בקשת הצ'אט שנכנסת ל-Microsoft Teams נראית תמימה לגמרי. השם המוצג הוא IT help desk, וטימס מציג את השאלה הרגילה שהוא מציג על כל פנייה מבחוץ: לקבל או למחוק. מי שלוחץ "לקבל" מקבל תוך דקות שיחת קול יזומה מאותה זהות, ובצד השני יושב מישהו שמדבר בדיוק כמו טכנאי תמיכה, מסביר שיש בעיה בתחנה, ומבקש להפעיל כלי שליטה מרחוק.

חוקרי Unit 42 של Palo Alto Networks פרסמו ב-31 באוגוסט ניתוח של מבצע שהם קראו לו Spring Ring. הטלמטריה שלהם מונה 26 זהויות שונות שפנו לעובדים ביותר מעשרה ארגונים, יותר מ-150 עובדים שקיבלו פנייה, ופעילות שנמשכה מינואר 2026 ועד אפריל. שימו לב למה שאין כאן: אין חולשה. Unit 42 כותבים במפורש שלא מצאו שום ליקוי או פריצה במוצר של מיקרוסופט, וזה בדיוק מה שהופך את המבצע למעניין, כי כל השרשרת רצה על הגדרות תקינות לחלוטין. בהמשך נראה איך התוקפים בונים את הזהות, מה קורה אחרי שהעובד עונה לשיחה, ולמה שני הקמפיינים שנותחו הסתיימו במקומות שונים כל כך.

אז איך זר בכלל מגיע לצ'אט שלכם?

טימס מאפשר לארגונים לדבר עם ארגונים אחרים שמשתמשים ב-Microsoft 365 בלי שאף צד יצטרך להזמין את השני כאורח. למנגנון הזה קוראים external access, וההגדרה שלו היא הלב של הסיפור. לפי התיעוד של מיקרוסופט, ברירת המחדל בטימס היא Allow all external domains, כלומר כל דומיין חיצוני מורשה. מנהל מערכת יכול לצמצם את זה לרשימת דומיינים מאושרת בלבד, לחסום דומיינים ספציפיים או לחסום הכול, אבל אם אף אחד לא נגע בהגדרה, כל טננט חדש בעולם יכול לפתוח צ'אט מול העובדים שלכם.

וזה בדיוק מה שהתוקפים עשו. הם רשמו לעצמם טננטים על onmicrosoft.com, הדומיין שמיקרוסופט מנפיקה אוטומטית לכל טננט חדש של Microsoft 365, ובחרו לתת-הדומיין שמות שנשמעים כמו תשתית ארגונית פנימית. Unit 42 מזהים דפוס חוזר בבחירת השמות: מילות המפתח internal, certified, network ו-infrastructure מופיעות שוב ושוב. ithelp@InternalSystemsDaily, HelpDesk@ITProtectionDepartment, itadmin@MandatoryNetworkMonitoring, ithelpdesk@CertifiedUpdateNetwork. בחלק מהמקרים התוקפים ויתרו על שם התפקיד הגנרי ולקחו שמות פרטיים של אנשי מקצוע אמיתיים מהתעשייה, כדי שהטכנאי שבצד השני של הקו יישמע כמו אדם ולא כמו תיבת דואר. Unit 42 הצניעו את השמות בדוח, והדגישו שהחשבונות של אותם אנשים לא נפרצו.

הפנייה: צ'אט קצר, ומיד שיחה

הסימן שהחוקרים מצביעים עליו כמובהק ביותר הוא לא תוכן ההודעה אלא הקצב שלה, המעבר המהיר מבקשת צ'אט אחד על אחד לשיחת קול שאף אחד לא ביקש. משכי השיחות מספרים את שאר הסיפור. רוב השיחות נמשכות שניות בודדות או שהעובד פשוט לא עונה, כי התוקף עובר במהירות בין יעדים, ואילו השיחות שהצליחו נמשכות בדרך כלל בין עשר לחמש עשרה דקות. אחת התמונות בדוח מראה זהות תוקפת אחת שמחייגת לשישה יעדים שונים; כשאין מענה, התוקפים משאירים הודעה קולית ומנסים שוב מאוחר יותר.

למה קול ולא קישור? כי שיחה כמעט לא מנוטרת. Unit 42 מציינים ששיחות קול מתועדות ומוקלטות פחות ממיילים או מפעולות על קבצים, כך שהתוקף מקבל סביבה שקטה יחסית לעבוד בה, בלי שער מייל שסורק את מה שהוא אומר. כתובות ה-IP שמהן הגיעו החיבורים מגיעות ברובן משירותי VPN מסחריים.

זה שינוי לעומת מה שהיה בפלטפורמה קודם. פעילות טימס קודמת שיוחסה ל-Cloaked Ursa, הקבוצה שמוכרת יותר בשם APT29, התמקדה בגניבת פרטי אימות ובהנדסה חברתית בצ'אטים קבוצתיים, ונשענה על קישורים זדוניים ועל טננטים מזויפים שנראים לגיטימיים. כאן אין קישור שצריך ללחוץ עליו. יש בן אדם שמדבר.

קמפיין A: הכלי הלגיטימי שהעובד מפעיל בעצמו

אחרי שהאמון נוצר, שני הקמפיינים שנותחו נפרדים לדרכים שונות. בראשון התוקף לא מביא כלי משלו אלא משתמש במה שכבר מותקן: הוא מדריך את העובד להפעיל את Quick Assist, כלי השליטה מרחוק המובנה בווינדוס, או להוריד תוכנת RMM מסחרית לניהול תחנות מרחוק. ברגע שהכלי רץ, התוקף מבקש שליטה על המכונה, והעובד מאשר.

מה שקורה מיד אחר כך הוא סקר שטח קצר. Unit 42 ראו הרצה של whoami /groups ושל net group /dom, שתי פקודות שמראות לתוקף לאיזה קבוצות הרשאות המשתמש שייך ואיך נראה הדומיין סביבו. רק אחרי שהוא מוודא שהסביבה שווה את המאמץ הוא עובר להורדת המטען: שורת PowerShell שמושכת סוס טרויאני לגישה מרחוק (RAT) מהדומיין san-sid[.]com שבשליטתו. הקוד עורפל בעזרת מניפולציות על משתנים וחישובים אריתמטיים, לצד קוד מיותר שנועד להאט כלי ניתוח אוטומטיים עד כדי timeout.

מתחת לכל השכבה הזאת מסתתר משהו קטן מאוד. אחרי שהחוקרים הסירו את העירפול, מה שנשאר היה סקריפט בן תשע שורות בלבד. הוא מנטרל את AMSI, הממשק שדרכו ווינדוס נותן למנוע האנטי-וירוס להציץ בסקריפטים לפני שהם רצים, באמצעות הדגל amsiInitFailed, ואז מריץ סריקת בדיקה כדי לוודא שהנטרול אכן תפס. רק כשהתשובה חוזרת כמצופה הוא מצפין את נתוני המכונה ופונה לשרת כדי למשוך מטענים נוספים. לפי Unit 42, ההרצה נחסמה על ידי הגנות Cortex XDR.

קמפיין B: קישור שנושא את שם החברה שלכם

הקמפיין השני הרבה יותר מותאם אישית, וגם הרבה יותר מסוכן. במהלך השיחה התוקף מפנה את הקורבן לכתובת ענן שנבנתה במיוחד עבורו: דלי S3 ששמו מכיל את שם החברה ואת שם המשתמש, בתבנית שנראית כמו <שם_החברה>-org-filters-update-<שם_הקורבן>. הקובץ שיורד נושא את אותו שם. קשה להאשים עובד שלוחץ על קישור שמופיע בו שם החברה שלו ושמו הפרטי.

ההרצה פורשת שרשרת שלמה. הקובץ מעתיק את עצמו לתיקיית \Temp\ ויוצר משם עותקים בשמות כמו vhlp-*.exe ו-scnr-*.exe, כמנגנון שרידות על המכונה. אחר כך הוא מפעיל מופע חבוי של Microsoft Edge בלי חלון, כותב לדיסק תוסף דפדפן זדוני ומטעין אותו לתוך אותו מופע. בשלב הבא נכנס לתמונה Python שיושב תחת C:\ProgramData\IntegrityData, ומשם מתחילה התנועה הרוחבית: סריקת SMB על פורט 445 מול שרתים פנימיים, ואז תעבורת NTLM מול בקר הדומיין של הארגון.

השלב האחרון הוא הניסיון לקחת את הדומיין כולו. התוקף ניסה PetitPotam, טכניקה שכופה על בקר הדומיין להזדהות בחזרה מול מכונה בשליטת התוקף, כך שאפשר להעביר את ההזדהות הזאת הלאה ולקבל הרשאות ברמת הדומיין. לפי Unit 42, הניסיון נעצר על ידי צוות ה-Managed Detection and Response שלהם. שימו לב לפער בין שני המסלולים: אותו וקטור פתיחה בדיוק, שיחת קול בטימס, הוביל בקמפיין אחד להדבקה סטנדרטית ובשני לניסיון השתלטות על הדומיין.

מה מיקרוסופט ראתה מהצד שלה

עד כאן הטלמטריה של Unit 42, ספק אחד שמסתכל על הלקוחות שלו. התמונה לא מגיעה רק ממנו. מיקרוסופט פרסמה ב-18 באפריל 2026 ניתוח משלה של התחזות למוקד תמיכה בין טננטים, ובגרסה שלה השרשרת ארוכה יותר: הצפת תיבת המייל של הקורבן בהודעות לפני הפנייה בטימס, שכנוע להפעיל Quick Assist או AnyDesk או TeamViewer, ואז הטענת DLL זדוני דרך קבצי הרצה לגיטימיים של יצרני תוכנה מוכרים, תנועה רוחבית ב-WinRM לעבר בקרי הדומיין, והוצאת מידע החוצה באמצעות Rclone לאחסון ענן.

המשפט שמיקרוסופט בחרה להדגיש הוא בעצם ההגדרה של הבעיה. "הסיכון לא נוצר מעצם ההתכתבות החיצונית, אלא כשמשתמש מאשר את פעולות ההמשך, כמו פתיחת סשן תמיכה מרחוק, שמעניקות גישה אינטראקטיבית למערכת", כתבו בחברה. במילים אחרות, ההודעה עצמה לא מסוכנת. מה שמסוכן זה מה שהעובד מסכים לעשות בעקבותיה.

Unit 42 מציבים את המבצע כחלק ממגמה רחבה יותר, שבה תוקפים יוצאים מהמייל ונכנסים לכלי העבודה השיתופיים. "הזהות היא היום הפרימטר המרכזי, והפלטפורמות שאנחנו מסתמכים עליהן לתקשורת יומיומית הופכות לנשק", כתבו החוקרים. ההערכה שלהם היא שהתוקפים ימשיכו להעמיק לתוך סביבות SaaS, כי הפלטפורמות האלה אינן רק דלת כניסה: יש בהן תיעוד פנימי, תהליכי עבודה ולוגים של שיחות, כלומר חומר שמאפשר לתוקף להתקדם בשרשרת בלי לצאת מהפלטפורמה בכלל. זו הערכה שלהם, לא ממצא.

מה זה אומר בפועל

השליטה כאן היא בעיקר בידי מנהלי המערכת, ובמקום אחד מאוד ספציפי. שווה להיכנס למרכז הניהול של טימס, תחת Users ואז External access, ולראות מה מוגדר; אם ההגדרה נשארה על Allow all external domains, כל טננט onmicrosoft.com בעולם יכול לפנות לעובדים שלכם, ומעבר לרשימת דומיינים מאושרת בלבד סוגר את הווקטור כמעט לגמרי. לצד זה, ארגונים שמפעילים AD CS צריכים לוודא שהם מיישמים את ההנחיות של מיקרוסופט ב-KB5005413, שמכוונות בדיוק לסוג ההעברה של NTLM שקמפיין B ניסה.

ולעובדים עצמם יש כלל אחד פשוט: מוקד התמיכה של הארגון שלכם לא יושב על טננט חיצוני. אם טימס הציג עליו את שאלת "לקבל או למחוק", ההגדרה כבר אמרה לכם שהפונה מגיע מבחוץ.