ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.
מבצע ענק על מותג מוכר, אתר שנראה בדיוק כמו הרשת, וטופס תשלום שמבקש את מספר הכרטיס המלא. אותה שיטה רצה בעברית מול קונים ישראלים, ובדיקה של שתי שניות בשורת הכתובת עוצרת אותה.
שלושה משקיעים הורידו מהחנות הרשמית של אפל אפליקציה שנראתה כמו הארנק שלהם, הקלידו את מילות השחזור, והמטבעות נעלמו. השיעור: החותם של החנות הרשמית לא מבטיח שהאפליקציה היא מי שהיא טוענת.
התיקון של N-able לחולשת עקיפת אימות ב-N-central סגר מסלול אחד אבל השאיר נתיב חלופי פתוח. התוקפים ניצלו אותו, השתלטו על שרתי ניהול של MSP-ים, ושתלו מנהרות Cloudflare שנשארות גם אחרי שמנתקים אותם.
חולשה קריטית ב-ServiceNow AI Platform מאפשרת השתלטות על המערכת בלי הזדהות, בציון CVSS 9.5. לקוחות הענן תוקנו כבר באפריל, לקוחות ה-self-hosted רק ביולי, וחמישה ימים אחר כך התחילו המתקפות.
חוקרי Zafran מצאו שההגנה שאמורה לחסום קוד לא-מבוקר בספריית diffusers של Hugging Face נבדקת בשלב הלא נכון. התוצאה: מודל זדוני מריץ קוד על המכונה שטוענת אותו, גם כשהדגל trust_remote_code כבוי. הספרייה יורדת כשבעה מיליון פעם בחודש.
מספיק היה להקליד שורת חיפוש אחת בגוגל כדי להגיע לשיחות שאנשים ניהלו עם קלוד, ובהן דוח רפואי אמיתי ופרטים של ילדים. הכפתור שיצר את זה נקרא 'שיתוף', ורבים לא הבינו שהוא הופך את השיחה לעמוד גלוי לכל הרשת.
תוכנות זדוניות מזייפות מנגנון ניהול ארגוני כדי לנעול בכרום תוספת שמחליפה את מנוע החיפוש ואת דף הבית, כך שאי אפשר להסיר אותה. גוגל בונה חסימה שתופעל אוטומטית במחשבים אישיים.
במשך כשבוע, אחד מקובצי ה-JavaScript של פלטפורמת הפרסום Adform הוגש עם תוספת זדונית שהחליפה כתובות ארנק קריפטו בלוח ההעתקה ובעמוד עצמו. אף מנוע אנטי-וירוס לא תפס את זה.
חולשת עקיפת אימות בלוח הבקרה cPanel ו-WHM קיבלה ציון 9.3 ונוצלה כיום-אפס עוד לפני שפורסמה. תוקף לא מזוהה נכנס לצד המנהל של השרת, ומשם לכל האתרים שיושבים עליו.
חוקרי Blackpoint Cyber תיעדו קמפיין חדש נגד משרד עורכי דין, שמפזר את עצמו על פני שבעה שלבים כדי שאף מוצר אבטחה בודד לא יראה את כל התמונה. אחת משתי הדלתות האחוריות מקבלת פקודות דרך מאגר קוד פרטי ב-GitHub, ומתחבאת בתוך תעבורה שנראית שגרתית לחלוטין.