מודעת פרסום שאף אחד לא לחץ עליה הדביקה 45 מכשירים לפחות ברשת אל-ג'זירה, והצינור שהגיש אותה היה חברה ישראלית. זה היה הסיפור הגדול של השבוע, והוא לא היחיד שבו משהו שבור הגיע דווקא מהכיוון שנחשב בטוח: שער VPN מעודכן לגמרי, ארנק קריפטו בקופסה סגורה, וטלפון חדש מהאריזה.
כשההדבקה עוברת דרך רשת פרסום
Citizen Lab תיארה איך מודעות שהוגשו דרך חברת הפרסום הישראלית Discover-Tech סיננו מכשירים ספציפיים והחזירו קוד תקיפה רק לנבחרים מביניהם, בלי שהקורבן לחץ על כלום. באותו שבוע הגיעו עוד שתי תזכורות לכך שרוב החשיפה הישראלית לא עוברת בכלל דרך פריצה. ההתכתבויות שיוחסו ליונתן אוריך לא אומתו על ידי אף גורם עצמאי, אבל מה שכן תועד הוא חשבון וואטסאפ פרטי שחובר בסריקת QR לשירות אוטומציה באיחוד האמירויות. ובמקביל, הצפת מסרוני הבחירות מיותר מ-600 מספרי שליחה מייצרת רעש שבתוכו קל להודעת הונאה אחת לעבור מתחת לרדאר. מי ששולח את ההודעות האלה גם קונה אותן מהמדף, ומיקרוסופט השתלטה על הדומיינים של שוק ערכות פישינג שהחזיק קטלוג של 2,300 תבניות התחזות לפי מדינה.
שערי ה-VPN, שוב
Volexity דיווחה שתוקף שרשר שלוש חולשות ב-Ivanti Connect Secure והריץ פקודות בהרשאות root בלי להזדהות בכלל. שתיים תוקנו ב-13 באוקטובר, השלישית עדיין בלי תיקון, ובודק השלמות של היצרן לא מזהה את הניצול. Unit 42 מצאה תמונה דומה בצד של פורטינט: חדירה אחת ל-FortiManager מרכזי הוציאה תצורות, פרטי אימות ומפתחות של יותר מ-500 חומות אש מנוהלות, ועל חלק מהן נשאר שתל שחי רק בזיכרון של שני תהליכים לגיטימיים, בלי קובץ בדיסק ובלי חיבור יוצא. ואצל פאלו אלטו, חמישה חודשים אחרי שהתיקון יצא, ReliaQuest מדווחת ששתי קבוצות כופרה עוד פותחות session בלי פרטי אימות דרך cookie שמוצפן אבל אף אחד לא בודק מי הצפין אותו.
1,415 חולשות בעדכון אחד
מיקרוסופט חצתה לראשונה ארבע ספרות של חולשות בחודש אחד, ואחת מהן באמת מותקפת בשטח. באותו יום עצמו היא גם הודיעה שמהדורות Home ו-Pro של ווינדוס 11 בגרסה 24H2 קיבלו את העדכון האחרון שלהן, כך שמי שלא בדק מעולם באיזו גרסה הוא נמצא כנראה צריך לבדוק עכשיו. ובצד של התוכנה שכולם פותחים בלי לחשוב, LibreOffice סגרה חולשה שמריצה קוד של התוקף מרגע פתיחת גיליון, בלי השאלה שהתוכנה אמורה לשאול לפני הרצת מאקרו. ב-Apache OpenOffice אותה חולשה עדיין פתוחה.
חומרה שהגיעה נגועה מהקופסה
Ledger אישרה ששתל חומרה לא מאושר נמצא במכשיר שנמכר דרך מפיץ בדרום-מזרח אסיה, ואז צוות האבטחה שלה תיאר איך הוא עובד: רכיב נפרד שמזהה את המסך שמציג את 24 מילות השחזור, מפענח אותן ושולח ברשת הסלולרית. בדיקת התקינות של הארנק לא רואה אותו, כי הוא לא נוגע בתוכנה. הערכות הגניבה, 86 עד 93 מיליון דולר, מגיעות מחוקרי בלוקצ'יין ולא מהחברה. בטווח מחירים אחר לגמרי, Bitdefender סופרת אלפי טלפונים זולים ביותר מ-150 מדינות שיצאו מהמפעל עם רכיב מערכת חתום שמגייס את החיבור שלהם לטובת תנועה של אחרים, ואי אפשר להסיר אותו.
AI, בשני הכיוונים
XBOW חיברה שלוש חולשות בכרום לשרשרת שמריצה קוד על ווינדוס מעצם הכניסה לעמוד אינטרנט, וגוגל שילמה עליה 250 אלף דולר. החידוש הוא לא התקיפה אלא המחיר: שישה ימים וכ-40 אלף דולר של חישוב, לפי החברה עצמה. מהצד השני של המתרס, SOCRadar מצאה שרת פתוח לאינטרנט שהגיש את תיקיית העבודה החיה של תוקף, כולל יומני ההרצה של 51 סוכני AI שהוא בנה. גם התשתית שמריצה את כל זה הפכה ליעד: Check Point מצאה ב-LiteLLM שרשרת ממשתמש מחובר רגיל עד הרצת קוד על השער שמרכז את מפתחות המודלים של הארגון. ולמי שפשוט חיפש הורדה, חיכתה מודעה ממומנת בגוגל שהציגה את הדומיין של בינג והובילה לעמוד הורדה מזויף שהחליף את הפקודה בלוח ההעתקה.
מה לקחת מהשבוע הזה
אם יש בארגון שלכם Ivanti Connect Secure, זו העבודה של סוף השבוע: החולשה שמעניקה root עדיין בלי תיקון, ו"ההתקן מעודכן לגמרי" לא אומר כאן כלום. עברו על הלוגים לפי המדדים ש-Volexity פרסמה, במקום להסתמך על בודק השלמות של היצרן. ובבית יש שני דברים שלוקחים דקה: בדקו באיזו גרסה של ווינדוס 11 אתם (Win+R, ואז winver), ואם זו 24H2 במהדורה ביתית תכננו שדרוג, והדליקו את ההגנה המורחבת ב-Google Messages שגוגל שלחה כבויה כברירת מחדל.
תגובות