבר (NGAV, EDR, XDR). החברה נוסדה בשנת 2012 ע"י שלושה יזמים: ליאור דיב, יוסי נער ויונתן שטרים-עמית ומונה כיום למעלה מ- 1,000 עובדים ועובדות ברחבי העולם עם משרדים בטוקיו, סינגפור, לונדון, בוסטון ותל אביב.
סייבריזן פיתחה מערכת מתוחכמת אשר אוספת מידע מכלל תחנות הקצה בארגון (מחשבים,שרתים, טלפונים ועוד) ומנתחת את פעולותיהן. בעזרת המידע הרב שנאסף בזמן אמת, המוצר מזהה התנהגויות זדוניות ומציג את השתלשלות האירוע באמצעות ממשק פשוט ואינטואיטיבי.
הפלטפורמה מאפשרת לארגונים לפקח באופן רציף אחר המערכות השונות בארגון, וכן לזהות, לחקור, לבודד ולעצור התקפות בזמן אמת. בנוסף למוצרי החברה, סייבריזן מציעה גם שירותים נלווים (24x7) המסייעים ללקוחות בניהול התוכנה, ניתוח ועצירת תקיפות וכן גם ביטוח סייבר של עד מליון דולר במקרה של תקיפה.
החברה פועלת ביותר מ-50 מדינות ברחבי העולם ובין לקוחותיה ניתן למצוא את החברות המובילות בעולם ממגוון תחומים לרבות בנקים, תאגידים פיננסים בינלאומיים, יצרני תרופות, חברות תוכנה ושירותי IT, חברות מזון, Retail ועוד.