חקירת HarfangLab על קמפיינים של דופלגנגר

# מבצעי דיסאינפורמציה מסוג Doppelgänger באמצע השנה באירופה ובארה״ב  
*וובינר HarfangLab – אבטחה ב-300 קמ״ש: כיצד אסטרטגיות קצה מקוטעות פוגעות בניהול משטח התקיפה?*  

פורסם ב-25 ביולי 2024 • קריאה של 54 דקות  

---

## הקדמה
הדיסאינפורמציה הדיגיטלית קיבלה בעשור האחרון צורות חדשות ומתוחכמות. אחת התופעות המטרידות היא מבצע Doppelgänger—קמפיין מתואם וממומן על-ידי מדינות המשתמש באתרי חדשות מזויפים, רשתות בוטים ברשתות חברתיות ושרשראות הפניה (Redirect) מורכבות כדי לעצב דעת קהל. הפוסט מבוסס על וובינר של HarfangLab בשיתוף Forrester, שבחן את המבצעים האלה לעומק. נסקור רקע, פרטים טכניים, דוגמאות מהשטח, אסטרטגיות מניעה, ואף נכלול קטעי קוד שיעזרו לאנשי סייבר להבין טוב יותר את האיום.

בין אם אתם מתחילים ובין אם אתם אנליסטים מנוסים, המדריך הטכני-ארוך ייקח אתכם צעד-אחר-צעד מן היסודות של מבצעי Doppelgänger ועד לשיטות מתקדמות בניהול קצה (Endpoint), ניתוח שרשראות הפניה וניהול משטח תקיפה (ASM).

---

## תוכן העניינים
1. [רקע וסקירה](#רקע-וסקירה)  
   - [מהם מבצעי דיסאינפורמציה Doppelgänger?](#מהם-מבצעי-דיסאינפורמציה-doppelgänger)  
   - [הקשר היסטורי ומגמות עכשוויות](#הקשר-היסטורי-ומגמות-עכשוויות)  

2. [ניתוח שרשרת (דיס)אינפורמציה](#ניתוח-שרשרת-דיסאינפורמציה)  
   - [Redirectors ברמת-על](#redirectors-ברמת-על)  
   - [Redirectors ברמה שנייה](#redirectors-ברמה-שנייה)  

3. [רשתות חברתיות ובוטים](#רשתות-חברתיות-ובוטים)  
   - [תפקיד X/Twitter בהפצה](#תפקיד-xtwitter-בהפצה)  
   - [אנטומיה של פוסט בוט](#אנטומיה-של-פוסט-בוט)  

4. [צוללים לעומק: תשתית וטקטיקות](#צוללים-לעומק-תשתית-וטקטיקות)  
   - [דפוסי דומיינים ומגמות רישום](#דפוסי-דומיינים-ומגמות-רישום)  
   - [ניתוח שרשת הפניה](#ניתוח-שרשת-הפניה)  

5. [השפעה על קצה וניהול משטח תקיפה](#השפעה-על-קצה-וניהול-משטח-תקיפה)  
   - [אסטרטגיות קצה מקוטעות](#אסטרטגיות-קצה-מקוטעות)  
   - [כלים ומתודולוגיות ל-ASM](#כלים-ומתודולוגיות-ל-asm)  

6. [דוגמאות קוד וניתוח מעשי](#דוגמאות-קוד-וניתוח-מעשי)  
   - [פקודות סריקה ב-Bash](#פקודות-סריקה-ב-bash)  
   - [פירסינג תוצאות ב-Python](#פירסינג-תוצאות-ב-python)  

7. [אסטרטגיות מניעה והמלצות](#אסטרטגיות-מניעה-והמלצות)  
   - [שיטות עבודה מומלצות למודיעין איומים](#שיטות-עבודה-מומלצות-למודיעין-איומים)  
   - [תפקיד ה-AI ומנועי התנהגות](#תפקיד-ה-ai-ומנועי-התנהגות)  

8. [מחקרי מקרה ודוגמאות מהשטח](#מחקרי-מקרה-ודוגמאות-מהשטח)  

9. [סיכום](#סיכום)  

10. [מקורות](#מקורות)  

---

## רקע וסקירה  

### מהם מבצעי דיסאינפורמציה Doppelgänger?
מבצעי Doppelgänger הם מאמצים מתואמים—המיוחסים לשחקנים רוסים—לעצב דעת קהל באמצעות התחזות למקורות חדשות אמינים. מכאן השם “תאום” (Doppelgänger). הטקטיקות כוללות:  

- **אתרים מזויפים או מוּרְמָּקים**: חיקוי דומיינים חדשותיים פופולריים.  
- **רשתות חברתיות**: הפצה בפלטפורמות כמו X/Twitter.  
- **שרשראות הפניה**: טשטוש המקור דרך מספר שכבות Redirect.  
- **רשתות בוטים**: חשבונות אוטומטיים המעצימים תוכן.  

השילוב הרב-שכבתי מקשה על גילוי ונטרול בזמן אמת.  

### הקשר היסטורי ומגמות עכשוויות
בעבר היו אלו “פייק ניוז” בסיסיים בתקופות בחירות. עם התפתחות התשתיות הדיגיטליות כך השתכללו גם מבצעי הדיסאינפורמציה. מגמות בולטות:  

- **שילוב בינה מלאכותית**: ליצירת תוכן (קליפים מוזיקליים, ידיעות מזויפות) ולהפעלת בוטים.  
- **שרשראות הפניה מורכבות**: עיכוב גילוי בזמן אמת.  
- **רוטציה בתשתית**: החלפת דומיינים ו-IP במהירות כדי לחמוק מחסימות.  
- **אסטרטגיות קצה מקוטעות**: שימוש מעורב במוצרי אבטחת קצה יוצר פערים ב-ASM.  

מאורעות עדכניים כמו הבחירות המקדימות בצרפת ביוני 2024 הדגישו את הצורך במודיעין איומים מקיף ובניהול קצה אחוד.  

---

## ניתוח שרשרת דיסאינפורמציה  

### Redirectors ברמת-על
השלב הראשון כולל URL-ים שנראים תמימים:  

- יוצרים תצוגת-קישור (Preview) ברשתות חברתיות.  
- מפנים מיידית לשלב הבא.  

דוגמה (קוד מקורי):  

```html
<!DOCTYPE html>
<html>
  <head>
    ...
    <meta http-equiv='refresh' content='0; url=http://vickypitner.com/wash9261378'>
  </head>
  ...
</html>

נקודות מפתח:

מניפולציה במטא-דאטה ל-preview.
Redirect מיידי.
קוד JavaScript מוסווה.
טקסט קירילי כעשן מסך.

Redirectors ברמה שנייה

מאחורי השלב הראשון מסתתר שלב נוסף:

<html lang="en">
  ...
  <script>
    window.location.href = "http://finalcontent.example.com";
  </script>
</html>

תג noindex, nofollow חוסם מנועי חיפוש.
עיצוב מינימלי המדגיש את תפקידו כתחנת מעבר.

רשתות חברתיות ובוטים

תפקיד X/Twitter בהפצה

הגברת דיסאינפורמציה: בוטים מפרסמים קישורים.
מעורבות מלאכותית: לייקים/שיתופים מנופחים, משפיעים על אלגוריתמים.

אנטומיה של פוסט בוט

מאפיינים:

תוכן ייחודי, ייתכן ונוצר ב-AI.
ריבוי שפות: אנגלית, צרפתית, גרמנית, פולנית, אוקראינית.
נתוני מעורבות לא סבירים ביחס לכמות עוקבים.
קשר עבר לפשעי קריפטו: מצביע על חפיפה בין פושעי סייבר לשחקנים מדינתיים.

צוללים לעומק: תשתית וטקטיקות

דפוסי דומיינים ומגמות רישום

שימוש בתתי-דומיין רנדומליים ו-TLD חדשים (.click, .top, .shop):

תבנית 1:
http(s)://<5–6 תווים>.<domain>/<6 תווים>
תבנית 2:
http(s)://<דומיין קצר>/<6 תווים>

IP-ים נפוצים:

168.100.9.238 – ASN 399629, BLNWX
77.105.135.48 – ASN 216309, EVILEMPIRE-AS
185.172.128.161 – ASN 216309, EVILEMPIRE-AS

שירותים פתוחים: OpenSSH (22), OpenResty/PHP-7 (80/443) ותעודות SSL עצמאיות.

ניתוח שרשת הפניה

הקלקה ראשונה → Redirector ראשון.
הפניה משנית → Redirector שני.
דף יעד סופי עם דיסאינפורמציה.

מטרת השרשרת: לעכב ולבלבל סורקים וכלי ניתוח.

השפעה על קצה וניהול משטח תקיפה

אסטרטגיות קצה מקוטעות

הפעלת מוצרי אבטחת קצה שונים:

כיסוי לא אחיד.
תגובה איטית.
קושי ב-ASM עקב טכנולוגיות שונות.

כלים ומתודולוגיות ל-ASM

סקרי פגיעויות תכופים.
גילוי Shadow-IT.
EPP/EDR אחודים.
מנועי YARA, Sigma ו-IOC.
שילוב AI ללמידת דפוסים.

דוגמאות קוד וניתוח מעשי

פקודות סריקה ב-Bash

#!/bin/bash
redirectors=("http://a1b2c3.top/xyz123" "http://d4e5f6.click/abc789")

scan_url() {
  local url=$1
  echo "Scanning URL: $url"
  curl -sIL "$url" | grep -i "Location:"
  echo "---------------------------------"
}

for url in "${redirectors[@]}"; do
  scan_url "$url"
done

פירסינג תוצאות ב-Python

import re
def parse_redirection(file_path):
    ...

אסטרטגיות מניעה והמלצות

שיטות עבודה מומלצות למודיעין איומים

פלטפורמת ASM מרכזית.
Hunting קבוע אחר אינדיקטורים.
שיתוף מודיעין.
לוגים מקיפים בכל נקודת קצה.

תפקיד ה-AI ומנועי התנהגות

ניתוח בסיוע AI.
Sigma/YARA להתנהגות.
Ransomguard ו-Sidewatch להגנה שכבתית.

הגנת קצה ותגובה

EPP/EDR מאוחדים.
מחברים (Connectors) ו-AI-Assistant לאיחוד הכלים.
Patch Management תדיר.

מחקרי מקרה ודוגמאות מהשטח

מקרה 1: השפעה על הבחירות בצרפת

כ-800 חשבונות בוט.
רוטציית דומיינים מהירה.
בלבול ומחלוקת בציבור עד להתערבות בזמן אמת.

מקרה 2: הפרעה חוצת-פלטפורמות בארה״ב

שימוש גם בפלטפורמות של Meta.
חפיפה עם הונאות קריפטו.
פערי קצה הובילו לגילוי מאוחר.

סיכום

מבצעי Doppelgänger מייצגים דיסאינפורמציה מתקדמת החוצה תשתיות, AI ואסטרטגיות קצה מקוטעות. אבטחת קצה אחודה, מודיעין איומים ו-ASM מרכזי חיוניים להגנה.

מקורות

בהצלחה בציד האיומים, ואל תהססו לשתף מחשבות ושאלות בתגובות!

חקירת HarfangLab על קמפיינים של דופלגנגר

קח את קריירת הסייבר שלך לשלב הבא