SideWinder APT
חברות ימיות ולוגיסטיקה בדרום ודרום מזרח אסיה, אפריקה והמזרח התיכון הפכו ליעדים מרכזיים של קבוצת איום מתמשך (APT) המכונה SideWinder. התקפות סייבר שנצפו לאחרונה ב-2024 השפיעו על ארגונים בבנגלדש, קמבודיה, ג'יבוטי, מצרים, איחוד האמירויות הערביות ווייטנאם.
מעבר למגזרים הימיים, SideWinder שמה את הכוונת שלה גם על תחנות כוח גרעיניות ותשתיות אנרגיה גרעינית ברחבי דרום אסיה ואפריקה. תעשיות אחרות שנפגעו כוללות טלקומוניקציה, ייעוץ, שירותי IT, סוכנויות נדל"ן ואפילו מגזרי אירוח כמו בתי מלון.
תוכן העניינים
מטרות דיפלומטיות והקשר ההודי
בהרחבה בולטת של טביעת הרגל התקיפה שלה, SideWinder השיקה גם פעולות סייבר נגד ישויות דיפלומטיות באפגניסטן, אלג'יריה, בולגריה, סין, הודו, האיים המלדיביים, רואנדה, ערב הסעודית, טורקיה ואוגנדה. המיקוד הספציפי של הקבוצה להודו הוא משמעותי, בהתחשב בהשערות קודמות שייתכן ששחקן האיום הוא ממוצא הודי.
יריב מתפתח וחמקמק ללא הרף
SideWinder ידועה בהתפתחות המתמשכת שלה, כאשר מומחים מתארים אותה כ'יריב מתקדם ומסוכן ביותר'. הקבוצה משפרת בעקביות את ערכות הכלים שלה, מתחמקת מזיהוי תוכנות אבטחה, ומבטיחה התמדה ארוכת טווח בתוך רשתות שנפגעו תוך מזעור טביעת הרגל הדיגיטלית שלה.
StealerBot: כלי ריגול קטלני
באוקטובר 2024, חוקרי אבטחת סייבר ערכו ניתוח מעמיק של SideWinder, וחשפו את השימוש שלו ב-StealerBot - ערכת כלים מודולרית לאחר ניצול שנועדה לחלץ נתונים רגישים ממערכות שנפגעו. ההתעניינות של SideWinder בתעשייה הימית תועדה בעבר ביולי 2024, והדגישה את גישתה העיקשת והממוקדת.
שיטת ההתקפה: דיוג בחנית וניצול
ההתקפות האחרונות עוקבות אחר דפוס מוכר. הודעות דואר אלקטרוני מסוג Spear-phishing משמשות כווקטור ההדבקה הראשוני, הנושאות מסמכים לא בטוחים המנצלים פגיעות ידועה של Microsoft Office (CVE-2017-11882). לאחר פתיחתם, המסמכים הללו מפעילים רצף רב-שלבי, ובסופו של דבר פורסים תוכנת הורדת .NET בשם ModuleInstaller, אשר בתורה משיקה את StealerBot.
חוקרים אישרו שרבים ממסמכי הפיתוי מתייחסים לסוכנויות אנרגיה גרעינית, תחנות כוח גרעיניות, תשתיות ימיות ורשויות נמל - מה שמצביע על גישה אסטרטגית ביותר למיקוד בתעשיות קריטיות.
הסתגלות כדי להקדים את אמצעי האבטחה
SideWinder עוקב באופן פעיל אחר גילויי אבטחה של תוכנות זדוניות. לאחר זיהוי הכלים שלה, הקבוצה מפתחת במהירות גרסאות חדשות ומשונות - לפעמים תוך שעות ספורות. אם פתרונות אבטחה מסמנים את התנהגותם, הם מגיבים על ידי שינוי טכניקות התמדה, שינוי שמות ונתיבים של קבצים והתאמת אופן הטעינה של רכיבים מזיקים.
על ידי חידוד מתמשך של שיטות התקיפה שלה והסתגלות מהירה לאמצעי נגד, SideWinder נשאר איום סייבר מתמשך ומתפתח לתעשיות מפתח ברחבי העולם.
