האקרים משתמשים באתרים מזויפים של כלי קוד פתוח כדי לחטוף קליקים ולהפיץ נוזקות
קמפיין נרחב שהתגלה על ידי צ'ק פוינט ב 3 ביוני 2026 משתמש באתרים מזויפים ברמה מקצועית לכלים כמו Ghidra כדי לנתב משתמשים למערכת TDS מבוקרת שמפיצה נוזקות גניבת מידע וקריפטו המבצע פעיל מסוף 2025, יצר למעלה מ 5,000 הגשות ל VirusTotal עם קורבנות בעיקר בטורקיה, פולין, ברזיל וגרמניה, ומוערך כמערכת רכש תעבורה ומונטיזציה בקנה...
פורסם על ידינערך באמצעות DeepSeek-V4-Proהתמונות נוצרו באמצעות GPT Image 1.5
קמפיין נרחב שהתגלה על ידי צ'ק פוינט ב 3 ביוני 2026 משתמש באתרים מזויפים ברמה מקצועית לכלים כמו Ghidra כדי לנתב משתמשים למערכת TDS מבוקרת שמפיצה נוזקות גניבת מידע וקריפטו
המבצע פעיל מסוף 2025, יצר למעלה מ 5,000 הגשות ל VirusTotal עם קורבנות בעיקר בטורקיה, פולין, ברזיל וגרמניה, ומוערך כמערכת רכש תעבורה ומונטיזציה בקנה מידה גדול
שרשרת התקיפה מתחילה בתוצאות חיפוש של כלי קוד פתוח פופולריים, חוטפת את הקליק הראשון על כפתור הורדה באמצעות JavaScript המאוחסן ב CloudFront, ומסננת משתמשים דרך מערכת TDS עם שכבות אנטי ניתוח מרובות
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
הורדת כלי אבטחת סייבר מוכר כמו Ghidra או SpiderFoot מתוצאות חיפוש הפכה לפעולה מסוכנת ביותר. חוקרי אבטחת סייבר מצ'ק פוינט תיעדו קמפיין הפצת נוזקות מתוחכם ונרחב שמנצל בדיוק את האמון הזה. המבצע, שפורט בדו״ח מ-3 ביוני 2026, מסתמך על רשת של אתרים מתחזים בעלי עיצוב מקצועי שמיירטים את תעבורת המשתמשים ומעבירים אותה דרך מערכת מבוקרת שמפיצה נוזקות באופן סלקטיבי .
זו אינה מתקפת דיוג פשוטה. הקמפיין משלב מניפולציה של תוצאות חיפוש, חטיפת קליקים באמצעות JavaScript המאוחסן ב-Amazon CloudFront, ומערכת הפצת תעבורה (TDS) רבת-שכבות עם מנגנוני אנטי-ניתוח שנועדה לחמוק מגילוי ולכוון רק לקורבנות בעלי הערך הגבוה ביותר. המטרה הסופית היא בעיקר כספית: צ'ק פוינט מעריכה שהמבצע הוא בעצם תוכנית לרכישת תעבורה ומונטיזציה, המשמשת גם כצינור הפצה עבור מפיצי נוזקות אחרים .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "האקרים משתמשים באתרים מזויפים של כלי קוד פתוח כדי לחטוף קליקים ולהפיץ נוזקות"?
קמפיין נרחב שהתגלה על ידי צ'ק פוינט ב 3 ביוני 2026 משתמש באתרים מזויפים ברמה מקצועית לכלים כמו Ghidra כדי לנתב משתמשים למערכת TDS מבוקרת שמפיצה נוזקות גניבת מידע וקריפטו
What are the key points to validate first?
קמפיין נרחב שהתגלה על ידי צ'ק פוינט ב 3 ביוני 2026 משתמש באתרים מזויפים ברמה מקצועית לכלים כמו Ghidra כדי לנתב משתמשים למערכת TDS מבוקרת שמפיצה נוזקות גניבת מידע וקריפטו המבצע פעיל מסוף 2025, יצר למעלה מ 5,000 הגשות ל VirusTotal עם קורבנות בעיקר בטורקיה, פולין, ברזיל וגרמניה, ומוערך כמערכת רכש תעבורה ומונטיזציה בקנה מידה גדול
What should I do next in practice?
שרשרת התקיפה מתחילה בתוצאות חיפוש של כלי קוד פתוח פופולריים, חוטפת את הקליק הראשון על כפתור הורדה באמצעות JavaScript המאוחסן ב CloudFront, ומסננת משתמשים דרך מערכת TDS עם שכבות אנטי ניתוח מרובות
האקרים משתמשים באתרים מזויפים של כלי קוד פתוח כדי לחטוף קליקים ולהפיץ נוזקות
קמפיין נרחב שהתגלה על ידי צ'ק פוינט ב 3 ביוני 2026 משתמש באתרים מזויפים ברמה מקצועית לכלים כמו Ghidra כדי לנתב משתמשים למערכת TDS מבוקרת שמפיצה נוזקות גניבת מידע וקריפטו המבצע פעיל מסוף 2025, יצר למעלה מ 5,000 הגשות ל VirusTotal עם קורבנות בעיקר בטורקיה, פולין, ברזיל וגרמניה, ומוערך כמערכת רכש תעבורה ומונטיזציה בקנה...
פורסם על ידינערך באמצעות DeepSeek-V4-Proהתמונות נוצרו באמצעות GPT Image 1.5
קמפיין נרחב שהתגלה על ידי צ'ק פוינט ב 3 ביוני 2026 משתמש באתרים מזויפים ברמה מקצועית לכלים כמו Ghidra כדי לנתב משתמשים למערכת TDS מבוקרת שמפיצה נוזקות גניבת מידע וקריפטו
המבצע פעיל מסוף 2025, יצר למעלה מ 5,000 הגשות ל VirusTotal עם קורבנות בעיקר בטורקיה, פולין, ברזיל וגרמניה, ומוערך כמערכת רכש תעבורה ומונטיזציה בקנה מידה גדול
שרשרת התקיפה מתחילה בתוצאות חיפוש של כלי קוד פתוח פופולריים, חוטפת את הקליק הראשון על כפתור הורדה באמצעות JavaScript המאוחסן ב CloudFront, ומסננת משתמשים דרך מערכת TDS עם שכבות אנטי ניתוח מרובות
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
הורדת כלי אבטחת סייבר מוכר כמו Ghidra או SpiderFoot מתוצאות חיפוש הפכה לפעולה מסוכנת ביותר. חוקרי אבטחת סייבר מצ'ק פוינט תיעדו קמפיין הפצת נוזקות מתוחכם ונרחב שמנצל בדיוק את האמון הזה. המבצע, שפורט בדו״ח מ-3 ביוני 2026, מסתמך על רשת של אתרים מתחזים בעלי עיצוב מקצועי שמיירטים את תעבורת המשתמשים ומעבירים אותה דרך מערכת מבוקרת שמפיצה נוזקות באופן סלקטיבי .
זו אינה מתקפת דיוג פשוטה. הקמפיין משלב מניפולציה של תוצאות חיפוש, חטיפת קליקים באמצעות JavaScript המאוחסן ב-Amazon CloudFront, ומערכת הפצת תעבורה (TDS) רבת-שכבות עם מנגנוני אנטי-ניתוח שנועדה לחמוק מגילוי ולכוון רק לקורבנות בעלי הערך הגבוה ביותר. המטרה הסופית היא בעיקר כספית: צ'ק פוינט מעריכה שהמבצע הוא בעצם תוכנית לרכישת תעבורה ומונטיזציה, המשמשת גם כצינור הפצה עבור מפיצי נוזקות אחרים .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "האקרים משתמשים באתרים מזויפים של כלי קוד פתוח כדי לחטוף קליקים ולהפיץ נוזקות"?
קמפיין נרחב שהתגלה על ידי צ'ק פוינט ב 3 ביוני 2026 משתמש באתרים מזויפים ברמה מקצועית לכלים כמו Ghidra כדי לנתב משתמשים למערכת TDS מבוקרת שמפיצה נוזקות גניבת מידע וקריפטו
What are the key points to validate first?
קמפיין נרחב שהתגלה על ידי צ'ק פוינט ב 3 ביוני 2026 משתמש באתרים מזויפים ברמה מקצועית לכלים כמו Ghidra כדי לנתב משתמשים למערכת TDS מבוקרת שמפיצה נוזקות גניבת מידע וקריפטו המבצע פעיל מסוף 2025, יצר למעלה מ 5,000 הגשות ל VirusTotal עם קורבנות בעיקר בטורקיה, פולין, ברזיל וגרמניה, ומוערך כמערכת רכש תעבורה ומונטיזציה בקנה מידה גדול
What should I do next in practice?
שרשרת התקיפה מתחילה בתוצאות חיפוש של כלי קוד פתוח פופולריים, חוטפת את הקליק הראשון על כפתור הורדה באמצעות JavaScript המאוחסן ב CloudFront, ומסננת משתמשים דרך מערכת TDS עם שכבות אנטי ניתוח מרובות
ההדבקה מתחילה כאשר משתמש מחפש כלי קוד פתוח פופולרי. התוקפים פרסו צי של אתרים מזויפים שמתחזים לדפי פרויקטים לגיטימיים של תוכנות כמו Ghidra, dnSpy ו-SpiderFoot. אתרים אלה מעוצבים היטב, לעתים קרובות מפנים למשאבים רשמיים אמיתיים, ומדורגים גבוה בתוצאות החיפוש, כך שהם נראים כמו פורטלי פרויקטים לגיטימיים במבט ראשון .
ההונאה הטכנית מופעלת ברגע שהמשתמש מבצע אינטראקציה. כאשר קורבן לוחץ על כפתור ״הורדה״ באחד האתרים הללו, שכבת JavaScript המאוחסנת ב-CloudFront הופכת את הקליק הראשון הזה להפניה מחדש. כך הקורבן מועבר לתשתית ה-TDS של הקמפיין .
מערכת הפצת תעבורה מבוקרת: סינון לקורבנות בעלי ערך גבוה
מערכת ה-TDS פועלת כשער מתוחכם, ולא כהפניה פשוטה. הניתוח של צ'ק פוינט חושף שהיא מיישמת מנגנוני אנטי-ניתוח וסינון רב-שכבתיים כדי להפריד בין קורבנות אמיתיים לבין חוקרי אבטחה, סביבות ארגז חול (sandboxes) וסורקים אוטומטיים. רק משתמשים שעוברים את הבדיקות הללו מנותבים לנוזקות הסופיות . מסירה סלקטיבית זו מקשה על מיפוי הקמפיין ומעלה את הערך של כל הדבקה מוצלחת עבור המפעילים. כדי לחמוק עוד יותר מגילוי, המערכת משתמשת בטכניקות כמו מפתחות ייחודיים לכל סשן (per-session keys) ושחרור מפתחות חד-פעמיים .
בקמפיין נצפו שלוש משפחות נוזקות שונות, כל אחת משרתת מטרת מונטיזציה שונה.
RemusStealer: זהו כלי גניבת מידע בתשלום (Malware-as-a-Service) שמשווק במחיר של 250–500 דולר. הוא מכוון למגוון עצום של נתונים רגישים, כולל פרטי כניסה מיותר מ-20 דפדפנים, נתונים מיותר מ-220 תוספי ארנקי קריפטו, מנהלי סיסמאות וכלי אימות דו-שלבי (2FA) .
AnimateClipper: כלי להחלפת כתובות קריפטו (clipper) שנועד לחטוף עסקאות בזמן אמת על ידי החלפת כתובת הארנק שהמשתמש העתיק בכתובת שבשליטת התוקף. הוא מסוגל לפקח וליירט עסקאות ביותר מ-20 רשתות בלוקצ'יין שונות .
SessionGate: מסגרת תוכנה שלא תועדה בעבר, המשמשת כטוען רב-שלבי (multi-stage loader) עם ערפול כבד (heavy obfuscation) ומנגנוני אנטי-ניתוח נרחבים להעברת יישומים לא רצויים (PUAs) או נוזקות נוספות. היא משמשת כנקודת האחיזה הראשונית והטוען בשרשראות התקיפה שנצפו .
מבצע גלובלי ומתמשך
היקף הקמפיין משמעותי. צ'ק פוינט מדווחת שהמערכת פעילה מסוף 2025 ויצרה למעלה מ-5,000 הגשות ל-VirusTotal, מה שמעיד על מאגר קורבנות רחב. היעדים הגיאוגרפיים העיקריים פרוסים על פני כדור הארץ, עם ריכוז גבוה של פעילות בטורקיה, פולין, ברזיל, גרמניה, צרפת, רוסיה ובריטניה .
עבור מפתחים ואנשי אבטחה, המסקנה ברורה ודחופה. הימים בהם אפשר היה להוריד כלי באופן מזדמן מתוצאת חיפוש חלפו. משתמשים חייבים לוודא שהם נמצאים במאגר הפרויקט הרשמי, לגשת ישירות לדף GitHub או GitLab מוכר, ולהיות חשדניים כלפי כל הורדה שאינה מספקת את הקובץ הצפוי באופן מיידי. המקצועיות של האתרים המזויפים האלה הופכת בדיקה ויזואלית בלבד להגנה לא מספקת מול מערכת שבנויה על אמון גנוב והונאה אוטומטית.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
ההדבקה מתחילה כאשר משתמש מחפש כלי קוד פתוח פופולרי. התוקפים פרסו צי של אתרים מזויפים שמתחזים לדפי פרויקטים לגיטימיים של תוכנות כמו Ghidra, dnSpy ו-SpiderFoot. אתרים אלה מעוצבים היטב, לעתים קרובות מפנים למשאבים רשמיים אמיתיים, ומדורגים גבוה בתוצאות החיפוש, כך שהם נראים כמו פורטלי פרויקטים לגיטימיים במבט ראשון .
ההונאה הטכנית מופעלת ברגע שהמשתמש מבצע אינטראקציה. כאשר קורבן לוחץ על כפתור ״הורדה״ באחד האתרים הללו, שכבת JavaScript המאוחסנת ב-CloudFront הופכת את הקליק הראשון הזה להפניה מחדש. כך הקורבן מועבר לתשתית ה-TDS של הקמפיין .
מערכת הפצת תעבורה מבוקרת: סינון לקורבנות בעלי ערך גבוה
מערכת ה-TDS פועלת כשער מתוחכם, ולא כהפניה פשוטה. הניתוח של צ'ק פוינט חושף שהיא מיישמת מנגנוני אנטי-ניתוח וסינון רב-שכבתיים כדי להפריד בין קורבנות אמיתיים לבין חוקרי אבטחה, סביבות ארגז חול (sandboxes) וסורקים אוטומטיים. רק משתמשים שעוברים את הבדיקות הללו מנותבים לנוזקות הסופיות . מסירה סלקטיבית זו מקשה על מיפוי הקמפיין ומעלה את הערך של כל הדבקה מוצלחת עבור המפעילים. כדי לחמוק עוד יותר מגילוי, המערכת משתמשת בטכניקות כמו מפתחות ייחודיים לכל סשן (per-session keys) ושחרור מפתחות חד-פעמיים .
בקמפיין נצפו שלוש משפחות נוזקות שונות, כל אחת משרתת מטרת מונטיזציה שונה.
RemusStealer: זהו כלי גניבת מידע בתשלום (Malware-as-a-Service) שמשווק במחיר של 250–500 דולר. הוא מכוון למגוון עצום של נתונים רגישים, כולל פרטי כניסה מיותר מ-20 דפדפנים, נתונים מיותר מ-220 תוספי ארנקי קריפטו, מנהלי סיסמאות וכלי אימות דו-שלבי (2FA) .
AnimateClipper: כלי להחלפת כתובות קריפטו (clipper) שנועד לחטוף עסקאות בזמן אמת על ידי החלפת כתובת הארנק שהמשתמש העתיק בכתובת שבשליטת התוקף. הוא מסוגל לפקח וליירט עסקאות ביותר מ-20 רשתות בלוקצ'יין שונות .
SessionGate: מסגרת תוכנה שלא תועדה בעבר, המשמשת כטוען רב-שלבי (multi-stage loader) עם ערפול כבד (heavy obfuscation) ומנגנוני אנטי-ניתוח נרחבים להעברת יישומים לא רצויים (PUAs) או נוזקות נוספות. היא משמשת כנקודת האחיזה הראשונית והטוען בשרשראות התקיפה שנצפו .
מבצע גלובלי ומתמשך
היקף הקמפיין משמעותי. צ'ק פוינט מדווחת שהמערכת פעילה מסוף 2025 ויצרה למעלה מ-5,000 הגשות ל-VirusTotal, מה שמעיד על מאגר קורבנות רחב. היעדים הגיאוגרפיים העיקריים פרוסים על פני כדור הארץ, עם ריכוז גבוה של פעילות בטורקיה, פולין, ברזיל, גרמניה, צרפת, רוסיה ובריטניה .
עבור מפתחים ואנשי אבטחה, המסקנה ברורה ודחופה. הימים בהם אפשר היה להוריד כלי באופן מזדמן מתוצאת חיפוש חלפו. משתמשים חייבים לוודא שהם נמצאים במאגר הפרויקט הרשמי, לגשת ישירות לדף GitHub או GitLab מוכר, ולהיות חשדניים כלפי כל הורדה שאינה מספקת את הקובץ הצפוי באופן מיידי. המקצועיות של האתרים המזויפים האלה הופכת בדיקה ויזואלית בלבד להגנה לא מספקת מול מערכת שבנויה על אמון גנוב והונאה אוטומטית.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
