מסמך הפיתיון שבו השתמשה קבוצת התקיפה, קרדיט: פאלו אלטו
מסמך הפיתיון שבו השתמשה קבוצת התקיפה, קרדיט: פאלו אלטו

מסמך תמים, שפותח דלתות: כך פועלת יחידת הסייבר של חמאס שנחשפה על ידי פאלו אלטו

חוקרים ישראלים בפאלו אלטו, חושפים את קבוצת Ashen Lepus המזוהה עם חמאס שמפעילה קמפיין ריגול מתמשך לכריית מידע ממדינות ערב; בין היעדים שהותקפו: מצרים, ירדן, עומאן, מרוקו וגם הרשות הפלסטינית

מנדי הניג |
נושאים בכתבה חמאס פאלו אלטו
ככה פועלת המתקפה. מסמך תמים שנראה כאילו הגיע מגורם רשמי נוחת בתיבה, ומשם הכול מתחיל להתגלגל. עובד ממשל, דיפלומט או יועץ מדיני מקבל קובץ שנראה לכל דבר כמו מכתב מהליגה הערבית או דיווח פנימי ממוסד דיפלומטי. הוא כתוב בשפה רשמית, מעוצב בפורמט מדויק ומלווה בחותמות שמעניקות לו תחושת אותנטיות מלאה. הקורא אינו מעלה בדעתו שמשהו חשוד. הוא פותח את המסמך, ולעיתים אף מתבקש להוריד ארכיון מצורף כדי לצפות ב"גרסה המלאה" של הדוח. באותו רגע מופעל מנגנון נסתר, שקט וחכם, שמריץ ברקע רצף קבצים זדוניים המהווים את תחילתה של מתקפת ריגול מתוחכמת.

משם הכול קורה בלי שהקורבן מרגיש. הקובץ שמתחזה למסמך מדיני מפעיל שרשרת של רכיבים שמורידים ומפעילים את ערכת התקיפה החדשה של קבוצת Ashen Lepus, קבוצת APT המזוהה עם חמאס ושפועלת כבר שנים נגד גופים ממשלתיים במזרח התיכון. רק שהפעם, כך חושפים החוקרים הישראלים של פאלו אלטו נטוורקס, הקבוצה מגיעה עם מערך מתקדם בהרבה מבעבר.



מסמך פיתיון כפי שנחשף על ידי צוות החוקרים של פאלו אלטו


חוקרים ישראלים של פאלו אלטו חושפים: קמפיין ריגול חדש, מתמשך ומתוחכם של חמאס נגד ממשלות ערביות

צוותי UNIT 42 של פאלו אלטו נטוורקס ישראל מפרסמים דוח מקיף על קמפיין ריגול שנמשך חודשים ארוכים, ומטרתו חדירה ואיסוף מידע מגופים ממשלתיים ודיפלומטיים ברחבי המזרח התיכון. הקבוצה שעומדת מאחורי הקמפיין היא Ashen Lepus, המכונה גם WIRTE, ואם בעבר היא נחשבה לשחקן בינוני בזירה, בזמן האחרון היא שדרגה משמעותית את היכולות שלה הן מבחינת תשתיות והן מבחינת כלים וטכניקות תקיפה.

הקמפיין היה פעיל לא רק בתקופות שקטות יחסית, אלא וביתר שאת בזמן המערכה בין ישראל לחמאס, והקמפיין הזה נמשך גם אחרי הסכם הפסקת האש בעזה באוקטובר האחרון. כאן גם אפשר למצוא הבדל בין Ashen Lepus לבין קבוצות אחרות המזוהות עם חמאס: בעוד אחרות הורידו פעילות, הקבוצה המשיכה לפעול בעקביות, הוסיפה כלים חדשים, והרחיבה את תחומי הפעולה והיעדים. בין המדינות שנפגעו: מצרים, ירדן, עומאן, מרוקו וגם הרשות הפלסטינית.

החוקרים מסבירים כי הפתיונות - כמו המסמך מהליגה הערבית - מותאמים בדיוק לעולמות התוכן של הקורבנות. רובם עוסקים בענייני פלסטין, החלטות מדיניות או יחסי מדינות, אך בקמפיין הנוכחי נוספו גם מסמכים הקשורים ליחסי טורקיה–פלסטין, מה שמרמז על כיוון מודיעיני חדש של הקבוצה.

מבחינת מבנה התקיפה, מדובר בשרשרת מדויקת ומתוחכמת. הכול מתחיל בקובץ PDF תמים שמפנה להורדת קובץ RAR. בתוך הארכיון מסתתר קובץ בינרי שמתחזה למסמך נוסף. הקורבן לוחץ עליו כדי לקרוא את ה"תוכן", אך מאחורי הקלעים מופעלים שלושה רכיבי תקיפה: 

AshenLoader - היישות הראשונה, שאוספת מידע ראשוני ומריצה קוד בזיכרון; 

AshenStager - שלב הביניים, שאחראי לשלוף מטענים מוסתרים מתוך תגיות HTML באתרי פיקוד; 

AshTag - ערכת תקיפה המלאה, הכוללת יכולות גניבת קבצים, צילום מסך, הרצת קוד והזרקת מודולים לתוך הזיכרון.


"דלת אחורית" בתוך הקוד

קיראו עוד ב"בארץ"


אחד החידושים הוא גם שדרוג בתשתית השליטה והבקרה של הקבוצה. במקום להשתמש בדומיינים שנרשמו במיוחד עבורם, הקבוצה עוברת להשתמש בתתי-דומיינים של אתרים לגיטימיים, מה שמאפשר לה להיטמע בתוך תעבורת אינטרנט רגילה. חלק מהמטענים מוסתרים בתוך תגיות HTML כמו

או כתגים חסרי משמעות לכאורה. בנוסף, השרתים מבצעים בדיקות שמוודאות שהקוד לא רץ בסביבה של Sandbox, ומעבירים את המטענים רק כאשר ההתקן עומד בקריטריונים שהוגדרו מראש.

החוקרים מתארים גם שלב מתקדם של "עבודת יד" מצד התוקפים. לאחר ההדבקה הראשונית, הם נכנסים למערכת ומתחילים לשאוב מסמכים רגישים ישירות מחשבונות המייל של הקורבן. המסמכים מועברים לתיקייה משותפת במחשב ומשם מועלין אל שרת תוקפים באמצעות Rclone, כלי קוד פתוח לגיטימי שמקשה על זיהוי החריגה. זו הפעם הראשונה שבה Ashen Lepus נצפתה משתמשת בכלי הזה.

גם מבחינת יכולות פנימיות, AshTag מציגה קפיצה טכנולוגית: קוד שמופעל ישירות בזיכרון בלי לכתוב קבצים לדיסק, מודולים שמתחלפים בזמן אמת, שכבות הצפנה רבות, והפרדה ברורה בין שרתים המשמשים לשלבים שונים בשרשרת התקיפה. החוקרים הצליחו לשלוף ולנתח מודול לזיהוי מערכת (System Fingerprinting), שמטרתו לאסוף מזהים ייחודיים על המחשב לפני הפעלת המודולים המתקדמים יותר.

לפי הדוח, Ashen Lepus לא רק שדרגה את האמצעים היא גם הרחיבה את יעדי התקיפה ואת תחומי העניין שלה. המסמכים המזוייפים מתייחסים לנושאים גיאופוליטיים עדכניים, והקבוצה מפגינה יכולת מהירה להסתגל לשינויים פוליטיים אזוריים.

בחברת פאלו אלטו נטוורקס מזכירים כי מערכות כמו Advanced WildFire, Advanced URL Filtering, Advanced DNS Security ו-Cortex XDR מעודכנות להתמודדות מול הטכניקות שנחשפו. מי שחושד כי נפגע, כך מציינים ב-UNIT 42, מוזמן לפנות לצוות Incident Response של החברה.

הגב לכתבה

השדות המסומנים ב-* הם שדות חובה
שי אהרונוביץ, רשות המסים (עמית אלפונטה)שי אהרונוביץ, רשות המסים (עמית אלפונטה)

רשות המיסים: ״נסיים את 2025 עם יותר מ-40 מיליארד שקל מעל היעד״

בוועידת עיר הנדל״ן באילת הציג שי אהרונוביץ תמונה אופטימית של גביית המסים לשנה, דיבר על העלייה במיסוי נדל״ן, הסביר את כיוון מס הרכוש והתייחס לחובת הדיווח על שכר דירה ולמצב מדרגות המס

ליאור דנקנר |

ועידת מרכז הבנייה הישראלי באילת, שנפתחה אתמול (שלישי), הציג מנהל רשות המסים שי אהרונוביץ נתוני גבייה גבוהים לשנה ואמר כי המדינה צפויה לסיים אותה ברמה משמעותית מעל היעד שנקבע בתחילתה.

אהרונוביץ אמר כי היעד לשנה עמד על גבייה של 460 עד 462 מיליארד שקל, אך עד סוף נובמבר נגבו כבר כ-466 מיליארד שקל. לדבריו, לאחר ניכוי רכיבים טכניים שמתבצעים בדרך כלל לקראת סוף השנה, ההערכה היא שהמדינה תסיים את 2025 עם כ-40 מיליארד שקל מעבר ליעד.

הנתונים האלה מתחברים לתמונה הפיסקלית הרחבה שפורסמה בימים האחרונים על ידי החשב הכללי. לפי האומדן המעודכן, הגירעון ב-12 החודשים האחרונים ירד ל-4.5% מהתוצר לעומת 4.9% בסוף אוקטובר, בין היתר בזכות עלייה של יותר מ-15% בהכנסות המדינה ובכ-15.6% בהכנסות ממסים מתחילת השנה. 

הקפיצה בגביית המסים שאהרונוביץ מציג באה לידי ביטוי גם ברמת המאקרו, בצמצום הגירעון - בשביל תמונה יותר מעמיקה על התכווצות הגרעון: הגירעון התכווץ לרמה של 4.5% מהתוצר: הכנסות המדינה זינקו ב-15%


נדלן חלש בחלק מהשוק אבל קפיצה בעסקאות מסחריות

לדברי אהרונוביץ, גם שוק הנדלן תרם לעלייה בהכנסות, אף שבחלק מסגמנטי המגורים נרשמה חולשה. הוא אמר כי בזכות כמה עסקאות מסחריות גדולות צפויה גביית המסים מהענף להגיע השנה לרמה של 18 עד 19 מיליארד שקל, לעומת כ-15 מיליארד שקל בלבד בשנה שעברה. לדבריו, מדובר בעלייה הן במס רכישה והן במס שבח.

בזן
צילום: שגיא מורן

חשד להפרות וזיהום אוויר: בז"ן הוזמנה לשימוע במשרד להגנת הסביבה

עידית סילמן: "הממצאים מצביעים על מספר רב של הפרות ובכללן כאלה הגורמות לזיהום אוויר חזק או בלתי סביר וכן הפרות של תנאי היתר הרעלים, מתוך סיכון בריאות הציבור והסביבה" קבוצת בזן: "קבוצת בזן פועלת ותמשיך לפעול בשקיפות מלאה אל מול גורמי המקצוע בתחום הגנת הסביבה"

מנדי הניג |
נושאים בכתבה בזן

מחוז חיפה של המשרד להגנת הסביבה שלח התראה וזימון לשימוע לבז"ן בזן 1.07%   , לכרמל אולפינים ולגדיב, בעקבות שורה של הפרות לכאורה של תנאי היתרי הפליטה והרעלים ושל הוראות חוק אוויר נקי וחוק החומרים המסוכנים. המסמכים שנמסרו לחברות מתארים ליקויים חוזרים בפליטות מזהמות, בתשתיות ובניהול חומרים מסוכנים.

השרה להגנת הסביבה, עידית סילמן, אמרה כי "הממצאים מצביעים על מספר רב של הפרות ובכללן כאלה הגורמות לזיהום אוויר חזק או בלתי סביר וכן הפרות של תנאי היתר הרעלים, מתוך סיכון בריאות הציבור והסביבה. המשרד להגנת הסביבה לא יאפשר למפעלים לסכן את בריאות הציבור והסביבה ויפעל בכל הכלים העומדים לרשותו כדי להבטיח עמידה מלאה בחוק".

על פי נתוני המשרד, בתחנות הניטור ובדיגומים על גדר המתחם נרשמה מגמת עלייה עקבית בריכוזי בנזן, חומר המוגדר כמסרטן, החל מ-2020 ועד 2024. לפי המשרד, העלייה נובעת מפליטות המתחם המשותף של בז"ן וגדיב, וחשפה את הציבור לרמות מזהם הגבוהות מאלה שנקבעו בערכי הסביבה. בנוסף לכך נמצאו חריגות רבות מערכי הפליטה המותרים לבז"ן ולכאו"ל לגבי מזהמים שונים, בהם תחמוצות גופרית, תחמוצות חנקן וחלקיקים. בחלק מהמקרים דווח על פליטות עשן שחור שהוגדרו כזיהום אוויר חזק או בלתי סביר, בניגוד לתנאי היתר הפליטה.

בממצאים הנוגעים לגדיב התגלו שתי הפרות מהותיות של תנאי היתר הרעלים: הפעלה של קווי דלק חוץ-מפעליים המוליכים חומרים מסוכנים ללא מערכת הגנה קתודית במקטע מסוים, מצב שמגביר את הסיכון לקורוזיה ולדליפות; וכן הפעלה מחדש של מכלי אחסון מסוכנים אחרי אירועים חריגים ללא אישור מחודש של בודק מוסמך, בניגוד לדרישות ההיתר.

בשל הליקויים, המשרד להגנת הסביבה שוקל צעדי אכיפה ובהם צו מינהלי לפי חוק אוויר נקי לצמצום ומניעת זיהום, וכן הטלת עיצומים כספיים. לפני קבלת החלטה סופית זומנו החברות לשימוע.