ההודעה מבשרת שטופס ה-T4 לשנת 2025 מוכן. זה הטופס השנתי שכל שכיר בקנדה מקבל לצורך דוח המס, אז הקישור נראה סביר לגמרי. העמוד שנפתח מציג מסמך מטושטש, מבקש קוד גישה שמופיע במייל, ואחריו מוריד קובץ ZIP נעול בסיסמה. עד כאן זה נראה כמו פישינג רגיל. מה שיוצא מהארכיון הוא שמשנה את התמונה: לא נוזקה, אלא מתקין MSI חתום דיגיטלית של מוצר מסחרי לתמיכה מרחוק.

חוקר בשם ShiFu מ-ANY.RUN פרסם היום ניתוח של הקמפיין הזה, ומצא שהפיתיון הקנדי הוא רק זרוע אחת מתוך מבצע גדול בהרבה. מאחוריו יושבת מסגרת מסירה אחת שהחליפה במהלך 2026 מותגים, נושאים ומדינות, נצפתה ב-46 מדינות, ו-45 אחוז מהפעילות שתועדה קשורה לארצות הברית. נעבור על שרשרת המסירה, על שכבות ההסוואה שמונעות ממערכות אוטומטיות להגיע למטען, ואחר כך על החלק המעניין באמת: הסימן הזעיר שחשף שכל הפעילות הזאת היא מבצע אחד.

מה בעצם מותקן על המחשב

תוכנות תמיכה מרחוק הן חלק שגרתי מכל ארגון. איש ה-IT שולח לכם קישור, אתם מתקינים סוכן קטן, ומאותו רגע הוא רואה את המסך שלכם, מריץ פקודות ומעביר קבצים בלי לקום מהכיסא. לקטגוריה הזאת קוראים בתעשייה RMM, קיצור של Remote Monitoring and Management, ו-GoTo Resolve, LogMeIn Rescue, ScreenConnect ו-ConnectWise הם ארבעה מהשמות המוכרים בה.

וזה בדיוק מה שהתוקף מתקין. אין כאן קובץ זדוני לזהות, אין חתימה חשודה, ואין התנהגות חריגה: המתקין חתום על ידי היצרן, התעבורה יוצאת לשרתי היצרן, והפעולות על המחשב נראות כמו עבודת תחזוקה שגרתית. לאנטי-וירוס שמבוסס על חתימות אין כאן במה להיתפס. מרגע שהסוכן עולה, מי שיושב בצד השני עובד מול המחשב שלכם בזמן אמת.

שרשרת המסירה, צעד אחר צעד

הכול מתחיל במייל שמפנה לעמוד שמתארח על *.vercel[.]app. Vercel היא פלטפורמת אחסון שמעלה אתר בפקודה אחת, וכל פריסה חדשה מקבלת דומיין עם מוניטין נקי ותעודת TLS תקפה. זה בדיוק מה שהתוקף צריך כדי לעבור את מסנני הדואר. אחת האפליקציות שהחוקרים בחנו, fillingconfirmation[.]vercel[.]app, נרשמה יום אחד בלבד לפני שנצפתה בשטח.

העמוד לא מגיש את המטען מיד. קודם הוא מודד את הדפדפן, את כתובת ה-IP ואת המיקום בעזרת FingerprintJS, מציג אתגר hCaptcha ומסך טעינה, ובחלק מהעמודים שולח את התוצאות ל-api.telegram[.]org כדי שהמפעיל יחליט אם בכלל להגיש את הקובץ. סביבות ניתוח וסורקים אוטומטיים נופלים בשלב הזה. מי שעובר את הסינון מגיע לשרשרת הפניות בת שלושה שלבים, מהעמוד הראשי אל secure.html ומשם אל project ואל קובץ ה-ZIP עצמו, וברקע נפתח מסמך PDF תמים דרך תשתית OneDrive לגיטימית, רק כדי שההורדה תיראה שגרתית לקורבן.

הקוד שהתקבל במייל פותח את הארכיון, ובתוכו סקריפט VBS יחיד. הסקריפט משתמש ב-FileSystemObject כדי להפעיל PowerShell, וזה כבר עושה את שאר העבודה: מדלג על פרופיל המשתמש, נכנס להמתנה קצרה כדי לעקוף כלי ניתוח שמודדים זמנים, ואז מוריד ומתקין את קובץ ה-MSI של מוצר ה-RMM.

עד כאן איך המטען מגיע. השאלה המעניינת יותר היא איך הוא עובר את כל מה שאמור לעצור אותו בדרך, וההגנה הכי אפקטיבית בשרשרת הזאת היא גם הפשוטה ביותר: הסיסמה על קובץ ה-ZIP, שהתוקף עצמו מוסר לקורבן. הקובץ יורד תקין ומחזיר תשובת HTTP רגילה, מערכת סריקה אוטומטית מקבלת ארכיון מוצפן שאין לה מה לעשות איתו, והקורבן הוא זה שפותח אותו במו ידיו. הסינון בטלגרם עושה את אותו דבר שכבה אחת מעל, ומרחיק כל מי שנראה כמו חוקר או ארגז חול.

השיטה הזאת לא ייחודית לזרוע הקנדית. צוות Cloudforce One של Cloudflare תיאר קמפיין RMM שמתארח על Vercel ומשתמש בערוץ טלגרם בדיוק לצורך סינון קורבנות, עם GoTo Resolve בתפקיד כלי הגישה. ב-ANY.RUN מציינים שגם Cloudflare, Kaseya/INKY ו-CyberArmor דיווחו על הפעילות הזאת, ושהממצאים שלהם עולים בקנה אחד עם מה שהם עצמם ראו.

הפונט שהסגיר את המבצע

כאן מתחיל החלק שהופך ניתוח של קמפיין אחד לניתוח של מבצע שלם. כל פריסה של הערכה מגישה כמעט את אותו עמוד בדיוק, ובתוכו נשארו כמה סימנים שאיש לא טרח להחליף: כותרת ריקה לגמרי, מסך טעינה אדום שנושא את המזהה rl, אייקון של Word ששמור תחת השם icons8-microsoft-word-94.png ומתויג בטעות כ-PDF Icon, והצהרת @font-face שטוענת גופן בשם fmtt מהנתיב img/font1.woff2.

הגופן הזה הוא הפיבוט. חיפוש אחריו במאגר של ANY.RUN החזיר 425 כתובות שונות של הערכה, על 240 שרתים שמתורגמים ל-155 כתובות IP, לאורך 174 הימים שבין 5 בפברואר ל-29 ביולי 2026. אותו סימן הורץ גם מול כ-46 אלף מקרים מעשר משפחות נוזקה שאין להן שום קשר לקמפיין, והחזיר אפס תוצאות. במילים אחרות, קובץ הגופן הקטן הזה מזהה את המבצע הזה ולא שום דבר אחר.

מה שהחיפוש חשף הוא שהזרוע הקנדית היא בעצם החלק הקטן. עליה תועדו 137 מקרים, בעוד המשפחה הרחבה מגיעה ל-601 מקרים ומחליפה נושאים לפי הצורך: מכתב מרשות המסים הקנדית, הודעה מהביטוח הלאומי האמריקאי, חשבונית פתוחה, הודעת VAT, מסמך DocuSign, עדכון Adobe או מסמך משלוח. הערכה נשארת אותה ערכה, רק המותג שעליה מתחלף.

תשתית שנעלמת אחרי יום

קצב ההחלפה של השרתים הוא מה שהופך חסימה לפי דומיין לחסרת טעם. מתוך 240 השרתים שתועדו, 225 נראו ביום אחד בלבד, ו-228 מהם לאורך שלושה ימים או פחות. השרת הוותיק ביותר במבצע, docshared[.]org, החזיק 23 ימים. העמוס ביותר, dashboarduat.paynnow[.]com, הגיש 45 כתובות של הערכה במשך אחד עשר ימים וחצי.

הפיזור עצמו מגוון: 117 שרתים הם אתרים רגילים שנפרצו או הוקמו לצורך העניין, 82 הם אפליקציות Vercel, 32 רשומים על סיומות זולות כמו sbs. ו-cfd., ושבעה נשענים על שירותי DNS דינמי. כל 82 אפליקציות ה-Vercel נצפו ביום אחד בדיוק, כל אחת עם כתובת אחת ויחידה, ואף אחת מהן לא שימשה פעמיים. מודל של אפליקציה אחת לכל פיתיון.

בתשתית מסתתר גם מדד לקצב העבודה של המפעיל. 110 מהשרתים משתמשים בנתיב ייחודי לכל נמען שמכיל בתוכו חותמת זמן, וממנה אפשר לחשב כמה זמן עבר מרגע יצירת הקישור ועד שנצפה לראשונה. החציון עומד על 32 דקות, ו-77 אחוז מהקישורים נצפו בתוך יממה. הקישורים נוצרים לנמען ספציפי ונשלחים אליו כמעט מיד, וזאת הסיבה שרשימות חסימה מספיקות להם רק בדיעבד.

ויש נתון אחד שמסביר בדיוק למה Vercel: מתוך 425 הכתובות, 23 כבר היו מסומנות כזדוניות ברגע שנצפו. כולן ישבו על אותם דומיינים זולים חד-פעמיים. אף אחת מהן לא הייתה אפליקציית Vercel.

החוליה שמתחלפת, ומה שהחוקרים לא יודעים

המוצר שיושב בקצה השרשרת הוא הרכיב הנזיל ביותר בה. בזרוע הקנדית תועדו 46 מקרים של LogMeIn Rescue ו-Resolve, כולל מתקין שנתפס בשם LogMeInResolve_Unattended.msi, בעוד GoTo Resolve הוא הדומיננטי לפי תעבורת הרשת. מחוץ לזרוע הזאת מופיע ScreenConnect ב-204 מקרים ו-ConnectWise ב-106, ו-ITarian הופיע במקרה בודד אחד. חמישה מוצרים לגיטימיים, אותה שרשרת מסירה בדיוק.

וכאן כדאי לשים לב לגבולות של מה שנמדד בפועל. החוקרים עצמם מסייגים ששלב ה-RMM הוא שכבת הראיות הדקה ביותר בשרשרת: רק 20 מתוך 137 המקרים בזרוע הקנדית נצפו מושכים בפועל את קובץ ה-MSI, וכל השאר נעצרו בארכיון הנעול. אותו קובץ MSI עצמו מופיע ב-150 מקרים במאגר כולו, כלומר הוא מוגש גם דרך זרועות אחרות ואינו סימן ייחודי לערכה הזאת. גם הייחוס נשאר פתוח: אין שם של קבוצת תקיפה, והשאלה אם מדובר במפעיל יחיד או בערכת פישינג שנמכרת לכמה לקוחות נשארה בלי תשובה. ב-ANY.RUN גם מבהירים שהנתונים הגיאוגרפיים מתארים היכן נצפו דגימות, ולא היכן אושרה פריצה בפועל.

מה זה אומר בפועל

התקנה של כלי RMM על תחנה בארגון היא אירוע שראוי להתייחס אליו ככזה, גם כשהמוצר לגיטימי לחלוטין וגם כשהמתקין חתום כהלכה. שווה להחזיק רשימה מסודרת של כלי הגישה מרחוק שמאושרים אצלכם ולהתריע על כל מוצר אחר שצץ, במיוחד כשההתקנה מגיעה מדומיין שנוצר לפני יום או מאתר וורדפרס שנפרץ. ומסנן הדואר לא יעצור את זה לבדו: הקישור מוביל לדומיין עם תעודה תקפה, והקובץ שיורד הוא ארכיון נעול שאף סורק אוטומטי לא יפתח.