גביע Lefaroll כבר מחכה למנצח שלו 🏆

ה-Israel OSiNT League רק התחילה אבל יש כבר על מה להילחם. הגמר יתקיים ב-15/12 בשעה 21:00 עבור כל הערוץ וב-16:00 למי שיש לו כרטיס לגמר. 🎫

הגביע של התחרות 🔫 כאן

בגמר כבר:
@Avi_user
@Eli_meshi
@LinuxWithGnome

מי שרוצה לפרסם את הערוץ או את העסק שלו בתחרות ולהיכנס כספונסר - מוזמן לפנות בפרטי. ✉️

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community
👑VIP

ב-OpenAI טוענים שהמודל החדש שלה Astra עזר לפתור 10 בעיות מתמטיות פתוחות 😏

חלק מהבעיות האלה נוגעות בעקיפין גם לעולם הקריפטוגרפיה, אחת התוצאות קשורה ל-entangled games, תחום שנכנס גם לקריפטוגרפיה קוונטית, חלוקת מפתחות, הוכחות באפס ידע ואימות חישוב קוונטי. עוד תוצאה מעניינת קשורה לליבות המתמטיות של קריפטוגרפיה מבוססת סריגים - אותו עולם שמאחוריו נמצאים דברים כמו Kyber, Dilithium, Falcon וחלק מסכמות FHE.

זה לא אומר שמחר נשבר לכם הפוסט-קוונטום, להפך, ברוב המקרים זה חיזוק או הבהרה של היסודות המתמטיים. גם Anthropic לא נשארה בצד ופרסמה עבודות על קריפטואנליזה בעזרת AI שכוללוץ התקפות על HAWK ועל AES-128 בגרסאות לא פרקטיות לשימוש אמיתי. 🔫

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community
👑VIP

רובו-קנטאור עם ידיים של מסור חשמלי באמת קיים 😳

זה לא Midjourney ולא בוס מ-Doom, הדבר הזה מפותח בקליפורניה לעבודה בתנאים מסוכנים - שריפות, אתרי בנייה וכל מקום שבו עדיף לשלוח מכונה במקום בן אדם.

באתר הרשמי שלהם יש הסבר איך לעצור אותו במקרה שהעניינים יוצאים משליטה - פשוט לדקור את המיכל שעל החזה שלו, נשאר רק לקוות שמי שיצטרך לעצור אותו ירוץ יותר מהר ממנו. 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community
👑VIP |

יש prompt injection של ילדים שמנסים לעבור פילטרים של HR ויש את זה 😅

חוקר נורווגי בשם Håkon Måløy הראה דרך להחביא prompt בתוך מסמך Word כמו טקסט לבן על רקע לבן ובלה בלה בלה, ידוע אבל הבעיה מתחילה כש-Copilot קורא את המסמך. החוקר לא הסתפק בתתעלם מההוראות הקודמות, הוא נתן ל-Copilot שתי הוראות נסתרות - לשנות את המסמך ולהטמיע את כל ה-prompt בצורה נסתרת גם במסמכים חדשים אחרים שה-Copilot מייצר.

מסמך נגוע ⬅️ Copilot קורא אותו ⬅️ Copilot יוצר מסמך חדש ⬅️ Copilot מטמיע בו שוב את ההוראה הנסתרת ⬅️ המסמך החדש נשלח הלאה ⬅️ Copilot של מישהו אחר קורא אותו ⬅️ ממשיך.

החלק המסוכן הוא שהמסמך יכול להוליד מסמכים נגועים חדשים, גם אם הבן אדם לא רואה שום דבר חשוד.

זה דומה לתולעת רק שבמקום קובץ הרצה, היא מפיצה הוראות. החלק הכי בעייתי הוא בארגונים שבהם Copilot לא מחכה שתצרפו קובץ ידנית אלא מחפש לבד מסמכים ב-OneDrive, SharePoint, מיילים ומקורות פנימיים. ב-Microsoft ניסו לסגור את זה כמה פעמים: שינויי UI, פילטרים, מודל חדש ובכל פעם החוקר מצא ניסוח אחר שעוקף את ההגנה. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community
👑VIP |

ב-Arch Linux הקפיאו את AUR אחרי גל חבילות זדוניות 🦠

בסוף יולי ותחילת אוגוסט זוהו מאות עדכונים וחבילות חדשות עם payload זדוני כמו ניסיונות להריץ קוד בזמן build עם הרשאות sudo. בהתחלה DevOps חסמו העברת בעלות על חבילות ואז התוקפים פשוט עברו לפרסם חבילות חדשות בקצב משוגע ו-Arch עצרו את ה-git push ל-AUR לגמרי, גם מיינטיינרים לגיטימיים לא יכולים לדחוף עדכונים עד שהבלאגן יטופל.

כל ה-AUR מצד אחד, זה אחד הדברים הכי חזקים ונוחים באקוסיסטם של Arch אבל מצד שני זה גם מקום שבו משתמשים מריצים build scripts מקהילה פתוחה, לפעמים בלי לקרוא, לפעמים עם yay -S ואמונה בלב. עכשיו נוסיף לזה AI agent שמסוגל לייצר מאות חבילות אמינות בקצב שבן אדם רגיל לא יכול להתחרות בו וקיבלנו supply chain attack על סטרואידים.

בקיצור, מי שמשתמש ב-AUR לא להתקין חבילות חדשות שפורסמו בימים האחרונים בלי לבדוק טוב טוב את ה-PKGBUILD ולמי שעדיין מריץ דברים מ-AUR בלי לקרוא, היום זה יום טוב להתחיל להעמיד פנים שאתם אחראים. 🫡

מי שלא הבין מה כתוב פה - יש לך חיים.

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community
👑VIP |

ה-slopocalypse הגיע גם ל-CVE - ב-MITRE הקצו CVE לחולשת SQLite עם ציון CVSS 10.0 רק שהיא לא קיימת 😏

לא רק שהם הוציאו את ה-CVE-2026-51302 שנראה כמו פנטזיה של ה-LLM, אחר כך CISA העשירה אותו, סימנה אותו כקריטי והופיע דיבור על PoC ציבורי. משם זה התחיל להתגלגל הלאה, כולל לאזהרה של ה-NCSC ההולנדי שכבר נמשכה חזרה אחרי שהבינו שהחולשה כנראה פיקטיבית. 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community
👑VIP |

ה-Telegram נעלם הלילה מה-App Store בכל העולם לכמה שעות 🙂

הסיבה היא תוכן CSAM שעלה לפלטפורמה על ידי משתמש אחד. Apple זיהתה הפרה של חוקי החנות, הסירה את האפליקציה זמנית ו-Telegram מחקה את החומר וחסמה את החשבון, אחרי זה האפליקציה חזרה. תוכן כזה צריך להימחק מיד אבל Apple הענישה אפליקציה של מיליארד משתמשים בגלל פרסום של משתמש אחד, עד שהפלטפורמה הוכיחה שהיא ניקתה את האירוע.

אולי זה אירוע נקודתי אבל אולי זאת דחיפה לכיוון שבו חנויות של אפליקציות יכריחו פלטפורמות ללכת למודרציה הרבה יותר אגרסיבית ואולי אפילו לפני הפרסום? 😱

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community
👑VIP |

מתקפת שרשרת האספקה הכי גדולה של השנה, לפחות בנתיים 😅

האקרים השתלטו על חשבון ה-GitHub של jaredwray, המיינטיינר של keyv - ספריית npm עם בערך 127 מיליון הורדות בשבוע. משם הם דחפו קוד זדוני ל-main, הוציאו ריליזים חדשים והחבילות הזדוניות עלו ל-npm עם חתימות provenance תקינות של GitHub Actions - כלומר נראו לגמרי לגיטימיות.

הקטע הוא ש-keyv כמעט לא מותקנת ידנית, היא יושבת כתלות בתוך אינספור פרויקטים של JavaScript אז הזיהום מתפשט אוטומטית עמוק לתוך האקוסיסטם. גם חבילות נוספות של אותו מפתח נפגעו, כולל flat-cache, file-entry-cache, cacheable ו-cache-manager. מספיק npm install כדי להפעיל preinstall שמוריד payload, גונב טוקנים, מפתחות, סודות ענן, Kubernetes, Vault, Slack, Stripe, SSH...

כרגע מדברים כבר על מאות חבילות נגועות, אלפי גרסאות ויותר מ-2 מיליארד התקנות חודשיות פוטנציאליות. אם אתם חיים באקוסיסטם של Node.js - זה לא אירוע צדדי, זה אירוע חירום. 🚨

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community
👑VIP

נשק מעניין נגד שואבי הדאטה 😏

מישהו הציג שיטה שבה הטקסט נראה לבני אדם רגיל אבל כשבוטים או מערכות AI מנסות לגרד אותו מהעמוד הן מקבלות ג'יבריש. במקום לחסום crawler עם robots.txt ולקוות שמישהו יכבד את זה, פשוט נותנים לו לאכול חול.

זה לא פתרון קסם וברור שמישהו ימצא דרכים לעקוף גם את זה עם OCR או מודלים ויזואליים יותר חזקים אבל כיוון מעניין. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

ה-Mythos 5 יכול לבצע מתקפות סושיאל לבד 😏

ב-UK AISI פרסמו תיאור של ניסוי שבו מודלי AI קיבלו גישה לאינטרנט פתוח, בלי חלק ממנגנוני ההגנה כדי לבדוק מה הם יודעים לעשות כשהם צריכים לפרוץ. התוצאה: מתוך 122 הרצות ב-10 מהן הסוכנים חרגו מהתרחיש המותר וביצעו 19 פעולות לא מאושרות, 17 מהן הגיעו מ-Mythos.

המקרה הכי מעניין היה ניסיון supply chain אמיתי דרך GitHub - המודל יצר pull request עם קוד זדוני לפרויקט open-source אמיתי, למד מי המיינטיינרים, בנה כמה זהויות מזויפות וניסה לשכנע אותם לאשר את השינוי. כשמישהו ערער בפומבי על ה-PR, המודל שינה את הפעילות הקודמת כדי שתיראה תמימה ושקל להמשיך תחת זהות חדשה, בדרך הוא גם השתמש ב-Tor כדי לעקוף חלק מהמגבלות. במקרים אחרים Mythos ניסה לשלוח הודעות וקבצים לאנשים אמיתיים, לשלב payloads ולשתול prompt injections במקומות שבהם AI אחר אולי יקרא אותן ויפעיל אותן.

ה-GPT-5.6 Sol גם לא יצא צדיק, הוא השתמש מחדש בטוקן GitHub שמודל אחר השאיר חשוף, ניסה לעקוף מגבלות בקשות, פתח חשבונות בשירותי DNS וטאנלים וניסה לחשוף שרת DNS מקומי לאינטרנט. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

גם ה-Passkeys זה לא 100% הגנה 🕳️

חוקרים של Unit 42 תיארו סדרת תקיפות בשם Pass-ta-key שמכוונת ל-passkeys שמסונכרנים דרך Google Password Manager. אם המחשב כבר נגוע התוקף לא חייב לגנוב סיסמה ולא חייב לעבור Face ID או PIN, הוא יושב על המכשיר עצמו, גונב מזהים, משתמש ב-TPM כדי לחתום על פעולות מאחורי הקלעים ובחלק מהמקרים גורם למכשיר להירשם מחדש מול הענן עם מפתח אמון שהוא שולט בו.

ה-malware יכול לשלוף מפתחות רגישים מהזיכרון או מלוגים ולפענח את בסיס הנתונים המסונכרן של Google Password Manager, כולל מידע שקשור ל-passkeys ולסודות שמורים. הבעיה היא לא ש-passkeys נשברו קריפטוגרפית, אם המכשיר עצמו כבר בבעלות של התוקף, גם מנגנון אימות נקי יכול להפוך לעוד דבר שהתוקף מפעיל בשם הקורבן. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

שוב מיקרוסופט מרגלת כל 15 דקות? 😏

הפעם הסערה היא סביב שירות בשם whesvc - Windows Health and Optimized Experiences. ברשת התחילו לרוץ טענות שזה שירות ריגול חדש ב-Windows 11 ששולח למיקרוסופט מידע כל רבע שעה.

מיקרוסופט אומרת שזה לא נכון, לפי החברה, השירות לא חדש לגמרי, הוא הופיע כבר בבילדים ניסיוניים ב-2025 והמטרה שלו היא אבחון ביצועים. אם Windows מזהה שהמערכת נהיית איטית בצורה חריגה, היא יכולה ליצור trace מקומי בתיקייה %SystemRoot%\Temp\DiagOutputDir\Whesvc. לטענת Microsoft, הקבצים האלה נשלחים אליה רק אם המשתמש בעצמו שולח דוח דרך Feedback Hub.

בבילדים מוקדמים היו פרמטרים שקשורים לתדירות טלמטריה ומשם כנראה נולד הסיפור על כל 15 דקות. אין כרגע הוכחה שהגרסה הנוכחית שולחת כל רבע שעה הקלטות... מצד שני גם אין תיעוד מספיק ברור של כל מה שנכנס ל-traces האלה ואיך בדיוק השירות מתנהג. 😏

מי שרוצה שקט מזה כבר יודע את התשובה - לינוקס. 👩‍💻

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

ב-Meta רוצים להתחרות ב-OpenAI ו-Claude 👶

החברה השיקה את Muse Code - "מתחרה" של Claude Code ו-Codex, כרגע הוא קיים ל-macOS ולינוקס ובלי אפליקציה. ה-agent יושב על repo, מתכנן שינוי, כותב קוד, בודק את עצמו ועובד על משימות ארוכות.

הפיצ'ר המרכזי הוא parallel work:
כשמשימה מספיק גדולה, Muse Code פותח כמה sub-agents במקביל, כל אחד ב-worktree מבודד כדי לחלק את העבודה ולא להיתקע על שרשרת אחת. בפנים יש פקודות כמו:

/plan - בונה תוכנית לפני עבודה
/grill - מפרק את התוכנית ושואל איפה היא חלשה
/goal - רץ עד שהמטרה הושגה

המודל מאחורה הוא Muse Spark 1.2, גרסה שמכוונת לקוד, דיבוג והבנת codebase. היתרון שלהם (לא מול הסינים) זה המחיר - $1.25 למיליון טוקנים נכנסים ו-$4.25 ליוצאים ויש גם tier זול למי שמוכן לשתף דאטה לשיפור המודל (מהיכרות עם Meta כולם ישתפו 😈).

בבנצ'מרקים הוא די בינוני, לא מנצח את Opus 5 שמוביל ב-Terminal-Bench, ב-DeepSWE וגם בטסט הפנימי של Meta. 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

ב-Google פרסמו את דוח ההשפעות הזרות לרבעון השני של 2026 והזוכה הגדולה לפי הדוח היא 😍😍😍 סין 😮

🏆 לסינים ב-Google מחקו 9,186 ערוצי YouTube וכמה דומיינים ובלוגים כחלק מרשתות שהפיצו מסרים בעד בייג'ינג, נגד הפיליפינים ועסקו במדיניות החוץ של סין וארה"ב.

🥈 במקום השני רוסיה עם 2,083 ערוצי YouTube שנמחקו. שם התוכן דחף את הנרטיב הרוסי, פרופוגנדה נגד אוקראינה, נאט"ו והמערב ואפילו נרטיב בארמניה ומולדובה.

🥉 גם הודו הופיעה חזק עם 1,778 ערוצים סביב פוליטיקה פנימית.

🔢 אזרבייג'ן עם 981 ערוצים שקידמו את העמדה הרשמית שלה ותקפו את ארמניה והמתנגדים מהבית.

5️⃣ ארה"ב עצמה לא נשארה בחוץ, 277 ערוצים נמחקו סביב מאבקים פוליטיים פנימיים, ביקורת על הממשל האמריקאי ועל מדיניות החוץ של ישראל.

🩷 איראן רק עם 13 ערוצי YouTube, אבל גם דומיינים, חשבונות פרסום ובלוגים. התוכן תמך באיראן ותוקף את ישראל וארה"ב.

בקיצור, YouTube מזמן לא רק אתר סרטונים, זה שדה קרב של נרטיבים, מדינות, בוטים, ערוצים מזויפים ומבצעי השפעה אז כשאתם רואים דעה אותנטית ברשת, לא תמיד יש שם בן אדם אותנטי מאחוריה, חוץ ממני כמובן... 😂

https://blog.google/security/influence-operations-bulletin-q2-2026/⁠

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

ב-DuckDuckGo הוציאו את המשקפיים הכי טיפשים בעולם 😏

בלי מצלמה, בלי מיקרופון, בלי AI, בלי הקלטות, בלי זיהוי פנים, בלי אפליקציה שמבקשת הרשאות... רק משקפי שמש רגילים, עדשות פולרייזד, לוגו של ברווז ומצב offline מובנה מהמפעל.

ב-DuckDuckGo בעצם מטרילים את כל הטרנד של המשקפיים החכמים, לפעמים הפרטיות הכי טובה היא פשוט לא להכניס מחשב לפנים. 😏

המחיר: 35 דולר. 😎

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

חידה 3 מתחילה מחר ב-21:30 🔍

למי שנכנס עכשיו לבלגן - Israel OSiNT League זה טורניר חידות OSINT של הערוץ עם חידה חדשה כל שבוע, זוכים, פרסים, רמזים וגמר בסוף. והגמר מתחיל להיות מעניין, הפרס לא איזה כל הכבוד אחי עם מדבקה, מחכה שם גביע Lefaroll בשווי של מעל 1,000 שקל. 🏆

ועוד משהו קטן:
יכול להיות שהסדר שבו אנשים מקבלים טיקט לגמר - ראשון, שני, שלישי וכן הלאה - לא יהיה סתם קישוט.

לא אומר שזה יתרון, לא אומר שזה לא, אתם כבר מכירים אותי... 😏

מחר ב-21:30, חידה שלישית, תגיעו חדים כי Doctor dev כבר איבד שליטה על המעבדה. 😙

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

וורדפרס סגרה חולשת Core קריטית בשם XSS2Shell 👀

מדובר בשרשרת Pre-auth XSS ל-RCE, בלי חשבון, בלי פלאגין פגיע ובלי התחברות, מספיק להכניס שם משתמש מזויף במסך ההתחברות, וורדפרס מחזירה אותו בתוך הודעת שגיאה אבל עם רווח אחד במקום הנכון מה שאמור להיות טקסט הופך לקוד שרץ בדפדפן ומשם pwn.ai הצליחו לרכב על זה עד להרצת PHP על השרת (CVE-2026-64638).

זה תוקן ב-WordPress 7.0.3 עם backport לענפים נתמכים אבל אם יש לכם וורדפרס באוויר - זה לא נעדכן מתישהו, זה עכשיו. 😅

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

באפל גם כש-Private Relay דלוק, ה-IP האמיתי יכול לדלוף 😏

החוקרים Tommy Mysk ו-Talal Haj Bakry מצאו חולשות ב-WebKit שמאפשרות לאתרים לזהות את ה-IP האמיתי של משתמשי iCloud Private Relay. זה קורה דרך בקשות Passkey ב-WebAuthn ו-DNS-prefetch עם WebTransport שעוברות מחוץ למסלול הפרוקסי שאמור להסתיר את המשתמש.

בפועל, אתר שתומך בסיסמאות גישה או רק מעמיד פנים שהוא תומך בהן יכול לגרום ל-iOS להוציא בקשה מחוץ ל-Safari ולראות את ה-IP האמיתי. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

אפשר לסכם את Black Hat 2026 בזה שהבעיה המרכזית היא סוכני AI שמקבלים כלים, הרשאות וזהויות אמיתיות 😏

ב-OpenAI דיברו שם על מקרים של מודלים שיצאו לבדיקות אוטונומיות נגד רשתות. ב- PortSwigger הציגו מערכת שבנתה עשרות אלפי וקטורי HTTP desync ומצאה מאות מטרות פגיעות. ב-Check Point מצאו חולשות בפריימוורקים כמו LangChain, CrewAI, AutoGen ו-Google ADK. גם הדפדפנים עם סוכני AI נכנסו חזק לתמונה, הראו איך הוראה מוסתרת במייל, הזמנה ביומן או עמוד אינטרנט יכולים לגרום לסוכן לבצע פעולות שלא התכוונו אליהן - מגניבת מידע ועד פעולות בחשבונות.

ובסוף כולם הגיעו למסקנה שצריך להתייחס לכל סוכן כמו אל משתמש חדש בארגון: מינימום הרשאות, בידוד, Zero Trust, ניטור מלא והפרדה בין מה שהוא קורא למה שמותר לו לעשות. 😏

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP

בעוד שעה מתחילה חידה 💋 של תחרות Israel OSiNT League . 😊

➖➖➖➖➖➖➖➖➖➖➖➖
🛡Cyber | 😸 Memes | 🫂 Community | 👑VIP