ההזמנה לפגישה נראית תקנית, ויש בה שלב אחד נוסף: לפני השיחה צריך להתקין אפליקציה קטנה. היא נפתחת, מציגה חלון שנראה כמו כל תוכנת ועידה אחרת, ובאותו זמן מורידה למחשב את מה שבאמת נשלח לשם. שם האפליקציה בקמפיין הזה הוא StarkMeet. היא לא קיימת.

מה קרה

מעבדת המחקר של חברת Dream פרסמה דוח על קבוצה שהיא מכנה DarkBlinders, ולפיו הקבוצה פגעה בין אוגוסט לאוקטובר 2026 בדמות בכירה בישראל ובסביבת ענן של ממשלת האזור הכורדי בעיראק. מי הדמות, איך נפרצה ומה נלקח ממנה, הדוח לא מפרט, ואין בו אישור מגורם רשמי או מהקורבן.

הדרך פנימה שגרתית: דיוור ממוקד שמצורף אליו כלי עבודה שעבר שתילה של קוד זדוני, או קישור לאתר שמחזיק את הכלי. במקביל הקבוצה הפעילה עמודי התחברות מזויפים על דומיינים שנראים כמו של גופים ממשלתיים, שירותי דואר אלקטרוני וספקי ענן, בהם gcc-sg.cloud ו-moelcloud.online. את הכלי הראשון שיורד למחשב קוראים ShelbyLoader, והוא בודק קודם שהוא לא רץ בתוך מעבדת ניתוח, משתהה, ורק אז מוריד את הדלת האחורית עצמה. הדלת האחורית מקבלת פקודות דרך מחסני קוד ב-GitHub, שהיא תעבורה שנראית לגיטימית בכל רשת ארגונית.

כאן כדאי לעצור על מה שלא מוסכם. Dream מעריכה ברמת ביטחון בינונית שהקבוצה שייכת לאותו אשכול פעילות של קבוצות איראניות מוכרות. Group-IB, שעוקבת אחרי אותה קבוצה, מעריכה את הזיקה לאיראן ברמת ביטחון נמוכה בלבד, ובדף שלה על הקבוצה ישראל לא מוזכרת כלל: היעדים שהיא מונה הם תעופה ותקשורת באיחוד האמירויות ובאזור הכורדי. כלומר הפגיעה בישראל מופיעה בדוח אחד, והייחוס לאיראן פתוח.

למה זה חשוב לכם

הקורבנות שנמנו הם אדם אחד וגוף ממשלתי, לא הציבור הרחב. אבל שתי השיטות שבהן הקבוצה נכנסת הן בדיוק מה שמגיע לתיבת הדואר של אנשים רגילים: בקשה להתקין משהו כדי להצטרף לשיחה, ועמוד התחברות על כתובת שנראית כמעט נכונה. Group-IB מוסיפה פרט שמסביר למה זה עובד כל כך טוב, והוא שהקבוצה שלחה הודעות פישינג (הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים) גם מתוך חשבונות של עובדים שכבר נפרצו. הודעה שהגיעה מהחשבון האמיתי של עמית לעבודה אינה הוכחה לכלום.

מה עושים?

אל תתקינו תוכנת ועידה מקישור בהזמנה. Zoom, Teams ו-Meet כולם נפתחים בדפדפן, ובקשה להוריד קובץ התקנה כדי להיכנס לפגישה היא הסימן לעצור ולבדוק טלפונית מול מי שהזמין אתכם.

הגעתם לעמוד התחברות דרך קישור? קראו את הכתובת בשורת הכתובת לפני שאתם מקלידים סיסמה. הדומיינים בקמפיין הזה היו חיקויים של שמות אמיתיים, והדרך לעקוף את כל הסיפור היא להיכנס לאתר דרך סימנייה שמורה או בהקלדת הכתובת.

בקשה חריגה מחשבון מוכר, גם של עמית או מנהל, מאמתים בערוץ אחר. שיחת טלפון למספר ששמור אצלכם מראש פותרת את זה בחצי דקה.

הפעילו אימות דו-שלבי, ועדיף באפליקציית אימות או במפתח פיזי ולא ב-SMS.

קבוצה שעובדת כך לא צריכה חולשת יום-אפס. היא צריכה שתאמינו שהפגישה אמיתית.