חדשות סייבר יומיות - 14 בנובמבר 2026

מה קרה

האקרים הקשורים למדינת צפון קוריאה גנבו יותר מ-400 מיליון דולר במטבעות קריפטוגרפיים במהלך 18 החודשים האחרונים. הם מפתים יעדים לשיחות Zoom ו-Microsoft Teams מזויפות, שבהן מוקרן צילום webcam גנוב של קורבנות קודמים. ה-FBI מכנה את הסכמה FaceStealer, תפסה יותר מ-900 מההקלטות האלה, וב-12 בנובמבר הזהירה עובדי קריפטו ו-web3 לצד מתחזקי קוד פתוח.

הפעילות מקושרת לקבוצת התקיפה שמנוטרת כ-Sapphire Sleet, BlueNoroff ו-APT38. התוקפים פורצים לחשבונות Telegram, LinkedIn, Slack או Discord של הקורבנות, שולחים לאנשי קשר הזמנות Calendly, ואז מעבירים קישורי פגישה דומים (כגון uu01webzoom[.]us). בתוך השיחה הם מנגנים וידאו מוקלט של איש הקשר האמיתי, טוענים לבעיות שמע, ומדריכים את היעד לבצע עדכון, להריץ סקריפט או פקודת טרמינל. כך מותקנים קוצרי cookies, keyloggers, לוכדי מסך ודלתות אחוריות, בעוד שה-webcam מקליט מרגע הלחיצה על הקישור. במקרים מסוימים הקבוצה חיכתה חודשים עד יותר משנה עד שיתרות הארנקים יגדלו, ורק אז ניקזה אותן. הם גם תקפו מתחזקי קוד פתוח והחלו להשתמש ב-deepfakes.

מי מושפע

עובדי קריפטו ו-web3, מתחזקי קוד פתוח (כולל JavaScript/npm ו-crates של Rust), וכל מי שבמכשירים שלו נמצאים ארנקי קריפטו, ביטויי seed, גישה לרשת המעסיק או מאגרי קוד.

הסכמה כבר הפיקה מאות הקלטות קורבנות שמזינות פיתויים נוספים, וכך מרחיבה את מאגר היעדים הפוטנציאליים.

למה זה חשוב

גורמי מדינה מתעשייתים את ההנדסה החברתית באמצעות מיחזור וידאו אמיתי של קורבנות והמתנה סבלנית לתשלומים בעלי ערך גבוה. כל הדבקה מוצלחת מספקת את הפנים המוכרות לשיחה הבאה, ויוצרת קמפיין שמזין את עצמו.

תקיפה ממוקדת של מתחזקי קוד פתוח מעלה את הסיכון לשרשרת האספקה של ספריות עם הורדות רבות. מפתחים ומפעילים שמחזיקים מפתחות או seeds במכשירי יומיום חשופים לגניבה שקטה ומאוחרת שכלי endpoint סטנדרטיים עלולים לפספס עד שהכספים זזים.

איך אפשר היה למנוע את זה

השאירו את ה-webcam כבוי עד שאתם יכולים לראות, לשמוע ולדבר בשידור חי עם מי שהזמין אתכם. הצטרפו רק דרך אפליקציית Zoom או Teams הרשמית עם קוד הזמנה, ואמתו את הפגישה בערוץ שני כמו שיחת טלפון.

לעולם אל תריצו סקריפטים ואל תדביקו פקודות כדי "לתקן" אפליקציית פגישות. השאירו רק יתרות קטנות בארנקי הרחבות דפדפן ואל תשמרו ביטויי שחזור או מפתחות פרטיים על מכשירים. אם יש חשד לחדירה, צרו ארנק חדש במכשיר נקי והעבירו את הכספים מיד.

מה קרה

ה-FBI פרסמה התראת Flash על פלטפורמת ה-AI בקוד פתוח Artex, שפושעי סייבר וגורמי מדינה משתמשים בה כדי לאוטמט שלבים מרובים של חדירות במהירות מכונה, מאיסוף מידע (reconnaissance) ועד הוצאת נתונים (exfiltration). חלק מהמתקפות מתקדמות ממיקוד ראשוני עד גישה עם הרשאות בפחות משלוש שעות.

Artex שוחרר באוגוסט ב-GitHub על ידי החשבון Autumn-27, המקושר למהנדס הסיני לי פוהואה (Li Puhua), שבהמשך הצהיר שהכלי נוצל לרעה והסיר את ה-repo. הכלי ממשיך לפעול דרך forks, ארכיונים וגרסה מסחרית. הוא הופך כל מודל שפה גדול (LLM) לסוכן שממיר יעדים ברמה גבוהה לפקודות ניתנות להרצה עם התערבות אנושית מינימלית. מודלים סיניים כמו DeepSeek שולטים בשימוש שנצפה אצל תוקפים. Censys מצאה יותר מ-1,600 קונסולים חשופים לציבור. הכלי קושר למתקפות על מוסדות פיננסיים בדרום קוריאה וביפן, לאירוע שרשרת אספקה ב-ConnectWise שכלל גורמים סיניים, לגניבת פרטי הזדהות AI בקנה מידה רחב, ולעקיפות KYC באמצעות deepfake.

מי מושפע

ארגונים בשירותים פיננסיים, ממשל, טכנולוגיה, ביטחון, מוליכים למחצה, אנרגיה, בריאות, ייצור, תקשורת ומגזר משפטי ברחבי העולם.

כל סביבה שחשופה לאיסוף מידע ולניצול אוטומטיים מונעי AI, לצד מפעילי קונסולי Artex חשופים.

למה זה חשוב

המסגרת מורידה את רף הכישורים לתפעולים מורכבים מרובי יעדים ומקצרת דרמטית את זמן השהייה משעות או ימים לפחות משלוש שעות. קמפיינים מתמשכים עם התערבות נמוכה הופכים למעשיים גם לפושעים וגם לקבוצות מדינה.

מגנים מתמודדים עם מתקפות מהירות יותר וניתנות להרחבה שמשלבות הסקת AI עם טכניקות מסורתיות, כולל גניבת פרטי הזדהות שמממנת שימוש נוסף ב-AI.

מה קרה

תוקפים השתמשו במתזמן פגישות Microsoft Teams מזויף כדי להערים על עובד בחברת בנייה שישלים התחברות device-code, והשיגו token סשן תקף לפני ש-Huntress SOC זיהה את האירוע.

פישינג Device Code מנצל תהליך Microsoft לגיטימי: התוקף מאתחל את ההתחברות, מקבל קוד קצר, ומשכנע את הקורבן להזין אותו בדף ההתחברות האמיתי של Microsoft למכשירים. הקורבן עשוי להשלים MFA, ובכך מאשר מבלי לדעת את הסשן של התוקף ומעביר לו access tokens. הפיתיון הגיע מדומיין typosquatted דרך קישור שיתוף של Google שהסתיר את דומיין התוקף, הציג תמונת ראש של מנהל בכיר, והציג את הקוד כ-"Booking Reference" עם ספירה לאחור. ה-kit סופק כ-ciphertext ב-AES-256-GCM כדי לעקוף סורקים שאינם מבוססי JavaScript, כלל fallbacks לשגיאות MFA שהפעילו מחדש את התהליך, וניתב את ההתחברות הסופית דרך residential proxy.

מי מושפע

משתמשי Microsoft 365 ו-Teams, במיוחד בארגונים שמאפשרים אימות device-code. ארגונים שעובדיהם מקבלים בקשות בלתי צפויות להזמנת פגישות או שותפויות.

כל חשבון שיכול להשלים תהליך device-code אינטראקטיבי חשוף פוטנציאלית.

למה זה חשוב

המתקפה רוכבת על דפי Microsoft אמיתיים ויכולה לעמוד בדרישות MFA, ובכך עוקפת מסנני פישינג מסורתיים רבים והדרכות משתמשים שמתמקדות באתרי התחברות מזויפים. tokens של סשן מעניקים גישה רחבה לחשבון בלי בקשות סיסמה חוזרות.

מפתחים ומפעילים חייבים להתייחס לבקשות device-code בלתי צפויות כסיכון גבוה ולנטר תבניות התחברות חריגות.

איך אפשר היה למנוע את זה

התייחסו לבקשות device-code בלתי צפויות כחשודות. כשהצרכים העסקיים מאפשרים, הגבילו או נטרו מקרוב את אימות device-code באמצעות מדיניות conditional access.

פרסו Phishing-resistant MFA. בדקו התחברויות ממכשירים לא מוכרים ועקבו אחרי לוגי התחברות אינטראקטיביים לאיתור user agents תכנותיים כמו python-requests או node. לאחר חדירה, חפשו שיטות MFA זרות, מכשירים לא מוכרים, הסכמות אפליקציה לא מורשות, כללי תיבת דואר חשודים ודואר יוצא.

מה קרה

CISA הוסיפה פגיעות UnrealIRCd בחומרה גבוהה, CVE-2026-114713 (CVSS 8.6), לקטלוג Known Exploited Vulnerabilities שלה ב-13 בנובמבר, לאחר ניצול בפועל מאומת. הבעיה היא neutralization לא תקין של delimiters במודול labeled-response.

ב-UnrealIRCd מגרסה 6.0.0 עד לפני 6.2.7.1, המודול לא מבצע escape לתג ההודעה IRCv3 "label" כשהוא מחזיר תשובות. כל משתמש ברשת עם שני שרתים מקושרים או יותר יכול להזריק פקודות server-to-server שרצות בסמכות השרת. מתחזק הפרויקט בראם מאתיס (Bram Matthys) שחרר את 6.2.7.1 לתיקון (ולבעיות נוספות שנמצאו בסיוע AI); הניצול החל ביום שאחרי ה-hotfix. הוא כינה אותה הפגיעות הקריטית ביותר ב-UnrealIRCd ב-15 השנים האחרונות. סוכנויות פדרליות עומדות בפני מועד יעד לתיקון ב-16 בנובמבר תחת BOD 26-04.

מי מושפע

מפעילי שרתי IRC של UnrealIRCd בגרסאות 6.0.0 עד 6.2.7.0, במיוחד כאלה עם רשתות multi-server מקושרות.

כל רשת IRC שחושפת את פונקציונליות labeled-response למשתמשים לא מהימנים.

למה זה חשוב

ניצול מוצלח מניב הרצת פקודות עם הרשאות server/IRCOp, ומאפשר השתלטות מלאה על השרת, תנועה רוחבית בין שרתים מקושרים, או מסירת נוזקה נוספת. ניצול בפועל מיד לאחר הגילוי משאיר סביבות לא מעודכנות חשופות מאוד.

תשתית IRC תומכת לעיתים קרובות בקהילות, gaming או צ'אט פנימי; חדירה יכולה להתפשט למשתמשים ולמערכות המחוברים.

איך אפשר היה למנוע את זה

עדכנו מיד ל-UnrealIRCd 6.2.7.1 ומעלה. אם העדכון מתעכב, פרסו את ה-workaround של spamfilter שהמליץ המתחזק.

נטרו לוגים לאיתור פקודות server-to-server חריגות והגבילו קישור רשתות כשאפשר. סוכנויות אזרחיות פדרליות חייבות לעמוד במועד היעד של 16 בנובמבר.

מה קרה

שתי מתקפות שפורטו לאחרונה, Mior ו-Skyfall, מאפשרות למארח זדוני לקרוא נתונים מתוך מכונות וירטואליות המוגנות ב-AMD SEV-SNP, שנועדו למנוע גישה גם ממפעיל הענן. Mior יכולה גם לשנות את זיכרון ה-VM ולזייף את דוח ה-attestation החתום שמוכיח איזו תוכנה רצה ב-VM.

שתיהן דורשות שליטה ב-hypervisor. Mior דורשת בנוסף שליטה ב-BIOS/UEFI ובהתקן PCIe כמו GPU. חוקרים ב-ETH Zurich הדגימו אותן בבדיקות מעבדה על מעבדי AMD EPYC. Mior מכוונת לשלב האתחול של SEV-SNP: היא מפנה כתיבות של ה-Platform Security Processor שמיועדות ל-Reverse Map Table אל זיכרון GPU בשליטת התוקף, ומשאירה רשומות RMP קריטיות ללא אתחול. כך יכול ה-hypervisor מאוחר יותר לשכתב הגנות, להפעיל debugging ולהשתמש בפקודות debug של ה-PSP כדי לקרוא או לכתוב לזיכרון ה-VM (הצליח בכל 1,000 הניסיונות). היא יכולה גם להחליף מדידות attestation. AMD שחררה קושחת SEV עבור Mior ו-microcode עבור Skyfall מתאריך 12 באוגוסט, וקושחת פלטפורמה מתוכננת לספקי שרתים בנובמבר (Skyfall) ובדצמבר (Mior).

מי מושפע

לקוחות ענן ומפעילים שמריצים מכונות וירטואליות חסויות המוגנות ב-AMD SEV-SNP על מעבדי שרת EPYC (Zen 5 אושר; Zen 3 ו-Zen 4 עלולים להיות מושפעים). עומסי עבודה שמסתמכים על בידוד חומרה מהמארח.

ספקים שה-hypervisors או ה-BIOS שלהם עלולים להיפרץ, ובהמשך גם פלטפורמות AMD משובצות.

למה זה חשוב

המתקפות שוברות את הבטחת האבטחה המרכזית של confidential computing: שזיכרון ה-VM וה-attestation נשארים מוגנים גם מפני מארח זדוני או שנפרץ. דוחות attestation מזויפים מערערים את האימות מרחוק של trusted execution.

ארגונים שמציבים נתונים רגישים או מפתחות ב-VMs של SEV-SNP על תשתית לא מהימנה חייבים להתייחס לחדירה למארח כסיכון ישיר לחשיפת נתונים עד להחלת הקושחה.

איך אפשר היה למנוע את זה

השיגו והחילו את עדכוני קושחת ה-SEV, ה-microcode ו-BIOS הפלטפורמה העדכניים ביותר מ-AMD ומספק השרתים שלכם, ברגע שהם זמינים (לוח זמנים של נובמבר עד דצמבר עבור פלטפורמות רבות).

ודאו ש-ciphertext-hiding ואפשרויות SEV-SNP אחרות מוגדרות כראוי, עקבו אחרי advisories של הספקים, והעדיפו ספקים שמגלגלים את התיקונים האלה במהירות. VMs רגילות שאינן confidential לא מרוויחות דבר חדש מהמתקפות האלה.

מה קרה

Trezor אישרה ששלושה ארנקי חומרה Safe 5 שנרכשו מהמפיץ CryptoBilis מכילים שתל נסתר: לוח מעגלים נוסף שקורא את משפט השחזור מהמסך ומשדר אותו ברשת הסלולר לשרתי התוקפים. החברה ניתחה מכשיר אחד במעבדה שלה וזיהתה את האחרים מתמונות של בעלים. עד כה לא דווח על אובדן כספים.

השתל ממוקם בין הלוח הראשי למסך, משאיר את קושחת הארנק ואת ה-Secure Element ללא שינוי, לוכד את המשפט (וכל passphrase) במהלך יצירת גיבוי או שחזור, מצפין את הנתונים ומנסה שוב עד שהוא מצליח לשלוח אותם לשרתי התוקפים. קושחה 2.13.1 (ששוחררה עבור Safe 7, Safe 5, Safe 3 ו-Model T) חוסמת את השתלים הידועים מלכידת נתונים חדשים, אך אינה יכולה להגן על משפטים שכבר נגנבו. CryptoBilis הייתה מפיצה רשמית בדרום מזרח אסיה עד 9 באוקטובר. קמפיין שתלים דומה פגע במכשירי Ledger שנמכרו על ידי אותו מפיץ.

מי מושפע

כל מי שרכש Trezor Safe 5 (או באופן פוטנציאלי דגמים אחרים) מ-CryptoBilis מאז מרץ, כולל דרך חנויות Tokopedia ו-Shopee שלה.

גם בעלים שאינם בטוחים במקור הרכישה צריכים להתייחס למכשירים כחשודים.

למה זה חשוב

שתל פיזי בשרשרת האספקה מרוקן מתוכן את הערך המרכזי של ארנק חומרה: הוא גונב את ה-seed ברגע שהוא מופיע על המסך. אחר כך התוקפים יכולים לרוקן כספים בנוחות, בלי אינטראקציה נוספת.

התקרית, לצד מקרי Ledger המקבילים, מראה שגם משווקים רשמיים יכולים לשמש וקטור, ושעדכוני firmware לבדם אינם מוחקים מידע שכבר נלכד.

איך אפשר היה למנוע את זה

אם רכשתם מ-CryptoBilis מאז מרץ, העבירו את כל הכספים לארנק חדש לחלוטין שנוצר במכשיר נקי עם משפט שחזור חדש. אל תשחזרו את המשפט הישן בשום מקום. פנו ל-Trezor Support לקבלת מחליף; שמרו את המכשיר החשוד, אל תפתחו אותו ואל תשקלו אותו.

עדכנו ל-firmware 2.13.1 ומעלה. רכשו רק מערוצים אמינים במיוחד, לעולם אל תשתפו משפט שחזור, והיזהרו ממתחזים שמתחזים לתמיכה.

מה קרה

מבצע אכיפת חוק בינלאומי במסגרת Operation Endgame השבית השבוע שרתים ותשתיות ששימשו את ה-loader Gootloader, את ה-RAT לשליטה מרחוק CastleRAT ואת ה-infostealer StealC. המשטרה תפסה כ-6.4 מיליון פרטי התחברות גנובים השייכים ליותר מ-40,000 קורבנות, ועוד 235 שרתים ו-257 דומיינים בסך הכול.

ה-loader Gootloader מתפשט דרך מסמכים משפטיים מזויפים מורעלים ב-SEO באתרי WordPress שנפרצו, מפיל נוזקה נוספת (בעיקר כופרה), ומקושר על ידי משרד המשפטים האמריקאי ללפחות 25,000 הדבקות ולהפסדי כופרה של 28.8 מיליון דולר בקרב 44 קורבנות בארה"ב (הרשויות בגרמניה מצביעות על מספרים גלובליים גבוהים בהרבה). המפעילים מכרו גישה לקבוצות כופרה. הכלי CastleRAT (ידוע מאז 2025) מאפשר שליטה מרחוק מלאה; ה-infostealer StealC גונב פרטי הזדהות וכבר נפגע ביוני, לפני שהמפעילים שיקמו אותו בין היתר על bulletproof hosting שפורק בהמשך. לא הוכרזו מעצרים בגל הזה; המשטרה ההולנדית ממשיכה לרדוף אחרי חשוד מרכזי ב-Gootloader.

מי מושפע

עשרות אלפי קורבנות שפרטי ההזדהות שלהם נגנבו, ארגונים שנפגעו מכופרה בהמשך, ובעלי מאות אתרי WordPress שנפרצו ושימשו להפצת Gootloader.

משתמשי משפחות הנוזקה הרלוונטיות, וכל מי שהאימייל שלו מופיע בנתוני CastleRAT שנתפסו.

למה זה חשוב

ההשבתה משבשת אקוסיסטם נוזקה מרכזי שממיר גישה ראשונית לכופרה ולגניבת פרטי הזדהות בקנה מידה רחב. הסרת loaders, RATs ו-stealers מייקרת את הפעילות לפשיעה ומקטינה זמנית את נפח התקיפות.

המפעילים כבר שיקמו בעבר, ולכן ההקלה חלקית; השירות הציבורי Check-your-hack ופעולות ניקוי האתרים נותנים לקורבנות מסלולי התאוששות מוחשיים.