🇮🇱 האקר סטנדרטי

יאללה דונלד / AI-OmerAdam

עולם ה-AI משתדרג וה-DeepFake עולה רמה. זה לא עומר אדם אבל זה נשמע בדיוק כמוהו.

מודל חדש בשם Sonauto - חינמי לגמרי - מייצר שיר מתוך פרומפט פשוט ובחירה של הזמר האהוב עליכם (כך טוען הפוסט).

הדוגמה בפוסט לא משאירה הרבה מקום לשאלות. הרמה באמת גבוהה. זה נשמע כמו עומר והניואנסים פשוט הזויים.

מה דעתכם?

#האקר_סטנדרטי⚡️

באמת שאני כבר לא יודע מה להגיד על זה - מדהים, מפחיד, מזעזע - פשוט תקשיבו בעצמכם 🔊 🤯

בשבוע שעבר צץ לאוויר העולם מודל חדש בשם Sonauto…

באמת שאני כבר לא יודע מה להגיד על זה - מדהים, מפחיד, מזעזע - פשוט תקשיבו בעצמכם 🔊 🤯

בשבוע שעבר צץ לאוויר העולם מודל חדש בשם Sonauto
שהוא סוג של גרסה הזויה, לא מצונזרת (ברמה מפחידה) וחינמית לחלוטין של Suno, שמאפשרת לכתוב בפרומפט שמות של זמרים או להקות, גם…

🔥5❤2

2.1K views12:36

🇮🇱 האקר סטנדרטי

לקריאה בממד 😵‍💫

התקיפה האחרונה נגד GitHub Actions כבר כאן — והכל אוטונומי

בשבוע האחרון הופעל ברשת בוט אוטונומי בשם hackerbot-claw, שתוקף באופן פעיל מערכי CI/CD של GitHub. הבוט לא רק סורק קוד — הוא מנצל תצורות שגויות ב-GitHub Actions כדי להשיג הפעלת קוד מרחוק ורמות גישה גבוהות.

📌 התקיפה בקצרה:
• מדובר בקמפיין שגרתי שנמשך כשבוע נגד מאגרי קוד פומביים.
• הבוט השתמש בחמישה טכניקות שונות לניצול שגיאות בתצורת GitHub Actions.
• לפחות ב-4 מתוך 6 מטרות הוא השיג הרצת קוד מרחוק (RCE).
• הוא גם הצליח לחלץ טוקן GitHub עם הרשאת כתיבה.
• מדובר בפרויקטים פומביים גדולים כולל Microsoft, DataDog ו-פרויקטים של CNCF.

🤖 מה שמיוחד פה השימוש ב-OpenClaw שמבוסס על AI, שמזהה דפוסי תצורה פגיעים ומנצל אותם — ללא התערבות אנושית

ואני חשבתי שביבי בטלויזיה האיראנית זה מרשים

#האקר_סטנדרטי⚡️

www.stepsecurity.io

hackerbot-claw: An AI-Powered Bot Actively Exploiting GitHub Actions - Microsoft, DataDog, and CNCF Projects Hit So Far - StepSecurity

A week-long automated attack campaign targeted CI/CD pipelines across major open source repositories, achieving remote code execution in at least 4 out of 5 targets. The attacker, an autonomous bot called hackerbot-claw, used 5 different exploitation techniques…

🔥7🕊1

2.02K views20:41

🇮🇱 האקר סטנדרטי

קלוד בכותרות…
והפעם - פוסט של חבר אהוב וקולגה, עודד ואנונו

עודד (ועוד חבר מצוות המחקר של צ׳קפוינט) חשף את החולשות CVE-2026-21852,
CVE-2025-59536

הן מאפשרות לפי המחקר:

- הרצת קוד דרך קבצי project
- גניבת API tokens
- הפניית תעבורה לשרת תוקף עוד לפני שהמשתמש מבין מה קורה

בעולם של AI tools למפתחים,
קובץ קונפיגורציה כבר לא רץ כטקסט.
הוא יכול להפוך ל-execution surface.

וכשכלי רץ מקומית עם ההרשאות של המפתח -
זה מספיק כדי לייצר RCE או לשלוף טוקן החוצה.

אנטרופיק אולי תיקנו, אבל זה לא סיפור על Claude בלבד, ולא על OpenClaw/OpenAI או אייג׳נטים.

זה סיפור על הדור החדש של כתיבת קוד ומציאת חולשות.

#האקר_סטנדרטי⚡️

Check Point Research

Caught in the Hook: RCE and API Token Exfiltration Through Claude Code Project Files | CVE-2025-59536 | CVE-2026-21852 - Check…

By Aviv Donenfeld and Oded Vanunu Executive Summary Check Point Research has discovered critical vulnerabilities in Anthropic’s Claude Code that allow attackers to achieve remote code execution and steal API credentials through malicious project configurations.…

❤4

2.34K views20:47

🇮🇱 האקר סטנדרטי

לקריאה בממד 😵‍💫 התקיפה האחרונה נגד GitHub Actions כבר כאן — והכל אוטונומי בשבוע האחרון הופעל ברשת בוט אוטונומי בשם hackerbot-claw, שתוקף באופן פעיל מערכי CI/CD של GitHub. הבוט לא רק סורק קוד — הוא מנצל תצורות שגויות ב-GitHub Actions כדי להשיג הפעלת קוד מרחוק…

בהמשך לזה.

בין פגישות וטילים, יצרתי לו חבר.
שלא יהיה לו משעמם (לתוקף)

תכירו את anti-hackerbot-claw

התלבטתי אם לקרוא לו standarti או anti.. 😏

שיהיה יום שקט ומלא מרקטינג של צה״ל

#האקר_סטנדרטי⚡️

StepSecurity Hackbot-Claw Analysis: Accurate and Vigilant | Ido Naor posted on the topic | LinkedIn

The StepSecurity analysis around 𝗵𝗮𝗰𝗸𝗲𝗿𝗯𝗼𝘁-𝗰𝗹𝗮𝘄 was highly accurate. Kudos to the teams behind the scenes.
Their release created waves over #Reddit and urged #DevOps awareness.
While the repo is down and malicious code removed, we should still stay vigilant…

❤4👍1

2.48K views11:00

🇮🇱 האקר סטנדרטי

מציאות מול תיאוריה

אנטרופיק הוציאו מחקר מעולה על מה באמת קורה בשוק וכמה ה-ai מכסה מקצועות קיימים. אין את כל הקשת אבל עדיין אפשר לראות מגמה מאוד מעניינת.

#האקר_סטנדרטי⚡️

👍3❤1

2.09K views12:43

🇮🇱 האקר סטנדרטי

$4 מיליון.
8 Zero-Days.
אינסיידר אחד.

הוא לא פרץ לשום מערכת.
הוא לא כתב malware.

הוא כבר היה בפנים.

פיטר וויליאמס, עובד בכיר בחברת הביטחון האמריקאית L3Harris, גנב במשך שלוש שנים 8 zero-days שנבנו עבור ממשלת ארה״ב — ומכר אותם לברוקר רוסי בשם Operation Zero תמורת מיליוני דולרים בקריפטו.

ה-DOJ לא השאיר הרבה מקום לפרשנות:

“Williams betrayed the United States and his employer… imperiling our national security for the sake of personal gain.”

לפי התביעה, הכלים שהוא מכר יכלו לשמש:

“against any manner of victim, civilian or military around the world.”

כלומר -
ריגול.
כופרה.
תקיפות סייבר נגד תשתיות.

לא האקר ממוסקבה.
לא קבוצת APT.

רק עובד אחד עם גישה.

לפעמים האיום הכי מסוכן עובר דרך דלת הכניסה.

#האקר_סטנדרטי⚡️

Codeaintel

$4 Million, 8 Zero-Days, One Traitor: How a Defense Contractor Sold America's Cyber Weapons to Russia

Peter Williams didn't hack anything. He didn't need to. He already had the keys — and he auctioned them off to the highest bidder wearing a Russian flag.

🤬7❤1👍1

2.03K views07:42

🇮🇱 האקר סטנדרטי

יש לכם מקבוק?

הפאונדר של Tenable לא מבזבז זמן ובסופ״ש של זמן פנוי מפתח ומשחרר Open-Source דפדפן סנדבוקס להרצה של לינקים זדוניים (ועוד) מעל מקבוק.

מה שאהבתי יותר זה שהוא הפאונדר של Tenable (אלה של Nessus, למי שלא חיבר) שכמובן נסחרים בנאסד״ק… זמן פנוי זה לא מה שהייתי חושב שיש לו, אבל הנה. ה-AI מוציא מאיתנו יצירתיות ופיתרון בעיות הרבה מעבר למה שידענו.

ומה איתכם? מפתחים משהו?

#האקר_סטנדרטי⚡️

Bromium-Inspired Browser Sandbox for macOS Released | Renaud Deraison posted on the topic | LinkedIn

I released a new open source product today.

I was always enamored by the concept pioneered by Bromium back in the day - run a web browser in a virtual machine so even if the page is malicious, the host stays safe.

This weekend I decided to build that idea…

❤5👍1👌1

1.81K views06:59

🇮🇱 האקר סטנדרטי

אוהבים רוורסינג? גם אני.
במשך הרבה שנים שקדתי על דוקומנטציה של מעבדים וסרטונים ביוטיוב כדי לפצח את הסינית של המחשבים - אסמבלי.

לא יכול להגיד שנהייתי מאסטר, אבל אולי גם לא כיוונתי לשם. רציתי להיות ״ברמת שיחה״ כדי לזהות תבניות חשודות במלוור וזה היה ונצ׳ר כייפי אי שם ב2013-2018.

היום יש לנו את חברינו ה-AI.
מאז שהוא יצא (קצת באזור 2022) פיתחנו בתוך JOES כלי רוורסינג שנקרא AskJoe. בהתחלה עם da-vinci פשוט שמתרגם אופקוד לטקסט קריא ואח״כ ממש סוכן אג׳נטי שאפשר לדבר איתו על כל מה שקורה בתהליך החקירה.

אנחנו בגרסה מס 3 של AskJoe והיא אושרה ב-PR ממש אתמול בלילה.
מהתרגשות שחררתי את זה הבוקר בפוסט אצלנו בעמוד עם ה-repo הפרטי של צ׳רלס (אחד העובדים שכתב את הכלי). תוקן בכל מקרה 😅

זה ממש מגניב, למי שאוהב low level.
מוזמנים להוריד Ghidra ולשים מעליו את AskJoe. יש גם סרטון הדרכה.

#האקר_סטנדרטי⚡️

Reverse Engineering binaries just got upgraded 🚀
AskJoe 3.0 is out 💖 and it's got GUI 🕹️
Link in the first comment.
By Charles…

Reverse Engineering binaries just got upgraded 🚀
AskJoe 3.0 is out 💖 and it's got GUI 🕹️
Link in the first comment.
By Charles L.

❤8👏8🔥6

2.03K viewsedited 14:49

🇮🇱 האקר סטנדרטי

מה קורה בבועת ההייטק בעת ובעונה אחת

הנה למשל חברת Onyx שמי שיטייל עכשיו בלינקדאין יראה תמונות נוצצות על גיוס 40M$

ומצד שני, נכנסו לתמונה TheMarker עם כתבה נוקבת על היזמים ועל חברה שהייתה ברשות אחד מהם בזמן שהוא היה חייל בצה״ל, ומה קרה לאחר שנסגרה כשמיליונים חולקו לבעלי המניות.

מוסריות, אתיקה, עיתונות, due-diligence ומה שביניהם.

מניסיוני הדל, הקמה של חברה היא דרך מלאה באי-ודאות. עד שלא מקימים אחת לא מבינים כמה אחריות נדרשת וכמה למידה מצטברת במספר תחומים מסביב לשעון. ניהול, משפט, שיווק, פיננסים, ביטוח, מש״א, טכנולוגיה ותשתיות והרשימה עוד ארוכה.

אני אישית מעריך את היזמים של Onyx ופחות נכנס לרכילויות, אבל אם צהל העלים עין במסווה של ״אישור עבודה״ מישהו שם צריך לקחת אחריות.

ו-TheMarker? ישארו TheMarker. זו העבודה שלהם. עיתונות היא תחום אפור שמצד אחד מכה בנקודות רגישות למטרת קריאה ממושכת ומצד שני חומר ששווה להוציא ממנו את העיקר ולזרוק את התפל, כי שם מתחבאת הסיבה האמיתית לכתבה.

שבת שלום,

#האקר_סטנדרטי⚡️

BIG NEWS — WE’RE OUT OF STEALTH

Introducing Onyx Security: the first secure AI control plane for the agentic era.

Alongside Maxim…

BIG NEWS — WE’RE OUT OF STEALTH

Introducing Onyx Security: the first secure AI control plane for the agentic era.

Alongside Maxim Bar Kogan, my incredible co-founder, and an exceptional team, we’ve been heads down building. Now, we’re excited to finally…

👍1

1.8K views15:20

🇮🇱 האקר סטנדרטי

מי עומד מאחורי התקיפה של AppsFlyer?

אין עדיין שיוך מלא.

למי שלא מכיר, AppsFlyer זו חברה ישראלית שנותנת קוד לאתרים כדי למדוד משתמשים. הרבה מאוד אתרים בעולם פשוט טוענים את הקוד שלהם — וסומכים עליו. ואז, לכמה ימים, משהו שם השתנה.

הקוד הזה התחיל לעשות עוד משהו קטן בצד: אם מישהו ניסה לשלוח קריפטו, הכתובת התחלפה בשקט לכתובת של התוקף.

זה לא בדיוק הסטייל APT עם דגלים וכותרות. זה יותר להיכנס באמצע שאף בלי שאף אחד ירגיש.

#האקר_סטנדרטי⚡️

BleepingComputer

AppsFlyer Web SDK hijacked to spread crypto-stealing JavaScript code

The AppsFlyer Web SDK was temporarily hijacked this week with malicious code used to steal cryptocurrency in a supply-chain attack.

🤔2❤1🔥1😱1

1.55K views20:20

🇮🇱 האקר סטנדרטי

#אוףטופיק - AI משנה את חוקי המשחק

יזם טכנולוגיה מאוסטרליה, Paul Conyngham, גילה שלכלבה שלו יש סרטן אגרסיבי.
אחרי שטיפולים רגילים לא עזרו, הוא השתמש ב-AI, ChatGPT ו-AlphaFold כדי לנתח את ה-DNA של הגידול.
הוא השווה בין DNA בריא ל-DNA של הגידול כדי למצוא את המוטציות.
עם המידע הזה הוא תכנן חיסון mRNA מותאם אישית נגד הסרטן.
מדענים מאוניברסיטת UNSW עזרו לייצר את החיסון במעבדה.
לאחר ההזרקה, הגידול הצטמצם בכ-50% והכלבה התחילה להרגיש הרבה יותר טוב.

החלק הכי מטורף:
זה כנראה החיסון המותאם הראשון מסוגו שנוצר לכלב, וזה נותן הצצה למה שיכול לקרות גם בבני אדם בעתיד.

קריאה מהנה בממ"ד,

#האקר_סטנדרטי⚡

🤯23🔥3🤩2❤1👏1

1.46K views11:43

🇮🇱 האקר סטנדרטי

יש לכם אינסטגרם…
שימו לב מה אתם חושפים ב-DM

אינסטגרם הולכת להסיר את ההצפנה מקצה לקצה (E2EE) מהודעות פרטיות (DMs)
החל מ־8 במאי 2026.

רגע — מה זה בכלל E2EE?

זה אומר ש:
• רק אתה והאדם השני יכולים לקרוא את ההודעות
• אפילו אינסטגרם (Meta) לא יכולה לראות אותן

אז מה משתנה בפועל?

אחרי השינוי:

• ההודעות כבר לא יהיו מוצפנות מקצה לקצה

• כלומר — תיאורטית:

• אינסטגרם יכולה לגשת לתוכן📸

• אפשר לבצע יותר ניטור / סריקות / אכיפה 📸

למה הם עושים את זה?

כמה סיבות מרכזיות:

1. כמעט אף אחד לא השתמש בזה
Meta אמרו ש“מעט מאוד משתמשים” הפעילו את זה

2. לחץ רגולטורי מטורף
מדינות וגופים:
• רוצים גישה להודעות (למשל נגד פדופיליה וכו’)
• טוענים שהצפנה “מסתירה פשעים”

3. שינוי אסטרטגי
Meta בעצם אומרת:
👉 אם אתה רוצה פרטיות אמיתית — לך ל־WhatsApp

#האקר_סטנדרטי⚡️

The Verge

Instagram is getting rid of end-to-end encrypted DMs that ‘very few’ people used

E2EE has become a target of federal regulators.

❤5

1.52K views14:01

🇮🇱 האקר סטנדרטי

BlackCat שוב בכותרות.
לא בגלל תקיפה — אלא בגלל מה שנחשף עכשיו בבית משפט.

שלושה אנשים הואשמו בקשר לפעילות של BlackCat (ALPHV).

שלושתם — עבדו בחברות Incident Response.

כן.
ניהול מו״מ ותגובה לאירוע,
על מנת *לעזור*

מה עלה מהחקירה?

• ניהלו מו״מ מול קורבנות רנסומוור
• היו עם גישה מלאה לפרטי האירוע
• ובמקביל — העבירו מידע לתוקפים
• עזרו לכוון סכומי כופר
• ולחצו על קורבנות לשלם

זה לא מקרה בודד - זה היה דפוס

לא “האקר מבחוץ”
אלא אנשים שנכנסים דרך הדלת הראשית עם גישה, אמון, והרשאות.

ה־DOJ מדבר על עשרות מיליוני דולרים בכופר.

הסיפור אמנם לא חדש
אבל עכשיו הוא קיבל חותמת רשמית

ה takeaway:

כשאתה מכניס חברת IR
אתה מכניס צד שלישי עם visibility מלאה

מי מדבר עם התוקף
מי מחזיק את המידע
ומי באמת בצד שלך

זה כבר לא רק Incident Response
זה Supply Chain

#האקר_סטנדרטי⚡️

therecord.media

Ransomware incident responder gave info to BlackCat cybercriminals during negotiations, DOJ alleges

U.S. prosecutors accused an incident responder of conducting cyberattacks and helping ransomware gangs negotiate higher payouts from the same victims he was working for.

😱6👍1👌1💯1🤣1👀1

1.46K viewsedited 20:01

🇮🇱 האקר סטנדרטי

טוב אז הצטרפתי לשיגעון ה-Base44🍊

אחרי שסיימתי את המחקר שלי והגשתי אותו ל-BlackHatUSA (סמנו ❤️) התפניתי לרעיון של זוגתי על אפליקציה שקיבלה Pivot ברגע האחרון ובלב שלם נפרדתי מקצת יותר מ-1,000 שקלים חדשים למאור שלמה יקירנו, כבוד וגאווה לאומית.

עד כה האפליקציה טוענת לבנות backend מלא והתחילה לבנות לי דפים של מוצר. לא אתר, אלא ממש מוצר. לא דוגמה ל-Ux/Ui כמו Figma, אלא ברזלים לגמרי עם API וכל הירקות.

אבטחת מידע? גורנישט.
שומעים, אם לא הייתי מציין שוב ושוב ושוב ושוב לעשות ווישים, דברים פשוטים כמו XSS היו עפים לפרודקשן בלי 👃🏽 פיקוח ו-API היה פתוח לעולם בלי שום טוקן.

מצד שני. 🧘 סבלנות.

ברמת Ui, הוא בונה קלאסי כמו כל מערכת אחרת. בהתחלה זה היה ״וואו!!״, אבל תכלס הציפייה עולה מהר בזמננו ועלה לי בראש שמי שיעשה Base44 שיודע להטמיע אובייקטים של Canva ינצח. ואולי כבר יש… 🤷🏻‍♂️

כל הפרויקטים האלה ועוד אחרים (כמו איזה סקריפט שמחלץ Sales ממיילים ישירות ל-HubSpot), וההגשה ל-BHUSA, ביחד עם כל ההייפ סביב המוצר שאנחנו בונים ב-JOES, עושה לי חשק להרים מחדש - את Virusbay.
הפעם אולי ברמה פי 100 יותר טובה.

אז חלמנו על דרך ליצור Yara אוטומטי ולנצח את VT ע״י הורדות בחינם - ואל תשאלו איזה מדורים עברנו.
מצד שני זה יצר זום עם Florian Roth וחשבון פרימיום של Any.Run ושת״פ מלא עם דניאל מ-Zero2Auto שאח״כ גם עבד שנה בצוות של JOES.
מטורף.
מעניין מה יוליד יום.

עד כאן חברים,

#האקר_סטנדרטי⚡️

❤22

1.54K viewsedited 18:30

🇮🇱 האקר סטנדרטי

אם אתם לא יודעים על זה
עצרו הכל ותכנסו לראות את הוידאו אחרי שקראתם את הפוסט. עשיתי לכם תקציר בוסים בעברית

כולם מדברים על ה־Keynote האחרון של NVIDIA, אבל רגע לפני ההייפ שווה להבין מי עומד שם על הבמה ולמה זה בכלל חשוב. ג’נסן הואנג הוא המנכ״ל והמייסד של NVIDIA, חברה שהתחילה כיצרנית כרטיסי מסך לגיימרים והפכה בעשור האחרון לאחת החברות הכי חשובות בעולם הטכנולוגיה. אם פעם GPU היה בשביל משחקים, היום הוא הלב של כל מערכת בינה מלאכותית — מ־ChatGPT ועד מערכות סייבר, פיננסים ורכב אוטונומי.

ב-Keynote הזה הוא לא בא להשיק עוד מוצר. הוא בא לספר סיפור על איך העולם עומד להיראות. הרעיון המרכזי שהוא דוחף הוא שבינה מלאכותית כבר לא “תוכנה” שאתה מריץ, אלא תשתית. משהו בסיסי כמו חשמל. בדיוק כמו שלא כל חברה מייצרת לעצמה חשמל אלא מתחברת לרשת — בעתיד ארגונים יתחברו ל״מפעלי AI״ שמייצרים אינטליגנציה בקנה מידה עצום.

וזה החלק המעניין באמת: NVIDIA לא רוצה רק למכור שבבים. היא בונה את כל המערכת — מהחומרה, דרך הרשתות שמחברות בין השרתים, ועד התוכנה והכלים שמריצים מודלים וסוכנים. במילים פשוטות, היא לא עוד ספק — היא רוצה להיות התשתית שעליה הכל יושב. כמו שחברות ענן הפכו להיות הבסיס של האינטרנט, הם מכוונים להיות הבסיס של עידן הבינה המלאכותית.

מה עוד השתנה? המעבר ממודלים לסוכנים. במקום לשאול שאלה ולקבל תשובה, מדברים על מערכות שמקבלות מטרה ופועלות לבד לאורך זמן. זה נשמע מוכר למי שחי את התחום, אבל כאן זה מוצג כסטנדרט העתידי — לא פיצ’ר ניסיוני. בנוסף, הוא מדבר על “בינה פיזית” — חיבור בין AI לעולם האמיתי: רובוטים, סימולציות, מערכות שמבינות תנועה, סביבה ופיזיקה. זה כבר לא רק טקסט ותמונות, אלא מערכות שפועלות בעולם.

אז למה זה מרגיש כמו משהו גדול? לא כי הכל חדש. רוב הדברים האלה קיימים כבר כמה שנים. אבל עכשיו הכל מתחבר — יש מספיק כוח חישוב, יש חוויית שימוש נוחה, ויש שחקן אחד שבונה את כל הערימה מקצה לקצה. זה מה שנותן תחושה של שינוי אמיתי.

אם מחפשים את השורה התחתונה: NVIDIA מנסה להפוך ליצרן של “אינטליגנציה” כמו שחברות חשמל מייצרות אנרגיה. ואם הם יצליחו, מי שיבנה מוצרים בעתיד לא ישאל “איך אני בונה AI”, אלא פשוט “לאיזה תשתית אני מתחבר”. וזה כבר שינוי תפיסתי עמוק, לא רק טכנולוגי.

#האקר_סטנדרטי⚡️

NVIDIA

NVIDIA GTC 2026 Keynote

Continue your AI journey with NVIDIA GTC sessions on demand. Explore breakthroughs driving innovation across industries.

❤5🔥2👍1

1.45K viewsedited 23:31

🇮🇱 האקר סטנדרטי

לפני כמה ימים ראיינתי עבור לקוח שלי Security Engineer ויצא לנו לדבר עם חיות כמו XSS ו-SQL Injection.
נכנסנו ממש לעובי של החולשות הללו ובאחד המשפטים הוא אמר שהחולשות הללו כבר לא כל כך רלוונטיות היום.

פאוזה: יש מושג חדש שנכנס ושווה להסביר אותו לפני שמזכירים אותו - Blast Radius.
אנשי סייבר/טק אוהבים להגיד את המילה הזו. ככה זה. כל מה שהייפ.
מה המשמעות? לא חדשה - מה חשוף מהרגע שנתגלתה חולשה וכמה עמוק תוקף יכול להגיע.
למשל בקונטקס של AI - הכניסה שלו לשוק הגדילה את ה-Blast Radius.
אתם מוזמנים לדבר על זה בראיונות או כנסים ולהישמע מתוחכמים. על לא דבר.

חזרה ל-SQL Injection שלנו: חברת סייבר (עם סוכן תקיפה) בשם Codewall מצאה (לא כל כך מצוין איך) את הדוקומנטציה של סוכנת AI מאוד ספציפית, פתוחה לאינטרנט (לא הסוכנת, הדוקומנטציה).
הסוכנת שבנדון היא "לילי" - סוכנת AI של חברת מקינזי.
למי שלא מכיר, מקינזי היא הלואי ויטון של עולם הייעוץ העסקי. החברה קיימת איזה 100 שנה ויש לה מעל 40,000 עובדים.
השם לילי, אגב, הוא על שמה של העובדת הראשונה שלהם שגויסה ב-1945. אהבתי.

חברת הסייבר Codewall פירסמה מאמר שבו היא מפרטת איך מתוך 200+ קריאות API נמצאו כמה שלא דרשו אותנטיקציה ומשם הם הצליחו להוכיח פריצה באמצעות סוכן ה-AI שלהם ולנצל SQL Injection לתוך המערכת.
לפי הבלוג הם טוענים שה-AI שלהם הצליח לפרוץ לתוך מסדי הנתונים של החברה דרך סוכנת ה-AI של מקינזי ומשם להוציא כמות מידע עצומה לכאורה.

בשורה התחתונה - חולשות כמו SQL Injection עדיין על המפה וה-Blast Radius שלהן, כפי שאנחנו עדים, רק גדל.

עד כאן,

#האקר_סטנדרטי⚡

codewall.ai

How We Hacked McKinsey's AI Platform

An autonomous AI agent found a SQL injection in McKinsey's Lilli AI platform. What it extracted was worse than we expected.

❤9👍5

1.45K views17:10

🇮🇱 האקר סטנדרטי

יש סיפור מעניין שרץ עכשיו על Trivy, אבל הרבה מפספסים את הנקודה.

בהתחלה זה נראה כמו עוד בלאגן בגיטהאב, מישהו קיבל גישה, מחק דברים, שינה releases. רעש.

ואז, בערך 20 יום אחרי, יוצאת גרסה חדשה (0.69.4). נראית רגילה. עוברת דרך כל הצינורות הרגילים.

אבל פה זה נהיה בעייתי.

הקוד כמעט לא השתנה.
מה שכן השתנה זה איך שבנו אותו.

מישהו היה בתוך ה־pipeline.
עם הרשאות אמיתיות.
והצליח להכניס קוד בזמן build.

עכשיו לשאלה החשובה, מה הנזק?

הכלי הזה רץ בדיוק במקומות הכי רגישים:
ב־CI/CD, בתהליכי build, ובסריקות של קונטיינרים וריפוזיטוריז.

זה אומר גישה פוטנציאלית ל:
- קוד מקור
- secrets (tokens, keys)
- תשתיות ענן ו־registries

כלומר, לא צריך לפרוץ לארגון.
הארגון מריץ את Trivy לבד.

ומי משתמש בזה באמת? לא “כולם” באוויר, אלא שמות גדולים:

שירותי הענן של אמזון (AWS) משלבים אותו בדוגמאות רשמיות וב־workflows סביב ECR
האקוסיסטם של Kubernetes מלא בפרויקטים ו־Helm charts שמשתמשים בו
פלטפורמת GitHub כוללת אלפי pipelines ציבוריים שמריצים אותו אוטומטית
מערכת GitLab משלבת אותו בתבניות של CI עבור סריקות אבטחה
וגם חברות כמו Red Hat ו־Aqua Security מקדמות ומשתמשות בו כחלק מה־stack

וזה עוד לפני אלפי forks פנימיים בתוך חברות SaaS וסטארטאפים.

זה לא עוד כלי קוד פתוח.
זה כלי שיושב באמצע של תהליך ה־build של האינטרנט.

מי שרוצה לקרוא לעומק:
1. https://labs.boostsecurity.io/articles/20-days-later-trivy-compromise-act-ii/

2. https://opensourcemalware.com/repository/https%3A%2F%2Fgithub.com%2Faquasecurity%2Ftrivy%2F

שבת שלום,

#האקר_סטנדרטי⚡️

Boost Security Labs

20 Days Later: Trivy Compromise, Act II | Boost Security Labs

Almost exactly one year after the tj-actions/changed-files compromise, history repeats. Twenty days after the February Pwn Request on Trivy that we covered in our previous report, the attacker regained access to the Aqua Security org (through a vector still…

😱9

1.51K viewsedited 17:16

🇮🇱 האקר סטנדרטי

#אוףטופיק

מישהו בנה משחק מגניב והפך את הילדים שלו למנהלי המוצר. על אמת.
ילדים מכל העולם משחקים בזה ומאחורי הקלעים יש אנליטיקות וטבלת מובילים.

אם פעם היה צריך קורס והבנה עמוקה, היום ילד צריך רק פרומפטים ומשחק שהוא/היא בונים ובכמה ימים יכול להפוך לויראלי, בטח אם הוא מכיל יכולת תקיפה שקוראים לה 6-7.

המשחק פה:

https://tikel1.github.io/kipat-barzel-math/

#האקר_סטנדרטי⚡️

tikel1.github.io

כיפת ברזל: עושים חשבון עם איראן

משחק מתמטיקה אינטראקטיבי — הגן על גבעתיים עם כיפת ברזל! פתרו שאלות כדי לירות טילים.

🔥5❤2

1.24K viewsedited 09:31

🇮🇱 האקר סטנדרטי

ה־FBI פרסמו אזהרה על פעילות של ממשלת איראן, אבל מה שתפס אותי זה לא הטכניקה, אלא הפשטות. והיא כנראה עובדת להם.

לדו״ח המלא

מה הם עושים?

עושים Recon על הקורבן.
מתקדם יותר מפעם.
Social Engineering.
שולחים לקורבן קובץ.
הקובץ נראה לגיטימי לגמרי, לכאורה כמובן… KeePass, WhatsApp, Telegram…
קורבן מפעיל את הקובץ.

מאותו רגע:
המחשב מחובר לבוט בטלגרם, והתוקף פשוט מדבר איתו משם.

שולף קבצים
מצלם מסך
מקליט שיחות
אפילו Zoom

התחכום הוא בעיקר פרסונליזציה.
יכולת שקיבלה בוסט חזק מאוד עם ה-AI.

לפי איך שהקורבן עובד
עם מי הקורבן מדבר
ומה יגרום לו להפעלה

ולמה ה-C2 עובד?
כי טלגרם לרוב לא נחסם.

#האקר_סטנדרטי⚡️

👍3❤1

1.26K viewsedited 16:19

🇮🇱 האקר סטנדרטי

יש סיפור מעניין שרץ עכשיו על Trivy, אבל הרבה מפספסים את הנקודה. בהתחלה זה נראה כמו עוד בלאגן בגיטהאב, מישהו קיבל גישה, מחק דברים, שינה releases. רעש. ואז, בערך 20 יום אחרי, יוצאת גרסה חדשה (0.69.4). נראית רגילה. עוברת דרך כל הצינורות הרגילים. אבל פה זה…

נראה שהאירוע מחמיר. תוקפים השיגו גישה ל-GitHub של חברת Aqua Security. טוויטר מתפוצץ בשעות האחרונות. כנראה שזה יותר רחב מ-Trivy.

מעניין לאן זה ימשיך.

#האקר_סטנדרטי⚡️

😱6❤1

1.05K views11:28

🇮🇱 האקר סטנדרטי

אנחנו בעיצומו של מחקר של כלל התעשייה סביב TeamPCP.
רמי מחזיק בלוג טיימליין ממש יפה של כלל הממצאים.
כדאי לכם לקרוא אותו ולעקוב אחרי רמי.

למה הפוקוס על רמי? יש סיפור.

אני ורמי מקארת'י עבדנו ביחד אי שם ב-2014 בצוות אדום.
הוא עוד היה חדש וצעיר ובמשך תקופה די ארוכה חפפתי אותו.
מצאנו ממצאים ברמת CVSS 10 אצל חברות ענק כמו TripAdvisor.
שנינו היינו פרילנסרים בצוות האדום הזה - חברה קטנה שנקראת VSR.
היא הייתה שייכת לאדם מדהים בשם ג'ורג'.
עבודת ה-Remote הראשונה שלי.

ג'ורג' היה מנכ"ל מאוד טכני. ידיו בכל. עד היום. דמות להערצה.
הוא הקפיד שניפגש בבוסטון לפחות אחת לשנה ולמדתי ממנו המון על זה.
כשג'ורג' היה מזמין אותנו אליו זה לא היה משהו רגיל!
היינו מתארחים בית הקיץ שלו בעיירה מיין והוא היה מזמין עוד עשרות אנשים חזקים מהתעשייה.
הוא התעקש שאני אגיע עם כל המשפחה, ובביקור האחרון שם אורטל, אופיר וליאור הצטרפו אלי.
אופיר אז, בת 3.5 (היום 14), ישבה איתי לאכול OpenClaw (לובסטר...) בפעם הראשונה עבור שנינו.
חוויה.

באחד הימים שם, נסענו בג'יפ Porsche של ג'ורג', אני אז בן 28 (רמי בטח 21 או משהו).
נדהמים שאנחנו בכלל חווים את החוויה. סוריאליסטי לגמרי.
הלכנו ביחד ברחובות של בוסטון, מקשקשים על שטויות של עבודה ועל העתיד,
אחרי שישבנו באחת המסעדות הכי יקרות בבוסטון.
עוד דיברנו על זה ארוכות בלינקדאין.
תכננו להיפגש ב-BlackHat, אבל המלחמה (2024) ביטלה לנו טיסות ונשארנו בארץ.

מדהים אותי שפתאום רמי עובד ב-Wiz, בצוות המחקר, ואני קורא בלוגים שלו - איזה כיף זה!

בבלוג פרטי לצד העבודה ב-Wiz - ב-About הוא כותב על ההצטרפות שלו ל-Wiz
ועל העבודה שלו ב-NCC Group, החברה שרכשה את הצוות האדום של ג'ורג'.
מצחיק לקרוא על העבר שלנו.
לא שמעו על זה יותר מידי.
היינו צוות קטן של 8 אנשים.
כל אחד יצא עם שלל קטן מהרכישה.
חלק המשיכו ל-NCC Group ואני?
הצטרפתי ל-GReAT של קספרסקי ב-2015, ו-JOES (שאז הייתה עוסק מורשה ולא חברה) נרדמה לה ל3-4 שנים.

חתיכת היסטוריה.

#האקר_סטנדרטי⚡

ramimac.me

Trivy Supply Chain Compromise | TeamPCP Attack Timeline & IOCs

Timeline and IOCs for the March 2026 Trivy supply chain attack. TeamPCP compromised trivy-action and setup-trivy GitHub Actions to steal CI/CD credentials.

👍4

761 views09:54