כל הכתבות של CyberNow בנושא כופרה — 39 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית — עמוד 3 מתוך 4.
חוקרי Zimperium תיארו נוזקה בשם Mantax Otax, שמגיעה כקובץ התקנה מחוץ לחנות Play ומשלבת הצפנת קבצים עם ריגול מלא על המכשיר. ההצפנה עובדת רק על אנדרואיד 9 ומטה, אבל גניבת קודי האימות עובדת על כל מכשיר.
קבוצת כופרה שעד השנה הסתפקה בכלים מוכנים מ-GitHub בנתה לעצמה דלת אחורית, ובחרה לה שני ערוצי תקשורת שאף אחד לא חוסם: ברוקר MQTT ציבורי ושרת הודעות של Matrix. קספרסקי פרסמה את הניתוח הטכני.
חוקרי Gambit Security תיעדו מפעיל של קבוצת הכופר Aurora שפותח את Cursor בתוך הרשת של הקורבן ומבקש ממנו למפות אותה. באשכול נוסף של קורבנות, ששויך לקבוצה בביטחון בינוני בלבד, ישראל נמצאת ברשימת המדינות.
קבוצת Rhysida פרסמה מחיר פתיחה של 30 ביטקוין וטיימר של פחות משבוע על מידע שלטענתה נלקח מרשת הממשל של ברלין. ראש העיר קאי וגנר: מדינת ברלין נסחטת, ולא תיכנע.
גורם שקורא לעצמו Ransom Busters פונה לארגונים שנפגעו מכופרה עוד לפני שהמתקפה מתפרסמת, ומציע את מפתח הפענוח תמורת 20 עד 60 אלף דולר. חוקרי GuidePoint מצאו שהכלים והחשבונות שהוא השאיר מאחוריו זהים לאלה של התוקף.
חוקרי ReliaQuest ניתחו כלי שמותקן על שרתי PTC Windchill פרוצים ומיוחס בסבירות גבוהה ל-Clop. הוא לא shell גנרי אלא רכיב שנכתב מול המחלקות הפנימיות של האפליקציה, מריץ את השאילתות שלו דרך חיבור מסד הנתונים שלה, ומחזיר את סיסמת מנהל ה-LDAP בטקסט גלוי.
חוקר ב-Check Point נתקל בשרת איסוף פתוח שהכיל, בין קבצים שנגנבו מקורבנות, גם את שולחן העבודה של התוקף עצמו. משם נפרשה תמונה של מבצע שמנהל קרוב ל-2,000 אתרי וורדפרס פרוצים ומשתמש בהם להפצת נוזקות, לפיקוד ולאחסון המידע הגנוב.
Broadcom פרסמה תיקון לחולשה ב-vCenter ב-29 ביולי ואמרה שאין דרך לעקוף אותה חוץ מעדכון. חמישה ימים אחר כך חברת QUIRSO הגרמנית כבר ספרה 361 כתובות IP נגועות ב-47 מדינות, עם דלת אחורית שמתחפשת למשימות התחזוקה של VMware עצמה, וקמפיין שנגמר בהצפנת שרתי ESXi.
תוך חצי שנה הפך DevMan משותף מן השורה של קבוצות כופרה למפעיל של פלטפורמת כופרה כשירות שלמה, עם פורטל שמרכז בניית נוזקה, צ'אט עם הקורבן ותשלומים. חברת PRODAFT מיפתה את המבצע, ומאחורי המעטפת המלוטשת מסתתרים קוד גולמי והבטחות שאיש לא אימת.
חוקרי Cisco Talos חשפו כלי גישה מרחוק שלא פותח אף חיבור רשת בעצמו. במקום זאת הוא מפעיל Chrome או Edge אמיתי ומבריח דרכו את תעבורת השליטה, כדי שכתובת השרת של התוקף לא תופיע לעולם בתעבורה.