חדשות סייבר יומיות - 8 בספטמבר 2026

מה קרה

N-able שחררה ב-5 בספטמבר תיקון חם חירום 4 ל-N-central 2026.3 (build 2026.3.1.14) לתיקון CVE-2026-86218, פגיעות להרצת קוד מרחוק ללא הזדהות מוקדמת בשרת N-central.

N-able דירגה אותה כקריטית לפי CVSS. בהערות השחרור הפומביות נכתב שאין אישור לניצול בסביבות production, אך בהודעת לקוחות דחופה נפרדת היא תוארה כ-zero-day שנצפתה בשטח. גם Huntress התריעה עליה לצד פגיעויות עקיפת אימות קודמות בחומרה גבוהה, CVE-2026-86206 ו-CVE-2026-86207.

התיקון החם מחליף תיקונים קודמים. לפי נתונים מאומתים היא לא מופיעה ב-CISA KEV, וציוני ה-EPSS בכל הסט נמוכים.

מי מושפע

סביבות N-central on-premise שרצות על builds לפני 2026.3.1.14, בשימוש נרחב אצל ספקי שירות מנוהלים (MSPs). סביבות Hosted עודכנו בצד השרת.

ההשפעה משתרעת על אמריקות, APAC ואירופה. כל שרת RMM לא מעודכן חושף גם את תחנות הקצה של הלקוחות בניהול ה-MSP.

למה זה חשוב

פלטפורמות RMM יושבות בלב תפעול ה-IT של אלפי ארגונים. RCE ללא הזדהות מוקדמת מאפשר לתוקפים להשתלט על מישור הניהול, לפרוס נוזקה או כופרה על ציי לקוחות שלמים וליצור חשבונות admin עמידים.

מסרים סותרים מהספק לגבי סטטוס הניצול משאירים מפעילים באי-ודאות, ומעלים את הסיכון לעיכוב בעדכון בזמן שסריקות אופורטוניסטיות כבר מכוונות לפגיעות.

איך אפשר היה למנוע את זה

עדכנו מיד את N-central on-premise ל-2026.3 HF4 (2026.3.1.14). בדקו חשבונות משתמשים לתוספות לא צפויות וסקרו לוגים לסריקות מטווחים כמו 23.234.64.0/18.

בודדו ממשקי ניהול מהאינטרנט הציבורי ככל האפשר, אכפו אימות רב-שלבי (MFA) על כל גישת admin, ונטרו פעילות RMM חריגה עד שהסביבה מאושרת כנקייה.

מה קרה

חוקר האבטחה Nightmare Eclipse (המוכר גם כ-MSNightmare) פרסם ב-3 בספטמבר ב-GitHub הוכחת היתכנות בשם FalconFlank. זהו אקספלויט מקומי להסלמת הרשאות שמנצל את מנגנון הטיפול במאקרו זדוני של Office ב-CrowdStrike Falcon Sensor.

ה-PoC עובד על Windows 11 25H2 ועל Windows Server 2025 מעודכנים במלואם, עם Falcon ב-Phase 3 Optimal Protection, כשמדיניות הסרת מאקרו זדוני מקובצי Microsoft Office מופעלת, ובסופו מריץ shell כ-SYSTEM. עדיין לא הוקצה CVE.

CrowdStrike אישרה שהיא בודקת את הנושא והמליצה ללקוחות לכבות את הגדרת מדיניות Windows הרלוונטית, תוך שמירה על הגנה דרך Cloud Anti-malware for Microsoft Office Files.

מי מושפע

ארגונים שמריצים CrowdStrike Falcon Sensor עם מדיניות Microsoft Office File Suspicious Macro Removal מופעלת על בניות Windows 11 ו-Server 2025 עדכניות.

כל תחנת קצה שבה לתוקף כבר יש הרצת קוד בהרשאות נמוכות יכולה לאפשר הסלמה לשליטת SYSTEM מלאה.

למה זה חשוב

כלי EDR אמורים לעצור איומים, אבל פגם באחד ממסלולי הטיפול שלהם יכול להפוך בעצמו לוקטור הסלמה. קוד PoC פומבי מוריד את הרף לתוקפים שכבר השתלטו על נקודת אחיזה.

זה גם ממחיש דפוס רחב יותר: מוצרי אבטחה עצמם מרחיבים את משטח התקיפה, ועל המפעילים לחזק ולנטר אותו.

איך אפשר היה למנוע את זה

כבו את הגדרת מדיניות Windows של Microsoft Office File Suspicious Macro Removal לפי הנחיית CrowdStrike. השאירו את Cloud Anti-malware for Microsoft Office Files מופעל.

נטרו את Falcon Sensor להתנהגות לא צפויה, הגבילו את היכולת של תהליכים בהרשאות נמוכות לכתוב קבצים שמפעילים טיפול, והחילו במהירות כל עדכון Sensor שיגיע. סקרו את FalconFlank Tech Alert בפורטל התמיכה של CrowdStrike.

מה קרה

Sekoia ו-Kudelski Security פרסמו ב-7 בספטמבר ניתוח שמפרק את מטריית Lazarus לשעבר לשישה אשכולות נפרדים: TEMP.Hermit, Citrine Sleet, CryptoCore, Jade Sleet, Moonstone Sleet ו-Famous Chollima.

רובם נמצאים תחת ה-GRIB של צפון קוריאה (לשעבר RGB). החלוקה לאשכולות מבוססת על TTPs וסוגי משימות הכוללים ריגול, גניבה פיננסית והתחמקות מסנקציות. פעילות APT38 לשעבר נראית מפוצלת ל-CryptoCore ול-Jade Sleet, שמתמקדים ביעדי קריפטו ו-Web3. האשכול Moonstone Sleet משלב ריגול עם שימוש ב-Qilin RaaS.

האשכול Famous Chollima קשור לסכמות של עובדי IT מזויפים שמייצרות הכנסות ומספקות גישה התומכת ביחידות אחרות. אלפי עובדים כאלה פועלים דרך חברות קש ותשתית במדינות שלישיות.

מי מושפע

ארגונים גלובליים בממשל, ביטחון, פיננסים, קריפטו, בלוקצ'יין וטכנולוגיה, וכל חברה שמגייסת קבלני IT מרחוק. יעדים בדרום קוריאה ובמערב נשארים שכיחים.

ארגונים שמסתמכים על כישרונות open-source או על קבלנים חשופים לסיכון מוגבר של איומי פנים ושל שרשרת אספקה מצד תוכנית עובדי ה-IT.

למה זה חשוב

התייחסות ל-Lazarus כגורם איום מונוליתי מסתירה משימות מתמחות וערכות כלים ייעודיות. צוותים שמבינים את מודל ששת האשכולות יכולים למפות TTPs טוב יותר, לתעדף זיהויים ולצפות לקמפיינים דו-שימושיים של ריגול וגניבה.

האקוסיסטם של עובדי IT מזויפים מממן במקביל את המשטר ושותל גישה ארוכת טווח בתוך חברות לגיטימיות, והופך את צינורות הגיוס לווקטורי תקיפה.

איך אפשר היה למנוע את זה

הקשיחו את קליטת הקבלנים עם אימות זהות מוגבר, בדיקות posture של מכשירים וגישה בהרשאות מינימליות. נטרו שאילתות חריגות למסמכים פנימיים או התנהגות חריגה בסשן מרוחק מצד עובדים חדשים.

בצעו סגמנטציה לסביבות קריפטו ופיתוח, אכפו מפתחות אבטחה חומרתיים, ועקבו אחרי אינדיקטורים ידועים של אשכולות DPRK ממחקר Sekoia/Kudelski. התייחסו לכל פעילות קריפטו בלתי צפויה כעדיפות גבוהה.

מה קרה

SOCRadar חשפה את PEEP, ערכת כלים מבוססת Chromium לשלב post-exploitation שמתחזה להרחבת "Smart Bookmarks" (מזהה ejkndncpkdcjcikfhiamcdehdoegilbj). היא דורשת גישת admin קודמת או יכולת הרצת קוד.

המתקין מזריק את ההרחבה לפרופילי Chrome או Edge באמצעות זיוף ערכי השלמות של Secure Preferences, ועוקף בדיקות Web Store והנחיות למשתמש. רכיב native-messaging host (nm_host.exe) מאפשר לאחר מכן הרצת פקודות ברמת המארח, ניהול קבצים, גילוי תהליכים, גניבת פרטי הזדהות, חטיפת סשן ושינוי דפים.

הסוכן פונה ל-C2 (206.237.30.232 או xfjcc.fun) כל 30 שניות מעל HTTP גלוי, מבצע הוצאת נתונים (exfiltration) של היסטוריה, cookies ומטא-דאטה של טאבים, ותומך בעדכונים עצמיים. הוא נגזר מ-framework הקוד הפתוח RedExt, עם תוספות persistence ומגוון פקודות רחב יותר. הפעילות אינה מיוחסת אך מכילה ארטיפקטים בשפה הסינית.

מי מושפע

מערכות Windows שכבר נפרצו ושבהן ניתן לשנות פרופילי Chrome או Edge. כל ארגון שמשתמשיו מריצים דפדפני Chromium ושנקודות הקצה שלו חסרות בקרת אפליקציות חזקה או בקרות ניטור הרחבות.

ההגעה לאחר חדירה משתרעת מנתוני הדפדפן ועד לגישה מרוחקת מלאה למארח תחת הקשר המשתמש.

למה זה חשוב

ברגע שלתוקף יש אחיזה, ערכת הכלים PEEP הופכת את הדפדפן היומיומי לערוץ C2 חשאי ומתמיד שחי בתוך תהליך חתום ושורד אתחולים במספר שיטות. גניבת cookies וסשנים מאפשרת השתלטות על חשבונות בלי סיסמאות.

זה מדגים איך frameworks של red-team הופכים לנוזקה מבצעית, ולמה שלמות הרחבות דפדפן ובקרות native-messaging חשובות אחרי החדירה הראשונית.

מה קרה

Rapid7 דיווחה על ערכת כלים חשאית לריגול ב-Linux, שבה משתמשים גורמי איום המיושרים עם צפון קוריאה נגד ארגוני רכב ותקשורת בדרום קוריאה. הרכיב המרכזי הוא הדלת האחורית ted, שקומפלה ישירות לתוך הבינארי של HAProxy 2.8.12 אצל הקורבן.

היא מנצלת את ה-filter API המקורי של HAProxy, בריכות זיכרון וניהול תהליכים כדי ליירט תעבורה מפוענחת, להסתיר C2, לאסוף פרטי הזדהות ו-cookies, להזריק סקריפטים ללקוחות נבחרים, ולאפשר הרצת פקודות מרחוק, בזמן שאיזון העומסים הלגיטימי ממשיך. השתלים הנלווים כוללים גרסאות של agetty, atd, crond, polkitd ו-sshd שמכילות דלת אחורית, RAT מבוסס curl (CurlRAT), keylogger/stager ל-SSH וכלים קשורים.

הגישה הראשונית הושגה דרך פגיעות בפורטל ההתחברות של Groupware. ערכת הכלים פעילה ככל הנראה מאז סוף 2024. הייחוס לקבוצות APT של צפון קוריאה הוא ברמת ביטחון בינונית, עם חפיפות לתשתיות ול-TTPs קודמים של Lazarus ו-APT37.

מי מושפע

ארגוני רכב ותקשורת בדרום קוריאה שמריצים HAProxy (בגרסה 2.8.12 שנצפתה) כמאזני עומסים בקצה או כמסיימי SSL. כל סביבת Linux שבה תוקפים יכולים להחליף בינארים אחרי השגת דריסת רגל ראשונית.

יכולת מעקב ארוכת טווח מאיימת על קניין רוחני, פרטי הזדהות ונתוני סשן web של עובדים ולקוחות.

למה זה חשוב

כשהיא הופכת לחלק ממאזן העומסים עצמו, הדלת האחורית רואה תעבורה בטקסט גלוי אחרי סיום TLS, מוחקת את הפעילות שלה מהסטטיסטיקות, ושורדת אתחולים בלי לבלוט כתהליך נפרד. הזיהוי קשה מאוד ברגע שהיא מותקנת.

זה מראה שגורמי מדינה משקיעים בהשתלות תשתית עמוקות במקום בנוזקה רועשת, ומעלים את הרף מול מגינים שמסתמכים על EDR סטנדרטי או ניטור לוגים.

איך אפשר היה למנוע את זה

אמתו את שלמות הבינארי וה-hashes של HAProxy מול גרסאות רשמיות; אם התגלתה חדירה, בנו מחדש ממקור מהימן. נטרו תוספי filter לא צפויים, named pipes תחת /tmp, או התנהגות חריגה של מוני חיבורים.

עדכנו מיד את Groupware ואת פורטלי ההתחברות בקצה, אכפו אימות חזק וסגמנטציית רשת לממשקי ניהול, ופרסו ניטור שלמות קבצים על בינארים קריטיים במערכת, כולל crond, sshd ו-HAProxy.

מה קרה

Google Threat Intelligence Group (GTIG) הזהירה שאימוץ מהיר של כלי קידוד בסיוע AI הרחיב את הסיכון בשרשרת אספקת התוכנה ותרם לחדירות רחבות היקף ב-2025 ובתחילת 2026.

הגורם בעל המוטיבציה הפיננסית UNC6780 (שמנוטר גם כ-TeamPCP) הרעיל חבילות ב-PyPI, npm ו-Docker Hub, במיקוד לסביבות AI. הכלי Dustmaker שולף tokens של GitHub Actions מתוך זיכרון, מפרסם חבילות שמכילות דלת אחורית שעוברות בדיקות אמון של AI, ומשתיל קבצים זדוניים בתיקיות IDE ועוזרי AI מוסתרות (.claude, .cursor, .vscode). פרטי הזדהות גנובים של כלי AI נמכרים בהמשך.

GTIG גם זיהתה גורמי מדינה וגורמי סחיטה שתוקפים מודלי AI קנייניים, prompts ומחקר, לצד ניסויים רחבים יותר של יריבים בשימוש ב-AI ל-pentesting אוטומטי ולפעילות מבצעית.

מי מושפע

מפתחים וארגונים שמשתמשים בעוזרי קידוד מבוססי AI, שרתי MCP, שערי LLM וחבילות קוד פתוח הקשורות ל-AI. ארגונים בתחומי הטכנולוגיה, הבריאות, הממשל והצבא, וכל מגזר שמשלב AI בצינורות הייצור.

מערכות CI/CD ותחנות עבודה של מפתחים שמכניסות אוטומטית חבילות שמומלצות או נמשכות על ידי סוכני AI חשופות לסיכון מוגבר.

למה זה חשוב

כלי קידוד מבוססי AI מאיצים את הפיתוח אך מפחיתים את הבקרה האנושית על תלויות, ויוצרים נקודת החדרה מושלמת לחבילות זדוניות שמתפשטות אחר כך דרך אמון אוטומטי. פרטי הזדהות ומודלים של AI שנפרצו הופכים ליעדי משנה בעלי ערך גבוה לריגול ולסחיטה.

השחרור בקוד פתוח של כלי UNC6780 צפוי להניע התקפות חיקוי, ולהפוך את היגיינת שרשרת האספקה סביב כלי AI לנושא ברמת דירקטוריון.

מה קרה

הרשויות בגרמניה חוקרות פרסום נתונים חדש שכולל פרטי התחברות ומידע נוסף שנגנב מרשתות ממשלת ברלין. החומר הופיע בסוף השבוע בעקבות פריצה באמצע אוגוסט לשני משרדים (פיתוח עירוני/דיור ותחבורה/ניידות/אקלים/סביבה).

Rhysida קיבלה אחריות בסוף אוגוסט, טענה לגניבה של 5.79 TB כולל חוזים, מיילים, סיסמאות ונתונים מסווגים, ודרשה תשלום שברלין סירבה לשלם. גורמים רשמיים אישרו גניבת נתונים וניסיון סחיטה, אך לא ייחסו בפומבי את המתקפה ל-Rhysida ולא אימתו את מלוא הנפח. בין החומר החשוף נמצאים נתונים אישיים של עובדים ואולי גם של תושבים (שמות, כתובות, פרטי בנק, מסמכים).

BSI הזהירה בנפרד מפני קמפיין המקושר ל-Rhysida, הדומה להתקפות fake-CAPTCHA בסגנון TerminalFix שמובילות לגניבת נתונים ולכופרה.

מי מושפע

עובדי ממשלת ברלין ותושבים שנתונים שלהם היו בשני המשרדים שנפרצו. קבלנים וגופי שותפים ששיתפו פרטי הזדהות או מסמכים עם המערכות האלה.

גופים רחבים יותר במגזר הציבורי בגרמניה שקיבלו אזהרה מ-BSI מפני טכניקות גישה ראשונית דומות.

למה זה חשוב

פרסום פרטי התחברות ממשלתיים מאפשר השתלטות על חשבונות בהמשך, פישינג ותנועה רוחבית עוד זמן רב אחרי שהמערכות נבנות מחדש. חשיפת נתונים אישיים יוצרת סיכון לגניבת זהות ולהונאה עבור אזרחים ועובדים.

הסירוב לשלם לא מנע את הדליפה, וממחיש את מגבלות אסטרטגיית הסירוב לשלם כשכבר יצאו מהרשת נפחים גדולים של מידע רגיש. הוא גם מדגיש סיכון מתמשך מוקטורי הנדסה חברתית שעוקפים הגנות היקף מסורתיות.

איך אפשר היה למנוע את זה

בצעו איפוס סיסמאות ובטלו סשנים לכל חשבון שקשור למשרדים שנפגעו. הפעילו Phishing-resistant MFA בכל מקום אפשרי ובדקו אחסון סיסמאות בטקסט גלוי.

בצעו סגמנטציה של רשתות ממשלתיות קריטיות, נטרו פיתיונות fake CAPTCHA בסגנון TerminalFix, והחילו גישה בהרשאות מינימליות לצד היגיינת פרטי הזדהות באופן מתמשך. הודיעו לאנשים שעלולים להיות מושפעים והתכוננו לניסיונות הנדסה חברתית משניים שישתמשו בנתונים שדלפו.