מישהו הוריד גרסה פרוצה של תוכנה לעריכת תמונות, התקין אותה, והיא אכן עבדה. יחד איתה נכנס למחשב גם משהו אחר, שהתחיל לאסוף סיסמאות ופרטי התחברות ולשלוח אותם הלאה. ASD, סוכנות המודיעין האלקטרוני וההגנה בסייבר של אוסטרליה, הודיעה השבוע שנכנסה ללוח הבקרה של מפעיל הנוזקה וניתקה אותו מכ-180 אלף מחשבים נגועים ברחבי העולם.

מה קרה

לנוזקה קוראים Amadey, והתפקיד העיקרי שלה אינו לגנוב בעצמה אלא לפתוח את הדלת. היא מתמקמת על המחשב, יוצרת קשר עם שרת שליטה ובקרה (C2, השרת שממנו התוקף שולח פקודות), ומורידה משם נוזקות נוספות לפי הצורך, בדרך כלל כאלה שמתמחות בחילוץ פרטי אימות מהדפדפן. לכלי מהסוג הזה קוראים loader.

Amadey נמכרת לעבריינים כשירות מאז 2018, וכל קונה מפעיל לוח בקרה משלו על שרתים שלו. לפי ESET קיימים 53 בוטנטים נפרדים של Amadey שאינם חולקים תשתית, כך שהמבצע האוסטרלי פגע באחד מתוך מפעילים רבים. הסוכנות מצאה את הנוזקה דווקא בגרסה פרוצה ולא מורשית של תוכנה לעריכת תמונות, ולדבריה הפרטים שנאספו נמכרו בדארקנט במחיר של כ-500 דולר.

תאורי גרגורי, סגנית ראש הסוכנות בפועל לענייני מודיעין, אמרה ל-ABC האוסטרלית בראיון שפורסם ב-27 באוקטובר: ”הצעד הבא שעשינו היה לנתק את לוח הבקרה של Amadey מכל הנפגעים האלה“. לדבריה, אלמלא פעלה הסוכנות ”היו לכם 180 אלף עסקים או אנשים פרטיים שהמידע שלהם נגנב“. כיצד נכנסה לתשתית היא לא אמרה, והדוח השנתי שפרסמה באותו יום, שמדווח על עלייה של 20 אחוזים במספר אירועי הסייבר שטיפלה בהם, אינו מתאר את המבצע כלל.

במבצע נפרד הגיע לסוכנות מידע על 5 טרה-בייט של נתונים שנגנבו מחברה שלא ידעה שנפרצה והוצעו למכירה. לפי גרגורי, הסוכנות נכנסה והשמידה אותם לפני שנמכרו, ובהם כ-4.8 מיליון קבצים של אוסטרלים.

למה זה חשוב לכם

הדרכים שבהן Amadey הגיעה למחשבים הן בדיוק אלה שעובדות גם כאן: תוכנה פרוצה, ”עדכון“ שקופץ בדפדפן, ומתקינים שהורדו ממקור לא רשמי. אבל הנקודה המעשית היא אחרת. ניתוק לוח הבקרה אינו מנקה את המחשבים, והם נשארים נגועים בדיוק כמו שהיו. הוא גם אינו מבטל את מה שנגנב מהם קודם: לפי מיקרוסופט, פרטי אימות גנובים יכולים לשכב אצל התוקפים חודשים לפני שמישהו משתמש בהם, ו-cookie של התחברות שנגנב מאפשר להיכנס לחשבון בלי סיסמה ובלי לעבור את האימות הדו-שלבי.

מה עושים?

לא מתקינים תוכנה פרוצה, ולא מאשרים ”עדכון“ שקופץ בדפדפן. עדכון אמיתי מגיע מתוך האפליקציה עצמה או מחנות האפליקציות הרשמית.

הרצתם בעבר מתקין כזה? הניחו שהסיסמאות השמורות בדפדפן יצאו. החליפו קודם את הסיסמה של המייל ושל הבנק, ועדיף ממחשב אחר.

חפשו בהגדרות האבטחה של החשבון את האפשרות לנתק את כל המכשירים המחוברים. בגוגל, במיקרוסופט ובפייסבוק היא קיימת, וזה מה שמבטל cookie שנגנב. החלפת סיסמה לבדה לא תמיד עושה את זה.

הפעילו אימות דו-שלבי בכל חשבון שמאפשר זאת.

53 בוטנטים נפרדים של אותה נוזקה ממשיכים לעבוד. מה שהמבצע הזה קנה אינו סוף הסיפור, אלא 180 אלף מחשבים שמפעיל אחד כבר לא קורא מהם.