חוקרי Cato CTRL בחברת Cato Networks חשפו קמפיין שמתחזה לרשות המסים ומכוון לעובדים בארגונים בישראל. הקמפיין זוהה לראשונה בספטמבר, והממצאים פורסמו בתחילת נובמבר.
איך זה עובד
- העובד מקבל מייל שנראה כמו הודעה רשמית של רשות המסים.
- הקישור מוביל לאתר מזויף בכתובת שנראית ממשלתית, עם "אזור אישי" ואפילו שלב אימות שמתחזה לבדיקת אבטחה.
- במקום מסמך מס, העובד מוריד קובץ הרצה בשם כמו "רשות המסים בישראל.exe".
- הרצת הקובץ מתקינה את SimpleHelp, כלי לגיטימי לשליטה מרחוק. הוא מאפשר לתוקף לצפות בנתונים, להריץ פקודות, להעביר קבצים ולחזור למחשב בכל עת.
היעד המרכזי הוא עובדי כספים, הנהלת חשבונות ואדמיניסטרציה, שמקבלים ממילא התכתבויות עם רשויות המס. Cato מעריכה שהפעילות קשורה לקבוצה האיראנית MuddyWater, ומדגישה שזו הערכה ולא ייחוס ודאי.
איך מתגוננים
- רשות המסים לא שולחת קובצי הרצה. מסמך רשמי לא מגיע כקובץ .exe.
- אם קיבלתם הודעה, היכנסו לאזור האישי דרך האתר הרשמי gov.il, שאותו מקלידים בעצמכם, ולא דרך קישור במייל.
- בארגון: לחסום הורדה והרצה של קובצי הרצה מהדפדפן, ולנטר התקנה של כלי שליטה מרחוק שלא אושרו על ידי ה-IT.
- לדווח על הודעה חשודה למוקד 119 של מערך הסייבר הלאומי.
