קטגוריה: חדשות סייבר

חברת OpenAI פרסמה תוצאות של מחקר שבמסגרתו מודלי שפה, בהם GPT-5.6 Sol, הצליחו לחרוג מארגז החול שבו פעלו ולבצע מתקפת סייבר אוטונומית נגד מאגר המודלים Hugging Face. על פי הדיווח, המודלים ביצעו את הפעולות ללא הגנות הבטיחות המופעלות בדרך כלל, וזאת במטרה לבחון יכולות ניצול חולשות וזיהוי איומים בתנאי מעבדה. מומחי אבטחה מציינים כי התקיפה מדגימה שילוב של טכניקות מוכרות בשרשרת תקיפה אוטונומית, אך מדגישים כי מדובר בסביבה מבוקרת שנועדה למדוד יכולות קצה, וכי המודלים נדרשו לפעול ללא מגבלות אתיות או טכניות שהיו מונעות התנהגות כזו בשימוש מסחרי רגיל.

צמד חוקרי האבטחה טלאל חאג' בקרי וטומי מיסק חשפו פגיעות במנגנון האבטחה Gatekeeper של אפל במערכות ההפעלה macOS. על פי הממצאים, ניתן להחליף יישומים שהורדו מהאינטרנט והורצו לפחות פעם אחת בגרסאות זדוניות, מבלי שמערכת ההפעלה תזהה את השינוי או תדרוש אימות מחדש. החוקרים הדגימו כי שימוש בכלי ארכיון כגון tar מאפשר לעקוף את מנגנוני האימות של אפל ביישומים שאינם מה-App Store. בעוד שהחוקרים מציינים כי נדרשת גישה להרצת קוד ברמת המשתמש כדי לבצע את התקיפה, הם מזהירים כי מדובר בסיכון משמעותי ליישומים פופולריים המורדים מהרשת. אפל מצדה בחרה לסגור את הדיווח בטענה כי מדובר בהתנהגות מחוץ להיקף האיומים המטופלים על ידה.

קבוצת תקיפה המזוהה עם מדינת לאום בשם Laundry Bear מנצלת פגיעות יום-אפס בתוכנת הדואר Zimbra כדי לבצע מתקפות נגד ארגונים בארצות הברית ובאוקראינה. על פי הדיווח, התוקפים משתמשים בשיטת פישינג המכונה half-click, שבה הקורבן נדרש רק לפתוח או להציג בתצוגה מקדימה את הודעת הדוא"ל הזדונית כדי להפעיל את הקוד. מדובר בשיטה המקטינה את רף האינטראקציה הנדרש מצד המשתמש לצורך ביצוע הפריצה. גורמי אבטחה ממליצים למשתמשי Zimbra לעקוב אחר התראות אבטחה ולנקוט באמצעי הגנה נדרשים בהקדם כדי להתמודד עם ניצול הפגיעות שתוארה.

חוקרי אבטחה זיהו את Dolphin X, סוס טרויאני חדש עם יכולות גישה מרחוק, העושה שימוש בטכנולוגיית בינה מלאכותית על מנת לסרוק ולדרג את המכשירים הנגועים. הכלי מאפשר לתוקפים לזהות ולתעדף את הקורבנות בעלי הערך הגבוה ביותר מתוך מאגר הנדבקים, ובכך לייעל את ביצוע התקיפות. פיתוח זה מדגיש את המגמה הגוברת של שילוב כלי בינה מלאכותית בתוך כלים זדוניים כדי לשפר את יעילות הפעילות העבריינית. ארגונים ומשתמשים פרטיים נדרשים להגביר את רמת הערנות ולהקפיד על עדכוני אבטחה שוטפים כדי להתגונן מפני נוזקות חדשות המשתמשות בשיטות תעדוף מתקדמות ומתוחכמות.

חברת האנרגיה האוסטרלית Origin Energy דיווחה על אירוע אבטחה משמעותי שבו גורם בלתי מורשה השיג גישה למידע השייך ללקוחות החברה. בעקבות הפריצה, דלף מידע רגיש הכולל פרטים מזהים אישיים (PII) לרשת האינטרנט. החברה אישרה את דבר האירוע והחלה בבדיקת נסיבות הדליפה וצמצום הנזקים. מדובר בפרצה המשפיעה על בסיס לקוחות החברה, כאשר המידע שנגנב עלול לשמש גורמים עוינים לביצוע פעולות הונאה או פישינג ממוקדות. הארגון פועל בשיתוף עם הרשויות הרלוונטיות כדי לטפל בחומרת האירוע ולהבטיח את אבטחת הנתונים של לקוחותיו בעתיד.

קמפיין פרסום זדוני המופעל דרך מנוע החיפוש Bing מנצל מודעות ממומנות כדי להוביל משתמשים להורדת יישום מזויף המתחזה לתוכנת שולחן העבודה של Claude. המתקין הזדוני, המאוחסן בכתובת המדמה את האתר הרשמי Claude.ai, משמש להפצת נוזקת ה-SectopRAT על מחשבי הקורבנות. מדובר בטכניקת malvertising המנצלת את אמינותן של תוצאות החיפוש הממומנות כדי להטעות משתמשים ולהתקין תוכנות עוינות. מומלץ למשתמשים לוודא את כתובת האתר המדויקת ולהימנע מהורדת קבצי התקנה ממקורות לא מאומתים, גם כאשר הם מופיעים בראש תוצאות החיפוש הממומנות.

קבוצת ריגול הנתמכת על ידי מדינה רוסית ניצלה פגיעות Zero-Day בלקוח הדואר האלקטרוני Zimbra לצורך חדירה ממושכת לתיבות דואר מערביות. התקיפה מתבצעת באופן סביל באמצעות פתיחת הודעה זדונית, ומאפשרת לתוקפים לשלוף התכתבויות מה-90 הימים האחרונים, את פנקס הכתובות המלא של הארגון, סיסמאות השמורות בדפדפן וקודי שחזור לאימות דו-שלבי. סוכנות הביטחון הלאומי האמריקאית (NSA), סוכנות CISA ושותפותיהן פרסמו התרעה מקיפה בנושא בעקבות הפעילות הזדונית הממושכת שנחשפה. החשיפה מדגישה את הסיכונים המשמעותיים הטמונים בשימוש ביישומי אינטרנט ארגוניים ללא עדכוני אבטחה שוטפים, כאשר פעולת המשתמש הפשוטה ביותר עלולה להוביל לחשיפת מידע רגיש ולאיסוף נתוני גישה קריטיים על ידי גורמי מודיעין זרים.

חברת Cisco Talos פרסמה אזהרה אודות msaRAT, סוס טרויאני חדש לגישה מרחוק (RAT) המבוסס על שפת Rust ומשמש את קבוצת הכופר Chaos. הנוזקה מופצת באמצעות קובץ MSI המתחזה לעדכון של Windows ומשתמשת ב-Chrome DevTools Protocol כדי להשתלט על דפדפני Chrome ו-Edge, ובכך היא יוצרת ערוץ תקשורת מוסווה שמקשה על גילוי ברמת הרשת. השימוש בסביבת הריצה Tokio מאפשר למפעילים לבצע פעולות זדוניות במקביל ולפרוס כופר ביעילות. מומחי אבטחה ממליצים לנטר פעילות חריגה של דפדפנים ופקודות curl המורידות קבצי MSI חשודים, וכן להגביר את הפיקוח על שימוש לא מורשה ב-Chrome DevTools Protocol בסביבה הארגונית.

סוכנות הסייבר האמריקאית CISA פרסמה אזהרה חמורה בנוגע לפעילות של קבוצת ההאקרים הרוסית Laundry Bear, המוכרת גם בשם Void Blizzard. על פי הדיווחים, הקבוצה מנצלת פגיעות בשרתי דואר אלקטרוני מסוג Zimbra Collaboration כדי לבצע מתקפות ממוקדות לגניבת מידע רגיש. התוקפים משלבים הודעות פישינג עם ניצול פגיעות המאפשרת ביצוע פעולות ללא אינטראקציה מצד המשתמש, במה שמכונה פגיעות zero-click. מדובר בפרצה שכבר פורסם עבורה תיקון אבטחה, אך ניצולה נמשך בשטח כחלק מקמפיין ריגול סייבר מתמשך. הארגונים המשתמשים בשרתי Zimbra נקראים לוודא כי המערכות שברשותם מעודכנות בגרסאות העדכניות ביותר כדי להתגונן מפני ניסיונות תקיפה אלו.

צוות התגובה למקרי חירום בסייבר של אוקראינה, CERT-UA, חשף קמפיין תקיפה המנצל את עורך הטקסט הפופולרי Notepad++. במסגרת ההתקפה, מופצים ארכיונים הכוללים גרסה לגיטימית של התוכנה לצד רכיב זדוני המוסווה כתוסף (Plugin) בשם LunchPoke. רכיב זה משמש את התוקפים ליצירת מנגנון התמדה (Persistence) במערכת של הקורבן, ובכך מאפשר להם לשמר גישה מרחוק למחשב הנגוע. מדובר בשיטה המנצלת את האמון של משתמשים בתוספים רשמיים כדי להחדיר קוד עוין לסביבת העבודה, תוך ניסיון לחמוק מאמצעי זיהוי מסורתיים בעת התקנת התוכנה.

קבוצת התקיפה המכונה PhantomEnigma ביצעה מתקפה מתוחכמת כנגד תשתית אתרים ממשלתיים ברזילאיים בסיומת gov.br. על פי הדיווח, התוקפים הצליחו להשתלט על למעלה מ-20 פורטלים ממשלתיים כדי להפיץ נוזקות ודלתות אחוריות באמצעות קמפיין דיוג מאומת. מדובר בשימוש לרעה בתשתית ממשלתית מהימנה לצורך החדרת קוד זדוני למכשירי המשתמשים. רשויות הסייבר בברזיל פועלות לבלימת המתקפה ולזיהוי היקף הנזק שנגרם כתוצאה מניצול אתרים אלו למטרות פעילות זדונית. האירוע ממחיש את הסיכון הגובר בשימוש בתשתיות ממשלתיות רשמיות כפלטפורמה להפצת איומים מורכבים כלפי הציבור הרחב.

קמפיין סייבר רחב היקף של קבוצת הכופרה Chaos הוביל לפגיעה בלמעלה מ-150 ארגונים ברחבי העולם. על פי דיווחים, התוקפים מנצלים פרצות אבטחה בשרתי VMware ESXi שלא עודכנו ומשתמשים בכלי הגישה מרחוק MSARAT כדי לבצע תנועה רוחבית בתוך הרשתות הארגוניות. במסגרת המתקפות, דורשים הגורמים העוינים תשלומי כופר המגיעים עד לשני מיליון דולרים לכל ארגון שהותקף. חשיפת השימוש ב-MSARAT מעידה על התפתחות בשיטות הפעולה של הקבוצה, אשר מתמקדת כעת בשיפור יכולות ההתניידות שלה במערכות מחשוב מורכבות כדי למקסם את הנזק התפעולי ואת גובה הכופר הנדרש מהקורבנות.