סייבר: התמודדות עם נוזקות משמידות מידע

אבטחת סייבר | צילום אילוסטרציה: יוסי זמיר, פלאש 90

מערך הסייבר הלאומי פועל ליישום מדיניות לאומית בתחומי הסייבר ולקידום מובילותה של ישראל, כמרכז לפיתוח ידע וטכנולוגיות סייבר.

במסגרת תפקידיו, אחראי מערך הסייבר הלאומי על הגנת מרחב הסייבר האזרחי, על קידום היכולות הלאומיות בתחום ועל שיפור אופני ההתמודדות עם האתגרים הנוכחיים והעתידיים בעולמות הסייבר.

מערך הסייבר הלאומי ער לכל איום סייבר בעולם ומפרסם מפעם לפעם, מידע אקטואלי ורלוונטי עבור מפעילי מערכות מחשבים במסחר ובתעשייה.

מסמך חדש שמפרסם מערך הסייבר, דן בהתמודדות עם נוזקות משמידות מידע -Wipers. עורכי המסמך מסבירים כי מטרתם העיקרית של פוגענים מסוג Wipers, הינה פגיעה בזמינות -Availability של מערכות מחשוב.

הפוגענים פועלים באמצעות מחיקת מידע מהדיסקים או מהקושחה -Firmware של המערכות המותקפות, באופן שיקשה מאוד על שחזורו ולרוב יצריך התקנה מחדש של המערכות.

המסמך שמפרסם מערך הסייבר, מתאר סוגים שונים של Wipers וכיצד להתמודד עימם. כאשר בדרך כלל, מטרת השימוש ב-Wipers, הינה פגיעה כלכלית משולבת בפגיעה במוניטין של הארגונים או המדינות המותקפות, אך לא רק. לעיתים נעשה שימוש ב-Wipers גם בשלב הסופי של תקיפה אחרת, על מנת להסתיר את עקבות התוקפים.

קיימות מספר דרכים בהם Wipers מממשים את פגיעתם. העיקריות שבהן הן: השמדת נתונים, כתיבה ישירה על אזורים בדיסק, כתיבה על אזורים המכילים מידע לגבי מבנה הדיסק, וכתיבה על הקושחה של הציוד.

הכתיבה על מידע קיים, תתבצע לרוב באמצעות רצף אקראי של ביטים, או כתיבת תמונה או מסר מטעם התוקף, או אף שימוש בהצפנה קריפטוגרפית ללא שמירת מפתח ההצפנה, כך שלא ניתן לשחזר את המידע.

דרך נוספת לפגיעה, היא מניעת האפשרות לשחזור -Recovery System Inhibit, על מנת להגביר את אפקט הפגיעה. הפוגען יכול לנסות ולפגוע במנגנונים שונים האמורים לסייע להתאוששות מתקלות כגון backup volume shadow copies ,catalog או automatic repair features.

לפעמים התוקפים הולכים רחוק יותר ולצורך הגברת הנזק, ישלב הפוגען יכולת תנועה רוחבית בין מערכות בארגון, כך שהארגון ייאלץ להתמודד עם מספר רב של מערכות פגועות.

המסמך מונה מספר אפשרויות פגיעה, בהן:

השמדת נתונים -Destruction Data. מתבצעת כאשר הפוגען מוחק תוכן של מספר רב של קבצים במערכת המותקפת. בניגוד לתוכנות מחיקה רגילות, אשר בדרך כלל רק מוחקות את ההפניה לקובץ אך לא את תוכנו, ומאפשרות שחזורו באמצעות תוכנות ייעודיות, פוגענים אלו מוחקים בפועל את תוכן הקבצים באמצעות כתיבה מחדש של תוכנם.

אם המחיקה כוללת קבצי מערכת הפעלה, ממליצים עורכי המסמך להימנע מהפעלה מחדש של המערכת ללא התקנה או שחזור.

מחיקת תוכן של דיסק -Wipe Content Disk. מתרחשת כאשר הפוגען יכול למחוק תוכן של אזורים מסוימים -Sectors Disk ברכיב האחסון במערכות, באמצעות כתיבת נתונים חדשים על הרכיב כדי למנוע שחזור של הנתונים. לרוב הכתיבה תעשה באמצעות Driver בעל יכולת גישה ישירה לתוכן של אזורים שונים בדיסק.

אפשרות נוספת לפגיעה היא מחיקת מאפייני הדיסק -Wipe Structure Disk. אלו נתונים הנחוצים לצורך הפעלתה או אתחולה של המערכת. מחיקה או שינוי של נתונים קריטיים אלו, כדוגמת record boot master MBR או Table Partition, ימנעו את הפעלת המערכת.