SMOKE#SCREEN: עדכון Zoom מזויף מתקין ScreenConnect ונותן לתוקפים שליטה במחשב
חוקרי Securonix חשפו קמפיין שמפתה משתמשים להוריד עדכון Zoom מזויף. בפועל הוא מתקין את ScreenConnect, כלי שליטה מרחוק לגיטימי, ונותן לתוקפים גישה שנראית כמו תמיכה טכנית.
TL;DR בקצרה
- Securonix נתנה לקמפיין את השם SMOKE#SCREEN. הוא משתמש בדף עדכון מזויף של Zoom, ובפיתויים של Adobe, מסמכים עסקיים וכלי תחזוקה.
- בסוף השרשרת מותקן ScreenConnect של ConnectWise, כלי לגיטימי, ולכן הפעילות נראית כמו עבודה של צוות IT.
- קיימת גם גרסת macOS, בשם ZoomUpdateInstaller.pkg, שמתחברת לאותו שרת ממסר כמו גרסת Windows.
- בגרסה האחרונה התוקפים זנחו את כיבוי Microsoft Defender והוסיפו השהיה של 180 שניות, כדי להערים על מערכות EDR.
חוקרי Securonix חשפו קמפיין בשם SMOKE#SCREEN, שמפתה משתמשים להתקין עדכון Zoom מזויף שמתקין בפועל את ScreenConnect. ScreenConnect היא כלי שליטה מרחוק לגיטימי של ConnectWise. כשהתוקפים מתקינים אותה, הם מקבלים שליטה במחשב שנראית כמו עבודה של תמיכה טכנית. Security Affairs דיווחה על הקמפיין ב-5 באוגוסט 2026.
איך עדכון Zoom מזויף מתקין ScreenConnect
לפי Securonix, הפיתוי המרכזי הוא דף עדכון מזויף של Zoom, בעיצוב משכנע ועם הודעה דחופה. אחרי שניות ספורות מתחילה הורדה אוטומטית. הדף מורה למשתמש להריץ את המתקין. החוקרים מציינים גם פיתויים אחרים: עדכוני Adobe, סקירת מסמכים עסקיים וכלי תחזוקה של המערכת.
בסוף השרשרת מותקן מתקין MSI שהיצרן חתם עליו, והוא מכיל את ScreenConnect. החתימה הלגיטימית מקשה על חסימה. הרכיב שמותקן מתחבר לאחד משלושה שרתי ממסר של התוקפים. כך הם מקבלים שליטה קבועה ואינטראקטיבית במחשב.
לפי Techlicious, מי ששולט ב-ScreenConnect יכול לראות את המסך, לגשת לקבצים ולתעד הקשות. כל זה נראה כמו תמיכה טכנית מורשית.
Windows ו-Mac: אותה תשתית
הקמפיין פוגע בשתי מערכות ההפעלה. מתקין macOS בשם ZoomUpdateInstaller.pkg התחבר לאותו שרת ממסר ראשי כמו הרכיבים של Windows. כך לפי Cyber Security News ו-Techlicious. לפי Cyber Security News, זה מרמז שהתוקפים מכוונים בכוונה לסביבות עם Windows וגם Mac.
הקמפיין השתנה בין הגלים. בדגימות הראשונות היו הסוואה ובדיקות סביבה. אחריהן באו ניסיונות אגרסיביים לכבות את Microsoft Defender. בטעינה האחרונה התוקפים זנחו את הגישה הזו והוסיפו השהיה של 180 שניות. החוקרים מקשרים אותה לניסיון לעקוף קורלציה של אירועים ב-EDR, ומפרשים אותה כבדיקה של התוקפים מול מוצר EDR מסחרי.
Securonix גילתה 15 קבצי הרצה בתיקיית הכנה פתוחה לעיון. שרת אחד שימש גם להכנה וגם כשרת הממסר הראשי.
לפי Cyber Security News, התוקפים הסתירו את מקור הקבצים בעזרת מנהרות Cloudflare זמניות ונתיב באחסון Dropbox. שרתי ההכנה והממסר שונים זה מזה, כך שהתוקפים שומרים על הגישה גם אם חוקרים מגלים חלק מהתשתית.
איך מזהים התקנת ScreenConnect לא מורשית
Securonix ממליצה להתריע על תהליכים שעוצרים את WinDefend או מוסיפים החרגות רחבות ל-Defender. כדאי גם לסמן התקנות MSI שמופעלות מתיקיות TEMP או AppData.
חיבור של ScreenConnect לכתובת IP, ולא לתת-דומיין של ConnectWise, מצדיק עדיפות גבוהה. הקבצים של הקמפיין משתנים תכופות, ולכן חשוב לזהות התנהגות ולא רק חתימות.
מה זה אומר עבורכם
- עדכנו Zoom מתוך האפליקציה: לחצו על תמונת הפרופיל ובחרו Check for Updates. לפי Techlicious, Zoom גם מתעדכנת בעצמה.
- אל תתקינו עדכון מדף באינטרנט: גם אם הוא נראה כמו Zoom או Adobe, ובמיוחד אם ההורדה מתחילה מעצמה.
- רשמו את כלי השליטה המורשים: ארגון צריך רשימה של כלי RMM מאושרים וחסימה של כל השאר. ScreenConnect שמתחבר לכתובת IP דורש בדיקה מיידית.
- הגבילו התקנות MSI: חסמו הרצת מתקינים מתיקיות שהמשתמש יכול לכתוב אליהן, והשאירו את UAC בהגדרה המחמירה.
- אם התקנתם עדכון חשוד: נתקו את המחשב מהרשת, הסירו את ScreenConnect והחליפו סיסמאות ממכשיר נקי.
- כבר לחצתם על קישור חשוד? מה עושים ב-24 השעות הראשונות, לפי CyberGuard.
מה הלאה
הקמפיין פועל בגלים, והשינויים ביניהם מרמזים שהתוקפים ממשיכים לבדוק שיטות. ארגונים לא צריכים להסתמך על חתימות של קבצים. הם צריכים לעקוב אחרי התנהגות: מי התקין כלי שליטה, ומאיפה.
גם Techlicious מזכירה שהשיטה הזו חוזרת. קמפיין אחר ב-2026 השתמש בהודעות מערכת אמיתיות של Zoom כדי להפיץ כלים דומים.
מקורות והרחבה
- SMOKE#SCREEN Campaign Abuses ScreenConnect to Give Attackers Remote Control AccessSecurity Affairs
- SMOKE#SCREEN campaignCyber Security News
- Fake Zoom update malware now targets MacTechlicious
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
