תופעה: האקרים מנסים לגייס עובדים שיתקינו כופרות

חוקרי אבנורמל סקיוריטי (Abnormal Security) זיהו קמפיין סייבר חדש, שבמסגרתו ההאקרים שולחים הודעות דוא"ל לעובדי הארגון המותקף ומבקשים את עזרתם בקבלת תוכנית מניעת האיומים הפנימית של הארגון. מטרתם הייתה להדביק את רשתות המחשבים של ארגוני היעד בכופרות.

על פי החוקרים, הודעות האימייל הגיעו ממישהו שקשור לקבוצת הכופרות DemonWare. ההאקרים הציעו לעובדי הארגון המותקף כסף תמורת התקנת הכופרות.

במסגרת הקמפיין, הפושעים אמרו לעובדים כי הם יקבלו מיליון דולר בביטקוין – סכום המשקף 40% מדמי הכופר המשוערים בסך 2.5 מיליון דולר – אם יסכימו להטמיע כופרה במחשב של החברה או בשרת חלונות (Windows) שלה. לפי החוקרים, "נאמר לעובדים כי הם יכולים להפעיל את הכופרה באופן פיזי – או מרחוק. השולח, ההאקר, סיפק שתי שיטות ליצור איתם קשר אם הם מעוניינים בכך – חשבון דוא"ל של אאוטלוק, ושם משתמש בטלגרם".

קריין האסולד, מנהל מחקר האיומים באבנורמל, אמר, כי כדי להבין טוב יותר מה קורה, החברה בנתה ישות וירטואלית פיקטיבית  ויצרה קשר עם ההאקרים בערוץ הטלגרם. כעבור זמן מה, סיפר, ההאקרים יצרו עימו קשר, בטלגרם, "והשיחה סיפקה לנו מבט פנימי מדהים על הלך הרוח של שחקן האיום הזה".

לדבריו, ההאקר טען בפני החוקרים כי הוא הטמיע – ובהצלחה –  את הכופרה במערכי המחשוב של שלוש חברות, "עם זאת, לא הצלחנו לאמת את טענותיו". כעבור חצי שעה שאל ההאקר את חוקר האבטחה – המתחזה לקורבן – האם הוא יכול לגשת לשרת החלונות המזויף שאותו הם בנו. החוקר אישר זאת ולאחר מכן נשלחו אליו שני קישורים לקובץ הפעלה, הניתנים להורדה בשני אתרי שיתוף קבצים – WeTransfer או Mega.nz.

בהתבסס על ניתוח הקובץ, החוקרים אישרו כי הקבצים האמורים הם כופרות. חקירה נוספת הביאה לממצא, שלפיו ההאקר הוא ניגרי. ההאקר גם טען כי פיתח את הכופרה של DemonWare, על אף שהחוקרים אמרו, כי כל הקוד שלה זמין בחינם ב-GitHub. "במשך עשרות שנים הרמאים מאזור מערב אפריקה, ובעיקר מניגריה, שכללו את השימוש בהנדסה חברתית בפעילות הסייבר", סיכם האסולד, "מתקפות הסייבר הנפוצות ביותר שאנו רואים מצד שחקנים ניגרים הן מסוג BEC (ר"ת Business Email Compromise) – הונאות המבוצעות באמצעות הדואר האלקטרוני נגד ארגונים מסחריים וממשלתיים. למרות זאת, יותר מהגיוני כי שחקני האיום הניגרים יחזרו להשתמש בטכניקות דומות של הנדסה חברתית גם כאשר הם מנסים להפעיל בהצלחה מתקפות סייבר מתוחכמות יותר מבחינה טכנולוגית, דוגמת כופרות".