Operation Endgame: Europol השביתה שלוש רשתות נוזקה ואיתרה 6.4 מיליון רשומות של קורבנות
גל חדש במבצע Operation Endgame פגע ב-235 שרתים וב-257 דומיינים של שלוש רשתות נוזקה. פרטי הקורבנות יגיעו לשירותי התרעה כמו HaveIBeenPwned, ובעלי אתרי וורדפרס מתבקשים לבדוק את האתר.
TL;DR בקצרה
- המבצע פגע ב-235 שרתים וב-257 דומיינים, בשיתוף משטרות מתשע מדינות וחברות פרטיות
- Gootloader הפיצה מסמכים משפטיים מזויפים דרך אתרי וורדפרס פרוצים, ו-681 אתרים נוקו
- כ-6.4 מיליון רשומות של קורבנות יגיעו לשירותי התרעה, ובהם HaveIBeenPwned
- Europol ממליצה למשתמשי WordPress להחליף סיסמאות, להפעיל אימות דו-שלבי ולעדכן
Europol ושותפיה השביתו את התשתית של שלוש רשתות נוזקה, Gootloader, CastleRAT ו-StealC, במסגרת גל חדש של Operation Endgame. לפי הודעת Europol, הרשויות פעלו נגד 235 שרתים ו-257 דומיינים. בשרתים שנתפסו איתרו החוקרים כ-6.4 מיליון רשומות של פרטי קורבנות.
שלוש הנוזקות ש-Operation Endgame פגע בהן
שלוש הנוזקות שייכות לאותה כלכלה פלילית: כלים שמושכרים לעבריינים אחרים, שמשתמשים בהם כדי להגיע לכופרה ולגניבת מידע. Europol מכנה את זה cybercrime-as-a-service, כלומר פשיעת סייבר כשירות.
- Gootloader היא נוזקה שפותחת את הדלת למתקפות הבאות. היא הופצה כמסמכים משפטיים מזויפים, בעיקר מאתרי WordPress פרוצים. נגדה הושבתו 14 שרתים ו-218 דומיינים, ו-681 אתרים נגועים נוקו.
- CastleRAT היא נוזקה לשליטה מרחוק במחשב, שמוכרת מאז 2025. לפי Europol, היא הובילה להצפנת נתונים, להשבתת מערכות שלמות ואילצה חברות לשלם לתוקפים. הרשויות תפסו 120 שרתים ו-39 דומיינים.
- StealC גונבת סיסמאות, פרטי התחברות שמורים וזהויות דיגיטליות, ומעבירה אותם למכירה. הרשויות פירקו 102 שרתים שלה, בהמשך לפעולה נגדה ביוני.
בפעולה השתתפו גופי אכיפה מבולגריה, קנדה, דנמרק, גרמניה, מולדובה, הולנד, פולין, בריטניה וארצות הברית, לצד Eurojust וחברות פרטיות. שימו לב לפער קטן: לפי חישוב של GBHackers, סכום השרתים בפירוט הוא 236 ולא 235, ו-Europol לא הסבירה את ההבדל.
מה המשמעות של 6.4 מיליון רשומות
המספר לא אומר ש-6.4 מיליון אנשים נפגעו. אלה רשומות, ואדם אחד יכול להופיע בכמה מהן. ובכל זאת, אלה פרטי התחברות אמיתיים שנגנבו ממחשבים נגועים ונועדו למכירה. Europol מסרה שהיא תעביר את הנתונים לשירותי התרעה, ובהם HaveIBeenPwned, The Shadowserver Foundation ו-NoMoreLeaks.
לבעלי אתרים יש כאן לקח נוסף. Gootloader לא פרצה לאתרים כדי לפגוע בבעליהם, אלא כדי להשתמש בהם כפלטפורמת הפצה. אתר וורדפרס של עסק קטן, עם תוסף ישן או סיסמה חלשה, יכול להפוך בלי ידיעת הבעלים לנקודת חלוקה של נוזקה. הנזק לבעל האתר הוא אובדן אמון, חסימה בדפדפנים ופגיעה במיקום בחיפוש.
למה Operation Endgame לא פותר את הבעיה לגמרי
השבתת שרתים מכה את העבריינים בכיס ובזמן, אבל לא בהכרח מוציאה אותם מהמשחק. Europol לא דיווחה על מעצרים בגל הזה, ונוזקות כאלה נוטות לחזור עם תשתית חדשה. העובדה ש-StealC מופיעה כבר בפעם השנייה השנה מראה את זה היטב.
מה זה אומר עבורכם
- הכניסו את כתובות המייל שלכם ושל העובדים לאתר HaveIBeenPwned, וחזרו לבדוק בשבועות הקרובים, כשהנתונים החדשים ייקלטו.
- אם המייל שלכם מופיע, החליפו את הסיסמה בכל שירות שבו השתמשתם בה, והפעילו אימות דו-שלבי.
- בעלי אתרי WordPress: עדכנו את הליבה, התבנית והתוספים, החליפו סיסמאות של כל המנהלים, ובדקו אם יש משתמשים שאתם לא מכירים.
- היזהרו ממסמך משפטי, חוזה או טופס שהגיע מחיפוש בגוגל והורד כקובץ ZIP. זו הדרך הקלאסית של Gootloader.
- מחשב שהריץ נוזקה שגונבת סיסמאות דורש ניקוי מלא. החלפת סיסמאות מאותו מחשב לא תספיק.
מה הלאה
Operation Endgame פועל במחזורים. כל כמה חודשים הרשויות חוזרות עם גל חדש נגד כלים אחרים בשרשרת של מתקפות הכופרה. מבחינתכם, הצעד המעשי הוא בדיקה חוזרת של HaveIBeenPwned בעוד כמה שבועות. השירותים צריכים זמן כדי לקלוט את כל הנתונים מהגל הזה. בעלי אתרים יכולים גם להירשם להתרעות של The Shadowserver Foundation על הדומיין שלהם, שירות חינמי שמדווח על בעיות אבטחה שמתגלות ברשת.
מקורות והרחבה
- 6.4 million victim datasets secured in international operation against malware networksEuropol
- Europol Dismantles Three Major Malware Networks, Seizes 235 Servers and 6.4 Million Stolen RecordsGBHackers
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
