חשבון ה-X שלכם (שכבר נחסם), הציג במיקום את ישראל ונפתח באוקטובר 2023. בנוסף, באחד הקמפיינים שלכם הפעלתם נוזקת wiper בשם "Kamikaze" הפוגעת באופן ספציפי בקורבנות מאיראן. מצד שני - פרצתם לחברות ישראליות כמו Aqua (Trivy) ו-Checkmarx. אתה יכול להסביר את הסתירה לכאורה באופי הפעילות, באיזה צד אתם, אם בכלל?
המדינות האלו והאנשים שהן משרתות הם פשוט רעים. איראן היא משטר שרוצח מפגינים בדם קר ומממן טרוריסטים, בזמן שממשלת ישראל היא ממשלה של מחרחרי מלחמה, וכלי האבטחה שמיוצרים שם משרתים מדינות עם התנהגות דומה, מה שהופך אותן למטרה מרכזית. ה-wiper נגד איראן היה יותר בשביל הכיף. אנחנו מכניסים אותו כי אנחנו יכולים, ואם על הדרך הוא גורם לנזק משני אז אנחנו נישן טוב יותר בלילה. אנשים תמיד אומרים לנו לבחור צד. למה? אני לא מנהל משא ומתן עם רוע. אני כועס על האופן שבו האנשים האלו עושים שימוש בכוח ואמונה. זה משפיע לרעה על כולם.
יש לכם שיתופי פעולה עם LAPSUS$, Breached ועוד. למה לשתף פעולה עם קבוצות אחרות במקום לנהל את כל שרשרת התקיפה באופן עצמאי?
יש כאן הרבה גישות. עדיף ליצור אקוסיסטם וקשרים, ככה קל יותר למכור את המידע מהר ולהעביר גישות. LAPSUS$ היו טובים לעבודה, הם אמינים מאוד, והם הביאו מה שצריך כדי להניע את הפעילות. דברים מנוהלים אצלנו פנימית הרבה יותר ממה שאתה חושב, אבל התוצאה הסופית לא תמיד מתפרסמת תחת הקבוצות שלנו, מה שמתפרסם אצלנו זה בדרך כלל רק הפריצות המהירות.
בפריצה האחרונה לסביבות הפנימיות של GitHub אתם מציעים למכירה קוד מקור מ-4,000 רפוסיטורים תמורת 50 אלף דולר. מה האסטרטגיה מאחורי מכירת המידע בצורה כזו? למה לא לפנות ישירות ל-GitHub ולדרוש כופר?
כל הקודם זוכה. אנחנו לא סוחטים, אנחנו כאן בשביל כסף, וכמה שיותר מהר. אם GitHub היו רוצים שהמאגרים יישארו פרטיים, הם היו מציעים עליהם מחיר גבוה כמו כולם, או מבקשים את מחיר הסופי שלנו. (ארז: נכון לזמן הראיון, ולפי גרסת הקבוצה, ההצעה הגבוהה ביותר שקיבלו היא $95k)
רוב קבוצות הכופר מתמקדות בהצפנת קבצים של הקורבן, אבל זה נראה שאתם מפוקסים בגניבת נתוני הזדהות, פגיעה בשרשרת אספקה, גניבה ומכירת המידע, ללא הצפנה. למה בחרתם בגישה הזו?
TeamPCP התחילה במקור כקבוצה שמצפינה וסוחטת, אבל זה פשוט כבר לא נצרך. אנחנו מקבלים את אותו תשלום בכל מקרה, בזמן שזה לוקח הרבה פחות זמן וגורם להרבה פחות הרס לעסקים. אני גם אוסיף, שאחרי הכישלון עם Vect, איבדנו הרבה עניין בהצפנה אחרי שראינו את התוצאות שאפשר להשיג בלעדיה. זה עצר אותנו מלהמשיך בכיוון הזה.
כמה ארגונים הושפעו מהתקיפות שלכם מאז שהתחלתם לפעול? והאם לדעתך פרטי הגישה שנגנבו מאבדים ערך עם הזמן, כשארגונים מבינים שנפרצו ומתחילים לבטל אותם?
עשרות אלפי חברות הושפעו. מספר המפתחים מגיע כנראה למיליונים. ארגונים גדולים ופרטי גישה שעומדים לפוג תוקף בקרוב מקבלים עדיפות. זה לא מטריד אותנו אם חברות מבטלות פרטי הזדהות בהיקף רחב, כפי שכבר קרה. אנחנו פשוט נמצא דרך אחרת להיכנס דרך שרשרת האספקה.
מה גרם ל-TeamPCP להתחיל את הפעילות הזאת מלכתחילה? האם מישהו מכם היה בעבר בצד "הלבן" של עולם הסייבר? ואם כן, מה גרם לכם לעבור לצד השני?
ניסיתי למצוא עבודה בתחום של פעילות התקפית חוקית, סוג של עבודות קבלן, והמעסיק הפוטנציאלי שלי עשה משהו מאוד לא אתי. אז המשכתי לפעול כ-Blackhat בנפרד. אם מה שקרה היה קורה אחרת, זה היה יכול להתפתח בצורה שונה מאוד. אבל כן, רציתי בעבר, ועדיין הייתי רוצה לעסוק במשהו כזה. תשומת הלב שמופנית אלינו היא לא טובה, וכבר הרווחנו מספיק כסף כדי לאכול, לשלם על בית ולדאוג לצוות שלי. חלק מאיתנו אפילו התחילו לתרום את הרווחים שלהם, כי פשוט אין לנו צורך בהם כדי לשרוד יותר, וזה כל מה שחשוב. אנחנו לא רוצים ולא צריכים להיות עשירים, ואנחנו לא אוהבים לגרום נזק לאנשים, אבל על אבטחה גרועה משלמים.
הקמפיינים שלכם מתמקדים מאוד בשרשרת אספקה. איזו עצה תכלס היית נותן לארגונים שרוצים להתגונן מפני מתקפות כאלה?
לעשות שימוש רק בספריות עם וותק גיל מינימלי, הצמדה של גרסאות ל-hash, טוקנים עם הרשאות מדויקות, לדעת באילו תוספים המפתחים שלכם משתמשים ב-IDE שלהם או להגביל אותם. חברת Socket תמצא את הנוזקה לפני שהחבילה תספיק להגיע למכונה שלכם, והם יפרסמו את כל ה-IOCs וצעדי התיקון עבורכם, או עבור צוות ההגנה של החברה שלכם, אם תיפגעו. (ארז: נשמע כמו תוכן שיווקי חחח. כמובן שאין לראות בנ"ל המלצה כלשהי מצידי).
תוקפים שמייצרים המון רעש ונזק מתמודדים כל הזמן עם הגנות טובות יותר, לחץ מצד רשויות אכיפה ותגובה מהירה יותר לאירועים. מה אתם עושים בשביל להיות צעד אחד קדימה מול הארגונים וגופי האכיפה?
אנחנו תמיד נסתדר מול צוותי ההגנה. לגבי רשויות האכיפה, יחס הסיכון-תגמול שלי אומר לי שבקרוב יגיע הזמן שלי להפסיק לפעול.
האם אתם משתמשים בכלי AI כחלק מהפעילות שלכם?
כן. אנחנו כותבים את הנוזקות שלנו ידנית אבל גם בעזרת AI. הלמידה של המנגנונים השונים בכלים שאנחנו מנצלים נעשית כולה על ידי אדם. אתה יכול לתת לכל ילד סקריפטים LLM, והוא עדיין לא יוכל לשחזר את המתקפות שלנו, גם אם קוד המקור והדוחות שלאחר האירוע יהיו פומביים לגמרי. זה מדבר בעד עצמו.
יש עוד משהו שתרצה לומר או לשתף עם העוקבים שלי בערוץ?
התוצאות שלנו מדברות בעד עצמן.
שאלת בונוס 😊 שמתי לב שהכינוי שלך ב-Tox הוא "the jellyfish who jumped up the mountain", זה רפרנס לטראק של Shpongle, נכון? לפי הלהקה הכותרת מתייחסת למטאפורה של אבולוציה שאפילו מדוזה יכולה לטפס על הר אם תעשה צעד קטן בכל פעם, לאורך מיליוני שנים. מה הסיפור מאחורי בחירת הכינוי הזה? האם זה קשור לאבולוציה של הקבוצה?
ובכן, הנסיבות שלי לא היו טובות במיוחד, ואני פשוט המשכתי להתקדם וללמוד כמה שיותר, לנסות למצוא פרצות, לכתוב נוזקות ולהיכשל, לפעמים בלי כסף לאוכל או לשכר דירה, 24/7/365. אני המדוזה שקפצה במעלה ההר.
