Cyber. Trends. Research. Product. Nonsense. Co-Founder & CEO @ Stealth.
Joined October 2022
- Tweets6.5K
- Following382
- Followers4.4K
- Likes8.5K
Shall we talk about CVE IDs?
Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers
bleepingcomputer.com/news/se…
bleepingcomputer.com/news/se…
למתעניינים בהיגיון שמועת ה Proofpoint/Varonis מהלילה, שווה לקרוא את הלוגיקה שהובילה ל Proofpoint/Hornet ב$1B לפני שנתיים + כמובן דריסת רגל ענקית בData Security.
עשויים להיות חברה בטופ5 מבחינת ARR בסייבר עם מעל $3B. ניחוחות של הנפקה?
So, vulnpocalypse or not vulnpocalypse?
Bank of America hired 1,000 contractors to patch software flaws exposed by Anthropic's Mythos cnbc.com/2026/10/14/anthropi…
Serious question: what does Common even mean today when exploit generation is possible weeks before the CVE?
Cyburger retweeted
Perfect Part 2 to my medium.com/anton-on-security… :-)
VT just shipped its own Shodan 👀
Internet Scanning in VirusTotal: hunting infrastructure by what it exposes
blog.virustotal.com/2026/10/…
Australia Prime Minister:
"Thanks for joining me. I want to update Australians on an incident in which an artificial intelligence agent has infiltrated an Australian Government website. This incident occurred in June of this year and involved an OpenAI agent gaining unauthorised access into the public-facing Medicare statistics reporting service portal, which is administered by Services Australia. The AI agent accessed both public and non-public files."
אנחנו חיים בטיימליין מטורלל
Today’s news that OpenAI hacked the Australian government is not an isolated incident. We’re releasing more than 30,000 logs that include activity from this hack and attempts against previously unknown targets.
In this data, we found rogue agent activity stretching back to at least March, two months earlier than was previously known. This activity continues as recently as last week, suggesting it may still be ongoing 🧵
Our blog: transluce.org/agent-activity
NYT: nytimes.com/2026/09/23/techn…
סיפור משוגע
האיש שהוזמן לחקור את עצמו
על פי כתב האישום שהוגש היום, בקיץ 2019 מיכאל (מיקי) בר, מנהל אבטחת מידע מאשקלון בשנות ה-30 לחייו, מקים חשבון טלגרם. במקום להגן על הרשתות שהוא מופקד עליהן, הוא בונה דרכו 19 בוטים שכל אחד מהם הוא שלט רחוק לנוזקה: צילום מסך, מצלמה, מיקרופון, סיסמאות, כרטיסי אשראי, כיבוי המחשב. הכל בהודעת טלגרם אחת.
במשך שש שנים בר חודר בשקט למחשבים ניידים של עובדות בחברות שונות במשק. הוא לא מחפש כסף. הוא צופה. עובדת אחת הוא מצלם ישנה במיטתה. אחרת בחדר מלון. אחת בזמן שיחת זום עסקית, אחת במטבח. הוא מתעד התכתבויות עם רופאת משפחה, חיפושים רפואיים, תיבות מייל, וואטסאפ, מסמכי לקוחות, העברות בנקאיות.
ואז החלק הקשה ביותר בכתב האישום. מחשב של עובדת בקבוצת ח', החברה שלו עצמו, משמש בבית גם את שלוש בנותיה הקטינות. במשך יותר משנה הוא מפעיל מרחוק את המצלמה שוב ושוב ומצלם אותן בביתן, ברגעים הפרטיים ביותר, ומאזין לשיחות בבית דרך המיקרופון. בחברה אחרת הוא מצלם את בתה הקטינה של עובדת נוספת. את הכל הוא שומר, עד יום מעצרו. הפרקליטות בחרה להאשים בכל אלה בעבירות פגיעה בפרטיות, לא בעבירות מין. מי שיקרא את כתב האישום יבין לבד למה השאלה הזאת תישאל.
בתחילת 2026 בר עושה קפיצת מדרגה. בעזרת בינה מלאכותית הוא כותב נוזקה חדשה, WINDOWSAUDIT.EXE, עם שליטה דרך דיסקורד, MQTT לבדיקת דופק, וטלגרם כגיבוי. היא ממפה רשתות ארגוניות, נעה רוחבית, מכבה מוצרי הגנה, מחפשת ארנקי קריפטו ושורדת אתחול. בין פברואר לאוגוסט הוא מחדיר אותה ל-22 חברות ושולח 2,384 פקודות.
ב-27 באפריל 2026 חברה אחת מרגישה שמשהו לא בסדר ומרימה טלפון ל-Profero. צוות ה-IR של Profero נכנס לרשת, ותוך ימים התמונה מתבהרת: זו לא נוזקה שנתפסה במקרה אצל לקוח אחד. יש תשתית שליטה, יש שרתים, יש חתימות שחוזרות על עצמן, ויש עוד עשרות קורבנות שעדיין לא יודעים. הממצאים של Profero הם מה שהופך את האירוע מ"תקלה אצל לקוח" ל"פגיעה נרחבת במשק הישראלי", בלשון כתב האישום, והם מה שמניע את כל שרשרת החקירה שהובילה למעצר. Profero מעבירה את הממצאים למערך הסייבר הלאומי.
וכאן הסיפור מתהפך. המס"ל מזהה שקבוצת ח' בין הנפגעות, ועושה את הדבר הפרוצדורלי: ב-30 באפריל מתקשרים ל-CISO של ח', מעדכנים אותו שיש נוזקה, ושולחים לו כלי לאיתור. ואז מתקשרים שוב. ועוד פעם. שלוש פניות, שכולן נועדו לעזור לו למצוא את הנוזקה ברשת שלו. אף אחד לא שאל את השאלה הבסיסית ביותר בכל חקירת insider: מי בארגון הזה יכול היה לעשות את זה. הגוף שאמור להגן על המשק שלח למיקי בר, ביד, את הכלי שמזהה את הנוזקה שלו, ובכך הודיע לו במדויק מה כבר ידוע ומה עדיין לא.
בר לא נבהל. הוא לומד. ביולי הוא כותב, שוב עם AI, נוזקה מתוחכמת יותר בשם WESERCH, שמתוכננת לחמוק בדיוק מהכלי שקיבל, ומחדיר אותה לשבע חברות נוספות. עוד 1,290 פקודות. עוד שלושה חודשים וחצי של תקיפה פעילה, מיום ההתראה ועד ליום שבו הדלת נפתחת, 18 באוגוסט 2026.
היום, 10.9.2026, מחלקת הסייבר בפרקליטות מגישה נגד מיכאל בר 11 אישומים: 26 חברות ושני קיבוצים, 44 עבירות החדרת נגיף, 155 עבירות פגיעה בפרטיות, גניבה, נזק של כ-1.5 מיליון ₪, ובקשה לחלט את כל המחשבים שלו. חזקת החפות עומדת לו. אבל אם הסיפור נכון, הלקח לא נוגע רק אליו: הגילוי הגיע מלקוח שסמך על האינסטינקט שלו ומצוות IR פרטי שידע לחבר את הנקודות. הגוף שאמור להגן על המשק, כשקיבל את הממצאים ביד, הצליח בעיקר להזהיר את הפושע.
ובכל זאת, הסיפור נגמר בתפיסה ולא בבריחה, וזה לא קרה מעצמו. משטרת ישראל ומחלקת הסייבר בפרקליטות המדינה לקחו ממצאים של חברה פרטית, הפכו אותם לחקירה, סגרו על תוקף ששיחק במערכת במשך שבע שנים והביאו אותו לבית המשפט עם כתב אישום מפורט עד רמת הפקודה הבודדת. במדינה שבה סייבר הוא כמעט מילה נרדפת לתקיפה מבחוץ, הם הראו שגם האויב מבפנים נתפס בסוף. על זה מגיעה להם תודה, מאיתנו ומעשרות החברות שרק עכשיו מבינות מי ישב להן במחשבים.
ומילה אישית.
תודה לכל עובדי ועובדות Profero על העבודה הקשה, ימים ולילות, ולשותפינו הרבים שהיו איתנו בדרך. מעטים כל כך המקרים שמותר לנו לספר עליהם, ולכן אני מנצל את ההזדמנות להודות לא רק למי שהיה שותף לפרשה הזאת, אלא לכל מי שלקח חלק בפעולות הרבות שלנו מיום הקמת החברה ועד היום. הרוב המוחלט מהן לעולם לא יגיע לפוסט.
אם אתם רוצים להתעדכן מדי פעם במעט שכן מותר לפרסם, מוזמנים לעקוב אחרינו ב-X, ובמיוחד אחרי "The Profero X Files".
Cyburger retweeted
🚨 SANDBOX ESCAPE ALERT 🚨
ANTHROPIC: PWNED 🫡
CLAUDE CODE: LIBERATED 🦋
@Accomplish_ai researchers uncovered an massive RCE/ACE vulnerability that we are publishing today, where an untrusted git repo opened in Claude Code can escape the macOS sandbox and execute commands on your computer as your privileged user, also bypassing the permission prompt >>
