סומניה כופר
האקרים רוסים משתמשים בזן חדש של תוכנת כופר, שנקרא סומניה, כדי לשבש את הפעילות הרגילה של מטרות באוקראינה. בעקבות הפלישה הרוסית למדינת אוקראינה, חוקרי infosec דיווחו ללא הרף על עלייה דרסטית במסעות התקיפה נגד גופים ממשלתיים וגופים במגזר הפרטי באוקראינה. פרטים על סומניה כופר ומפעיליה פורסמו לציבור בדו"ח של CERT-UA (Computer Emergency Response Team of Ukraine).
שרשרת זיהום
על פי הממצאים שלהם, פושעי הסייבר האחראים למתקפות סומניה שייכים למה שמאמינים שהוא קבוצת האקטיביסטים פרו-רוסית בשם From Russia with Love (FRwL), המלווה גם כ-Z-Team ו-UAC-0118. גורמי האיום השתמשו בכלי הכופר כדי להשפיע על פעולתן של מערכות אוטומטיות, כמו גם מכונות מחשוב אלקטרוניות השייכות למטרה שנפרצה.
מומחי Infosec מזהירים כי FRwL משתמש בשרשרת זיהום רב-שכבתית הכוללת מספר כלים מאיימים שונים. אושר כי וקטור הפשרה הראשוני הוא הורדה וביצוע של מתקין נשק המתחזה לתוכנת 'סורק IP מתקדם'. הקובץ המזויף מופץ דרך אתרי אינטרנט ייעודיים המחקים פורטלי אינטרנט לגיטימיים. עובדי הארגון הממוקד שנופלים בפח יפעילו ויתקינו את איום ה- Vidar Stealer במחשביהם.
לאחר מכן, שחקני האיומים משתמשים בווידאר כדי להשיג את נתוני הפגישה של הקורבן ולאחר מכן להשתלט על החשבונות שלהם. החשבונות שנפרצו ממונפים על ידי התוקפים באופן שיאפשר להם לאסוף נתוני חיבור VPN. אם ל-VPN חסר מספיק 2FA (אימות דו-גורמי) האקרים של FRwL יקבלו גישה לא מורשית לרשת הארגונית של הארגון. לאחר מכן, פושעי הסייבר מקימים משואה של Cobalt Strike וממשיכים לחלץ נתונים רגישים או לבצע פעולות מעקב נוספות.
פרטי תוכנת הכופר של Somnia
האיום של Somnia Ransomware יכול להשפיע על כמות עצומה של סוגי קבצים שונים ולהצפין אותם באמצעות אלגוריתם קריפטוגרפי. לכל קובץ נעול יצורף '.somnia' לשמו המקורי. בעוד שרוב פעולות תוכנת הכופר מונעות כלכלית, זה לא המקרה עם סומניה. התוקפים משתמשים בכלי המאיים שלהם יותר כמו מגב נתונים שימנע מהקורבן לגשת לנתונים שלהם. התוקפים אינם מבקשים לקבל כופר, שכן זו אינה מטרתם העיקרית.
החוקרים ב-CERT-UA מציינים כי נראה שסומניה עדיין בפיתוח פעיל. לדוגמה, גרסאות קודמות של האיום היו מצוידות והסתמכו על אלגוריתם 3DES הסימטרי. עם זאת, איטרציות מאוחרות יותר הועברו להפעלת אלגוריתם AES להצפנה של סוגי הקבצים הממוקדים.
