כל הכתבות של CyberNow בנושא נוזקות — 126 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 2 מתוך 13.
חוקרי Push Security עקבו אחרי מודעה ממומנת שהופיעה בחיפוש "claude mac" בגוגל, והדומיין שהוצג בה היה bing.com. בסוף שרשרת ההפניות חיכה עמוד שנראה כמו עמוד ההורדה של Claude, שהציג את פקודת ההתקנה האמיתית אבל שם ללוח ההעתקה פקודה אחרת לגמרי.
Zscaler ThreatLabz ניתחה את הבינארי של ספק AWS מזויף ל-Terraform, שמריץ קוד ברגע שהוא נטען ומוריד מטען שמותאם למערכת ההפעלה ולארכיטקטורה. שמונה קבצי המטען שבדוח מכסים שלוש מערכות הפעלה ושבע ארכיטקטורות, ומסתירים קובץ הרצה מוצפן בתוך מה שנראה כמו קובץ גופן.
ESET פרסמה מעקב אחרי שנתיים של גרסאות ה-downloader שקבוצת הריגול UAC-0099 מפעילה נגד מטרות באוקראינה. בדרך הוא קיבל ממשק יומן מתחזה, בדיקה שסופרת כמה זמן המחשב דלוק, ודרישה לארגומנט שורת פקודה שבלעדיו הוא לא מתחיל לעבוד.
חברת Socket מצאה בחנות התוספים של פיירפוקס 16 תוספים שהתחזו לארנקי Rabby ו-OKX ואספו את מילות השחזור של המשתמשים. כולם הוסרו עד ה-5 באוקטובר, אבל אותה קבוצה כבר עשתה את זה באוגוסט תחת שמות אחרים.
חוקרי Bitdefender מצאו קוד זדוני מוטמע בקושחה של טלפוני אנדרואיד זולים על שבבי MediaTek, באלפי מכשירים ביותר מ-150 מדינות. הוא רץ בהרשאות מערכת, מתקין אפליקציות בשקט, ואיפוס להגדרות היצרן לא מסיר אותו.
גרסה זדונית של חבילת npm פופולרית פורסמה מה-CI של הפרויקט עצמו, עם חתימת מקור תקינה. היא אוספת פרטי אימות מענן, מ-Kubernetes ומכלי פיתוח מבוססי AI, ומשאירה אחריה שירות שמוחק את ספריית הבית אם מבטלים את ה-token שנגנב.
חוקרי Black Lotus Labs של Lumen עוקבים מאפריל אחרי נוזקה ששולפת את כתובת שרת השליטה שלה מתוך שיר שמאוחסן במאגר GitHub, לפי מילון מילים שמוטמע בקוד. היא נכנסת דרך חולשות ב-LiteLLM וב-Ivanti Sentry, מתקינה כורי מטבעות, והופכת את הקורבנות עצמם לסורקים שמחפשים את הקורבן הבא.
Unit 42 חשפה את Blinder Tunnel, קמפיין של גורם איראני שהתחזה למחלקת ה-IT של נמל התעופה בדובאי ושלח למהנדס עיראקי פרויקט C# שהריץ נוזקה ברגע שנפתח בסביבת הפיתוח. ערוץ השליטה רכב על ה-API של GitHub, ואותה תשתית הובילה את החוקרים גם לקמפיין פישינג שכוון לגוף ישראלי.
חוקרי Nozomi Networks Labs תיארו בוטנט שמקודד את פקודות השליטה שלו בתוך שדה ה-transaction ID של STUN, אותו פרוטוקול שמאפשר לשיחות Teams ו-Zoom לעבור דרך נתב. החבילות שנשאו את הפקודות הגיעו מהכתובת שאליה מתורגם stun.l.google.com, וההסבר הסביר לכך הוא זיוף כתובת מקור.
חוקרי Rapid7 פירקו שש גרסאות בנייה של שתל לינוקס שמתחבר החוצה בפורט 25, שולח EHLO ומבקש STARTTLS לפני שהוא פותח ערוץ מוצפן משלו. שלושת השרתים שמהם הוא מקבל פקודות הם מכשירים פרוצים של עסקים בטייוואן: NAS של חברת דלק, מקליט מצלמות ורכיב רשת עם תעודה מ-2004.