ב-10 בספטמבר צ'ק פוינט פרסמה תיקון לשתי חולשות בציון 9.8 בשערי האבטחה ובשרת הניהול שלה, ואמרה שמצאה אותן בעצמה. שלושה עשר ימים אחר כך היא אישרה ששתי מערכות שונות שלה מותקפות בפועל, אחת מהן מאז יולי. זה הסיפור הגדול של ספטמבר, וגם הסיפור הישראלי שלו. סביבו רץ החודש הרגיל: יותר מ-200 כתבות על חולשות, נוזקות ודליפות, שיא חדש של תיקוני אבטחה אצל מיקרוסופט, ושינוי אחד שקשה להתעלם ממנו, סוכני AI שעברו מצד ההדגמות לצד מי שמריץ את הקמפיין.
החודש שבו צ'ק פוינט הייתה היעד
השרשרת התחילה בשתי חולשות בטיפול בתעודות VPN שמאפשרות לתוקף לא מזוהה להריץ קוד על הציוד. התיקון יצא, ובפורום הלקוחות כמה מנהלי רשת דיווחו שהעדכון האוטומטי עדיין לא הגיע אליהם. יומיים אחר כך מרכז הסייבר ההולנדי העריך שניסיונות ניצול יתחילו בקרוב, אף שקוד ניצול פומבי לא היה, ואז התברר שהרשימה הרשמית כוללת גם גרסאות שיצאו מתמיכה ואין להן Hotfix בכלל. ב-18 בחודש הגיע תיקון חירום לחולשה בציון 9.8 בשרתי הניהול: שם משתמש ארוך מדי, והשרת שמחזיק את מדיניות חומות האש של הארגון מריץ קוד בהרשאות root, בלי שלתוקף יהיה חשבון. וב-23 בספטמבר צ'ק פוינט פרסמה תיקון לחולשה נוספת באותם שרתי ניהול, שכבר נוצלה בתקיפות ביולי, ובאותה הודעה אישרה שגם חולשת ה-VPN מתחילת החודש מותקפת עכשיו, דווקא אצל לקוחות עסקים קטנים בקו Spark.
מי שחיכה לקוד ניצול פומבי כדי להחליט שהעדכון דחוף, חיכה לסימן הלא נכון.
סוכני AI הפסיקו להיות הדגמה
אוגוסט הראה סוכני AI בשני צידי המתרס. ספטמבר הראה אותם מנהלים מבצעים. חוקרי GreyNoise ו-Blackpoint תיעדו אדם אחד שהריץ מאות סוכנים נגד 440 שרתי הדפסה ב-395 ארגונים, בשבע דקות מהשרת אל הדומיין, ותיקייה שנשארה פתוחה בשרת שלו חשפה את קובצי המצב של הפרויקט, כולל שורה שמתעדת שהמשתמש הפסיק סריקה באמצע. דוח של Gambit Security תיאר מבצע אחר שבו שלושה כלי AI סרקו, פרצו והשתילו קוד לגניבת אשראי בחנויות אמיתיות: יותר מ-600 אלף רשומות כרטיסים, בעלות ממוצעת של 25 דולר ליעד.
את הצד הפחות מכוון סיפקה גוגל עצמה, שאישרה שג'מיני פרץ לשלוש חברות אמיתיות בתוך תרגיל שבו היה אמור לתקוף חברות מומצאות. שם של חברה בדיונית התברר כדומיין אמיתי, במקרה אחד המודל ניחש סיסמה, ובשניים אחרים מצא פרטי אימות במאגר קוד ציבורי. מערך הסייבר הלאומי הציג באמצע החודש מספרים משלו: כלי AI השלימו לבדם 28 מתוך 32 שלבים בשרשרת תקיפה, והמעבר מחדירה להתפשטות ברשת התקצר לכ-27 שניות. המספרים הם של המערך ולא אומתו על ידי גורם חיצוני, ובאותה הודעה הוא גם הודיע על הקמת יחידת התערבות לאומית.
כשהתקיפות מקדימות את רשומת החולשה
מיקרוסופט פתחה את החודש עם חבילת התיקונים הגדולה בתולדותיה, קרוב לאלף חולשות ביום אחד, שתיים מהן כבר מנוצלות בשטח. אבל הסיפור של ספטמבר לא היה הכמות אלא התזמון. ב-GitLab יצא ב-10 בחודש תיקון לחולשה בציון 10 שקוראת קבצים מהשרת בלי חשבון, ולמחרת ב-06:00 נרשמו הבדיקות הראשונות. ב-NetScaler זה עבד בסדר הפוך: חברת המחקר watchTowr מסרה ב-26 בספטמבר ששתי חולשות הרצת קוד מנוצלות בטבע בלי שקיים להן תיקון, בלי מספרי CVE, בלי סימני זיהוי ובלי הודעה מהיצרן, ושתי רשומות ה-CVE, בציון 9.5, נולדו רק למחרת יחד עם התיקון. לפי החוקר Kevin Beaumont המתקפות רצו לאורך כל החודש שקדם לפרסום, ה-webshell שהושתל היה שונה בכל מכשיר, והתוקפים מחקו אחריהם עקבות.
שלוש פריצות של Trezor, ואף אחת מהן לא אצלה
יצרנית ארנקי הקריפטו ספגה בספטמבר שלושה אירועים, וכל אחד מהם הגיע דרך מישהו אחר. ספק המשלוחים שלה נפרץ, ו67 אלף לקוחות נוספים נחשפו מתוך הזמנות שהיו אמורות להימחק ב-2021, אחרי שהחברה ביקשה את המחיקה בזמנו וקיבלה עליה אישור בכתב. חולשת יום-אפס ב-Metabase, כלי דוחות פנימי, חשפה 1,079,819 תלמידים והורים בפלטפורמת הלימוד Mathspace ופגעה באותה דרך גם ב-Trezor. ואז תוקפים נכנסו לפלטפורמת הדיוור שלה ושלחו מהחשבון האמיתי התראה על חולשה שלא קיימת ל-347 אלף בעלי ארנקים, עם קישור לאפליקציה שביקשה את מילות הגיבוי. המייל עבר את כל בדיקות הזיהוי, כי הוא באמת יצא מ-Trezor. כ-2,500 אנשים לחצו.
הגרסה החדה יותר של אותו רעיון הופיעה דווקא ב-1 בספטמבר, כשחטיפת נתיבי BGP הפנתה את מנגנון העדכונים של Virtualizor לשרת של התוקף. השרת ביקש עדכון מהיצרן, וקיבל אותו ממישהו אחר.
מגמות החודש
התבנית שחזרה הכי הרבה פעמים החודש לא דרשה אף חולשה: הדף מבקש לאשר שאתם לא רובוט, מעתיק פקודה ללוח ההעתקה בלי שראיתם, ואז מבקש שתדביקו אותה בעצמכם בחלון ההרצה של ווינדוס. חוקרי Netskope ספרו יותר מ-5,400 אתרים קטנים שנפרצו בשביל זה, בהם אתרי מרפאות, בעלי מקצוע וחנויות. בהמשך החודש אותה תבנית הופיעה במסך אימות מזויף של Cloudflare, וב-30 בספטמבר כבר בצ'אט מותאם שהתארח על chatgpt.com עצמו. לתבנית הזאת קוראים ClickFix, והיא עובדת כי המשתמש הוא זה שמריץ בסוף את הפקודה.
מגמה שנייה: הקוד שמגיע ב-SMS הפך למטרה מוצהרת ולא לפתרון. שירות פישינג אחד כיבה בדף המזויף את מפתח האבטחה כדי לדחוף את הקורבן לקוד מה-SMS, בניסיונות נגד 258 ארגונים, ובאותו שבוע מיקרוסופט קבעה את 1 בפברואר 2027 כסוף האימות הטלפוני בחשבונות עבודה והתחילה להעביר את המשתמשים ל-passkey.
בחזית הישראלית ספטמבר היה חודש של אזהרות צרכניות: מערך הסייבר התריע מהודעות מזויפות בשם Booking שיודעות את תאריכי השהייה ואת מספר ההזמנה ומגל מסרונים על דוחות תנועה שגונבים פרטי אשראי. המקרה החריג של החודש בא מהצד השני של השולחן, כשלפי כתב אישום מנהל אבטחת מידע ישראלי הוא זה שהחדיר נוזקה ל-26 חברות. ובכסף, הסכום הגדול הגיע מבורסת הקריפטו Bitget, שהסכום הגנוב ממנה טיפס מ-351.6 ל-387.5 מיליון דולר בתוך שלושה ימים. את הפירוט יום-אחר-יום של השבוע האחרון אפשר למצוא בסיכום השבועי.
הצעד של החודש
אם לוקחים צעד אחד מספטמבר, הוא כלל התנהגות ולא עדכון: שום דף אינטרנט לא צריך שתדביקו פקודה במחשב שלכם. לא כדי להוכיח שאתם אנושיים, לא כדי "לתקן את התצוגה" ולא כדי להשלים התקנה. ברגע שהוראה מהדפדפן מבקשת לפתוח את חלון ההרצה של ווינדוס (Win+R), את PowerShell או את הטרמינל, עצרו שם, בלי קשר לאתר שאתם נמצאים בו ובלי קשר לכמה הוא נראה אמיתי.
הסיבה שזה הצעד של החודש ולא עוד טיפ היא שבכל שאר המקרים כאן מישהו אחר היה צריך לטעות בשבילכם: יצרן שאיחר עם תיקון, ספק שלא מחק נתונים, שרת ניהול שנשאר בגרסה שיצאה מתמיכה. בתבנית הזאת החוליה היא אתם, וזאת גם היחידה שאפשר לסגור הבוקר.
תגובות