המחקר חושף: כך פועל קמפיין הריגול האיראני נגד ישראל

חוקרי Kaspersky מזהירים כי קמפיין הריגול האיראני Project CAV3RN, המכוון לארגונים בישראל, ממשיך להשתכלל ומשלב כעת שימוש בשירותי הענן של Google.

לפי המחקר, התוקפים עושים שימוש ב-Google Apps Script - שירות לגיטימי של Google המשמש לפיתוח ואוטומציה - כדי להסוות תקשורת בין מחשבים נגועים לבין מערכות השליטה שלהם.

המשמעות היא שהתעבורה הזדונית אינה נראית בהכרח כמו חיבור לשרת חשוד, אלא עשויה להיטמע בתוך פעילות רגילה מול שירות מוכר של Google. שיטה זו מקשה על מערכות האבטחה להבחין בין פעילות עסקית לגיטימית לבין תקיפה.

ב-Kaspersky מציינים כי לתשתית התקיפה נוסף גם מנגנון התאוששות. אם ערוץ התקשורת נחסם, הנוזקה מסוגלת לפנות לערוץ חלופי ולקבל כתובת חדשה, מבלי שהתוקפים יצטרכו להתקין אותה מחדש.

החוקרים מצביעים על מגמה רחבה יותר: מעבר מתשתית תקיפה פשוטה לפלטפורמה מודולרית, שמאפשרת לתוקפים להוסיף יכולות, לשנות ערוצי תקשורת ולשמור על נוכחות ממושכת במחשבי הקורבנות.

בחברה מזכירים כי בחודש יולי זוהה שימוש דומה גם ב-Microsoft Outlook וב-Microsoft Graph. כעת, המעבר ל-Google Apps Script מלמד על יכולת הסתגלות גבוהה של התוקפים ועל האתגר הגובר של ארגונים בישראל בזיהוי תקיפות שמסתתרות בתוך שירותי ענן יומיומיים.