חברת האבטחה קספרסקי פרסמה היום דוח שמפרק שלושה כלים חדשים של קבוצת ריגול איראנית ותיקה. את הקבוצה קספרסקי מכנה Mirage Kitten, אבל בתעשייה מכירים אותה יותר בשמות UNC1549 ו-Nimbus Manticore, ולפי חברת מנדיאנט זו אותה קבוצה שכבר תקפה בעבר חברות תעופה וביטחון בישראל. החוקרים עומר אמין וואסילי ברדניקוב מתארים שדרוג במשחק. לא עוד רק דלת אחורית שמושכת קבצים החוצה, אלא תשתית שמכניסה את התוקף פנימה: המחשב הנגוע הופך למעין תחנת ממסר, והכלים של התוקף רצים דרכו כאילו הם יושבים בתוך הרשת הארגונית עצמה.

בהמשך נראה איך הקבוצה משיגה דריסת רגל ראשונה, מה הדלת האחורית שנקראת NightLedger עושה ברגע שהיא בפנים, ולמה דווקא שני כלי המנהור החדשים הם הלב של הסיפור.

מי עומדת מאחורי הכלים

UNC1549 פעילה לפחות מאז יוני 2022, ורוב מה שאנחנו יודעים עליה מגיע מדוח של מנדיאנט מפברואר 2024. שם נקשרה הקבוצה לאיראן ותוארה כמי שתוקפת את תעשיות התעופה והביטחון במזרח התיכון, כולל ישראל ואיחוד האמירויות, ולפי ההערכה גם טורקיה, הודו ואלבניה. שיטת העבודה שלה מוכרת: פורטלי גיוס מזויפים שמחקים חברות ענק, מיילים עם פיתיון של הצעת עבודה, ולפעמים תוכן שקשור למלחמת ישראל-חמאס, שכולם מובילים להורדת נוזקה רב-שלבית. מנדיאנט קשרה אז את הקבוצה גם לכינויים Smoke Sandstorm ו-Crimson Sandstorm, שמזוהים עם משמרות המהפכה האיראניים.

הכלים שקספרסקי מתארת עכשיו הם הדור הבא של אותה תשתית. הדלתות האחוריות הישנות, MINIBIKE ו-MINIBUS, וכלי המנהור LIGHTRAIL שדיבר דרך שירותי הענן של Azure, מקבלים כעת יורשים מעודכנים. אותה קבוצה, אותה גישה, כלים חדשים.

פורטל הגיוס שפותח את הדלת

נקודת הכניסה כמעט לא השתנתה. הקבוצה שולחת פיתיון בנושא גיוס עובדים שמתחזה למותגים מוכרים, לצד עמודי וידאו-קונפרנס מזויפים שמפנים את הקורבן להורדת ארכיון נגוע משירות שיתוף קבצים חיצוני. הבחירה בפיתיון של הצעת עבודה אינה מקרית: היא מכוונת בדיוק לעובדים ומהנדסים במגזרי היעד, אנשים שמצפים לקבל פנייה עם קובץ מצורף מ"מגייס", וסביר יותר שיפתחו אותו. ברגע שהקורבן מריץ את הקובץ, נכנס לתמונה טריק ותיק אבל יעיל.

הנוזקה NightLedger לא רצה בעצמה. היא מתחזה לספרייה לגיטימית של Windows בשם SspiCli.dll, ומנצלת את הדרך שבה תוכניות מחפשות קבצי DLL: תוכנית חתומה ותקינה, במקרה הזה הרכיב AppVShNotify.exe של מיקרוסופט, טוענת ספרייה לפי שם, והתוקף דואג שהעותק הזדוני שלו יימצא בתיקייה שנסרקת ראשונה. התוצאה היא שקוד התוקף רץ בתוך תהליך חתום ואמין. לטכניקה הזאת קוראים DLL side-loading, והיא נשארת פופולרית כי היא עוקפת הגנות שסומכות על החתימה הדיגיטלית של התהליך שמריץ את הקוד.

מה הדלת האחורית אוספת

ברגע ש-NightLedger פעילה, היא פונה החוצה בתעבורה מוצפנת (HTTPS) אל שרת שליטה ובקרה (C2, השרת שדרכו התוקף שולח פקודות ומקבל מידע) בכתובת realhealthshop[.]com, עם שרת גיבוי בכתובת tjconsultingservices[.]com. שמות הדומיינים נבחרו כדי להיראות תמימים. את התשובות מהשרת הנוזקה מפרסרת לפי מפריד ייחודי, ‎#%%#‎, ואת עצמה היא מסמנת עם mutex קבוע כדי לא להריץ שני עותקים במקביל. הדלת האחורית תומכת ביותר מ-13 פקודות: מיפוי המשתמש והמחשב, הרצת תהליכים, רשימת התהליכים הפעילים, העלאה והורדה של קבצים, צילומי מסך, טעינת ספריות נוספות, סיום תהליכים, מיפוי הכוננים הלוגיים במחשב, ואיסוף נתוני אבחון של הרשת. זו רשימה שמכסה כמעט כל מה שדרוש כדי לסייר בארגון בשקט לפני הצעד הבא.

פקודה אחת בולטת מעל השאר: איסוף הקובץ C:\Windows\debug\NetSetup.log יחד עם רשימת התהליכים הפעילים. זה לוג שמתעד את חיבור המחשב לדומיין הארגוני, וממנו תוקף לומד לא מעט על מבנה ה-Active Directory של הקורבן. בדיוק המידע שצריך כדי לתכנן את הצעד הבא, תנועה רוחבית אל מחשבים נוספים ברשת. NightLedger חולקת דמיון עם דלת אחורית קודמת של הקבוצה בשם TWOSTROKE, וזה חלק ממה שעזר לקספרסקי לקשור את הכלי החדש לאותן ידיים.

הקורבן שהופך לתחנת ממסר

עד כאן זו דלת אחורית סטנדרטית. החלק המעניין הוא מה שבא אחריה. בדרך כלל, כשחושבים על נוזקה, חושבים על מידע שזורם החוצה מהקורבן אל התוקף. כאן הכיוון מתהפך. השרת של התוקף הוא זה שיוזם את החיבורים, והמחשב הנגוע רק מעביר תעבורה בין השרת לבין יעדים שהשרת מגדיר. בפועל, הכלים של התוקף רצים על השרת שלו, אבל כל התעבורה שלהם יוצאת דרך המחשב של הקורבן, כאילו מקורה ברשת הפנימית של הארגון. למנגנון הזה קוראים מנהור (tunneling), והוא מה שהופך את הקורבן לנקודת גישה חוקית-לכאורה אל תוך הרשת הארגונית.

הכלי הראשון שעושה את זה נקרא BridgeHead, ומגיע כספרייה בשם unbcl.dll או libwinpthread-1.dll. לפני שהוא פועל הוא בודק שחלק משם המשתמש תואם ליעד מסוים, סימן שכל עותק מותאם מראש לקורבן ספציפי. הוא פותח חיבור WebSocket מוצפן אל דומיין שמתארח על Azure בשם smartconnect[.]azurewebsites[.]net, אותה הסתמכות על ענן לגיטימי שאפיינה כבר את LIGHTRAIL הישן. בתוך החיבור הזה הוא מממש שרת פרוקסי מסוג SOCKS5 מלא, ואפילו יודע לעבור אימות מול שרתי פרוקסי ארגוניים (בקשת HTTP 407, עם העדפה למנגנוני Negotiate ו-NTLM). כלומר הוא תוכנן לעבוד גם בתוך רשתות שמסננות ומאמתות תעבורה יוצאת. התקשורת בנויה משבעה סוגי הודעות, בהם פתיחת חיבור, העברת נתונים, ניתוק ובקרת עומס.

כלי שני, ArcBridge, נצפה כבר באפריל 2026 ועובד על אותו עיקרון: חיבור WebSocket משלו אל aecert[.]org בפורט 443, mutex ומזהה מוטמע לכל עותק, ותמיכה בפקודות פתיחת חיבור ו-DNS. שני הכלים משתמשים ב-WebSocket מעל פורט 443 מסיבה פשוטה: התעבורה נראית כמו גלישה מוצפנת רגילה, וקשה להבחין בה בין שאר התעבורה של הארגון.

למה דווקא מנהור?

התשובה קשורה לאופן שבו מגלים ריגול. הגנות רשת רבות מחפשות תעבורה חשודה שיוצאת אל שרתים לא מוכרים. אבל אם התוקף לא מפעיל C2 גלוי, אלא נכנס דרך המחשב של הקורבן ומריץ את הכלים שלו כאילו הם חלק מהרשת, הרבה מהאיתותים האלה פשוט נעלמים. השימוש בדומיינים של Azure ובחיבורי WebSocket תמימים-למראה משלים את התמונה. כפי שמתארים החוקרים את המנגנון, כל תעבורת ה-TCP מנותבת דרך המחשב של הקורבן "כאילו מקורה ברשת של הקורבן".

הקורבנות בגל הזה יושבים במצרים, בירדן, בטנזניה, בפקיסטן, באתיופיה ובבורקינה פאסו, במגזרים של ממשל, תעופה, תקשורת ופיננסים. ישראל לא מופיעה ברשימה הפעם. אבל מדובר באותה קבוצה שכבר תקפה כאן, עם אותה העדפה למגזרי תעופה, ביטחון ותקשורת, ועם ארסנל שממשיך להתבגר משנה לשנה. השמות של הכלים משתנים, ההיגיון נשאר.

מה זה אומר בפועל

הכלים האלה מכוונים לארגונים גדולים ולספקים שלהם, כי גישה דרך צד שלישי היא אחת הדרכים המוכרות של הקבוצה פנימה. צוותי אבטחה במגזרי תעופה, ביטחון ותקשורת, וגם קבלני המשנה שלהם, כדאי שיחפשו שני דברים: טעינת DLL חשודה בתוך תהליכים חתומים ואמינים, וחיבורי WebSocket יוצאים אל azurewebsites.net או אל דומיינים לא מוכרים מעל פורט 443. שווה גם להתייחס לפיתיון בנושא גיוס עובדים לא כספאם כללי אלא כווקטור של מתקפה ממוקדת, ולהזכיר לעובדים שקובץ שמגיע מ"מגייס" בשירות שיתוף חיצוני הוא בדיוק מה שהקבוצה מנצלת. כתובות הדומיינים והספריות שקספרסקי פרסמה בדוח שלה יכולות לשמש כאינדיקטורים לחיפוש יזום ברשת. גם בלי קורבן ישראלי בגל הנוכחי, ההיסטוריה של הקבוצה הופכת אותה לשם ששווה להמשיך לעקוב אחריו.