הרשת העמוקה והאפלה: מסע לפשעים שבין השורות (של הקוד)

גם אם נאסוף מודיעין על איומים בסייבר סביב השעון בקושי נגרד את פני השטח, על אחת כמה וכמה כשמדובר ברשת העמוקה והאפלה. ב"יקומים המקבילים" האלה אפשר למצוא אוצרות של מידע על מזימות, מניעים ושיטות פעולה של גורמים זדוניים - כל עוד מצטיידים בכלים ובידע הדרושים להשגת המידע ולניתוח הממצאים.

לא כל דבר באינטרנט נגיש למנועי החיפוש הציבוריים. חלק מהמידע העדכני ביותר על פשעי סייבר מסתתר, וכדי להגיע אליו צריך לדעת איפה ואיך לחפש - ברשת העמוקה וברשת האפלה. מה ההבדל בין השתיים?

הרשת העמוקה כוללת אתרים שנדרשת הזדהות כדי להיכנס אליהם. למשל: ספריות של אוניברסיטאות, אתרים של תאגידים ואמצעי התקשרות פרטיים כגון דוא"ל ואפליקציות מסרים. הרשת האפלה, לעומת זאת, היא מעין שכבה תת קרקעית הנגישה רק דרך דפדפנים ייחודיים ומשמשת בין השאר, עבריינים להתקשרות ולהוצאה לפועל של פעילות בלתי חוקית.

ממש כמו ברשת הרגילה, הנגישה לכול, ברשת האפלה ניתן למצוא מספר סוגים של פלטפורמות ואתרים, עם מטרות ופורמטים שונים. הנה כמה מהנפוצים שבהם:

• פורומים מחתרתיים: כמו רשתות חברתיות, הפורומים משמשים כחדרי מפגש וירטואלי. המשתתפים יכולים לחלוק מידע ולמכור או לרכוש מוצרים ושירותים. למשל: נוזקות.
• שווקים, בדגש על כרטיסי אשראי: באלה אפשר למכור או לרכוש סחורה באופן לא חוקי, ובכלל זה הרשאות כניסה והתחברות.
• אפליקציות מסרים: כאן עבריינים יכולים ללכת רחוק יותר בדיונים ובעסקאות, כשעל פי רוב, השרשורים נעלמים כעבור זמן מוקצב.
• ריפוזיטורים לכתיבה והעתקה של קוד: אלה מאפשרים להעלות ולהוריד קבצי טקסט גדולים, כגון נוזקות ודליפות מידע.

כל מי שמעוניין בתקשורת מקוונת אנונימית עשוי להימצא ברשת האפלה - וזה כולל כמובן גורמים זדוניים. ככל שמדובר בתוקפים בסייבר, אלו משתייכים בדרך כלל לאחת מארבע קטגוריות:

• חובבנים - שמבצעים תקיפות פשוטות יחסית, כמו השתלטות על חשבון או שבירת סיסמאות. כאן ניתן למצוא גם לא מעט בני נוער.
• האקרים מקצוענים - תוקפים מנוסים, שיכולים לבצע תקיפות כופר ולנצל חולשות ידועות, למשל לפעול בתעשיית הקריפטו.
• קבוצות תקיפה - קבוצות מאורגנות ומתוחכמות שמבצעות הונאות, הלבנות כספים ועוד.
• שחקנים מדינתיים - סביר שאלו יוציאו לפועל תקיפות מסוג APT, קרי: שקטות ורחבות היקף ואמצעים, שחודרות למערכות, מרגלות ושואבות מידע (גם מעכשיו לעכשיו - מתקפות "אפס ימים").

דרך ניטור מתמיד של הרשת העמוקה והאפלה, ניתן ללמוד לא מעט על מה שעברייני סייבר מתכננים לעשות, או כבר עשו, וגם היכן וכיצד. הנה מספר דוגמאות קלאסיות:

• צ'אט על הגנה והתקפה - תתפלאו, אבל גם לפושעי סייבר יש דאגות ביטחוניות - בגידות הן תופעה רווחת בעולם הזה. נוכל גם לקרוא על טקטיקות, טכניקות ואמצעים לתקיפה, ולהבין טוב יותר באילו מהן נוטים השחקנים השונים להשתמש.
• הצעות לתקיפה as-a-service - זו יכולה להיות פעולה חד פעמית, או כלים למתקפות רחבות יותר. כך או כך, שיח כזה מאפשר לנו להתעדכן בטרנדים ולעיתים גם ללמוד מי עלול להיות על הכוונת.
• טרנזקציות של תוכנה as-a-service - דרך התבוננות מהצד על קנייה ומכירה של כופרות ונוזקות, ניתן להסיק, שוב, במה צפויים להשתמש נגד מי.
• דיונים בנושאים אקטואליים - עברייני סייבר מקפידים להתעדכן בחדשנות, ולעיתים קרובות הם זוממים לבצע פישינג סביב ענייני השעה. הם דנים גם בטכנולוגיה, גיימינג, קריפטו ותחומי עניין נוספים, לצד טרנדים ודרכי פעולה. דרך מעקב שוטף נוכל להבחין במי שפעיל במיוחד ברשתות.
• הצעות למוצרים - תוך כדי התבוננות על מה שמוצע למכירה - הרשאות שנפרצו, מידע שדלף וכדומה- ניתן לא פעם לקבוע את ההיקף ומידת ההצלחה של תקיפות שבוצעו לאחרונה.
• זהויות - גורמים זדוניים שומרים על אנונימיות ברשתות, אבל במקרים רבים אנחנו מסוגלים להרכיב עבורם זהויות על סמך הפוסטים שפרסמו. אפשר ללמוד על שחקן ספציפי, למשל שפה, פרטי ההתקשרות שלו, הכינויים שלו ואפילו פרטי הארנק הדיגיטלי שלו למטבעות קריפטו.

כמה שלא ננסה, נדיר שמצליחים לקבוע מהי זהותו האמיתית של משתמש ברשת האפלה. גם אין לדעת מי נמנה עם קבוצת APT ומהי תוכנית התקיפה המפורטת. אגב, אף פעם לא רואים מוצרים עם ערך גבוה שמוצעים בחינם. הפשע אולי לא משתלם, אבל פשיעת סייבר בהחלט כן.

נכון, בעזרת TOR או דפדפן Onion, כל אחד יכול לגלוש ברשת האפלה. אבל לדעת מה ואיפה לחפש? זה כבר סיפור אחר לגמרי, שמצריך אנשי מקצוע מיומנים עם כלים ייעודיים לאיסוף מודיעין על איומים בסייבר. איתם אפשר לקבל שפע של ידע רלוונוטי, שישאיר אתכם מעודכנים במפת הסיכונים ויתריע בזמן על תקיפה אפשרית נגד הארגון. וידע, כידוע, הוא כוח.

Cybersixgill אוספת באופן אוטומטי דליפות נתונים ומתריעה ללקוחות בזמן אמת.