Sherlock's Hub

בהקשר למה ששלחתי לכם במוצש, לאפ מצא שיש לחולשה עכשיו PoC לניצול החולשה, שנראה פשוט מידי לשימוש. אנסה להשמיש אותו בהמשך ואעדכן אם יש לי ממצאים מעניינים. מזכיר: להשתמש רק עם רשות מפורשת מהאדם עליו אתם בודקים את זה. ורק למטרות למידה.

פגיעות side-channel המאפשרת לתוקף לגלות מידע עליכם, דרך ווצאפ או סיגנל. איך היא עובדת? שתי האפליקציות מנגישות פיצ'ר של delivery receipts, כלומר הוי הזה שרואים כשההודעה התקבלה אצל הצד השני. לא נקראה בהכרח, אלא רק התקבלה. משם, אפשר למדוד את הזמן שלקח לוי הזה להתקבל, ולהסיק: * האם המכשיר מחובר לוויפי, או לנתונים סלולריים. * האם המכשיר נעול, פתוח, או פתוח עם ווצאפ * באיזה סוג מכשיר מדובר * אילו מהמכשירים אליהם ווצאפ מחובר דולקים כרגע (לדוגמא אם מחובר גם במחשב בבית וגם במחשב בעבודה, אפשר לדעת אם הקורבן כרגע בבית, בעבודה, או במקום אחר), ועוד ועוד דברים של מטא-מידע שיכולים לחשוף כל כך הרבה. פירוט על המתקפה ניתן למצוא כאן את ההרצאה של defcon, או סרטון אחר שמסביר על זה בקצרה יותר. מה אפשר לעשות? בתור התחלה, לעבור על הגדרות הפרטיות בשתי האפליקציות ולשים לב במיוחד לאלה: ווצאפ - הגדרות - פרטיות - מתקדם: block unknown account messages, שאמור לחסום ווליומים גדולים של הודעות מחשבונות לא מוכרין. סיגנל - פרטיות - מספר טלפון. ולערוך את who can see/find me by number ל-Nobody. אם מישהו רוצה לדבר איתכם, שלחו לו את היוזרניים שלכם. למה החברות לא תיקנו את זה? קודם כל, אני לא יודע, אני לא עובד שם. אבל שנית, זה מסוג הדברים שהם פיצ'ר כל כך פנימי בתוך המערכת, שיהיה מאוד קשה לתקן את החולשה הזאת וגם להשאיר אותו. תזכרו שזו מתקפה שמנצלת את כל המסלול של פאקטה כדי לאסוף מידע - החל מהמחשב עד לרשת בה היא עוברת. בונוס: התוקף אפילו לא חייב להספים את הקורבן בהודעות, ויכול לשלוח reaction להודעה לא קיימת (שממנה המכשיר של הקורבן מתעלם ולא שולח התראה, אבל כן ימשיך לשלוח delivery receipts) עם כלים כמו זה.

גוגל, אמאזון, מייקרוסופט ועכשיו גיטהאב. כל ענן בתורו. אורקל הבאים?

סיפור מעניין מהימים האחרונים. תקציר: * נוזקה לגניבת קריפטו גנבה תרומות לטיפול סרטן של סטרימר. * חבר'ה מ- VXUG (ועוד אנשים) רברסו את המשחק: 1. בוט טלגרם פתוח לניהול 2. רשימה של כל הקורבנות - יודעו 3. אוסינט וגילו מי ההאקר 4. ההאקר דווח לרשויות להגירה והכסף הותרם חזרה. ממליץ לקרוא, מתחיל בערך פה: https://t.me/vxunderground/7198 יכולים להוריד את הקובץ של המשחק באתר של VXUG, ויכולים לקרוא ניתוחים של הנוזקה כאן וכאן. --- שתהיה שנה טובה וזה 🍇🦆

הייתה לי תקופה בה הייתי אובססיבי לגבי הGFW של סין, וכנל ה Great Cannon מאותו בית יוצר. עד אז כל החומרים עליהם היו מהסקנת מסקנות וחלקיקים של מידע שנפלו בכל פעם, והיה מאוד מעניין לראות איך לומדים על המפלצת הזאת מהדברים הכי קטנים. לדוגמא מהעבודת קודש של The Citizen Lab, הם היו מנסים לגשת למשאב כלשהו שנמצא מאחורי החומה מכמה כתובות במיקומים שונים, ומצליבים את ה-TTL ומידע נוסף כדי להבין איפה החומה יושבת בפועל מבחינה רשתית, ואיך היא עובדת (ספוילר: לא כמו ה-FW שיש לכם בארגון. היא עובדת בצורה שונה לגמרי). אז כמה חומרים כדי להרחיב שאני יכול להמליץ: על התותח הענק (היה בשימוש פעם אחת בלבד כדי לעשות DDOS ענקי על גיטהאב ואתר שהפיץ חומרים על איך לעקוף צנזורה. משהו מדהים. תכננתי לעשות עליו סדרת פוסטים אבל נראה 🤷) https://citizenlab.ca/2015/04/chinas-great-cannon/ על החומה עצמה: ספר. דיי טוב (לא קראתי הרבה ממנו, אבל אני מתכנן!), גם לאנשים לא טכניים. יש תחושה כאילו כל מה שידענו עד עכשיו לא רלוונטי - כי עכשיו יש מקורות רשמיים יותר. אבל זה לא לגמרי נכון. זה כנראה יספק עוד מידע לחורים בהם לא ידענו הרבה, או יאשש דברים ידועים זה מכבר. וגם יראה דברים חדשים. אבל זה לא הופך את כל החומרים שיש באינטרנט עד עכשיו ללא רלוונטיים. אם אמצע עוד חומרים מעניינים בדברים שהודלפו אני כמובן אשלח לכם :)

tl;dr chinas firewall censorship thingy has massive leak. shows code and political ambitions and stuff idk the significance because i dont study chinese network firewall sciency stuff. maybe one of you nerds is interested. its all available for download online now https://gfw.report/blog/geedge_and_mesa_leak/en/

ממליץ לעקוב. הוא מתחיל בפוסטים בסיסיים על malware ואיך הם עובדים. הפוסט הראשון מדבר על איך אנטי וירוס מזהה קבצים רעים, והשני על נוזקות ושימוש קיצוני במשאבי מחשב. באופן כללי ממליץ לעקוב אחרי הערוץ שלו, ערוץ נהדר לכל מה שסייבר, מימז, וכמובן נוזקות. יאללה לילט 🎃

🦆הברווז המהלך משחרר פיצ'ר חדש, אשר מסנן תמונות AI מהתוצאות שלו. הפיצ'ר לא מושלם, אבל הוא עובד יחסית טוב על ה slop המרכזי, והוא צעד בכיוון הנכון. 🤖 הדבר הבא שאני רוצה לראות זה תוסף שמעלים לי כל תוכן AI slop שהוא, לא רק תמונות אלא גם מאמרים, אתרים, תגובות, ועוד שיט אחר 🤢 להחזיר את האינטרנט לקצת יותר נסבל.

קיבלתם הודעה ממשקיע שמזמין אתכם לפגישת זום? רגע לפני שאתם לוחצים - עצרו! מקרה אמיתי שטופל באחרונה על ידי מערך הסייבר הלאומי: סטארט-אפ ישראלי קיבל פנייה מפתה ממשקיע שהגיעה דרך רשת חברתית עם הצעה לפגישה בזום. נשמע כמו הזדמנות של פעם בחיים, אבל לחיצה על קישור הזום לא הובילה לפגישה אלא להורדה של תוכנה זדונית שהזיקה למחשבי החברה. כדי שזה לא יקרה גם לכם, מערך הסייבר הלאומי ממליץ: 🔹 שולחים בעצמכם את הקישור לשיחה – במיוחד עם מישהו חדש. 🔹 בודקים טוב מי שלח – פרופיל, דומיין, מצליבים פרטים. 🔹 לא בטוחים? סורקים את הקישור בכלי בדיקה כמו VirusTotal ו-ScanMySMS 🔹 משהו חשוד? מדווחים לאחראי המחשוב או אלינו ל-119 🔹 מתעדכנים אצלנו בערוץ – כי נמשיך להתריע כאן על נסיונות חדשים. בכל חשד – פונים למרכז 119 של מערך הסייבר הלאומי. לסיפור המלא ולהמלצות נוספות: https://www.gov.il/he/pages/zoom_imposter_link

🛡 Cyber Security + Coding ⛷ 🚨 הצטרפו לערוץ שמכניס אתכם לעולם הסייבר ואבטחת המידע!🛡 🔎 מה תמצאו בערוץ? 🧐 הסברים פשוטים על מושגי יסוד – כך שגם מתחילים יוכלו להבין. 👨‍💻 מדריכים מעשיים וטיפים להתגוננות מהאקרים – כי ידע זה כוח! 🧰 כלים וטכנולוגיות חדשניות – להישאר תמיד צעד אחד קדימה. 🔥 עדכונים חמים וחדשות מעולם הסייבר – כי איומים לא מחכים לאף אחד. ❗️ חשוב לדעת! 🛡 שימוש חוקי בלבד – כל תוכן בערוץ מיועד ללמידה ומחקר בלבד. 🧐 למטרות לגיטימיות – הכרת שיטות התקפה כדי לשפר את ההגנה. ✅ הצטרפו עכשיו ותתחילו ללמוד! @CYBERSECURITYCODING

ואם באלכם, יש כאן אוסף מצוין של פידי רסס בנושאי טכנולוגיה וסייבר: https://www.reddit.com/r/hacking/wiki/index/#RSS%20Feeds ואולי כשיהיה לי כוח אשלח את הOPML שלי.

כבר כמה זמן שאני רוצה לכתוב לכם פוסט על הנפלאות של RSS, אבל היום גיליתי שמולי וויט הקדימה אותי ופרסמה כתבה מדהימה שקולעת בול: Curate your own newspaper with RSS 📰✨ אז קודם כל אשלח אתכם לקרוא את הכתבה. היא תעשה עבודה טובה יותר ממני. אתם יכולים אפילו להאזין למולי מקריאה אותה בעצמה (לא AI או רובוט אחר) אם אתם עסוקים. ואם אתם עדיין פה, אסכם לכם בקצרה מה זה RSS - Really Simple Syndication: רסס הוא פרוטוקול המאפשר לאתרים לפרסם עדכונים. אתם אוספים כתובות רסס ומאגדים אותם בקורא רסס (יש מליון אופציות) שבתורו מאגד את כל העדכונים מהאתרים שנרשמתם אליהם: בלוגים, אתרי חדשות, פורומים, ערוצי יוטיוב, ערוצי טלגרם (עוד על זה בהמשך) ואפילו פודקאסטים. 🌐🔊 למה זה טוב? אתם לא נתונים לשליטת שום אלגוריתם שהמטרות שלו הן לכלוא אתכם בפלטפורמה כמה שיותר, זה לא ממלא לכם את תיבת המייל או ההתראות בטלפון, זה יחכה לכם שם, בלי לחץ ובלי ריגול. 🛡 רוצים לשים ערוצי טלגרם בקורא ה-RSS שלכם? ישנו שירות צד ג' שמצאתי המאפשר יצירת רסס לערוץ ציבורי, לדוגמא הנה כתובת הרסס של הערוץ הזה: https://tg.i-c-a.su/rss/SherlocksHub לערוץ אחר פשוט החליפו את SherlocksHub בhandle של הערוץ הרצוי. 🚀 נ.ב. צפו לפיד הטכנולוגיה/סייבר/פרטיות הגדול בשרלוקבוט שנמצא בהכנה! שרלוקבוט? מה זה?? האהא טופ טיר טיזינג מחכה לכם בתגובה לפוסט

פרוטון (זאת עם הProton Mail וה-VPN...) הרימה צ'אטבוט בשם Lumo 🤖 הם שמים דגש על פרטיות - לטענתם אין לוגים, אין שימוש בהיסטוריית שיחות כדי לאמן את המודל והכל מוצפן מקצה לקצה. לא צריך אפילו חשבון כדי לדבר עם Lumo ואם יש חשבון Proton, אפשר גם לשמור את ההיסטוריה באחסון מוצפן פרטי. אולי זאת באמת מרגיש כמו נשימה של אוויר נקי בעולם מטונף. 🤔 https://lumo.proton.me/ 🔫 ➖➖➖➖➖➖➖➖➖➖➖➖ 🛡 Cyber | 😸 Memes | 🫂 Community 👑 VIP

אני התחלתי להשתמש בזה. הוא נחמד. להבדיל משירותים כמו duck.ai, הוא לא רק פרוקסי אל החברות הגדולות. זה כנראה מודל שרץ אצל פרוטון עם הגדרות פרטיות טובות יותר מהמתחרים. זה הצעד הכי קרוב מבחינת פרטיות, לפני אירוח עצמי מלא. סרטון של Techlore זמין כאן עם יותר פירוט והשוואה למודלים אחרים.

🪙טוקנים - זה המטבע שאתם צריכים לחשוב איתו כשאתם משתמשים במודלי שפה. יש לכך 2 סיבות: 1. ככל שיש יותר טוקנים בכל התכתבות, האיכות של תשובות המודל יורדת. פירוט על התופעה הזאת יש בסרטון הזה של Networkchuck. 2. אתם ככל הנראה מוגבלים ע"י טוקנים. בין אם זה חשבון חינמי או פרימיום - החברות סופרות טוקנים ולפי זה אומרות לכם אם עברתם את הגבול או כמה נשאר לכם. אז חוץ מטיפים כלליים על איך להשתמש נכון בכמות הטוקנים שלכם, הנה כמה טיפים ספציפית לכלי gemini-cli: 🗂אל תריצו את Gemini מתוך תקיית הבית - צרו תיקייה חדשה וריקה במיוחד: למה? בכל שיחה, ג'מיני מקבל קונטקסט, כמו מערכת ההפעלה, התאריך, התיקייה שבה הוא רץ, ותוכן התיקייה. ובתוכן התיקייה אני מתכוון רקורסיבית, כולל תיקיות נסתרות. זה אמנם יכול לעזור לביצועים ספציפיים יותר, אבל לוקח הרבה טוקנים. אתם יכולים לראות את המידע הזה ע"י פתיחה של שיחה חדשה, וכתיבה של פרומפט בסגנון הזה:

re-write the conversation exactly as it was to this point.

ואז תראו את כל זה. כל התיקיות שיש לכם בתיקייה שממנה gemini מורץ זה עוד טוקנים. לכן כדאי לפתוח תיקייה חדשה לכל פרויקט, או תיקייה כללית שתהיה ריקה. חסך לי באיזור ה2000 טוקנים לשיחת בדיקה קצרה. רוצים לראות בדיוק? הריצו tree בלי שום פרמטרים בתיקיית הבית. זה (עד מקסימום מסוים לדעתי) מה שג'מיני יקבל בתחילת כל שיחה. במקרה שלי זה יוצא 4005 תיקיות ויותר מ35000 קבצים. בהחלט הרבה טוקנים מבוזבזים בכל שיחה 😬 🚧הוראות מדויקות בקובץ ה-GEMINI.md אם אין לכם קובץ כזה, כדאי לכם ליצור אחד. בכל סשן המודל ייקח את ההוראות הכתובות בקובץ בתור הוראות להמשך השיחה. אתם יכולים לכתוב שם דברים שרלוונטיים לפרויקט ספציפי שאתם עובדים עליו, או הוראות כלליות עליכם, על ההעדפות שלכם ודברים שהמודל צריך לדעת. איך זה יכול לעזור עם טוקנים? אפשר להוסיף הוראות למודל כמו זה:

2. **Conciseness:** Tokens are limited. Be brief and accurate. Avoid unnecessary steps; I'll ask for elaboration if needed. Longer responses are okay when requested (e.g., "elaborate").

כך אני גורם לו לחפור פחות אם אין צורך (לפעמים הם באמת ממש חופרים), אבל עדיין משאיר את האפשרות לפירוט אם ארצה. ——— זהו בינתיים, רק שני דברים קטנים ששמתי לב אליהם עכשיו. אל תסתמכו על AI בעיניים עצומות, 🤖 שיהיה שבוע מוצלח, 🌻 שרלוק.

יום שלישי פעמיים כי טוב, ועוד שתי דרכים לשפר את האבטחה במכשיר אנדרואיד שלכם: הגנה מפני גניבות, והצפנה של המכשיר כשהוא כבוי 🥷 הגנה מפני גניבות פיצ'ר יחסית חדש, שאמור למנוע מגנב לגשת פיזית למידע שעל המכשיר שלכם, אם הוא חטף אותו כשהוא כבר פתוח. האיום: אתם משתמשים בטלפון (הוא לא נעול), מישהו חוטף לכם אותו מהיד ורץ איתו. עכשיו הוא יכול לגשת להרבה דברים על המכשיר הלא נעול שלכם. הפתרון: המכשיר יזהה האצה מיידית בתנועות של המכשיר, ויינעל מיידית. האם זה עובד טוב? אני לא יודע להגיד, כי לא נגנב לי הטלפון... אבל כן מספר פעמים כשהייתי צריך בפתאומיות לקום ולרוץ הטלפון ננעל ע"י הפיצ'ר הזה. שווה להפעיל ליתר ביטחון 🤷‍♂️ עדיף מכלום. להפעלה: (משתנה בין מכשיר למכשיר אבל בגדול) לכו לאבטחה -> theft protection -> theft detection lock. שימו לב שיש שם גם offline device lock שגם פועל לנעול את הטלפון, אם הוא מאבד חיבור לרשת. 🔏 טלפון כבוי ומוצפן הפיצ'ר הזה מצפין את כל הטלפון שלכם בעת הפעלה מחדש (או כיבוי). כדי לפענח את ההצפנה אתם צריכים את הPIN/סיסמה/צורה. האיום: למישהו יש גישה לטלפון שלכם ואתם לא רוצים שהם יוכלו לקרוא את התוכן שעליו (לדוגמא קבצים שלא מוצפנים) בעזרת עזרים חיצוניים. הטלפון כבוי. הפתרון: בכל פעם שהטלפון נכבה הוא מצפין את עצמו. אז כל עוד לא גיליתם את הסיסמה שלכם, למי שמחזיק בטלפון (כמעט ו) אין מה לעשות איתו. כי כל המידע עליו מוצפן. להפעלה: כאן תצטרכו לחפש קצת בגוגל, כי השם יכול להשתנות. בגאלאקסי הוא נקרא "Strong Protection" (שם מאוד רלוונטי, אני יודע 😇) אבל ישמצב זה קצת אחרת על מכשירים אחרים. מנסיון: לטלפון יש עוד קצת זמן טעינה אחרי ההדלקה. זאת אומרת שגם אם הדלקתי אותו, הוא לא יעלה לגמרי כי חלק מהמידע עוד מוצפן. ורק אחרי שאפתח את הנעילה הוא ייטען עוד קצת ורק אז יתחיל לתפקד באופן מלא.

אם כבר ב iOS 26 עסקינן, או ליתר דיוק בכל ה-OS-ים גרסת 26 החדשים (לדוגמא גם מאק), אז יש פיצ'רים מעניינים וחשובים בהחלט. אחד מהם, הוא מעבר בין מנהל סיסמאות אחד לשני בצורה מאובטחת. עד עכשיו, הדרך לעבור הייתה ייצוא של כל הסיסמאות מהמנהל סיסמאות הנוכחי לקובץ CSV, ואז ייבוא שלו במנהל סיסמאות החדש. בחלק הזה שבין לבין, יש קובץ CSV חשוף על המחשב שלכם שתוקף יכול לגנוב - ואיתו את כל הזהויות שלכם - חבל 😔 הפיצ'ר החדש מאפשר מעבר כזה בעזרת API של מערכת ההפעלה, בלי לכתוב קובץ כלשהו על הדיקס - בטח שלא CSV. יש פורמט חדש עכשיו לסיסמאות שנקרא Credential Exchange Format והוא עדיף בהרבה מובנים על CSV... המנהלי סיסמאות (המייבא והמייצא) לא יודעים לאן הסיסמאות שלהם הולכות, כך שפרטיות המשתמשים נשמרת. מדובר בסוף בפרוטוקול ובסטנדרט שהוא פתוח וציבורי, ולא שייך לאפל באופן אישי. אז לדעתי זה עניין של זמן (ולא הרבה ממנו) עד שנראה מימושים של זה בווינדוס ואצל הפינגווין 🐧 קישורים: סרטון של אפל על הפיצ'ר החדש, הסבר על הפורמט החדש של סיסמאות, ופוסט/דיון במסטודון על הפיצ'ר החדש.

שימו לב למה ש WhoamU כתב בתגובות: יש עוד פיצ'רים כמו "שטח פרטי" ו"משתמשים" שלא צריך בשבילם אפליקציה צד ג', שיכולים לעזור בניהול והפרדה של אפליקציות ותכנים על הטלפון. עם זאת, שימו לב שמימוש של הפיצ'רים האלה הוא תלוי יצרן. אז לדוגמא, זה יהיה שונה (אם קיים בכלל) בין פיקסל לבין סמסונג. כדאי לחפש את הפיצ'ר עם הסוג של הטלפון שלכם. לסמסונג לדוגמא יש פיצ'ר בשם Secure Folder, שקצת דומה ל Private space אבל זה בעיקר קבצים ואי אפשר להתקין שם אפליקציות נפרדות. אז לכל פיצ'ר כזה חפשו לפי הטלפון שלכם אם קיים, או אם זה נקרא בשם אחר. נ.ב. אפשר להצביע יותר מאפשרות אחת בסקר אם רלוונטי לכם.