חוקרי Symantec Threat Hunter Team, הפועל תחת ברודקום, חשפו שהנוזקה הסינית דקסין (Daxin) פעלה בתוך תת-חברה טייוואנית של יצרן טכנולוגיה רב לאומי במשך כמעט שלוש עשרה שנים בלי שאיש שם לב אליה. הגילוי, שדווח במאי 2026, חשף גם כלי חדש לגמרי שרץ לצדה: דלת אחורית בשם סטופיג (Stupig), שמאפשרת לתוקף להריץ פקודות בהרשאות המערכת הגבוהות ביותר על מסך ההתחברות של Windows, עוד לפני שמשתמש כלשהו מזין סיסמה.

החתימות בשני הקבצים שנמצאו על המחשב הנגוע הודרו בפער של שבועות בודדים, בינואר ובפברואר 2013, אבל המערכת התחילה לשדר טלמטריה שחשפה את הפעילות רק ב-12 במאי. אם ההערכה של החוקרים נכונה, מדובר בפריצה שנשארה בלתי מתגלה כמעט עשור וחצי, ברשת של חברה שקשורה לענף המוליכים למחצה הטייוואני, יעד אסטרטגי מוצהר עבור סין. תעשיית השבבים הטייוואנית מספקת נתח משמעותי מהמעבדים המתקדמים בעולם, ולכן כל דריסת רגל ממושכת אצל יצרן או ספק שלה שווה לגורם מודיעיני יריב הרבה יותר מגישה חד פעמית.

מה זו דקסין, ולמה זו כבר לא נוזקה חדשה

סימנטק תיעדה את דקסין לראשונה עוד בשנת 2022, ואז כינתה אותה הנוזקה המתוחכמת ביותר שראתה מגורם הקשור לסין. הקורבנות ההיסטוריים שלה כללו ממשלות, חברות תקשורת, גופי תחבורה ויצרנים, כולם בעלי ערך אסטרטגי עבור בייג'ינג. הגרסה שנמצאה בטייוואן היא נהג (driver) שפועל ברמת הליבה של המערכת, קובץ בשם srt64.sys שאף חתום דיגיטלית כדי להיראות לגיטימי. חתימה דיגיטלית תקינה חשובה לנוזקה כזו כי Windows חוסם כברירת מחדל טעינה של נהגים לא חתומים לתוך הליבה, כך שדווקא הרכיב האמין ביותר במערכת ההפעלה משמש כאן מסווה לרכיב העוין ביותר בה.

מה שהופך את דקסין לקשה כל כך לאיתור הוא הדרך שבה היא מדברת עם התוקפים. במקום לפתוח חיבור יוצא משלה, כמו רוב הנוזקות, היא מאזינה לתעבורת TCP נכנסת ומחפשת תבניות ספציפיות בתוכה. כשהיא מזהה תבנית כזו, היא חוטפת את החיבור הלגיטימי הקיים ומשתמשת בו כדי להעביר פקודות ותשובות מוצפנות, בלי לפתוח אף חיבור חדש שיעורר חשד. יכולת נוספת מאפשרת לה להעביר פקודות בשרשרת בין כמה מחשבים נגועים, כך שהיא יכולה להגיע גם לקטעי רשת מבודדים שאין להם גישה ישירה לאינטרנט. בפועל, זה אומר שגם אם רק מחשב אחד ברשת פרוץ ומחובר החוצה, התוקף יכול לקפוץ ממנו פנימה, דרך מחשב נגוע נוסף אחרי מחשב נגוע נוסף, עד שהוא מגיע לשרת רגיש שמעולם לא היה חשוף לאינטרנט בעצמו.

הכניסה הראשונית: פורטל התחברות ישן שאף אחד לא טרח לעדכן

החוקרים מעריכים שנקודת הכניסה הראשונית הייתה פורטל התחברות מאוחדת (Single Sign On, מנגנון שמאפשר למשתמש להתחבר פעם אחת ולקבל גישה למספר מערכות) מתוצרת Digiwin, שרץ על גרסאות Java מיושנות מ-2009 עד 2011 שכבר לא זוכות לתמיכת אבטחה כלל. תוכנת תשתית שלא עודכנה במשך יותר מעשור היא בדיוק סוג היעד שגורם עם סבלנות של שנים מחפש: היא לא נראית מעניינת ברוב הביקורות השגרתיות, אבל היא נשארת פרוצה עד שמישהו מנצל אותה.

סטופיג: פקודות בהרשאות מערכת עוד לפני שהתחברתם

התגלית המפתיעה יותר בדוח היא סטופיג, דלת אחורית בגודל קובץ DLL בודד שלא תועדה בשום מקום קודם. היא נמצאה לראשונה ב-28 במאי בשם a.dll, ואחרי שהצוות שהגן על הרשת זיהה את הקובץ, התוקפים החליפו אותו ב-1 ביוני בעותק בשם kbdus1.dll, כניסיון להיראות כמו קובץ מקלדת תקני של Windows.

זו בדיוק התחפושת שסטופיג בוחרת לעצמה: היא נרשמת במערכת כספק פריסת מקלדת (keyboard layout provider), רכיב שאחראי להגדיר איך מקשים מתורגמים לתווים. בזכות הרישום הזה, win32k.sys, אחד ממרכיבי הליבה של Windows, טוען אותה אוטומטית לתוך winlogon.exe, התהליך שמנהל את מסך ההתחברות, בכל הפעלה של המחשב. מכיוון שהיא ממשיכה להחזיר מבנה נתונים תקין של טבלת המקלדת, המקלדת ממשיכה לעבוד כרגיל ואף אחד לא שם לב שמשהו זר נטען.

הטריק עצמו פשוט ומטריד: אם תוקף מקליד בשדה שם המשתמש במסך ההתחברות מחרוזת שמתחילה במילה stupig, כל מה שבא אחרי המילה הזו מתבצע כפקודה בהרשאות המערכת הגבוהות ביותר, על שולחן העבודה המאובטח של Windows, ועוד לפני שנעשה כל ניסיון התחברות אמיתי. אם לא מוזנת שום סיומת, נפתחת ישירות שורת פקודה בהרשאות מערכת מלאות על מסך הנעילה עצמו. הפעולה כולה לא מייצרת אף אחד מהאירועים הרגילים שמערכות ניטור מחפשות, מלבד רשומת התחברות כושלת אחת עם שם משתמש חריג, שבסביבה עמוסה בהתחברויות שגרתיות בקלות נבלעת ברעש.

מעבר לכך, סטופיג מתקינה גם וו (hook, שינוי בקוד קיים שמפנה אותו לרוץ דרך קוד זר) על שתי פונקציות מערכת שאחראיות לטיפול בפרטי התחברות, SspiCli!LsaLogonUser ו-Advapi32!CredUnprotectA, ובכך גונבת סיסמאות ואישורים ברגע שהם עוברים דרך המערכת, לפני שהם אפילו מוצפנים לאחסון.

אותו שחקן, שני כלים: מה מחבר בין דקסין לסטופיג

החוקרים מדגישים שאין חפיפת קוד ישירה בין דקסין לסטופיג, כך שההערכה שמדובר באותו גורם היא הערכה ולא קביעה ודאית. מה שמוביל אותם לשם הוא צירוף נסיבות: שני הכלים נפרסו על אותו מחשב, הם משלימים זה את זה במקום לכפול פונקציונליות, תאריכי ההידור שלהם מפרידים רק כמה שבועות בתחילת 2013, ושניהם משקפים אותה שיטת עבודה של השקעה בטכניקות חמקנות ייחודיות במקום שימוש בכלים גנריים. גם הדפוס המוכר של הגורם הזה, החזקת נוכחות שקטה ברשת יעד במשך שנים, תואם את מה שנמצא כאן. הדוח מזכיר גם רמז נוסף שלא נפתר: קובץ נלווה בשם msyun.dll, שסטופיג מתייחסת אליו בקוד שלה אבל שהחוקרים לא הצליחו לאתר בפועל על המחשב הנגוע, כנראה מטען נוסף שהוסר או נמחק לפני שהחקירה החלה.

מבט קדימה: כלים ישנים שלא נעלמים, רק ממתינים

הסיפור של דקסין מזכיר שנוזקה מתוחכמת לא חייבת להתחדש כל הזמן כדי להישאר יעילה. כלי שהודר ב-2013 המשיך לפעול בשקט עד 2026 בדיוק כי הוא נבנה סביב עיקרון פשוט, הסתמכות על תעבורה קיימת במקום יצירת תעבורה חדשה, שקשה מאוד לזהות גם היום. הופעתה מחדש בחברה טייוואנית מענף המוליכים למחצה תואמת דפוס רחב יותר של עניין סיני ממושך בשרשרת האספקה הטכנולוגית של טייוואן, וסטופיג מראה שאותם גורמים ממשיכים לפתח טכניקות פריצה חדשות לגמרי גם עשור ומחצה אחרי שהכלי הראשי שלהם כבר תועד ברבים. מבחינת מגני הרשת, זה מחזק מסקנה שכבר נשמעת שוב ושוב בשנים האחרונות: הציד אחרי גורמי ריגול מדינתיים לא נגמר עם פרסום דוח אחד, גם כשהדוח ההוא זוכה לכותרת דרמטית כמו הנוזקה המתוחכמת ביותר שראינו.

מה זה אומר בפועל

ארגונים שמפעילים פורטלים ישנים, במיוחד מערכות אימות מאוחד שרצות על גרסאות Java שכבר לא מקבלות עדכוני אבטחה, צריכים להחליף אותן או לפחות לבודד אותן מהרשת הראשית בהקדם. כדאי גם לסקור נהגי מערכת (drivers) חתומים שלא מוכרים לצוות האבטחה, ולוודא שמערכות הניטור מתריעות על שמות משתמש חריגים במסך ההתחברות, לא רק על ריבוי ניסיונות כושלים. צוותי אבטחה יכולים גם לחפש ברשת שלהם את החתימות הקונקרטיות שסימנטק פרסמה, קובץ הנהג srt64.sys וקובץ ה-DLL בשם a.dll או kbdus1.dll, כדי לבדוק בוודאות אם אחד המחשבים אצלם נגוע.