ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
כדי לשוחח בווידאו עם טילי נורווד, דמות שנוצרה בבינה מלאכותית, צריך קודם לעבור הערכת גיל לפי סרטון סלפי. בזמן השיחה המערכת ממשיכה לנתח את הפנים ואת טון הדיבור, ולפי מדיניות הפרטיות אי אפשר לכבות את זה.
SentinelLabs איתרה את הדלתות האחוריות מתקיפת LayerZero על מחשב של מהנדס DevOps בחברת שירותי IT בהודו, ארגון בלי שום קשר למסחר בקריפטו. הווקטור: קובץ נעילה של Terraform שמצביע על רישום ספקים מתחזה.
ב-17 וב-18 בספטמבר פרסמה NVD 34 רשומות CVE נגד vm2, הספרייה שמריצה קוד JavaScript לא מהימן בתוך תהליך Node.js. שתים עשרה מהן קיבלו את הציון המרבי, אבל הגרסאות שסוגרות אותן עלו ל-npm עוד בתחילת החודש.
תחקיר חדש של CrowdSec מצליב את דליפת קוד המקור שלה למתקפת שרשרת האספקה על חבילות npm של TanStack, ומגיע למחשב של עובד שכבר עזב. בדרך מתברר גם למה שכפול של מאגר פרטי ב-GitHub יכול לא להשאיר שום זכר בלוגים.
שלושה חוקרים השתלטו על שרת הפורום הציבורי של OpenAI דרך תמונה פגומה, וגילו שההתחברות המשותפת נותנת להם גם את חשבונות ה-ChatGPT וה-Codex של עובדי החברה. את קוד הניצול, לדבריהם, כתב מודל בינה מלאכותית תוך שעות.
אף אחד לא פרץ לרבולוט. מישהו שלח בקשת מידע מכתובת דואר שיושבת על דומיין של רשות ממשלתית אמיתית, והחברה מסרה צילומי דרכונים, סלפי אימות ודפי חשבון. יומיים אחרי ההודעה ללקוחות התחילו לנחות מסרוני פישינג.
אתר ההדלפות של Clop הוחלף בציור ASCII של פוקימון. ShinyHunters טוענת שלקחה מהשרת גם את קוד המקור, את קבצי הלוג ואת המפתחות של כתובת ה-Tor, וכל הטענות האלה עוד לא אומתו.
שם של חברה בדיונית בתרגיל אבטחה התברר כדומיין אמיתי, והחיבור לאינטרנט נפתח בטעות. במקרה אחד ג'מיני ניחש סיסמה, ובשניים אחרים מצא פרטי גישה במאגר קוד ציבורי.
ב-18 בספטמבר הוסיפה CISA שלוש חולשות בגרעין לינוקס לקטלוג החולשות המנוצלות בפועל, וקבעה לגופים הפדרליים שלושה ימים לסגור אותן. שתיים מהן תוקנו עוד ב-2025, ולאחת מהן שלושה ציוני CVSS שונים משלושה גופים.
הודעה משותפת של יפן, ארצות הברית, אוסטרליה וגרמניה מתארת קמפיין שבו פניות גיוס מזויפות הובילו להדבקת 30 אלף מחשבים במאה מדינות ולגניבת כ-10.7 מיליון דולר מארנקי קריפטו של מועמדים לעבודה.