מכונית מחוברת זה אחלה, עד שהשרת שמאחוריה מחורר 🧀

2 חוקרים חשפו איך בתחילת 2026 הם השיגו RCE על שרתי ForgeRock ששימשו שני יצרני רכב גדולים לניהול חשבונות של לקוחות. משם הם יכלו ליצור session תקף כמעט לכל משתמש, לראות מיקום וטלמטריה של הרכב, לפתוח ולנעול דלתות ואפילו להניע או לכבות את המנוע מרחוק. שני היצרנים ביקשו לא לשרוף את השם שלהם.

בין היתר הם הגיעו לקונסולת ניהול פנימית עם admin:admin, אחרי עקיפת WAF באמצעות path confusion. אחרי הדיווח שתי החברות סגרו את החולשות והחליפו credentials. 😏

החוקרים מזכירים שבשנים קודמות כבר מצאו חולשות דומות אצל Honda, Acura, Nissan, Infiniti, Hyundai, Genesis, Ford, Porsche, Kia ו-Subaru אבל שתי היצרניות הנוכחיות הן אחרות, כאלה שטרם פרצו להן בעבר. את שמות שתי היצרניות החוקרים לא אומרים אבל בסרטון נראה רכב שנראה כמו Toyota RAV4.

לפעמים כדי לפרוץ לרכב לא צריך CAN bus, RF או מפתח חכם, צריך backend גרוע. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

הסיפור עם המקפיאים באירופה נהיה יותר מעניין 😏

צרפת מייחסת רשמית את מתקפת אוקטובר, שפגעה בכ-700 סופרמרקטים והעלתה מרחוק את טמפרטורת המקררים, ליחידת Shahid Kaveh שמקושרת למשמרות המהפכה האיראניים. הם פתחו בחקירה פלילית ומבקשים צווי מעצר בינלאומיים נגד בכירים ביחידה. 😏

מאז אותו אירוע הופיע גל דומה ברחבי אירופה - בלגיה, שבדיה, אירלנד, הולנד, גרמניה, פורטוגל ועוד. כרגע אין ייחוס רשמי של כל הגל האירופי לאיראן. הרשויות בבריטיסטן ובלגיה עדיין אומרים שהאחראים לגל השני לא זוהו.

ממש attack surface אירופי שלם. 🎯

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

מי ישרוף עליי exploit של מיליון דולר? 😏

ב-iVerify פרסמו דוח שלפיו 75% מה-spyware המתקדם שהם זיהו ב-2026 הגיעו מקמפיינים פליליים ולא ממדינות. הכלים המרכזיים הם Coruna ו-DarkSword - שרשראות exploit ברמה של גופי מודיעין שמופצות דרך פרסומות זדוניות, אתרים נגועים ו-watering holes.

במילים פשוטות: לא חייבים להיות עיתונאי, שר או מנכ"ל כדי להידפק. 😏

והמטרה של הפושעים הרבה יותר פרקטית: סיסמאות, Keychain, cookies, ארנקים ו-crypto. ה-DarkSword למשל משמש בקמפיינים של גניבת wallets ובחלק מהמקרים עצם הכניסה לעמוד פגיע הספיקה.

וכן - seed phrase בצילום, ב-Notes או על הטלפון הראשי שלכם הוא רעיון פחות ופחות חכם. mercenary spyware עבר מה-VIP lounge ל-economy. 📡

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

חוקרים פרסמו כלי שמאפשר לרגל אחרי מה שמופיע על המסך בלי לפרוץ למחשב ובלי להתחבר לרשת ✨

ה-Deep-TEMPEST הוא פרויקט מחקרי שלוקח פליטות אלקטרומגנטיות חלשות מכבל HDMI, קולט אותן עם SDR ואנטנה ואז נותן ל-AI לשחזר מהן את התמונה שעל המסך. מה שחדש הוא לא ה-TEMPEST, הרעיון קיים עשרות שנים אלא כמה AI משפר את השחזור. החוקרים הורידו את שיעור השגיאות בזיהוי טקסט מכ-90% לפחות ל-30% ובדמו כבר אפשר לקרוא טקסט ולהבין מה מוצג.

זה עדיין לא אנטנה בבניין ממול ורואים הכל ב-4K, צריך להיות קרובים יחסית, איכות הקליטה תלויה מאוד בכבל, מיגון ורעש סביבתי אבל כן, גם כבל וידאו יכול להפוך לערוץ דליפה. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

זוכרים שסם אלטמן התלונן שה-RAM שלנו יושב סתם? אז מיקרוסופט החליטה שגם ה-GPU לא תמיד בשימוש 😈

בקשת פטנט חדשה של החברה מתארת מערכת שתשתמש בכוח מחשוב פנוי של מחשבי גיימינג, לפטופים ואפילו סמארטפונים כדי לאמן מודלי AI. המודל מפורק למיקרו-משימות והמחשב שלכם מקבל עבודה רק כשה-GPU פנוי מספיק. המערכת אמורה לעקוב אחרי עומס, טמפרטורה, זיכרון והרגלי שימוש, לעצור אם אתם חוזרים לעבוד ולבדוק את התוצאות מול מכשירים אחרים כדי למנוע זיופים. לפי הבקשה, זה אמור לקרות רק בהסכמה מפורשת של בעל המכשיר. 😏

ויש גם "תשלום" של credits שאפשר להמיר לכסף, תוכנה חינמית או גישה למודל שאימנת עבור Microsoft. 😏

כן, זה מיינר עם דיבידנטים פטנט, לא מוצר שהוכרז אבל הכיוון ברור, אם ה-GPU שלך לא עובד בשבילך, מישהו כבר חושב איך לגרום לו לעבוד בשבילו. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

ג'נסן הואנג התפטר מ-Nvidia אחרי 33 שנה - מתפקיד המנכ"ל, הנשיא וגם מהדירקטוריון 😏

במקומו נכנסת זמנית Colette Kress, ה-CFO של החברה והדירקטוריון כבר התחיל לחפש מנכ"ל קבוע וזה מגיע אחרי שבוע מטורף של חקירה פנימית סביב פרשת הריגול הסיני, הרומן שהוא עצמו הודה בו ולחץ מהצד של הדירקטוריון והפוליטיקאים בארה"ב. המניה נפלה אתמול עד כ-14% אחרי ההודעה אבל התאוששה וסגרה בירידה של 4.3%.

זה כנראה הסקס הכי יקר ששמעתי עליו - 33 שנות קריירה וכמה מאות מיליארדים בשווי שוק בשביל כמה לילות. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

ה-RCE דרך ה-widgets החדשים של Telegram מופיעים כמו פטריות אחרי גשם 🍄

חוקר הראה RCE נוסף שעבד על Telegram Desktop ל-Windows אחרי התיקון הראשון. הבעיה היא ש-Telegram מאפשרת ל-widgets שמגיעים בתוך הודעות להריץ QuickJS וב-Desktop הקוד הזה רץ בלי sandbox קשיח מספיק אז פשוט מתקנים use-after-free אחד ואז מוצאים parser bug אחר, RegExp bug או דרך חדשה להגיע לקריאה וכתיבה בזיכרון. בריפו של המחקר כבר מתועדות כמה שרשראות RCE שונות.

החדשות הטובות הם שלפי החוקר, הבאגים שפורסמו עד עכשיו כבר תוקנו בגרסאות העדכניות של Telegram. ב-Windows כדאי להיות לפחות על 7.4.2 ומעלה.

להכניס מנוע JavaScript להודעות בלי sandbox רציני זה פחות feature ויותר הזמנה למחקר אבטחה. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

אירוע די פסיכי בארה"ב הלילה - ה-FAA עצרה המראות בכל המדינה בעקבות כשל תקשורת שפגע במרכזי בקרת התעבורה האווירית ✉️

במשך יותר מ-4 שעות כמעט כל המטוסים היוצאים נשארו על הקרקע, יותר מ-3,000 מטוסים שכבר היו באוויר הונחתו ואלפי טיסות התעכבו, בוטלו או הוסטו. זאת עצירת הטיסות הארצית הארוכה ביותר בארה"ב מזה כ-25 שנה.

המערכת חזרה וה-ground stop הוסר, לפי שר התחבורה האמריקאי כרגע החשד הוא שמערכת תקשורת ישנה פשוט קרסה תחת עומס בזמן שילוב ציוד חדש ואין כרגע אינדיקציה למתקפת סייבר (למרות שהאינטרנט טוען אחרת 😏).

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

כנראה שגם ב-Telegram הבינו שהרעיון של JavaScript בתוך הודעות היה קצת... אמיץ 😅

בערך שבוע אחרי ההשקה Telegram כיבתה בצד השרת את ה-HTML widgets לכל המשתמשים. בוטים כבר לא יכולים לשלוח widgets חדשים והקיימים הפסיקו לעבוד. ב-Telegram עצמה לא הסבירו למה אבל הטיימינג לא משאיר הרבה מקום לדמיון - בימים האחרונים פורסמו כמה שרשראות RCE שונות סביב מנוע ה-QuickJS של ה-widgets כולל כאלה שעבדו גם אחרי תיקונים. 😏

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

ב-Europol סגרו עוד חשבון עם הדארקנט 😏

במבצע TorNado שנמשך ממאי 2025 עד אוקטובר 2026 נעצרו 354 מוכרים וקונים מ-14 מדינות אחרי פשיטות, חקירות פורנזיות ומעקב אחרי כסף וקריפטו. על הדרך נתפסו יותר מ-5.7 טון סמים, מאות כלי נשק ויותר מ-210 מיליון אירו בנכסים, מזומן וקריפטו. רק בארה"ב נעצרו 132 חשודים ונתפסו נכסים בשווי של יותר מ-150 מיליון אירו.

המבצע לא התמקד רק בשווקים שנסגרו כמו Archetyp, Bohemia ו-Nemesis. החוקרים עברו גם לפורומים, חנויות של מוכרים בודדים ואפילו קבוצות ב-E2EE messengers. 👮

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community

בשבוע האחרון קיבלתי כמה וכמה שאלות בסגנון "ליפי, אז לעבור למוטורולה אם אני רוצה גרפין?" כן אבל בואו נדבר על זה 😏

יש משהו קצת אבסורדי בלהתקין GrapheneOS כדי לברוח מגוגל בזמן שקונים מגוגל טלפון ב-1,299$... ובימים האחרונים האבסורד נהיה יותר בולט.

ה-GrapheneOS הודיעה שהתמיכה ב-Pixel 11 נדחתה כרגע ללא מועד, אחרי ש-Google לא פרסמה את קוד המקור של Android 17 QPR2 בזמן שהפרויקט ציפה לו. עוד לפני, GrapheneOS כבר לא רצתה לעבוד עם Pixel 11 בגלל חוסר תמיכה פעילה ב-MTE למרות שהחומרה עצמה מסוגלת לזה.

וזה למה ה-Motorola Signature 27 נהיה מעניין, ה-Motorola לא רק מאפשרת GrapheneOS, היא עבדה ישירות עם הפרויקט כדי שהמכשיר יעמוד בדרישות שלו, כולל verified boot, פתיחת bootloader ונעילה מחדש, MTE וחומרה שמתוכננת מראש לתמיכה רשמית.

כן, הוא עולה 1,599 דולר, בערך 300 יותר מ-Pixel 11 Pro XL אבל בתמורה מקבלים סוללה גדולה יותר, Snapdragon הרבה יותר חזק, מודם טוב יותר ובעיקר יצרן שבחר לעבוד עם GrapheneOS במקום ש-GrapheneOS יצטרכו כל פעם להסתדר סביבו.

וכן, Motorola Mobility שייכת ל-Lenovo הסינית אבל אחרי שמתקינים GrapheneOS, מערכת ההפעלה והאפליקציות כבר לא של Motorola. מה שנשאר לסמוך עליו הוא החומרה וה-firmware, בדיוק כמו שב-Pixel אנחנו עדיין "סומכים" על Google ברמת החומרה.

ה-Pixel לא נעלם מחר, כל הדגמים שכבר נתמכים ימשיכו לקבל GrapheneOS עד סוף החיים הרשמי שלהם אבל GrapheneOS כבר לא רוצה להיות תלויה ביצרן שהיא מנסה לעקוף ואולי סוף סוף ה-anti-Google OS יקבל טלפון שלא מממן את Google. 😅

🦅🦅🦅🦅

🛡Cyber | 😸 Memes | 🫂 Community