תולעת בעורף האויב

המהנדס האיראני מוסטפא רושאן בסך הכל רצה לקבל שדרוג לתוכנת תיב"ם מקצועית. מדובר בתוכנה המשמשת לתכנון הנדסי בתלת-מימד. למרבה התסכול, הוא לא הצליח להוריד את העדכון באמצעות האינטרנט כיוון שבית התוכנה האמריקני חסם את האפשרות לעדכון התוכנה מכתובת אינטרנט איראנית. גם לא בתשלום.

בלית ברירה הזמין המהנדס המתוסכל את התוכנה המשודרגת בעותק קשיח, על כרטיס USB. אחרי שבוע, כשהגיע הכרטיס בדואר, מיהר לדחוף אותו לשקע המתאים במחשב ולהעלות את הגירסה החדשה של תוכנת העיצוב. העדכון בוצע במהירות, כי היו לו כעת את כל ההרשאות.

אלא שבלי שרושאן הרגיש, מתוך אותו כרטיס זיכרון התגנבה למחשב שלו גם תולעת קטנה והתמקמה בתיקיית האתחול של מערכת ההפעלה שלו, "חלונות". בתום התקנת תוכנת העיצוב הופיעה על המסך הודעה: להפעלת העדכון יש לאתחל את המחשב מחדש.

לחיצה קלה על העכבר והמחשב עולה. זהו. זה כל מה שהתולעת Flame היתה צריכה כדי להתחיל לפעול. היא התלבשה על מערכת ההפעלה, ומאותו רגע עקבה אחרי כל הקשה במקלדת, והקליטה כל מה שנאמר ליד המחשב. היא גם צילמה מסכים, העתיקה קבצים ושיחות ברשת ושמרה אותם בצורה מקודדת בתוך תיקייה חבויה במערכת ההפעלה, תיקייה שאף פעם לא ניגשים אליה, כדי שלא לשבש את פעולת המחשב.

התולעת גם חיפשה מסמכים שהכילו מילות מפתח ושמרה עותק שלהם בתיקייה החבויה. התיקייה התנפחה והתנפחה, כשהיא מתמלאת במידע חיוני שתיעד כל צעד שעשה המהנדס, שעבד בחברה פרטית שנתנה שירותים לפרויקט הגרעין האיראני. היא גם זיהתה מחשבים נוספים ברשת, וקפצה לביקור גם אצלם.

זה לא הכל. בנוסף, התולעת שיכפלה את עצמה בכל פעם שמפעיל עם אותו שם ואותה סיסמה נכנס לרשת ממסוף אחר. היא הקליטה את פעולותיו ותיעדה כל שינוי בקבצים. כל מילה שאמר - תועדה ונשמרה.

אט-אט נדבקו בתולעת עשרות מחשבים של חברת ההנדסה, וכן הניידים שאיתם יצאו מהנדסי החברה לפרויקטים בסוריה, בסודאן, בערב הסעודית וגם באיראן עצמה.

אותה חברה גם ביצעה את השדרוג של מערך שינוע הנפט הגולמי בשער המרכזי באי חארג'. גם לשם הגיעה התולעת, אבל כאן חל שינוי בפעולתה. התולעת הורידה מהאינטרנט עוד רכיב תוכנה קטן, ששיבש את פעילות המערכת. הספקת הנפט האיראני לחו"ל שובשה.

אחד המחשבים הגיע לרשות הפלשתינית והדביק גם שם מחשבים נוספים כאשר התחבר לרשת מקומית. זו גם היתה הזדמנות למפעילי התולעת להתחיל לראות את המידע שצברה התולעת. הקבצים המוצפנים דלפו מהמחשב ונשאבו לשרת של מפעיל התולעת, כשהם חושפים את כל הפרויקטים שהיה מעורב בהם, את קצב ההתקדמות, תרשימים, תכתובות וגם סיסמאות כניסה של משתמשים אחרים ברשת.

אחד הסוכנים של מפעיל התולעת הגיע לאזור שבו נמצא המהנדס האיראני, עם המחשב האישי הנגוע שלו, ובאמצעות הטלפון הסלולרי החכם שלו התחבר בטכנולוגיית בלוטות' אל המחשב האיראני הנייד, ושלף את כל המידע מהתיקייה החבויה.

כל מה שקראתם עד כאן הוא תסריט דימיוני, אשר ממחיש למעשה את דרכה של "התולעת" אל המחשבים האיראנים.

ריגול אישי

אנשי אבטחת מידע מעריכים כי ההתפשטות של התולעת לכל מדינות המזרח התיכון נועדה להסתיר את המטרה המרכזית של המזמין, שביקש כנראה לרגל אחרי אדם מאוד מסוים, בעל חשיבות אסטרטגית, אך הפיץ את התולעת לכמה מאות מחשבים כדי להסתיר את המטרה האמיתית של משימת הריגול האינטרנטית.

כדי לטשטש את הכוונה האמיתית רבות מהמערכות שהותקפו היו של מחשבים אישיים שנעשה בהם שימוש מרשת האינטרנט הביתית. רבות מההתקפות היו על פעולות של אנשים פרטיים ולא על החברה שמעסיקה אותם.

לדברי סימנטק, הניתוח של רכיבי האיום השונים ממשיך. הניתוח של סימנטק מעלה כי הקוד של התולעת מורכב, ויש בו כמה מרכיבים. במבט ראשון התולעת נראית בלתי מזיקה, אולם בדיקה מעמיקה מגלה פונקציונליות רעה החבויה היטב. "הממצאים הראשוניים מעלים כי לא כל הקורבנות של התולעת הם מקשה אחת. חלק מההתקפות נועדו לבדוק פעילויות אישיות של פרטים בתוך הארגון ולא את ההתנהלות העסקית של העסק שבו הם עובדים".

לפי הבדיקות, שכבת ההצפנה המתוחכמת של התולעת נכתבה בהשקעה גדולה של כמה שנות אדם. לא היתה זו עבודה של חובבים. היקף הקוד הנרחב של התולעת מעלה השערה כי היא נוצרה על ידי מדינה ולא בידי אדם פרטי, אך אין ודאות בכך. רשת NBC דיווחה ביום רביעי כי גורמים בארה"ב טוענים שהתולעת נוצרה על ידי סוכנות ביון אמריקנית, כנראה הסוכנות לביטחון לאומי.

יותר מפעולת סייבר של ריגול בין מדינות, ההתנהלות של Flame מזכירה ריגול תעשייתי. פעולות ההקלטה וההעתקה של קבצים אופייניות לתוכנות של ריגול תעשייתי, כפי שזכור מפרשת הסוס הטרויאני שנחשפה בישראל לפני כשבע שנים.

הסוס הטרויאני

באמצע 2005 נתגלתה בישראל פרשה של סוס טרויאני. חוקרים פרטיים משלושה משרדי חקירות רכשו תוכנת רוגלה (אשר כונתה "הסוס הטרויאני") ושתלו אותה במחשביהן של חברות מרכזיות במשק באמצעות תוכנה אחרת שהופצה בתקליטור כהצעה עסקית ונשלחה גם בדואר אלקטרוני.

עם החברות שהרוגלה הושתלה במחשביהן נמנות דובק, הוט, מי עדן, מלם מערכות, סטימצקי, פרטנר, צ'מפיון מוטורס וקבוצת שטראוס. בני הזוג נידונו לארבע שנות מאסר וחויבו בתשלום קנס בסך מיליון שקלים כל אחד, ורוב החוקרים הפרטיים - שסירבו לגלות את שמות הלקוחות שבעבורם פעלו בניגוד לחוק - נידונו אף הם למאסר.

גם השתיקה של החוקרים עולה כסף, לא פחות מהתכנות עצמו. מאחורי תוכנות של ריגול
תעשייתי עומד בדרך כלל כסף גדול, כי מה זה מיליון דולר לפיתוח תוכנה שתאפשר לדעת מה עושים המתחרים ולהביא לרווחים של עשרות ומאות
מיליוני דולרים. כסף קטן.

פעולות הריגול של תוכנת Flame אינן יוצאות דופן, אבל התחכום הרב שלה, שבו הושקעו כמה וכמה שנות אדם, הוא בשני תחומים: שכבות ההצפנה, שהן ברמה גבוהה ואפשר להשוות אותן לבניין עם 50 גדרות סביבו. יש היום בעולם תוכנות מדף עם הצפנה מעולה, וכל אחד יכול להגיע אליהן. פענוח ההצפנה אינו קל בשום מקרה.

התחום השני שבו מצטיינת Flame הוא תחום ההתממה, שגורם לתוכנה להיראות כמו קוד תמים. לדברי שי בליצבלאו, מנכ"ל חברת מגלן לאבטחת מידע מתקדמת, שכבת ההתממה של Flame היא ברמה מאוד גבוהה, ועובדה שבמשך שנתיים התולעת לא התגלתה על ידי שום אנטי וירוס. לדבריו, זו עבודה מאוד מורכבת המעידה על רמת ההשקעה הגבוהה של מתכנני Flame.

מרכיב נוסף בתולעת מהסוג הזה הוא הצורך לתחזק אותה ולדאוג לתקינותה, וגם לשאוב בצורה עקבית את המידע שהיא צוברת על המחשב הנגוע. זו אינה עבודה של האקרים מן השורה, אלא של ארגונים עם מימון כבד. האקרים אינם אוהבים תחזוקה ומעדיפים פגיעה חד-פעמית. אבל בריגול תעשייתי יש תמיד תמורה להאזנה רציפה, לפענוח תמידי של המידע, כי הנתונים משתנים ומי שעוקב מחפש את השינויים כדי להתאים את עצמו.

הריגול התעשייתי באינטרנט מתבצע היום על ידי אנשים שקודם היו בצד השני, המניעתי; כאלה שאוהבים להיות על הגבול של אכיפה או פשיעה. גם בישראל יש כמה גורמים המעורבים בריגול תעשייתי שקודם פעלו בצד השני של החוק.

תולעת Flame היא עליית מדרגה בתוכנות הריגול התעשייתי ובלוחמת הסייבר. היא בעצם מוטציה של הווירוס Stuxnet שפגע במארג הייצור הגרעיני האיראני. התולעת מסוגלת לאסוף מידע מהדיסק, להדליק את המיקרופון הפנימי ולהקליט את מה שנאמר לידו, לעקוב אחר הקשות על המקלדת ולשחזר את מה שנכתב, להשבית מדפסות, למחוק קבצים, לרשום את הציוד ההיקפי המחובר למחשב, לעשות צילומי מסך, לעקוב אחר התנועה ברשת ולשגר את המידע באינטרנט למפעיל התולעת.

"תוכנה זדונית"

מעבדת קספרסקי, חברה רוסית לאבטחת מידע, שהיתה הראשונה שחשפה את קיומה של התולעת, טוענת כי ''זו אחת התוכנות הזדוניות המורכבות שהתגלו. היא מגדירה מחדש את מלחמת הסייבר ואת ריגול הסייבר והיא האיום המורכב ביותר שהתגלה עד היום".

לדברי קספרסקי, יש ראיות לכך שהקוד נכתב עוד בתחילת 2010 כנראה על ידי המדינה שעומדת מאחורי הווירוסים Stuxnet ו-Duqu, שכן שלוש התוכנות הללו מנצלות פרצה זהה במערכת ההפעלה "חלונות". בקספרסקי טוענים כי עובדה זו מצביעה על כך שליוצרי התולעת היתה גישה לאותה טכנולוגיה אולם היא לא בהכרח נכתבה על ידי אותו צוות פיתוח.

לתולעת Flame יש 20 רכיבים, שכל אחד מהם מסוגל לבצע מטלה אחרת, והתולעת יכולה למשוך את הרכיבים בזה אחר זה אל המחשב הנגוע. נפח הזיכרון שתופסת התולעת על כל רכיביה הוא כ-20 מגהבייט. לפי הערכת קספרסקי, ייקח בערך שנה לגלות את כל הפעולות שהתולעת מסוגלת לבצע; כפול מהזמן שנדרש לאתר את כל היכולות של Stuxnet. כאשר Flame פוגעת במחשב שבעליו הוא בדרג של מנהל רשת, הוא מסוגל לתקוף גם מחשבים נוספים ברשת. הוא יוצר "דלת אחורית" לחשבונות המשתמשים ברשת ובאמצעותה הוא מעתיק את עצמו למחשבים אחרים ברשת.

לפי תבנית הקוד של Flame, אפשר לראות שתולעת Flame אולי הוזמנה על ידי אותו גורם, אבל היא נכתבה על ידי צוותים שונים לחלוטין. לדברי אשר גנחובסקי, מומחה בכיר לאבטחת מידע בסימנטק ישראל, התוכנה תוכננה להתפשט בתוך רשתות ויש לה יכולת להעריך את המיקום הגיאוגרפי של מחשב לפי ביצוע משימות מוגדרות.

Flame תוכנתה לבצע מגוון של פעולות, כולל גניבת מסמכים, צילומי מסך, יכולת התפשטות דרך כונני USB, השבתת הגנות אבטחה והדבקה של מערכות אחרות, בתנאים מסוימים.

מומחי אבטחה בישראל, שקיבלו את הקוד של התולעת מעמיתיהם בארה"ב, אמרו כי Flame אינה שונה בהרבה מווירוסים אחרים המסתובבים ברשת, וההבדל היחיד שמביא אותה לכותרות הוא ההגבלה שלה לפעול רק במדינות המזרח התיכון. ביום רביעי לפנות בוקר שיחררו עשרות יצרני אנטי וירוס גרסאות עדכון הסורקות את המחשב, מזהות את החתימה של Flame ומסירות אותה.

מומחי האבטחה מעריכים כי הקוד של התוכנה הורכב מחלקים מוכרים מתוך הווירוסים הקודמים בסידרה, Stuxnet ו-Doqu. לפי הערכת שי בליצבלאו, בכל רגע נתון מסתובבים באינטרנט בין 50 ל-80 רוגלות מסוג זה. "בשלב הבא ייקחו שוב חלקים מהקוד של התולעת ויבנו תולעת חדשה. זו מלחמה מתמשכת שלעולם אינה מסתיימת".

טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו