משרד המשפטים של ארה"ב וה-FBI החרימו 7 דומיינים של כלי פריצה של 'אינטגריטי טק', קבלנית של ממשלת סין… אומתו כ-20 אוניברסיטאות בטאיוואן כקורבנות

משרד המשפטים של ארה"ב וה-FBI ניתקו את נתיבי הגישה לשני כלי פריצה שהופעלו על ידי 'אינטגריטי טכנולוג'י גרופ' (Integrity Technology Group, להלן אינטגריטי טק), חברה שבסיסה בסין והתקשרה בחוזים עם ממשלת סין. מספר דומייני האינטרנט שהוחרמו עומד על 7. באותו יום פרסמו הסוכנות לביטחון לאומי (NSA), ה-FBI, הסוכנות לאבטחת סייבר ותשתיות (CISA) וסוכנויות של מדינות בעלות ברית אזהרת אבטחת סייבר משותפת (CSA) המפרטת את שיטות הפעולה של ההאקרים הקשורים לחברה זו.

צעד זה אינו מהווה הודעה על הגשת כתבי אישום נגד אנשים פרטיים. הבסיס להחרמת הדומיינים הוא מסמכי בית משפט שנחשפו בבית המשפט המחוזי הפדרלי של המחוז המערבי של פנסילבניה, ומשרד המשפטים הציג את תוכן המסמכים הללו כ'טענות לכאורה' (as alleged) ולא כעובדות מוכחות. משרד המשפטים הצהיר בהודעה לעיתונות מ-8 באוקטובר 2026 לפי שעון מזרח ארה"ב (9 באוקטובר לפי שעון קוריאה) כי "באמצעות תפיסה שאושרה על ידי בית המשפט, נמנעה משחקני סייבר זדוניים גישה לשני כלי פריצה המכונים 'Microscan' ו-'FishHub'". משרד המשפטים הסביר כי כלים אלה "שימשו לסריקה, ובמקרים מסוימים לפריצה, של מערכות תשתיות קריטיות בארה"ב ומחוצה לה". משרד המשפטים ציין כי אינטגריטי טק "התקשרה בחוזים עם ממשלת הרפובליקה העממית של סין".

חטיבת הסייבר של ה-FBI הצהירה בחשבון ה-X הרשמי שלה כי "ה-FBI ומשרד המשפטים נטרלו כלי פריצה ששימשו את קבוצת איומי הסייבר 'Flax Typhoon'", וכי הם "החרימו מספר דומיינים וחסמו את הגישה לפלטפורמה ששימשה לסריקה ובמקרים מסוימים לחדירה לתשתיות קריטיות בארה"ב".

https://x.com/FBICyberDiv/status/2108256413084422599

מה משתנה

חשיבותו של צעד זה נובעת מכך שממשלת ארה"ב עוקבת אחר פריצות סייבר סיניות לא רק ברמת 'האקרים מדינתיים', אלא גם ברמת חברות פרטיות שהתקשרו בחוזים עם הממשלה, ומנתקת את הציוד שלהן. התקדים לכך נקבע בספטמבר 2024. משרד המשפטים הודיע אז כי נטרל באישור בית המשפט בוטנט של הנוזקה מיראי (Mirai) שהופעל על ידי אינטגריטי טק. משרד המשפטים ציין כי הבוטנט הורכב מ-"יותר מ-200,000 מכשירי צריכה בארה"ב וברחבי העולם". תפיסה זו היא "הנטרול הטכנולוגי הפומבי השני" של תשתית הפריצה של אינטגריטי טק שעליו הודיע משרד המשפטים.

מה עשו שני הכלים

על פי מסמכי בית המשפט שפרסם משרד המשפטים, אינטגריטי טק יצרה והפעילה בוטנט באמצעות מכשירי האינטרנט של הדברים (IoT) שהודבקו בגרסה של מיראי.

• מיקרוסקאן (Microscan): כלי סיור וסריקת פגיעויות שפותח על ידי אינטגריטי טק. משרד המשפטים ציין כי 'לקוחות' החברה השתמשו בו כדי לאתר פגיעויות לניצול עתידי. יעדי הסריקה שפרסם משרד המשפטים כללו חברת חשמל אמריקאית בדרום קרוליינה, ארגון לא-ממשלתי (NGO) רב-לאומי, נמלי תעופה ביפן ובפולין, חברות תשתית בתחומי הגז הטבעי והחשמל בטאיוואן, ושתי אוניברסיטאות בטאיוואן. אינטגריטי טק ניגשה ל-Microscan באמצעות c0cc[.]cc, אחד הדומיינים שהוחרמו.
• פישהאב (FishHub): כלי פישינג ממוקד (spear phishing). לפי משרד המשפטים, לאחר החדירה הראשונית גרם הכלי להורדת נוזקה נוספת, אשר פתחה גישה מרחוק בלתי מורשית או איתרה קבצים ספציפיים ושלחה אותם לשרת בשליטת אינטגריטי טק. הקורבנות המאומתים שעליהם דיווח משרד המשפטים כללו "כ-20 אוניברסיטאות בטאיוואן". חמישה מהדומיינים שהוחרמו (98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net) שימשו להפצת נוזקה זו.

בהודעה לעיתונות של פרקליטות המחוז המערבי של פנסילבניה צוין כי הדומיין הנותר (1) היה מקושר לתוכנת ניהול מרחוק בלתי מורשית שחיברה בין רשתות הקורבנות לשרתי אינטגריטי טק.

שלוחת ה-FBI בסן דייגו הודיעה בחשבון ה-X שלה כי היא זו שהובילה את החקירה.

https://x.com/FBISanDiego/status/2108252514365653376

אזהרת ה-NSA: "מגוון רחב של מגזרים שנפגעו"

ה-NSA ציינה בהודעה לעיתונות באותו יום כי כותרת האזהרה המשותפת הייתה "שחקני איומי סייבר הקשורים לממשלת סין משלבים כלי פריצה אוטומטיים וידניים לגניבת נתונים רגישים". ה-NSA ציטטה מתוך האזהרה והסבירה כי אינטגריטי טק "אפשרה לשחקני איומים הקשורים לממשלת סין לנצל רשתות של ארגונים אמריקאיים וזרים במספר מגזרים, בהם שירותים ומתקנים ממשלתיים, ייצור קריטי, שירותי בריאות ובריאות הציבור וטכנולוגיית מידע". היעדים כללו גם סוכנויות אכיפת חוק, מוסדות חינוך וארגוני דת בארה"ב, וכן ארגונים בדרום-מזרח אסיה, באפריקה ובצפון אמריקה, כך לפי ה-NSA.

החשבון הרשמי של NSA Cyber פרסם אף הוא כי "אינטגריטי טק אפשרה לשחקני איומים הקשורים לממשלת סין לנצל רשתות של ארגונים ברחבי העולם ולגנוב נתונים קריטיים". גם CISA הודיעה בחשבון ה-X שלה כי פרסמה את האזהרה במשותף עם ה-FBI.

https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869

באשר לכינויים, ה-NSA ציינה כי חלק משיטות אלו תואמות לשיטות המכונות בתעשייה 'Flax Typhoon', 'Storm 919', 'Ethereal Panda' ו-'Red Juliet'. שמות אלה הוענקו על ידי תעשיית האבטחה הפרטית, וממשלת ארה"ב הגבירה את ההגדרה ל-"חלקן" (some).

דברי הבכירים

ג'ון אייזנברג, המשנה לתובע הכללי לביטחון לאומי במשרד המשפטים, אמר: "ארה"ב לא תאפשר לסין או לשלוחיה לפעול במרחב הקיברנטי נגד האינטרסים של ארה"ב ללא עונש". האגף לביטחון לאומי במשרד המשפטים פרסם אף הוא הצהרה זו בחשבון ה-X הרשמי שלו.

טרוי ריבטי (Troy Rivetti), תובע המחוז המערבי של פנסילבניה, אמר כי "תפיסה זו היא הפעם השנייה בתוך שנתיים שבה מנוטרל מבצע רחב היקף של אינטגריטי טק". ברט לת'רמן (Brett Leatherman), סגן מנהל חטיבת הסייבר של ה-FBI, אמר: "סין מסתמכת על קבלנים וחברות תמיכה כדי להרחיב את ההיקף והממדים של פעילות הסייבר הזדונית שלה", והוסיף כי "על ידי חשיפה ונטרול של גורמים מסייעים אלה, אנו מקשים על סין לפגוע ברשתות ובתשתיות של ארה"ב".

רצף המתקפה כפי שנחשף באזהרה המשותפת AA26-281A

מספר הזיהוי הרשמי של אזהרת אבטחת הסייבר המשותפת שפורסמה באותו יום הוא AA26-281A. הסוכנויות המחברות הן ה-FBI, ה-CISA וה-NSA, יחד עם שותפות בינלאומיות: המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC-UK), מרכז אבטחת הסייבר האוסטרלי של מנהלת האותות האוסטרלית (ASD ACSC), המרכז הקנדי לאבטחת סייבר, סוכנות המשטרה הלאומית ומשרד אבטחת הסייבר הלאומי של יפן, המרכז הלאומי לאבטחת סייבר של ניו זילנד ומרכז המודיעין הלאומי של ספרד (CNI). האזהרה מציינת כי נקודת המוצא של הניתוח היא ראיות טכניות שהושגו ונצפו על ידי ה-FBI במספר חקירות הקשורות לאינטגריטי טק. אם החרמת הדומיינים על ידי משרד המשפטים היא צעד בצד הפלילי והמשפטי, הרי שאזהרה זו מהווה מסמך טכני המפיץ למגנים אינדיקטורים לחדירה (IoC) ושיטות פעולה שעלו מאותה חקירה.

שלב הסיור המפורט באזהרה ספציפי יותר מזה שהופיע בהודעה לעיתונות של משרד המשפטים. צוין כי התוקפים השתמשו בכלי סריקה פומביים כגון BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe ו-wpscan כדי לאתר פגיעויות ברשתות וביישומי אינטרנט. הפורטים העיקריים שנבדקו היו 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 443 (HTTPS) ו-1080 (SOCKS). באשר ל-Microscan, האזהרה מציינת כי הכלי היה בשימוש החל מסביבות 2017, ובתוך אפליקציית רשת מבוססת Python נכללו יותר מ-1,300 סקריפטים לבדיקות חדירה שנועדו לאתר פגיעויות ספציפיות. השירותים שהיוו יעד לסקריפטים כללו את OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins ו-Apache Struts.

שלבי החדירה הראשונית ושיטות ההתבססות מפורטים אף הם שלב אחר שלב. האזהרה ציינה כי ה-FBI תפס מטענים ייעודיים (payloads) שבאמצעותם ביצעו התוקפים מתקפות Cross-Site Scripting (XSS) תוך שימוש ב-JavaScript וב-HTML כדי להציג שדות להזנת שמות משתמש וסיסמאות לצורך גניבת פרטי התחברות. כלי נוסף, EBurst, ביצע התקפות password spraying וניחוש סיסמאות נגד שרתי Microsoft Exchange, והשתמש בעשרה ממשקים כנתיבי תקיפה, כולל Exchange Control Panel (ECP), Exchange Web Services (EWS), פנקס כתובות לא מקוון (OAB) ו-Outlook Web Access (OWA). לאחר החדירה, לפי ניתוח האזהרה, הם הורידו למכשיר הקורבן קובץ התקנה של SoftEther, תוכנת VPN לגיטימית, הגדירו אותה להתחבר מחדש אוטומטית בהפעלה, ושינו את שם הקובץ לשמות של קובצי הפעלה נפוצים ב-Windows כגון conhost.exe או dllhost.exe כדי לנסות לחמוק מגילוי.

בשלב איסוף הנתונים, האזהרה מסבירה כי קובץ בשם DC.exe ביצע את טכניקת שכפול ה-Active Directory (AD) בשם DCSync כדי להעתיק פרטי התחברות לחשבונות, הרכבי קבוצות ומידע על יחסי אמון. סקריפט ה-PHP בשם Curlc4.txt התחבר ל-API של Microsoft EWS כדי לשלוף תכנים כגון דואר אלקטרוני, לוחות שנה ואנשי קשר, ולאחר דחיסתם או הצפנתם ב-RC4 או AES-128-CBC, העלה אותם לשרת מרוחק. כלי שורת פקודה בשם office-cli שימש לגישה חוזרת ונשנית לחשבונות Outlook365 ולשליפת דואר אלקטרוני לפי טווחי זמן. האזהרה מציינת עוד כי מקרים מאומתים של גניבת נתוני דואר אלקטרוני כללו ארגונים ממשלתיים, סוכנויות אכיפת חוק, מערכות בריאות ומוסדות דת בדרום-מזרח אסיה, ובחלק מהמקרים הגישה לנתונים שנגנבו הוגבלה לכתובת IP שהגיעה מש'יאמן, סין, בלבד. פירוט טכני זה משלים את הסבר משרד המשפטים לגבי 'FishHub', אך אין להרחיב ולהשליך את היקף הקורבנות המאומת של כ-20 אוניברסיטאות בטאיוואן על כלל המקרים המוזכרים באזהרה.

סעיפים המומלצים לבדיקה מיידית על ידי מגני רשתות

הנחיות ההגנה של האזהרה אינן מסתכמות בקריאה כללית לתשומת לב. הסוכנויות המחברות ממליצות להשבית שירותים ופורטים שאינם בשימוש, ולמזער את המידע שדפי התחברות ובאנרים חושפים לבקשות חיצוניות. כמו כן צוינו סעיפים למניעת הזרקת מטעני XSS באמצעות אימות קלט ביישומי אינטרנט, והחלת אימות רב-שלבי (MFA) על כל השירותים, תוך התמקדות בחשבונות דואר רשת, VPN וגישה למערכות קריטיות. לצד זאת נכללו הנחיות להחלפת סיסמאות ברירת מחדל בסיסמאות חזקות, הגבלת חשבונות בעלי הרשאות מנהל וביצוע ביקורת עליהם תוך יישום עקרון ההרשאה המינימלית, והפעלת בדיקות מוניטין של הורדות ודומיינים בדפדפן וכן DNS מאובטח.

בסעיף התיקונים (פאצ'ים), הוצגה טבלה ובה שמונה פגיעויות שאומתו כמקרים שבהם בוצע ניצול מוצלח בפועל: CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 ו-CVE-2023-22894. האזהרה מציינת כי חלקן הן פריטים שנוספו לאחרונה לרשימת 'פגיעויות מנוצלות ידועות' (KEV) של CISA. בתחום הזיהוי, הומלץ לנטר סימנים לשימוש בלתי מורשה בטכניקות 'living-off-the-land' המנצלות כלי מערכת לגיטימיים, שכפולי AD בלתי צפויים, תעבורת סריקה והעלאה חריגה, התחברויות מחוץ לשעות העבודה וחיבורים בו-זמניים בלתי אפשריים מבחינה פיזית. בתוכנית ההתאוששות נכללו סעיפים של שמירת עותקים מרובים של נתונים רגישים ועותקי שרתים במקומות מופרדים פיזית ומאובטחים, והגנה בסיסמה על עותקי גיבוי לא מקוונים.

באזהרה מפורט גם סדר הפעולות במקרה של חשד לחדירה: בידוד או ניתוק מהרשת של המארח (host) שאומת כנגוע; איסוף יומנים (logs) וממצאים (artifacts) כדי לזהות את שיטות התוקף, היקף ההדבקה ולוח הזמנים של הפעילות; דיווח בהתאם להנחיות הלאומיות בכל מדינה; והחלת אמצעי סילוק לחיזוק הרשת. כערוצי דיווח עבור ארגונים בארה"ב צוינו מרכז התלונות על פשעי אינטרנט של ה-FBI (IC3), שלוחת ה-FBI האזורית ומרכז המבצעים הפועל 24 שעות ביממה של CISA (בכתובת contact@cisa.dhs.gov או בטלפון 1-844-Say-CISA). כתובת הפניות להנחיות אבטחת סייבר של ה-NSA היא CybersecurityReports@nsa.gov. מוסדות קוריאניים אינם רשומים כיעד לדיווח ישיר באזהרה זו.

ההבדלים בין נטרול הבוטנט ב-2024 לתפיסה הנוכחית

ב-18 בספטמבר 2024 הודיע משרד המשפטים כי במבצע שאושר על ידי בית המשפט נוטרל בוטנט של יותר מ-200,000 מכשירי צריכה בארה"ב וברחבי העולם. המכשירים הנגועים באותה עת היו נתבים של משרדים קטנים וביתיים (SOHO), מצלמות IP, מקליטי וידאו דיגיטליים (DVR) והתקני אחסון מחוברים לרשת (NAS). משרד המשפטים ציין כי אינטגריטי טק שלטה במכשירים הנגועים באמצעות אפליקציה מקוונת תחת המותג 'KRLab', ובתוכה סיפקה תפריט פקודות זדוניות באמצעות כלי בשם 'vulnerability-arsenal'. המבצע שאושר בבית המשפט פעל בשיטה של השתלטות על תשתית ההאקרים ולאחר מכן שליחת פקודת השבתה לנוזקה במכשירים הנגועים דרך אותה תשתית, ומשרד המשפטים ציין כי במהלך המבצע נעשה ניסיון שיבוש באמצעות מתקפת מניעת שירות מבוזרת (DDoS) שכוונה נגד תשתית השחזור של ה-FBI, אך הניסיון נכשל.

הצעד הנוכחי ב-2026 מהווה המשך לכך, אך מעבר לדמיון בשיטה מדובר במיקוד של היעד. בשנת 2024, המוקד היה שליחת פקודות למכשירי הצריכה הנגועים עצמם כדי לנתק את חיבור הבוטנט, וה-FBI ערך בדיקות מקדימות כדי להבטיח שהפקודה לא תפגע בתפקוד הרגיל של המכשירים ולא תאסוף מידע על תכנים, והצהיר כי יודיע לבעלי המכשירים בארה"ב באמצעות ספקיות שירותי האינטרנט. בשנת 2026, המיקוד הושם על החרמת שבעה נתיבי גישה לכלים: דומיין אחד לגישה ל-Microscan, חמישה דומיינים הקשורים ל-FishHub ודומיין אחד לחיבור ניהול מרחוק. משרד המשפטים ציין כי התובעים המנהלים את התביעה הם עוזר התובע הפדרלי ברנדן מק'קנה מפרקליטות המחוז המערבי של פנסילבניה ועורך הדין הפלילי ג'ק סינגר-אמרי ממחלקת הסייבר לביטחון לאומי באגף לביטחון לאומי של משרד המשפטים, וכי עוזר התובע תומאס סאליבן מפרקליטות מחוז מרילנד וסוכנות המשטרה הלאומית של יפן העניקו סיוע משמעותי. הסוכן המיוחד מארק רמילי משלוחת ה-FBI בסן דייגו פרסם אף הוא הצהרה שלפיה "נגייס את כל סמכויות החקירה יחד עם שותפינו לאכיפת החוק" — עמדה של מנהל השלוחה בשטח שנכללה בהודעות לעיתונות של הפרקליטות והמטה, בנפרד מדבריהם של התובע ריבטי וסגן המנהל לת'רמן שצוטטו בחלקו הקודם של הטקסט.

סין, טאיוואן וקוריאה

החומרים שפרסמו משרד המשפטים וה-NSA אינם כוללים תגובה מצד ממשלת סין או מצד אינטגריטי טק. החומרים שפורסמו על ידי שתי הסוכנויות אינם כוללים את עמדת הצד השני. מוסדות קוריאניים אינם נכללים ברשימת היעדים והקורבנות שפרסם משרד המשפטים. עם זאת, סוכנות המשטרה הלאומית של יפן צוינה בהודעה לעיתונות של משרד המשפטים כגורם שהעניק "סיוע משמעותי" לחקירה, ונמלי תעופה ביפן נכללו בין יעדי הסריקה.

השלבים הבאים

משרד המשפטים פרסם תצהיר (affidavit) של ה-FBI וצו תפיסה. החקירה מנוהלת על ידי שלוחות ה-FBI בסן דייגו ובבולטימור וחטיבת הסייבר של ה-FBI, והתביעה מנוהלת על ידי פרקליטות המחוז המערבי של פנסילבניה ומחלקת הסייבר לביטחון לאומי באגף לביטחון לאומי של משרד המשפטים. משרד המשפטים לא הודיע על כתבי אישום אישיים בהודעה זו. מנהלי רשתות יכולים לבצע בדיקה עצמית על ידי השוואת אינדיקטורי החדירה (IoC) המופיעים באזהרה המשותפת.

מקורות

• הודעה לעיתונות של משרד יחסי הציבור במשרד המשפטים של ארה"ב, 8 באוקטובר 2026: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
• הודעה לעיתונות של משרד המשפטים של ארה"ב, פרקליטות המחוז המערבי של פנסילבניה, 8 באוקטובר 2026: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
• הודעה לעיתונות של הסוכנות לביטחון לאומי של ארה"ב (NSA), 8 באוקטובר 2026: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
• אזהרת אבטחת סייבר משותפת AA26-281A מאת CISA, FBI, NSA ואחרים, 8 באוקטובר 2026: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
• הודעה לעיתונות של משרד יחסי הציבור במשרד המשפטים של ארה"ב, 18 בספטמבר 2024 (נטרול הבוטנט של אינטגריטי טק): https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
• כל פוסטי ה-X המצוטטים בגוף הידיעה הם פרסומים מחשבונות רשמיים של סוכנויות ממשלתיות.