דו"ח: חשיפת דרכים לזיהוי תוקפי סייבר

This post is also available in: English (אנגלית)

חברת FireEye, המפתחת פתרונות לעצירת מתקפות סייבר ממוקדות ומתקדמות (APT) והמיוצגת בישראל על ידי אינוקום מקבוצת אמן, פרסמה דו"ח סייבר חדש. הדו"ח, שנכתב על סמך נתונים מ-1,500 מתקפות סייבר כלפי ארגונים ברחבי העולם, מפרט את מאפייני המתקפות השכיחים ביותר, המאפשרים למומחי סייבר לזהות את השחקנים המאיימים על הארגון ולשפר את מערכי ההגנה שלו מפני מתקפות סייבר מתקדמות בעתיד.

הדו"ח אף מפרט טקטיקות מתקפה בהן משתמשות קבוצות צבאיות של הסין, הנקראות גם "Comment Crew", שנקשרו בעבר למתקפות נגד ממשלת ארה"ב.

i-HLS Israel Homeland Security

בדו"ח מונה החברה שבעה רמזים עיקריים המשמשים לזיהוי התוקף העומד מאחורי מתקפות סייבר:

–          התווים בקוד של נוזקות מסוג Phishing לעתים מעידים על מדינת המקור, שבה נוצרה הנוזקה. כך למשל, מצאו חוקרי FireEye, כי נוזקות רבות בהן מוטבעים התווים GB2312 – מקורן במקלדת בשפה המנדרינית, קרי – בסין.

–          קוד הפעלה של נוזקות לעתים מכיל ביטויים עם הקשר מקומי, כמו סלנג או מילות עלבון שגורות, המעידות על המוצא של כותב הקוד.

–          בדומה לתווים בקוד, המעידים על מקלדת בשפה מסוימת, כך גם הפונטים עשויים להעיד לעתים על מקור הנוזקה. חוקרי FireEye זיהו, למשל, שמקור נוזקה החבויה במסמך הכתוב בקירילית הוא בקוריאה, הודות לפונט בו נכתב המסמך הנגוע.

–          במקרים מסוימים, על מנת שלא להיחסם על ידי BlackList, התוקפים משלמים על מנת לחדור מ-domain מסוים. במקרים רבות, הרשמת ה-DSN מובילה ישירות למדינת המוצא של התוקף. גם רישומי DSN מזויפים עשויים לאתר את התוקף, שלעתים עושה שימוש חוזר במידע (כגון שגיאת כתיב) – מה שמאפשר לקשר בין התקיפות ולהתחקות אחר התוקף.

–          לעתים קרובות, התוקף אינו עושה שימוש בשפת האם שלו בקוד הנוזקה. טעויות הקלדה ותרגום שגוי עשויים לעזור בזיהוי של מדינת המקור של התוקף. כך למשל, זיהוי התרגום של אתרי תרגום למילים או ביטויים מסוימים, עשוי לאפשר לזהות את שפת האם של התוקף.

–          כלי ניהול מרחוק (Remote Administration Tools – RAT) הם סוג של נוזקה המאפשרת לתוקף לשלוט בזמן אמת במחשב של יעד התקיפה. לכאורה קשה לזהות באמצעותם את התוקף, אך אפשרויות הקסטומיזציה הרבות של כלים אלו עשויות להביא להגדרות ייחודיות לתוקף, מה שייקל על זיהויו.

–          לתוקפים יש הרגלים. ישנם תוקפים המתמקדים ביעד מסוים, באותם שרתי CnC, באותן תעשיות ועוד. טקטיקות חוזרות אלו יכולות לחשוף את המטרה, הגישה ומקום הימצאו של התוקף.

"בעידן הסייבר, היכולת לזהות את התוקף היא חלק ניכר מתוכנית ההתגוננות מפניו", מציין יהונתן גד, יו"ר ומנכ"ל משותף באינוקום. "הדו"ח מצביע על דפוסים חוזרים ונשנים, המתגלים בנוזקות – דבר אשר יכול לחדד את יכולתם של מומחי אבטחת מידע ומרכזי SOC להגן על המידע ומערכות המידע הארגוניים".