בוקר טוב, במהלך הלילה הופץ לאזרחים סמס עם קישור להורדת אפליקציה המתחזה לאפליקציית פיקוד העורף.

אינדיקטורים

http://oref-support.one/alert.apk 

https://tinyurl.com/yc2t5cnp

Reports:

Virustotal (apk)

ScanMySms (url)

https://news.1rj.ru/str/CyberSecurityIL/5962

מנכ"ל וויז חושף בכנס: "מתקפת דיפ-פייק עשתה שימוש בקולי"

מנכ"ל חברת הסייבר וויז (Wiz), אסף רפפורט, התארח אחר הצהריים (ב') בכנס השנתי של אתר הטכנולוגיה טקרנץ', "דיסראפט", והודה כי גם חברת אבטחת המידע בעלת השווי הגבוה ביותר בישראל איננה חסינה למתקפות. רפפורט ציין כי עובדיו הפכו מטרה למתקפת דיפ-פייק לפני כשבועיים, במסגרתה עשרות עובדים קיבלו הודעה קולית המתחזה לרפפורט בקולו. "המתקפה ניסתה לחלץ מהם פרטים מזהים", אמר רפפורט.

לדבריו, המתקפה נבלמה לאחר שעובדים בחברה זיהו שמשהו אינו כשורה בקולו של רפפורט בהודעה המוקלטת. "ההאקר דגם קובץ קול שלי מדבר בכנס", אמר. "אך כיוון שאני סובל מחרדת דיבור מול קהל, הקול שלי באירועים פומביים לא מזכיר את הדיבור האותנטי שלי כפי שהעובדים שלי מכירים אותו. כך הם הגיעו למסקנה שזה לא אני שיוצר עמם קשר". וויז הצליחו, אמנם, להבין מה מקור הקול שהודבק, אך לא הצליחו לעלות על התוקף: "עבור ההאקרים, מתקפות סייבר הן עסק יעיל - הסיכוי להיתפס נמוך מאוד", אמר לטקרנץ'. (גלובס)

https://news.1rj.ru/str/CyberSecurityIL/5963

נבדק חשד למתקפת סייבר על שב"א: נותקו החיבורים מחו"ל
במערך הסייבר הלאומי קיבלו עדכון על האירוע. מומחים בתחום מעריכים כי מדובר במתקפת מניעת שירות, שמעמיסה כניסות על שרתים וכך מובילה לקריסתם

בשב"א ניתקו הבוקר, כחלק מפעולות הניטור, את החיבורים מחו"ל. לאחר ניתוק החיבורים מרבית השרתים חזרו לפעילות מה שמעלה ומחזק את הסברה שמדובר במתקפת מניעת שרות - אך אין עדיין אימות רשמי (כאן 11)

https://news.1rj.ru/str/CyberSecurityIL/5964

מצרף לכם אינדיקטורים נוספים+ווידאו של איך האפליקציה הזדונית מופעלת, תוך התחזות לפיקוד העורף ובקשת הרשאות רבות במכשיר הטלפון (כולל שליחת סמס בשמכם).

תודה לאתר ScanMySms על הווידאו ולכל מי ששלח לי אינדיקטורים.

קבוצת התקיפה שעומדת מאחורי הקמפיין היא קבוצת אנונימוס.

91[.]193[.]18[.]91
185[.]123[.]102[.]27
185[.]80[.]53[.]8
38[.]180[.]226[.]179
89[.]150[.]48[.]38
98[.]142[.]254[.]243
http://185[.]123[.]102[.]27/TServer/check[.]txt
http://185[.]80[.]53[.]8/TServer/check[.]txt
http://38[.]180[.]226[.]179/TServer/index[.]php
http://89[.]150[.]48[.]38/TServer/index[.]php
http://98[.]142[.]254[.]243/TServer/check[.]txt
http://98[.]142[.]254[.]243/TServer/index[.]php

https://news.1rj.ru/str/CyberSecurityIL/5965

מבצע עלום גילה את זהות המשרתים בעשרות בסיסים רגישים. מערכת הביטחון פתחה בחקירה.

גורם עלום מנהל מבצע איסוף מודיעיני על בסיסים ומתקנים רגישים בישראל באמצעות אפליקציית הריצות סטראבה. בעזרת האפליקציה נחשף הגורם לזהותם ולמקום מגוריהם של עשרות חיילים בתפקידים רגישים. מדובר במחדל מתמשך של דליפת מידע מתוך צה"ל, שכן הפרצה מוכרת למערכת זה שנים. לאחר פניית "הארץ" פתחה מערכת הביטחון בחקירה בניסיון לאתר את הגורם.

הגורם, משתמש פיקטיבי בסטראבה שכינויו שמור במערכת, זייף עשרות מסלולי ריצה שלו עצמו בתוך בסיסי חיל האוויר, מודיעין ומתקנים רגישים אחרים. לאחר שהערים על האפליקציה הוא הצליח לגלות את זהותם של מאות חיילים ואזרחים ששירתו או משרתים במתקנים אלו. החיילים האלה לא שמרו על ביטחון שדה, ומדדו לעצמם — באפליקציית סטראבה — את מסלולי הריצה שלהם בתוך הבסיסים. המידע נשמר בשרתי סטראבה, ונחשף למשתמש הפיקטיבי באמצעות פיצ'ר ספציפי באפליקציה.
במערכת הביטחון לא זיהו את מבצע האיסוף לפני פניית "הארץ". אז כונסה ישיבת הערכת נזקים במחלקת ביטחון מידע בצה"ל, ונפתחה חקירה בשיתוף גורמי ביטחון אחרים. במערכת הביטחון סבורים כי יצליחו לאתרו. במערכת הביטחון סבורים שהמקרה הזה משקף את כל הבעיות בפלטפורמה.

החשבון הפיקטיבי נפתח ביולי השנה, ואולם תחילה לא היתה בו כל פעילות. אלא שלאחר זמן מה העלה המשתמש לחשבונו האישי בסטראבה 60 מסלולי ריצה מזויפים שכביכול השלים, בתוך 30 בסיסים בישראל, בפרק זמן של ארבעה ימים בלבד. ניכר שיש לו מודיעין מדויק על הבסיסים המדוברים, על מיקומם ועל תפקידם. בכלל זה מדובר על בסיסי חיל האוויר חצרים ותל נוף, בסיסי חיל הים באשדוד ובאילת, בסיסי 8200 בגלילות ובירושלים, בסיס יחידת המודיעין 504 בצפון, מאגרי החימוש ובסיס שדות מיכה, שעל פי פרסומים זרים מאוחסנים בו הטילים הגרעיניים של ישראל, הבסיס של ארה"ב בהר קרן, שבו שוכן מכ"ם מתקדם לגילוי טילים בליסטיים, ועוד.
בחינה מלאה של הפרופיל הפיקטיבי מוכיחה כי מדובר בהתנהגות מזויפת. אין סיכוי שהמשתמש השלים 60 ריצות בתוך 30 בסיסים במשך ארבעה ימים. כל הריצות המתועדות בפרופיל שלו הן למרחקים קצרים ביותר — על פי רוב פחות מקילומטר. בכמה מהמקטעים שבהם כביכול תיעד את עצמו אין שום כביש או מסלול ריצה. המשתמש לא ידע שבסיס שדה דב בצפון תל אביב כבר פונה, והעלה מקטע מזויף שלו רץ בין מסלולי ההמראה וההסעה שאינם קיימים זה שנים.
חיילים ואזרחים המשרתים במתקנים רגישים אלו ואחרים מעלים תדיר לחשבונותיהם בסטראבה את מקטעי הריצות שהשלימו. משתמש אחר שרץ באזורים האלה יכול לראות את זהות כל המשתמשים שרצו במקטע שהוא העלה לאתר. כך המשתמש הפיקטיבי יכול לראות את זהות כל המשתמשים שרצו בתוך הבסיסים שבהם כביכול רץ.

המשתמש ניצל פרצה בסטראבה — ולא היה צריך לרוץ בבסיסים האלה באמת כדי שיירשם לו מקטע ריצה בהם. הוא טען למערכת קובץ גאוגרפי מזויף שיצר במחשב, שלכאורה מציג ריצה בתוך המתקנים האלה. מאותו הרגע הוא נחשף לזהותם של כל הרצים האחרים באזור.
(הכתבה המלאה - הארץ)

https://news.1rj.ru/str/CyberSecurityIL/5967

חברת שב"א מדווחת באופן רשמי לבורסה בת"א כי התקלה הבוקר התרחשה בעקבות מתקפת דידוס.

https://news.1rj.ru/str/CyberSecurityIL/5968

ישראל לא לבד - בשבוע האחרון פירסם עיתון Le Monde הצרפתי תחקיר נרחב המציג כיצד בעזרת אפליקציית Strava נחשפו המיקומים של מנהיגים שונים בעולם (מקרון, טראמפ, ביידן, האריס, פוטין ועוד)

התחקיר מצביע על כך שאנשי הביטחון, השומרים על אישים שונים, עושים שימוש באפליקציה ובכך למעשה חושפים את המיקום של הדמות עליה הם שומרים.

התחקיר התפרסם ככתבת ווידאו בשלושה חלקים, עד כה שוחררו שניים - חלק 1, חלק 2.

https://news.1rj.ru/str/CyberSecurityIL/5969

אתמול הגיעו אלי מספר דיווחים על דלף מידע השייך למכון הלאומי לחקר שירותי בריאות בישראל.

מהדיווחים עולה כי הפריצה התבצעה לספק צד ג', המספק עבור המכון תחזוקה של מאגר הצעות למחקרים, וכי בעקבות הפריצה יש חשש לדלף מידע של חוקרים ומחקרים וכו'.
בשלב זה לא ידוע לי מי התוקפים ומה המניעים.

המכון הלאומי לחקר שרותי הבריאות ומדיניות הבריאות (מלמ"ב NIHP) הוא מכון מחקר שמטרתו לחקור את שירותי הבריאות של ישראל, המכון הוקם על פי חוק ביטוח בריאות ממלכתי. המכון שוכן בתוך מתחם בית החולים שיבא בתל השומר.

https://news.1rj.ru/str/CyberSecurityIL/5974

#דלף_מידע #ישראל #רפואה

מתקפת שרשרת אספקה - קבוצת התקיפה Handala טוענת כי היא פרצה לחברת אי.אם.סי קנאביס, זאת באמצעות הגישה לרשת של חברת A.G.A.S.

חברת אי.אם.סי בע"מ היא חברה חקלאית העוסקת בגידול זנים שונים של קנביס רפואי באישור משרד הבריאות מאז שנת 2008.

הקבוצה מפרסמת מספר מסמכים המעידים כביכול על הפריצה ומפרסמת קבצים נוספים להורדה.

עוד טוענת הקבוצה כי היא מחזיקה בגישה לרשתות של 23 חברות בישראל כתוצאה מאותה מתקפה.

https://news.1rj.ru/str/CyberSecurityIL/5976

#דלף_מידע #ישראל #שרשרת_אספקה #טכנולוגיה

מקבל מכם הרבה דיווחים על אי זמינות של האתר של בנק מזרחי.
לא ידוע לי על משהו סייברי, אם יהיה חדש אעדכן.

עובד לשעבר בחברת דיסני התחבר לרשת הארגונית שינה תפריטים במסעדות של החברה וגרם לשיבושים נרחבים (וגם מה הקשר לישראל....).

דיסני מפעילה מספר רב של מסעדות וחדרי אוכל באתרים שונים בעולם, כחלק מפעילות זו יש לה עובדים שאחראים על יצירת התפריטים למסעדות, או בשם הרשמי - Menu Production Manager.

לאחר חילוקי דעות עם מנהל תפריטים שכזה החליטה דיסני לפטר את העובד, אך כמו שקורה לצערינו בלא מעט חברות, למרות שהעובד פוטר החשבון שלו בארגון לא הושבת באופן מיידי...

העובד לשעבר, Michael Scheuer, התחבר לרשת של דיסני עם נתוני ההזדהות שלו, ויצא למסע נקמה (עד כמה שאפשר לנקום עם הרשאות לניהול תפריטים).

הוא שינה את הפונט של כל התפריטים לג'יבריש, וגם שינה את השם של הפונט הג'יברישי כך שיהיה זהה לפונט המקורי (כך שניסו לחזור לפונט המקורי החזירו כל פעם את הג'יבריש).

בנוסף, הוא שינה את ה-URL של הקודי QR המופיעים בתפריטים כך שהם הובילו לאתר הקורא להחרים את ישראל בשל "הפלישה של ישראל לעזה".

העובד הוסיף חטא על פשע, והסיר מכל התפריטים את האזהרות לאלרגנים במטרה שלקוחות יחשבו שהאוכל מותאם לאלרגנים ויגרם נזק ללקוחות וכתוצאה מכך לחברה עצמה (דיסני זיהתה את השינוי לפני שהפיצה את התפריטים הזדוניים ללקוחות).

לחברת דיסני לקח מספר שבועות להתאושש לגמרי מהאירוע ולתקן את כל השיבושים שנגרמו לתפריטים.

מפה לשם, ה-FBI הצליחו לתפוס את הנאשם ומצאו לא מעט ראיות דיגיטליות הקושרות אותו למעשים.
הוא נמצא כעת במעצר ועומד בפני עונש מאסר מקסימלי של 15 שנים.

https://news.1rj.ru/str/CyberSecurityIL/5978

#השחתה #דלף_מידע #רפואה #קמעונאות #Insider_threat

תוקף מפרסם מידע של עובדי IBM לאחר שלטענתו גנב אותו מספק צד ג'.

לטענת התוקף המידע כולל 17,500 רשומות הכוללות את שם העובד ומספר טלפון.

https://news.1rj.ru/str/CyberSecurityIL/5979

#דלף_מידע #טכנולוגיה

שימו לב, ככל הנראה תוקף הצליח לפרסם גרסה זדונית לספרית קוד פתוח ב-npm וגרם לכך שכל מי שמשתמש בספריה יקבל חלון קופץ של חיבור ארנק קריפטו המשמש ככל הנראה לגניבת מטבעות דיגיטליים.

משתמשים ב-Tryhackme היו בין הראשונים ברשת להתלונן על הנושא כשהחלון הקופץ הופיע להם בתוך המערכת.

דיון פעיל בגיטהאב מצביע על כך שמדובר בספריית קוד פתוח שהפכה לזדונית.

תודה לחברים בקבוצת הדיונים שהסבו את תשומת ליבי לאירוע 🙏🏻

https://news.1rj.ru/str/CyberSecurityIL/5980

מתקפת סייבר שיבשה את נאום מנהיג חיזבאללה

העיתונות בלבנון המקורבת לחיזבאללה דיווחה כי אמצעי השידור של נאומו של קאסם ספג אתמול "שיבושי סייבר משמעותיים" שמנעו את שידור המשך הנאום.
נאומו של קאסם נקטע על פי הדיווחים הלבנוניים כאשר הפסיק לדבר על נושאים פנימיים העוסקים במדיניות חיזבאללה ועבר לאיומים על מדינת ישראל וגורמים נוספים.

נתניהו התייחס לקטיעת השידור ואמר שזה "סימן לבאות".

https://news.1rj.ru/str/CyberSecurityIL/5981

חברת Interbank, אחת מהחברות הפיננסיות הגדולות במדינת פרו, מדווחת על דלף מידע לאחר שתוקף פרסם מידע שגנב בפורומים שונים.

התוקף טוען כי ברשותו 3.7TB של מידע אותו הוא מפרסם לאחר ש-Interbank סירבו לשלם את דמי הכופר.

החברה אישרה את המתקפה וטענה כי המידע שנגנב כולל מידע של לקוחות, בעקבות המתקפה חלו שיבושים זמניים באפליקציה ובשירותים השונים של החברה.

https://news.1rj.ru/str/CyberSecurityIL/5982

#דלף_מידע #פיננסי