קטגוריה: חדשות סייבר

חברת TP-Link מתמודדת עם פגיעות אבטחה קריטית המדורגת בציון חומרה של 8.8 במדד CVSS, ומסומנת תחת המזהה CVE-2024-5035. הפרצה מאפשרת לתוקפים לבצע הרצת קוד מרחוק (RCE) ברמת הרשאות Root על גבי נתבי הגיימינג מדגם Archer C5400X. ניצול מוצלח של פגיעות זו עלול להעניק לתוקפים שליטה מלאה על המכשיר המותקף, דבר המהווה סיכון משמעותי לפרטיות ולאבטחת הרשת הביתית. משתמשים בעלי דגם זה נדרשים לעקוב אחר עדכוני קושחה רשמיים מצד היצרנית על מנת לצמצם את סיכוני האבטחה הנובעים מחשיפה זו ולמנוע ניסיונות השתלטות על הנתבים שלהם.

חברת האבטחה Aikido מדווחת על המשך פעילות קמפיין התקיפה המכונה Shai Hulud, במסגרתו תוקפים החדירו נוזקה לגניבת סיסמאות ומידע רגיש למאות ספריות בקוד פתוח. הפגיעה המשמעותית ביותר תועדה בספריית keyv הפופולרית ב-npm, המדווחת על למעלה ממאה מיליון הורדות שבועיות, מה שמעיד על היקף החשיפה הנרחב של המתקפה בשרשרת האספקה. החוקרים מדגישים כי הנוזקה מאפשרת לתוקפים לגנוב נתונים רגישים מסביבות פיתוח וייצור כאחד. משתמשים ומפתחים העושים שימוש בספריות אלו מתבקשים לבחון את גרסאות התוכנה שברשותם ולעדכן אותן בהתאם להנחיות האבטחה העדכניות, שכן מדובר באיום ממשי ומתמשך על מאגרי קוד פופולריים המשמשים ארגונים רבים ברחבי העולם.

גרסה חדשה ומתוחכמת של הנוזקה XCSSET זוהתה כשהיא מכוונת אל מפתחי macOS באמצעות פרויקטי Xcode נגועים ומאגרים זדוניים בפלטפורמת GitHub. על פי הדיווחים, התוקפים מפיצים את הקוד הזדוני במסגרת פרויקטים תמימים למראה, אשר ברגע הפעלתם על ידי המפתחים, מאפשרים לנוזקה לבצע פעולות לא מורשות במערכת. מדובר בשיטת הפצה המנצלת את האמון בקהילת הפיתוח ובסביבות העבודה של אפל כדי להשיג גישה למחשבי המפתחים. מומחי אבטחה ממליצים למפתחים לבדוק בקפידה את מקורות הקוד שבהם הם משתמשים ולהימנע מהרצת פרויקטים ממקורות לא מהימנים כדי להפחית את הסיכון להידבקות.

חוקרי אבטחה זיהו 77 תוספים זדוניים בפלטפורמת Open VSX, אשר התחזו לכלי פיתוח לגיטימיים במטרה להטעות משתמשים. על פי הדיווחים, תוספים אלו תוכננו לאסוף ולשדר מידע רגיש אודות המערכות וסביבות הפיתוח של המפתחים שהתקינו אותם. מדובר בסיכון אבטחה משמעותי עבור ארגונים ומפתחים בודדים, שכן התוספים מנצלים את האמון בקהילת הקוד הפתוח כדי לבצע ריגול אחר פעילות הפיתוח. בעקבות הגילוי, מומלץ למפתחים לבחון היטב את התוספים המותקנים בסביבת העבודה שלהם ולהסיר באופן מיידי כל רכיב חשוד שלא אומת כמקור בטוח, על מנת למנוע דליפת נתונים וגישה בלתי מורשית לסביבות פיתוח וקוד מקור.

חוקרי אבטחה חשפו קמפיין תקיפה המכונה Smoke#Screen, העושה שימוש בטכניקות הנדסה חברתית מגוונות ובמטענים משתנים כדי להחדיר תוכנות גישה מרחוק. התוקפים מנצלים את כלי הניהול המרוחק ScreenConnect כחלק מאסטרטגיה המיועדת להשגת גישה מתמשכת לרשתות של ארגונים שנפגעו. המתקפה מדגימה כיצד גורמי איום עושים שימוש לרעה בכלים לגיטימיים כדי לעקוף אמצעי אבטחה ולשמור על נוכחות ממושכת במערכות היעד. גילוי זה מספק תובנות חדשות על שיטות הפעולה של התוקפים, ומדגיש את החשיבות בפיקוח הדוק על כלי ניהול מרוחק מותקנים בסביבות ארגוניות כחלק מהתמודדות עם איומי סייבר מתקדמים.

חברת מיקרוסופט דיווחה על מקרה בוחן שבו מערכת Microsoft Defender הצליחה לבלום מתקפת סייבר מורכבת נגד חברת QNET בזמן קצר של 128 שניות. התוקפים עשו שימוש בטכניקת Living-off-the-land, תוך ניצול כלי לגיטימי של Windows להרצת קוד זדוני והורדת מטען נוסף למכשיר הקצה. המערכת זיהתה את הפעילות החשודה באופן אוטונומי, ביצעה קורלציה בין התראות שונות והפעילה פונקציית בידוד מכשיר (Device Isolation). פעולה זו חסמה את התקשורת החיצונית של המחשב הנגוע ומנעה מהתוקפים להשיג דריסת רגל משמעותית, לבצע גניבת אישורים או לנוע לרוחב הארגון, ובכך סיכלה את המשך המתקפה לפני שנגרם נזק רחב היקף.

חוקרי אבטחה חשפו קמפיין ממוקד המופנה כלפי מפתחים בחברת עליבאבא, המנצל שרשרת אספקה פגיעה לצורך הפצת נוזקות. התקיפה מתבססת על אשכול של חבילות NPM זדוניות אשר מותקנות בסביבות הפיתוח של הקורבנות. לאחר ההתקנה, הקוד הזדוני מפעיל סוס טרויאני לגישה מרחוק (RAT) התומך במערכות הפעלה מרובות, ומאפשר לתוקפים לחדור למערכות הפנימיות של החברה. מדובר במהלך מתוחכם שמדגים את הסיכונים המשמעותיים הטמונים בשימוש בתלויות חיצוניות בקוד פתוח ובשרשראות אספקה טכנולוגיות, כאשר ארגוני ענק ממשיכים לעמוד במוקד של ניסיונות ריגול וחדירה ממוקדים מסוג זה.

דיווחים מצביעים על גניבת כ-1,816 מטבעות ביטקוין בשווי מוערך של כ-114 מיליון דולר, שנלקחו מכ-5,200 ארנקים של משתמשי Coldcard. התקיפה התאפשרה בעקבות חולשה במנגנון יצירת המפתחות הפרטיים של הארנק, אשר הגבילה את טווח המילים ליצירת ה-Seed, מה שאפשר לתוקפים לנחש את המפתחות הפרטיים ולבצע פעולות ללא הרשאה. בעקבות האירוע, המשתמשים בארנקי Coldcard נקראים לעדכן גרסה, ליצור מפתח גישה חדש ולהעביר את הנכסים לארנק חדש באופן מיידי כדי למנוע אובדן כספים נוסף. מדובר באירוע אבטחה משמעותי המדגיש את החשיבות באקראיות בייצור מפתחות הצפנה עבור ארנקי קריפטו.

ערכת הפישינג כשירות (PhaaS) המכונה Greatness שדרגה את יכולותיה והוסיפה תמיכה בטכניקת Device Code Phishing, המנצלת את פרוטוקול OAuth 2.0 Device Authorization Grant. שיטה זו מאפשרת לתוקפים לעקוף מנגנוני אימות דו-שלבי (MFA) ולגנוב אסימוני גישה כדי להשתלט על חשבונות משתמשים לגיטימיים. התוספת החדשה מצטרפת ליכולות ה-AiTM (Adversary-in-the-Middle) הקיימות בכלי, ומדגישה את המגמה הגוברת בקרב מפעילי תוכנות זדוניות לנצל מנגנוני אימות מבוססי קוד מכשיר כדי לעקוף הגנות אבטחה מסורתיות. מדובר בהתפתחות משמעותית המציבה סיכון מוגבר לארגונים המסתמכים על אימות מרובה גורמים כקו הגנה מרכזי.

חוקרי אבטחה מחברת סיסקו טאלוס מדווחים כי מנגנוני ההגנה של מודלי בינה מלאכותית מובילים כגון Claude, Gemini ו-Codex אינם מספקים הגנה מספקת מפני ניצול לרעה על ידי גורמי איום. המחקר מצא כי תוקפים מצליחים לעקוף את מגבלות האתיקה של המודלים באמצעות טכניקות פשוטות של הנדסה חברתית, כגון הצגת עצמם כבעלי השרתים המותקפים או טענה כי מדובר בפעילות במסגרת תחרויות אבטחה או תוכניות באג באונטי. עוד נמצא כי תוקפים משתמשים בפירוק משימות זדוניות למקטעים ניטרליים ובשימוש בכלי תקיפה אוטומטיים דוגמת Hephaestus כדי להימנע מחסימות. הממצאים מדגישים את הצורך של ארגונים באימוץ כלי AI לניהול איומים והתמודדות עם הפער המצטמצם בזמני התיקון של פרצות.

חוקרי אבטחה פרסמו אזהרה אודות פגיעות קריטית בתוכנת ניהול שרתי האחסון cPanel, המסומנת כ-CVE-2026-58048. הפגיעות, המדורגת בציון חומרה גבוה של 9.4 במדד CVSS, מאפשרת לתוקפים לבצע הסלמת הרשאות ולהשיג גישה ברמת Root לשרת, לצד יכולת לבצע פעולות SQL לא מורשות. הפרצה מהווה סיכון משמעותי במיוחד עבור ארכיטקטורות של אחסון שיתופי, שכן היא עלולה לאפשר למשתמשים זדוניים בתוך השרת לעקוף מגבלות אבטחה ולפגוע בשלמות הנתונים של כלל האתרים המאוחסנים עליו. מומלץ למנהלי מערכות לעקוב אחר עדכוני אבטחה רשמיים מצד cPanel וליישם תיקונים בהקדם האפשרי כדי למנוע ניצול של פרצה זו.

סוכנות הסייבר האמריקאית CISA הכניסה את פגיעות ה-CVE-2026-18577 בתוכנת הניהול N-central של חברת N-able לקטלוג הפגיעויות המנוצלות באופן פעיל, לאחר שהתגלה כי היא מאפשרת לתוקפים להשיג גישה מנהלית מלאה לקונסולות של ספקי שירותים מנוהלים. הפגיעות, בעלת דירוג חומרה של 8.2, מאפשרת יצירת מנהרות תקשורת וגישה קבועה לרשתות הלקוחות. גופי אבטחה בבריטניה ובבלגיה הצטרפו לקריאה לעדכן את המערכות במהירות, שכן תוקפים מנצלים את הפרצה מאז ה-31 ביולי. סוכנות CISA הציבה לסוכנויות פדרליות אולטימטום של שלושה ימים לתיקון הפרצה, בעוד נתוני חברת Huntress מצביעים על כך שחלק ניכר מהשרתים המקומיים עדיין חשופים לאינטרנט וטרם עודכנו.