ב- 26 באוגוסט 2026 תפסו משרד המשפטים האמריקאי וה- FBI, בצו בית משפט, שלושה דומיינים ששימשו שתי פלטפורמות תקיפה סיניות: QScan ו- QTRouter. הדומיינים היו צרובים בתוך הקוד הזדוני ושימשו לתקשורת ולאימות מול המפעילים. מרגע התפיסה שותקו שתי הפלטפורמות.
מה קרה שם
QScan היא מנוע סריקה בקנה מידה תעשייתי. היא רצה על שרתים שכורים מחוץ לסין, מחזיקה מאגר של יותר מ- 200 קודי ניצול כתובים בפייתון וסורקת את האינטרנט בחיפוש אחר מערכות פגיעות. לפי תצהיר סוכן ה- FBI, עיבדה הפלטפורמה ביממה אחת בשנת 2024 למעלה משני מיליון משימות סריקה וניצול. זו דוגמה ליום עבודה אחד, לא סיכום שנתי.
ההמחשה הטובה ביותר לקצב הזה הגיעה במאי 2024. ימים ספורים בלבד לאחר שפורסמה CVE-2024-24919 – חולשה בשערי Check Point Quantum, כבר ניצלה אותה הפלטפורמה בפועל. במקביל סרקה הקבוצה חברות חשמל ותקשורת אמריקאיות. התוצאה: נגנב מידע מלמעלה מ- 300 ארגונים בארצות הברית ומחוצה לה, בהם קבלני ביטחון, מוסדות פיננסיים ואוניברסיטאות.
QTRouter הוא הצד השני של אותו מטבע: רשת הסוואה המורכבת ממכשירי IoT שנפרצו, משירותי פרוקסי מסחריים ומשרתים וירטואליים שכורים. חלק מהנתבים ברשת מריצים גרסת OpenWrt מותאמת ומשתמשים בכלי הפרוקסי Clash כדי לנתב דרכם את תעבורת התוקף. המטרה אחת: להסתיר את מקור התקיפה הסיני, כך שהתעבורה תיראה כאילו הגיעה ממכשיר לגיטימי כלשהו ברשת.
מאחורי שתי הפלטפורמות עומדת קבוצה בשם QTFY, המועסקת על ידי חברה סינית בשם Nanjing Xinjiuwei Network Technology. לקוחותיה המשלמים, לפי מסמכי בית המשפט, הם משרד ביטחון המדינה הסיני וצבא השחרור העממי. חוקר ב- Lumen Black Lotus Labs מתאר את הקבוצה, הפעילה לפי הערכתו מאז מאי 2018, כ"אפסנאי דיגיטלי": גורם אשר מצייד תוקפים אחרים בכלים ובגישה במקום לבצע בעצמו את החדירה.
מי נפגע
רשימת היעדים שפרסמו הרשויות כוללת את NASA, את הפדרל ריזרב, את משרד האנרגיה, את משרד המשפטים עצמו, את משרד הבריאות ואת מכוני הבריאות הלאומיים. שני ניסיונות נוספים, נגד הסנאט האמריקאי ונגד בית חולים אמריקאי במרץ 2026, לא צלחו לפי הדיווחים. הפעילות הידועה האחרונה היא מיוני 2026: תקיפה שכוונה למערכת בחירות אמריקאית, חודשיים בלבד לפני התפיסה.
איך הם נכנסו: כאן נמצא הסיפור
שלוש מהחולשות שנוצלו היו חולשת יום אפס במוצר Ivanti CSA. כל השאר לא. הרשימה שפרסמו הרשויות קוראת כמו ארכיון: Fortinet SSL-VPN (CVE-2018-13379), Citrix ADC (CVE-2019-19781), F5 BIG-IP (CVE-2020-5902), Microsoft Exchange (CVE-2021-26855), Log4Shell, Atlassian Confluence, Kentico CMS, CrushFTP, BeyondTrust Remote Support וגם CVE-2024-24919 בשערי Check Point Quantum. כולן חולשות n-day, כלומר טלאי היצרן כבר היה זמין. הוותיקה שברשימה קיבלה טלאי בשנת 2019. החדשה שבהן תוקנה בפברואר 2026.
סיכון אבטחת המידע עבור ארגונים
המסקנה המעשית אינה לגבי סין, היא על הפער שבין קיומו של טלאי לבין התקנתו בפועל. מעצמה עם תקציב בלתי מוגבל ויכולות יום אפס בחרה ברוב המקרים להיכנס דרך הדלת שכבר הייתה פתוחה, מהסיבה הפשוטה שזה עבד.
הפער הזה אינו רחוק מכאן. CVE-2024-24919 יושבת בשערי Check Point Quantum, מסוג הציוד שעומד בקו הראשון של ארגונים רבים בישראל. במאי 2024 חלפו ימים ספורים בלבד בין פרסום החולשה לבין ניצולה בקנה מידה המוני.
שלוש השלכות ישירות:
- ראשית, ציוד הקצה הוא היעד: שערי VPN, חומות אש, מערכות העברת קבצים וכלי גישה מרחוק. אלו מערכות שמנהלי IT נרתעים מלעדכן משום שהן קריטיות לזמינות. דווקא בשל כך הן נשארות חשופות זמן רב.
- שנית, הגנה מבוססת כתובות IP איבדה תוקף. כאשר התעבורה מנותבת דרך מכשיר חטוף, דרך שירות פרוקסי מסחרי מתחלף או דרך שרת וירטואלי שכור, חסימות גיאוגרפיות וסטטיות אינן מספקות שכבת הגנה אמיתית.
- שלישית, ארגון שהמכשירים שלו נחטפו אינו רק קורבן. הוא הופך לתשתית תקיפה המשמשת נגד אחרים, על כל ההשלכות המשפטיות והתדמיתיות הכרוכות בכך.
הזווית של 010
סקר סיכונים. הצעד הראשון הוא לדעת מה בכלל חשוף כלפי חוץ. QScan הוכיחה שמיפוי שיטתי של נכסים חשופים נעשה בקנה מידה תעשייתי. היא אמנם הושבתה, אך מנועי סריקה אחרים ממשיכים לעבוד. השאלה היא האם אתם מחזיקים מפה כזו על עצמכם, לפני שמישהו אחר מכין אותה. סקר סיכונים ממפה את משטח התקיפה החיצוני, לרבות ציוד קצה, ממשקי ניהול ויישומי ווב שנשכחו.
עדכוני תוכנה ואבטחה. לכל החולשות ברשימה, למעט שלוש, היה טלאי זמין הרבה לפני התקיפה. שירות עדכונים מנוהל הופך את הפער הזה מסיכון מתמשך למשימה תפעולית שוטפת, לרבות קושחה של ציוד תקשורת שנוטה ליפול בין הכיסאות.
מודיעין סייבר. ההתראה שפרסמו הרשויות האמריקאיות כוללת מזהי תקיפה (IOC) ודפוסי התנהגות. שירות מודיעין מתרגם פרסום כזה לכללי זיהוי בסביבה שלכם, במקום להשאיר אותו כמסמך PDF.
SIEM/SOC. משום שחסימה לפי כתובת IP אינה עובדת מול רשת הסוואה, הזיהוי חייב לעבור להתנהגות: התחברות בשעה חריגה, גישה למשאב לא אופייני, תנועה רוחבית ברשת. זהו מרחב הפעולה של ניטור מתמשך.
מניעת דלף מידע (DLP). מטרת מתקפת הסייבר הייתה גניבת מידע. בקרות דלף נועדו לזהות הוצאת נפחי מידע חריגים גם כאשר הגישה עצמה נראית לגיטימית.
שורה תחתונה
ה- FBI השבית שתי פלטפורמות. הוא לא תיקן אף חולשה. הארסנל שנוצל כאן זמין לכל תוקף, מדיני או פלילי. הוא ימשיך לעבוד כל עוד מריצים ארגונים ציוד קצה לא מעודכן. ההשבתה קונה זמן. מה שתעשו בו תלוי בכם.
למקור הידיעה ולקריאה נוספת לחצו כאן
