תוכנת הכופר LeakNet

מבצע הכופר LeakNet הציג אבולוציה ניכרת בטקטיקות חדירה על ידי מינוף טכניקת ההנדסה החברתית ClickFix כווקטור הכניסה העיקרי שלה. גישה זו גורמת למשתמשים לבצע פקודות זדוניות במסווה של פתרון שגיאות מערכת מפוברקות. בניגוד לשיטות גישה מסורתיות, כגון רכישת אישורים גנובים מתווכי גישה ראשוניים, טקטיקה זו מנצלת ישירות את אמון המשתמשים ואת ההתנהגות השגרתית.

אתרים שנפרצו אך לגיטימיים משמשים כנשק להעברת בקשות אימות CAPTCHA מזויפות. בקשות אלו מורות למשתמשים להעתיק ולבצע פקודת msiexec.exe זדונית דרך תיבת הדו-שיח הפעלה של Windows. מכיוון שהאינטראקציה מחקה פעילות מערכת יומיומית, ההתקפה נראית שגרתית ונמנעת מהעלאת חשד מיידי. אסטרטגיה רחבה ואופורטוניסטית זו מאפשרת מיקוד בתעשיות מרובות ללא אפליה.

שינוי אסטרטגי: עצמאות מתווכי גישה ראשוניים

המעבר של LeakNet ל-ClickFix מייצג שינוי תפעולי מחושב. על ידי ביטול התלות בספקי אישורים חיצוניים, הקבוצה מפחיתה הן את העלויות והן את העיכובים הכרוכים בקבלת גישה. עצמאות זו מסירה צוואר בקבוק מרכזי, ומאפשרת לקמפיינים להתרחב במהירות וביעילות רבה יותר.

בנוסף, השימוש בתשתית לגיטימית שנפגעה במקום במערכות הנשלטות על ידי תוקפים מפחית משמעותית את אינדיקטורי הרשת הניתנים לזיהוי. דבר זה הופך הגנות מסורתיות מבוססות היקפיות לפחות יעילות, שכן פעילות זדונית משתלבת בצורה חלקה עם תעבורה מהימנה.

ביצוע ללא קבצים: טוען מבוסס Deno בפעולה

מאפיין טכני בולט של התקפות אלו הוא פריסת טוען פיקוד ובקרה מדורג (ביניים) הבנוי על זמן הריצה של Deno JavaScript. טוען זה מבצע JavaScript מקודד Base64 ישירות בזיכרון, תוך הימנעות מכתיבות לדיסק וממזערת ארטיפקטים פורנזיים.

לאחר הפעלתו, המטען מבצע מספר פונקציות קריטיות:

• פרופיל של המערכת הפגועה כדי לאסוף מודיעין סביבתי
• יוצר תקשורת עם שרת חיצוני כדי לאחזר מטענים משניים
• שומר על התמדה באמצעות מנגנון סקר אשר מאחזר ומבצע קוד נוסף באופן רציף

מודל ביצוע ללא קבצים זה משפר את החמקנות ומסבך את מאמצי הגילוי על ידי כלי אבטחה מסורתיים.

מדריך עקבי לאחר ניצול

למרות הבדלים בגישה הראשונית, פעולות LeakNet מתכנסות לכדי תהליך עבודה צפוי לאחר פגיעה. עקביות זו מספקת למגינים הזדמנויות חשובות לגילוי ולשיבוש מערכות לפני פריסת תוכנות כופר.

רצף ההתקפה האופייני כולל:

• טעינת DLL צדדית להפעלת ספריות זדוניות המסופקות על ידי הטוען
• תנועה רוחבית באמצעות כלים כמו PsExec להרחבת גישת הרשת
• סיור אישורים דרך cmd.exe /c klist לזיהוי הפעלות אימות פעילות
• תהליכי אחסון וחילוץ נתונים דרך דליים של S3, תוך הסתרת הפעילות כתעבורת ענן לגיטימית
• שלב ההצפנה הסופי לפריסת תוכנות כופר

השימוש בכלים מקוריים של Windows ובשירותי ענן נפוצים מאפשר לפעולות זדוניות להשתלב בהתנהגות הרגילה של המערכת והרשת.

פרופיל איום: מקורות והיקף מיקוד

LeakNet, שהופיעה בנובמבר 2024, מיצבה את עצמה בתחילה כ"כלב שמירה דיגיטלי", וקידמה נושאים של שקיפות וחופש אינטרנט. עם זאת, פעילות שנצפתה מגלה היקף מבצעי רחב ואגרסיבי יותר, כולל התקפות נגד ארגונים תעשייתיים.

אסטרטגיית המיקוד חסרת ההבחנה של הקמפיין, בשילוב עם שיטות הדבקה ניתנות להרחבה, מדגישה את כוונתו למקסם את טווח ההגעה במקום להתמקד במגזרים ספציפיים.

השלכות הגנתיות: יכולת חיזוי כיתרון

למרות שטכניקות הכניסה של LeakNet התפתחו, ההסתמכות שלה על שרשרת ניצול חוזרת מציגה חולשה קריטית. כל שלב של ההתקפה, החל מהביצוע ועד לתנועה צידית וחילוץ נתונים, עוקב אחר דפוסי התנהגות ניתנים לזיהוי.

עקביות זו מאפשרת למגינים:

• זיהוי שימוש חריג בכלי מערכת לגיטימיים
• ניטור דפוסי ביצוע חריגים בזיכרון
• זיהוי אינטראקציות חשודות באחסון ענן
• פסיקת התקדמות ההתקפה לפני מתרחשת הצפנה

המסקנה המרכזית ברורה: בעוד ששיטות הגישה הראשוניות עשויות להשתנות, תוכנית ההפעלה הבסיסית נשארת יציבה, ומציעה הזדמנויות מרובות לגילוי ותגובה מוקדמים.