השרת החשוף: ספר המבצעים נשאר פתוח

חוקרי CloudSEK גילו ספרייה פתוחה על שרת השייך לאיום הקשור לרוסיה, ששימשה כתיעוד ברמת הפקודה של פעילות המפעיל . הספרייה הכילה:

• כלי ניצול (Exploit Tooling) ממוינים לפי CVE
• רשימות מטרות מחולקות לפי מדינה
• תוצאות סריקה שמויינו לשלוש קבוצות: פגיעות, לא-פגיעות, ובלתי-ניתנות להשגה
• מנגנון תיעוד התקדמות (Checkpoint) שעקב אחרי התקדמות על פני מאות אלפי יעדים

למעשה, השרת היה ספר המבצעים ויומן ההקלדות של המפעיל – והכל גלוי לעין כל מי שידע היכן לחפש.

פרצות מנוצלות ומגזרים ממוקדים

ברוקר הגישה אירגן כלי ניצול ל-12 פרצות אבטחה שונות (CVEs) לפחות, שכולן מכוונות למערכות קצה (Edge Appliances) ויישומי ווב פופולריים . הספקים שנפגעו כוללים את Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin, ו-Hikvision . רוב קוד הניצול היה הוכחת-קונספט ציבורית, אבל ניצולים מרכזיים של Fortinet ו-Citrix שונו למסגרות מודולריות עם עטיפות בשפה הרוסית שאוטומטו הזרקת מפתחות SSH, יצירת משתמשי VPN, התקנת דלתות אחוריות למנהלים וסריקה המונית . המפעיל גם החזיק עותק מקומי של מאגר התבניות nuclei בתוספת למעלה מ-100 תבניות מותאמות אישית לזיהוי פרצות טריות ופאנלי C2 ו-Stealer .

המגזרים שסומנו כוללים חינוך, בריאות, פיננסים, טלקומוניקציה וממשלה – ברחבי יותר מתריסר מדינות בצפון אמריקה, אירופה ומחוץ להן .

ראיות להשתלטות מלאה על Active Directory

שרשרת הפעולות שאחרי החדירה (Post-Exploitation Chain) של המפעיל מספקת ראיות ברורות לשליטה מלאה ב-Active Directory :

• תנועה רוחבית: שימוש ב-Web Shells מסוג Neo-reGeorg ובמנהרות SOCKS להשגת גישה פנימית ראשונית, תוך ניצול NTLM לתנועה רוחבית באמצעות Evil-WinRM .
• גניבת פרטי התחברות: חילוץ מפתחות גיבוי של DPAPI מבקרי תחום (Domain Controllers); חשיפת סודות SAM ו-LSA; איסוף פרטי התחברות שמורים בדפדפנים .
• פגיעה ב-krbtgt וכרטיסי זהב (Golden Tickets): התוקף חילץ את ה-Hash של krbtgt וזייף כרטיסי Kerberos עם תוקף של עשור, מה שאיפשר כניסה חוזרת ללא תלות באיפוסי סיסמאות ושחזור קצוות .
• אישוש מתקרית אמיתית: Greater Pittsburgh Orthopaedic Associates (GPOA), ספק שירותי בריאות אמריקאי, הופיע בספרייה הפתוחה עם אישור לחדירה מלאה לתחום (פרטי מנהל שנגנבו, מפתח DPAPI שחולץ מבקר התחום). GPOA הופיעה מאוחר יותר באתר ההדלפה של קבוצת הכופרה RansomHouse בעקבות תקרית ב-2025 – ופרק הזמן תואם את ציר הזמן האופייני להעברת גישה מברוקר לכופרה .

שיטות איסוף מודיעין נגד אוקראינה

בחלק המאוחר יותר של ציר הזמן המבצעי, הפעילות חרגה מתיווך גישה מסחרי גרידא :

• הפעלת Sliver C2: המפעיל פרס את מסגרת השליטה והבקרה Sliver כנגד מטרות ביטחוניות וחלל אוקראיניות .
• גניבת קוד מקור: ברוקר הגישה חדר וגנב מאגרי קוד מקור דרך מערכות ניהול גרסאות (Version-Control Systems) חשופות שהיו שייכות לפרויקטים ביטחוניים .
• מעקב באמצעות מצלמות IP: המפעיל אסף תמונות מאלפי מצלמות IP חשופות וצילם צילומי מסך מהפעלות RDP חשופות – מידע שימושי לאיתור גיאוגרפי של נכסים צבאיים אוקראינים .
• יעדי משנה: ארה"ב, אירופה ודרום קוריאה הופיעו כיעדי מודיעין משניים בתוך הממצאים .

CloudSEK מציינים ששיטות הפעולה האלו תואמות באופן הדוק את אזהרת המודיעין ההולנדי (AIVD/MIVD) בנוגע למעקב רוסי מבוסס מצלמות המשמש לאיתור עמדות צבא אוקראיניות .

איך הפרופיל הכפול הזה משתלב עם דפוסים רוסיים מתועדים

ההערכה של CloudSEK היא בוודאות גבוהה שהמפעיל הוא ברוקר גישה ראשונית דובר רוסית, ושהפעילות ממוקדת אוקראינה מוסברת בצורה הטובה ביותר כקבלן פלילי שמוכר גישה – כולל מודיעין מבוסס מצלמות – לקונים מטעם המדינה .

זה מתיישב עם דפוס מודיעין רוסי מתועד היטב: שחקנים בחסות המדינה (למשל SVR, GRU, FSB) נוהגים להזמין גישה ראשונית לרשתות מהמערכת הפלילית במקום לפרוץ בעצמם . ברוקר הפלילי מטפל בעבודה הרועשת והכבדה של סריקות וניצול מערכות קצה; לקוחות מדינתיים משלמים עבור גישה מוכנה מראש ליעדים בעלי ערך גבוה (במיוחד מגזרי ביטחון, חלל וממשלה) מבלי לחשוף תשתית מדינה במהלך הפריצה הראשונית.

אותה גישה שברוקר מכר לקבוצות כופרה תמורת רווח נגד מטרות מסחריות, נמכרה גם כצינור מעקב נגד מטרות צבאיות אוקראיניות – מודל דו-שימושי שבו אותה יכולת טכנית מייצרת גם הכנסה פלילית וגם ערך מודיעיני אסטרטגי עבור המדינה הרוסית .

השרת החשוף: ספר המבצעים נשאר פתוח

חוקרי CloudSEK גילו ספרייה פתוחה על שרת השייך לאיום הקשור לרוסיה, ששימשה כתיעוד ברמת הפקודה של פעילות המפעיל . הספרייה הכילה:

• כלי ניצול (Exploit Tooling) ממוינים לפי CVE
• רשימות מטרות מחולקות לפי מדינה
• תוצאות סריקה שמויינו לשלוש קבוצות: פגיעות, לא-פגיעות, ובלתי-ניתנות להשגה
• מנגנון תיעוד התקדמות (Checkpoint) שעקב אחרי התקדמות על פני מאות אלפי יעדים

למעשה, השרת היה ספר המבצעים ויומן ההקלדות של המפעיל – והכל גלוי לעין כל מי שידע היכן לחפש.

פרצות מנוצלות ומגזרים ממוקדים

ברוקר הגישה אירגן כלי ניצול ל-12 פרצות אבטחה שונות (CVEs) לפחות, שכולן מכוונות למערכות קצה (Edge Appliances) ויישומי ווב פופולריים . הספקים שנפגעו כוללים את Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin, ו-Hikvision . רוב קוד הניצול היה הוכחת-קונספט ציבורית, אבל ניצולים מרכזיים של Fortinet ו-Citrix שונו למסגרות מודולריות עם עטיפות בשפה הרוסית שאוטומטו הזרקת מפתחות SSH, יצירת משתמשי VPN, התקנת דלתות אחוריות למנהלים וסריקה המונית . המפעיל גם החזיק עותק מקומי של מאגר התבניות nuclei בתוספת למעלה מ-100 תבניות מותאמות אישית לזיהוי פרצות טריות ופאנלי C2 ו-Stealer .

המגזרים שסומנו כוללים חינוך, בריאות, פיננסים, טלקומוניקציה וממשלה – ברחבי יותר מתריסר מדינות בצפון אמריקה, אירופה ומחוץ להן .

ראיות להשתלטות מלאה על Active Directory

שרשרת הפעולות שאחרי החדירה (Post-Exploitation Chain) של המפעיל מספקת ראיות ברורות לשליטה מלאה ב-Active Directory :

• תנועה רוחבית: שימוש ב-Web Shells מסוג Neo-reGeorg ובמנהרות SOCKS להשגת גישה פנימית ראשונית, תוך ניצול NTLM לתנועה רוחבית באמצעות Evil-WinRM .
• גניבת פרטי התחברות: חילוץ מפתחות גיבוי של DPAPI מבקרי תחום (Domain Controllers); חשיפת סודות SAM ו-LSA; איסוף פרטי התחברות שמורים בדפדפנים .
• פגיעה ב-krbtgt וכרטיסי זהב (Golden Tickets): התוקף חילץ את ה-Hash של krbtgt וזייף כרטיסי Kerberos עם תוקף של עשור, מה שאיפשר כניסה חוזרת ללא תלות באיפוסי סיסמאות ושחזור קצוות .
• אישוש מתקרית אמיתית: Greater Pittsburgh Orthopaedic Associates (GPOA), ספק שירותי בריאות אמריקאי, הופיע בספרייה הפתוחה עם אישור לחדירה מלאה לתחום (פרטי מנהל שנגנבו, מפתח DPAPI שחולץ מבקר התחום). GPOA הופיעה מאוחר יותר באתר ההדלפה של קבוצת הכופרה RansomHouse בעקבות תקרית ב-2025 – ופרק הזמן תואם את ציר הזמן האופייני להעברת גישה מברוקר לכופרה .

שיטות איסוף מודיעין נגד אוקראינה

בחלק המאוחר יותר של ציר הזמן המבצעי, הפעילות חרגה מתיווך גישה מסחרי גרידא :

• הפעלת Sliver C2: המפעיל פרס את מסגרת השליטה והבקרה Sliver כנגד מטרות ביטחוניות וחלל אוקראיניות .
• גניבת קוד מקור: ברוקר הגישה חדר וגנב מאגרי קוד מקור דרך מערכות ניהול גרסאות (Version-Control Systems) חשופות שהיו שייכות לפרויקטים ביטחוניים .
• מעקב באמצעות מצלמות IP: המפעיל אסף תמונות מאלפי מצלמות IP חשופות וצילם צילומי מסך מהפעלות RDP חשופות – מידע שימושי לאיתור גיאוגרפי של נכסים צבאיים אוקראינים .
• יעדי משנה: ארה"ב, אירופה ודרום קוריאה הופיעו כיעדי מודיעין משניים בתוך הממצאים .

CloudSEK מציינים ששיטות הפעולה האלו תואמות באופן הדוק את אזהרת המודיעין ההולנדי (AIVD/MIVD) בנוגע למעקב רוסי מבוסס מצלמות המשמש לאיתור עמדות צבא אוקראיניות .

איך הפרופיל הכפול הזה משתלב עם דפוסים רוסיים מתועדים

ההערכה של CloudSEK היא בוודאות גבוהה שהמפעיל הוא ברוקר גישה ראשונית דובר רוסית, ושהפעילות ממוקדת אוקראינה מוסברת בצורה הטובה ביותר כקבלן פלילי שמוכר גישה – כולל מודיעין מבוסס מצלמות – לקונים מטעם המדינה .

זה מתיישב עם דפוס מודיעין רוסי מתועד היטב: שחקנים בחסות המדינה (למשל SVR, GRU, FSB) נוהגים להזמין גישה ראשונית לרשתות מהמערכת הפלילית במקום לפרוץ בעצמם . ברוקר הפלילי מטפל בעבודה הרועשת והכבדה של סריקות וניצול מערכות קצה; לקוחות מדינתיים משלמים עבור גישה מוכנה מראש ליעדים בעלי ערך גבוה (במיוחד מגזרי ביטחון, חלל וממשלה) מבלי לחשוף תשתית מדינה במהלך הפריצה הראשונית.

אותה גישה שברוקר מכר לקבוצות כופרה תמורת רווח נגד מטרות מסחריות, נמכרה גם כצינור מעקב נגד מטרות צבאיות אוקראיניות – מודל דו-שימושי שבו אותה יכולת טכנית מייצרת גם הכנסה פלילית וגם ערך מודיעיני אסטרטגי עבור המדינה הרוסית .