לאחר תקופה של ירידה בפעילות, קבוצות תקיפה המזוהות עם איראן חוזרות לפעול נגד מטרות בישראל, כך עולה מדוח חדש של חברת אבטחת המידע והסייבר ESET, שבחן את פעילותן של קבוצות תקיפה מתקדמות (APT) בין אפריל לספטמבר 2026. במסגרת המחקר זיהו חוקרי החברה התעוררות מחודשת של קבוצות סייבר איראניות מוכרות, בהן MuddyWater ו-FilthyFeline, תת-קבוצה של מערך התקיפה OilRig. לפי ממצאי הדוח, ישראל הפכה לאחד ממוקדי הפעילות המרכזיים של הקבוצות בתקופת המחקר, כאשר היעדים כללו גופים ממגוון מגזרים. במקביל לחידוש הפעילות, זיהו החוקרים גם שימוש בכלי בינה מלאכותית לצורך אוטומציה, קיצור תהליכי פיתוח ושכלול כלי תקיפה, התפתחות שעשויה להצביע על מאמצים מחודשים להרחבת היכולות הטכנולוגיות של מערכי הסייבר האיראניים.
חזרה לפעילות לאחר תקופה של ירידה בהיקף המתקפות
הדוח החדש של ESET מצביע על שינוי במגמת פעילות הסייבר המזוהה עם איראן במזרח התיכון. לאחר שבתקופת הדיווח הקודמת נרשמה ירידה בפעילות של קבוצות תקיפה איראניות מוכרות, במהלך החודשים אפריל עד ספטמבר 2026 זיהו חוקרי החברה עלייה מחודשת במספר סימני הפעילות שלהן. העלייה הייתה משמעותית מספיק כדי להשפיע על תמונת הפעילות הכוללת של קבוצות התקיפה המזוהות עם האזור, כאשר חלק מרכזי ממנה נבע מחזרתן של קבוצות איראניות מוכרות לזירה.
מדובר בקבוצות תקיפה מתקדמות מסוג APT, ראשי תיבות של Advanced Persistent Threat. בניגוד לפעילות של תוקפים מזדמנים שמחפשים הזדמנויות לפריצה מהירה, קבוצות מסוג זה מאופיינות בדרך כלל בפעילות מתמשכת, בתכנון מוקדם, בהתאמת כלי התקיפה למטרות ובניסיון לשמור על נוכחות בתוך רשתות מחשבים לאורך זמן. פעילות כזו עשויה לכלול איסוף מודיעין, גניבת מידע, גישה למערכות ארגוניות, מעקב אחר פעילות פנימית וניסיון להרחיב את השליטה במערכות שאליהן הצליחו התוקפים לחדור.
החזרה לפעילות של הקבוצות האיראניות אינה מתוארת בדוח כאירוע בודד או כמתקפה נקודתית, אלא כמגמה שנצפתה לאורך מספר חודשים. חוקרי ESET זיהו פעילות חוזרת של גורמים מוכרים, לצד סימנים להתפתחות ועדכון של יכולות התקיפה שלהם. המשמעות היא שגם כאשר נרשמת ירידה בפעילות הגלויה של קבוצת תקיפה מסוימת, אין בכך בהכרח כדי להעיד שהיא הפסיקה לפעול, איבדה את יכולותיה או נטשה את היעדים שבהם התעניינה בעבר.
MuddyWater ו-FilthyFeline חוזרות למוקד המחקר
בין הקבוצות שפעילותן המחודשת זוהתה בדוח נמצאת MuddyWater, אחת מקבוצות התקיפה המוכרות המזוהות עם איראן. הקבוצה נמצאת במעקב של חוקרי אבטחת מידע ברחבי העולם, על רקע פעילותה נגד ארגונים וגופים במגוון תחומים. חזרתה לתמונה בתקופת המחקר הנוכחית מחזקת את ההערכה כי מערכי התקיפה המזוהים עם איראן ממשיכים לפעול ולשמר יכולות מבצעיות, גם לאחר תקופות שבהן נראית ירידה בהיקף הפעילות שלהם.
קבוצה נוספת שמוזכרת בדוח היא FilthyFeline, תת-קבוצה המזוהה עם OilRig, מערך תקיפה איראני מוכר. פעילותן של קבוצות המשתייכות למערך כזה עשויה להתבצע באמצעות תשתיות, כלי תוכנה ושיטות פעולה המתעדכנים לאורך זמן, תוך התאמה ליעדים ולסביבת האבטחה שבה פועלים הארגונים המותקפים. המעקב אחר קבוצות משנה מאפשר לחוקרים לזהות דפוסי פעילות ספציפיים, גם כאשר קיימים קשרים בין מספר גורמי תקיפה הפועלים תחת מערך רחב יותר.
הופעתן המחודשת של שתי הקבוצות במסגרת הדוח מדגישה את החשיבות של מעקב ארוך טווח אחר קבוצות APT. זיהוי של כלי תקיפה, תשתיות מחשוב, דפוסי תקשורת והתנהגות חשודה עשוי לאפשר לחוקרי אבטחה לקשר בין אירועים שונים ולזהות פעילות של גורמים מוכרים גם כאשר הם משנים חלק מהכלים או הטכניקות שבהם הם משתמשים. עם זאת, הדוח אינו מפרט את כל שרשראות התקיפה שבהן נעשה שימוש בתקופה הנבדקת, ולכן לא ניתן לקבוע ממנו אילו שיטות חדירה ספציפיות שימשו בכל אחד מהאירועים.
מדוע נרשמה ירידה בפעילות הסייבר האיראנית?
אחת השאלות המרכזיות שעולות מהמחקר נוגעת לסיבות שהובילו לירידה בפעילות הקבוצות האיראניות בתקופת הדיווח הקודמת. לפי הערכת חוקרי ESET, אחד הגורמים האפשריים היה מערך מגבלות הגישה לאינטרנט שהטיל המשטר האיראני. מגבלות אלה עשויות היו לפגוע ביכולת של קבוצות התקיפה לתקשר עם תשתיות חיצוניות, להפעיל מערכות מרוחקות, לנהל תשתיות תקיפה ולבצע פעולות הדורשות חיבור רציף לרשת האינטרנט.
פעילות של קבוצות סייבר מתקדמות אינה מסתכמת בהפעלת תוכנה זדונית על מחשב של קורבן. מערכי תקיפה רבים נשענים על תשתית רחבה הכוללת שרתי פיקוד ושליטה, מערכות לניהול גישה מרחוק, שרתי אחסון, שירותי תקשורת, כלי איסוף מידע ותשתיות להעברת נתונים. חלק מהמערכות האלה דורשות תקשורת שוטפת בין מחשבים שנפרצו לבין שרתים הנמצאים בשליטת התוקפים. כאשר הגישה לאינטרנט מוגבלת, נפגעת גם היכולת לתחזק את הקשרים האלה ולנהל את הפעילות באופן רציף.
מגבלות תקשורת עשויות להשפיע גם על עבודת המפעילים עצמם. תהליכי תכנון מתקפה, שיתוף מידע בין חברי הקבוצה, העברת קבצים, בדיקת כלי תקיפה ועדכון רכיבי תוכנה יכולים להפוך למורכבים יותר כאשר אין גישה יציבה לשירותים חיצוניים. במערכי תקיפה הפועלים לאורך זמן, גם הפרעות שאינן משביתות לחלוטין את התשתיות עשויות להאט את קצב הפעילות ולפגוע ביכולת לתאם פעולות מורכבות.
עם זאת, ESET מציגה את הקשר בין מגבלות האינטרנט לבין הירידה בפעילות כהערכה של החוקרים ולא כהוכחה חד-משמעית. לא ניתן לשלול גורמים נוספים, כגון שינוי בסדרי העדיפויות של הקבוצות, מעבר להתמקדות בפיתוח כלים, החלפת תשתיות תקיפה או שינוי במטרות המבצעיות. העובדה שהקבוצות שבו לפעילות בתקופת הדיווח הנוכחית מעידה כי הירידה הקודמת לא בהכרח ייצגה אובדן יכולת, אלא ייתכן שהייתה תוצאה של נסיבות שהקשו על הפעלת מערכי התקיפה.
הבינה המלאכותית נכנסת גם לארגז הכלים של התוקפים
אחד הממצאים המעניינים בדוח נוגע לשימוש בכלי בינה מלאכותית במסגרת פעילותן של קבוצות התקיפה. חוקרי ESET זיהו שימוש בכלי AI לצורך אוטומציה של תהליכי תקיפה, לצד סימנים לשכלול ולפיתוח של כלי הפעולה שלהן. מדובר בהתפתחות משמעותית, שכן בינה מלאכותית יכולה לסייע בקיצור תהליכים שבעבר דרשו עבודה ידנית ממושכת, ולאפשר לתוקפים לבצע משימות טכניות במהירות וביעילות רבה יותר.
כלי AI יכולים לשמש בתחומים שונים במחזור החיים של מתקפת סייבר. בין היתר, הם עשויים לסייע בניתוח כמויות גדולות של מידע, בעיבוד נתונים שנאספו מרשתות ארגוניות, ביצירת סקריפטים, בהתאמת קוד, באוטומציה של פעולות חוזרות ובסיוע בבדיקת כלי תוכנה. עבור קבוצות תקיפה שמפעילות מספר מבצעי סייבר במקביל, האפשרות לצמצם את הזמן הדרוש לביצוע משימות טכניות עשויה להעניק יתרון תפעולי.
אחד היתרונות המשמעותיים של אוטומציה הוא היכולת לבצע פעולות רבות ללא צורך בהתערבות אנושית בכל שלב. במקום שמפעיל התקיפה יצטרך לבצע באופן ידני כל פעולה, ניתן להשתמש בכלים אוטומטיים כדי לאסוף מידע, לנתח תוצאות, למיין נתונים ולבצע פעולות המשך בהתאם לתנאים מוגדרים. שילוב של יכולות AI עשוי להרחיב את האפשרויות האלה, במיוחד כאשר מדובר במשימות שדורשות עיבוד מידע או התאמת קוד לסביבות מחשוב שונות.
גם בתחום פיתוח התוכנות הזדוניות, בינה מלאכותית עשויה לסייע לתוקפים לכתוב ולשנות קוד, לזהות בעיות בכלים קיימים ולפתח רכיבים חדשים. שימוש כזה עשוי לקצר את הזמן שבין זיהוי צורך מבצעי לבין יצירת כלי שמסוגל להתמודד איתו. במקביל, הוא עשוי להקל על התאמת כלי תקיפה קיימים למערכות הפעלה, תשתיות מחשוב וסביבות ארגוניות שונות.
עם זאת, חשוב להבחין בין שימוש בבינה מלאכותית כאמצעי עזר לבין יצירת מתקפה אוטונומית לחלוטין. הדוח של ESET מצביע על שימוש בכלי AI עבור אוטומציות תקיפה ועל סימנים לחידוש מאמצי הפיתוח, אך אינו קובע כי הקבוצות מפעילות מערכות תקיפה עצמאיות שמסוגלות לנהל מבצע סייבר שלם ללא מעורבות אנושית. מדובר בשימוש בטכנולוגיה כחלק מארגז הכלים של התוקפים, ולא בהכרח במעבר למערכות AI שמקבלות החלטות מבצעיות באופן עצמאי.
המשמעות של שילוב AI במערכי תקיפה מתקדמים
היכולת לשלב בינה מלאכותית בתהליכי פיתוח ותקיפה מייצרת אתגר נוסף עבור מערכות ההגנה הארגוניות. מערכי אבטחה נדרשים להתמודד לא רק עם תוכנות זדוניות מוכרות, אלא גם עם כלים שעשויים להשתנות במהירות, להתעדכן בתדירות גבוהה ולהיות מותאמים לסביבת היעד. כאשר תוקפים מסוגלים לייעל את תהליכי הפיתוח שלהם, חלונות הזמן שבהם ניתן לזהות ולנתח כלי תקיפה חדשים עשויים להתקצר.
בנוסף, אוטומציה יכולה להגדיל את היקף הפעולות שתוקף מסוגל לבצע במסגרת זמן נתונה. תהליכים שבעבר דרשו שעות עבודה של מפעיל אנושי עשויים להפוך למשימות שניתן לבצע במהירות באמצעות סקריפטים וכלים אוטומטיים. הדבר עשוי להשפיע על שלבי איסוף המידע, זיהוי מערכות חשופות, בדיקת הרשאות, ניתוח קבצים וניהול תשתיות תקיפה.
מבחינת הארגונים המתגוננים, המשמעות היא שלא ניתן להסתמך רק על זיהוי של קבצים זדוניים מוכרים או על חתימות של איומים שכבר תועדו. נדרשת יכולת לזהות התנהגות חריגה, תהליכים לא שגרתיים, ניסיונות גישה למערכות רגישות ושינויים בדפוסי התקשורת ברשת. שילוב של מערכות ניטור מתקדמות, ניתוח התנהגותי וטכנולוגיות AI בצד ההגנתי עשוי לסייע בזיהוי מוקדם של פעילות חשודה.
ההתפתחות גם מדגישה את חשיבותם של צוותי אבטחת מידע שמסוגלים לחקור אירועים ולא רק להגיב להתראות אוטומטיות. מערכות הגנה יכולות לזהות חריגות ולהציג אינדיקציות לפעילות חשודה, אך נדרש גם ניתוח מקצועי של ההקשר, הבנת שרשרת התקיפה וקבלת החלטות לגבי אופן התגובה. ככל שכלי התקיפה הופכים למתקדמים וגמישים יותר, כך עולה החשיבות של שילוב בין טכנולוגיה, מודיעין סייבר ומומחיות אנושית.
ישראל במוקד הפעילות של הקבוצות האיראניות
אחד הממצאים המרכזיים בדוח הוא העובדה שמרבית הפעילות האיראנית שתועדה בתקופת המחקר כוונה נגד גופים בישראל. החוקרים זיהו פעילות נגד ארגונים ממגוון מגזרים, ולא רק נגד תחום אחד או סוג מסוים של תשתית. הממצא מצביע על כך שהעניין של קבוצות התקיפה האיראניות בישראל נותר משמעותי, וכי פעילות הסייבר שלהן מתפרסת על פני מספר תחומים במשק.
תקיפות נגד ארגונים ממגזרים שונים עשויות לשרת מטרות שונות. במקרים מסוימים מדובר בניסיון להשיג מידע עסקי, טכנולוגי או ארגוני. במקרים אחרים, המטרה עשויה להיות איסוף מודיעין, גישה למידע רגיש, הבנת תהליכי עבודה או יצירת דריסת רגל ברשתות מחשבים. בהתאם לזהות הארגון ולסוג המידע שבו הוא מחזיק, גם המשמעות של חדירה מוצלחת יכולה להשתנות באופן ניכר.
העובדה שהפעילות מתמקדת בגופים ממגוון מגזרים מחדדת את הצורך להתייחס לאיום הסייבר כאל סוגיה רוחבית. לא רק ארגונים ביטחוניים או תשתיות קריטיות נמצאים בסיכון, אלא גם חברות מסחריות, ספקי שירותים, ארגונים המחזיקים במידע אישי וגופים המספקים שירותים לציבור. במקרים מסוימים, ארגון שאינו נתפס כיעד אסטרטגי בפני עצמו עשוי להפוך לנקודת כניסה אפשרית בדרך למערכות של ספקים, שותפים או לקוחות.
הדוח אינו מפרט את שמות הארגונים הישראליים שהיו יעד לפעילות, את מספרם המדויק או את היקף הנזק שנגרם להם. גם לא נמסרו נתונים כמותיים המאפשרים לקבוע כמה ניסיונות תקיפה הסתיימו בחדירה מוצלחת או כמה מערכות נפגעו בפועל. לכן, יש להבחין בין זיהוי פעילות תקיפה נגד גופים בישראל לבין קביעה כי אותם גופים נפרצו או שמידע שלהם נגנב.
כיצד ארגונים יכולים להתמודד עם חזרת הפעילות האיראנית?
על רקע הממצאים, אחד הנושאים המרכזיים הוא הצורך לשמור על רמת הגנה גבוהה גם בתקופות שבהן לא נרשמת פעילות חריגה בהיקף משמעותי. קבוצות תקיפה מתקדמות עשויות להפסיק זמנית פעילות גלויה, לשנות תשתיות או להתמקד בפיתוח כלים חדשים, אך אין בכך כדי להבטיח שהאיום נעלם. ארגונים שמפחיתים את רמת הניטור או דוחים עדכוני אבטחה בתקופות שקטות עלולים לגלות כי הם אינם ערוכים להתמודדות עם חזרה פתאומית של פעילות.
אחד הצעדים הבסיסיים הוא הקפדה על עדכוני אבטחה שוטפים למערכות הפעלה, שרתים, ציוד תקשורת, מערכות ניהול ותוכנות ארגוניות. חולשות אבטחה שלא תוקנו עשויות לספק לתוקפים נקודת כניסה לרשת, ולעיתים גם חולשה במערכת שאינה קריטית לכאורה עלולה לאפשר התקדמות לעבר מערכות רגישות יותר. חשוב במיוחד להקפיד על עדכון רכיבים החשופים לאינטרנט, מערכות גישה מרחוק, שרתי דואר ומערכות ניהול תשתיות.
מרכיב נוסף הוא ניהול זהויות והרשאות. שימוש באימות רב-שלבי, הגבלת הרשאות לפי עקרון ההרשאה המינימלית, ניטור כניסות חריגות וביטול חשבונות שאינם בשימוש יכולים לצמצם את האפשרות לנצל חשבונות שנחשפו. במקביל, מומלץ להפריד בין רשתות ומערכות שונות, כך שחדירה למחשב בודד לא תאפשר לתוקף להגיע בקלות לכלל משאבי הארגון.
ניטור רציף של הרשת הוא מרכיב משמעותי נוסף. מערכות SIEM, המיועדות לאיסוף ולניתוח אירועי אבטחה ממקורות שונים, לצד פתרונות EDR ו-XDR לניטור תחנות קצה וסביבות ארגוניות, יכולות לסייע בזיהוי דפוסי פעילות חריגים. באמצעות איסוף מידע ממחשבים, שרתים, מערכות תקשורת ושירותי ענן, ניתן לנסות לזהות התנהגות חשודה עוד לפני שהיא הופכת לאירוע אבטחה רחב היקף.
גם גיבויים הם חלק בלתי נפרד מהיערכות לאירועי סייבר. שמירת עותקים מבודדים של מידע קריטי, בדיקת יכולת השחזור שלהם והפרדת הרשאות הגישה למערכות הגיבוי עשויות לצמצם את הנזק במקרה של מחיקת מידע, השחתת מערכות או מתקפת כופרה. לצד זאת, ארגונים צריכים להחזיק תוכנית תגובה לאירועי סייבר, הכוללת הגדרת אחריות, תהליכי בידוד מערכות, שמירת ראיות דיגיטליות והחזרת השירותים לפעילות.
ESET: תקופות שקטות אינן מעידות על היעלמות האיום
מאיר פרידמן, מנכ"ל קומסקיור, נציגת ESET בישראל, מדגיש כי חזרתן של קבוצות איראניות מוכרות לפעילות, לצד פיתוח ועדכון כלי התקיפה שלהן, ממחישה את העובדה שאיומי הסייבר ממשיכים להתפתח גם בתקופות שבהן נרשמת ירידה בפעילות הגלויה. לדבריו, העובדה שהפעילות שתועדה כוונה נגד גופים בישראל ממגוון מגזרים מדגישה את הצורך באימוץ פתרונות הגנה מתקדמים, ניטור מתמשך, עדכוני אבטחה ויכולת לזהות פעילות חשודה ולהגיב אליה בזמן.
המסר המרכזי העולה מהמחקר הוא שהיערכות לאיומי סייבר אינה יכולה להתבסס רק על תגובה למתקפות שכבר התרחשו. ארגונים נדרשים להחזיק מערך הגנה שמסוגל לזהות ניסיונות חדירה, לנתח התנהגות חריגה ולצמצם את האפשרות שתוקף יוכל להתבסס בתוך הרשת לאורך זמן. הדבר נכון במיוחד כאשר מדובר בקבוצות APT, שעשויות להשקיע מאמצים רבים באיסוף מידע, בתכנון ובהתאמת שיטות הפעולה שלהן לכל יעד.
ESET מרחיבה את פעילות המחקר וההגנה בתחום הסייבר
ESET היא חברת אבטחת מידע וסייבר בינלאומית המספקת פתרונות הגנה לארגונים, לתשתיות קריטיות ולמשתמשים פרטיים. החברה פועלת בתחום למעלה מ-35 שנים, ומציינת יותר מ-25 שנות חדשנות בתחום הבינה המלאכותית. פעילותה כוללת 11 מרכזי מחקר ופיתוח ברחבי העולם, שבהם היא מפתחת טכנולוגיות קנייניות להתמודדות עם איומי סייבר משתנים ולהגנה על סביבות דיגיטליות ועל מערכות AI.
החברה משלבת במחקריה ניתוח מדעי, טכנולוגיות אבטחה מתקדמות, בינה מלאכותית ומומחיות אנושית. גישה זו מאפשרת לה לעקוב אחר קבוצות תקיפה, לזהות שינויים בדפוסי הפעילות שלהן ולנתח איומים חדשים באמצעות מידע שנאסף ממערכות ההגנה שלה. במקרה של הדוח הנוכחי, נתוני הטלמטריה שנאספו ממוצרי ESET שימשו בסיס לזיהוי הפעילות המחודשת, כאשר חוקרי החברה אימתו וניתחו את הממצאים כחלק ממעקב אחר קבוצות תקיפה מתקדמות.
מטה החברה נמצא באיחוד האירופי והיא נמצאת בבעלות פרטית. לפי נתוני החברה, פתרונותיה מגנים על מיליוני משתמשים ועל יותר מ-500 אלף ארגונים ב-178 מדינות. היקף הפעילות הגלובלי מאפשר לה לאסוף מידע ממגוון רחב של סביבות מחשוב, לזהות מגמות בפעילות של גורמי איום ולהשתמש בממצאים לצורך שיפור טכנולוגיות ההגנה.
סיכום: האיום האיראני חוזר, והבינה המלאכותית עשויה להאיץ את ההתפתחות שלו
הדוח החדש של ESET מצביע על חזרה לפעילות של קבוצות סייבר איראניות מוכרות לאחר תקופה של ירידה, כאשר ישראל נמצאת במוקד חלק משמעותי מהפעילות שתועדה בין אפריל לספטמבר 2026. חזרתן של MuddyWater ו-FilthyFeline, לצד סימנים לשימוש בכלי בינה מלאכותית עבור אוטומציה ושכלול תהליכי תקיפה, מדגישה כי מערכי הסייבר המזוהים עם איראן ממשיכים לפתח את יכולותיהם. ההערכה כי מגבלות האינטרנט באיראן תרמו לירידה הקודמת בפעילות ממחישה גם עד כמה תשתיות תקשורת משפיעות על יכולתם של גורמי תקיפה לפעול. עבור ארגונים בישראל, המשמעות היא שאין מקום להסתמך על תקופות של שקט יחסי, ויש צורך בהגנה רציפה הכוללת עדכוני אבטחה, ניהול הרשאות, ניטור מתקדם, גיבויים ותוכניות תגובה לאירועים. כאשר כלי AI הופכים לחלק מארגז הכלים של התוקפים, היכולת לזהות פעילות חריגה ולהגיב במהירות הופכת לחשובה עוד יותר.
כתיבת תגובה