Charon Ransomware
מומחי אבטחת סייבר חשפו קמפיין כופר חדש המנצל זן לא ידוע בשם Charon, המכוון במיוחד למגזר הציבורי ולתעשיית התעופה במזרח התיכון. המבצע מציג רמת תחכום גבוהה, עם טקטיקות המקושרות בדרך כלל לשחקני איום מתמשך מתקדם (APT).
תוכן העניינים
השאלת טקטיקות מספרי משחק של APT
התוקפים השתמשו בטכניקות מתקדמות כגון טעינת צד של DLL, הזרקת תהליכים ותמרוני התחמקות שנועדו לעקוף כלי זיהוי ותגובה של נקודות קצה (EDR). ראוי לציין כי גישת טעינת הצד של DLL משקפת שיטות שנצפו בהתקפות של Earth Baxia, קבוצת האקרים המקושרת לסין הידועה בפגיעה בגופים ממשלתיים בטייוואן ובאזור אסיה-פסיפיק.
באירועים קודמים אלה, Earth Baxia ניצלה פגם שכבר תוקן ב-OSGeo GeoServer GeoTools כדי לספק דלת אחורית בשם EAGLEDOOR. במקרה של Charon, ההתקפה השתמשה בקובץ לגיטימי, Edge.exe (במקור cookie_exporter.exe), כדי לטעון את msedge.dll הזדוני המכונה SWORDLDR, אשר לאחר מכן פרס את מטען תוכנת הכופר של Charon.
יכולות הכופרה Charon
לאחר פריסה, Charon מתנהג כמו גרסאות כופר הרסניות אחרות, אך עם אופטימיזציות שהופכות אותו גם משבש וגם יעיל. הוא יכול:
- סיום שירותים ותהליכים פעילים הקשורים לאבטחה.
- מחיקת גיבויים ועותקי צל כדי לעכב שחזור.
- השתמש בריבוי נימים ובהצפנה חלקית לנעילת קבצים מהירה יותר.
תכונה מעניינת נוספת היא שילוב של דרייבר שהורכב מפרויקט Dark-Kill בקוד פתוח. זה מאפשר מתקפת BYOVD (הבא את דרייבר הפגיע שלך) כדי להשבית כלי EDR. עם זאת, חוקרים מצאו שיכולת זו עדיין אינה פעילה, דבר המצביע על כך שהיא עדיין בפיתוח.
סימנים של פעולה ממוקדת
החוקרים מאמינים כי קמפיין זה היה מכוון ולא אופורטוניסטי. מסקנה זו מבוססת על נוכחותו של פתק כופר המותאם אישית כדי לציין את ארגון הקורבן בשמו, דבר נדיר במקרי כופר טיפוסיים. השיטה ששימשה לגישה ראשונית נותרה לא ידועה.
ייחוס לא ודאי
בעוד שלטכניקות של כארון יש קווי דמיון עם פעולותיה של כדור הארץ באקסיה, מומחים מזהירים כי חפיפה זו עשויה להצביע על:
- מעורבות ישירה של כדור הארץ באקסיה.
- מבצע דגל כוזב שנועד לחקות את כדור הארץ באקסיה.
- קבוצה חדשה שמפתחת באופן עצמאי טקטיקות דומות.
ללא ראיות ברורות כמו תשתית משותפת או דפוסי מיקוד עקביים, הקשר נותר ספקולטיבי.
ההתכנסות הגוברת של פשעי סייבר וטקטיקות של מדינות לאום
תקרית זו מדגישה מגמה מדאיגה: קבוצות כופר מאמצות יותר ויותר שיטות ברמת APT לפריצה והתחמקות. השילוב של סחר חמקמק עם הנזק הפיננסי והתפעולי המיידי של הצפנת כופר מעלה משמעותית את הסיכון עבור ארגונים ממוקדים.
