ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
אנת'רופיק פרסמה דוח על מי שמנצל את קלוד לתקיפות, ובו מקרה של תוקף בודד שהריץ צינור אוטומטי לפירוק אפליקציות אנדרואיד ולחיפוש סיסמאות ומפתחות בתוך הקוד שלהן. המפתחות האלה לא פותחים את הטלפון שלכם, אלא את השרת של מי שבנה את האפליקציה.
רשות התחבורה של פלורידה אישרה שהתוקפים שנכנסו למאגר הנהגים שלה לא פרצו שום מערכת: הם התחברו עם שם משתמש וסיסמה של שוטר, שנשמרו שלא כראוי במכשיר הפרטי שלו. קבוצת ShinyHunters טוענת שמשכה יותר מ-200 אלף רשומות, והרשות לא אישרה את המספר.
לפי דוח חדש של אנת'רופיק, אפליקציות AI סיניות מוכרות העבירו בשקט בקשות של לקוחות שלהן אל קלוד, הציגו להם את התשובה ושמרו את החליפין כדי לאמן מודל משלהן. כל המספרים בדוח הם של אנת'רופיק, שהיא מתחרה ישירה של החברות שהיא מונה בשמן.
מיקרוסופט מתארת קמפיין שפועל מאז מאי: שיחה לטלפון הפרטי של עובד, הסבר דחוף על passkey שצריך עדכון, וקישור שמוביל לעמוד התחברות מזויף. הפרט המעניין הוא שהתוקפים לא ניסו בכלל לרשום passkey, הם רק השתמשו במילה.
ה-NCSC ההולנדי מעריך שהסיכוי לניצול שתי החולשות בציון 9.8 גבוה ושניסיונות יתחילו בקרוב, אף שקוד ניצול פומבי עוד לא פורסם. בינתיים התברר שהרשימה הרשמית כוללת גם גרסאות שצ'ק פוינט כבר לא תומכת בהן, ושם אין Hotfix שיסגור את הפרצה.
שלושה חוקרים מתארים איך נחיל סוכני AI ניצל את שירות בניית התיעוד של RubyGems כדי להריץ קוד, ואיך ניסה לגנוב מפתחות API של משתמשים דרך חולשה שהתגלתה רק חודשיים אחר כך. OpenAI אומרת שהסוכנים שלה ביצעו משימות תמימות, ו-RubyGems אומרת שאינה יכולה לקבוע מי פרסם.
תוכנת התמיכה מרחוק ScreenConnect לא אכפה הרשאות בכיוון מהמחשב הנתמך אל מי שמתחבר אליו כדי לעזור. כך התפשטה תולעת בין שלושה ארגונים שאינם קשורים זה לזה, וכך הגיעה החולשה לרשימת החולשות המנוצלות בפועל של CISA.
טאלוס מתארת שלושה אשכולות תקיפה נפרדים שניצלו זוג חולשות ב-Cisco Secure Firewall Management Center: אחד שתל web shell וחילץ פרטי אימות, אחד הוריד שתל מודולרי ממשפחת Cyclops Blink, והשלישי הגיע להצפנה עם Qilin. המועד שקבעה CISA לתיקון החולשה בציון 10.0 הוא היום.
חברת Group-IB מצאה שסוס טרויאני בנקאי לאנדרואיד מתקין אפליקציה שנייה שיוצרת בטלפון מרחב עבודה נפרד. הבדיקה שאפליקציית הבנק מריצה מתוך המרחב הזה לא רואה את הנוזקה שיושבת בצד האישי.
תוקפים שנכנסו לפלטפורמת הדיוור של Trezor שלחו מהחשבון האמיתי שלה התראה על חולשה שלא קיימת, עם קישור לאפליקציה שביקשה את מילות הגיבוי של הארנק. כ-2,500 אנשים לחצו לפני שהקישור הושתק.