Gootloader חזרה: גופן מזויף מסתיר קבצים באתרי וורדפרס פרוצים, לפי Huntress
Huntress דיווחה ב-5 בנובמבר 2025 ש-Gootloader חזר לפעול. מאז 27 באוקטובר היו שלוש הדבקות, ושתיים מהן הגיעו לשרת הדומיין תוך 17 שעות, בדרך לכופרה.
TL;DR בקצרה
- Huntress פרסמה ב-5 בנובמבר 2025 ש-Gootloader, שפועל מ-2020, חזר. מאז 27 באוקטובר היא ראתה שלוש הדבקות.
- בשתיים מהן התוקף הגיע לשרת הדומיין (DC) תוך 17 שעות. ב-Huntress מציינים ש-Gootloader מעביר גישה לקבוצת Vanilla Tempest, שפרסה כופרה כמו Rhysida.
- הפעם הקורבן מוצא אתר וורדפרס פרוץ בחיפוש. שמות הקבצים שם מוסתרים בגופן WOFF2 מזויף, ולכן חיפוש מילות מפתח בקוד לא מוצא אותם.
- Huntress ממליצה לנטר PowerShell חריג, חיפוש ב-Active Directory, העלאת הרשאות ותנועה רוחבית.
Huntress דיווחה ב-5 בנובמבר 2025 ש-Gootloader, טוען נוזקות שפועל מ-2020, חזר לפעול. הוא מסתיר שמות קבצים בגופן מזויף ומפיץ אותם דרך אתרי וורדפרס פרוצים. מאז 27 באוקטובר ראתה Huntress שלוש הדבקות. בשתיים מהן התוקף הגיע לשרת הדומיין תוך 17 שעות.
מי עומד מאחורי Gootloader
Gootloader הוא טוען JavaScript שתוקפים משתמשים בו כדי להיכנס לארגון. הקורבנות מגיעים אליו דרך אתרים פרוצים, שעולים בתוצאות חיפוש בגלל הרעלת SEO. הפעילות חזרה לזמן קצר במרץ 2025, שקטה, וחזרה בסוף אוקטובר 2025.
לפי Huntress, קבוצה בשם Storm-0494 מפעילה את Gootloader ומעבירה את הגישה ל-Vanilla Tempest. הקבוצה הזו פועלת מ-2022 ופורסת תוכנות כופר כמו Rhysida, BlackCat, Zeppelin ו-Quantum Locker. Rhysida נראית הכי הרבה אחרי הדבקות של Gootloader.
איך הקורבן מגיע ל-Gootloader
במקרה שהמחקר מתאר, משתמש חיפש ב-Bing ביטוי בנושא זיקת הנאה לתשתיות, utility easement, ולחץ על התוצאה הראשונה. זה היה אתר פרוץ. העמוד הציע חמישה קבצים להורדה.
לחיצה על Download מפעילה בקשת POST אל wp-comments-post.php, כלומר ניצול של נקודת התגובות של וורדפרס. האתר מציג חלון התקדמות מזויף, ובינתיים מחזיר ארכיון ZIP בהצפנת XOR. לכל הורדה יש מפתח XOR משלו, שכתוב בקוד העמוד.
איך Gootloader מסתיר קבצים בגופן מזויף
העמוד מטמיע גופן WOFF2 מותאם, בקידוד Z85, בתוך ה-JavaScript. בקוד המקור שמות הקבצים נראים כרצף תווים חסר משמעות. בדפדפן הם מוצגים כטקסט קריא.
הטריק הוא במבנה הגופן. המטא-נתונים נראים לגיטימיים, אבל התוקפים החליפו את קווי המתאר של התווים. תו ששמו O מצייר את האות F, וכך הלאה. לכן חיפוש של מילים כמו invoice או contract בקוד העמוד לא מוצא כלום, וסורקים שמבוססים על מילות מפתח מחמיצים אותו.
מה קורה אחרי ההדבקה
הקובץ הראשון מתחזה ל-jQuery בגרסה 3.0.0. עטיפת VBScript מפעילה PowerShell, שאוסף שמות חלונות, פריטי שולחן עבודה וכוננים. אחר כך הוא פונה לאחד מ-10 שרתי שליטה, כל 20 שניות.
כ-10 עד 20 דקות מההרצה נוצרים קיצורי דרך בתיקיית Startup. גרסאות קודמות של Gootloader השתמשו במשימות מתוזמנות. קיצורי הדרך מפעילים קבצים נוספים בתיקיות AppData, והם מקבלים מקשי קיצור ושמות קצרים בסגנון 8.3.
אחר כך מגיע Supper, דלת אחורית שמשמשת את Vanilla Tempest. היא נותנת לתוקף פרוקסי SOCKS5 וגישת shell מרחוק, בתקשורת על פורט 443.
במקרה הראשון התוקף הריץ סיור ברשת כבר אחרי כ-20 דקות. הוא חיפש מנהלי דומיין, סרק חשבונות וביצע Kerberoasting. אחרי כ-16 שעות ו-54 דקות הוא עבר לשרת הדומיין דרך WinRM. שם יצר חשבון Domain Admin חדש. אחר כך הוא הריץ פקודה שמפרטת עותקי Volume Shadow, ו-Huntress מעריכה שזו הכנה למחיקת גיבויים לפני תקיפת כופר.
גם @DFIRReport, שתרם לדוח, ראה תנועה לשרת הדומיין בפחות משעה. הוא גם ראה שהפקודה ntdsutil שימשה לשליפת מסד החשבונות NTDS.dit.
מה זה אומר עבורכם
- הזהירו עובדים: במקרה שהמחקר מתאר, ההדבקה התחילה בחיפוש ובלחיצה על התוצאה הראשונה. תבניות מסמכים שמורידים מאתר אקראי הן סיכון.
- נטרו התנהגות: Huntress ממליצה להתריע על PowerShell חריג, חיפוש ב-Active Directory, העלאת הרשאות ותנועה רוחבית.
- חפשו קיצורי דרך חשודים: בדקו קיצורים בתיקיית Startup עם מקשי קיצור ושמות 8.3 שמפעילים קובצי JavaScript.
- אם יש הדבקה, בדקו את הדומיין: חפשו חשבונות Domain Admin חדשים, והחליפו סיסמאות של חשבונות שנכנסו למחשב.
- בעלי אתרי וורדפרס: אתר פרוץ משמש להפצה. עדכנו תוספים, מחקו מנהלים לא מוכרים וחפשו קוד JavaScript זר.
מה Huntress לא פירטה
הדוח מתמקד בשלוש הדבקות שהצוות ראה בעצמו. לכן אי אפשר להסיק ממנו את היקף הקמפיין או את מספר האתרים הפרוצים.
מקורות והרחבה
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
