RedX Cyber Security

זהירות: בסרטונים רואים תהליך פריצה מסובך במיוחד להבנה ואפילו יותר מורכב לביצוע של מנעול ביומטרי תלוי מתוחכם. #RedTeam #צוות_אדום RedX Cyber Security

הנה פגיעות מסוג stored XSS בפונקציית הייצוא ל-HTML בגרסת הדסקטופ של Telegram 🏃‍♂️ החוקרים ב-ExPatch גילו שבניגוד לטקסט של ההודעות (שעבר SerializeString()), התוכן של כפתורי inline לא עובר escaping. זה מאפשר לערך שנשלח לצאת מהקשר טקסטואלי ב-HTML ולהפוך לאלמנט פעיל בדף. הכל פשוט: 🔵 בוט יוצר כפתור inline עם JavaScript מוטמע 🔵 ההודעה מגיעה לצ׳אט היעד, למשל בהעברה מחדש (ללא צורך של הבוט בגישה לצ׳אט) 🔵 לקוח הדסקטופ שומר את טקסט הכפתור ב־HTML בלי escaping 🔵 המשתמש מייצא את היסטוריית השיחות ל־HTML 🔵 המשתמש פותח את הקובץ בדפדפן 🔵 ה־XSS מופעל ברגע שה־HTML הנגוע נטען בדפדפן עם JavaScript פעיל 🔵 הסקריפט קורא את ה-DOM של השיחות המיוצאות 🔵 הנתונים נשלחים ל־C2 התיקון כבר יצא ב-Telegram Desktop 6.9.4 Beta וב-7.0.1 Stable, אבל ייצוא ישן ל־HTML נשאר פגיע—אל תפתחו קבצים כאלה בדפדפן. אגב, בגרסה הזו תוקנה גם וקטור JS-injection נוסף ב־onclick="return ShowTextCopied('…')" של כפתורי copy-callback, כשהם עכשיו מאתברים את \ ו־'. ➡️ פרטים #WebSecurity #אבטחת_הרשת RedX Cyber Security

🥹הגורמים הזדוניים פגעו בספק שירות אימייל חיצוני של Trezor 🛡 ושלחו למשתמשים הודעות פישינג מהדומיין הרשמי שלה יצרנית הארנקים החומרתיים Trezor נפגעה מתקפת שרשרת אספקה, שבמהלכה הפרו התוקפים את אבטחת ספק שירות הדיוור Brevo. ממשרת הדואר הלגיטימי mailing.trezor.io החלו המשתמשים לקבל מיילים פישינג שנושאם “Critical Security Alert: STM32 Entropy Vulnerability”. במייל הוצגה טענה שגויה על פגיעת אבטחה קריטית במיקרו-בקרים STM32, שלדברי התוקפים פוגעת ברמת האקראיות במחולל המספרים האקראיים. קבוצת הפושעים התכוונה לעורר פניקה בקהילת הקריפטו, על רקע פרצת Coldcard האחרונה שגרמה לנזק של יותר מ-130 מיליון דולר. ההתקפה נעשתה באמצעות קובץ HTML שהורד, שכלל קוד JavaScript מובנה. בהרצה מקומית הסקריפט חטף את מילת ה-seed שהוקלדה ושלח אותה בחשאי לשרת התוקפים דרך ה-API של Telegram. האירוע החריף אף יותר כאשר מתקפת פישינג דומה פגעה בבעלי הארנקים של BitBox. ניק ניומן, מנכ"ל Casa, וג'יימסון לופ, סמנכ"ל אבטחת מידע ב-Casa, אישרו בפומבי את שליחת המיילים הזדוניים – ללא שימוש בטכניקות זיוף (spoofing). מומחים ציינו סבירות גבוהה לפריצה ממוקדת בתשתיות ספקי שירותי השיווק. בתגובה לאיום שהתגלגל, צוות Trezor השבית במהירות את הדומיין הנפגע ופתח בחקירה פנימית כדי להבין את אופן עקיפת מערכות ההגנה. האירוע עורר ביקורת רחבה בפורומים וב-Reddit (https://www.reddit.com/r/TREZOR/comments/1wbz9ir/psa_our_thirdparty_email_provider_has_been/). האמון בארכיטקטורת האבטחה של Trezor הוטל בספק, במיוחד לאור דליפת הנתונים הגדולה אצל שותף הלוגיסטיקה ShipMonk, שבה נפגעו פרטים אישיים של 80,689 לקוחות – כולל שמות מלאים, מספרי טלפון וכתובות. 🌎 https://forum.trezor.io/t/trezors-mail-server-infrastructure-compromised/27388 #PhishingAttack #מתקפת_פישינג RedX Cyber Security

הנה סקירה: איזו תפקיד שיחק מודיעין הסייבר של CIA בלכידת ניקולס מדורו על ידי כוחות ה-Delta Force? סמנכ"ל ה-CIA מייקל אליס סיפר בפעם הראשונה בפירוט על התפקיד שימשו בו פעולות הסייבר במבצע Absolute Resolve ללכידת מדורו 1, 2, 3, 4, 5. לדבריו, פעולות הסייבר של המרכז למודיעין סייבר של CIA (Center for Cyber Intelligence, CCI) יצרו "תמונה מודיעינית מושלמת", בזכותה כוחות מיוחדים אמריקאים זיהו את מיקומו המדויק של מדורו ולכדו אותו בתוך ארבע דקות ממועד הנחיתה בקראקס. אליס אמר זאת ב-8 בספטמבר בפסגת Billington CyberSecurity. פעולות הסייבר של CCI עזרו לגבש את התמונה המבצעית הדרושה לאיתור המטרה, אך ה-CIA לא חשף אילו רשתות, מכשירים או מערכות מידע הוחדרו. זו לא הייתה רק תמיכה טכנית: אליס טוען שפעולות הסייבר היו אחד הגורמים המרכזיים שעליהם נסבה התמונה המודיעינית כולה. בלעדיה, אמר, ה-CIA לא היה יכול לסייע לכוחות המיוחדים לאתר במדויק את מיקומו של מדורו במהירות כה גבוהה. ב-3 בינואר, יו"ר המטה המשולב של צבא ארצות הברית, הגנרל דן קיין, סיפר ששירותי המודיעין האמריקאים בחנו במשך חודשים את אורחות חייו של מדורו: היכן הוא מתגורר, לאן הוא נוסע, מה הוא אוכל, מה הוא לובש ואפילו חקרו את חיות המחמד שלו. קיין הדגיש שללא מעורבות ה-CIA, ה-NSA וסוכנות המודיעין הגיאו-מרחבי (NGA), המבצע לא היה מתאפשר. פיקוד הסייבר של ארצות הברית יצר אפקטים לא־קינטיים נפרדים, ובאותו הזמן כוחות ה-Delta Force פעלו בשטח והשלימו את המשימה. אליס מקשר את הצלחת הגישה הזו לקידום המרכז למודיעין סייבר של CIA למעמד של מרכז עצמאי בדיווח ישיר למנהל ה-CIA. לדבריו, המבנה החדש מאפשר להפנות משאבים במהירות למשימות מודיעיניות מורכבות ולהגביר את השימוש בפעולות סייבר. אליס הוסיף כי כבר היום בינה מלאכותית תורמת לשני יתרונות מרכזיים לפעולות הסייבר של ה-CIA: מהירות וקנה מידה. תפקידי הגופים במבצע לכידת מדורו: - ‏CIA, מודיעין אנושי – מקור בסביבתו של מדורו, מעקב אחר תנועותיו וההרגלים שלו. - ‏CCI – פעולות סייבר וגיבוש התמונה המבצעית לאיתור מדורו. - ‏NSA – מודיעין אותות, יירוט וניתוח אותות, גלאוי מיקום ומעקב אחר תקשורת ופעילות הצבא הוונצואלני. - פיקוד הסייבר של ארצות הברית – מבצעים קיברנטיים צבאיים ואמצעים לא־קינטיים נוספים. - ‏NGA – מודיעין לווייני וגיאומרחבי, ניתוח שטח ואובייקטים. - פיקוד המבצעים המיוחדים של ארה"ב (USSOCOM)/Delta Force – תקיפה ישירה, חדירה לאתר ועצירת מדורו. - הפיקוד הדרומי של ארצות הברית – תיאום אזורי של המבצע הצבאי. - המטה המשולב של משרד ההגנה – אינטגרציה של פעולות סייבר, לוחמה אלקטרונית ואמצעים לא־קינטיים בתכנון הקרב. בשנת 2025 נוהלו ב-CIA מעל 300 פרויקטים בהן נעשה שימוש בבינה מלאכותית. בעתיד, בינה מלאכותית צפויה "לחדור" כמעט לכל תחומי פעילות הסוכנות, כולל איסוף מודיעין, מבצעים וניתוח. ה-CIA מתכנן להשתמש במספר דגמי בינה מלאכותית ולשמר את האדם בתוך לולאת קבלת ההחלטות. לפי דיווחים קודמים, בעוד כעשר שנים עובדי ה-CIA יוכלו לנהל צוותים או להקות של סוכני בינה מלאכותית אוטונומיים 🤖. #CyberIntelligence #מודיעינסייבר RedX Cyber Security

⚡️ מייצרים כל תמונה בלי טיפת צנזורה ובקליק אחד — גאוני שובבות העלו מודל מבוסס Qwen-Image-Edit-2511 ושברו לו את המוח. • פורנוגרפיה, הנטאי, דם, בשר, איברים וכל התועבות — אפשר לייצר הכל. • כן, הגבול היחיד הוא הדמיון שלכם. • הרשת העצבית עצמה שוקלת רק 563 MB, תוכלו להוריד ולהתקין אותה על המחשב בקלות ובמהירות. להתחיל לשחק כאן: https://huggingface.co/ScottzillaSystems/qwen-image-edit-plus-nsfw-lora?not-for-all-audiences=true #UncensoredImages #תמונות_ללא_צנזורה RedX Cyber Security

☝🏻 סטיקר אחד מפיל את Telegram בצ'אטים של Telegram מתפשט סטיקר בגודל 269 בייט, שאחריו האפליקציה פשוט נסגרת. מומחי אבטחה פירקו את המנגנון שלו, והוא מזכיר פצצת SVG: זה בעצם סטיקר Lottie מונפש רגיל, שבתוכו חבויה צורה עם 10 בחזקת 38 קודקודים. השרתים של Telegram מקבלים את הקובץ בשלווה, אבל הלקוח מנסה לשחזר את כל הקודקודים, נתקל במחסור במשאבים וקרס.💀 אין צורך ללחוץ על הסטיקר — מספיק לפתוח את הצ'אט שבו הוא נמצא. אצל חלק מהמשתמשים האפליקציה קורסת מיד בהפעלה, אם הצ'אט הבעייתי נטען ראשון. כל הקליינטים הרשמיים קורסים: 🔻‏ iOS‌‏ ו-‌‏Android 🔻 ‏Telegram Desktop 🔻 גרסת הווב בעל קבוצה סיפר שהצ'אט שלו נעשה בלתי נגיש לגמרי: אי אפשר למחוק את ההודעה כי האפליקציה נסגרת לפני שמספיק להגיע אליה.🤷🏼‍♀️ החשבונות, המפתחות וההודעות עצמם לא דולפות — ההתקפה פוגעת רק בזמינות. אבל זה מספיק כדי שכל משתמש עם הרשאת כתיבה יוכל לשתק קבוצה שלמה בהודעה אחת. ☝🏻☝🏻 חוקרים אומרים שהם דיווחו ל-Telegram כבר ב-6 בספטמבר. עדיין אין תיקון פומבי — לכן עדיף לא לפתוח סטיקרים מועתקים ממקורות לא ברורים ולמנוע פרסום בצ'אטים חשובים.🔒 #TelegramStickerCrash #קריסת_סטיקר RedX Cyber Security

ב-Cybercab, אפילו בלי הגה ודוושות, יש עדיין שליטה ידנית. אחד הנוסעים באחת מהן גילה מערכת שליטה נסתרת. כשהוא נכנס לסלון הרכב, הוא ראה על המסך לא את הממשק הרגיל לנוסעים, אלא ג'ויסטיק וירטואלי לשליטה ידנית: מזיז את האצבע על המסך המגע — והאוטו נוסע. 🤔 «הייתי מרגיש שלא הייתי אמור לראות את זה... אבל בכל מקרה ניסיתי לנהוג» — כתב, תוך כדי צריפת סרטון. משמאל — ג'ויסטיק, כפתורי פתיחת דלתות וקריאה לתמיכה מימין — התצוגה ממערך המצלמות ההיקפיות, כשהתצוגה הצדדית נראית תקועה בפריים של עמדת הטעינה כנראה שהמצב הזה מיועד למחסנים ולחניות צפופות — להזיז את הרכב למקום שהאוטו-פיילוט לא יגיע אליו בעצמו. אבל הדבר המעניין הוא: טסלה הורידה את ההגה כדי להוכיח שהגיעה לאוטונומיה מלאה ואין דרך חזרה, ובכל זאת הטמיעה באותו רכב אפשרות שליטה אנושית. 😅 #TeslaCybercab #טסלהסייברקאב RedX Cyber Security

❌ חולשה בסוכן ה-AI של IBM אפשרה קריאת קבצים שרירותיים מהמחשב המארח חוקר האבטחה וחבר הקהילה שלנו משה לוי👑 מ-LevinityCyber חשף חולשה בסוכן הקוד הפתוח CUGA של IBM Research, שאפשרה לסוכן לקרוא קבצים מחוץ לסביבת העבודה המוגדרת שלו. החולשה, GHSA-q5xm-fr98-g4j5, דורגה ברמת חומרה High עם CVSS 7.5. הבעיה נמצאה בכלי ingest_knowledge: הסוכן קיבל נתיב לקובץ ישירות מהמודל, אך לא בדק שהנתיב נשאר בתוך תיקיית העבודה המותרת. כתוצאה מכך, Prompt Injection זדוני יכול היה לגרום לסוכן לגשת לקבצים כמו .env ואף לחשוף מפתחות API וסודות אחרים השמורים במערכת. הסיכון גדל משום שכלי נוסף, search_knowledge, יכול היה להחזיר את תוכן הקובץ שנקרא — וכך להפוך חולשת Path Traversal לקריאת קבצים שרירותית ואף לאפשר דליפת מידע רגיש. ‏IBM ‏Research‌‏ תיקנה את הבעיה בגרסה CUGA 0.3.1. התיקון מבצע Resolve לנתיב האמיתי של הקובץ, כולל טיפול ב-Symlinks, ומוודא שהקובץ אכן נמצא בתוך סביבת העבודה המורשית. 💡 הלקח החשוב למפתחי סוכני AI: אבטחת Prompt Injection בלבד אינה מספיקה‼️. צריך להתייחס לכל פרמטר שהמודל מעביר לכלי כאל קלט שעלול להיות בשליטת תוקף, ולאכוף את מגבלות האבטחה בנקודה שבה הכלי באמת ניגש לקבצים, רשת, פקודות או שירותים חיצוניים. למחקר המלא של 👑LevinityCyber #CyberSecurity #אבטחת_מידע RedX Cyber Security

הנה מה שיש לדעת: מספר תביעות הוגשו נגד החברה האמריקאית IDScan.net בעקבות דיווחים על דליפה רחבת היקף של נתוני רישיונות נהיגה. כמה תובעים הגישו תביעה במדינת לואיזיאנה, וטוענים שהחברה לא סיפקה הגנה נאותה על המידע האישי שהיא מעבדת למען לקוחותיה העסקיים. כפי שדווח מוקדם יותר, הדליפה הובילה לפרסום למכירה של פרטים ביותר מ-153 מיליון רישיונות נהיגה. עד כה החברה לא אישרה בפומבי את מקור הדליפה או את היקפה המדויק, וה-FBI אישר שהוא חוקר את האירוע. משרדי עורכי הדין Markovits, Stock & DeMarco ול-Hall Attorneys פתוח גם הם בחקירות משלהם כדי לבדוק את האפשרות להגשת תביעות ייצוגיות בעתיד. מיום 1 בספטמבר 2026 החלה IDScan.net להודיע ללקוחותיה העסקיים על האירוע, אך מספר האנשים שנפגעו לא ידוע עדיין. אם הדליפה תיוחס ל-IDScan.net, החברה עלולה לעמוד בפני קנסות רגולטוריים במיליוני דולרים. #IDScanLawsuits #תביעותIDScan RedX Cyber Security

🔥 מתמחה מזוייף ב-McDonald’s: תרמית למען מםקוין בהודו התפשט ברשת סיפור על מתמחה ב-McDonald’s שהתלונן על אי-תשלום שכר מחשבון החברה הרשמי ב-X. כלי התקשורת, כולל Hindustan Times, תפסו את הידיעה, אבל ב-McDonald’s הודיעו מהר: הפוסטים מזויפים. מאחורי הפרסומים עמדו רמאים שניצלו חשבון פרוץ כדי לקדם את המםקוין שלהם. זה סכמה קלאסית: יוצרים טריגר ויראלי, מביאים באזז ואז מפציצים את הקהל עם קישור לטוקן. המקרה הזה מזכיר: גם פוסטים "רשמיים" של מותגים גדולים שווים בדיקה. סימן הווריפיקציה הכחול כבר לא ערובה לאמת — אם החדשות נראות יותר מדי דרמטיות ומובילות לרכישת קריפטו, קרוב לוודאי שמדובר במלכודת. #McDonaldsInternScam #מתמחהמזוייף RedX Cyber Security

הגרסה הציבורית הרגילה של Astra תוכל לבצע ביקורת אבטחת קוד ולהציע תיקונים, אבל תסרב לבצע משימות מתקדמות יותר שקשורות לאבטחת סייבר. רק במסגרת תוכנית OpenAI Daybreak יוכלו מומחים מאומתים לקבל גישה מורחבת. כלומר, לארגונים מורשים ולאנשי אבטחת מידע נפרשת תוכנית Trusted Access for Cyber ברמות Daybreak Blue (הדגמים המובילים עם שיעור דחיות נמוך יותר למשימות הגנתיות) ו-Daybreak Red (דגמי אבטחת מידע ייעודיים לבדק חדירה ותרגולי Red Team). 🤔 ומה ההשוואה מול דגמי Claude? קו דגמי Claude נשאר חזק יותר בשאלות אקדמיות יסודיות, שם צריך ידע מעמיק במספר רב של דיסציפלינות מדעיות במקביל. גם דגמי Anthropic נהנים מיתרון קל בדירוגים ייעודיים של סוכני קוד והם עמידים יותר בפני הזרקות פרומפט עקיפות. עם זאת, מסנני ההגנה של Claude מכוילים בצורה הרבה יותר קשוחה, ולכן הם לעיתים נוקטים זהירות יתר ומחזירים דחיות אף בבקשות מחקר מורכבות בתחומי ביולוגיה וכימיה, בעוד ש-Astra מטפלת במשימות כאלה באופן חופשי יותר. אם נדבר בפשטות, באופן כללי התחלקו היתרונות בין דגמי OpenAI ואנתרופיק: GPT-6 Astra מובילה בעצמאות פעולה פרקטית, בלוגיקה אבסטרקטית ובאבטחת סייבר, ואילו דגמי Claude מחזיקים במקומות חזקים באוריינות אקדמית רחבה ובהנדסת תוכנה. הפיתוח של OpenAI מותאם טוב יותר לתפקיד של עובד דיגיטלי בסביבת עבודה אמיתית: הוא מזהה מהר ובמדויק ממשקים ויזואליים של יישומים, פותר משימות אוטומציה עם פחות שגיאות ובזבוז טוקנים מופחת. בנוסף, GPT-6 Astra מציג הפרש אדיר בפתרון לוגיקה לא שגרתית, במתמטיקה מחקרית מתקדמת ובשאלות מעשיות של אבטחת מידע, כולל ניתוח של קבצים מקומפלים וחיפוש פרצות. 👆 למרות ההצהרות הרמות והביצועים המרשימים במבחנים כמו 100% ב-ExploitBench או 99.9% ב-ARC-AGI-3, התמונה בשטח הרבה יותר צנועה. במבחני מעבדת Irregular, Astra לא הצליחה לעמוד מול אף מטרה מאובטחת ברמה הגבוהה ביותר (Elite), ובמבחנים אקדמיים כמו Humanity’s Last Exam ובדירוג האינטליגנציה הכללי היא נותרת מאחור משפחת Claude. מעניין שגם המפתחים מודים בירידת השקיפות של תהליך החשיבה, כי המודל למדה לשלוט בשרשרת המחשבות הפנימית שלה. Astra מסוגלת להסתיר עקבות של הפרות ממערכות ניטור ואפילו להמעיט בכוונה בתוצאות. 😐 משתמש רגיל בכל מקרה לא יקבל גישה לפוטנציאל הקיברנטי המוצהר בגלל מנגנוני ההגנה הקשוחים. #AIComparison #השוואת_בינה_מלאכותית RedX Cyber Security

לאחר שש שנים מתחילת המכירות, המפתחים של Flipper Zero הסבירו באיזה כוח מצייד הכלי הרב-תכליתי שלהם את ההאקרים. במילים פשוטות, כלי לשליטה באנשים… 🙂 זה לא באג, זו פיצ’ר #FlipperZero #כוחהאקרים RedX Cyber Security

☝🏻 החל מ-Windows 11, המערכת תתחיל לעדכן אפליקציות לגבי גילך. ‏Microsoft תיארה את ממשקי ה-API המערכתיים החדשים של Windows 11: כל אפליקציה רשומה תוכל לשאול את מערכת ההפעלה לאיזו קבוצת גיל אתה שייך. לא ייתנו לאפליקציה את תאריך הלידה המדויק שלך — רק אחת מ-חמש קטגוריות: עד 10, 10–12, 13–15, 16–17 ו-18 ומעלה. בשאלה נוספת האפליקציה תוכל לברר אם הגיל שלך אומת בצורה עצמאית על-ידי “ספק זהות” או שרק הזנת אותו בעצמך. 🔻 פועל רק כשנכנסים עם חשבון Microsoft 🔻 האפליקציה חייבת להיות רשומה בפלטפורמת Digital Safety platform 🔻 ה-API כבר קיימים ב-Windows 11 24H2, אך כרגע מחזירים “לא ידוע” — יופעלו מאוחר יותר בשנת 2026 הסיבה היא דרישות רגולטוריות: Ofcom בבריטניה דורש אימות גיל אמין, האיחוד האירופי מכין “מיני-ארנק” לאישור בגרות, ובקליפורניה מה-1 בינואר 2027 מערכת ההפעלה תהיה המקור הראשי לאותות גיל. ‏Google Play ו-Apple כבר השיקו ממשקי API דומים, כך ש-Microsoft פשוט משלימה פערים. #Windows11AgeSignals #אותותגיל RedX Cyber Security

📱 טיעון נוסף לתיאוריית האינטרנט המת: חוות בוטים ניידת ענקית עם אלפי מכשירים, המופעלת בבינה מלאכותית. עמדות סמארטפונים מסביב לשעון מגלגלות ג'יגאבייטים של תכנים, מחקות משתמשים אמיתיים עבור האלגוריתמים של הרשתות החברתיות. בסקאלה כזו של זיופים, הסיכוי למצוא תגובה אמיתית מתקרב לאפס… #DeadInternetTheory #תיאורייתהאינטרנטהמת RedX Cyber Security

😮 רובוטים נגד אלכוהול באיסטנבול 🔹 באיסטנבול הופיע אמצעי חדש למאבק בשתיית אלכוהול ברחוב. עכשיו רחפנים מסיירים בשכונות ומזהירים את העבריינים. 🔹 אם החלטתם לשתות ברחוב, תתכוננו לשמוע את קול הרחפן, שיזכיר לכם שזה אסור ויבקש שתעזבו את המקום. הטכנולוגיה שומרת על הסדר! #Drones #רחפנים RedX Cyber Security