אברהם פריינד: בסביבת ראש הממשלה זעמו על ח"כ פרוש שהתנגד הערב בהצבעה על תקציב המדינה במליאת הכנסת. "אתה יכול עוד לתקן", אמר לו יועץ רה"מ, נבו כץ. פרוש השיב בזלזול: "אני לא שומע!"
בלי פריצה ובלי אזהרה: כך אפשר להשתלט על הוואטסאפ שלכם
חוקרי סייבר ישראלים חשפו חבילת קוד פופולרית שפעלה כחוק אך העבירה לתוקפים הודעות, קבצים ונתוני התחברות, במסגרת מתקפת שרשרת אספקה מתוחכמת
וואטסאפ צילום: Ideogram
הסיוט של משתמשי וואטסאפ כבר אינו תרחיש תיאורטי, אלא איום ממשי שמתממש הרחק מעיני המשתמשים עצמם. מחקר חדש של חוקרי Koi Security שפורסם באתר geektime מעלה כי תוקפים הצליחו להשיג גישה עמוקה לחשבונות וואטסאפ דרך חבילת קוד שנראתה לגיטימית לחלוטין ושימשה מפתחים לצורך עבודה שוטפת.
במוקד הפרשה עומדת חבילת NPM בשם lotusbail, שהורדה יותר מ 56000 פעמים והציגה עצמה כספריית APIs ל WhatsApp Web. החבילה פעלה כמצופה ולא גילתה סימנים חריגים, אך מאחורי הקלעים ניתבה כל הודעה, קובץ מדיה ונתון זיהוי גם לשרתים של התוקף, תוך שימוש במנגנוני תקשורת סטנדרטיים והצפנת המידע שנאסף.
החוקרים מצאו כי המידע שנאסף כלל לא רק הודעות ותכנים, אלא גם טוקנים לאימות, רשימות אנשי קשר וקובצי מדיה. בנוסף, החבילה השתלטה על תהליך קישור מכשירים חדשים לחשבון וואטסאפ, כך שקוד האימות שנשלח למשתמש אפשר בפועל גם לתוקף לחבר את המכשיר שלו לחשבון, מבלי שהמשתמש יבחין בכך.
הפרשה ממחישה את הסיכון הגובר במתקפות על שרשרת האספקה, שבהן די בחבילת קוד אחת כדי להשפיע על אלפי מפתחים ומיליוני משתמשי קצה. מאחר שהקוד הזדוני פעל בצורה תקינה לחלוטין, הוא הצליח לחמוק מבדיקות שגרתיות ולהפוך את ההרגלים היומיומיים של עולם הפיתוח לנקודת תורפה משמעותית.
