Lookout: ProSpy מתחזה ל-Signal, ופישינג ל-iCloud פוגע בעיתונאים במזרח התיכון
ב-8 באפריל 2026 פרסמו Lookout ו-Access Now דוח על קבוצת ריגול שכירה שמכוונת לעיתונאים ולפעילים במזרח התיכון, עם נוזקת הריגול ProSpy ופישינג ל-iCloud ול-Signal.
TL;DR בקצרה
- ב-8 באפריל 2026 פרסמו Lookout, Access Now ו-SMEX דוחות על קמפיין ריגול נגד עיתונאים ופעילים במזרח התיכון ובצפון אפריקה, בין היתר במצרים ובלבנון.
- ProSpy, נוזקת ריגול לאנדרואיד שמתחזה ל-Signal, ל-ToTok ול-Botim, אוספת אנשי קשר, הודעות SMS וקבצים. הדוגמה הראשונה שלה מאוגוסט 2024.
- באייפון התוקפים שלחו קישורי פישינג בשם iCloud, כנראה כדי להגיע לגיבויים. דף פישינג מזויף ב-Signal מקשר את חשבון הקורבן למכשיר של התוקף.
- Lookout מעריכה ברמת ביטחון בינונית שיש קשר לקבוצת BITTER, ומציינת שאין הוכחה ישירה.
ב-8 באפריל 2026 פרסמו Lookout ו-Access Now דוח על קבוצת ריגול שכירה שמכוונת לעיתונאים ולפעילים במזרח התיכון ובצפון אפריקה. אחד הכלים שלה הוא ProSpy, נוזקת ריגול לאנדרואיד. לפי הדוח של Lookout, הקמפיין פעיל לפחות מ-2022. ארגון SMEX פרסם באותו יום דוח מקביל על מקרה בלבנון.
ProSpy: נוזקת ריגול שמתחזה ל-Signal ול-Botim
ProSpy היא נוזקת ריגול לאנדרואיד שנכתבה ב-Kotlin. Lookout ניתחה 11 דוגמאות שלה, והראשונה מהן מאוגוסט 2024. התוכנה מתחזה לאפליקציות מוכרות: Signal, בשם Signal Encryption Plugin, וגם ToTok ו-Botim.
אחרי ההתקנה היא אוספת אנשי קשר, הודעות SMS ומידע על המכשיר. היא אוספת גם קבצים, כמו מסמכים, תמונות וקבצי גיבוי. שרתי השליטה של התוקפים שולחים לה פקודות בקודים ממוספרים.
האפליקציה מגיעה מאתרי הפצה מזויפים, ולא מהחנות הרשמית. Lookout מתארת פישינג ממוקד דרך דמויות מזויפות ברשתות חברתיות ובאפליקציות מסרים. התוקפים שלחו את נוזקת הריגול לחלק מהמטרות. לפי Lookout, יש תשתית של מאות דומיינים של פישינג לפחות מ-2023.
פישינג ל-iCloud ול-Signal: תקיפה בלי נוזקת ריגול
במכשירי אייפון התוקפים לא השתמשו בנוזקת ריגול. Lookout זיהתה קישורי פישינג שהתחזו ל-iCloud, כנראה כדי להגיע לגיבויי המכשיר. לפי TechCrunch, Access Now מתארת זאת כחלופה זולה לנוזקת ריגול מתוחכמת באייפון.
בשיטה נוספת הם שלחו דף מזויף שמחקה את הפיצ'ר של Signal לקישור מכשיר. הדף כולל הוראות בערבית וקוד QR. מי שסורק אותו מקשר את חשבון ה-Signal שלו למכשיר של התוקף. כך התוקף יכול לקרוא את ההודעות. לפי Lookout, קבוצות רוסיות הפכו את השיטה הזאת לפופולרית.
הקורבנות המאושרים הם בעיקר במצרים ובלבנון. לפי Access Now, שלושה מקרים תועדו בין 2023 ל-2025: שני עיתונאים מצרים ועיתונאי לבנוני. Lookout מעריכה שהמטרות כוללות גם גורמי ממשל בבחריין ובמצרים, ואנשים באיחוד האמירויות, בסעודיה ובבריטניה.
מי עומד מאחורי ProSpy, ומה עדיין לא הוכח
Lookout מעריכה ברמת ביטחון בינונית שהקמפיין קשור לקבוצת BITTER. Lookout מסתמכת על דומיין שקשור לתשתית ידועה ועל דמיון בקוד בין ProSpy לבין Dracarys. Meta ייחסה את Dracarys ל-BITTER ב-2022. לפי TechCrunch, חלק מחברות האבטחה חושדות שלקבוצה יש קשר לממשלת הודו.
עם זאת, Lookout זהירה. היא לא מצאה קשר ישיר לחברת האקרים להשכרה מוכרת, והיא מכנה את הקשרים "viable links", כלומר קשרים סבירים ולא הוכחה. בנוסף, BITTER ידועה בריגול ממשלתי, ולא נראתה בעבר מכוונת לחברה אזרחית. לכן לא ברור אם הקבוצה הרחיבה את הפעילות, או שזה גוף אחר.
קבוצות מסוג hack-for-hire פורצות לפי הזמנה, ולכן הקורבנות הם אנשים ספציפיים ולא ציבור רחב. רוב המשתמשים כנראה לא ייתקלו ב-ProSpy. עם זאת, השיטות פשוטות וזולות: קישור מכשיר ב-Signal ודף כניסה מזויף ל-iCloud. תוקף יכול להפעיל אותן נגד כל אחד.
מה זה אומר עבורכם
- התקינו מחנות רשמית בלבד: אפליקציה בשם Signal Encryption Plugin מחוץ לחנות היא סימן אזהרה.
- בדקו את Signal: היכנסו לרשימת המכשירים המקושרים והסירו כל מכשיר שאינו שלכם.
- אל תסרקו QR של Signal: סרקו רק קוד שיצרתם בעצמכם באפליקציה האמיתית, ולא קוד שקיבלתם בהודעה.
- אל תזינו Apple ID בקישור: היכנסו ל-iCloud רק דרך האפליקציה או האתר הרשמי.
- אם אתם עיתונאים או פעילים: התייחסו בחשד לפנייה חדשה ברשת שמבקשת להעביר שיחה לאפליקציית מסרים.
- כבר לחצתם על קישור חשוד? מה עושים ב-24 השעות הראשונות, לפי CyberGuard.
מקורות והרחבה
- BITTER-linked hack-for-hire campaign targeting MENA civil societyLookout
- Hack-for-hire group caught targeting Android devices and iCloud backupsTechCrunch
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
