מי תוקף מטרות פלסטיניות? כנראה החמאס

נחשפה קבוצת האקרים הפועלים נגד ארגונים פלסטיניים – ועושים זאת עם גל של נוזקות בנות שנים, כך על פי מחקר שפורסם אתמול (ד').

חוקרים של טאלוס (Talos), חטיבת מודיעין האיומים של סיסקו, גילו גל של מתקפות, אשר החל באוקטובר 2021, המכוונות נגד פלסטינים. ההאקרים השתמשו בנוזקה Micropsia.

התקיפות הן חלק מקמפיין רחב יותר, שהתחולל בשנת 2017 – הקשור לקבוצה בשם Arid Viper – נחש צפע צחיח, קבוצת פריצה ערבית, הקשורה אולי לחמאס. היא הופיעה בראשונה ב-2015, והיא ידועה גם בשם Desert Falcons, או APT-C-23. ב-2015 חוקרי קספרסקי כינו אותה "קבוצת APT הערבית הבלעדית הראשונה". החוקרים העריכו אז, כי הקבוצה מונה כ-30 תוקפים שהפעילו נוזקות פרי פיתוח עצמי, "תוצרת בית", והשתמשו בטכניקות הנדסה חברתית ואחרות – נגד מטרות בכל רחבי העולם.

לפי חוקרי טאלוס, המניע העיקרי של הקבוצה הוא ריגול וגניבת מידע, ו"מיוחס למפעילים זדוניים עם מניע פוליטי – של שחרור פלסטין". למרות שאינה "שחקן מפותח מבחינה טכנית", ידוע שהקבוצה ממקדת את המתקפות שלה כנגד פלטפורמות ניידות וגם מחשבים נייחים, לרבות אלה של אפל, בעלות מערכת ההפעלה Apple iOS, ויש לה נוזקות הפועלות נגד מכשירים מבוססי אנדרואיד.

החוקרים לא פירטו את יעדי הקמפיין. ב-2020 סייבריזן (Cybereason) ציינה, כי הסבר אפשרי לפעילות סייבר הקשורה לחמאס כנגד מטרות פלסטיניות הוא היריבות ההיסטורית בין חמאס ותנועת הפת"ח, השולטת בגדה המערבית.

חוקרי טאלוס זיהו קמפיין קודם הקשור לקבוצה ב-2017, אשר כוון כנגד סוכנויות אכיפת חוק פלסטיניות וסוכנויות פלסטיניות אחרות. גם אז נעשה שימוש בנוזקה Micropsia. זו מחביאה בקרבה קובץ זדוני שנכתב בשפת Delphi – המכילה כמה סוסים טרויאניים בעלי יכולת גישה מרחוק ואיסוף מידע.

הקמפיין החדש משתמש באותן טקטיקות, טכניקות ודפוסי פעילות שנצפו ב-2017. אלה קשורים בדרך כלל למאבקים בסייבר הנושאים אופי פוליטי.

גל המתקפות הנוכחי גם הוא כרוך בשימוש בנושאים טעונים פוליטית כדי לפתות קורבנות לפתוח קבצים זדוניים, כגון דו"חות שנתיים הקשורים לנושאים פוליטיים, מאמרים וכתבות על איחוד משפחות פלסטיניות ודו"ח מצב חולים של משרד הבריאות הפלסטיני.

התוכנה הזדונית המפורטת במחקר האחרון מייצרת דריסת רגל מתמשכת במערכת היעד, פורסת את הטרויאנים עם גישה מרחוק ומאפשרת פעולות אחרות, כמו לכידת צילומי מסך של מחשבי יעד.

באפריל האחרון, מטא (Meta), החברה האם של פייסבוק, פעלה נגד הקבוצה, כי היא בנתה חשבונות מזויפים בקמפיינים ממוקדים של ריגול סייבר נגד שלל יעדים פלסטיניים: פקידי ממשל, חברי מפלגת הפת"ח, קבוצות סטודנטים וכוחות הביטחון. לפי מטא, "הקבוצה משלבת תוכנות מעקב מותאמות אישית ל-iOS. הרוגלות מאד פונקציונליות, והן מסוגלות לגנוב נתוני משתמשים רגישים ממכשירי ה-iPhone – בלא צורך לפרוץ אותם לפני הפריצה".

לפי חוקרי טאלוס, הפעילות של מטא כנגד קבוצת ההאקרים לא עצרה אותה: "כל העדויות מראות, כי לקבוצה יש מוטיבציה ואמצעים להפעיל קמפיינים ארוכי שנים נגד אותם יעדים. רמת המוטיבציה הזו הופכת אותם למסוכנים במיוחד עבור הקורבנות".

"קבוצת ההאקרים הזו היא דוגמה מצוינת לקבוצות שאינן מאוד מתקדמות מבחינה טכנולוגית", סיכמו החוקרים. "עם זאת, כאשר הן חמושות במניעים ספציפיים, הן הופכות למסוכנות יותר – ככל שהן מתפתחות עם הזמן ובודקות את הכלים ודפוסי הפעולה שלהן כל הזמן – על המטרות".