מתקפת שרשרת האספקה על דפדפן Hola: כורה קריפטו נסתר שפעל בחשאיות

לאחר ההתקנה, הנוזקה דאגה להמשכיות פעולתה באמצעות סדרת צעדים:

• הצבת קבצים: הכורה העתיק את עצמו לנתיב

  C:\Program Files\Hola\HolaMonitorService.exe

  , שם ומיקום שנראו לגיטימיים לחלוטין כרכיב ניטור שיגרתי של הדפדפן .
• יצירת שירות: הקובץ יצר שירות Windows חדש בשם hola_monitor_svc והגדיר אותו להפעלה אוטומטית (

  Start = 0x00000002

  ) בכל פעם שהמחשב עולה מחדש .
• עקיפת האנטי-וירוס: כדי להתחמק מסריקות של תוכנת ההגנה המובנית ב-Windows, הנוזקה הוסיפה החרגה ייעודית עבור עצמה ב-Windows Defender .
• הסוואה ואנונימיות: קובץ ה-me.exe היה חסר חתימה דיגיטלית, הכיל קוד שעורפל (Obfuscated) ולא כלל חותמת זמן תקפה. חוקרים ציינו ששם הקובץ נבחר בקפידה כדי להיראות בלתי מזיק ולהשתלב בין תהליכים לגיטימיים .

מרחב פגיעה מצומצם אך חמור

היקף הפגיעה היה מצומצם יחסית. Sophos העריכה כי כ-0.1% ממשתמשי דפדפן Hola נפגעו . אמנם מדובר באחוז קטן, אך האירוע הוא דוגמה מובהקת למתקפת שרשרת אספקה: ערוץ הפצה מהימן של תוכנה מנוצל נגד המשתמשים בו, תוך עקיפת מנגנוני האבטחה שמשתמשים סומכים עליהם בעת התקנת תוכנה ממקור רשמי.

חשוב לציין שהמתקפה לא הייתה פריצה לקוד המקור של Hola. היא הצביעה על נקודת תורפה בתהליך הבנייה וההפצה של התוכנה – תזכורת לכך שגם כאשר מפתחים כותבים קוד נקי, פגיעה בשלב ההידור, האריזה או ההפצה עלולה להרעיל את המוצר הסופי .

תגובת Hola לאירוע

לאחר שממצאי Sophos X-Ops דווחו לחברה, Hola פעלה לבלימת האיום ולמניעת הישנותו. צעדי התיקון כללו:

• בנייה מחדש של תהליך ההפצה מהיסוד, כדי לחסל כל גישה שיורית של התוקף .
• הטמעת אימות חתימה דיגיטלית (Code Signing) כדי לחסום קבצים לא חתומים ולא מורשים מלעבור בתהליך הבנייה .
• הגברת בקרות הגישה והניטור הרציף על תשתיות ההפצה .

למרות צעדים אלה, נכון ל-4 ביוני 2026, מועד החשיפה הפומבית, שאלות קריטיות נותרו ללא מענה. Hola לא חשפה בפומבי את וקטור התקיפה הראשוני – כיצד נפרץ תהליך ההפצה מלכתחילה, את זהות התוקף, או את משך הזמן שבו הייתה לו גישה למערכות. התמונה המודיעינית המלאה נותרה חסויה, מצב שמותיר למשתמשים ולקהילת אבטחת המידע סיפור אזהרה חשוב, אך הבנה חלקית בלבד של האיום .