VECT 2.0: לפי Check Point, הכופרה פועלת כמוחק נתונים וקבצים גדולים לא ישוחזרו
ב-28 באפריל 2026 פרסמה Check Point Research ממצא על VECT 2.0: באג בהצפנה מאבד את מפתחות הפענוח של קבצים מעל 128KB, וגם תשלום לא יחזיר אותם.
TL;DR בקצרה
- לפי Check Point Research, VECT 2.0 מפצלת קבצים מעל 128KB לארבעה חלקים ושומרת רק את המפתח האחרון.
- שלושת הרבעים הראשונים של קבצים גדולים לא ניתנים לפענוח, גם לא בידי התוקפים.
- הבאג קיים בגרסאות Windows, Linux ו-ESXi, ובכל הגרסאות הציבוריות של הכופרה.
- VECT הודיעה על שותפות עם BreachForums ועם TeamPCP, ולפי The Register באתר ההדלפות שלה מופיעים 25 ארגונים.
ב-28 באפריל 2026 פרסמה Check Point Research ממצא על VECT 2.0. לפיו הכופרה פועלת בפועל כמוחק נתונים. לפי החוקרים, באג בהצפנה מאבד את מפתחות הפענוח של כל אחד מהקבצים שגדולים מ-128KB. לכן גם מי ששילם לא יקבל מפענח שמחזיר אותם. הדוח מגיע מזרוע המחקר של Check Point הישראלית.
VECT 2.0: איך באג אחד הופך את הכופרה למוחק נתונים
VECT פועלת בשיטת RaaS, כלומר מפעיליה מציעים אותה לשותפים להפצה. היא הופיעה בדצמבר 2025 בפורום פשע בשפה הרוסית. שני הקורבנות הראשונים שלה הופיעו בינואר 2026. גרסה 2.0, מפברואר 2026, פועלת על Windows, על Linux ועל VMware ESXi.
הבאג חבוי בדרך שבה היא מצפינה קבצים גדולים. כשהקובץ גדול מ-131,072 בתים, היא מפצלת אותו לארבעה חלקים. כל חלק מקבל מספר אקראי משלו, nonce, שחובה כדי לפענח אותו. בגלל שגיאה בקוד, הקוד מעביר לדיסק רק את הערך האחרון. שלושת האחרים הולכים לאיבוד.
התוצאה, לפי Check Point, היא ששלושת הרבעים הראשונים של הקבצים הגדולים אינם ניתנים לפענוח. החוקרים כותבים שהשחזור בלתי אפשרי לכל אחד, כולל התוקף. קבצים של עד 128KB משוחזרים במלואם. לפי Help Net Security, הקבצים הגדולים כוללים דיסקים של מכונות וירטואליות, מסדי נתונים, מסמכים וגיבויים.
הבאג זהה בשלוש הפלטפורמות. הוא קיים בכל הגרסאות הציבוריות של VECT, וגם בגרסת ESXi ישנה שהחוקרים בדקו.
מי עומד מאחורי VECT ומה ידוע על הקורבנות
VECT הודיעה על שותפות עם BreachForums, כך שכל חבר רשום בפורום יכול להפוך לשותף שלה. היא הודיעה גם על שיתוף פעולה עם TeamPCP. זהו הגורם שמאחורי מתקפות שרשרת אספקה במרץ 2026. הן פגעו ב-Trivy, ב-Checkmarx KICS, ב-LiteLLM וב-Telnyx.
לפי The Register, באתר ההדלפות של VECT מופיעים 25 ארגונים מאז ינואר. ארבעה מהם הופיעו מאז מרץ. ב-15 באפריל היא טענה שפרצה ל-Guesty ול-S&P Global. אלי סמדג'ה, מנהל קבוצה ב-Check Point Research, מסר ש-Check Point לא יכולה לאמת את הטענות. החברות לא הגיבו ל-The Register.
החוקרים מתארים הפעלה חובבנית. כך למשל הקוד קורא את מצבי המהירות fast, medium ו-secure אבל מתעלם מהם. תהליכי ההסתרה בגרסת Linux מבטלים זה את זה. גם הצפנה שנחשבה בפרסומים קודמים ל-ChaCha20-Poly1305 היא למעשה ChaCha20-IETF גולמית, בלי שכבת אימות.
מה VECT 2.0 משנה בהחלטה אם לשלם
לפי Check Point, מי ששילם לא יכול לקבל מפענח תקין לקבצים החשובים ביותר שלו. החוקרים מדגישים שהסיבה אינה הונאה של התוקפים. המפתחות פשוט כבר לא קיימים. מכתב הכופר מבטיח כלי פענוח אחרי תשלום, ומאיים גם בפרסום הנתונים.
זה ממצא על משפחה אחת. שאר משפחות הכופרה לא חולקות את הבאג. גם אין ערובה שהמפעילים לא יתקנו אותו בגרסה עתידית. לכן אי אפשר להסיק שתשלום לעולם לא עובד. אפשר להסיק רק שבמקרה של VECT הוא לא מחזיר קבצים גדולים.
מה זה אומר עבורכם
- בדקו מי תקף לפני כל משא ומתן. אם זו VECT, התשלום לא יחזיר דיסקים או מסדי נתונים. הכניסו צוות תגובה לאירועים לפני שמדברים עם התוקפים.
- גיבוי מחוץ לרשת הוא ההגנה האמיתית. שמרו שם עותקים, ובדקו שחזור של מסדי נתונים ודיסקים וירטואליים.
- הגנו על ESXi: ל-VECT יש גרסה ל-ESXi. הגבילו גישה לממשקי הניהול שלהם, ובדקו את החשבונות המנהליים.
- בדקו את שרשרת האספקה. אם הארגון משתמש ב-Trivy או ב-Checkmarx KICS, ודאו שלא התקנתם גרסה שנפגעה. אותה בדיקה נחוצה ל-LiteLLM ול-Telnyx. אם מצאתם גרסה כזו, החליפו סודות.
- מנהלים עסק קטן? המדריך של SecureBack להגנה על עסק קטן.
מקורות והרחבה
- VECT: Ransomware by Design, Wiper by AccidentCheck Point Research
- Don't pay Vect a ransomThe Register
- Buggy Vect ransomware is effectively a data wiper, researchers findHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
