מתקפת ענק על ווידג'ט הביקורות Okendo: האקרים השתילו קוד זדוני בלמעלה מ-18,000 חנויות

מנגנון טכני של JavaScript הזדוני

הקוד שהוחדר פעל כ-Loader מדורג עם מספר שכבות התחמקות ומיקוד . במקום להפיל נוזקה מידית, הוא ביצע תחילה בדיקות סביבתיות כדי להימנע מזיהוי ולוודא שהקורבן הוא יעד מתאים:

• מעקב localStorage — בביקור הראשון, הסקריפט קבע חותמת זמן באחסון המקומי של הדפדפן. פעולה זו מנעה ביצוע חוזר עבור אותו משתמש, הפחיתה רעש והקטינה את הסיכוי להפעלת התראות אבטחה במהלך בדיקות שגרתיות .
• סינון User-Agent (החרגת מכשירים ניידים) — הסקריפט בדק את מחרוזת ה-User-Agent של המבקר כדי להתעלם מדפדפנים ניידים ולכוון רק לסביבות שולחן עבודה. שלבי ההדבקה המאוחרים יותר הסתמכו על אינטראקציות ספציפיות ל-Windows, ולכן קורבנות ניידים עוקפו לחלוטין .
• ערפול XOR — ה-Loader בנה מחדש באופן דינמי את כתובת ה-Command-and-Control (C2) הבאה שלו על ידי פענוח שברי מחרוזות מעורפלות XOR בזמן ריצה, תוך עקיפת זיהוי מבוסס חתימות בסיסי .
• הזרקת סקריפט דינמית — לאחר בנייה מחדש של כתובת ה-C2 הנסתרת, הקוד החדיר רכיב <script> חדש לעמוד כדי להביא מטענים המשך .
• קפטצ'ה מזויפת / הנדסה חברתית ClickFix — קורבנות שעברו את כל הבדיקות הוצגו בפניהם דף "אמת שאתה אנושי" מזויף המבוסס על ClickFix. ההנחיה הורתה למשתמשים לפתוח את חלון ה-Run של Windows (Win+R) ולהדביק פקודה שהועתקה בשקט ללוח שלהם .

פיתוי ההנדסה החברתית ClickFix

ClickFix היא טכניקה של הנדסה חברתית שבה סקריפט זדוני מעתיק פקודה ללוח המשתמש, ולאחר מכן מציג הוראות המבקשות ממנו להדביק ולהריץ אותה. הפקודה מוסווית כשלב אימות. במתקפה זו, פיתוי ClickFix הוטמע בתוך דף CAPTCHA מזויף שנוצר על ידי הווידג'ט שנפרץ . אם משתמש ביצע את ההוראות, הפקודה שהודבקה הפעילה סקריפט PowerShell או קובץ HTML Application (HTA), אשר הוריד והתקין נוזקה .

אספקת מטענים: RATs וגונבי מידע

ברגע שפיתוי ClickFix בוצע, שרשרת ההדבקה סיפקה אחת או יותר מהנוזקות הבאות :

• NetSupport RAT — סוס טרויאני לגישה מרחוק המעניק לתוקפים שליטה מרחוק מתמשכת במחשב הנגוע.
• Remcos RAT — סוס טרויאני לגישה מרחוק עם יכולות רישום הקשות, מעקב וגניבת אישורים.
• StealC — גונב מידע המכוון לסיסמאות ואישורים פיננסיים.
• Sectop RAT — סוס טרויאני לגישה מרחוק המשמש לריגול.
• DeerStealer — גונב מידע שנצפה בווריאציות מוקדמות יותר של SmartApeSG ClickFix .

היקף הפרצה

• מעל 18,000 מותגי מסחר אלקטרוני השתמשו בווידג'ט Okendo שנפרץ, מה שחשף משטח תקיפה עצום במורד הזרם .
• האתרים שנפגעו נעו מחנויות מקוונות בינוניות ועד מותגי קמעונאות גדולים בארה"ב, עם הערכות תנועה של 150,000 עד כמה מיליוני מבקרים חודשיים לכל אתר. מותג קמעונאות אמריקאי אחד לבדו מושך כ-7 מיליון מבקרים בחודש .
• ב**-14 במאי 2026 בלבד**, פלטפורמת הענן של Zscaler תיעדה כמעט 15,000 חסימות הקשורות לפעילות SmartApeSG — הנפח היומי הגבוה ביותר שנראה אי פעם עבור שחקן איום זה .

ההיסטוריה הקודמת של SmartApeSG בנוזקות

SmartApeSG אינה קבוצה חדשה. לקבוצה היסטוריה מתועדת של ניהול קמפיינים בסגנון ClickFix מאז אמצע 2024, במהלכה הפיצה NetSupport RAT, Remcos RAT, StealC ו-Sectop RAT במספר מבצעים קודמים . קמפיינים קודמים השתמשו באתרים נפרצים עם דפי CAPTCHA מזויפים כדי להערים על משתמשים להדביק ולהריץ פקודות זדוניות דרך חלון ההרצה של Windows . כמו כן, נצפתה הקבוצה פורסת את גונב המידע DeerStealer בווריאציות מוקדמות יותר של ClickFix . מתקפת Okendo מייצגת הסלמה: במקום להדביק אתרים בודדים, SmartApeSG פרצה ווידג'ט צד שלישי בשימוש נרחב כדי להגיע לאלפי אתרים בבת אחת — מכפיל שרשרת אספקה קלאסי .

צעדי תיקון שננקטו

• Zscaler ThreatLabz דיווחה על התקרית ישירות לOkendo ב-14 במאי 2026 .
• Okendo אישרה את הידיעה על התקרית ושיחזרה את סקריפט הווידג'ט הפגוע למצב נקי, ובכך הסירה למעשה את הקוד הזדוני מהמחזור .
• Zscaler פרסה חתימות זיהוי תחת שם האיום JS.Injection.SmartApeSG כדי לעקוב אחר פעילות ההזרקה ולחסום אותה .
• אינדיקטורים לפגיעה (IoCs) שפורסמו על ידי חוקרים כוללים את כתובת הווידג'ט שנפרץ (

  hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]js

  ) ודומיינים של תשתית C2 של SmartApeSG כגון api[.]wigetticks[.]com ו-api[.]wizzleticks[.]com .