אתמול בלילה קיבלתי קריאה מחבר טוב. פיתוי שהגיע מהרשת הביא אותו ליצור קשר עם מישהי *אמיתית* מעבר לכמה אפליקציות ושיחות. נכון, הן היו באנגלית והיו תמרורים, אבל בואו... מי אומר לא לשיחה עם מישהי שנראת טוב ורוצה לדבר... רק לדבר בינתיים. זה התגלגל מהר מאוד לתוכן אינטימי שאותו חבר שיתף וההונאה החלה לצאת לדרך. בשלב כלשהו התוקפים ״הזיזו״ הצידה את הפיתיון ושלחו הודעות כופר לאותו חבר תוך שהם מעלים את הסרטון שלו לרשת ומאיימים להפיץ אותו. בקשתי ממנו שישלח לי את כל החומרים ויכבה את הטלפון (כך הוא ימנע משיתוף פעולה או החלפת מידע עם התוקף). קראתי את התנאים של האתר והתוכן שהם העלו פוגע בזכויות האתר. מיד יצרתי קשר בלינקדאין עם מישהו בכיר בחברה ודיווחתי במקביל על הסרטון כ-violation באמצעות בוט ממספר מקומות בעולם. לא עברו 10דק והסרטון היה למטה. חשוב מאוד להיות דרוכים בעולם הזה. היד קלה על המקלדת. היזהרו!

[⚠️ - עידכון: אם נראה לכם שככה עזבתי את זה והמשכתי הלאה, אז לא 📛 יש כבר כיוון חזק]

כמה התגעגעתי לדבר עם אנשים. היום הייתי במתקן אירוח של משרד רוה״מ עם יחידת אבטחת המידע שלהם. דיברנו בעיקר על זווית ראייה מהצד של התוקף אבל גם על קבוצות ממומנות מדינה, מוטיבציה של תוקפים (פיננסי, תעמולה, ריגול) ואיך לזהות תהליכי תקיפה. דיברנו כל צוותים אדומים/כחולים ומה שביניהם. 🤘🏻

בוקר טוב 🌞. מערכת הבאג באונטי (דיווח חולשות תמורת תשלום) של פייסבוק קיבלה מתיחת פנים רצינית ועכשיו מציעה אלגוריתם שיודע לזהות את תהליך ההתקדמות לכם, לאו דווקא על בסיס הצלחה אלא גם על בסיס השקעה. פייסבוק מציעה תגים חדשים עבור כל רמה שתעברו וזו גם תקנה לכם זכות ראשונים לעשות מבדקים על פיצ׳רים שעדיין לא ראו אור יום. מזכיר לי שב-2012 חברת uTest עשתה את אותו הדבר. תוך מספר חודשים, עבדכם הנאמן וחוג מצומצם של פנטסטרים היו מקבלים מיילים אישיים עם הזמנה להצטרף לפרויקט חדש מהניילונים כשהאתר עדיין שייך לענקיות אבל חיכה כדי שאנחנו נהיה הראשונים למצוא חולשות. רעיון נחמד.

https://www.facebook.com/506669206013977/posts/3964073313606865/?d=n

עד כה מצאתי 227 ארגונים בארץ שחשופים לCVEs של HAFNIUM. קשה מאוד לבדוק האם נוצלו... אני מניח שזה יכול לקרות רק אם פתאום נתקל בWebshell.
מישהו עשה מחקר בנושא ורוצה לשתף?

https://www.facebook.com/100000234111835/posts/5475460629138353/?d=n
כתבתי פה קצת על הטיימליין של HAFNIUM לאלו שמעוניינים. בקרוב אשב גם על אנליזה של הפרטים הטכניים לפי ה PoC מGitHub. אם מישהו מעוניין להצטרף, פינג מי.

מכירים את Lab Dokhtegan?
קבוצה אנונימית של פעילים אנטי-איראניים (כן יש כזו) המפרסמים הדלפות מתוך קבוצות תקיפה איראניות. האמת, רק לאחרונה הם פרסמו מידע שהתחבר למחקר שלי ושל אלכסיי פירש (Alexey Firsh) מ-2017 שנקרא ViceLeaker. מוזמנים לחפש ולקרוא. הבוקר הם פרסמו קבצי aspx ו-cs שכמובן מגיעים משרת IIS של מייקרוסופט המשמש ככל הנראה כשרת שליטה ובקרה של קבוצת תוקפים מסוימת מהמפרץ. הסתכלתי על הקוד ולקחתי מספר דגימות, למרות שזו לא הכוס תה של Security Joes. ניתן לראות שם חיבור API שמטרתו לקבל פקודות מאפליקציות (APK) שהושתלו במכשירי אנדואיד של קורבנות. לא ידוע כרגע מי הקורבנות (אם בכלל יש) ומהי מטרת התקיפה. מה שכן, הפונקציות נותנות גישת מנהל למערכת הקבצים, ולהעתקת מידע ושליחה שלו על גבי האינטרנט בצורה די פשוטה לשרת התקיפה. מוסיף תמונה בתגובות.

או אוו... מערך הסייבר האירופאי פרסם חולשות קריטיות בשרתי מייקרוסופט בהם שירות ה-DNS פתוח לעולם:

https://twitter.com/cyb3rops/status/1369983466331385856?s=21

DDoS של ספרים 🙌🏻🙌🏻🙌🏻 תהנו מהקריאה חברים

מטיילים במדבר. איפה אתם? שלחו תמונה.

אי פעם נקעתם אצבע מקריאת ספר?
בני לוי נקע... לא נגענו (:

https://www.facebook.com/583289278/posts/10158749261139279/?d=n

מאחל לכולכם חג שמח וכשר. ולעצמי... חג רגוע, בלי טלפונים על כופר שמשתולל, בלי אנשים שצילמו אותם בעירום, בלי חברות שמצאו התחזות למנכל וגנבו מהם מאות אלפים, בלי מוסדות שמעוניינים בהרצאות, בלי כתבים שרוצים רק ציטוט, בלי ריגול תעשייתי של לזרוס, בלי פגיעות בתשתיות קריטיות וטלפונים מהמערך, בלי דפי פישינג או הודעות סמישינג, בלי ילדים וילדות שפרצו להם לאינסטגרם ורק אני ״יכול להציל להם את החיים״, בלי איראניים שמעוניינים שאני אעזור להם להגר לישראל ובעיקר בלי חמץ.
❤️

אני פשוט אשים את זה פה... #LinkedIn

קיבלתי בקשה לכתוב קצת על ההבדלים בין הנושאים הבאים:
(1) פורנזיקה
(2) רוורסינג
(3) פנטסט
(4) אנליזה של וירוסים

ככה, מדובר בנושאים מאוד גדולים וגם די חופפים... הכל שאלה של איך אתה מציג את הדברים מול עצמך/לקוחות/שותפים.

בואו נתחיל...
*פורנזיקה*
פרקטיקה שמתעסקת בחילוץ מידע היסטורי מתוך מערכת מחשב מסוימת. זה יכול להיות הכל ממחשב לשרת לטלפון למה שתרצו. האמת שהמונח לא מגיע מתחום הסייבר אלא יותר מעולם השיטור והאכיפה. חילוץ המידע בעולם הזה מגיע כמובן מזירת הפשע. אותו כנ״ל גם בסייבר - המטרה היא לחקור את זירת הפשע ומשם להגיע למשהו שנקרא ״מטופל 0״ (מושג שמגיע מעולם הרפואה). ה-Patient Zero הוא בעצם מקור התקיפה או הקורבן הראשון. משם קל יותר למפות את ההתקפה. המטרה למצוא האם נוצל מחשב או בנאדם וכיצד תוקפים התקדמו ברשת מאותו קורבן ראשון.

*רוורסינג*
הפרקטיקה של רוורס אנג׳ינירינג (הינדוס לאחור) גם היא לא שייכת במקור לעולם הסייבר. היא מגיעה מעולם התוכנה והחומרה והסיפור שלה מתחיל בתוכנות שעברו תהליך אריזה ולאחר מכן מפתחים ביקשו לעשות שינויים מינוריים כדי לעקוף תקלות מסוימות. האמת שהינדוס אחורה בתוכנה בעצם מדבר על מספר שלבים:
(א) כתיבת קוד
(ב) אריזת הקוד בעזרת תוכנת פיתוח (מהדר)
(ג) קבלת קובץ הרצה עם הקוד בתוכו
הינדוס לאחור בעצם אומר שיש ללכת מהסוף להתחלה - ג-ב-א, כדי שתוכלו להגיע קוד המקור. המצב הזה קורה כאשר יש לכם רק את ג׳ ולכן אין לכם דרך לגשת ל-א׳.
מקווה שהסברתי נכון.
בעולם הוירוסים החוק הזה תמיד קיים - חוקרי וירוסים ב-99.9% מהמקרים יפגשו רק את ג׳... קובץ ההרצה של הוירוס. המטרה של ״ארגזי חול״ במקרה הזה הוא ״לפוצץ״ את הוירוס בכל מיני דרכים על מנת לקבל את דרך הפעולה וקוד המקור. למשל חברת אינטזר עושה את זה בצורה מאוד יפה. Intezer.

*פנטסט*
עולם מבדקי החדירה הוא עולם ענק. החל מתרגילי ״תפוס את הדגל״ (CTF) לדיווח על חולשות (Bug Bounty) וכלה בצוות אדום לתקיפה וצוות כחול להגנה (כן, גם סגול). הפרקטיקה של מבדקי החדירה היא בעצם תרגילי ״דימוי אויב״. המטרה של הבודק היא לתקוף את היעד (אתר, אפליקציה, טלפון, תחנת דלק 😜) ולהוכיח כי אם היה האקר היה יכול לייצר נזק כזה וכזה. המטרה היא בסופו של דבר לחזק את המערכת כנגד תקיפות עתידיות ולעיתים אפילו חשיפה של תקיפות שהיו בעבר. לאחר מבדק שכזה יתבצע פינג-פונג בין צוותי פיתוח האתר/תוכנה/... לבין הצוות של הבדיקה והממצאים יתוקנו.

*אנליזה של וירוסים*
מת על זה. חקירת וירוסים היא מה פרקטיקות הכי מעניינות היום. תפקידו של אנליסט נקרא ״מודיעין איומים״ (Threat Intelligence) ומטרתו היא לאסוף מידע על תוקפים וקבוצות האקרים, בהינתן חשד לתקיפה או אפילו תקיפה שזוהתה בלייב.
למשל, מסמך פישינג שנראה שהוכוון לעובדי בנק הפועלים מוצא את דרכו לאינטרנט אחרי שחוקר העלה את הקובץ לאתר ״ארגז חול״ כמו וירוס טוטאל, למשל. דף הפישינג אוסף סיסמאות ושולח אותן לשרת של התוקף. האנליסט מטעם הבנק ילמד את שיטת התקיפה ויעביר את המידע לצוות הכחול באירגון (שאחראים על תחזוקת הגנות) ואלו יעדכנו את תהליכי ההגנה ואף יעוררו את תשומת ליבם של העובדים.
אנליזה של וירוסים היא פרקטיקה מאוד מאוד קשוחה. וירוס יכול להכיל המון דברים, אך בחלוף השנים נמצאו המון פתרונות המזהים חתיכות קוד בתוך הוירוס עצמו וכך מקלות על האנליסט. בנוסף, הרבה מאוד תוקפים מתעצלים להכין וירוס מ0 והם מעתיקים קוד מוירוסים ישנים או קונים את החבילה מצד שלישי שמוכר וירוסים. ככה או ככה, חלקים מתוך הוירוס מזוהים וזה עניין של דקות ספורות עד שאנליסט יצליח לבסוף לגלות מה מרכיב את הוירוס. השאלה הגדולה היא מי התוקף, ומה המטרה שלו. בעולם הזה לתוקף יש מספר שלבים לתקיפה. העובדה שראית מחבל בעין לא אומר שאם תירה בו תסתיים התקרית. יכול להיות שהוא בכלל ידיד שהאויב חיפש למחבל או שהוא שלח אחד לקצה הזה וקבוצה לקצה השני ובזמן שאתה עסוק בניתוח אירוע, התוקף האמיתי מגיע בדלת האחורית.

אם יש לכם עוד דברים להוסיף אני אשמח. נראה לי שזה די מסביר את עצמו.

אחלה יום שיהיה ❤️

כתבה על אמא של האקר סטנדרטי במאקו 🤩

https://www.facebook.com/100000234111835/posts/5546922828658799/?d=n

למה שהחג הזה יעבור בכיף...
יושב לו איזה מאדאפאקר, לוחץ על כפתור,
מריץ בוט עם קוד אוטומטי שמנצל ProxyLogon והנה אנחנו פה בבית משוגעים...
אז קחו קצת אווירת סופש של משוגעים:

https://music.apple.com/il/album/%D7%91%D7%99%D7%AA-%D7%9E%D7%A9%D7%95%D7%92%D7%A2%D7%99%D7%9D/1554870143?i=1554870147

חג שמח לכולם 🙏🏻
שמח לבשר שאני אתחיל להרצות באוניברסיטת בר אילן החל מחודש מאי בקורס ייעודי לאנשי מכירות בתחום הסייבר

https://www.facebook.com/100000234111835/posts/5555798574437891/?d=n