בין מאות הארכיונים שהועלו לשרת האיסוף של התוקפים היה אחד שלא התאים לשאר. הוא לא הכיל מסמכים של קורבן אקראי אלא את שולחן העבודה של מי שמפעיל את הקמפיין: קוד מקור של כלי אוטומציה לניהול המוני של אתרי וורדפרס פרוצים, פלט של סורק אתרים, וכמה קבצי טקסט שמונים יחד קרוב ל-2,000 דומיינים. ההשערה של החוקרים פשוטה. המפעיל הדביק את עצמו.

הארכיון הזה הוא הליבה של דוח שפרסמה Check Point Research ב-18 באוגוסט, מאת החוקר Jaromír Hořejší, על מבצע שהם קוראים לו StopAndProtect. השם הגיע במקור מרכיב הכופר, אבל החוקרים החילו אותו על כל המבצע מסיבה טובה: הכופר הוא רק אחת האפשרויות שהתוקף בוחר מתוכן, וחלק גדול מהקורבנות פשוט נשדדים בשקט בלי שאף קובץ יוצפן. בהמשך נראה איך ההדבקה מתחילה בדפדפן, איך אתר וורדפרס מוזנח נהפך לתשתית מלאה של התוקף, ומה הטעות שאפשרה לספור את הקורבנות.

הפריצה מתחילה בשורה שאתם מדביקים בעצמכם

גולש מגיע לאתר וורדפרס תמים לגמרי, אתר של עסק קטן שאיש לא חשד בו, ובמקום התוכן נפרש מעליו חלון שמבקש לאמת שאתם לא רובוט. ההוראה על המסך היא להעתיק שורה ולהריץ אותה על המחשב שלכם. השורה כבר מחכה בלוח ההעתקה, כי הדף העתיק אותה לשם בעצמו, ותוך כדי גם רשם ביומן את כתובת ה-IP שלכם. לטכניקה הזאת קוראים ClickFix, והיא עוקפת בבת אחת את כל שכבות ההגנה של הדפדפן, כי לא הדפדפן מריץ את הקוד אלא המשתמש.

מה שרץ בפועל הוא פקודת PowerShell שמופעלת בחלון מוסתר, עם עקיפה של מדיניות ההרצה, ומושכת סקריפט מהאתר הפרוץ עצמו. משם השרשרת ארוכה: סקריפט PowerShell ראשון ששולח דיווח הרצה לשרת ומוריד סקריפט שני, סקריפט שני שמפענח מ-Base64 רכיב .NET וטוען אותו ישירות לזיכרון, ומשם שני שלבי טעינה נוספים ב-.NET, שהשני בהם כולל בדיקות סביבת מחקר לפני שהוא ממשיך. רק בסוף השרשרת מגיע השלב שמכיל את הרכיבים שעושים את העבודה.

איך אתר אחד מוזנח נהפך לתשתית שלמה

האתרים הפרוצים לא משמשים רק כדף נחיתה. הם גם שרתי ההורדה של השלבים הבאים, גם שרתי הפיקוד שאליהם נשלחים הלוגים ומהם נמשכות הפקודות, וגם מחסן הקבצים שנגנבו. כלומר, אותה מכונה משרתת את כל שלושת התפקידים, וכל אחד מהם מסתתר בתוך תעבורה לאתר לגיטימי לחלוטין.

על האתר מותקן תוסף בשם verify, שמורכב משלושה קבצי PHP וקובץ טקסט אחד. verify.php הוא הקוד של הקאפצ'ה המזויפת עצמה, והוא גם זה שיוצר בהרצה הראשונה את store.php ואת proxy.php, שולח סטטיסטיקות ל-wreport.php בשרת הבסיס, ומחזיק ב-stored_url.txt את הכתובת שאליה הקורבן יופנה (או את המילה off, כשהמפעיל רוצה לכבות את הקאפצ'ה בלי לגעת בקוד). כדי להפעיל את התוסף מעלה התוקף קובץ נוסף בשם activator.php, שמבצע את ההפעלה ואז מוחק את עצמו.

הרכיב המעניין יותר הוא mu-uploader-installer.php. הוא מתקין תוסף מסוג must-use, כלומר תוסף שוורדפרס טוענת אוטומטית ואי אפשר לכבות אותו מממשק הניהול, בנתיב wp-content/mu-plugins/wp-sec.php. התוסף הזה רושם endpoint נסתר ב-REST API בכתובת wp-sec/v1/upload, מאמת מולו בעזרת פרטי אימות שמוטמעים בקוד, ומאפשר למי שמחזיק אותם להעלות קבצים כמעט לכל נתיב מתחת לשורש ההתקנה. הוא מתיר במפורש העלאת קבצי php, וזאת בדיוק הרצת קוד מרחוק על השרת. מיד אחרי ההתקנה המתקין מנטרל ומוחק את עצמו, כך שמה שנשאר לבדיקה הוא רק קובץ אחד בתיקייה שרוב מנהלי האתרים לא פותחים.

החוקרים שחזרו גם את ציר הזמן על אתר אחד שנפרץ. שני כלי ניהול קבצים, wp-uploading.php ו-wp-delete.php, הועלו ב-24 באפריל 2026. ב-2 במאי נערך wp-config.php והשורה שמפעילה את מנגנון הקאש הוסרה ממנו, מהלך שנועד לוודא שהתוכן המוזרק באמת מוגש לגולשים ולא נתקע בגרסה שמורה. תיקיית התוסף verify נוצרה ב-6 במאי, ותיקיית mu-plugins ב-17 במאי. לצדם יושבים על השרת שני web shells, קובץ בודד בשם wp-cssv.php שמאפשר העלאה ומחיקה, ו-wp-verifyup.php שמשמש לעיון בקבצים ולמשיכה משרתים חלופיים.

למה דווקא וורדפרס? החוקרים סרקו אתר פרוץ אחד מתוך סקרנות, ומצאו שהוא מריץ גרסה משנת 2021, כמעט חמש שנים אחורה. הסריקה החזירה כמעט 40 ממצאים, בהם חולשות SQL Injection (הזרקה של פקודות מסד נתונים דרך שדה קלט שלא סונן כראוי), הפניות פתוחות, עקיפת אימות ואפשרות להעלאת קבצים שרירותיים למשתמש מאומת. אתר כזה אינו יעד. הוא נכס.

מה יורד למחשב בסוף השרשרת

עד כאן הצד של השרת. הצד של הקורבן מגוון יותר, כי השלב האחרון הוא ארגז כלים ולא נוזקה אחת. רכיב הכופר, SilentEncryptor, מוריד משרת הבסיס קובץ פקודה שקובע אם להצפין את כל המכונות הנגועות או רק מכונות ששמן מופיע ברשימה, ומכיל גם את נוסח הודעת הכופר. מנגנון גזירת המפתח שלו מבוסס על סיסמה נפרדת לכל קובץ ועל שם המכונה, ושני אלה מוטמעים בשם הקובץ המוצפן אחרי השינוי, כך שפענוח אפשרי. רכיב LockScreen חוסם את הקלט ומציג את הודעת הכופר עם קוד QR לתשלום.

להתפשטות ברשת יש שני רכיבים: NetworkShareScanner, שמתנהג כתולעת SMB ו-USB וסורק שיתופי רשת והתקנים נשלפים, וסקריפט VBS שמעתיק את עצמו למדיה נשלפת ומבצע תנועה רוחבית דרך יצירת תהליכים מרחוק ב-WMI. רכיב הגניבה מייצר רשימות קבצים, מחלץ פרטי אימות, ומעלה את השלל כארכיונים מוצפנים ב-AES-CBC עם מפתח שמוטמע בשלב השלישי. בגרסאות החדשות יותר נוספו לו keylogger שמזהה כתובות דואר תקינות, חילוץ אנשי קשר מווטסאפ, ולכידת צילומי מסך כל 30 שניות כל עוד הקורבן פעיל מול המחשב.

החילוץ מווטסאפ הוא המקום שבו רואים יד אנושית. המפעיל מזין מילת חיפוש, הנוזקה ממתינה שהקורבן יפסיק לעבוד, ואז מקלידה את המילה בתיבת החיפוש של ווטסאפ ומצלמת את התוצאה. באחד הקבצים שנאספו הופיע צילום מסך של כרטיס איש קשר, כולל מספר הטלפון, אחרי חיפוש של שם פרטי מסוים. "זו ככל הנראה פעילות ידנית מול המקלדת", כתבו החוקרים. יש גם רכיב צ'אט ייעודי שמאפשר לתוקף לנהל שיחה מול הקורבן ולשלוח תמונות.

הטעות שפתחה את הדלת לחוקרים

כל מה שלמעלה נודע מפני שהתוקפים השאירו תיקיות פתוחות לעיון. מתוכן הגיעו קבצי הלוג, הארכיונים הגנובים, ומאמצע מאי ועד סוף יולי 2026 גם כ-31,000 צילומי מסך של קורבנות ויותר מ-700 ארכיונים שנגנבו מהם. באותו מקום ישב הארכיון שנפתח בו הטקסט הזה, זה עם שולחן העבודה של המפעיל.

התוכן שלו מספר סיפור בפני עצמו. fMain.frm הוא כלי אוטומציה מותאם אישית לניהול המוני של האתרים הפרוצים, כתוב ב-Visual Basic 6. "די מפתיע לראות מישהו שעדיין משתמש ב-Visual Basic 6, כלי מיושן שיצא לפני כמעט 30 שנה", כתבו החוקרים. לצדו רשימות דומיינים עם חותמות זמן מ-26 בפברואר 2026, ולוגים מאותו יום שמתעדים כניסות מוצלחות לממשקי הניהול של אתרים, כלומר המבצע פעל כבר חודשים לפני שמישהו שם לב אליו. גם שמות הנתיבים הפנימיים בארכיון שרדו, והם קוראים לפרויקטים בשמות a_new_hack, 0a_botnet ו-fake-capcha.

כמה גדול זה באמת

כאן כדאי להיזהר עם המספרים. הדוח סופר, נכון ל-24 ביולי 2026, יותר מ-6,000 כתובות IP ייחודיות בלוגים, כשבראש הרשימה ארצות הברית עם 1,852, ואחריה רוסיה והודו עם 630 כל אחת. בשרת בסיס אחד שאליו הגיעו החוקרים הופיעו כ-600 כתובות ייחודיות שנרשמו בלוג של הקאפצ'ה המזויפת, מהן 111 בארצות הברית, 110 בהודו ו-29 באוקראינה. כתובת IP אינה מחשב, ואת ההסתייגות הזאת מבטאת גם Check Point עצמה: הפוסט הארגוני שליווה את הדוח מדבר על יותר מ-5,000 מחשבים נגועים, מספר נמוך מספירת ה-IP. מה שכן ברור הוא היקף התשתית: קרוב ל-2,000 דומיינים ברשימות של התוקף עצמו.

התמונה הכוללת מוכרת מקמפיינים אחרים של השנה האחרונה, ובכל זאת יש בה משהו חדש. אין כאן שרתים ששכרו בהוסטינג עמיד, אין דומיינים שנרשמו לצורך המבצע, ואין תשתית שאפשר להפיל בהודעה לספק אחד. יש אלפי אתרים לגיטימיים של עסקים אמיתיים, שכל אחד מהם מוגש מכתובת עם מוניטין תקין ותעודה תקפה, ושהורדת אחד מהם לא משנה דבר. זה מודל שקשה מאוד לשבש מהצד של המגן.

מה זה אומר בפועל

אם אתם מתחזקים אתר וורדפרס, במיוחד כזה שאף אחד לא נגע בו זה שנה, שווה להיכנס לתיקיית wp-content/mu-plugins ולבדוק מה יושב שם. התוסף שהחוקרים מצאו נקרא wp-sec.php, אבל השם פחות חשוב מהעיקרון: כל קובץ בתיקייה הזאת נטען אוטומטית ואינו מופיע ברשימת התוספים הרגילה, ולכן היא מקום נוח להסתתר בו. באותה הזדמנות כדאי לעבור על תאריכי השינוי של קבצי PHP בתיקיות התוספים, ולוודא שהצגת תוכן התיקיות בשרת חסומה.

ולמשתמשים, הכלל פשוט מספיק כדי להעביר הלאה: שום אתר, שום בדיקת אבטחה ושום קאפצ'ה לא יבקשו מכם להעתיק שורת פקודה ולהדביק אותה בחלון הרצה או ב-PowerShell. בקשה כזאת היא בעצמה ההתקפה.