בשנים האחרונות הפכה הכופרה (Ransomware) לשם נרדף למתקפת סייבר, כאשר היא משפיעה על עסקים, ממשלות, ארגוני בריאות ואנשים פרטיים ברחבי העולם. עם עלייה חדה בדרישות הכופר ופגיעה בפעילות של עסקים, ההשפעה הכלכלית של כופרה היא לא פחות מהרסנית.
בעוד שרבים מקשרים את הכופרה רק להצפנה, מדובר במשהו רחב הרבה יותר. הבנת הכופרה כשרשרת תקיפה שלמה, הכוללת טקטיקות, וקטורי (נתיבים) תקיפה ומנגנונים טכניים, היא הצעד הראשון ליישום הגנה אפקטיבית.
המדריך שלפניכם הוא תוצאה של מחקר מעמיק על קבוצות הכופרה המשפיעות ביותר בשלוש השנים האחרונות, תוך שימוש בתובנות ונתונים מגופים כמו CISA ו-Ransomware Live.
המדריך ממפה את הטקטיקות, הטכניקות והנהלים (TTPs) של אותן קבוצות לפי מתודולוגיית MITRE ATT&CK ובונה שרשרת תקיפה טיפוסית אך ייחודית לכופרה.
בהתבסס על אותה שרשרת תקיפה, פיתחנו “שרשרת הגנה” נגד כופרה לפי MITRE D3FEND, המציעה טכניקות מעשיות להתמודדות עם הכופרה בכל שלבי התקיפה ולא רק בשלב הסופי של הצפנה והוצאת מידע.
במדריך נבחן את מבנה הכופרה, התפתחותה, פרופילים של קבוצות ידועות ואת אופן הביצוע של התקפות אלו ולכן בין אם אתם אנשי סייבר טכניים או מנהלי אבטחת מידע, מדריך זה יעניק לכם את הידע והכלים הנחוצים לפיתוח אסטרטגיות הגנה מעשיות ויישום בקרות טכניות שיסייעו בזיהוי, צמצום, ובסופו של דבר מניעת התקפות כופרה.
(Ransomware) מהי כופרה?
כופרה הוא סוג של תוכנה זדונית (זדונה – Malware) שמצפינה קבצים או נועלת משתמשים ממערכותיהם, מה שהופך אותן ללא נגישות עד לתשלום כופר (לעיתים גם אחרי התשלום).
התקפה כזו מתחילה לרוב בחדירה ראשונית, לעיתים באמצעות הודעות פישינג או ניצול חולשות בתוכנה, שמאפשרים לתוקף גישה לא מורשית למערכת של הקורבן. ברגע שהתוקף בפנים, הכופרה מצפינה קבצים חשובים או חוסמת גישה למערכות שלמות. הקורבנות מקבלים הודעת דרישה לתשלום – לרוב במטבעות קריפטוגרפיים – כדי לקבל מפתח פענוח או לשחזר גישה למערכת הנעולה.
העלות של כופרה לכלכלה הגלובלית
התקפות כופרה זינקו בשנים האחרונות, עם הכפלה בתדירות בין השנים 2019 ל-2021. סקטורים כמו בריאות, ממשל ותשתיות קריטיות הפכו ליעדים עיקריים בשל ההשלכות הקריטיות של השבתת פעילותם.
העלות הכלכלית של כופרה מטפסת בקצב חסר תקדים. בשנת 2021 בלבד, העריכו כי התקפות כופרה גרמו לנזק של 20 מיליארד דולר לכלכלה העולמית. תחזיות צופות כי הסכום יגיע ל-265 מיליארד דולר עד 2031.
ב-2023, תשלומי הכופר שברו שיאים, עם תשלומים כוללים של מעל מיליארד דולר. אחד מתשלומי הכופר הגדולים ביותר היה הסכם של 75 מיליון דולר ששולם ב-2024 על ידי חברה ברשימת ה Fortune 50 לקבוצת התקיפה Dark Angels.
מקורות והתפתחות של כופרה
תוכנות הכופרה הופיעו לראשונה ב-1989, עם הווירוסAIDS Trojan PC Cyborg שנוצר על ידי ד”ר ג’וזף פופ והופץ בדיסקטים בכנס על מחלת האיידס. הווירוס הזה הצפין שמות קבצים במחשבים נגועים ודרש כופר של 189 דולר עבור מפתח פענוח.
מאז התרחשו מתקפות כופרה רבות שהשפיעו באופן משמעותי על עולם הסייבר ושינו את פני האיומים הדיגיטליים. הנה כמה מהדוגמאות הבולטות:
מאי 2017 – WannaCry
WannaCry היא אחת ממתקפות הכופרה הידועות ביותר שניצלה חולשה במערכת Windows ותקפה מעל 200,000 מחשבים ב-150 מדינות תוך יום אחד.
המתקפה פגעה במגזרים רבים, כולל מערכת הבריאות הבריטית (NHS) שנאלצה לבטל תורים ולהפנות חולים דחופים. האירוע הדגיש את החשיבות של עדכון מערכות (Patch Management) ואת הצורך ביישום שיטות עבודה מאובטחות.
יוני 2017 – NotPetya
NotPetyaהתנהגה בתחילה כמו תוכנת כופרה (Petya ומכאן שמה) אך למעשה הייתה מתקפה שנועדה למחוק נתונים ולא לגבות כופר.
היא גרמה להפרעות קשות ברחבי העולם, במיוחד בחברת Maersk מה שהוביל לנזק מוערך של 10 מיליארד דולר. המתקפה הדגימה כיצד טקטיקות בסגנון כופרה יכולות לשמש למטרות הרסניות ולא רק להפקת רווח. למרות שלא עונה על ההגדרה הרשמית היא נכללת ברשימה זו בשל הטכניקות והדמיון לתוכנה ממנה “שאבה השראה” שהייתה כופרה מובהקת.
2021 – Colonial Pipeline
המתקפה שבוצעה על ידי קבוצת DarkSide גרמה למחסור בדלק ברחבי מזרח ארה”ב ולסגירה זמנית של צינור הדלק המרכזי. החברה שילמה כופר בסך 4.4 מיליון דולר.
האירוע הדגיש את החשיבות של מאמצים משותפים בין אכיפת החוק והמגזר הפרטי בלחץ על קבוצות כופרה.
2021 – Kaseya
קבוצת REvil אחת מקבוצות התקיפה הבולטות, ניצלה חולשות בתוכנת Kaseya והשפיעה על מאות עסקים שהשתמשו בשירותי הניהול שלה.
המתקפה הדגימה כיצד כופרה יכול להגיע לשרשראות אספקה (Supply Chain Attack) נרחבות ולהשפיע על חברות רבות דרך פרצה אחת בודדת.
2023 – MOVEit
קבוצת Cl0p שמתמקדת ב”מטרות גדולות” (ארגונים גדולים עם כיסים עמוקים) תוך דרישות כופר משמעותיות. הקמפיין הספציפי הזה לבדו הניב מעל 100 מיליון דולר בתשלומי כופר.
קבוצות תקיפה בולטות בתחום הכופרה
ישנם עשרות אם לא מאות קבוצות תקיפה שונות בתחום הכופרה אז במדריך הזה בחרנו להתמקד ב10 הגדולות ביותר שנים האחרונות.
להלן סקירה קצרה של חלק מהן:
LockBit
אחת מקבוצות הכופרה הגדולות בעולם מאז 2022.
הקבוצה משתמשת במודל Ransomware-as-a-Service (RaaS) המאפשר לשותפים לבצע תקיפות בכל העולם. היא ידועה בטקטיקות אדפטיביות ואגרסיביות, כולל שימוש בהצפנה מתקדמת ופרקטיקות סחיטה.
למרות לחצים מצד רשויות האכיפה ב-2024 LockBit נותרה איום מרכזי וממשיכה לתקוף מגזרים רבים כגון בריאות, חינוך, תעשייה ותחבורה.
RansomHub
קבוצה זו פועלת במודל סחיטה, תוך התמקדות בגניבת נתונים רגישים ואיום בפרסומם אם לא ישולם הכופר אז לרוב ללא הצפנתם.
היא מתמקדת בארגונים עם קניין רוחני יקר ומשתמשת בטקטיקות מהירות ודיסקרטיות.
Play
קבוצה שהופיעה ב-2022 ונודעה בשיטת הצפנה ייחודית המאפשרת לעקוף חלק ניכר מההגנות הקיימות.
הקבוצה ממוקדת בתקיפת תשתיות קריטיות ושירותים ציבוריים, תוך ניצול חולשות RDP וסיסמאות חלשות.
Black Basta
קבוצה זו פעילה מאז 2022 ומתמקדת בתקיפות נגד ארגונים גדולים בתעשיות שונות.
היא משתמשת בסחיטה כפולה ונודעת במתקפות פישינג וניצול חולשות במערכות Windows ו Linux.
Qilin
קבוצה זו תוקפת מגזרים בעלי ערך גבוה כמו בריאות וחינוך, תוך ניצול חולשות בפרוטוקול RDP ואפליקציות כמו Citrix.
Medusa
הקבוצה משתמשת בשילוב של הצפנה וסחיטה באמצעות גניבת נתונים.
היא תוקפת בעיקר מוסדות ציבוריים, כולל בתי ספר, בתי חולים וממשלות, ונחשבת לפעילה במיוחד מאז 2023.
Rhysida
הופיעה ב-2023 ומתמקדת בארגוני בריאות וציבור בלמעלה מ-3 יבשות.
Rhysida משתמשת בפישינג דוא”ל ובחולשות רשתות לא מאובטחות כנקודות גישה.
התפתחות תוכנות הכופרה והקבוצות המפעילות אותן מדגישה את הצורך בגישות אבטחה פרואקטיביות וטכניקות מתקדמות להתמודדות עם איומים אלו.
טכניקות תקיפה נפוצות של כופרה
כדי לזהות ולעצור מתקפות כופרה (Ransomware) ניתן להשתמש במסגרת MITRE ATT&CK ובמסגרת MITRE D3FEND.
מסגרות אלו מאפשרות לארגונים ליישם שילוב של מנגנוני זיהוי ושליטה הגנתית, המותאמים לטכניקות ספציפיות בהן נעשה שימוש על ידי תוקפים.
להלן פירוט של טכניקות נפוצות במתקפות כופרה, לפי השלבים השונים של MITRE ATT&CK:
גישה ראשונית (Initial Access)
בשלב זה התוקפים משיגים דריסת רגל ראשונית במערכת באמצעות פישינג או ניצול יישומים הפונים לאינטרנט.
פישינג (Phishing – T1566)
פישינג כולל שליחת הודעות זדוניות (לרוב אימיילים) כדי להונות משתמשים לחשוף מידע רגיש או להפעיל קובץ זדוני.
ניצול יישומים ציבוריים (Exploit Public-Facing Application – T1190)
ניצול פגיעויות ביישומים הזמינים לציבור באינטרנט מאפשר לתוקפים לקבל גישה ראשונית למערכת או לרשת.
ביצוע (Execution)
בשלב זה התוקפים מבצעים קוד זדוני כדי להפעיל את תוכנת הכופרה או כלים נוספים.
פרשן פקודות וסקריפטים (Command and Scripting Interpreter – T1059)
שימוש בפרשני שורת פקודה כמו PowerShell או Bash להרצת פקודות וסקריפטים להתאמה אישית של ההתקפה.
שירותי מערכת: הפעלת שירות (System Services – T1569.002)
אינטראקציה עם שירותי מערכת כדי להריץ קוד בהקשר של אותם שירותים.
התבססות (Persistence)
התוקפים מקימים מנגנונים שיאפשרו להם לשמר את הגישה למערכת, כמו יצירת משימות מתוזמנות (scheduled tasks).
שירותים חיצוניים מרוחקים (External Remote Services – T1133)
ניצול גישה בלתי מורשית לשירותים מרוחקים כגון VPN או RDP כדי לשמר את הגישה.
שינוי רישום מערכת (Modify Registry – T1112)
שינוי ב Registry של Windows לשם שמירת מנגנוני התמדה או שינוי התנהגות המערכת.
העלאת הרשאות (Privilege Escalation)
בשלב זה התוקפים מעלים את רמת ההרשאות שלהם באמצעות פגיעויות או אישורים גנובים.
חשבונות תקינים (Valid Accounts – T1078)
שימוש באישורים לגיטימיים מקשה על זיהוי פעילות חריגה.
ניצול פגיעויות להעלאת הרשאות (Exploitation for Privilege Escalation – T1068)
שימוש בפגיעויות תוכנה כדי להשיג הרשאות גבוהות יותר במערכת.
התחמקות מהגנות (Defense Evasion)
התוקפים משביתים כלים אבטחתיים או מסווים קבצים כדי להימנע מזיהוי.
השבתת הגנות (Impair Defenses – T1562.001)
כיבוי כלים כמו אנטי-וירוס או יומני מערכת.
התחזות (Masquerading – T1036)
הסוואת תהליכים, קבצים או שירותים כיישומים לגיטימיים.
גניבת גישה (Credential Access)
התוקפים גונבים אישורי גישה כדי לאפשר תנועה רוחבית (Lateral Movement.).
הוצאה של אסימוני מערכת (OS Credential Dumping – T1003)
חילוץ אישורי גישה ישירות מהמכשירים הפגועים.
סיסמאות או אסימונים לא מוגנים בקבצים (Unsecured Credentials – T1552.001)
חיפוש אחר אישורים שמורים בקבצים.
גילוי (Discovery)
התוקפים סורקים את הרשת וממפים את הסביבה לצורך תנועה רוחבית.
זיהוי מערכות מרוחקות (Remote System Discovery – T1018)
איתור ומיפוי מערכות ברשת כדי לאפשר תנועה רוחבית.
זיהוי תצורת רשת (System Network Configuration Discovery – T1016)
איסוף מידע על תצורת הרשת לאיתור נתיבי התקפה.
תנועה רוחבית (Lateral Movement)
תזוזה לרוחב הרשת בין תחנות, שרתים ועוד.
שירותים מרוחקים (Remote Services – T1021)
שימוש בשירותים כמו SMB או SSH לצורך תנועה רוחבית.
העברת כלים (Lateral Tool Transfer – T1570)
העברת כלים למערכות מרוחקות לצורך הכנה לשלבים הבאים.
איסוף נתונים (Collection)
בשלב זה נאספים נתונים רגישים לשם גניבה או הצפנה.
ארכוב (דחיסה) נתונים שנאספו (Archive Collected Data – T1560.001)
יצירת קובצי ארכיון לדחיסת הנתונים לפני העברתם.
איסוף נתונים ממערכת מקומית (Data from Local System – T1005)
העתקת קבצים מהמכשיר הנגוע.
שליטה ופיקוד (Command and Control)
הקוד הזדוני מתקשר עם שרת שליטה לצורך קבלת הנחיות.
תוכנות שליטה מרחוק (Remote Access Software – T1219)
שימוש בכלים לגיטימיים לשליטה מרחוק המקשה על זיהוי.
העברת כלים לרשת (Ingress Tool Transfer – T1105)
העברת כלים נוספים לרשת לצורך המשך ההתקפה.
הוצאה החוצה של מידע (Exfiltration)
תוקפים משיגים נתונים ומשתמשים בהם לאיומים נוספים, כמו סחיטה כפולה.
הוצאת מידע בפרוטוקולים אלטרנטיביים (Exfiltration Over Alternative Protocol – T1048)
תוקפים עשויים להשתמש בפרוטוקולים לא נפוצים כדי להוציא נתונים, מה שמאפשר להם לעקוף מערכות לניטור תעבורה ברשת.
העברת מידע לחשבון בענן (Transfer Data to Cloud Account – T1537)
העברת נתונים לחשבונות ענן מספקת לתוקפים שטח אחסון אלטרנטיבי מחוץ לרשת המותקפת.
פגיעה (Impact)
בשלב זה הכופרה מצפינה את הקבצים ויוצרת שיבושים משמעותיים.
הצפנת נתונים לפגיעה (Data Encrypted for Impact – T1486)
שלב מרכזי במתקפת כופרה שבו הקבצים מוצפנים ודורשים מענה מיידי.
שיבוש יכולות שחזור (Inhibit System Recovery – T1490)
מחיקת או השבתת גיבויים כדי להקשות על התאוששות.
טכניקות גילוי והגנה מפני כופרה
כדי לזהות ולהגן מפני מתקפות כופרה באמצעות MITRE ATT&CK ארגונים יכולים ליישם מנגנוני זיהוי ובקרות הגנתיות המותאמות לטכניקות ספציפיות המפורטות ב MITRE D3FEND.
להלן פירוט של שיטות זיהוי והגנה (ע”פ MITRE D3FEND) מפני טכניקות כופרה בשלבים השונים של התקיפה (ע”פ MITRE ATT&CK):
גישה ראשונית (Initial Access)
ניתוח URL (URL Analysis – D3-UA)
ניתוח URL כדי לקבוע אם היא זדונית או לא.
הקשחת הגדרות של יישום (Application Configuration Hardening – D3-ACH)
שינוי הגדרות של יישומים כדי לצמצם את משטח התקיפה.
ניתוח הודעות (Message Analysis – D3-MA)
ניתוח תוכן של מיילים או הודעות כדי לזהות סימנים זדוניים.
הרצה (Execution)
מניעת ביצוע במקטע זיכרון (Process Segment Execution Prevention – D3-PSEP)
חסימת ביצוע של כתובות בזיכרון שאינן חלק ממקטעי קוד.
אימות בינארי של שירותים (Service Binary Verification – D3-SBV)
זיהוי שינויים בקבצי שירותים על ידי השוואה למקור נתונים מהימן.
שימור גישה (Persistence)
זיהוי חיבורי טרמינל מרוחקים (Remote Terminal Session Detection – D3-RTSD)
זיהוי חיבורי טרמינל חיים בלתי מורשים באמצעות ניתוח תעבורת רשת.
מחיקת מפתח רגיסטרי (Registry Key Deletion – D3-RKD)
מחיקת מפתחות רגיסטרי למניעת שיטות שימור גישה.
העלאת הרשאות (Privilege Escalation)
אימות רב-שלבי (Multi-factor Authentication – D3-MFA)
דרישה להוכחות נוספות של זהות לצורך אימות משתמשים.
הרשאות קונפיגורציה של מערכת (System Configuration Permissions – D3-SCP)
הגבלת שינויי מערכת לקבוצה מסוימת קטנה של משתמשים (PoLP).
התחמקות מהגנות (Defense Evasion)
אינדיקציית מצב תחנת קצה (Endpoint Health Beacon – D3-EHB)
שליחת הודעות תקופתיות למעקב אחר מצב תחנות קצה.
רשימות הרשאה של קבצים הרצים במערכת (Executable Allowlisting – D3-EAL)
אישור מראש של קבצים בהתאם למדיניות.
רשימות חסימה של קבצים הרצים במערכת (Executable Denylisting – D3-EDL)
חסימה מראש של קבצים בהתאם למדיניות.
גניבת גישה (Credential Access)
ניתוח תהליכים (Process Analysis – D3-PA)
מעקב אחר תהליכים פעילים כדי לזהות דפוסים חשודים.
הקשחת גישה (Credential Hardening – D3-CH)
יישום טכניקות לשיפור הגנת נתוני זיהוי.
גילוי (Discovery)
ניתוח תעבורת רשת (Network Traffic Analysis – D3-NTA)
זיהוי פעולות בלתי מורשות באמצעות ניתוח התעבורה.
ניתוח ניסיונות חיבור (Connection Attempt Analysis – D3-CAA)
זיהוי חיבורים שנכשלו כדי לאתר ניסיונות בלתי מורשים.
סינון תעבורת רשת (Network Traffic Filtering – D3-NTF)
הגבלת תעבורת רשת המגיעה ממקורות מסוימים.
תנועה רוחבית (Lateral Movement)
זיהוי חיבורי טרמינל מרוחקים (Remote Terminal Session Detection – D3-RTSD)
זיהוי חיבורים חשודים ברשת.
הקשחת פלטפורמות (Platform Hardening – D3-PH)
הקשחת רכיבי מערכת כדי לצמצם אפשרות לניצול.
מיפוי מדיניות תעבורת רשת (Network Traffic Policy Mapping – D3-NTPM)
מיפוי מדיניות תעבורת רשת שמזהה ומדמה את הנתיבים המורשים להעברת נתונים ברמות הרשת, התחבורה ו/או היישום.
בידוד תחום שידור (Broadcast Domain Isolation – D3-BDI)
בידוד שידור מגביל את מספר המחשבים שתחנה יכולה ליצור איתם קשר ברשת המקומית (LAN).
איסוף נתונים (Collection)
ניתוח העברת נתונים של משתמשים (User Data Transfer Analysis – D3-UDTA)
מעקב אחר כמות הנתונים המועברים על ידי משתמשים.
הקשחת פלטפורמות (Platform Hardening – D3-PH)
הקשחת רכיבי מערכת כדי לצמצם אפשרות לניצול.
שליטה ופיקוד (Command and Control)
בקרת גישה מחייבת (Mandatory Access Control – D3-MAC)
בקרת גישה למשאבי מערכת באמצעות הרשאות מערכת.
מיפוי מדיניות תעבורת רשת (Network Traffic Policy Mapping – D3-NTPM)
מיפוי מדיניות תעבורת רשת שמזהה ומדמה את הנתיבים המורשים להעברת נתונים ברמות הרשת, התחבורה ו/או היישום.
הוצאה החוצה של מידע (Exfiltration)
סטיית תעבורת רשת (Network Traffic Community Deviation – D3-NTCD)
זיהוי שינויים סטטיסטיים בתבניות תקשורת בין “קהילות רשת”.
זיהוי חריגות במטא-נתונים של פרוטוקולים (Protocol Metadata Anomaly Detection – D3-PMAD)
איסוף מטא-נתונים של פרוטוקולי תקשורת רשת וזיהוי נקודות חריגות סטטיסטיות.
פגיעה (Impact)
הקשחת פלטפורמות (Platform Hardening – D3-PH)
הקשחת רכיבי מערכת כדי לצמצם אפשרות לניצול.
שחזור קבצים (Restore File – D3-RF)
שחזור נתונים שנפגעו.
בקרות טכנולוגיות לגילוי ומניעה של כופרה
בעוד שכופרה מהווה איום משמעותי, יישום של שכבות אבטחה יכול למנוע את רוב המתקפות.
לאחר שכיסינו את הטכניקות עצמן, נדבר מעט גם על פתרונות מסחריים שמיישמים את הטכניקות האלו:
NGAV
מניעת התנהגויות חריגות כמו גניבת סיסמאות או הרצת קבצים וסקריפטים זדוניים.
EDR ו XDR
זיהוי התנהגויות חריגות כמו גניבת סיסמאות או הרצת קבצים וסקריפטים זדוניים.
SIEM
ניתוח לוגים ודפוסי התחברות למעקב אחרי תנועות חשודות.
אבטחת רשת
הגבלת תנועה רוחבית באמצעות חומות אש, בקרת גישה רשתית ומערכת למניעת חדירות.
אבטחת אימייל (ESG)
הטמעת שרת ייעודי לסינון של דואר נכנס ויוצא.
חומת אש אפליקטיבית (WAF)
הטמעת WAF לסינון תעבורת המגיעה מהאינטרנט אל אפליקציית של הארגון.
אימות רב-שלבי (MFA)
דרישה ממשתמשים לאמת את הזהות שלהם לפני גישה למערכות הארגון.
סריקות פגיעות וניהול עדכונים
עדכון אפליקציות (בעיקר רגישות ומועדות לפורענות) באופן קבוע.
גיבויים
הבטחת גיבויים מנותקים המאובטחים מפני מתקפות.
סיכום
מתקפות כופרה ממשיכות להתפתח, ולכן הבנה מעמיקה של שיטות הפעולה שלהן והגנה פרואקטיבית הן מפתח קריטי.
יישום אסטרטגיות אבטחה רחבה יכול לחזק את מערך ההגנה שלכם ולצמצם את סיכוני הכופרה בצורה משמעותית.
חשוב לציין שמדובר בקווים כללים בלבד ויש צורך להתאים את התוכנית לכל ארגון באופן ייחודי
