ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
מיקרוסופט הוציאה השבוע את חבילת התיקונים הגדולה בתולדותיה, קרוב לאלף חולשות בבת אחת. שתיים מהן כבר משמשות תוקפים בפועל, ומה שנדרש ממשתמש ביתי הוא בסך הכול לא לדחות את העדכון שוב.
חברת מחקר גרמנית מיפתה כ-119 אלף אתרי חנויות מזויפים שמעתיקים קטלוגים של מותגים אמיתיים ומושכים קונים בהנחות של 65 אחוז. בקופה הם גונבים את פרטי הכרטיס, וגם את קוד האישור החד-פעמי שהבנק שולח ב-SMS.
בדוח רבעוני חדש מתארת יחידת מודיעין האיומים של גוגל איך CALANQUE ION, קבוצה איראנית ממשלתית שנודעה בעבר כ-APT42, נעזרת במודלים כדי לבחור יעדים ולכתוב את הפנייה שתגיע אליהם. באותו רבעון תועדה גם מתקפה שתוכננה והורצה על ידי סוכני AI בתוך פחות משש שעות.
חוקר בצ'ק פוינט מצא ערוץ נסתר שחיבר בין סביבות ההרצה של שני משתמשי ChatGPT שונים, והדגים איך שיחה משותפת שנפתחת בקישור שולפת מיילים מהחשבון המחובר. OpenAI אישרה שהרכיב הפנימי שאיפשר את זה הוסר, ולמשתמשים אין מה לעדכן.
שרשרת של שתי חולשות בשרת הזהויות של עולם הלינוקס מאפשרת ללקוח LDAP שלא התחבר בכלל לרשום לעצמו חשבון קרברוס עם סיסמה שהוא בוחר. Red Hat אימתה את הניצול מול התקנה ברירת מחדל, ולחבילות של RHEL עדיין אין תיקון.
אדובי פרסמה תיקון חירום לחנויות Magento יום לפני עדכון האבטחה המתוכנן שלה, אחרי שלושה ימים שבהם החולשה נוצלה בלי שהיה לה מספר או תיקון. הציון שהיא קיבלה, 10 מלא, נשען על ההבדל שבין נזק שנשאר בתוך רכיב אחד לנזק שיוצא ממנו.
SOCRadar ניתחה ערכת post-exploitation שמתחזה לתוסף סימניות, מזייפת את חתימות ההגנה של Chromium כדי להיכנס בלי אישור, ומריצה פקודות על מערכת ההפעלה דרך מנגנון התקשורת המקומית הרשמי של Chrome. ארבע שכבות נפרדות של שימור אחיזה דואגות לכך שמחיקה אחת לא תספיק.
שירות פישינג שמושכר לתוקפים אסף יותר מ-5,000 רשומות של פרטי אימות ל-Microsoft 365, ובמאות מקרים גם עקף את האימות הדו-שלבי. העמוד המזויף הזריק קוד שמשבית דווקא את מפתחות הגישה, השיטה היחידה שעמדה בפניו.
פלטפורמת לימוד המתמטיקה Mathspace הודיעה בסוף השבוע ש-1,079,819 תלמידים, הורים ואנשי צוות נחשפו. התוקפים לא פרצו לאתר שהתלמידים נכנסים אליו אלא ל-Metabase, כלי דוחות פנימי שהחברה מריצה על השרתים שלה, ואותה חולשה כבר הפילה בחודש האחרון עוד כמה חברות.
צוות Gamers Nexus יחד עם Level1Techs מצא בבדיקות מעבדה שטלוויזיות OLED של LG סורקות את המכשירים ברשת הביתית ואוגרות הקלטות קול גם כשהמסך נראה כבוי, ומעלות אותן לזרוע הפרסום של החברה. LG לא הגיבה לממצאים, ובעבר הצהירה שהמסכים שלה אינם מקליטים שיחות בסלון.