חוקרי אבטחה במיקרוסופט זיהו שתי קמפיינים נפרדים של נוזקת גניבת מידע בשם ACR Stealer, שהחליפה לאחרונה שם מהכינוי הקודם שלה Amatera Stealer. מיקרוסופט מתארת אותה בפוסט טכני שפרסמה ב-16 ביולי כנוזקה כשירות (Malware as a Service, מודל שבו כל תוקף יכול לשכור גישה לנוזקה מוכנה תמורת תשלום, בלי לכתוב שורת קוד אחת בעצמו), שפעלה בין סוף אפריל לאמצע יוני 2026 נגד סביבות ארגוניות.

מה שהופך את שתי הקמפיינים למעניינים הוא לא הגניבה עצמה אלא הדרך שבה הנוזקה מסתתרת. בקמפיין אחד שרת הפיקוד והבקרה (C2, השרת שדרכו התוקף שולח פקודות ומעדכן את הנוזקה) לא יושב על שרת רגיל בכלל אלא על בלוקצ'יין ציבורי. בשני, המטען הזדוני מגיע ארוז בתוך פיקסלים של תמונת JPEG תמימה למראה. מיקרוסופט כותבת ששני המסלולים "חותרים לאותה מטרה: גניבת פרטי התחברות שמורים בדפדפן ומידע רגיש נוסף לצורך הוצאתם החוצה".

רקע: תעשיית גניבת המידע כשירות

גניבת מידע (infostealer) היא קטגוריית נוזקה שמטרתה היחידה היא לשלוף מהמחשב הנגוע כל מה שיש בו ערך למכירה: סיסמאות שמורות בדפדפן, עוגיות התחברות (cookies), טוקני אימות וקבצים רגישים, ולא לגרום נזק ישיר כמו כופרה. בשנים האחרונות הפכה גניבת מידע לתעשיית שירות של ממש, שבה מפתחים מוכרים גישה לנוזקה מוכנה בתשלום חודשי, בדיוק כמו תוכנה עסקית לגיטימית. זו הסיבה שיומני גניבת מידע (הקבצים שהנוזקה מייצאת מהקורבן) הפכו לסחורה מבוקשת בפורומי פשע מקוונים, ומספיק מחשב אחד נגוע כדי לפתוח דלת לחשבונות ארגוניים שלמים.

שתי הקמפיינים שמיקרוסופט תיארה נפתחים באותה טכניקת הנדסה חברתית: ClickFix, שבה אתר זדוני או תוצאת חיפוש מורעלת (SEO poisoning, מניפולציה על מנועי חיפוש כדי שקישור זדוני יופיע גבוה בתוצאות) מציגה לקורבן הודעת שגיאה מזויפת ומנחה אותו להריץ פקודה בעצמו, בדרך כלל דרך תיבת הרצה של Windows. הקורבן, שחושב שהוא פותר תקלה טכנית, למעשה מפעיל את שרשרת ההדבקה בעצמו.

שרשרת ראשונה: מפקודת Windows ועד שיתוף קבצים מרוחק

בקמפיין הראשון, פקודת ה-ClickFix מפעילה את rundll32.exe, כלי מערכת לגיטימי של Windows שטוען קובצי DLL, כדי לטעון קובץ DLL ישירות משיתוף WebDAV מרוחק (פרוטוקול שמאפשר גישה לקבצים מרחוק דרך HTTPS, בדיוק כמו כונן רשת רגיל). מיקרוסופט מציינת ששלושה נוסחים שונים של הפקודה נצפו בשטח, וכתובות שיתוף ה-WebDAV נבנות במתכוון עם שמות תיקיות מבוססי GUID (מזהה ייחודי אקראי) שנועדו להיראות כמו משאב לגיטימי.

התהליך ממשיך עם conhost.exe במצב headless שמדכא כל חלון קונסולה נראה לעין, ועם עירפול משתני סביבה בעזרת הרחבה מושהית (delayed variable expansion, טכניקה שמשאירה ערכים אמיתיים חבויים במשתנים עד לרגע ההרצה בפועל) שמסתיר רכיבי הרצה קריטיים כמו pushd, rundll32 וכתובת השרת המרוחק, כדי להקשות על ניתוח אוטומטי וזיהוי לפי חתימות. הקורבן מקבל בסופו של דבר סקריפט PowerShell מעורפל בכבדות, עמוס בלולאות מתות ופעולות אריתמטיות חסרות משמעות שכל תפקידן לבלבל כלי אבטחה, שמחלץ ארכיון ZIP לתיקייה זמנית (במקרה שנצפה קיבלה התיקייה שם מחופש כמו LogiOptionsPlus, כאילו הייתה עדכון תוכנה לגיטימי). בתוך הארכיון יושב טוען (loader) שכתוב בפייתון ומופעל דרך pythonw.exe, גרסת פייתון שרצה בלי חלון גלוי כלל.

הטוען עצמו בנוי בשכבות הצפנה מרובות: פענוח Base64, דחיסת zlib, ופתרון דינמי של פונקציות מערכת בזמן ריצה כדי להימנע מחתימות סטטיות. במקום להריץ קובץ הרצה נפרד, הוא מזריק קוד ישירות לזיכרון באמצעות VirtualAlloc ומריץ אותו דרך ממשק ה-Fiber של Windows (מנגנון תזמון חוטים ברמה נמוכה שמאפשר להריץ קוד תוך עקיפת נקודות בדיקה שכלי אבטחה רבים מתמקדים בהן). לשימור אחיזה במערכת, הנוזקה יוצרת משימה מתוזמנת מוסתרת שמחופשת לעדכון תוכנה, מעתיקה חותמות זמן מ-notepad.exe כדי להיראות ותיקה יותר משהיא, ומוחקת את היסטוריית הפקודות של PowerShell כדי לטשטש עקבות.

הפיקוד והבקרה שיושב על בלוקצ'יין

החלק הבולט ביותר בקמפיין הראשון הוא איך הנוזקה מוצאת את שרת הפיקוד שלה. בגרסה מסוימת שתועדה, הנוזקה לא פונה לכתובת קבועה אלא שולפת אותה מרשת בלוקצ'יין ציבורית, טכניקה שמוכרת בשם EtherHiding. הנוזקה שולחת שאילתה לצומת Web3 (תשתית שמאפשרת גישה לרשת בלוקצ'יין) ומחלצת מתוכה את כתובת השרת העדכנית, בלי לגעת בקוד הנוזקה עצמו. מיקרוסופט מסבירה שהגישה הזאת "מאפשרת עדכון דינמי של התשתית בלי לשנות או להפיץ מחדש את הנוזקה".

היתרון לתוקף פשוט: תשתית C2 רגילה אפשר לתפוס ולהוריד, אבל רשת בלוקצ'יין ציבורית פועלת על אלפי מחשבים ברחבי העולם בלי גורם מרכזי אחד שאפשר לכבות. הטכניקה הזאת אינה חדשה, אבל השימוש שלה בנוזקת גניבת מידע מסחרית מסמן משהו על הכיוון שהתעשייה הזאת הולכת אליו, ונרחיב על כך בהמשך.

שרשרת שנייה: מטען שמוסתר בתוך פיקסלים

הקמפיין השני נפתח גם הוא ב-ClickFix, אך הפעם הפקודה מפעילה את mshta.exe, כלי Windows שמריץ יישומי HTML (קבצי HTA). הקובץ המרוחק שנטען מכיל קוד VBScript שמנצל אובייקטי COM (ממשקי תוכנה פנימיים של Windows) כדי לפענח ולהריץ קוד PowerShell נוסף, גם הוא מעורפל באמצעות משתנים אקראיים, לולאות ריקות והצפנה ייעודית.

החידוש בשרשרת הזאת הוא שיטת המסירה של המטען עצמו: הנוזקה מורידה תמונת JPEG רגילה משירות אחסון תמונות ציבורי, ומריצה שגרה שמחלצת נתונים חבויים מתוך ערכי הפיקסלים של התמונה, טכניקה שנקראת סטגנוגרפיה (הסתרת מידע בתוך קובץ תמים למראה, כך שהוא לא נראה כמו מטען זדוני לכלי סריקה ולא מעורר חשד לעין אנושית). אחרי חילוץ הנתונים, הם מפוענחים ומתפרקים בזיכרון בלבד, ואז מורצים כקוד מכונה ישירות דרך שרשרת קלאסית של LoadLibrary, GetProcAddress, VirtualAlloc ו-CreateThread, מה שמיקרוסופט מכנה שילוב של "סטגנוגרפיה עם הרצה בזיכרון כדי למזער עקבות על הדיסק". שום קובץ הרצה זדוני לא נשמר בפועל על הכונן הקשיח, מה שמקשה מאוד על גילוי מבוסס קבצים.

בשני הקמפיינים היעד הסופי זהה: פרטי התחברות שמורים בדפדפנים מבוססי Chromium דרך פענוח DPAPI (מנגנון ההצפנה שבו Windows שומר סיסמאות ונתונים רגישים), עוגיות וטוקני אימות, וקבצי PDF ומסמכי Office מהדסקטופ, מהורדות ומתיקיות מסונכרנות של OneDrive ו-SharePoint. המידע נארז ומוצא החוצה לניתוח או מכירה.

מבט קדימה: מטכניקת מדינה לכלי מסחרי

השימוש בבלוקצ'יין כתשתית C2 לא נולד עם ACR Stealer. הטכניקה תועדה לראשונה בספטמבר 2023, כאשר קמפיין שהזריק קוד זדוני לאתרי וורדפרס פרוצים ניצל חוזה חכם על BNB Smart Chain כדי לארח קוד JavaScript זדוני. מאז היא עברה שדרוג ניכר: חוקרי Google Threat Intelligence דיווחו שהחל מפברואר 2025 קבוצת התקיפה הצפון קוריאנית UNC5342, כחלק מקמפיין ההנדסה החברתית המוכר בשם Contagious Interview, אימצה את אותה שיטה בדיוק כדי להפיץ את הנוזקות JADESNOW ו-INVISIBLEFERRET. לפי גוגל, חוזה חכם אחד על הרשת עודכן למעלה מ-22 פעמים בתוך ארבעה חודשים, בעלות של כדולר וחצי לעדכון, סכום זעום מול היתרון של תשתית שאי אפשר לכבות.

כשטכניקה שפותחה במקור למתקפות מדינה מגיעה תוך פחות משלוש שנים לנוזקת גניבת מידע מסחרית שכל תוקף יכול לשכור, זה סימן ברור לאן הולכת התעשייה: היכולות שהיו פעם נחלת קבוצות מתוחכמות בלבד מתגלגלות מהר יותר ויותר אל השוק הפתוח. אותו דבר קרה בעבר עם טכניקות הזרקת קוד לזיכרון ועם ניצול קבצי LNK, ואין סיבה להניח שהמגמה תיעצר כאן.

מעבר לזה, הרעיון שגניבת מידע מסחרית משתמשת בסטגנוגרפיה ובתשתית פיקוד עמידה כמו בלוקצ'יין מרמז שגם נוזקות זולות ונפוצות משקיעות היום במאמצי הסתרה שהיו שמורים בעבר לתקיפות ממוקדות. עבור צוותי הגנה, המשמעות היא שחתימות מבוססות קבצים וחסימת כתובות IP ידועות לא מספיקות עוד: צריך גם ניטור התנהגותי של תהליכים לגיטימיים כמו rundll32.exe ו-mshta.exe שפונים לרשתות לא צפויות.

למעשה, לא נדרש כאן פתרון מסובך במיוחד. שתי שרשראות ההדבקה מתחילות באותה נקודה: משתמש שמריץ פקודה כי אתר או תוצאת חיפוש שכנעו אותו שזה הכרחי לתיקון תקלה. חסימת הרצת PowerShell ופייתון ממקורות לא חתומים, וניטור משימות מתוזמנות חדשות שמחקות עדכוני תוכנה, עוצרים את שתי השרשראות עוד לפני שהן מגיעות לחלק המעניין.