במהלך השבוע פירקה פעולה משטרתית בינלאומית, במסגרת Operation Endgame, את התשתית של שלוש נוזקות: Gootloader, CastleRAT ו-StealC. לפי ה-BKA הגרמני נתפסו כ-6.4 מיליון פרטי כניסה גנובים של יותר מ-40 אלף קורבנות.
הפרטים
לפי Europol נתפסו בסך הכול 235 שרתים ו-257 דומיינים. Gootloader הופץ דרך מסמכים משפטיים מזויפים באתרים שנפרצו (לרוב וורדפרס) וקודם בתוצאות החיפוש; 14 שרתים ו-218 דומיינים הוסרו, ונוקו 681 אתרים. משרד המשפטים האמריקאי מעריך שהנוזקה הדביקה לפחות 25 אלף מחשבים מאז 2018 והייתה קשורה למתקפות כופר על 44 קורבנות אמריקאים לפחות; המשטרה הגרמנית מדברת על מיליוני מחשבים, והפער לא מוסבר. נתפסו 120 שרתים ו-39 דומיינים של CastleRAT. StealC כבר נפגע ביוני, חזר לפעול, ותשתיתו נשענה על שירות אחסון שנסגר באוקטובר. לא הוכרזו מעצרים.
נקודות לשים לב
- המשטרה ההולנדית העלתה נתונים ל-Check your hack: מזינים כתובת מייל ומקבלים הוראות הסרה אם היא מופיעה. השירות בודק כתובות בודדות, לא דומיינים שלמים.
- הנתונים משותפים גם עם Have I Been Pwned ו-Shadowserver, שמתריעים בפני בעלי מכונות נגועות דרך ספקי אינטרנט ו-CSIRT. אם קיבלת התראה כזו, התייחס אליה ברצינות.
- מנהלי אתרי וורדפרס: יש להחליף סיסמאות ניהול לייחודיות באורך 12 תווים לפחות, להפעיל MFA, להסיר חשבונות לא מוכרים וקוד דלת אחורית, לעדכן ליבה, תבניות ותוספים ולהגביל את
/wp-adminלכתובות IP מוכרות. - הודעות מייל שטוענות שהן מהמשטרה ומבקשות לבדוק נתונים הן הונאה, והמשטרה מדגישה שאינה שולחת מיילים עם קישורים.
- הפירוק לא מבטל את הצורך להחליף סיסמאות שנגנבו; StealC כבר חזר פעם אחת אחרי תקיפה.
מקורות: The Hacker News · משרד המשפטים האמריקאי
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
