🎙🛡️ראיון עם קבוצת הכופר BlackNevas - בלעדי לערוץ ״חדשות סייבר״

⚠️זה ראיון ארוך אבל לדעתי מעניין מאד, שלושה חלקים שזמינים לקריאה כאן - בעברית, ובאתר הראיונות של הערוץ גם באנגלית).

חלק 1️⃣

➖➖➖➖➖➖➖

ש: חוקרים מצאו כי BlackNevas משתמשת במפתח AES-256 הזהה לזה של קבוצת Trigona. האם אתם ריברנד של Trigona או שרכשתם את קוד המקור ממישהו אחר? אגב, האם תוכל להרחיב מה השתנה לאחר שרשויות האיפה באוקראינה השביתו את התשתית של Trigona ב-2023?

ת: רכשנו את קוד המקור והתאמנו אותו לצרכים שלנו. ייתכן שההפלה של התשתית ב-2023 השפיעה על החלטת המוכר למכור, אבל לא היה לנו שום קשר לאירוע הזה ואנחנו לא יכולים לאשר מה הייתה ההשפעה שלו.
אנחנו לא המשך של Trigona, פשוט רכשנו את הקוד והמשכנו הלאה. אנחנו לא מתעניינים בעבר או בעתיד של Trigona.

ש: קבוצת BlackNevas מתוארת כקבוצה סגורה, ללא תכנית שותפים (RaaS). האם זה מדויק? אם כן, מי אחראי על ה-Initial Access לארגונים? אתם משתמשים ב-Access Brokers או ב-Insiders?

ת: כן, זה מדויק. BlackNevas היא פעילות סגורה. אנחנו לא מנהלים תכנית שותפים. המעגל הפנימי שלנו מוגבל למספר קטן של צוותים מאומתים שמבינים את אופי העבודה ומוכנים לבצע כל משימה. עם זאת, קבוצות אחרות פונות אלינו לעיתים קרובות ומציעות שירותים או שיתופי פעולה.

בעבר עבדנו בעצמנו כשותפים אצל קבוצות אחרות, בנינו קשרים חזקים עם רבים מהשותפים האלה ולאורך הזמן השתמשנו גם במספר סוגים של נוזקות, בהתאם ליעד ולמצב.
מבחינת Initial Access, אנחנו לא מסתמכים על Access Brokers, אלא פועלים באמצעות רשת קטנה וסגורה של כאלו שעברו סינון ובשיטות נוספות, זה מאפשר לנו לשמור על שליטה לאורך כל שרשרת התקיפה.

ש: באוגוסט 2026 פרסמתם מספר קרבנות תוך שציינתם מי החברות שמספקות להן שירותי IT.
האם אותם ספקים נפרצו ושימשו כנקודת כניסה למספר לקוחות או שציינתם אותם רק כדי להגביר את הלחץ על הקורבנות?

ת: אתה שואל את השאלות הנכונות. אבל בוא נהיה ברורים כבר מההתחלה - אנחנו לא מפרסמים את הטקטיקות המדויקות שלנו או את רשימת היעדים של מבצע מסוים. זה יהיה טיפשי. ובכל זאת, ההיגיון הכללי אמור להיות ברור, ולכן אענה בהרחבה אבל בלי לחשוף יותר מדי.

האם הספקים נפרצו ושימשו כקרש קפיצה?
לפעמים כן. לפעמים לא. כשאנחנו מציינים חברה שמספקת שירותי IT, זה לא תמיד אומר שפרצנו לשרתים שלה באופן ישיר. אנחנו מציינים אותה כי היא חלק מהשרשרת. אם לקוח משתמש בשירותים של אותו ספק והספק לא הגן על ערוצי הגישה שלו, זו נקודת כניסה עבורנו. אבל אם אנחנו פשוט מציינים את הספק בתקווה שלקוחות יתחילו לבטל איתו חוזים, גם זה עובד. לחץ הוא נשק.

איך אנחנו מתחברים בפועל?
לכל ספק IT רגיל יש גישת ניהול למערכות של הלקוחות שלו. VPN, התחברות מרחוק, כלי תמיכה, גיבויים, ניהול אנטי-וירוס ועוד ועוד..
זה לא סוד. אם לספק יש הגנה חלשה, אין 2FA והסיסמאות נמצאות בקובץ משותף, אנחנו ננצל את זה.

כשאנחנו נכנסים לקבלן אחד, הכול תלוי בארכיטקטורה. אולי נקבל גישה לרשת שלו, אולי נגנוב פרטי התחברות, ואולי נוכל להריץ פקודות מרחוק דרך קונסולת ה-RMM שלו אצל כל הלקוחות. אבל למהר ולשבור הכול בבת אחת זו היגיינה תפעולית גרועה. אנחנו לא רוצים לשרוף הכול בלילה אחד. אנחנו מעדיפים מעט אירועים אבל בולטים ומאומתים מאשר מאה אירועים לא מאומתים.

אז ציינתם ספקים רק כדי להפעיל לחץ?
גם זה. הקוראים שלך כנראה כבר שמו לב: אם אנחנו מפרסמים קבצים של לקוח אחד וכותבים "הושג דרך הקבלן הזה", הלקוחות האחרים של אותו קבלן מתחילים להילחץ עוד לפני שעשינו משהו. הם מפחדים גם אם המידע שלהם בכלל לא נפגע. זה אפקט פסיכולוגי שמרחיב את יכולת הלחץ שלנו. כשאנחנו מצביעים על הספק, אנחנו מציבים אותו בתפקיד האשם ואת הלקוחות שלו מול בחירה: "שלמו לנו או תתמודדו עם הקבלן שלכם."

גישה לכמה ארגונים אפשר לקבל דרך ספק אחד?
זה משתנה. חברה קטנה שמטפלת בהנהלת חשבונות וב-IT לעסקים קטנים מחזיקה בדרך כלל בין 5 ל-30 לקוחות. MSP בינוני מחזיק בין 50 ל-200.
אם הספק הפריד כמו שצריך את הגישות, לא נקבל את כולם אבל אם הם משתמשים בדומיין משותף אחד ובאותה סיסמה בכל מקום, נקבל את כולם.
לפעמים לקוח גדול אחד עם מידע בעל ערך שווה יותר מעשרים לקוחות קטנים. לכן אנחנו לא סופרים "מקסימום אפשרי". אנחנו סופרים "מקסימום נזק עם מינימום רעש".

בשורה התחתונה: ציון שמות של ספקי IT באתר שלנו לא מצביע בהכרח על תקיפה שלהם. זו דרך לגרום לכל שאר הקרבנות לפקפק בספקים שלהם. אמון הוא הנכס הכי שברירי ב-IT ואנחנו רק שמים עליו את האצבע.

חלק 2 בפוסט הבא: