Profero

מתכון פשוט לעוגת קינטיקה וסייבר כבר זמין לכל אחד. עד לא מזמן, לגרום נזק פיזי דרך המקלדת היה ״שיעול שיעול״ יכולת של ארגוני ביון. סטוקסנט, צנטריפוגות, תקציבים של מדינה ושנים של עבודה. היום זה מקרר בסופר. ובשבוע האחרון גם המקפיאים של מאגר הדם הלאומי של צרפת. בואו נעשה סדר, כי זה לא אירוע אחד. זו שרשרת. מאי: מפעל מזון גדול בישראל, אירוע שאנחנו ב־Profero חקרנו. המדפסות במשרד התחילו לירוק מכתבי איום, על המחשבים נמצאה נוזקת מחיקה, ואז מהנדס הריח עשן מהמקפיאים. התוקפים נכנסו לבקרים, שינו את גבולות הבטיחות, פתחו שסתומי לחץ, החליפו סיסמאות, כיבו התראות ומחקו ראיות. המדחסים נשרפו. יותר משבוע השבתה, וחלקים שהוזמנו מחו״ל. לפי הראיות הפורנזיות ולפי לקיחת האחריות של התוקפים עצמם, מאחורי זה Cyber Isnaad Front, קבוצה שפועלת בשביל משמרות המהפכה. אוגוסט: הפנטגון דיווח על ״תקלת קירור אפשרית״ בסופרים של בסיסי צבא בארה״ב. מקפיאים שעברו לבד למצב הפשרה באמצע הלילה, בלי הפסקת חשמל. אוקטובר: מאות סופרים בצרפת. Intermarché, Coopérative U, Carrefour. תחילת נובמבר: עוד שש מדינות באירופה, אפילו תקפו את IKEA החולרות. ובלילה שבין 1 ל־2 בנובמבר: ספק הקירור של שירות הדם הצרפתי. מישהו שינה מרחוק את הטמפרטורה במקפיאי הפלזמה ממינוס 30 ל־110 מעלות. טכנאי תורן תפס את זה בזמן. לאירופה ולארה״ב עדיין אין ייחוס רשמי, וחשוב להגיד את זה. אבל הדפוס ברור: נבנה ותורגל נגדנו, נבדק באירופה ובארה״ב, ועכשיו משוחרר. ישראל שוב משמשת מעבדת ניסויים. ועכשיו החלק שבאמת מטריד אותי. באירוע שחקרנו ראינו את התוקפים עוברים, כמעט כמו קסם, משלב של ״משחקים עם המערכת״ להבנה מלאה של הקונפיגורציה. הם הפציצו את הבקר בשילובים של הגדרות, בקצב שבן אדם לא מסוגל להגיע אליו, עד שהמדחס נשרף. זה לא היה אנושי. תחברו את זה למה שכתבתי לפני כמה ימים על סוכני AI תוקפים שרצים לבד באינטרנט. סוכן שסורק, מוצא בקר חשוף, קורא את המדריך של היצרן, מנסה הגדרות עד שמשהו פיזי נשבר, ועובר ליעד הבא. בלי מומחה לבקרים תעשייתיים ובלי שנות מחקר. לזה אני קורא ברשות נחלת הכלל (קומודוטי). וזה לא רק מקררים. אותה משפחה של בקרים מנהלת משאבות מים, מיזוג ואוורור, מערכות ניהול מבנים וקירור של תרופות ודגימות מעבדה. ולא מעט מהם חשופים לאינטרנט. למה זו בעיה קשה? כי חלק מהבקרים האלה הם מאמצע שנות ה־2000, ואי אפשר בכלל לעדכן אותם. כי ספק תחזוקה אחד מחזיק גישה מרחוק למאות אתרים. כי בקמעונאות המרווחים נמוכים ואין תקציב לסייבר. וכי כמעט אף אחד בארגון לא רואה במקרר נכס סייבר: הוא שייך לאחזקה, לא ל־IT ולא לאבטחה. אז מה עושים בפועל: 1. תחפשו את עצמכם. תריצו Shodan או Censys על כתובות ה־IP של הארגון. כל ממשק של בקר, BMS או HMI שמופיע שם, מישהו אחר כבר ראה. 2. תורידו מהאינטרנט כל ממשק ניהול. גישה מרחוק רק דרך VPN (אל תהרגו אותי אבל מתי שהוא גם אכתוב למה VPN זה חרא) עם אימות דו־שלבי, בלי לפתוח פורטים. 3. תמפו את ספקי התחזוקה: מי מחזיק גישה מרחוק ולאן. חשבון אישי לכל טכנאי, אימות דו־שלבי, וניתוק כשלא עובדים. 4. תחליפו כל סיסמת ברירת מחדל, בכל בקר. 5. תעדכנו קושחה. מה שכבר אי אפשר לעדכן, תבודדו או תחליפו. 6. תתקינו התראה עצמאית: חיישן טמפרטורה או לחץ נפרד שמתריע ישירות לטלפון או מי שיכול להרשות לעצמו לחדר המצב, לא דרך הבקר. ובנוסף התראה על כל שינוי של setpoint, מצב עבודה או הפשרה. אצלנו התוקפים כיבו את ההתראות של הבקר עצמו. 7. תוסיפו מגבלות בטיחות בחומרה: מפסק לחץ או טרמוסטט מכני שהתוכנה לא יכולה לעקוף. זה מה שמונע ממדחס להישרף. 8. תשמרו גיבוי אופליין של תצורת הבקרים, כדי לחזור לפעולה בשעות ולא בשבועות. 9. תפרידו את רשת הבקרים מהרשת הארגונית ותנטרו מי מדבר איתם. אצלנו אותו תוקף מחק מחשבים ושרף מדחסים באותו לילה. 10. תעשו תרגיל אחד פשוט: ארבע לפנות בוקר, המקפיא הופך לתנור. מי מקבל את הטלפון, מי מנתק את הגישה ומי מחליט. מה שפעם היה כלי של מדינות רץ היום על סוכן AI ובקר בן 20 שאף אחד לא זוכר שהוא מחובר לאינטרנט. השאלה היחידה היא אם תדעו כשזה קורה אצלכם.

If you look at how many vulnerabilities are found in well audited open sources, just imagine how many vulnerabilities are out there in enterprises closed sources.

yo @gitlab even on 19.5.1 you still pop an alert (:

nitter.cf/GelosSnake/status/2112… Attackers breached 1200+ websites before that without a single token and surpassingly faster and more efficient. AI is great and produce amazing results in both offense and defense, but extremely miscalculated due to the AI labs attempt to over sale it.

שלום, קוראים לי עמרי והיום הכנתי מצגת בעברית. זה הדבר הכי קשה טכנית שעשית מאז שיצא opus 4.5. אני לא יודע בכלל מה זה לפתוח powerpoint כבר ולמה אני צריך להקליד שם אותיות. אחרי מלחמה שרה הפסדתי אבל אמרתי שזה מספיק טוב ונזכרתי כמה זמן היינו מבזבזים על מצגות.

הפרק הראשון בסדרת The @ProferoSec Breach Files עכשיו לאחר הבקשות הרבות גם בתרגום לעברית. חתימה טובה לכולם!

האיש שהוזמן לחקור את עצמו על פי כתב האישום שהוגש היום, בקיץ 2019 מיכאל (מיקי) בר, מנהל אבטחת מידע מאשקלון בשנות ה-30 לחייו, מקים חשבון טלגרם. במקום להגן על הרשתות שהוא מופקד עליהן, הוא בונה דרכו 19 בוטים שכל אחד מהם הוא שלט רחוק לנוזקה: צילום מסך, מצלמה, מיקרופון, סיסמאות, כרטיסי אשראי, כיבוי המחשב. הכל בהודעת טלגרם אחת. במשך שש שנים בר חודר בשקט למחשבים ניידים של עובדות בחברות שונות במשק. הוא לא מחפש כסף. הוא צופה. עובדת אחת הוא מצלם ישנה במיטתה. אחרת בחדר מלון. אחת בזמן שיחת זום עסקית, אחת במטבח. הוא מתעד התכתבויות עם רופאת משפחה, חיפושים רפואיים, תיבות מייל, וואטסאפ, מסמכי לקוחות, העברות בנקאיות. ואז החלק הקשה ביותר בכתב האישום. מחשב של עובדת בקבוצת ח', החברה שלו עצמו, משמש בבית גם את שלוש בנותיה הקטינות. במשך יותר משנה הוא מפעיל מרחוק את המצלמה שוב ושוב ומצלם אותן בביתן, ברגעים הפרטיים ביותר, ומאזין לשיחות בבית דרך המיקרופון. בחברה אחרת הוא מצלם את בתה הקטינה של עובדת נוספת. את הכל הוא שומר, עד יום מעצרו. הפרקליטות בחרה להאשים בכל אלה בעבירות פגיעה בפרטיות, לא בעבירות מין. מי שיקרא את כתב האישום יבין לבד למה השאלה הזאת תישאל. בתחילת 2026 בר עושה קפיצת מדרגה. בעזרת בינה מלאכותית הוא כותב נוזקה חדשה, WINDOWSAUDIT.EXE, עם שליטה דרך דיסקורד, MQTT לבדיקת דופק, וטלגרם כגיבוי. היא ממפה רשתות ארגוניות, נעה רוחבית, מכבה מוצרי הגנה, מחפשת ארנקי קריפטו ושורדת אתחול. בין פברואר לאוגוסט הוא מחדיר אותה ל-22 חברות ושולח 2,384 פקודות. ב-27 באפריל 2026 חברה אחת מרגישה שמשהו לא בסדר ומרימה טלפון ל-Profero. צוות ה-IR של Profero נכנס לרשת, ותוך ימים התמונה מתבהרת: זו לא נוזקה שנתפסה במקרה אצל לקוח אחד. יש תשתית שליטה, יש שרתים, יש חתימות שחוזרות על עצמן, ויש עוד עשרות קורבנות שעדיין לא יודעים. הממצאים של Profero הם מה שהופך את האירוע מ"תקלה אצל לקוח" ל"פגיעה נרחבת במשק הישראלי", בלשון כתב האישום, והם מה שמניע את כל שרשרת החקירה שהובילה למעצר. Profero מעבירה את הממצאים למערך הסייבר הלאומי. וכאן הסיפור מתהפך. המס"ל מזהה שקבוצת ח' בין הנפגעות, ועושה את הדבר הפרוצדורלי: ב-30 באפריל מתקשרים ל-CISO של ח', מעדכנים אותו שיש נוזקה, ושולחים לו כלי לאיתור. ואז מתקשרים שוב. ועוד פעם. שלוש פניות, שכולן נועדו לעזור לו למצוא את הנוזקה ברשת שלו. אף אחד לא שאל את השאלה הבסיסית ביותר בכל חקירת insider: מי בארגון הזה יכול היה לעשות את זה. הגוף שאמור להגן על המשק שלח למיקי בר, ביד, את הכלי שמזהה את הנוזקה שלו, ובכך הודיע לו במדויק מה כבר ידוע ומה עדיין לא. בר לא נבהל. הוא לומד. ביולי הוא כותב, שוב עם AI, נוזקה מתוחכמת יותר בשם WESERCH, שמתוכננת לחמוק בדיוק מהכלי שקיבל, ומחדיר אותה לשבע חברות נוספות. עוד 1,290 פקודות. עוד שלושה חודשים וחצי של תקיפה פעילה, מיום ההתראה ועד ליום שבו הדלת נפתחת, 18 באוגוסט 2026. היום, 10.9.2026, מחלקת הסייבר בפרקליטות מגישה נגד מיכאל בר 11 אישומים: 26 חברות ושני קיבוצים, 44 עבירות החדרת נגיף, 155 עבירות פגיעה בפרטיות, גניבה, נזק של כ-1.5 מיליון ₪, ובקשה לחלט את כל המחשבים שלו. חזקת החפות עומדת לו. אבל אם הסיפור נכון, הלקח לא נוגע רק אליו: הגילוי הגיע מלקוח שסמך על האינסטינקט שלו ומצוות IR פרטי שידע לחבר את הנקודות. הגוף שאמור להגן על המשק, כשקיבל את הממצאים ביד, הצליח בעיקר להזהיר את הפושע. ובכל זאת, הסיפור נגמר בתפיסה ולא בבריחה, וזה לא קרה מעצמו. משטרת ישראל ומחלקת הסייבר בפרקליטות המדינה לקחו ממצאים של חברה פרטית, הפכו אותם לחקירה, סגרו על תוקף ששיחק במערכת במשך שבע שנים והביאו אותו לבית המשפט עם כתב אישום מפורט עד רמת הפקודה הבודדת. במדינה שבה סייבר הוא כמעט מילה נרדפת לתקיפה מבחוץ, הם הראו שגם האויב מבפנים נתפס בסוף. על זה מגיעה להם תודה, מאיתנו ומעשרות החברות שרק עכשיו מבינות מי ישב להן במחשבים. ומילה אישית. תודה לכל עובדי ועובדות Profero על העבודה הקשה, ימים ולילות, ולשותפינו הרבים שהיו איתנו בדרך. מעטים כל כך המקרים שמותר לנו לספר עליהם, ולכן אני מנצל את ההזדמנות להודות לא רק למי שהיה שותף לפרשה הזאת, אלא לכל מי שלקח חלק בפעולות הרבות שלנו מיום הקמת החברה ועד היום. הרוב המוחלט מהן לעולם לא יגיע לפוסט. אם אתם רוצים להתעדכן מדי פעם במעט שכן מותר לפרסם, מוזמנים לעקוב אחרינו ב-X, ובמיוחד אחרי "The Profero X Files".

It is highly evident by now that the vast majority of low level (script kiddies) attackers have moved up the ladder and are now sitting between the medium-high range of cyber capabilities due to ease of utilization of frontier models. However we have yet to see the top bar of threat actors making their leap forward. Personally and company strategic direction wise,I do prepare for this change between 3 to 6 months. In preparation of enterprises and critical networks perspective, this means the next "AI conficker" is just around the corner. Be advised.

Our team just published research on a malware campaign that hit 25+ organizations, several in Israel. The attacker built it so badly that anyone who opened a sample got kill-switch access to the entire botnet. The malware: WindowsAudit. Runs as LocalSystem on compromised hosts. Discord as C2. The mistake: Discord bot token hardcoded in plaintext inside the binary. No XOR, no encryption, no obfuscation. Same token in every sample on every infected machine. What we did with it: • Authenticated to Discord with the token and pulled the full activity history •Extracted everything the attacker stole from victims: AD dumps, network maps, screenshots, file listings, usernames •Identified 25 distinct victims from the data •Tracked the attacker’s working hours and timezone in real time •Every time a new build got pushed, automation grabbed it, reversed it, and pulled fresh IOCs The architecture is worse: •Every infected host runs the same binary •That binary receives commands from the attacker AND can issue commands to other infected hosts •No command signing, no authentication. If you hold the token, you operate the botnet. •A single command could uninstall the malware from every victim. Accidental kill switch. We didn’t fire it. Any command we sent would surface in the attacker’s Discord and burn the monitoring op. Full IOCs in the writeup. Worth a look if you’re defending an Israeli environment. profero.io/blog/windowsaudit…

Infostealer - A Threat on the Rise: Last year, an employee of the Israeli National Cyber Directorate learned a harsh lesson. His private workstation was mysteriously infected, and his details leaked to the internet, including screenshots of his desktop and other details. The researcher was hit by "Stealer malware" (aka Infostealer) called Redline. This is THE most trending kind of malware currently – even more prevalent than ransomware – so allow me to elaborate: Stealer malware is designed to steal information from a PC. The attack vectors are numerous – including phishing, software bundles, browser plugins, and more. Once the victim downloads the rogue software, the virus steals all sorts of data: browser cookies, passwords, crypto wallets, files, and more. As the software doesn't need to encrypt files, the attack fingerprint is minimal, and the malware is hard to detect. According to Specops, hundreds of millions of passwords have already leaked online, and it is estimated that millions of devices are infected worldwide. The journey of the stolen files is fascinating. First-hand – the OGs – they skim the cream after evaluating the data and gain access to large wallets, lucrative bank accounts, etc. They then sell the dump with all the data on the dark web or Telegram. The buyers are usually cybercriminals who use this bulk of stolen usernames and passwords to gain access to organizations' networks (this practice is called Credential Stuffing). This is how Uber was breached. We're not done yet because eventually, the data typically leaks onto the web, where strategic players lurk for diamonds. This is presumably how the details of the Israeli gov employee got out. The data changes hands and is exploited multiple times; you've got to admire the scavenging. Two weeks ago, law enforcement agencies from 6 countries managed to take down the infrastructure of Redline – the most notorious stealer malware gang. This is great news, but you know, there is no checkmate in cyber defense. The game is on. So, what can individuals and organizations do to avoid stealer malware? • It is wise to protect employees' personal assets as well – as they are the weakest link in the network. However, privacy issues must be considered. • Strict access management is critical, under Zero-Trust assumptions. No BOYD should be allowed in. • Two-factor authentication across all sensitive assets is always wise, also as protection for this kind of attack. ·     Make sure SSO is implemented in every SaaS and on-prem. ·     Avoid dual users accounts in any cost, leave no generic users such as “support” or similar used by multiple people and teams. ·     Make sure to implemented credential breach monitoring. If you have any thoughts or battle-earned experience with this kind of threat – you're invited to comment and share your knowledge for the benefit of all parties. Be Breach Ready!