ZoomSetup_Installation_v2.5.0.67. זה היה שמו של הקובץ, הוא הגיע בעקבות מייל על פגישה, והוא אכן התקין תוכנה. פשוט לא את זום: מה שנכנס למחשב היה כלי ניהול מרחוק מסחרי בשם MSP360, חתום דיגיטלית ולגיטימי לחלוטין, ומאותו רגע הייתה למישהו אחר דרך להתחבר למחשב הזה.

מה קרה

צוות Defender Experts של מיקרוסופט עקב מיולי 2026 אחרי כמה קמפיינים שעבדו בשיטה הזאת, ולפני יומיים פרסם את הממצאים. התוקפים לא כתבו נוזקה. הם לקחו תוכנה שמחלקות IT מתקינות ביודעין על מחשבי עובדים כדי להתחבר אליהם מרחוק, שתלו אותה על המחשב של הקורבן, וקיבלו את מה שנוזקה הייתה נותנת להם: גישה מלאה ואפשרות להוריד ולהריץ כלים נוספים. לתוכנות מהסוג הזה קוראים RMM, קיצור של remote monitoring and management, ולשימוש הזה בהן קוראים RMM abuse. הוא נוח לתוקף מסיבה פשוטה: תוכנת אבטחה לא מסמנת תוכנה חתומה שמותקנת בכל ארגון שני.

הדרך לשם התחילה במייל שהוביל לעמוד נחיתה: פעם פורטל שיתוף מסמכים מתחזה, פעם עמוד הורדה של Adobe Reader ופעם עמוד התקנה של זום. משם ירד קובץ הרצה שהתארח לא רק על שרתי התוקפים אלא גם על שירותי ענן אמיתיים כמו Dropbox, Amazon S3 ו-GitLab. השמות התחלפו בין הקמפיינים, אבל מתחת לכולם הסתתר אותו מתקין MSP360 בגרסה 2.5.0.67.

אחרי שהמשתמש אישר את חלונית ההרשאות של Windows, המתקין רשם שני שירותים במערכת, הוסיף רשומה שמריצה אותו בכל כניסה למחשב ופתח בחומת האש של Windows חוק לתעבורה נכנסת ביציאה 48678. ואז הוא השתמש בכלי הניהול שהרגע הותקן כדי להריץ PowerShell ולהתקין בשקט כלי שליטה מרחוק שני, ScreenConnect של ConnectWise. שני ערוצים מקבילים לאותו מחשב, כך שסגירה של אחד מהם לא מנתקת את התוקף. דרך הערוצים האלה הועברו כלים נוספים, נאספו קבצים מקומיים וחולצו פרטי אימות. מיקרוסופט מדגישה שלא ראתה ניצול חולשה ב-ScreenConnect עצמה אלא שימוש בתוכנה תקינה שהושגה כחוק, ומוסיפה שבמקביל זוהה קמפיין שהחליף את MSP360 בכלי בשם Faronics Deploy Agent. מי שמפעיל את הקמפיינים לא זוהה.

למה זה חשוב לכם

רשימת הפיתיונות שמיקרוסופט מפרטת נשמעת מוכרת מתיבת דואר ישראלית: בקשות לפגישה, עדכון לאדובי, הזמנה לאירוע, מסמך שממתין לחתימה, הצעת עבודה והודעות על חבילה בדרך. מה שהופך את הקמפיין הזה למסוכן יותר מהרגיל הוא שבסוף השרשרת לא מחכה קובץ חשוד אלא תוכנה מוכרת וחתומה, כלומר מה שתוכנת האבטחה במחשב מצפה לראות.

וזו, בפועל, אותה הונאה שמגיעה בישראל בטלפון. מי שמציג עצמו כנציג מחלקת האבטחה של הבנק ומבקש להתקין אפליקציה כדי לעזור לכם מנסה להשיג את אותה גישה בדיוק. כאן הוא פשוט חוסך את השיחה.

מה עושים?

הורידו תוכנות רק מהאתר של היצרן, זום מ-zoom.us ואקרובט מ-adobe.com, ולא מקישור שהגיע במייל או בהודעה, גם אם הוא נראה כמו עמוד ההורדה הרשמי.

חלונית ההרשאות של Windows, זו ששואלת אם לאשר לאפליקציה לבצע שינויים במכשיר, היא מקום לעצור בו. אם היא קפצה על קובץ שהגיע בדואר, בחרו בלא והתקשרו לשולח לבדוק.

פתחו את רשימת התוכנות המותקנות (הגדרות ואז אפליקציות) וחפשו כלי שליטה מרחוק שלא אתם התקנתם: MSP360, ScreenConnect, AnyDesk, TeamViewer, Faronics. במחשב פרטי אין להם מה לחפש שם.

ואם כבר הרצתם קובץ כזה, נתקו את המחשב מהרשת, הסירו את התוכנה, והחליפו ממכשיר אחר את סיסמאות החשבונות שהתחברתם אליהם משם.

חתימה דיגיטלית מעידה מי כתב את התוכנה. היא לא מעידה שמישהו ביקש אותה.