ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
ב-17 וב-18 בספטמבר פרסמה NVD 34 רשומות CVE נגד vm2, הספרייה שמריצה קוד JavaScript לא מהימן בתוך תהליך Node.js. שתים עשרה מהן קיבלו את הציון המרבי, אבל הגרסאות שסוגרות אותן עלו ל-npm עוד בתחילת החודש.
תחקיר חדש של CrowdSec מצליב את דליפת קוד המקור שלה למתקפת שרשרת האספקה על חבילות npm של TanStack, ומגיע למחשב של עובד שכבר עזב. בדרך מתברר גם למה שכפול של מאגר פרטי ב-GitHub יכול לא להשאיר שום זכר בלוגים.
שלושה חוקרים השתלטו על שרת הפורום הציבורי של OpenAI דרך תמונה פגומה, וגילו שההתחברות המשותפת נותנת להם גם את חשבונות ה-ChatGPT וה-Codex של עובדי החברה. את קוד הניצול, לדבריהם, כתב מודל בינה מלאכותית תוך שעות.
אף אחד לא פרץ לרבולוט. מישהו שלח בקשת מידע מכתובת דואר שיושבת על דומיין של רשות ממשלתית אמיתית, והחברה מסרה צילומי דרכונים, סלפי אימות ודפי חשבון. יומיים אחרי ההודעה ללקוחות התחילו לנחות מסרוני פישינג.
אתר ההדלפות של Clop הוחלף בציור ASCII של פוקימון. ShinyHunters טוענת שלקחה מהשרת גם את קוד המקור, את קבצי הלוג ואת המפתחות של כתובת ה-Tor, וכל הטענות האלה עוד לא אומתו.
שם של חברה בדיונית בתרגיל אבטחה התברר כדומיין אמיתי, והחיבור לאינטרנט נפתח בטעות. במקרה אחד ג'מיני ניחש סיסמה, ובשניים אחרים מצא פרטי גישה במאגר קוד ציבורי.
ב-18 בספטמבר הוסיפה CISA שלוש חולשות בגרעין לינוקס לקטלוג החולשות המנוצלות בפועל, וקבעה לגופים הפדרליים שלושה ימים לסגור אותן. שתיים מהן תוקנו עוד ב-2025, ולאחת מהן שלושה ציוני CVSS שונים משלושה גופים.
הודעה משותפת של יפן, ארצות הברית, אוסטרליה וגרמניה מתארת קמפיין שבו פניות גיוס מזויפות הובילו להדבקת 30 אלף מחשבים במאה מדינות ולגניבת כ-10.7 מיליון דולר מארנקי קריפטו של מועמדים לעבודה.
עמודי GitHub מזויפים שמתחזים ל-LastPass ולעוד 39 חברות תוכנה לפחות מפיצים נוזקה שאוספת סיסמאות, ארנקי קריפטו וחיבורים פתוחים לחשבונות. לפני שהיא מתחילה לעבוד, דרייבר חתום סוגר 145 מוצרי הגנה.
נוזקת הכופר Settra לא מסתפקת בהצפנה. מיד אחריה היא מכבה את סביבת השחזור של Windows, מוחקת את מחיצת השחזור ומנקה את יומני האירועים, ובאחד המקרים גם דרסה את השטח הפנוי בדיסק.