וירוס ריגול חדש, מהדי, טיווח ישראלים

תוכנה זדונית חדשה, שמטווחת אנשים ספציפיים ברחבי המזרח התיכון – כולל בישראל – הדביקה ב-8 החודשים האחרונים יותר מ-800 מחשבים, זאת על פי מחקר של חברת האבטחה קספרסקי בשיתוף פעולה עם חברת Seculert הישראלית. יותר מ-50 מחשבים של ישראלים שנבחרו וטווחו אישית הודבקו על ידי התוכנה, שמכונה "מהדי", וזו שואבת מידע ממחשביהם גם היום.

אביב ראף, סמנכ"ל הטכנולוגיות של סקולרט, מסביר כי הנוזקה טיווחה אנשים ספציפיים, באמצעות מצגות וקבצים אחרים שהודבקו, וכשאלה נפתחו על מחשבי הקורבנות החלו לגנוב מידע ממחשביהם. מדובר לא רק בגישה אל הקבצים, כי אם גם בהקלטה של הקשות מקלדת, צילומי מסך תכופים (כולל צילומים של שיחות מסרים מיידיים), והקלטת קול מהמחשבים. בהודעה לעיתונות אותה הפיצה קספרסקי כתוב כי מי שטווחו הם " אנשי עסקים שעבדו על פרויקטים שקשורים לתשתיות לאומיות – ביניהם, במוסדות כלכליים בישראל, למחשבי סטודנטים להנדסה ולמחשבים בגופים ממשלתיים ברחבי המזרח התיכון." נבהיר שוב כי הנוזקה עודנה פעילה.

עם זאת, על פי הניתוח של סקולרט, רוב ההדבקות בוצעו באירן. כיום מודעים בחברה ל-387 מחשבים אירניים מודבקים, ורק 54 מחשבים ישראליים. בנוסף, זוהו גם 14 מחשבים מודבקים באפגניסטן, 6 באמירויות ו-4 בערב הסעודית.

בקספרסקי וסקולרט מסכימים כי לא מדובר בוירוס מתוחכם מבחינה טכנולוגית, כי אם בכזה שמתבסס על "הנדסה חברתית" – החדרתו למחשבי הקורבנות על ידי פניה מותאמת אישית, שמתחשבת בעיסוקו של הקורבן, פרטיו האישיים ותחביביו.

לא ברור עדיין האם המתקפה הנוכחית היא ניסיון אירני בתמיכה ממשלתית לרגל אחר אנשים ברשת - התגובה האירנית לנוזקות Stuxnet, Duqu ו-Flame שנחשפו בשנתיים האחרונות.

נזכיר כי סטוקסנט נועדה לפגוע בצנטריפוגות האירניות, דוקו גנבה מידע מהארגונים במדינה ו-Flame עקבה אחרי מחשבים בכל רחבי המזרח התיכון. בתכנון שלושתן נחשדים ארגוני ביון וצבא, עם זרקור על ישראל וארה"ב, אך מעולם לא הוכח קשר ישיר בין אחת הנוזקות לבין מדינה כזו או אחרת.

הניתוח בבלוג של סקולרט
הניתוח בבלוג של קספרסקי - חלק 1