ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
נוזקה שנמצאה במחשב אחד אוספת מסמכים, סיסמאות Wi-Fi וצילומי מסך, ומשאירה לעצמה חמש אחיזות נפרדות במערכת. Securonix מודה שהיא לא יודעת כמה ארגונים נפגעו.
מיקרוסופט מפסיקה לספק קודי SMS ושיחות אימות בחשבונות Microsoft 365 של ארגונים, ומעבירה את המשתמשים ל-passkey. הסיבה שהיא נותנת רלוונטית גם למי שאין לו חשבון עבודה.
Unit 42 דחפה מפתח גישה למאגר ציבורי ומדדה מה קורה. המדיניות שאמזון מצרפת אוטומטית לא מבטלת את המפתח שדלף, היא רק אוסרת 100 פעולות מתוך אלפים, והרשימה שלה היא מפה מדויקת של איך השתנו המתקפות על הענן מאז 2020.
אחרי שהתחברתם לחשבון, מה ששומר אתכם בפנים זו לא הסיסמה אלא חיבור פתוח ששמור אצלכם במכשיר. מי שמעתיק אותו נכנס בלי סיסמה ובלי קוד אימות.
כספת פרטי האימות של AgentCore מצפינה הכול במנוחה ובתנועה. החוקר ניב רבין הראה שכלי shell שמגיע דלוק כברירת מחדל קורא את אותם פרטי אימות בטקסט גלוי מתוך ה-heap של סביבת ההרצה, ושאפשר להשתמש בהם אחר כך מכל מחשב בעולם.
חוקר האבטחה אורן יום טוב מצא שתי דרכים לצאת מהמנגנון שאמור לכלוא את סוכן הקוד של OpenAI בתוך תיקיית העבודה, אחת מהן עובדת גם במצב הנעול ביותר שבו הסוכן אמור רק לקרוא קבצים. OpenAI תיקנה את שתיהן תוך שמונה ימים.
חוקרים מחברת pwn.ai הראו שקישור בנוי בקפידה גורם לוורדפרס להתקין ערכת עיצוב מהמאגר הרשמי בלי שמנהל האתר אישר דבר, ובשרשור עם ערכה שיש בה חולשה משלה גם להריץ קוד על השרת. התיקון יצא ב-17 בספטמבר, יחד עם עוד עשר חולשות.
חודשיים הזהיר Windows משתמשים שהאנטי-וירוס שלהם כבוי בזמן שהוא פעל. מיקרוסופט הוציאה תיקון, והשאלה המעניינת היא מה קורה להרגלים של מי שלמד להתעלם מהחלון האדום.
כדי לשוחח בווידאו עם טילי נורווד, דמות שנוצרה בבינה מלאכותית, צריך קודם לעבור הערכת גיל לפי סרטון סלפי. בזמן השיחה המערכת ממשיכה לנתח את הפנים ואת טון הדיבור, ולפי מדיניות הפרטיות אי אפשר לכבות את זה.
SentinelLabs איתרה את הדלתות האחוריות מתקיפת LayerZero על מחשב של מהנדס DevOps בחברת שירותי IT בהודו, ארגון בלי שום קשר למסחר בקריפטו. הווקטור: קובץ נעילה של Terraform שמצביע על רישום ספקים מתחזה.