מתקפת ענק על ווידג'ט הביקורות Okendo: האקרים השתילו קוד זדוני בלמעלה מ-18,000 חנויות
ב 14 במאי 2026, חוקרי Zscaler ThreatLabz זיהו את שחקן האיום SmartApeSG (הידוע גם כ ZPHP ו HANEYMANEY) משתיל JavaScript זדוני בווידג'ט הביקורות הלגיטימי של Okendo — Loader מדורג שהשתמש במעקב localStorage, ערפול XOR וקפ... הקוד הזדוני בדק תחילה אם המשתמש נמצא בסביבת שולחן עבודה של Windows, התעלם ממכשירים ניידים, ולאחר...
What was the Okendo Reviews widget supply chain attack in mid-May 2026, including how the SmartApeSG threat actor compromised the widget witAI-generated illustration of a supply chain attack vector targeting a third-party widget.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the Okendo Reviews widget supply chain attack in mid-May 2026, including how the SmartApeSG threat actor compromised the widget wit. Article summary: Here is a comprehensive breakdown of the Okendo Reviews widget supply chain attack in mid-May 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as fac
openai.com
מתקפת שרשרת אספקה על ווידג'ט הביקורות Okendo: איך SmartApeSG השתילה JavaScript זדוני ביותר מ-18,000 אתרים
ביום 14 במאי 2026, זיהו חוקרי Zscaler ThreatLabz מתקפת שרשרת אספקה בה השתיל שחקן האיום SmartApeSG (הידוע גם בשמות ZPHP ו-HANEYMANEY) קוד JavaScript זדוני בווידג'ט הביקורות הלגיטימי של Okendo . Okendo היא פלטפורמת ביקורות לקוחות המשמשת מעל 18,000 מותגים בדפי חנויות מסחר אלקטרוני, דפי מוצרים וטפסי ביקורת ברחבי העולם . חשיפת הפריצה חשפה מיליוני קונים באינטרנט לנוזקות, ופלטפורמת הענן של Zscaler תיעדה כמעט 15,000 חסימות הקשורות לפעילות SmartApeSG ביום אחד בלבד . מאמר זה מפרק את המנגנון הטכני של המתקפה, היקף הפרצה, הנוזקות שהופצו ואופן תגובת Okendo.
מנגנון טכני של JavaScript הזדוני
הקוד שהוחדר פעל כ-Loader מדורג עם מספר שכבות התחמקות ומיקוד . במקום להפיל נוזקה מידית, הוא ביצע תחילה בדיקות סביבתיות כדי להימנע מזיהוי ולוודא שהקורבן הוא יעד מתאים:
מעקב localStorage — בביקור הראשון, הסקריפט קבע חותמת זמן באחסון המקומי של הדפדפן. פעולה זו מנעה ביצוע חוזר עבור אותו משתמש, הפחיתה רעש והקטינה את הסיכוי להפעלת התראות אבטחה במהלך בדיקות שגרתיות .
סינון User-Agent (החרגת מכשירים ניידים) — הסקריפט בדק את מחרוזת ה-User-Agent של המבקר כדי להתעלם מדפדפנים ניידים ולכוון רק לסביבות שולחן עבודה. שלבי ההדבקה המאוחרים יותר הסתמכו על אינטראקציות ספציפיות ל-Windows, ולכן קורבנות ניידים עוקפו לחלוטין .
ערפול XOR — ה-Loader בנה מחדש באופן דינמי את כתובת ה-Command-and-Control (C2) הבאה שלו על ידי פענוח שברי מחרוזות מעורפלות XOR בזמן ריצה, תוך עקיפת זיהוי מבוסס חתימות בסיסי .
הזרקת סקריפט דינמית — לאחר בנייה מחדש של כתובת ה-C2 הנסתרת, הקוד החדיר רכיב <script> חדש לעמוד כדי להביא מטענים המשך .
קפטצ'ה מזויפת / הנדסה חברתית ClickFix — קורבנות שעברו את כל הבדיקות הוצגו בפניהם דף "אמת שאתה אנושי" מזויף המבוסס על ClickFix. ההנחיה הורתה למשתמשים לפתוח את חלון ה-Run של Windows (Win+R) ולהדביק פקודה שהועתקה בשקט ללוח שלהם .
פיתוי ההנדסה החברתית ClickFix
ClickFix היא טכניקה של הנדסה חברתית שבה סקריפט זדוני מעתיק פקודה ללוח המשתמש, ולאחר מכן מציג הוראות המבקשות ממנו להדביק ולהריץ אותה. הפקודה מוסווית כשלב אימות. במתקפה זו, פיתוי ClickFix הוטמע בתוך דף CAPTCHA מזויף שנוצר על ידי הווידג'ט שנפרץ . אם משתמש ביצע את ההוראות, הפקודה שהודבקה הפעילה סקריפט PowerShell או קובץ HTML Application (HTA), אשר הוריד והתקין נוזקה .
אספקת מטענים: RATs וגונבי מידע
ברגע שפיתוי ClickFix בוצע, שרשרת ההדבקה סיפקה אחת או יותר מהנוזקות הבאות :
NetSupport RAT — סוס טרויאני לגישה מרחוק המעניק לתוקפים שליטה מרחוק מתמשכת במחשב הנגוע.
Remcos RAT — סוס טרויאני לגישה מרחוק עם יכולות רישום הקשות, מעקב וגניבת אישורים.
StealC — גונב מידע המכוון לסיסמאות ואישורים פיננסיים.
Sectop RAT — סוס טרויאני לגישה מרחוק המשמש לריגול.
DeerStealer — גונב מידע שנצפה בווריאציות מוקדמות יותר של SmartApeSG ClickFix .
היקף הפרצה
מעל 18,000 מותגי מסחר אלקטרוני השתמשו בווידג'ט Okendo שנפרץ, מה שחשף משטח תקיפה עצום במורד הזרם .
האתרים שנפגעו נעו מחנויות מקוונות בינוניות ועד מותגי קמעונאות גדולים בארה"ב, עם הערכות תנועה של 150,000 עד כמה מיליוני מבקרים חודשיים לכל אתר. מותג קמעונאות אמריקאי אחד לבדו מושך כ-7 מיליון מבקרים בחודש .
ב**-14 במאי 2026 בלבד**, פלטפורמת הענן של Zscaler תיעדה כמעט 15,000 חסימות הקשורות לפעילות SmartApeSG — הנפח היומי הגבוה ביותר שנראה אי פעם עבור שחקן איום זה .
ההיסטוריה הקודמת של SmartApeSG בנוזקות
SmartApeSG אינה קבוצה חדשה. לקבוצה היסטוריה מתועדת של ניהול קמפיינים בסגנון ClickFix מאז אמצע 2024, במהלכה הפיצה NetSupport RAT, Remcos RAT, StealC ו-Sectop RAT במספר מבצעים קודמים . קמפיינים קודמים השתמשו באתרים נפרצים עם דפי CAPTCHA מזויפים כדי להערים על משתמשים להדביק ולהריץ פקודות זדוניות דרך חלון ההרצה של Windows . כמו כן, נצפתה הקבוצה פורסת את גונב המידע DeerStealer בווריאציות מוקדמות יותר של ClickFix . מתקפת Okendo מייצגת הסלמה: במקום להדביק אתרים בודדים, SmartApeSG פרצה ווידג'ט צד שלישי בשימוש נרחב כדי להגיע לאלפי אתרים בבת אחת — מכפיל שרשרת אספקה קלאסי .
צעדי תיקון שננקטו
Zscaler ThreatLabz דיווחה על התקרית ישירות לOkendo ב-14 במאי 2026 .
Okendo אישרה את הידיעה על התקרית ושיחזרה את סקריפט הווידג'ט הפגוע למצב נקי, ובכך הסירה למעשה את הקוד הזדוני מהמחזור .
Zscaler פרסה חתימות זיהוי תחת שם האיום JS.Injection.SmartApeSG כדי לעקוב אחר פעילות ההזרקה ולחסום אותה .
אינדיקטורים לפגיעה (IoCs) שפורסמו על ידי חוקרים כוללים את כתובת הווידג'ט שנפרץ (
What is the short answer to "מתקפת ענק על ווידג'ט הביקורות Okendo: האקרים השתילו קוד זדוני בלמעלה מ-18,000 חנויות"?
ב 14 במאי 2026, חוקרי Zscaler ThreatLabz זיהו את שחקן האיום SmartApeSG (הידוע גם כ ZPHP ו HANEYMANEY) משתיל JavaScript זדוני בווידג'ט הביקורות הלגיטימי של Okendo — Loader מדורג שהשתמש במעקב localStorage, ערפול XOR וקפ...
What are the key points to validate first?
ב 14 במאי 2026, חוקרי Zscaler ThreatLabz זיהו את שחקן האיום SmartApeSG (הידוע גם כ ZPHP ו HANEYMANEY) משתיל JavaScript זדוני בווידג'ט הביקורות הלגיטימי של Okendo — Loader מדורג שהשתמש במעקב localStorage, ערפול XOR וקפ... הקוד הזדוני בדק תחילה אם המשתמש נמצא בסביבת שולחן עבודה של Windows, התעלם ממכשירים ניידים, ולאחר מכן הציג דף 'אימות אנושי' מזויף שביקש מהקורבן להדביק פקודה בחלון ההרצה (Win+R) — פקודה שהועתקה מראש ללוח
What should I do next in practice?
ההדבקה הובילה להתקנת תוכנות זדוניות מרוחקות: NetSupport RAT, Remcos RAT, StealC, Sectop RAT ו DeerStealer, שגונבות סיסמאות ונתונים פיננסיים
