SocksEscort: ה-FBI מזהיר מנוזקת AVrecon שהפכה נתבים ביתיים לפרוקסי של פושעים
ב-12 במרץ 2026 פרסם ה-FBI התראה על AVrecon, נוזקה שהשתלטה על נתבים וסיפקה אותם לשירות SocksEscort. הרשויות השביתו את השירות, ובו כ-369,000 מכשירים מאז 2020.
TL;DR בקצרה
- ה-FBI פרסם ב-12 במרץ 2026 התראת Flash על AVrecon, נוזקה שהופכת נתבים ומכשירי IoT לפרוקסי של שירות SocksEscort.
- לפי ה-FBI, כ-1,200 דגמים של Cisco, D-Link, Hikvision, MikroTik, Netgear, TP-Link ו-Zyxel ומעל 369,000 מכשירים מאז 2020.
- בחלק מהדגמים הנוזקה מחליפה את הקושחה ומכבה עדכונים, כך שהמכשיר מודבק לצמיתות. בדגמים אחרים הפעלה מחדש מנקה אותה.
- ההמלצות: לעדכן קושחה, להחליף מכשירים שהיצרן הפסיק לתמוך בהם, לשנות סיסמאות ולכבות ניהול מרחוק.
ב-12 במרץ 2026 פרסם ה-FBI התראת Flash על AVrecon. הנוזקה הפכה נתבים ביתיים ונתבי עסקים קטנים לשרתי פרוקסי למכירה. המוכרים פעלו תחת השירות SocksEscort. ההתראה יצאה אחרי מבצע משותף של רשויות אכיפה שהשבית את השירות.
לפי ה-FBI, ככל הנראה SocksEscort השתלטה על כ-369,000 מכשירים מאז 2020 ומכרה גישה אליהם. פרוקסי ביתי מעביר תעבורה דרך הנתב של אדם רגיל. כך הפושע נראה כמו גולש מהבית, ומסנני אתרים מתקשים לעצור אותו.
SocksEscort: איך AVrecon משתלטת על נתב
הנוזקה סורקת את האינטרנט ומחפשת מכשירים עם שירותים חשופים ופגיעים. היא מנצלת חולשות הרצת קוד, הזרקת פקודות וחולשות בממשקי SOAP חשופים. מערך השליטה שלה מודולרי, ולכן קל להוסיף לו שיטות פריצה חדשות.
ה-FBI מסמן כ-1,200 דגמים של Cisco, D-Link, Hikvision, MikroTik, Netgear, TP-Link ו-Zyxel. רובם נתבים קטנים לבית ולעסק. הנוזקה כתובה ב-C ופוגעת בעיקר במכשירים עם ארכיטקטורת MIPS או ARM.
אחרי ההדבקה היא פותחת פרוקסי, יכולה לעדכן הגדרות ולפתוח גישה מרחוק לשורת הפקודה. היא גם יכולה להוריד ולהריץ תוכנות נוספות. מכשיר שהנוזקה השתלטה עליו פונה לשרת השליטה בפורטים 8000 ו-8080. בכל דקה הם מחליפים את המילים PING ו-PONG.
בחלק מהדגמים התוקפים מחליפים את הקושחה בקושחה מותאמת שמכילה את הנוזקה. הם גם מכבים בה את פעולות העדכון והצריבה. ה-FBI מסביר שהנוזקה נשארת במכשירים כאלה לצמיתות, בפועל.
בדגמים אחרים אין התמדה. כיבוי והדלקה מחזירים את המכשיר למצבו הרגיל. אבל ה-FBI מציין מקרה אחד לפחות ששרת השליטה הדביק מחדש מכשיר דרך אותן חולשות.
מה הפושעים עשו עם הנתבים, ומה נתפס
לפי ה-FBI, הפרוקסי שימש להונאת פרסום ולניסיונות ניצול של אתרים. הוא שימש גם לניחוש סיסמאות המוני, להונאות בשווקים דיגיטליים, להונאות בנקאיות ולהונאות רומנטיות.
לפי Europol, כפי ש-Help Net Security מצטט, הרשויות תפסו 34 דומיינים ו-23 שרתים בשבע מדינות. ארה״ב הקפיאה כ-3.5 מיליון דולר במטבעות קריפטו. הרשויות ניתקו את הנתבים שהיו חלק מהשירות.
משרד המשפטים האמריקאי, כפי ש-Help Net Security מדווח, מציין שבפברואר 2026 הציע השירות כ-8,000 נתבים תחת שליטת התוקפים. מהם 2,500 בארה״ב. תושב ניו יורק שהשתמש בבורסת קריפטו הפסיד כמיליון דולר.
SocksEscort והדגמים ברשימה: מה לבדוק בבית ובעסק
ה-FBI מפרסם רשימה של 20 דגמים נפוצים בקרב המכשירים המודבקים. בהם TP-Link Archer C20, TL-WR840N ו-WR841N, D-Link DIR-818LW, DIR-850L ו-DIR-860L, ו-Netgear R7000 ו-DGN2200v4. ברשימה גם נתבי Zyxel ומצלמות Hikvision.
הרשימה אינה ממצה, והדגם לבדו אינו קובע. המשותף הוא חולשות ידועות שלא תוקנו. מכשיר שהיצרן הפסיק לתמוך בו לא יקבל תיקונים לחולשות שיתגלו אחרי תאריך הסיום. גם עדכון קושחה לא מנקה מכשיר שהנוזקה כבר השתלטה עליו.
המקור המלא: התראת ה-Flash של ה-FBI על AVrecon.
מה זה אומר עבורכם
- בדקו דגם ותמיכה: חפשו את דגם הנתב באתר היצרן. אם הוא הפסיק לקבל עדכונים, החליפו אותו.
- עדכנו קושחה בעצמכם: לפי ה-FBI, נתבים רבים לא מתעדכנים לבד. העדכון דורש כניסה ללוח הניהול או צריבה ידנית.
- שנו סיסמאות וכבו ניהול מרחוק: החליפו כל סיסמת ברירת מחדל. כבו את הניהול מהאינטרנט, או הגבילו אותו לכתובות ספציפיות.
- אל תסתפקו בהפעלה מחדש: היא מנקה רק חלק מההדבקות, ולא מונעת הדבקה חוזרת. איפוס והחלפת קושחה לא תמיד עוזרים, כי גרסאות מסוימות חוסמות אותם.
- בעסק, הפרידו מצלמות ומכשירי IoT: הציבו אותם ברשת משלהם. עקבו אחרי תעבורה יוצאת חריגה, למשל בפורטים 8000 ו-8080.
מה הלאה
הפלת השירות מנתקת את הנתבים שהיו חלק ממנו, אבל לא מתקנת את החולשות בהם. מי שמחזיק נתב פגיע נשאר פגיע לתוקפים אחרים.
לכן העדכון והחלפת מכשירים ישנים הם ההגנה האמיתית. הפרטים הטכניים והמזהים המלאים מופיעים בהתראת ה-FBI עצמה.
מקורות והרחבה
- FLASH 20260312-001: AVrecon Malware-Infected Routers Exploited as Residential Proxies by SocksEscortFBI IC3
- Authorities dismantle SocksEscort proxy network behind millions in fraudHelp Net Security
- Authorities disrupt SocksEscort proxy service powered by AVrecon botnetSecurityWeek
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
