מחקר חושף: איראן משתמשת בכלי של גוגל כדי לתקוף את ישראל

קמפיין הריגול האיראני Project CAV3RN, שמכוון נגד ארגונים בישראל, ממשיך להשתכלל - והפעם התוקפים עוברים משירותי הענן של מיקרוסופט לאלה של גוגל. מחקר חדש של צוות GReAT בקספרסקי חושף רכיבים חדשים בתשתית התקיפה, שמאפשרים לתוקפים להסוות את הפעילות הזדונית בתוך תעבורת רשת לגיטימית ולהמשיך לפעול גם כאשר אחד מערוצי התקשורת שלהם נחסם. לפי קספרסקי, החל מראשית אוגוסט 2026 זיהו החוקרים רכיבים שלא תועדו בעבר בתשתית CAV3RN. הבולט שבהם הוא מודול תקשורת ושליטה שמסוגל לבחור בזמן אמת כיצד להעביר מידע בין המחשב הנגוע לתוקפים - באמצעות חיבור HTTPS ישיר או דרך Google Apps Script. Google Apps Script הוא שירות לגיטימי של גוגל המשמש לפיתוח ולאוטומציה של תהליכים. אלא שבמקרה הזה, דווקא העובדה שמדובר בשירות מוכר ונפוץ הופכת אותו לכלי שימושי עבור התוקפים. במקום שתעבורת הרשת הזדונית תפנה לשרת חשוד שקל יחסית לסמן ולחסום, היא יכולה להיראות כמו עוד תקשורת שגרתית עם שירות של גוגל. הטקטיקה הזו מכונה בעולם הסייבר "Living off the Cloud" - שימוש בתשתיות ענן לגיטימיות לצורך פעילות זדונית. מבחינת מערכות האבטחה בארגון, האתגר ברור: חסימת שירותי ענן מרכזיים אינה בהכרח אפשרות מעשית, ובמקביל קשה יותר להפריד בין הפעילות העסקית הרגילה לבין התקשורת שמשרתת את התוקפים.

סיכום מאמר

איראן משתמשת בכלי של גוגל לתקוף את ישראל: מחקר חדש חשף רכיבים חדשים בתשתית התקיפה של איראן, שמאפשרים לתוקפים להסוות את הפעילות הזדונית בתוך תעבורת רשת לגיטימית. התוקפים משתמשים בשירותי הענן של גוגל, כולל Google Apps Script, כדי להעביר מידע בין המחשב הנגוע לתוקפים. הטקטיקה הזו, הידועה כ"Living off the Cloud", מאפשרת לתוקפים להמשיך לפעול גם כאשר אחד מערוצי התקשורת שלהם נחסם.

תוכן זה נוצר על ידי בינה מלאכותית.