שלבי תקיפה - סייבר
חלק 2

בלי כתוביותעם כתוביות

מילון מושגים:

חולשה - פגם או חולשה במערכת או בתוכנה שעלול לאפשר פגיעה באבטחה אם לא יטופל.

USB - תקן חיבור אוניברסלי לחיבור התקנים למחשב, כמו זיכרון נייד, מקלדת או מדפסת.

אנטי וירוס - תוכנה שמזהה, חוסמת ומסירה תוכנות זדוניות מהמחשב, ומנטרת פעילות חשודה.

אתר אינטרנט - אוסף של דפים ומשאבים מקושרים המתארחים תחת כתובת אחת ומוגשים דרך דפדפן.

הנדסה חברתית - מניפולציה על בני אדם כדי לגרום להם למסור מידע רגיש או לבצע פעולות, במקום תקיפה טכנית של המערכת.

תוכנה זדונית - כל תוכנה שנועדה לפגוע במערכת, לגנוב מידע או להשתלט עליה, כמו וירוסים, תולעים וסוסים טרויאנים.

חתימה דיגיטלית - מנגנון מבוסס הצפנה שמוכיח את מקור המידע ושלא שונה בדרך, בעזרת המפתח הפרטי של החותם.

TPM - שבב אבטחה בלוח האם ששומר מפתחות הצפנה ומסייע באבטחת ההמראה והנתונים, למשל עבור BitLocker.

שלבי תקיפה - סייבר חלק 2

בשיעור זה ממשיכים את שרשרת שלבי התקיפה, אחרי איסוף המודיעין, הבחירה באמצעי התקיפה וההעברה, מגיעים לשלב הניצול עצמו, ולומדים איך התוכנה הזדונית מותקנת ביעד, מהו dropper, מהו backdoor ומה הופך את ה-rootkit למסוכן במיוחד.

נושאי הסיכום המוצגים בשיעור:

1. חזרה קצרה על השלבים הקודמים: בשלבים הקודמים של השרשרת אספנו מודיעין, בחרנו איך לתקוף את היעד ובאיזו תוכנה ובאיזו חולשה להשתמש, ובשלב ההעברה החלטנו איך לספק את הקוד הזדוני, דרך אימייל או דרך USB.

2. העברה דרך USB והתחזות: דוגמה להעברה היא שליחת USB והתחזות לנציג מכירות של חברה שמגיע לפגישה להציג פרזנטציה, מכניס את ה-USB שלו כחלק מהפגישה, ומוצא את עצמו ברשת הפנימית, ולרוב לא נדרש יותר מאשר לחיצה כפולה על קובץ הרצה כדי שה-payload הזדוני יופעל אוטומטית.

3. שלב הניצול: שלב ה-exploitation הוא הרגע שבו שולחים בפועל את ה-USB או את האימייל ומתחילה שרשרת התקיפה, והמטרה שלו פשוטה, להריץ את הקוד הזדוני במערכת היעד.

4. תקיפה דרך שרת ולא רק דרך משתמש: לא חייבים לתקוף דרך משתמש, אפשר לנצל חולשה בשרת שפתוח לאינטרנט, למשל שרת שקיבל אימיילים או מנהל אתר לקוחות ושכחו לעדכן אותו, וזה קורה המון כי בארגון עם שלושה מנהלי רשת ושבע מאות שרתים העדכונים לוקחים חודשים על גבי חודשים.

5. חלון ה-CVE: חולשה ידועה שפורסמה נקראת CVE, יש לה מספר סידורי, ומהרגע שהיא מתפרסמת ועד שארגון עם אלף שרתים יעדכן את כולם עוברים חודשים, ובפער הזה אפשר לנצל את החולשה, לתקוף את השרת וממנו להיכנס פנימה לרשת הארגונית ולהמשיך לתקוף, וכך יש שתי שיטות תקיפה עיקריות, דרך השרת ודרך המשתמש.

6. התקנת התוכנה הזדונית: אחרי שנוצלה חולשה וסופק ה-payload מגיע שלב ההתקנה, ובו לא מתקינים את כל התוכנה הזדונית אלא רק חלק קטן ממנה, כדי להתחמק מהאנטי וירוס ומשאר ההגנות, כי תוכנה קטנה קשה יותר לגלות.

7. dropper: התוכנה הקטנה הזו נקראת dropper, תפקידה היחיד להתקין את התוכנה הזדונית המלאה, המלוור הראשי שכבר יודע לסרוק את הרשת הפנימית, להצפין מידע ולדרוש כופר או לאסוף מסמכים ולהעביר אותם לשרת חיצוני, והיא תוכנה רצינית שקשה לחמוק איתה מאנטי וירוסים, ולכן מגיעה אליו קודם דרך הדרופר שעובר דרך קבצים מצורפים לאימייל, אתר אינטרנט זדוני או הנדסה חברתית.

8. backdoor: בשיטה השנייה התוכנה הקטנה שאיתה תקפו פותחת דלת אחורית, backdoor, דרכה אפשר להיכנס לארגון, להריץ פקודות כמו שורת פקודה על המערכת הנפרצת ולהעביר מסמכים ולגנוב מידע, וכמעט תמיד עושים את שניהם יחד, קודם דרופר שמתקין את התוכנה הזדונית וגם פותח את ה-backdoor להתחברות פנימה.

9. rootkit: קיים סוג מיוחד של מלוור שנקרא rootkit, תוכנה זדונית שנכנסת כביכול מתחת למערכת ההפעלה, עולה על המחשב לפני הווינדוס ומפעילה אותה, כך שכלפי חוץ הכל נראה תקין אבל מאחורי הקלעים המחשב כולו נשלט על ידי התוכנה הזדונית, והיא מחביאה את עצמה ברמת החומרה ואף אנטי וירוס לא יכול לעלות עליה.

10. ההיסטוריה של ה-rootkit והתגובה: סיפור ה-rootkit התחיל כשחברת סוני רצתה להגן על השירים והדיסקים שלה ופיתחה הגנה למטרות טובות, אבל הגורמים הזדוניים התחילו לנצל אותה לטובתם, וכדי להתמודד נולד הרעיון של חתימה דיגיטלית ברמת החומרה, שהוא בעצם מה שמיושם בווינדוס 11 עם הדרישה ל-TPM, כדי שהחומרה הפיזית תעלה רק תוכנות מורשות עם חתימה דיגיטלית תקפה, וזה הרעיון של המאבק ב-rootkit שנועד להתחמק מזיהוי.

סיכום:

בשיעור זה המשכנו לעקוב אחרי שרשרת שלבי התקיפה משלב ההעברה אל שלב הניצול בפועל, ראינו את שתי שיטות התקיפה העיקריות, דרך המשתמש עם אימייל או USB ודרך חולשה בשרת עם חלון ה-CVE, למדנו איך התוכנה הזדונית מותקנת בעזרת dropper קטן שמתחמק מההגנות ופותח בדרך כלל גם backdoor להמשך הפעילות, והכרנו את ה-rootkit ששולט במחשב מתחת למערכת ההפעלה ואת התשובה של התעשייה אליו בדמות חתימה דיגיטלית ברמת החומרה.

פרקי ההרצאה: שלבי תקיפה - סייבר חלק 2

תמלול ההרצאה: שלבי תקיפה - סייבר חלק 2

הטקסט המלא של הדקות הראשונות בהרצאה «שלבי תקיפה - סייבר חלק 2» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם אנחנו בסרט השני על שלבי תקיפה בואו נעשה חזרה קטנה על השלבים הקודמים בריקון אספנו מודיעין weaponized בחרנו איך אנחנו תוקפים את היעד עם איזה תוכנת נעשה את זה ואיזה חולשה תכלס לנצל delivery החלטנו איך נספק אותה זה יכול להיות דרך אימייל זה יכול להיות גם דרך usb אני יכול לשלוח לו usb ולהגיד
00:25
לו שזה פרזנטציה אני יכול גם להתחזות לנציג מכירות של איזושהי חברה ולהגיד אני בא לכם לפגישה לקבוע פגישה ולהביא את ה-USB לפגישה ואז אני מכניס את ה-USB ואני למעשה ברשת הפנימית הכנסתי את ה-USB שלי כחלק מפגישה ותוך כדי לסחוק להם את הרשת שימו לב והם כותבים פה שלרוב לא נדרש יותר מאשר דאבל קליק על איזשהו קובץ הרצה הכל קורה
00:50
אוטומט רק תפעיל את התוכנה הזדונית שלי את ה-payload הזדוני שלי malicious payload אז אחרי שאספנו מודיעין החלטנו איך אנחנו תוקפים מצאנו שיטה שדרכה נעביר את הקוד הזדוני לקורבן שלנו.
01:03
מגיע השלב של התקיפה עצמה, של האקספלויט. Exploitation Stage. שלב התקיפה זה הרגע שבו אנחנו תכלס שולחים את ה-USB או שולחים את האימייל ומתחילים את כל השרשרת של תקיפה שלנו.
01:18
בסופו של דבר המטרה היא נורא פשוטה, להריץ את הקוד הזדוני במערכת היעד. דרך אגב, אני לא חייב לתקוף דרך יוזר. יכול גם לנצל חולשה בשרת נניח יש איזשהו שרת שפתוח לאינטרנט כי הוא מקבל אימיילים כי יש לו אתר אינטרנט שהלקוחות צריכים להגיע אליו ובתוך השרת הזה יש חולשה יש באג בתוכנה כי שכחו לעדכן אותו יש להם אלף שרתים והם שכחו לעדכן את אחד השרתים וזה קורה המון כי תחשבו יש איזה שלושה מנהלי רשת איזה 700 שרתים
01:50
בארגון גם אם הם רוצים לעדכן את כולם זה לוקח להם חודשים על גבי חודשים אז אם מצאו היום איזושהי חולשה ופרסמו היום cve, cve זה חולשה ידועה שיש לה מספר סידורי, כאילו מגלים חולשה ומפרסמים אותה, עד שהארגון עם אלף שרתים יעדכן את כל המחשבים שלו ייקח להם חודשים.
02:11
אני יכול לנצל את החולשה הזאת ולתקוף שרת, ודרך השרת הזה אני יכול להיכנס פנימה לרשת הארגונית שלהם ולהמשיך לתקוף. אז למעשה יש לנו שתי שיטות עיקריות איך לתקוף. אחת, דרך השרת, דרך חולשה בשרת, והשיטה השנייה, דרך משתמש, דרך יוזר, לשלוח לו מייל, לשלוח לו USB, שהיוזר בתחנה שלו יפעיל את הקוד הזדוני.
02:34
אז אחרי שתקפנו תכלס, עשינו Exploitation, ניצול של איזושהי חולשה, זה נקרא Exploit, ניצול או Deliver Payload, סיפקנו את ה-Payload שלנו, שלחנו אותו, השרשרת התחילה לפעול, והשלב הראשון בשרשרת זה התקנה של התוכנה הזדונית שלנו.
02:53
אנחנו מריצים אותה על Componized Machine, על מכונה שתקפנו. השלב הזה של ההתקנה, אנחנו לא מתקינים את כל התוכנה הזדונית שלנו, אנחנו מתקינים רק חלק קטן ממנה כדי להתחמק מאנטיווירוס, ומכל ההגנות אנחנו צריכים תוכנה כמה שיותר קטנה כדי שיהיה כמה שיותר קשה לגלות אותה.
03:14
התוכנה הקטנה הזאת נקראת dropper. dropper זה למעשה תוכנה קטנה שכל המטרה שלו זה להתקין את התוכנה הזדונית, המיילוויר באופן מלא. אז עוד פעם, אני למעשה תוקף את היעד, חודר פנימה דרך איזושהי חולשה או דרך איזשהו אימיילים פישינג ומריץ אצלו תוכנה קטנה שנקראת דרופר והדרופר הזה מתקין לי את התוכנה הראשית שלי, את המיילוויר הראשי.
03:40
מה זה המיילוויר הראשי? תוכנה הזדונית הראשית,