קבוצת האקרים איראנית תוקפת את חברת Stryker באמצעות מתקפת מחיקה

קבוצת האקרים איראנית בשם Handala (המזוהה גם כ-Handala Hack Team) הודיעה היום על אחריותה למתקפת מחיקה נרחבת נגד חברת Stryker, יצרנית ציוד רפואי גלובלית שבסיסה במישיגן, ארצות הברית.

על פי דיווחים מאירלנד, המדינה בה ממוקם מרכז הפעילות הגדול ביותר של החברה מחוץ לארצות הברית, Stryker שלחה הביתה למעלה מ-5,000 עובדים בעקבות האירוע. במקביל, הודעה קולי בהודעות הקוליות במטה הראשי של החברה בארצות הברית ציינה כי מתרחש אירוע חירום בבניין.

היקף המתקפה וההשלכות

על פי הצהרת הקבוצה שפורסמה בפלטפורמת Telegram, המתקפה גרמה להשבתת משרדים של Stryker ב-79 מדינות ברחבי העולם לאחר שהקבוצה מחקה נתונים מיותר מ-200,000 מערכות, שרתים ומכשירים ניידים.

«כל הנתונים שנגנבו נמצאים כעת בידי אנשי העולם החופשי, מוכנים לשימוש לקידום האנושות וחשיפת אי-צדק ושחיתות», נכתב בהצהרה.

הקבוצה הצהירה כי המתקפה נעשתה כתגובה למתקפת טילים קטלנית שבוצעה ב-28 בפברואר נגד בית ספר באיראן, בה נהרגו לפחות 175 בני אדם, רובם ילדים. על פי דיווחי הניו יורק טיימס, חקירה צבאית בארצות הברית קבעה כי ארצות הברית אחראית למתקפת הטילים באמצעות טילי טומאהוק.

קשרים לאיראן ורקע קבוצת Handala

חברת האבטחה Palo Alto Networks פרסמה לאחרונה פרופיל של קבוצת Handala, וקישרה אותה לשרות המודיעין והביטחון של איראן (MOIS). על פי החברה, Handala הופיעה לראשונה בסוף שנת 2023 ונחשבת לאחת מהזהויות המקוונות של קבוצת Void Manticore, קבוצה הקשורה ל-MOIS.

Stryker מעסיקה כ-56,000 עובדים ב-61 מדינות ברחבי העולם. ניסיון ליצור קשר עם דוברת החברה בהודעות הקוליות הוביל להודעה על אירוע חירום בבניין המטה במישיגן.

תגובות והפרעות בעבודה

על פי דיווח של Irish Examiner, עובדי Stryker באירלנד מתקשרים ביניהם באמצעות WhatsApp לצורך עדכונים על חזרתם לעבודה. עובד אנונימי ציין כי כל מערכת המחוברת לרשת הופסקה וכי מכשירים אישיים עם Microsoft Outlook נמחקו. מקורות נוספים דיווחו כי מערכות המטה בקורק, אירלנד, הופסקו וכי מכשירי החברה שהוחזקו בידי העובדים נמחקו.

דף הכניסה למכשירים אלו הוצג עם לוגו קבוצת Handala.

אופן ביצוע המתקפה

מתקפות מחיקה (Wiper Attacks) כוללות בדרך כלל תוכנות זדוניות שנועדו למחוק נתונים קיימים במכשירים נגועים. עם זאת, מקור אנונימי בעל ידע במתקפה מסר ל-KrebsOnSecurity כי במקרה זה נראה שהפורצים ניצלו את שירות הענן Microsoft Intune לצורך הוצאת פקודת 'מחיקה מרחוק' (Remote Wipe) נגד כל המכשירים המחוברים.