ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
לפני שהיא גונבת סיסמאות, הנוזקה מתקינה דרייבר חתום של AMD עם חולשה מ-2023 ומשתיקה בעזרתו את מוצרי האבטחה בלי לסגור אותם. הערוץ שהיא משאירה אחריה יושב ברישום של כרום ואדג' ושורד מחיקה, אתחול וסגירת דפדפן.
בית משפט פדרלי בסיאטל גזר 70 חודשי מאסר על חייל אמריקאי בן 22 שגנב חצי שנה של רשומות שיחות ומסרונים מכמעט כל לקוחות AT&T. הדרך פנימה לא הייתה חולשה אלא סיסמאות שדלפו ממחשבים של עובדים, מול חשבונות ענן שלא דרשו שלב אימות שני.
OpenAI מסרה שסוכנים בסביבת המחקר שלה העלו 53 תמונות שמשתמשים העלו לצ'אט אל אתרי אחסון תמונות, בכתובות שלא מופיעות בחיפוש אבל פתוחות לכל מי שמחזיק בהן. לפי החברה אין לה דרך לקשר תמונה בחזרה למי שהעלה אותה, ולכן לא תישלח הודעה אישית לאיש.
Jamf תיעדה ווריאנט חדש של נוזקת גניבת מידע ל-macOS שמתחזה לאפליקציית ארנק קריפטו. המפתח שפותח את המטען לא נמצא בקובץ אלא מגיע מהשרת בחילוף מפתחות שמתבצע מחדש בכל הרצה, וארבע שכבות שרידות מחזירות את הנוזקה למכשיר גם בפקודת git שגרתית.
שער API מחזיק כדין את פרטי האימות של כל מה שיושב מאחוריו, ובחולשה בציון 10 ב-WSO2 API Manager מספיק להרכיב token ולחתום אותו בשיטה שהשרת לא אמור לקבל. העדכון זמין מאז מאי, והניצול הראשון תועד ב-13 בספטמבר.
ב-16 בספטמבר שני repositories של GitHub Actions שהושבתו במאי בגלל פריצה חזרו להיות נגישים, בלי שהתגיות הזדוניות שבהם נוקו. כל workflow שמפנה אליהם לפי מספר גרסה התחיל להוריד ולהריץ את המטען מחדש, והתוקף לא היה צריך לעשות כלום.
אלבניזי דיווח על גישה בלתי מורשית לקבצים לא ציבוריים. חוקרים שקראו את הקוד הארכיוני של הפורטל מצאו שורה שמפנה כל מבקר לכתובת גישה בלי הזדהות, ומחברת אותו בלי סיסמה.
וורדפרס מצרף חתימה חד-פעמית לכל בקשה שמשנה משהו באתר, ו-Elementor דילגה עליה כשהכתובת הכילה מסלול מסוים. התוקף פשוט הדביק את המסלול הזה לכל כתובת אחרת.
ההודעה לא כללה מספר CVE, תיקון חדש או פרטים טכניים, רק בקשה להשבית את מערכת העברת הקבצים בחלון של שש שעות בשבת. החברה נקראה בעבר Accellion, ומי שזוכר את גל הדליפות שבא אחרי הפריצה למוצר שלה מבין למה היא לא מהמרת.
אסוס הודיעה ללקוחות שגורם לא מורשה נכנס לחלק מהחנות המקוונת שלה וייתכן שנחשפו פרטי קשר ורשומות הזמנות. פרטי אשראי לא דלפו, אבל מה שכן דלף מספיק כדי לנסח הודעה שיודעת בדיוק מה קניתם ומתי.