על אחת הרשתות שנתקפו, תוכנות ההגנה הפסיקו לעבוד על 40 מחשבים בתוך פחות משעתיים. מיד אחר כך הוצפנו 33 מהם. הדרך פנימה הייתה שרת SharePoint של הארגון עצמו, מהסוג שמותקן על חומרה בבניין ולא בענן, ושלא קיבל את העדכונים שמיקרוסופט הוציאה לפני יותר משנה.

מה קרה

חוקרי Symantec ו-Carbon Black מדווחים שקבוצת הכופרה שהם מכנים Longlegs, ומוכרת גם בשמות Warlock ו-Storm-2603, תקפה בחודשיים האחרונים לפחות ארבעה ארגונים: תאגיד מים, ספקית תקשורת, גוף שלטון אזורי ואוניברסיטה. הקורבנות נמצאים במדינות דוברות פורטוגזית וספרדית באירופה, באפריקה ובאמריקה הלטינית. הקבוצה מקושרת לסין, אבל הייחוס הזה הוא הערכה של חוקרים ולא קביעה מאומתת.

הכניסה נעשית דרך חולשות בשרתי SharePoint מקומיים, אותה שרשרת חולשות שקיבלה את השם ToolShell ונוצלה כבר באמצע 2025. אחרי שהתוקפים נכנסים הם משתילים web shell, קוד קטן שמאפשר להם להריץ פקודות על השרת מרחוק, ודרכו הם מחלצים את המפתחות שהשרת משתמש בהם כדי לחתום על בקשות ולאמת שהן באמת הגיעו ממנו. עם המפתחות ביד אפשר לייצר בקשה מזויפת שנראית לשרת חתומה כראוי, וכך להריץ עליו קוד. זאת הסיבה שהתקנת העדכון לבדה לא תמיד מספיקה: מי שכבר לקח את המפתחות ממשיך להיכנס עד שמחליפים אותם.

את כיבוי ההגנה הם עשו בדרך עקיפה. במקום לנסות להתחמק מהאנטי-וירוס, הם הביאו איתם דרייבר לגיטימי וחתום דיגיטלית של יצרן אבטחה, שיש בו חולשה מוכרת. Windows בודק את החתימה, מוצא אותה תקינה וטוען את הדרייבר, ומשם החולשה שבתוכו נותנת לתוקף את ההרשאות להשתיק את תוכנות ההגנה. לטכניקה הזאת קוראים BYOVD, ואותו דרייבר שימש בעבר גם את קבוצת הכופרה DragonForce.

את קובץ הכופרה עצמו הם לא התקינו מחשב אחרי מחשב. הם הניחו אותו בתיקייה משותפת שכל בקר דומיין בארגון מעתיק לעצמו אוטומטית, וההפצה השגרתית של הרשת עשתה בשבילם את העבודה. לגישה מרחוק הם השתמשו דווקא בכלי פיתוח רגיל, מנגנון המנהרות המובנה של Visual Studio Code, שבארגון רבים נראה כמו תעבורה של מתכנת ולא כמו תוקף.

למה זה חשוב לכם

שרתי SharePoint מקומיים נפוצים בארגונים בישראל, בעיריות, בחברות ובקופות החולים, וגל ToolShell הגיע לכאן בקיץ 2025. סיקרנו אותו כאן בכתבה על גניבת מפתחות החתימה משרתי SharePoint. יותר משנה אחרי, אותה דלת עדיין פתוחה אצל מי שלא עדכן, והקורבנות הפעם היו תאגיד מים וספקית תקשורת, כלומר שירותים שאנשים תלויים בהם ביום-יום. חוקרי Symantec מדגישים שהם לא יודעים אם הבחירה דווקא במדינות האלה נעשתה בכוונה או שפשוט שם נמצאו השרתים החשופים.

מה עושים?

אם בארגון שלכם יש שרת SharePoint מקומי, התקינו את עדכוני מיקרוסופט וגם החליפו את מפתחות החתימה של השרת, ולא רק את התיקון עצמו.

הפעילו באנטי-וירוס את ההגנה מפני כיבוי (tamper protection), כדי שגם מי שהשיג הרשאות מקומיות לא יוכל להשתיק אותו בלחיצה.

בבית, החזיקו גיבוי אחד שלא מחובר למחשב כל הזמן. זה ההבדל בין כופרה שהיא אסון לכופרה שהיא יום עבודה מעצבן.

החולשה הזאת בת יותר משנה. מי שעוד לא עדכן את השרת שלו, התוקפים כבר יודעים עליו.