ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
ב-8 בספטמבר פרסמה Microsoft את חבילת העדכונים הגדולה שלה אי פעם. שתי החולשות היחידות שכבר מנוצלות בשטח אינן מדורגות קריטי, ובין שתיהן הן מכסות כמעט כל מחשב Windows שיש לכם.
חברת המחקר Calif הדגימה תולעת שעוברת מטלפון לטלפון דרך שיחות WeChat, בלי שהקורבן נוגע במכשיר, וחוצה בדרך בין אנדרואיד ל-iOS. את החולשה עצמה, לדבריהם, מצא מודל AI, והאקספלויט הראשון להרצת קוד מרחוק היה מוכן תוך יומיים.
מיקרוסופט הוציאה השבוע את חבילת התיקונים הגדולה בתולדותיה, קרוב לאלף חולשות בבת אחת. שתיים מהן כבר משמשות תוקפים בפועל, ומה שנדרש ממשתמש ביתי הוא בסך הכול לא לדחות את העדכון שוב.
חברת מחקר גרמנית מיפתה כ-119 אלף אתרי חנויות מזויפים שמעתיקים קטלוגים של מותגים אמיתיים ומושכים קונים בהנחות של 65 אחוז. בקופה הם גונבים את פרטי הכרטיס, וגם את קוד האישור החד-פעמי שהבנק שולח ב-SMS.
בדוח רבעוני חדש מתארת יחידת מודיעין האיומים של גוגל איך CALANQUE ION, קבוצה איראנית ממשלתית שנודעה בעבר כ-APT42, נעזרת במודלים כדי לבחור יעדים ולכתוב את הפנייה שתגיע אליהם. באותו רבעון תועדה גם מתקפה שתוכננה והורצה על ידי סוכני AI בתוך פחות משש שעות.
חוקר בצ'ק פוינט מצא ערוץ נסתר שחיבר בין סביבות ההרצה של שני משתמשי ChatGPT שונים, והדגים איך שיחה משותפת שנפתחת בקישור שולפת מיילים מהחשבון המחובר. OpenAI אישרה שהרכיב הפנימי שאיפשר את זה הוסר, ולמשתמשים אין מה לעדכן.
שרשרת של שתי חולשות בשרת הזהויות של עולם הלינוקס מאפשרת ללקוח LDAP שלא התחבר בכלל לרשום לעצמו חשבון קרברוס עם סיסמה שהוא בוחר. Red Hat אימתה את הניצול מול התקנה ברירת מחדל, ולחבילות של RHEL עדיין אין תיקון.
אדובי פרסמה תיקון חירום לחנויות Magento יום לפני עדכון האבטחה המתוכנן שלה, אחרי שלושה ימים שבהם החולשה נוצלה בלי שהיה לה מספר או תיקון. הציון שהיא קיבלה, 10 מלא, נשען על ההבדל שבין נזק שנשאר בתוך רכיב אחד לנזק שיוצא ממנו.
SOCRadar ניתחה ערכת post-exploitation שמתחזה לתוסף סימניות, מזייפת את חתימות ההגנה של Chromium כדי להיכנס בלי אישור, ומריצה פקודות על מערכת ההפעלה דרך מנגנון התקשורת המקומית הרשמי של Chrome. ארבע שכבות נפרדות של שימור אחיזה דואגות לכך שמחיקה אחת לא תספיק.
שירות פישינג שמושכר לתוקפים אסף יותר מ-5,000 רשומות של פרטי אימות ל-Microsoft 365, ובמאות מקרים גם עקף את האימות הדו-שלבי. העמוד המזויף הזריק קוד שמשבית דווקא את מפתחות הגישה, השיטה היחידה שעמדה בפניו.