חדשות סייבר יומיות - 18 באוקטובר 2026

מה קרה

חוקרים זיהו את חבילת ה-npm הזדונית imgdecode כחלק מקמפיין שרשרת האספקה המתמשך של MALFEX. החבילה הועלתה ב-30 בספטמבר 2026 על ידי המשתמש malfexteste8, הגיעה לגרסה 1.0.3, צברה 979 הורדות, ובזמן הדיווח עדיין הייתה זמינה ב-registry.

נקודת הכניסה הקצרה ב-JavaScript טוענת native addon מהודר של Node.js ל-Windows (DLL). בטעינה מקונסולת Windows, ה-DLL מוריד shellcode מוצפן מ-GitHub, מפענח אותו ומזריק את ה-payload לתהליך dllhost.exe חדש.

MALFEX מפרסמת חבילות זדוניות מאז אוגוסט 2023 דרך מספר חשבונות מפרסמים. חבילות קודמות טענו את Overlord RAT או יצרו שרשרת stealer ב-Node.js (cdn-img-fetch, img-to-native, native-runner); גורם האיום החליף במהירות חבילות שהוסרו ב-imgbundle, ב-runhelper ואחר כך ב-imgdecode.

מי מושפע

מפתחי Node.js ומערכות CI ב-Windows שמתקינים את imgdecode או חבילות MALFEX קשורות, או שתלויים בהן באופן עקיף. כמה מאות הורדות ישירות עד כה אינן משקפות את מלוא הסיכון אם החבילה נמשכת לעצי תלויות גדולים יותר או ל-mirrors פנימיים.

למה זה חשוב

חבילות npm שוליות עם native addons מעניקות לתוקפים דריסת רגל חשאית בתחנות עבודה של מפתחים. טעינה מוצלחת יכולה לספק RATs או stealers שחודרים לקוד מקור, לפרטי הזדהות ולבניות downstream, והופכים התקנה אחת לאירוע רחב בשרשרת אספקת התוכנה.

איך אפשר היה למנוע את זה

הסירו מיד את imgdecode וכל חבילה קשורה (cdn-img-fetch, img-to-native, native-runner, imgbundle, runhelper). בדקו את package-lock.json ואת node_modules לאיתור native addons לא צפויים או מפרסמים שוליים מהזמן האחרון.

נעצו גרסאות תלויות, הריצו כלי SCA לפני התקנה, העדיפו חבילות מוכרות ומתוחזקות, הפעילו 2FA ב-npm, וחסמו או סקרו שלבי postinstall וקומפילציה native ב-CI. נטרו חיבורים יוצאים לתוכן raw לא מוכר ב-GitHub אחרי טעינת חבילה.

מה קרה

Drupal פרסמה תיקונים לשתי פגיעויות קריטיות של הרצת קוד מרחוק (RCE) שמשפיעות על מודול Field UI בליבה ועל מודול Entity List התורם. כל גרסאות Drupal core הנתמכות כיום מושפעות.

הניצול יכול להתרחש דרך מודולים תורמים או קוד מותאם, וכולל לפחות נתיב אחד שאינו דורש הזדהות. צוות האבטחה של Drupal פרסם התרעה מוקדמת שאקספלויטים עובדים עלולים להופיע בתוך שעות או ימים מהגילוי, וקרא למנהלים להתכונן לעדכונים מהירים.

מי מושפע

כל אתר שמריץ גרסת Drupal core נתמכת, וגם אתרים שמשתמשים במודול Entity List התורם. Drupal מפעילה יותר ממיליון אתרים, רבים מהם של ממשלות, אוניברסיטאות ועמותות.

למה זה חשוב

הרצת קוד מרחוק ב-CMS מעניקה שליטה מלאה בשרת, ומאפשרת גניבת נתונים, השחתת אתר, אחסון נוזקה או תנועה רוחבית. סביבות Drupal בעלות ערך גבוה נסרקות באופן שגרתי אחרי חלונות אבטחה, ולכן סביבות לא מעודכנות חשופות לסיכון ניצול אוטומטי בטווח הקרוב.

איך אפשר היה למנוע את זה

עדכנו מיד את Drupal core ל-10.6.19, 11.3.19 או 11.4.10 לפי ענף הגרסה שלכם. עדכנו את מודול Entity List ל-3.0.10.

החילו את התיקונים קודם בסביבת staging אם אפשר, ואז פרסו לproduction. סקרו קוד מותאם ומודולים תורמים אחרים שעלולים לחשוף את פונקציונליות Field UI הפגיעה. נטרו לוגים לאיתור בקשות חריגות אחרי העדכון.

מה קרה

Citizen Lab דיווח שחברת הפרסום הישראלית Discover-Tech שימשה כערוץ הפצה לרוגלת zero-click של Candiru במבצע בשם AdFection. מודעות ממוקדות אפשרו טביעת אצבע של מכשירים, הסרת אנונימיות, מעקב אחרי מיליוני מכשירים והדבקה סלקטיבית.

פלטפורמת Controlium של Discover-Tech משתתפת במכרזי real-time bidding, אוספת מזהים ומזריקה JavaScript שפונה לתשתית שלה כדי להחליט אם להעביר רוגלה. בין 2024 ל-2025 נפגעו כך לפחות 45 מכשירים בתוך אל ג'זירה. החברה נראית כגשר בין ספקי פרסום לספקי רוגלות שכירים.

מי מושפע

יחידים וארגונים בסיכון גבוה שמוקדים על ידי לקוחות Candiru, ובראשם עיתונאים ועובדים באל ג'זירה. אוכלוסיות רחבות יותר שמכשיריהן מופיעים בזרמי הצעות של בורסות פרסום עלולות לעבור טביעת אצבע ומעקב בקנה מידה רחב.

למה זה חשוב

תשתית פרסום מסחרית יכולה להפוך לוקטור הדבקה חשאי מסוג zero-click, שאינו דורש כל אינטראקציה מצד המשתמש. השילוב של בניית פרופילים מסיבית של מכשירים ורוגלות שכירים מעלה את הרף עבור צוותי הגנה שמגנים על עיתונאים, פעילים ומנהלים בכירים.

איך אפשר היה למנוע את זה

משתמשים בסיכון גבוה: הריצו קונפיגורציות מוקשחות ומעודכנות במובייל ובדסקטופ, הגבילו חשיפה לפרסומות עם חוסמי תוכן מחמירים או מצבי גלישה פרטית, ופרסו כלי mobile-threat-defense שמזהים אינדיקטורים של רוגלה.

ארגונים: הגבילו רשתות פרסום לא מהימנות במכשירים מנוהלים, נטרו התנהגות חריגה של תהליכים או רשת אחרי טעינת מודעות, והתייחסו לסיכוני zero-click כחלק מתוכניות הגנה על מנהלים בכירים ועיתונאים. בדקו קשרי ad-tech עם צדדים שלישיים לאיתור זרימות נתונים חריגות.

מה קרה

ConnectWise השביתה שבע זהויות יישום אחרי שתוקפים לא ידועים השיגו אליהן גישה לא מורשית וניצלו אותן לחדירה ל-tenants של Microsoft 365 של לקוחות. החברה השעתה את Cloud Backup באמצעות ביטול certificates, והורידה זמנית את SaaS Security ו-Cloud Management מהאוויר בזמן החקירה.

הבעיה זוהתה ב-14 באוקטובר 2026; צעדי מיטיגציה החלו ב-17 באוקטובר. ארכיוני הגיבוי הקיימים נשארים מוצפנים ואין ראיות לגישת תוקפים אליהם, אך גיבויים מתוזמנים ופונקציות שחזור אינם זמינים. פרטי הזדהות גנובים של יישומים אפשרו לתוקפים לבקש access tokens מ-Entra ID ולהגיע ל-tenants של לקוחות בלי לגנוב סיסמאות של משתמשים בודדים.

מי מושפע

לקוחות ConnectWise שמשתמשים ב-Cloud Backup, ב-Cloud Management ובאינטגרציות Microsoft 365 קשורות, כולל ספקי שירותים מנוהלים רבים והארגונים שהם תומכים בהם. כל tenant שהעניק את זהויות היישום המפורטות נמצא בטווח לבדיקה.

למה זה חשוב

סט בודד של פרטי הזדהות פרוצים של יישום צד שלישי הופך למפתח אוניברסלי לסביבות M365 רבות של לקוחות. מפעילים מתמודדים עם גישה אפשרית לנתונים, persistence, ניצול לרעה של mailbox או SharePoint, ועם השבתה תפעולית של שירותי גיבוי וניהול עד שהספק ישחזר אותם בבטחה.

איך אפשר היה למנוע את זה

בכל tenant של Microsoft Entra ID, בדקו ובטלו את הרשאות האפליקציה של ConnectWise שפורטו וכל הסכמה חשודה. פסלו tokens שנותרו בתוקף וכפו אימות מחדש היכן שנדרש.

בדקו את לוגי ה-audit וה-sign-in של M365 לאיתור פעילות אפליקציה חריגה. החילו להבא מדיניות הסכמה עם הרשאות מינימליות, הפעילו continuous access evaluation, ופעלו לפי הנחיות התיקון של ConnectWise לפני הפעלה מחדש של אינטגרציות. התייחסו למאגרי גיבוי כקריטיים ואמתו את הבידוד שלהם.

מה קרה

דידייה סטיבנס (Didier Stevens), handler ב-SANS ISC, פרסם כלל YARA תמציתי שמזהה פרויקטי VBA יתומים המוטמעים בקבצי DWG של AutoCAD. הכלל מחפש את חתימת AC10 ב-offset אפס, DWORD בערך אפס ב-offset 0x24, את ה-magic bytes של קובץ OLE compound, ואת מחרוזת ה-ASCII [Host Extender Info].

retrohunt ב-VirusTotal עם הכלל החזיר רק שתי דגימות תואמות, סימן לכך שהטכניקה נדירה כרגע אך ניתנת לזיהוי.

מי מושפע

אנליסטים של נוזקות, צוותי SOC וארגונים שמעבדים קבצי DWG של AutoCAD ורוצים לסרוק לאיתור שיטת ההסתרה הזו. כל מי שעלול לקבל קבצי DWG מצורפים שמכילים VBA מוסתר.

למה זה חשוב

פרויקטי VBA יתומים יכולים להסתיר מאקרו זדוני בתוך שרטוטי CAD שסורקי Office או סורקי מאקרו רגילים עלולים לפספס. כלל YARA חינמי ומדויק נותן למגינים דרך מיידית לצוד או לחסום את התבנית לפני שהיא תהפוך לנפוצה יותר.