עדכון אחד שנדחף ל-1,500 עסקים. אף אחד מהם לא ביקש אותו.
עדכוני תוכנה אמורים להיות החלק המשעמם והאמין בניהול עסק. מתקינים, ממשיכים הלאה (בדיוק ההרגל שכל קורס אבטחת מידע מנסה להנחיל, עד שהעדכון עצמו הוא הנשק). ב-2 ביולי 2021, ההנחה הזו קרסה עבור כ-1,500 עסקים בבת אחת, דרך ספק תוכנה אמין אחד שכולם במקרה שיתפו.
מה קרה בפועל
קסייה (Kaseya) מכרה את VSA, תוכנת ניטור מרחוק שחברות ניהול IT משתמשות בה כדי לדחוף עדכונים ותיקונים לרשתות הלקוחות שלהן עצמן. לפי התביעה, יארוסלב וסינסקי, שפעל יחד עם קבוצת הכופרה REvil (הידועה גם כ-Sodinokibi), ניצל פגיעות אימות (authentication bypass) בממשק השרת של Kaseya VSA כדי לקבל גישה מזוהה למערכת, ומשם העלה והריץ את מטען הכופרה כאילו היה עדכון VSA לגיטימי. מכיוון שספקי שירותי IT השתמשו ב-Kaseya VSA באופן ספציפי כדי להפיץ תוכנה ללקוחות שלהם, עדכון אחד שנפרץ לא פגע רק בקסייה, הוא השתרשר דרך כל עסק שסמך על ספק מחובר לקסייה, והצפין מערכות בכ-1,500 חברות ברחבי העולם.
REvil דרשה כופר משולב שדווח בכ-70 מיליון דולר תמורת מפתח פענוח אוניברסלי לכל הקורבנות (מודל “שלם פעם אחת, פותר לכולם”, תוכנית הארגונים של עולם הפשע). וסינסקי נעצר בפולין באוקטובר 2021 והוסגר לארצות הברית. הוא הודה באשמה, ובמאי 2024 נגזרו עליו במחוז הצפוני של טקסס מעט יותר מ-13 שנות מאסר וצו פיצויים.
הארטיפקט: לא מכתב הכופר, שרשרת ההפצה עצמה
דרישת הכופר ומספר הקורבנות הם מה שהפך את זה לסיפור עולמי. מה שבית משפט באמת צריך לבסס, לעומת זאת, צר יותר וטכני יותר: השרשרת הספציפית שמחברת נאשם בשם מסוים לקוד שרץ על מכונות הקורבנות (אירוניה נחמדה: המתקפה הייתה שרשרת הפצה, וגם מה שצריך להוכיח בבית משפט הוא שרשרת. מישהו כאן ממש אוהב מטאפורות עקביות).
לשרשרת הזו כמה חוליות נפרדות, שכל אחת ניתנת להוכחה בנפרד. ראשית, הפגיעות בתוכנת השרת של קסייה עצמה, והראיה למי איתר וניצל אותה. שנית, המטען הזדוני עצמו, קוד שהיה צריך להיבנות, להיארז כך שייראה כמו עדכון VSA לגיטימי, ולהידחף דרך מנגנון ההפצה האמיתי של קסייה. שלישית, תשתית הכופר, פורטל המשא ומתן, וארנקי הביטקוין הספציפיים שנקשרו לדרישות הכופר. ורביעית, כל מה שמקשר בן אדם ספציפי לתשתית הזו, ולא רק לפעולת הכופרה באופן מופשט. כל חוליה היא סוג שונה של ראיה טכנית, ואף אחת מהן לא ניתנת להחלפה באחרת. הוכחה שתוכנת הכופר של REvil רצה על מכונת קורבן לא מוכיחה, כשלעצמה, איזה מפעיל ספציפי פרס אותה נגד איזו מטרה ספציפית.
מה חוות דעת מומחה מחשבים בודקת בתיק כופרה בשרשרת אספקה
זה בדיוק המקום שבו חוות דעת מומחה מחשבים עושה עבודה שסיכום של המתקפה לא יכול: היא לא עוצרת ב”תוכנת כופר REvil, הופצה דרך קסייה”. היא בודקת כל חוליה בשרשרת בנפרד, ואומרת בפירוש אילו מהן הראיה באמת תומכת בהן לגבי נאשם ספציפי.
זה אומר לבחון את העדכון הזדוני עצמו: מה הוא עשה, עד כמה הוא תואם לכלי REvil ידועים, והאם ארטיפקטי הבנייה או התשתית שלו מתחברים לפעילות REvil מאושרת אחרת. זה אומר לעקוב אחרי תשתית תשלום הכופר בנפרד מהקוד הזדוני, כי פורטל משא ומתן וכתובת ארנק הם חוט ראייתי שונה מהקוד עצמו. וזה אומר להיות מפורש לגבי ההבדל בין “אדם זה פעל בתוך מבנה השותפים של REvil” לבין “אדם זה בנה או פרס באופן אישי את המטען הספציפי הזה”, כי פעולת כופרה בהיקף כזה כוללת בדרך כלל כמה אנשים עם תפקידים שונים.
שום דבר מזה לא אקזוטי. זו אותה משמעת שכל תיק טכני צריך: להפריד את השכבות, לומר מה כל אחת באמת מוכיחה, ולא לתת לגודל הנזק להחליף ראיה שמקשרת אדם ספציפי למעשה טכני ספציפי.
למה זה חשוב מעבר לכנופיית כופרה אחת
קסייה לא הייתה רשלנית במובן הרגיל. היא הייתה אמינה, וזו בדיוק התכונה שתוקף צריך מערוץ הפצה (אמון הוא פיצ’ר שמחופש, עד הרגע שבו מישהו מנצל אותו כבאג). כל חברה שדוחפת עדכוני תוכנה למערכות של חברות אחרות היא, במבנה שלה, נקודת כשל יחידה לכל מי שנמצא במורד הזרם, לא משנה כמה טובה האבטחה שלה עצמה.
לחברות ישראליות שבונות או מסתמכות על תוכנת ניהול-שירותים והפצת-עדכונים, ולעורכי הדין שמייצגים אותן אחרי תקרית, הלקח לא באמת נוגע ל-REvil באופן ספציפי. הוא נוגע לכך שפריצה בשרשרת אספקה מייצרת כמה קטגוריות נפרדות של ראיה טכנית, הפגיעות, המטען, תשתית הכופר, וייחוס אנושי, ותיק שבנוי על אחת מהן בלבד, בלי האחרות, הוא לא שלם.
המידע לעיל הוא כללי בלבד ואינו מהווה ייעוץ משפטי. עובדות התיק אומתו מול הודעות ה-DOJ האמריקאי, גיליון Wikipedia המתועד על המתקפה, ודיווחי סיקור מהתקופה (BleepingComputer, Tenable, CBS News, The Record, Infosecurity Magazine, GovInfoSecurity).