חדשות AI ואבטחה · המקורות נבדקו ב־7 בנובמבר 2026
צוות מודיעין האיומים של Microsoft דיווח ב־6 בנובמבר כי אשכול התקיפות Storm-3358, הפועל ממניע כספי, החל להשתמש במסגרת הסוכנים ARTEX נגד ארגונים פיננסיים באוקטובר. Microsoft מתארת ניצול יישומים החשופים לאינטרנט ולאחריו התקנת נוזקות לגישה מרחוק, בעיקר בדרום־מזרח אסיה וגם במקומות נוספים בעולם. זהו הייחוס של Microsoft, ולא חקירה עצמאית של The Useful Byte.
לצוות תפעול כדאי לשאול אם תהליך התגובה שלו מסוגל לחבר במהירות בין שירות חשוף, פעילות במחשב המארח ושימוש בזהויות בהמשך, כדי להכיל אירוע. התווית AI לבדה אינה עונה על השאלה הזאת.
מה חדש, ואילו ממצאים צריך להשאיר בנפרד
הדוח החדש עוסק ב־Storm-3358. דוח ARTEX של Microsoft מ־21 באוקטובר עוסק ב־Storm-0940. שימוש באותו כלי אינו ראיה מספקת לאיחוד שני האשכולות או לייחוס כל התקנה לאחד מהם.
מחקר החשיפה לאינטרנט שפרסמה Censys ב־5 בנובמבר מודד דבר אחר: 1,465 מארחים עם ARTEX החשופים לציבור בתחילת נובמבר, כשכ־650 מהם חולקים תצורות אירוח חוזרות. Censys מציינת במפורש גם אפשרות לשימוש לגיטימי לבדיקות. אין מדובר ב־1,465 קורבנות או מפעילים פליליים עצמאיים. התקציר מציין 4 בנובמבר ואילו סעיף המדידה מציין 3 בנובמבר, ולכן אנו מתארים את המדידה כצילום מצב מתחילת החודש.
ברישום אירוע כדאי להפריד בין שלושה דברים: מה הטלמטריה שלכם מראה, מה חוקר חיצוני מייחס לגורם מסוים, ומה אתם מסיקים. זיהוי ממשק ניהול או כתובת אירוח משותפת יכול לעזור לקבוע סדר עדיפויות לבדיקה. הוא אינו מוכיח כוונה בפני עצמו.
בדיקה מעשית לצוותי הגנה
הרשימה הבאה היא הצעה תפעולית שלנו. היא אינה בדיקת ARTEX ואינה טענה שהארגון שלכם נפגע.
- התחילו מהשירות העסקי. בחרו יישום חשוב אחד החשוף לאינטרנט ותעדו את בעל האחריות, סביבת האירוח, דרך העדכון והחיבורים הדרושים לו. בררו מי רשאי לצמצם את החשיפה שלו בזמן אירוע ואילו שירותים ללקוחות ייפגעו מהמהלך. רשמו פערים במקום להניח שמלאי הנכסים שלם.
- בנו ציר זמן משותף. במסגרת בדיקה מורשית, השוו בקשות ליישום, התראות במחשב המארח, חיבורים יוצאים ואירועי זהות רלוונטיים באותו אזור זמן. שמרו את חותמות הזמן והמזהים המקוריים. בדקו אם לאחר בקשה חשודה הופיע תהליך לא צפוי או שימוש בפרטי גישה. השוו לפעולות תחזוקה ולבדיקות אבטחה שאושרו לפני שקובעים שהרצף זדוני.
- בדקו לאן ההרשאות מאפשרות להגיע. זהו לאילו נתונים ושירותים זהות היישום יכולה לגשת. דוח הסודות החשופים הנפרד של Microsoft מ־5 בנובמבר מדגיש שמחיקת סוד שדלף אינה מבטלת את תוקפו: יש לבטל או להחליף את פרטי הגישה שנחשפו ולחקור שימוש קודם בהם. אין להסיק שהאירועים בדוח הזה שייכים ל־Storm-3358.
- תרגלו הכלה והתאוששות. השתמשו בתרגיל דיון או במערכת בדיקה מבודדת. בקשו מבעל השירות להסביר כיצד מצמצמים גישה, משמרים ראיות, מחליפים פרטי גישה שנפגעו ומחזירים את השירות לפעולה. תעדו מי מאשר כל פעולה משבשת. הנחיות Microsoft למניעה ולהתאוששות מפריצה תומכות בהפרדת גישה, בצמצום השפעת הפריצה ובבדיקת תשתיות ההתאוששות.
אינדיקטורים הם נקודת פתיחה לבדיקה
Microsoft מזהירה שסימני זיהוי של כלים עשויים להשתנות ושההתראות המפורטות עשויות לתאר גם פעילות לא קשורה. בבדיקה שלנו נמצאה כתובת IP שונה בין שאילתת החיפוש בדוח לבין טבלת האינדיקטורים. לכן איננו מפרסמים כאן רשימת כתובות לחסימה.
לפני שמשתמשים באינדיקטור עדכני, ודאו מה מקורו, מתי נצפה, לאיזה שימוש הוא נועד ומה הקשר שלו ליומנים שלכם. קבעו מי אחראי לבדיקה ולפקיעת התוקף שלו. התאמה דורשת חקירה; היעדר התאמה אינו מוכיח שמערכת נקייה.
תוצר מועיל להיום הוא תיעוד תגובה קצר שנבדק: שירות אחד, בעל האחריות, הראיות הזמינות, החלטת הכלה ובדיקת התאוששות. כך מקבלים תהליך שאפשר לשפר ולחזור עליו, בלי לרכוש מוצר חדש ובלי להפוך ייחוס לא ודאי לעובדה.