SocGholish: המשטרה ההולנדית ניקתה כ-15 אלף אתרי וורדפרס נגועים בנוזקה
רשויות מארבע מדינות פירקו ביוני 2026 חלק גדול מתשתית SocGholish וניקו 14,971 אתרים. לבעלי אתרי וורדפרס זו תזכורת: סיסמה שדלפה מספיקה כדי להפוך את האתר לכלי הפצה.
TL;DR בקצרה
- 106 שרתים ודומיינים של SocGholish ירדו מהרשת, ו-14,971 אתרים נגועים קיבלו ניקוי, לפי המשטרה ההולנדית (18 ביוני 2026).
- לפי המשטרה, פרטי הכניסה של 1.4 מיליון אתרים דלפו. כל אחד מהם פתוח להדבקה.
- הגולשים רואים עדכון דפדפן מזויף. מאחורי זה עומדת TA569, שמוכרת גישה לרשתות לקבוצות כופרה.
- החלפת סיסמאות, MFA ומחיקת משתמשים לא מוכרים הם הצעדים הראשונים. ניקוי חד-פעמי לא מבטיח שהאתר נקי.
מבצע בינלאומי שיבש את SocGholish, רשת שמפיצה נוזקות דרך אתרי וורדפרס פרוצים. המשטרה ההולנדית פרסמה את הפרטים ב-18 ביוני 2026. לפי ההודעה, 106 שרתים ודומיינים ירדו מהרשת, ו-14,971 אתרים נגועים עברו ניקוי. הפעולה היא חלק מ-Operation Endgame, המאמץ הבינלאומי נגד תשתיות של פשיעת סייבר.
למה SocGholish היא בעיה של בעלי אתרים קטנים
קל לחשוב שמבצע כזה מעניין רק ארגונים גדולים. בפועל, המשטרה ההולנדית מציינת שבין האתרים הנגועים היו אתרים של מסעדות ומוסכים. אלה בדיוק האתרים שעסקים קטנים בישראל מחזיקים, לרוב על וורדפרס ובלי איש אבטחה צמוד.
הנתון המדאיג באמת הוא אחר. לפי המשטרה, פרטי הכניסה של 1.4 מיליון אתרים כבר דלפו. כלומר, התוקפים לא צריכים לפרוץ. מספיק שהם מתחברים עם הסיסמה הנכונה.
האתר עצמו ממשיך לעבוד כרגיל, ולכן בעל העסק לרוב לא שם לב. הנזק פוגע במבקרים: חלק מהם רואים הודעה שהדפדפן שלהם דורש עדכון. מי שמתקין את ה"עדכון" הזה מכניס לתוקפים גישה למחשב.
מה הרשויות עשו בפועל
בשבוע הפעולה השתתפו היחידה ההולנדית לפשיעת היי-טק, ה-RCMP הקנדית, ה-FBI וה-BKA הגרמני. Europol ו-Eurojust סייעו בתיאום. הנה עיקרי הצעדים:
| פעולה | היקף |
|---|---|
| הורדת תשתית | 106 שרתים ודומיינים, כולל השתלטות על שמות דומיין |
| ניקוי אתרים | 14,971 אתרים, והסרה של דלתות אחוריות ונוזקות |
| הודעה לבעלים | דרך שירותים כמו HaveIBeenPwned, DIVD, Spamhaus ו-Shadowserver |
Maikel Rollman מהיחידה ההולנדית אמר שזו רק ההתחלה של צעדים נוספים נגד הרשת. לכן כדאי לצפות לעוד הודעות בחודשים הקרובים.
מעדכון מזויף לכופרה: הסיכון העסקי של SocGholish
SocGholish, שמוכרת גם בשם FakeUpdates, פעילה מאז 2017. המשטרה קושרת אותה לקבוצה הרוסית Evil Corp, שעמדה בעבר מאחורי Zeus ו-Dridex.
חברת האבטחה Proofpoint מכנה את המפעילה TA569. לדבריה, הקבוצה פועלת כמתווכת גישה ראשונית. היא משיגה דריסת רגל במחשב, ואז מעבירה אותה לקבוצות אחרות. Proofpoint קושרת את הפעילות הזו לכופרות WastedLocker, LockBit ו-RansomHub.
המשמעות לעסק ברורה. עובד אחד שלוחץ על עדכון מזויף במחשב העבודה עלול לפתוח את הדלת לכופרה בכל הרשת. Proofpoint מציינת שהסיכון גבוה במיוחד ברשתות ארגוניות עם Active Directory.
מה המבצע עוד לא פתר
Proofpoint מעריכה שהמבצע יפגע קשות ב-TA569. אבל שירות ניתוב התנועה TA2726, שתומך בה, כנראה ימשיך לפעול כמעט כרגיל. בנוסף, קבוצות כמו ClearFake ו-ErrTraffic משתמשות באותה שיטה של השתלת קוד באתרים כשרים.
יש גם בעיה בצד של בעלי האתרים. לפי Proofpoint, התוקפים נוהגים להשאיר באתר רכיבים שממשק הניהול לא מציג. אם נשארה דלת אחורית, או שהסיסמה עדיין בידיים הלא נכונות, האתר יידבק שוב גם אחרי הניקוי.
מה זה אומר עבורכם
- קיבלתם הודעה מהשירותים שהוזכרו? אל תתעלמו. החליפו מיד את סיסמאות וורדפרס, האחסון ומסד הנתונים.
- הפעילו MFA לכל המנהלים ומחקו משתמשי וורדפרס שאתם לא מזהים. זו גם ההמלצה של המשטרה ההולנדית.
- עדכנו הכול: ליבת וורדפרס, תוספים וערכות עיצוב. הסירו רכיבים שאינם בשימוש.
- אם האתר נדבק, שחזרו מגיבוי נקי והפעילו ניטור שינויים בקבצים. בקשו מחברת האחסון סריקה מלאה.
- הדריכו את העובדים: עדכון דפדפן אמיתי מגיע מההגדרות או מחנות האפליקציות, לא מחלון באתר. בארגון, שקלו להגביל הרצת סקריפטים במחשבי העובדים.
מה קרה מאז
ב-24 ביוני 2026 פרסמה Eurojust סיכום של שבוע הפעולה, שנמשך בין 15 ל-19 ביוני. לפי הסיכום, המבצע כוון גם נגד StealC ו-Amadey. בסך הכול השביתו הרשויות 326 שרתים ו-142 דומיינים, ושחזרו 27 מיליון מערכי נתונים גנובים.
מקורות והרחבה
- International law enforcement initiate hunt on malware group SocGholishPolitie.nl
- Law enforcement nukes SocGholish malware from nearly 15,000 sitesBleepingComputer
- Sayonara SocGholish: Operation Endgame disrupts major cybercrime operationProofpoint
- Operation Endgame continues: international coalition takes malware offlineEurojust
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
