מרגלי סייבר רוסים מנצלים את הקרבה במתקפת Wi-Fi חדשנית

קבוצת ריגול סייבר רוסית לקחה את כושר ההמצאה בפריצה לרמה חדשה ומסוכנת עם טכניקה שזכתה לכינוי "התקפת השכן הקרוב". שיטה זו, שהתגלתה על ידי חברת אבטחת הסייבר Volexity, חושפת כיצד קבוצות Advanced Persistent Threat (APT) כמו APT28 (הידוע גם בשם Fancy Bear) מפתחות את הטקטיקות שלהן כדי לעקוף אפילו אמצעי אבטחה חזקים.

במקרה המצמרר הזה, האקרים רוסים חדרו לרשת ה-Wi-Fi של הקורבן לא על ידי פריצה ישירה, אלא על ידי פגיעה בארגון שנמצא מעבר לרחוב. התקרית מדגישה צורך הולך וגובר בדריכות בנוגע לסיכונים שלעיתים קרובות מתעלמים מהם של רשתות Wi-Fi.

האנטומיה של ההתקפה

המתקפה החלה בקמפיין קלאסי לריסוס סיסמאות. ההאקרים השיגו אישורים עבור שירות המשמש את היעד העיקרי שלהם, המכונה "ארגון A". עם זאת, המאמצים הראשוניים שלהם סוכלו על ידי אימות רב-גורמי (MFA), שמנע מהם לנצל את האישורים הללו.

לא נרתעו, ההאקרים העבירו את הפוקוס לבניין סמוך המאכלס ישות משנית, "ארגון B". על ידי התפשרות על מכשיר ברשת של ארגון B שהיה לו גם חיבור Ethernet קווי וגם מתאם Wi-Fi פעיל, התוקפים גישרו את דרכם לרשת ה-Wi-Fi של ארגון A. קבוצת ריגול הסייבר לא עצרה שם: היא גם התפשרה על ישות שלישית, "ארגון C", שסיפקה נתיבי קישוריות נוספים לארגון א'.

התגנבות והונאה: השימוש בטכניקות לחיות מחוץ לאדמה

ההאקרים מחקו בקפידה את עקבותיהם, תוך שימוש בכלי Cipher.exe המקורי של מיקרוסופט - כלי עזר לגיטימי המשמש בדרך כלל למחיקת נתונים מאובטחת. זו הייתה הפעם הראשונה שבה Volexity נתקלה ב-Cipher.exe מנוצל לרעה באופן כזה, מה שהדגיש את הגישה החדשנית של הקבוצה.

בנוסף, הקבוצה הסתמכה במידה רבה על טכניקות "לחיות מחוץ לאדמה", הכוללות ניצול כלים מובנים ותוכנה לגיטימית כדי להתחמק מגילוי. שיטות כאלה מקשות באופן משמעותי על מגינים לייחס או לזהות פעילות זדונית.

APT28: שחקן ידוע לשמצה בריגול סייבר

למרות שחקירות ראשוניות הותירו את Volexity לא בטוחה במבצעים, דו"ח שלאחר מכן ממיקרוסופט בשנת 2024 אישר שהטקטיקות נושאות את סימני ההיכר של פורסט בליזארד - קבוצה שנמצאת במעקב גם כ-APT28, Fancy Bear או Sofacy. APT28 היא יחידת ריגול סייבר רוסית ידועה עם היסטוריה ארוכה של מיקוד נגד יריבים גיאופוליטיים .

במקרה זה, התוקפים התכוונו לגשת לנתונים רגישים הקשורים לאוקראינה, שכן הפרצה התרחשה זמן קצר לפני הפלישה של רוסיה למדינה ב-2022.

סוג חדש של מתקפת קרבה

מה שמייחד את מתקפת השכן הקרוב ביותר הוא כושר ההמצאה שלה. פעולות מסורתיות בגישה קרובה מחייבות תוקפים להיות פיזית ליד המטרות שלהם, מה שמגביר את הסיכון לחשיפה. עם זאת, שיטה זו ממנפת מכשירים שנפגעו במקומות שכנים כדי להשיג את אותם יתרונות מבוססי קרבה מבלי להסתכן בנוכחות פיזית.

"המתקפה הזו מסתכמת למעשה בפעולת גישה קרובה, אבל הסיכון של זיהוי פיזי או מעצר הוסר", הסביר Volexity. הגישה מדגימה את התושייה והנחישות של קבוצות APT מודרניות.

השלכות על אבטחת סייבר: הסיכונים הנסתרים של רשתות Wi-Fi

מתקפת השכן הקרובה משמשת תזכורת ברורה לכך שרשתות Wi-Fi נשארות לעתים קרובות פגיעות שמתעלמים ממנה באסטרטגיות אבטחת סייבר. בעוד שארגונים השקיעו רבות באבטחת שירותים פונים לאינטרנט באמצעות MFA ואמצעים אחרים, אותה הקפדה לא הוחלה על רשתות Wi-Fi.

כדי להתגונן מפני התקפות דומות, ארגונים צריכים:

• בצע הערכות אבטחה יסודיות של כל הרשתות האלחוטיות.
• מעקב אחר מכשירים לא מורשים המחוברים לרשתות Wi-Fi.
• הגבל את הגישה למערכות קריטיות מחיבורי Wi-Fi בכל מקום אפשרי.
• יישם הצפנת Wi-Fi חזקה ועדכן באופן קבוע את אישורי הגישה.
• הדרכת עובדים לזהות ולדווח על פעילות רשת חריגה.

קריאת השכמה למגני סייבר

מתקפת השכן הקרובה ממחישה כיצד קבוצות ריגול סייבר כמו APT28 ממשיכות לחדש, תוך ניצול פגיעות שהתעלמו מהן בחתירה למטרותיהן. ככל שרשתות Wi-Fi הופכות חלק בלתי נפרד מפעולות מודרניות, יש להתייחס לאבטחתן באותה חשיבות כמו מערכות קריטיות אחרות.

מקרה זה אמור לשמש קריאת השכמה לארגונים ברחבי העולם לחשוב מחדש על הגישה שלהם לאבטחה אלחוטית. איומים מתקדמים דורשים הגנות מתקדמות, ועלות השאננות עשויה להיות גבוהה מדי.