If you look at how many vulnerabilities are found in well audited open sources, just imagine how many vulnerabilities are out there in enterprises closed sources.

yo @gitlab even on 19.5.1 you still pop an alert (:

xitter.cf/GelosSnake/status/2112… Attackers breached 1200+ websites before that without a single token and surpassingly faster and more efficient. AI is great and produce amazing results in both offense and defense, but extremely miscalculated due to the AI labs attempt to over sale it.

שלום, קוראים לי עמרי והיום הכנתי מצגת בעברית. זה הדבר הכי קשה טכנית שעשית מאז שיצא opus 4.5. אני לא יודע בכלל מה זה לפתוח powerpoint כבר ולמה אני צריך להקליד שם אותיות. אחרי מלחמה שרה הפסדתי אבל אמרתי שזה מספיק טוב ונזכרתי כמה זמן היינו מבזבזים על מצגות.

הפרק הראשון בסדרת The @ProferoSec Breach Files עכשיו לאחר הבקשות הרבות גם בתרגום לעברית. חתימה טובה לכולם!

האיש שהוזמן לחקור את עצמו על פי כתב האישום שהוגש היום, בקיץ 2019 מיכאל (מיקי) בר, מנהל אבטחת מידע מאשקלון בשנות ה-30 לחייו, מקים חשבון טלגרם. במקום להגן על הרשתות שהוא מופקד עליהן, הוא בונה דרכו 19 בוטים שכל אחד מהם הוא שלט רחוק לנוזקה: צילום מסך, מצלמה, מיקרופון, סיסמאות, כרטיסי אשראי, כיבוי המחשב. הכל בהודעת טלגרם אחת. במשך שש שנים בר חודר בשקט למחשבים ניידים של עובדות בחברות שונות במשק. הוא לא מחפש כסף. הוא צופה. עובדת אחת הוא מצלם ישנה במיטתה. אחרת בחדר מלון. אחת בזמן שיחת זום עסקית, אחת במטבח. הוא מתעד התכתבויות עם רופאת משפחה, חיפושים רפואיים, תיבות מייל, וואטסאפ, מסמכי לקוחות, העברות בנקאיות. ואז החלק הקשה ביותר בכתב האישום. מחשב של עובדת בקבוצת ח', החברה שלו עצמו, משמש בבית גם את שלוש בנותיה הקטינות. במשך יותר משנה הוא מפעיל מרחוק את המצלמה שוב ושוב ומצלם אותן בביתן, ברגעים הפרטיים ביותר, ומאזין לשיחות בבית דרך המיקרופון. בחברה אחרת הוא מצלם את בתה הקטינה של עובדת נוספת. את הכל הוא שומר, עד יום מעצרו. הפרקליטות בחרה להאשים בכל אלה בעבירות פגיעה בפרטיות, לא בעבירות מין. מי שיקרא את כתב האישום יבין לבד למה השאלה הזאת תישאל. בתחילת 2026 בר עושה קפיצת מדרגה. בעזרת בינה מלאכותית הוא כותב נוזקה חדשה, WINDOWSAUDIT.EXE, עם שליטה דרך דיסקורד, MQTT לבדיקת דופק, וטלגרם כגיבוי. היא ממפה רשתות ארגוניות, נעה רוחבית, מכבה מוצרי הגנה, מחפשת ארנקי קריפטו ושורדת אתחול. בין פברואר לאוגוסט הוא מחדיר אותה ל-22 חברות ושולח 2,384 פקודות. ב-27 באפריל 2026 חברה אחת מרגישה שמשהו לא בסדר ומרימה טלפון ל-Profero. צוות ה-IR של Profero נכנס לרשת, ותוך ימים התמונה מתבהרת: זו לא נוזקה שנתפסה במקרה אצל לקוח אחד. יש תשתית שליטה, יש שרתים, יש חתימות שחוזרות על עצמן, ויש עוד עשרות קורבנות שעדיין לא יודעים. הממצאים של Profero הם מה שהופך את האירוע מ"תקלה אצל לקוח" ל"פגיעה נרחבת במשק הישראלי", בלשון כתב האישום, והם מה שמניע את כל שרשרת החקירה שהובילה למעצר. Profero מעבירה את הממצאים למערך הסייבר הלאומי. וכאן הסיפור מתהפך. המס"ל מזהה שקבוצת ח' בין הנפגעות, ועושה את הדבר הפרוצדורלי: ב-30 באפריל מתקשרים ל-CISO של ח', מעדכנים אותו שיש נוזקה, ושולחים לו כלי לאיתור. ואז מתקשרים שוב. ועוד פעם. שלוש פניות, שכולן נועדו לעזור לו למצוא את הנוזקה ברשת שלו. אף אחד לא שאל את השאלה הבסיסית ביותר בכל חקירת insider: מי בארגון הזה יכול היה לעשות את זה. הגוף שאמור להגן על המשק שלח למיקי בר, ביד, את הכלי שמזהה את הנוזקה שלו, ובכך הודיע לו במדויק מה כבר ידוע ומה עדיין לא. בר לא נבהל. הוא לומד. ביולי הוא כותב, שוב עם AI, נוזקה מתוחכמת יותר בשם WESERCH, שמתוכננת לחמוק בדיוק מהכלי שקיבל, ומחדיר אותה לשבע חברות נוספות. עוד 1,290 פקודות. עוד שלושה חודשים וחצי של תקיפה פעילה, מיום ההתראה ועד ליום שבו הדלת נפתחת, 18 באוגוסט 2026. היום, 10.9.2026, מחלקת הסייבר בפרקליטות מגישה נגד מיכאל בר 11 אישומים: 26 חברות ושני קיבוצים, 44 עבירות החדרת נגיף, 155 עבירות פגיעה בפרטיות, גניבה, נזק של כ-1.5 מיליון ₪, ובקשה לחלט את כל המחשבים שלו. חזקת החפות עומדת לו. אבל אם הסיפור נכון, הלקח לא נוגע רק אליו: הגילוי הגיע מלקוח שסמך על האינסטינקט שלו ומצוות IR פרטי שידע לחבר את הנקודות. הגוף שאמור להגן על המשק, כשקיבל את הממצאים ביד, הצליח בעיקר להזהיר את הפושע. ובכל זאת, הסיפור נגמר בתפיסה ולא בבריחה, וזה לא קרה מעצמו. משטרת ישראל ומחלקת הסייבר בפרקליטות המדינה לקחו ממצאים של חברה פרטית, הפכו אותם לחקירה, סגרו על תוקף ששיחק במערכת במשך שבע שנים והביאו אותו לבית המשפט עם כתב אישום מפורט עד רמת הפקודה הבודדת. במדינה שבה סייבר הוא כמעט מילה נרדפת לתקיפה מבחוץ, הם הראו שגם האויב מבפנים נתפס בסוף. על זה מגיעה להם תודה, מאיתנו ומעשרות החברות שרק עכשיו מבינות מי ישב להן במחשבים. ומילה אישית. תודה לכל עובדי ועובדות Profero על העבודה הקשה, ימים ולילות, ולשותפינו הרבים שהיו איתנו בדרך. מעטים כל כך המקרים שמותר לנו לספר עליהם, ולכן אני מנצל את ההזדמנות להודות לא רק למי שהיה שותף לפרשה הזאת, אלא לכל מי שלקח חלק בפעולות הרבות שלנו מיום הקמת החברה ועד היום. הרוב המוחלט מהן לעולם לא יגיע לפוסט. אם אתם רוצים להתעדכן מדי פעם במעט שכן מותר לפרסם, מוזמנים לעקוב אחרינו ב-X, ובמיוחד אחרי "The Profero X Files".

It is highly evident by now that the vast majority of low level (script kiddies) attackers have moved up the ladder and are now sitting between the medium-high range of cyber capabilities due to ease of utilization of frontier models. However we have yet to see the top bar of threat actors making their leap forward. Personally and company strategic direction wise,I do prepare for this change between 3 to 6 months. In preparation of enterprises and critical networks perspective, this means the next "AI conficker" is just around the corner. Be advised.

Our team just published research on a malware campaign that hit 25+ organizations, several in Israel. The attacker built it so badly that anyone who opened a sample got kill-switch access to the entire botnet. The malware: WindowsAudit. Runs as LocalSystem on compromised hosts. Discord as C2. The mistake: Discord bot token hardcoded in plaintext inside the binary. No XOR, no encryption, no obfuscation. Same token in every sample on every infected machine. What we did with it: • Authenticated to Discord with the token and pulled the full activity history •Extracted everything the attacker stole from victims: AD dumps, network maps, screenshots, file listings, usernames •Identified 25 distinct victims from the data •Tracked the attacker’s working hours and timezone in real time •Every time a new build got pushed, automation grabbed it, reversed it, and pulled fresh IOCs The architecture is worse: •Every infected host runs the same binary •That binary receives commands from the attacker AND can issue commands to other infected hosts •No command signing, no authentication. If you hold the token, you operate the botnet. •A single command could uninstall the malware from every victim. Accidental kill switch. We didn’t fire it. Any command we sent would surface in the attacker’s Discord and burn the monitoring op. Full IOCs in the writeup. Worth a look if you’re defending an Israeli environment. profero.io/blog/windowsaudit…

Infostealer - A Threat on the Rise: Last year, an employee of the Israeli National Cyber Directorate learned a harsh lesson. His private workstation was mysteriously infected, and his details leaked to the internet, including screenshots of his desktop and other details. The researcher was hit by "Stealer malware" (aka Infostealer) called Redline. This is THE most trending kind of malware currently – even more prevalent than ransomware – so allow me to elaborate: Stealer malware is designed to steal information from a PC. The attack vectors are numerous – including phishing, software bundles, browser plugins, and more. Once the victim downloads the rogue software, the virus steals all sorts of data: browser cookies, passwords, crypto wallets, files, and more. As the software doesn't need to encrypt files, the attack fingerprint is minimal, and the malware is hard to detect. According to Specops, hundreds of millions of passwords have already leaked online, and it is estimated that millions of devices are infected worldwide. The journey of the stolen files is fascinating. First-hand – the OGs – they skim the cream after evaluating the data and gain access to large wallets, lucrative bank accounts, etc. They then sell the dump with all the data on the dark web or Telegram. The buyers are usually cybercriminals who use this bulk of stolen usernames and passwords to gain access to organizations' networks (this practice is called Credential Stuffing). This is how Uber was breached. We're not done yet because eventually, the data typically leaks onto the web, where strategic players lurk for diamonds. This is presumably how the details of the Israeli gov employee got out. The data changes hands and is exploited multiple times; you've got to admire the scavenging. Two weeks ago, law enforcement agencies from 6 countries managed to take down the infrastructure of Redline – the most notorious stealer malware gang. This is great news, but you know, there is no checkmate in cyber defense. The game is on. So, what can individuals and organizations do to avoid stealer malware? • It is wise to protect employees' personal assets as well – as they are the weakest link in the network. However, privacy issues must be considered. • Strict access management is critical, under Zero-Trust assumptions. No BOYD should be allowed in. • Two-factor authentication across all sensitive assets is always wise, also as protection for this kind of attack. ·     Make sure SSO is implemented in every SaaS and on-prem. ·     Avoid dual users accounts in any cost, leave no generic users such as “support” or similar used by multiple people and teams. ·     Make sure to implemented credential breach monitoring. If you have any thoughts or battle-earned experience with this kind of threat – you're invited to comment and share your knowledge for the benefit of all parties. Be Breach Ready!