חלק מהדואר שנגנב מארגונים בדרום-מזרח אסיה הועלה לאפליקציית ווב שגורמים שלישיים יכלו לשלוף ממנה תיבות שלמות דרך פרמטרים בכתובת, וחלק מהמידע הזה היה נגיש רק מכתובות IP בשיאמן שבסין. זו לא אופרציית ריגול שמסתירה את עצמה גם מפני הלקוחות שלה. זה ממשק הגשה.

ההתראה המשותפת AA26-281A, שפורסמה ב-8 באוקטובר 2026 בחתימת סוכנויות משבע מדינות (ה-FBI, CISA וה-NSA האמריקאיות, ה-NCSC הבריטי, ASD האוסטרלי, המרכז הקנדי לסייבר, המשטרה הלאומית של יפן, NCSC-NZ ו-CNI הספרדי), מתארת חברה סינית פרטית בשם Integrity Technology Group שעושה בדיוק את זה: קונה או בונה כלי תקיפה, מחזיקה את התשתית שמריצה אותם, ובמקרים מסוימים פורצת לרשתות בעצמה. באותו יום הודיעו משרד המשפטים האמריקאי וה-FBI על תפיסת הדומיינים שדרכם הופעלו שני הכלים המרכזיים שלה. בהמשך נעבור על מודל העבודה של החברה, על הכלים עצמם, ועל השאלה למה אף אחת משמונה החולשות שהם ניצלו בהצלחה אינה חדשה.

חברה שמוכרת כלים, לא פריצות

Integrity Technology Group, או בקצרה Integrity Tech, היא לפי ההתראה חברה למטרות רווח שבסיסה בסין ויש לה חוזים עם הממשל הסיני. העובדים שלה רוכשים או מפתחים כלים, משיגים ומאחסנים תשתית, ופורצים לרשתות. התוקפים שהיא מציידת עובדים בשיטות שמתאימות למה שהתעשייה מכנה Flax Typhoon, וגם Ethereal Panda ו-Red Juliett, אבל ההתראה מציינת במפורש שהם עשויים לבצע גם פעילות שאינה קשורה לחברה. כלומר הגבול בין "הקבוצה" ובין "הספק" מטושטש, מהסיבה הפשוטה שהוא לא באמת קיים.

ברט לות'רמן, סגן המנהל של אגף הסייבר ב-FBI, ניסח את זה כמודל ולא כתקרית: "סין מסתמכת על חברות קבלן וחברות מאפשרות כדי להרחיב את ההיקף והטווח של פעילות הסייבר הזדונית שלה". זו הפעם השנייה בשנתיים שרשויות אמריקאיות מפרקות תשתית של אותה חברה. בספטמבר 2024 הושבת בצו בית משפט בוטנט שהיא הפעילה, שהורכב לפי משרד המשפטים מיותר מ-200 אלף מכשירים צרכניים בארצות הברית ובעולם. בבריטניה, לפי ה-NCSC, החברה הוכנסה לרשימת הסנקציות עוד בשנה שעברה.

סורק עם 1,300 סקריפטים, ואף חולשה חדשה

הכלי הראשון נקרא MicroScan, והוא אפליקציית ווב בפייתון שנמצאת בשימוש לפי ההתראה מאז 2017. בתוכה יותר מ-1,300 סקריפטים לבדיקת חולשות, שמכסים בין היתר OpenSSL, Oracle WebLogic, WordPress, Jenkins ו-Apache Struts. סביבו עובדת חבילה של כלים פתוחים שכל בודק חדירות מכיר: BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe ו-wpscan. הסריקה מתרכזת בעיקר בשישה פורטים, 21, 22, 53, 80, 443 ו-1080, וזו בחירה שמספרת מה מחפשים: FTP, SSH, DNS, ווב ופרוקסי. אלה השירותים שמותקנים פעם אחת בקצה הארגון, ואחר כך אף אחד לא נוגע בהם.

וכאן הנתון שמסגיר את כל המודל. נספח ההתראה מונה שמונה חולשות שהתוקפים ניצלו בהצלחה, והוותיקה שבהן היא CVE-2014-6278 ב-GNU Bash, כלומר אחת מחולשות Shellshock משנת 2014. החדשה שבהן, ב-Strapi, קיבלה מספר ב-2023. חמש מהשמונה נכנסו לקטלוג ה-KEV של CISA באותו 8 באוקטובר, עם מועד תיקון שנקבע לסוכנויות הפדרליות ל-11 באוקטובר, והפירוט שלהן והציונים שהן קיבלו מופיעים בסקירה שפרסמנו כאן. אז מה בעצם נמכר ללקוחות? לא יכולת לפרוץ למה שמעודכן, אלא יכולת למצוא, בהיקף תעשייתי, את מי שלא עדכן.

ה-NCSC הבריטי מתאר את הפעילות הזאת כשימוש בכלי בינה מלאכותית, "כמו סריקה אוטומטית", לצד בוטנטים בקנה מידה גדול וניצול ידני. ההתראה הטכנית עצמה לא מרחיבה על רכיב הבינה המלאכותית, ולכן שווה לקרוא את הניסוח הזה כהערכה של ה-NCSC ולא כתיאור מפורט של מה שנמצא בכלים.

שדות ההתחברות שנוספו לעמוד

החלק המעניין יותר הוא איך אוספים פרטי אימות מאנשים. ה-FBI שחזר מטען תקיפה שמוזרק לעמוד ווב לגיטימי ומוסיף לו שדות שם משתמש וסיסמה מזויפים. מי שמגיע לעמוד רואה טופס שנראה כאילו הוא חלק מהאתר, מקליד, והפרטים הולכים לתוקף. לטכניקה שמאפשרת להזריק תוכן משל התוקף לעמוד של מישהו אחר קוראים XSS. אותו מטען גם מציע לגולש קובץ ZIP מוגן בסיסמה, ובתוכו קובץ בשם live700_v1.exe שמתחזה ל-DiagTrack.exe, רכיב טלמטריה מוכר של ווינדוס, ומדבר עם dns.studiocloud.xyz. ה-FBI מעריך שהמטען מכוון למידע מתיבות דואר, וזו הערכה שלו ולא קביעה.

במקביל רצה תקיפה פשוטה בהרבה. כלי פתוח בפייתון בשם EBurst מריץ סיסמאות מול חשבונות Microsoft 365 ו-Exchange, ולא דרך עמוד ההתחברות הרגיל אלא דרך כל הממשקים הצדדיים שהשרת חושף: ECP, EWS, OAB, OWA, RPC, API, MAPI, PowerShell, Autodiscover ו-Microsoft-Server-ActiveSync. ארגון שהגן על עמוד ההתחברות ושכח את ActiveSync נשאר חשוף בדיוק שם.

איך הם נשארים בפנים, ומה יוצא משם

עד כאן הכניסה. השמירה על האחיזה נעשית בדרך שקשה לתפוס בדיוק מפני שאין בה נוזקה. התוקפים מתקינים על מכשיר בתוך הרשת את הלקוח של SoftEther VPN, תוכנת VPN לגיטימית וחינמית, ומורידים אותו באמצעות PowerShell או curl ו-wget. את קובץ ההרצה הם משנים לשמות כמו conhost.exe או dllhost.exe, שמות של תהליכי ווינדוס אמיתיים, ומגדירים התחברות מחדש אוטומטית. התוצאה היא מנהרה שנפתחת מתוך הרשת כלפי חוץ, ממכשיר שנראה תקין, ושקמה מעצמה אחרי כל אתחול.

החלק האחרון הוא איסוף והוצאה של המידע, ושם מופיעים שלושה כלים נפרדים. הראשון, קובץ PHP בשם Curlc4.txt, מתחבר ל-API של Exchange בשם EWS, שולף דואר, דוחס אותו, מצפין אותו לפי הצורך ב-RC4 או ב-AES-128-CBC ומעלה אותו ל-natcloudservice[.]com. הוא מחפש לבד תיקיות שאפשר לכתוב אליהן, ומשנה את שם תהליך הבן שלו ל-crypto. השני, DC.exe, מריץ DCSync: הוא מתחזה לבקר דומיין ומבקש מהבקר האמיתי לשכפל אליו את המידע, וכך מעתיק את פרטי האימות של ה-Active Directory, את השיוך לקבוצות ואת יחסי האמון בין דומיינים. השלישי, office-cli, הוא קובץ הרצה ללינוקס שקורא client_id, tenant_id וסוד מקובץ הגדרות, ניגש שוב ושוב לתיבות Outlook 365 ומתחלף בין חשבונות.

ומעל הכול יושבת אותה אפליקציית ווב שבה פתחנו, זו שמאפשרת לגורם שלישי לשלוף דואר גנוב דרך פרמטרים בכתובת. הקורבנות שההתראה מונה בדרום-מזרח אסיה הם גופי ממשל, אכיפת חוק, בריאות וארגוני דת. בארצות הברית מדובר לפי ההתראה בשירותי ממשל ומתקנים, ייצור קריטי, בריאות ובריאות הציבור וטכנולוגיית מידע, וגם בגופי אכיפת חוק, חינוך ודת.

מה נתפס בפועל

מסמכי בית המשפט שנחשפו במחוז המערבי של פנסילבניה מתארים שישה דומיינים שנתפסו. אחד, c0cc[.]cc, הוא זה שדרכו ניגשה החברה ל-MicroScan. חמישה אחרים, 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com ו-linkedinns[.]net, שימשו להפצת הנוזקה של הכלי השני, FishHub, שמשמש לפישינג ממוקד ולהורדת מטענים נוספים אחרי הפריצה הראשונה. מטרות הסריקה של MicroScan שמשרד המשפטים מפרט כוללות חברת חשמל אמריקאית בדרום קרוליינה, ארגון בינלאומי שאינו ממשלתי, נמלי תעופה ביפן ובפולין, חברות תשתית בתחומי הגז הטבעי והחשמל בטייוואן ושתי אוניברסיטאות טייוואניות. ב-FishHub נספרו כ-20 אוניברסיטאות טייוואניות כקורבנות מאומתים.

נקודה אחת שכדאי לשים אליה לב למי שמתכוון להאכיל את סימני ההיכר שבהתראה למערכות החסימה: הם פרושים על פני טווח של תשע שנים, מ-2016 ועד 2025, וההתראה עצמה ממליצה לבדוק את הוותיקים שבהם לפני שחוסמים אותם.

מה זה אומר בפועל

מועד ה-11 באוקטובר מחייב סוכנויות פדרליות אמריקאיות, אבל הרשימה שבאמת רלוונטית לארגון ישראלי היא שמונה החולשות שבנספח, ובמיוחד השירותים שחשופים לאינטרנט ואין להם אחראי. כדאי לדרוש MFA על הדואר ועל ה-VPN, ולא רק על עמוד ההתחברות הראשי, כי EBurst מכוון בדיוק לממשקים הצדדיים. בצד הניטור, שתי שאילתות משתלמות כאן יותר מהשאר: קובץ הרצה של SoftEther ששמו שונה לשם של תהליך ווינדוס, ובקשת שכפול של Active Directory ממכונה שאינה בקר דומיין.