באפריל 2026 נפתחו שתי חקירות נפרדות אצל Unit 42, ושתיהן נראו בהתחלה כמו רעש רקע. בארגון אחד משתמש הוריד קובץ בשם Bluetooth Driver for Windows 10.exe מאתר שיתוף קבצים. בארגון אחר, שבוע בלבד אחר כך, מישהו חיפש כלי חינמי שמראה מה תופס מקום בדיסק, נחת בדומיין noiseship[.]cfd שנרשם 39 יום קודם לכן, והוריד ממנו מתקין בשם windirstat.exe. שני המחשבים הריצו אחר כך שרשרת זהה לחלוטין, ושני האירועים סווגו כאדוור מסחרי מהסוג שלא מצדיק חקירה.

השאלה ששינתה את התמונה הייתה פשוטה: איך שני ארגונים שאין ביניהם שום קשר נדבקו באותו מתקין אלמוני, שהפיל בדיוק את אותם שלושה מטענים, בהפרש של שבוע? Rem Dudas מ-Unit 42 פרסם היום את התשובה: מאחורי ההדבקות עומדת קבוצה שהחוקרים מסמנים CL-CRI-1171, שפועלת מתחת לרדאר לפחות שנתיים ומוכרת לתוקפים אחרים שירות הדבקה בתשלום. בהמשך נראה איך היא מגיעה לקורבנות, למה כמעט אף אחד לא תיעד אותה עד עכשיו, ומה בדיוק הותקן על אותם שני מחשבים.

אז מה בעצם נמכר כאן?

המודל העסקי לא מסובך. גורם אחד משקיע את המאמץ בחלק הקשה, ההגעה למחשבים של אנשים אמיתיים והרצת קוד עליהם, ואז מוכר את המקום שנוצר שם לכמה קונים במקביל. כל קונה מספק מטען משלו, וכולם נכנסים דרך אותו מתקין. לשוק הזה קוראים pay-per-install, ובקיצור PPI. מבחינת המגן, התוצאה היא הדבקה אחת שמסתירה כמה תוקפים שאין ביניהם קשר, כל אחד עם תשתית שליטה ומטרות משלו.

וזה בדיוק מה שהופך את ה-loader לבלתי נראה. הוא זול, גנרי וחד-פעמי, ולכן כמעט אף פעם לא זוכה לתשומת הלב שהייתה חושפת את מה שהוא מוריד. Unit 42 מנו יותר מ-200 שמות מארח ייחודיים בתשתית הקבוצה, כולם צירוף של שתי מילים אנגליות (bubbleslip, churchpail, dinosaursjam) ומתחלפים בין ארבע סיומות: xyz, cfd, space ו-info. מספר הדגימות של ה-loader עצמו עובר 10,000. בשתי ההדבקות של אפריל נמסרו שלוש משפחות נוזקה; בהדבקה נוספת שנצפתה ביוני נמסרו שתיים אחרות לגמרי, GCleaner ו-Socks5Systemz. אותו צינור, סחורה אחרת.

שני משפכים, ושער אחד שמחליט מי נדבק

הזרם הראשון מגיע מיוטיוב. החוקרים איתרו 11 ערוצים שקשורים לקבוצה, עם מאות אלפי עוקבים ומיליוני צפיות, שמעלים תוכן אמיתי ושימושי לגיימרים צעירים: איך להעלות פריימים בשנייה, איך לתקן קריסות ואיך לכוונן הגדרות במשחקים. בתיאור הסרטון מחכה קישור להורדת "כלי" או "חבילת אופטימיזציה", והוא עובר דרך עמוד ביניים בבלוגספוט שמכיל את הוראות ההפעלה, אל אותה תשתית בדיוק. Unit 42 דיווחו ליוטיוב על הערוצים, ולדבריהם הם נסגרו במהירות.

הזרם השני מכוון לקהל מקצועי יותר ומגיע ממנוע החיפוש. מי שמחפש תוכנה לגיטימית נוחת בעמוד הורדה שמריץ אנימציה של סריקת וירוסים מזויפת, ומשם, דרך שרשרת הפניות, מקבל ארכיון מטרוין. דרך הערוץ הזה, כותבים החוקרים, נדבקו גם מחשבים ארגוניים, כולל בתשתיות קריטיות ואפילו בגופי ממשלה.

בין המשפך לבין המטען יושב מנגנון סינון, והוא הסיבה האמיתית לכך שהקמפיין חמק מתיעוד. בכל כתובת מעקב בשרשרת יש פרמטר בשם click_id, ובתוכו מקודדת ב-Base64 טביעת אצבע של הגולש: מערכת ההפעלה, הדפדפן, הדומיין המפנה, מילת החיפוש המדויקת שהובילה אותו לשם וכתובת ה-IP הציבורית שלו. השער בודק את הטביעה ומחליט מי ממשיך. גולש אמיתי עם click_id טרי מקבל את ההורדה הזדונית; סורק אוטומטי או חוקר מקבל שכפול תמים של עמוד ההורדה של WinRAR, או קישור שבור. זו הסיבה שקמפיין פעיל מאוד כמעט לא הותיר עקבות ציבוריים.

OfferLoader: מתקין אחד, שלושה ילדים

השם שהחוקרים נתנו ל-loader מגיע מהקוד שלו עצמו. המשתנים שמנהלים את המטענים נקראים offer_execution ו-offer_exists, כלומר כל מטען הוא "הצעה" נפרדת בחשבונאות של המפעיל. מכאן OfferLoader. טכנית מדובר בשרשרת של חבילות Inno Setup, כלי אריזה והתקנה לגיטימי ונפוץ. בקובץ ההתקנה אין בכלל קבצי אפליקציה; כל הלוגיקה הזדונית יושבת בסקציית ה-[Code] המהודרת של Pascal, ורצה ברגע שמסך ההתקנה מוצג למשתמש.

ההרצה מתחילה כשה-windirstat.exe המזויף פורק קובץ זמני בשם windirstat.tmp, וזה שולח משואה ראשונה ל-voyagemist[.]space. גם כאן יש שער: לפי מבנה הפנייה חוזר אחד משני קבצי טקסט, "no" שמורה ל-loader לעצור כאן או "ok" שמורה לו לפרוק את הכול. אחרי האישור נוצרים שלושה תהליכי בן, eld0.exe, eld1.exe ו-eld2.exe, וכל אחד מקבל בשורת הפקודה פרמטרי שיוך משלו (בשתי ההדבקות היו אלה מזהי השותף CID=2855 ו-CID=3075). מכאן ואילך תפקידו של OfferLoader נגמר, וכל אחד מהשלושה הוא קמפיין עצמאי עם תשתית ובעלים משלו.

עד כאן איך ההדבקה נכנסת. מה שהותקן בפועל מעניין יותר.

המטען שמביא איתו את סביבת ההרצה שלו

eld0.exe מפיל ספרייה בשם a.dll, וזו מריצה PowerShell מוסתר שמוריד סקריפט בשם t.ps1. הסקריפט הזה מנקה שטח לפני שהוא מתקין משהו: הוא מכבה את ההגנות של Windows Defender, מוסיף את כל כונן C:\ לרשימת החריגים ומשתיק את התראות האבטחה. רק אחר כך הוא מוריד ומתקין על המחשב Python ו-Node.js. הנוזקה לא מניחה ששפות ההרצה שהיא צריכה קיימות על היעד, אלא מביאה אותן איתה, ואת Node.js היא מסתירה מרשימת התוכנות המותקנות בלוח הבקרה בעזרת ערך SystemComponent=1 ברישום.

על גבי הסביבה הזאת רצים שני סוכנים במקביל, ו-Unit 42 קראו לצמד Insomnia RAT על שם מחרוזת ה-User-Agent שבה שניהם משתמשים, insomnia/2023.4.0 Windows. הראשון הוא סוכן Node.js שיורד מ-stryper[.]info, אוסף את ה-MachineGuid של המכונה, שם המארח ופרטי מערכת ההפעלה, ופונה בבקשת HTTPS POST לנתיב ‎/d‎ כדי לקבל משימות. השרת מחזיר מערך JSON של פקודות, שכל אחת מציינת סוג מטען (node, cmd, ps1, sh, או ow לעדכון עצמי) וכתובת להורדה, והתוצאות מדווחות חזרה לנתיב ‎/e‎. כדי לשרוד אתחול נרשמת משימה מתוזמנת בשם Maps Performance Task תחת ‎\Microsoft\Windows\Maps\‎, שמתחזה למשימה של Windows עצמה ורצה כל שעה ובכל עלייה של המערכת תחת חשבון SYSTEM.

השני הוא סוכן Python, פשוט יותר, שיורד מ-aa.amazingshield[.]xyz ורושם לעצמו משימה מתוזמנת נפרדת בשם OOBETaskScheduler תחת ‎\Microsoft\Windows\Servicing\‎. הוא מדבר באותו פרוטוקול בדיוק, אבל מול דומיין אחר: crowdstri[.]com, שיבוש מכוון של crowdstrike[.]com שנועד להיבלע בלוגים ולעבור בשלום סקירה מהירה. שני הסוכנים הם גיבוי אחד לשני, כך שזיהוי והסרה של אחד מהם לא מנתקים את התוקף. לפי Unit 42, גרסה מוקדמת יותר של רכיב ה-Node.js תועדה ב-2025 בידי חוקרי Walmart Global Tech וכיוונה ל-Windows, ל-Linux ול-FreeBSD; החדשה מטפלת ב-Windows וב-macOS, עם רשימת שרתי שליטה נפרדת לכל פלטפורמה.

RAT שנשלף מתוך תמונה, והטריק מ-2015 שחזר

eld1.exe לא כותב קובץ הרצה לדיסק. במקום זה הוא לוקח תמונת BMP שמוטמעת בו כמשאב, וקורא את הביט הכי פחות משמעותי בכל ערך צבע כדי להרכיב מהם ארכיון ZIP שלם. לטכניקה הזאת קוראים LSB steganography, והרעיון פשוט: שינוי הביט האחרון בערך צבע כמעט לא משנה את הפיקסל, כך שתמונה תקינה לגמרי יכולה לשאת בתוכה קובץ. הארכיון שנשלף, procorTrex.zip, מכיל את wscl.exe, כלי שליטה מרחוק שפותח מנהרות תקשורת מעל WebSocket ולא תועד קודם לכן. Unit 42 קראו לו ARKTunnel.

ARKTunnel מתקין את עצמו כשירות Windows בשם wscl-13 או msvcsrvc עם עלייה מושהית באתחול, ותומך במנהור TCP ו-UDP ובהרצת קבצים. כתובת שרת השליטה שלו, reg.pcsdkflyer[.]ca, שמורה בבלוק הגדרות של 39 בתים ונפתחת בפענוח Base64 ואחריו XOR. החוקרים איתרו לפחות 50 דגימות לאורך שנה שלמה, שבהן המפתח החליף ארבע זהויות תאגידיות בשדות המידע של הקובץ, בהן EarthKark ו-TamarkLark שאינן קיימות. הצד המדאיג כאן הוא דווקא מה שלא קרה: 50 דגימות, שנה של פיתוח, ואפס דיווחים ציבוריים. כל דגימה סומנה בנפרד כטרויאני גנרי, ואף אחד לא חיבר ביניהן.

המטען השלישי, eld2.exe, מתקין חוטף דפדפן ל-Chrome שהחוקרים מכנים Docro Hijacker, והוא מחזיר לחיים טכניקה שהופיעה לראשונה ב-2015. Chrome שומר את ההגדרות הרגישות שלו בקובץ Secure Preferences ומגן עליהן בחתימת HMAC-SHA256, כך שעריכה ידנית נפסלת בטעינה. הספרייה Adblock.dll שמופלת כאן עוקפת את ההגנה בדרך הישירה. היא מחלצת את מפתח ה-HMAC של Chrome מתוך הקובץ resources.pak, מחשבת בעצמה חתימות תקינות לערכים החדשים, וכותבת אותם לקובץ. מבחינת הדפדפן, ההגדרות חתומות בדיוק כמו שצריך.

מה שנכתב שם הוא מנוע חיפוש ברירת מחדל חדש, mqsearch[.]com, ותוסף Manifest V3 בשם docro שנטען מהתיקייה C:\ProgramData\DocsHelper\docro. התוסף מושך מ-vendralo[.]info מזהה ייחודי לכל קורבן וסט חוקים לשכתוב תעבורה שמתרענן כל שעה, ובכל חיפוש שהמשתמש מבצע ביותר מ-190 דומיינים מדינתיים של גוגל הוא טוען לתוך עמוד התוצאות סקריפט מ-drelto[.]info. הסקריפט רץ בתוך ההקשר של מנוע החיפוש עצמו, ולכן יש לו גישה מלאה לתוכן העמוד: אפשר להזריק פרסומות לתוצאות האורגניות, לשכתב קישורי שותפים כדי לגזור עמלה, או להסיט קליקים ליעד של התוקף. מבחינת המשתמש זה נראה בדיוק כמו עמוד תוצאות רגיל. לפי Unit 42 הגרסה הזאת של הטכניקה מתיישרת עם מחקר שפרסמה Synacktiv בספטמבר 2025, וזו הפעם הראשונה שהיא נצפית בשטח ולא כהוכחת היתכנות.

מה זה אומר בפועל

הלקח המרכזי של החקירה הזאת הוא לא טכניקה חדשה אלא סדר עדיפויות. התראה על loader גנרי או על "אדוור" שהגיע עם תוכנה שמישהו הוריד מהרשת היא בדיוק הסוג של אירוע שנסגר בלי בדיקה, ובמקרה הזה ישבו מאחוריה דלת אחורית שרצה תחת SYSTEM, מנהרת רשת פתוחה החוצה, ותוסף שקורא כל חיפוש. אם סומן אצלכם endpoint כזה בחודשים האחרונים, שווה לחפש עליו את הסימנים שהדוח מפרט: משימות מתוזמנות בשמות Maps Performance Task ו-OOBETaskScheduler, שירות בשם wscl-13 או msvcsrvc, חריג של כונן C:\ שלם ב-Windows Defender, ומנוע חיפוש ברירת מחדל שהוחלף ב-Chrome בלי שאף אחד ביקש. ובאופן כללי יותר, תוכנה חופשית שמגיעה מתוצאת חיפוש או מתיאור של סרטון יוטיוב היא ערוץ הפצה, לא מקור.