תוכנות הכופר עדיין כאן - ובמודלים משוכללים. אפילו ההמלצות של ה-FTC משדרות חוסר אונים

YouTube IsraelDefense

תעשיית ההגנה בסייבר עדיין עומדת חסרת אונים מול תופעת תוכנות הכופר. מדובר בתוכנות שמצפינות את הקבצים במחשב ומבקשות תשלום עבור הפענוח שלהם. לרוב בתשלום באמצעות ביטקוין, תשתית המאפשרת לתוקף להישאר אנונימי בפני רשויות החוק.

מדובר באיום שתוקף פרטיים, חברות ומוסדות ממשלתיים ברחבי העולם. בין היתר, גם בתי חולים, משרדים ממשלתיים ועוד. חלק ניכר מההתקפות לא מדווח (בעיקר במדינות בהן אין חובת דיווח). גם התקפות שבוצעו נגד מוסדות רפואיים בארה"ב או בריטניה בשנה האחרונה ונחקרו על ידי שירותי הביטחון של אותן מדינות, נשארו בצללים. פרסומים מה בדיוק קרה שם ברמה הטכנית - מעולם לא התפרסמו.

במהלך השנים האחרונות התפתחה תעשיית תוכנות הכופר במספר מודלים. ההתחלה הייתה עם הדבקה של מחשב בודד. אחר כך הגיעו גרסאות שיודעות להדביק רשתות (לזוז רוחבית). אלו נועדו בעיקר לארגונים גדולים עם רשתות גדולות. ככל הנראה המחשבה הייתה, ועדיין, שארגון עם כסף יעדיף לשלם מאשר לחשוף את ההתקפה לציבור ולהתמודד עם פגיעה במוניטין ותביעות מצד לקוחות.

"חבר-מדביק-חבר"

כחלק מההתפתחות של עולם תוכנות הכופר, גרסה חדשה יצאה בשבועיים האחרונים תחת השם Popcorn Time malware, והיא חושפת לראשונה מודל "חבר-מדביק-חבר". כלומר, אם נדבקתם, אתם יכולים לשלם, או לשלוח קישור שידביק אחרים שישלמו ואתם תקבלו מפתח פענוח בחינם. מדובר במודל עסקי ציני שממחיש כי כותבי תוכנות הכופר לא בוחלים באף שיטה כדי להרוויח כסף.

בארה"ב, אחד הגופים החזקים בכל הקשור לאכיפת ההגנה בסייבר של החברות הוא ה-FTC. מדובר בגוף שתפקידו לשמור על האינטרסים של הצרכנים מול החברות, והוא נחשב ליותר משפיע מהרגולטור האמריקאי. זאת, בזכות תביעות ייצוגיות או פרטיות כנגד חברות שלא יישמו הגנה בסייבר כראוי.

אחד מהפרסומים האחרונים של ה-FTC בנושא תוכנות כופר כולל המלצות ללקוחות פרטיים ועסקיים כיצד למנוע ככל הניתן את הנזקים מתוכנת כופר. בסוף רשימת ההמלצות רשום שלא כדאי לשלם כופר ועל הקורבן לפנות לשירותי הביטחון. ההמלצה טוענת שלעיתים משלמים ולא מקבלים את המפתח לפענוח הקבצים, טענה נכונה בחלק מהמקרים.

ההמלצה אולי כנה ונכונה, אבל בפועל היא מסתירה את אוזלת היד של שירותי הביטחון ותעשיית ההגנה בסייבר להגן מפני תוכנות כופר. הרי אם שירותי הביטחון היו יודעים איך להגן מפני תוכנות כופר, התופעה הייתה נעלמת כי התוקפים לא היו מרוויחים כסף. ובאין רווחים, ענף תוכנות הכופר היה מתייבש.

רודפים אחרי מסלקות הביטקוין

היות והמטבע העיקרי בו משלמים לכותב הרנסום הוא ביטקוין, רשויות המס בארה"ב התחילו 'לשבת' על מסלקות הביטקוין. מדובר בעסק לגיטימי שדומה במהותו לחלפני כספים. הופכים ביטקוין למזומן.

הרעיון הוא שאם יהיה פיקוח ברמת הפרטים האישיים של כל מי שעושה העברה דיגיטלית כזו, יהיה יותר קשה למפיצי תוכנות הכופר לממש את הרווחים שלהם, והענף יתייבש. ייתכן ודרך נתונים של מסלקות כאלו יהיה אפשר גם לעלות על עקבותיהם של מפיצי תוכנות הכופר.

לצד טיפול במסלקות, הקהילה הבינלאומית מנסה גם לטפל בשרשרת האספקה של ההדבקה. אחת החוליות העיקריות היא ה-Exploit Kit. כדי להידבק בתוכנת כופר, המשתמש צריך לגלוש באינטרנט לאתר מסוים שהוריד אליו Exploit Kit. מדובר בקוד קטן שלא שוקל הרבה, והוא מתקשר עם שרתי ההפצה של תוכנת הכופר ומוריד בצורה חשאית את תוכנת הכופר הכבדה יותר.

כדי להתחמק ממנגנוני הגנה, תוכנת הכופר כוללת מאפיינים כמו "המתן ופעל". כלומר, היא מתקינה את עצמה במחשב, אבל מתחילה לפעול אחרי שבוע. יש עוד מאפיינים שעוזרים לתוכנת הכופר להתחמק ממנגנוני זיהוי.

חלק מהמאמץ העולמי של שירותי משטרה וחברות הגנה בסייבר כלל מרדף אחרי כותבי ה-exploit kits. בכנס שהתקיים ב-2015, נאמר שיש כ-200 כאלו בעולם. כולם, ככל הנראה, עובדים עם / עבור ארגוני פשע בינלאומיים שלוקחים חלק מהכסף.

דוגמא למאמץ זה הוא הפרסום של חברת צ'ק פוינט שפעלה כנגד תשתית Nuclear Exploit Kit. אבל אחד יורד, אחד עולה, ולאחרונה יש חדשות סביב Stegano exploit kit חדש. ויש עוד כמה כאלו שעדיין בועטים.

הדור הבא - שרת תוכנות כופר בארגון

לצד שיטות חדשות של הדבקה, כותבי הרנסום רוצים גם לשכלל את היכולות שלהם לזוז רוחבית בארגון. בצורה כזו אפשר לפגוע בפעילות בית חולים כמו שקרה לאחרונה בבריטניה, ארה"ב וישראל, או לשתק עסק שלם. מה תעשו אם תגיעו בבוקר וכל העמדות בעסק מוצפנות ואין לכם גישה לקבצים? לא תשלמו?

כדי להגיע לשם, כותבי תוכנות הכופר פיתחו יכולות חדשות שמסוגלות להפוך מחשב שנדבק לשרת פנימי בארגון שמפיץ תוכנות כופר ברשת. המשמעות כפולה - התוקפים יכולים להדביק גם מחשבים שלא מחוברים לרשת האינטרנט והם יכולים לטשטש טוב יותר את העקבות שלהם במטרה להתל במנגנוני זיהוי.

אין ספק כי המלחמה בתוכנות הכופר היא תעודת עניות של תעשיית ההגנה בסייבר שכבר מעל שנה מתקשה להתמודד עם התופעה. אמנם מתקיימים מאמצים עולמיים, אבל עדיין לא הומצא כלי הגנה שמסוגל להבטיח אי-הדבקות בתוכנת כופר. הפתרון נכון להיום הוא המלצה לעשות גיבוי של הקבצים בצורה שתבטיח שהגיבוי לא יפגע (הוא צריך להיות מנותק מהרשת), ובמקרה שנפגעתם, לפנות למשטרה.

לכתבות נוספות באתר ISRAEL DEFENSE היכנסו לעמוד הפייסבוק החדש של nrg