לפי Google: קבוצה סינית חשודה חדרה לרשתות תקשורת ב-42 מדינות דרך Google Sheets
Google ו-Mandiant שיבשו את GRIDTIDE, קמפיין ריגול של UNC2814. לפי Google, הקבוצה חדרה ל-53 ארגונים ב-42 מדינות, בעיקר חברות תקשורת וגופי ממשל, ושלחה פקודות דרך גיליון אלקטרוני.
TL;DR בקצרה
- בדוח שפורסם ב-25 בפברואר 2026 מדווחת Google על 53 ארגונים ב-42 מדינות, נכון ל-18 בפברואר, ועל חשד לפגיעה בעשרים מדינות נוספות.
- GRIDTIDE היא דלת אחורית שמקבלת פקודות מתא A1 בגיליון Google Sheets, ומתחבאת בתעבורה לגיטימית של ממשק ה-API.
- Google סגרה פרויקטים וחשבונות של התוקפים, חסמה דומיינים והודיעה לארגונים שנפגעו.
- Google לא ראתה גניבת מידע בפועל, והיא מדגישה שאין כאן פרצה במוצרים שלה.
Google, יחד עם Mandiant ושותפים, שיבשה את GRIDTIDE, קמפיין ריגול של קבוצה שמקורה חשוד בסין. לפי Google, הקבוצה UNC2814 חדרה ל-53 ארגונים ב-42 מדינות, בעיקר לחברות תקשורת ולגופי ממשל. הדוח של Google התפרסם ב-25 בפברואר 2026.
המספרים נכונים ל-18 בפברואר. Google חושדת בהדבקות בלפחות 20 מדינות נוספות. בדוח אין שמות של מדינות, ואין בו אזכור של ישראל.
איך GRIDTIDE שולטת במחשבים דרך גיליון
GRIDTIDE היא דלת אחורית שנכתבה בשפת C. היא מריצה פקודות, מעלה קבצים ומורידה קבצים. את הפקודות היא מקבלת מ-Google Sheets, כמו מתא בגיליון שהתוקפים הכינו.
הדלת האחורית בודקת את תא A1 כדי למצוא פקודה חדשה. היא רושמת את התוצאות בתאים אחרים בגיליון. את פרטי המחשב שנפרץ היא רושמת בתא V1. היא ממירה את כל המידע לקידוד Base64, כדי לחמוק מכלי ניטור של תעבורת אינטרנט.
התעבורה נראית כמו קריאות רגילות ל-API של Google. לכן קשה להבדיל אותה מפעילות לגיטימית. Google מדגישה שאין כאן חולשה במוצרים שלה. התוקפים ניצלו שימוש רגיל ב-Google Sheets API. לפי הדוח, אפשר לנצל כך גם פלטפורמות גיליונות אחרות בענן.
איך Mandiant זיהתה את הפעילות של UNC2814
Mandiant זיהתה את הפעילות בשרת CentOS באמצעות Google Security Operations. תהליך חשוד התחיל לפעול מהתיקייה /var/tmp תחת השם xapt, שם שמחקה כלי ישן של Debian. אחר כך התוקפים נעו בין שרתים דרך SSH, בעזרת חשבון שירות.
הם יצרו התמדה בעזרת שירות systemd. הם גם בנו מנהרה עם הצפנה החוצה בעזרת SoftEther VPN Bridge. לפי נתוני ה-VPN, התשתית הזאת בשימוש כנראה מאז יולי 2018. את שיטת הכניסה הראשונית Google לא איתרה.
במקרה אחד פעלה הדלת האחורית במחשב שמחזיק נתונים אישיים. ביניהם שם מלא, מספר טלפון, תאריך לידה ומספר תעודת זהות. Google לא ראתה העברת מידע החוצה בקמפיין הזה.
עם זאת, היא מעריכה שגישה כזאת מאפשרת לאסוף רישומי שיחות ולעקוב אחרי הודעות SMS. היא מאפשרת גם לנצל לרעה מערכות יירוט חוקיות של חברות התקשורת. לדברי Google, המטרה היא מעקב אחרי אנשים, בהם מתנגדי משטר ופעילים, וגם ריגול מסורתי.
מה Google עשתה כדי לשבש את GRIDTIDE
Google סגרה את כל פרויקטי Google Cloud שבשליטת התוקפים. היא השביתה את חשבונותיהם ואת הגישה שלהם ל-Sheets API. היא חסמה דומיינים ישנים וחדשים, והוציאה חתימות זיהוי. היא גם הודיעה ישירות לארגונים שנפגעו, וסייעה לאלה שנפגעו בוודאות.
UNC2814 היא קבוצה ש-Google עוקבת אחריה מ-2017. לדברי החברה, אין חפיפה בין הקבוצה לפעילות שמדווחת בשם Salt Typhoon. Google מצפה שהקבוצה תנסה לחזור עם תשתית חדשה.
מה זה אומר עבורכם
- חפשו פניות חריגות ל-Sheets: בדקו אם תהליך שאינו דפדפן פונה אל sheets.googleapis.com. חפשו קריאות כמו batchClear ו-batchUpdate. במחשב שרת, פנייה כזו חשודה.
- בדקו שירותים ותיקיות: חפשו שירות systemd בשם xapt.service. חפשו גם קובצי cfg בתיקיות
/usr/sbin,/sbinו-/var/tmp. חפשו גם קובצי הפעלה קצרים ב-/var/tmpשמריצים shell. - בדקו כלי VPN זרים: רכיבים של SoftEther VPN Bridge שלא התקנתם הם סימן אזהרה.
- הגבילו יציאה מהשרתים: שרת שאינו צריך שירותי ענן ציבוריים לא צריך לפנות אליהם. זו המלצה כללית שלי, ולא חלק מהדוח.
- יש ראיה לפריצה? Google מזמינה ארגונים כאלה לפנות אל GTIG או אל Mandiant. הדוח כולל חוק YARA ורשימת אינדיקטורים.
מקורות והרחבה
- Exposing the Undercurrent: Disrupting the GRIDTIDE Global Cyber Espionage CampaignGoogle Cloud
- Chinese cyberspies breached dozens of telecom firms, govt agenciesBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
