ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
חברת Jamf תיעדה נוזקה למחשבי מק שלא מסתפקת בגניבת סיסמאות: היא מריצה עותק נסתר של הדפדפן עם החשבונות המחוברים, ומשדרת אותו לתוקף שיכול להקליד וללחוץ בעצמו. אימות דו-שלבי לא נכנס לתמונה, כי אף אחד לא מתחבר מחדש.
הפנייה מגיעה משם שאתם מכירים, מציעה ריאיון או שיתוף פעולה, ומצרפת קישור לשיחת וידאו. בסופו נמצא עמוד התחברות שנראה כמו גוגל ואינו גוגל. ההנחיה אחת ופשוטה: הצטרפות לשיחת וידאו לא דורשת סיסמה.
מבצע ענק על מותג מוכר, אתר שנראה בדיוק כמו הרשת, וטופס תשלום שמבקש את מספר הכרטיס המלא. אותה שיטה רצה בעברית מול קונים ישראלים, ובדיקה של שתי שניות בשורת הכתובת עוצרת אותה.
שלושה משקיעים הורידו מהחנות הרשמית של אפל אפליקציה שנראתה כמו הארנק שלהם, הקלידו את מילות השחזור, והמטבעות נעלמו. השיעור: החותם של החנות הרשמית לא מבטיח שהאפליקציה היא מי שהיא טוענת.
התיקון של N-able לחולשת עקיפת אימות ב-N-central סגר מסלול אחד אבל השאיר נתיב חלופי פתוח. התוקפים ניצלו אותו, השתלטו על שרתי ניהול של MSP-ים, ושתלו מנהרות Cloudflare שנשארות גם אחרי שמנתקים אותם.
חולשה קריטית ב-ServiceNow AI Platform מאפשרת השתלטות על המערכת בלי הזדהות, בציון CVSS 9.5. לקוחות הענן תוקנו כבר באפריל, לקוחות ה-self-hosted רק ביולי, וחמישה ימים אחר כך התחילו המתקפות.
חוקרי Zafran מצאו שההגנה שאמורה לחסום קוד לא-מבוקר בספריית diffusers של Hugging Face נבדקת בשלב הלא נכון. התוצאה: מודל זדוני מריץ קוד על המכונה שטוענת אותו, גם כשהדגל trust_remote_code כבוי. הספרייה יורדת כשבעה מיליון פעם בחודש.
מספיק היה להקליד שורת חיפוש אחת בגוגל כדי להגיע לשיחות שאנשים ניהלו עם קלוד, ובהן דוח רפואי אמיתי ופרטים של ילדים. הכפתור שיצר את זה נקרא 'שיתוף', ורבים לא הבינו שהוא הופך את השיחה לעמוד גלוי לכל הרשת.
תוכנות זדוניות מזייפות מנגנון ניהול ארגוני כדי לנעול בכרום תוספת שמחליפה את מנוע החיפוש ואת דף הבית, כך שאי אפשר להסיר אותה. גוגל בונה חסימה שתופעל אוטומטית במחשבים אישיים.
במשך כשבוע, אחד מקובצי ה-JavaScript של פלטפורמת הפרסום Adform הוגש עם תוספת זדונית שהחליפה כתובות ארנק קריפטו בלוח ההעתקה ובעמוד עצמו. אף מנוע אנטי-וירוס לא תפס את זה.