דוח חדש של מיקרוסופט חושף: קבוצת התקיפה "אוקטו טמפסט" (Octo Tempest), הידועה גם בשם "Scattered Spider", מיקדה את מאמצי הפריצה שלה בשבועות האחרונים בתעשיית התעופה, ומסתמנת כאחת מקבוצות הסייבר המאיימות והמתוחכמות ביותר שפועלות כיום.
לפי החברה, בין חודשי אפריל ליולי 2025 הצליחה הקבוצה לחדור למגוון גופים בתחומי הקמעונאות, שירותי המזון, הביטוח והמלונאות, כולל מתקפה בולטת נגד רשת הענק הבריטית Marks & Spencer. כעת, הקבוצה שינתה כיוון, ותוקפת חברות בתעשיית התעופה.
מי שעוקבים מקרוב אחרי פעילות הקבוצה הם חוקרי הסייבר של מיקרוסופט, בהם גם צוותים ממרכז המחקר והפיתוח בישראל. מדובר בקבוצת תקיפה שמזוהה כבר היטב על ידי רשויות החוק בארה"ב, כולל ה-FBI, שאף הוציא התרעה רשמית לגביה בסוף יוני. הקבוצה מנוהלת על ידי תוקפים שמשתמשים בטכניקות של הנדסה חברתית, פריצה לחשבונות ענן וחשבונות מקומיים, והפעלת תוכנות כופר לצורך סחיטה.
כך השיטה עובדת
ברוב המקרים, התוקפים מתחזים לעובדים או לספקים חיצוניים, ופונים לצוותי התמיכה של הארגון במטרה לעקוף אמצעי אבטחה כמו אימות דו-שלבי. ברגע שמכשיר בלתי מורשה נוסף לחשבון, הקבוצה מקבלת גישה לרשת הארגונית, ומכאן הדרך לפריצה, גניבת מידע והשבתת מערכות קצרה מאוד.
לפי הדוח, לאחרונה נצפתה פריסה של תוכנות כופר מסוג DragonForce , עם דגש על תקיפת סביבות וירטואליות של VMware. החוקרים זיהו בנוסף גם שינוי טקטי מעניין: במקום להתחיל מהענן ולעבור פנימה, הקבוצה מתחילה מהמערכות המקומיות, ורק לאחר שהשתלטה עליהן, עוברת לשירותי הענן.
מערכת ההגנה האוטונומית
במיקרוסופט הדגישו כי אחד הכלים המרכזיים להתמודדות עם אוקטו טמפסט הוא מערך Microsoft Defender , שמציע הגנה רב-שכבתית לכלל רכיבי האבטחה, כולל נקודות קצה, זהויות משתמשים, סביבות ענן, דוא"ל, שירותי SaaS ועוד, זאת כאשר חלקים משמעותיים מהמערך מפותחים במרכז החברה בישראל.
המרכיב הבולט ביותר הוא המנגנון Attack Disruption – מערכת הגנה עצמית אוטומטית שמזהה פעילות עוינת בזמן אמת, ומנסה לנטרל אותה לפני שתסלים. המנגנון משתמש במודיעין איומים עדכני, למידת מכונה וניתוח דפוסי פעולה כדי לזהות ניסיונות פריצה ולבודד באופן מיידי את החשבון או המכשיר שנפגעו.
כך למשל, במקרה שזוהתה חדירה של אוקטו טמפסט, המערכת תוכל להשבית באופן אוטומטי את חשבון המשתמש שבו נעשה שימוש זדוני, ולסגור את כלל הפעילויות הקשורות אליו, אפילו אם המתקפה עוד בעיצומה. עם זאת, במיקרוסופט טוענים כי גם כשמנגנון ההגנה מצליח לבלום מתקפה בזמן אמת, האחריות המלאה מוטלת על צוותי האבטחה של הארגון, שצריכים להשלים את העבודה באמצעות חקירה, תגובה ותיקון יסודי של המערכות – כדי לוודא שהאיום נוטרל לחלוטין.
