Știri
Știri din categoria Securitate cibernetică
Cinci „skill-uri” malițioase au ajuns în ClawHub, semnalând un risc de tip supply chain pentru companii și dezvoltatori, potrivit unei analize publicate de TechRadar. Descoperirea arată că verificările automate introduse recent în marketplace-ul oficial OpenClaw pot fi ocolite, ceea ce crește riscul operațional ca pachete aparent legitime să fie folosite ca vector de infectare în medii de lucru.
Cercetătorii Unit 42 (Palo Alto Networks) spun că au găsit cinci „skills” malițioase în ClawHub, marketplace-ul oficial pentru extensii OpenClaw. Două dintre ele livrau AMOS, un infostealer pentru macOS (malware care fură date), iar altele au fost concepute fie să evite scanarea, fie să producă fraudă.
OpenClaw este o platformă „open-source agent” (un agent software care poate executa acțiuni pe calculator, nu doar să răspundă ca un chatbot), lansată în noiembrie 2025. Funcționalitățile sunt extinse prin „skills” – add-on-uri care îi permit să facă diverse acțiuni (de exemplu, navigare web sau gestionare de fișiere). În acest model, un „skill” compromis poate ajunge să ruleze în contextul agentului și să afecteze direct sistemul utilizatorului.
Unit 42 avertizează că, deși ClawHub a integrat VirusTotal și ClawScan după raportări anterioare (din februarie, conform articolului), atacatorii au continuat să publice pachete „persistente și evazive”.
În total, au fost identificate cinci „skills”, inclusiv:
Detaliile tehnice despre toate cele cinci apar în raportul Unit 42, indicat în articol: Unit 42 (Palo Alto Networks).
Toate cele cinci „skills” au fost raportate către ClawHub, iar OpenClaw le-a eliminat; conturile asociate au fost interzise, potrivit informațiilor citate.
Recomandarea Unit 42 pentru organizații este să trateze aceste extensii ca pe un risc de lanț de aprovizionare software (supply chain) și să aplice verificări stricte de proveniență și audit al codului sursă pentru pachetele publicate. În analiza citată, cercetătorii notează:
„Am identificat că execuția skill-urilor are loc în cadrul procesului agentului. Acest lucru necesită validare activă a provenienței editorului și un audit linie cu linie al fișierelor sursă ale pachetului.”
Pentru companii, implicația practică este că simpla existență a scanărilor automate în marketplace nu elimină nevoia de controale interne (validarea editorului, revizuirea codului și politici de utilizare a extensiilor), mai ales când astfel de agenți pot executa acțiuni cu impact direct asupra sistemelor și datelor.
Recomandate
MAI începe testarea și achiziția de sisteme pentru detecția dronelor marine , după incidentul din 5 iunie din Portul Constanța , unde o dronă marină ajunsă în zonă s-a autodetonat, potrivit Mediafax . Miza operațională este creșterea capacității de supraveghere și reacție la Marea Neagră, într-un context în care astfel de amenințări pot afecta direct siguranța navigației și infrastructura portuară. Ministerul Afacerilor Interne precizează că demersul este derulat prin Garda de Coastă, structură a Poliției de Frontieră, care a început procedurile pentru achiziționarea unor capabilități tehnice de detecție și monitorizare a dronelor marine. Ce urmează: demonstrație tehnică pentru sistemul TRITON În prima etapă, MAI anunță organizarea unei demonstrații tehnice a sistemului TRITON. Conform informațiilor transmise, sistemul este proiectat pentru misiuni de lungă durată și funcționează exclusiv pe bază de energie solară și eoliană, fără combustibili fosili și fără echipaj uman la bord. Testele vor fi coordonate de specialiștii Gărzii de Coastă, „în colaborare cu alte structuri competente”, fără ca MAI să detalieze în materialul citat care sunt acestea. „Scopul acestor acțiuni este acela de a identifica cele mai bune mijloace pentru protecția apelor teritoriale ale României împotriva potențialelor riscuri de securitate. Procesul de testare se va desfășura fără a afecta siguranța navigației, respectând toate măsurile de securitate necesare în acest sens.” Contextul deciziei: drona din Portul Constanța și evacuarea a peste 3.000 de persoane Anunțul vine după incidentul din 5 iunie, când o dronă ucraineană a ajuns în Portul Constanța și s-a autodetonat. În urma evenimentului, peste 3.000 de persoane au fost evacuate, iar autoritățile au transmis că nu au existat victime. În același context, autoritățile ucrainene au spus că i-au informat pe omologii români despre drone asupra cărora s-a pierdut controlul, însă ministrul interimar al Apărării, Radu Miruță , a declarat că informația privind drona a venit cu puțin timp înainte de explozie. [...]
Comisia Europeană vrea să întărească rolul Europol în investigațiile digitale printr-un pachet de măsuri care include o infrastructură „cloud” securizată și un spațiu european de date partajate pentru poliție, alături de creșteri de bugete și personal pentru Europol și Eurojust, potrivit Agerpres . Pachetul, prezentat miercuri de Comisia Europeană, pornește de la constatarea că criminalitatea devine „din ce în ce mai sofisticată, internațională și digitală”, iar anchetele eficiente cer cooperare strânsă între poliție, autorități vamale, procurori și instanțe, de la începutul investigației până la hotărârea definitivă. Ce se schimbă operațional: date mai rapide și lucru „în timp real” între state Propunerile acoperă întregul lanț de sprijin al UE pentru statele membre – de la prevenire și detectare până la cooperare judiciară și urmărire penală – și includ două regulamente pentru consolidarea mandatelor Europol și Eurojust, o revizuire a ordinului european de anchetă și modificări ale Regulamentului privind protecția datelor pentru instituțiile și organele UE. În cazul Europol, Comisia propune măsuri care vizează direct modul în care se face schimbul de informații în dosare transfrontaliere, inclusiv online. Printre elementele menționate: schimb de informații mai eficient și mai sigur , inclusiv prin schimb automat și mai rapid, pentru colaborare „în timp real” în investigații; o infrastructură „cloud” securizată, scalabilă și suverană și un spațiu al datelor partajate al poliției , pentru lucru virtual comun la cazuri; birouri de sprijin Europol în statele membre , formate din polițiști care au lucrat anterior în agenție, pentru utilizarea mai bună a instrumentelor (de exemplu, criminalistică și analiză de date); un centru tehnologic și de inovare , care să ofere o imagine la nivelul UE asupra nevoilor de capabilități și să sprijine investiții comune în cercetare și dezvoltare; cooperare mai strânsă cu Eurojust și Parchetul European și consolidarea cooperării internaționale cu țări partenere. Comisia susține că automatizarea proceselor și punerea în comun a resurselor ar urma să simplifice fluxurile de lucru, să reducă sarcina administrativă și să aducă economii administrative și câștiguri de eficiență pentru agenție și statele membre. De ce contează pentru zona de securitate cibernetică În logica pachetului, accentul pe schimb rapid de date, infrastructură „cloud” și un spațiu comun de date pentru poliție urmărește să reducă fragmentarea informațiilor între state, într-un context în care actorii infracționali operează transfrontalier și online și „abuzează din ce în ce mai mult de inteligența artificială”, potrivit Comisiei. Eurojust ar urma, la rândul său, să primească un mandat extins inclusiv pentru domenii emergente precum criminalitatea informatică , alături de încălcarea măsurilor restrictive ale UE sau violența bazată pe gen, conform aceleiași surse. Ce urmează Comisia a prezentat propuneri legislative (regulamente și revizuiri de instrumente), ceea ce înseamnă că pașii următori țin de procesul de adoptare la nivelul UE. Materialul citat nu precizează un calendar sau valori concrete ale majorărilor de buget și personal. [...]
Arestarea a încă doi suspecți ridică la șapte numărul persoanelor acuzate în dosarul complotului privind un atac cu drone explozive vizând evenimentul UFC organizat pe peluza de sud a Casei Albe, potrivit The Jerusalem Post , care citează un comunicat al Departamentului de Justiție al SUA (DOJ). Cei doi, William Lee Spartacus Falkner și Jordan W. Rincker, au fost puși sub acuzare pentru „conspirație la comiterea unei crime”, pentru rolurile pe care procurorii le atribuie în planul dejucat de FBI săptămâna trecută. Odată cu noile arestări, totalul suspecților din dosar ajunge la șapte, conform DOJ. În cazul lui Falkner, DOJ susține că acesta ar fi discutat despre fabricarea și pilotarea dronelor pentru a ataca evenimentul, inclusiv despre încărcarea lor cu explozibili. Publicația redă și o afirmație atribuită lui Falkner, legată de „raza letală” a exploziei. Rincker este acuzat, potrivit DOJ, că ar fi acceptat 1.200 de dolari (aprox. 5.500 lei) de la un alt conspirator arestat, Abraham Hermosillo Alvarez, pentru a distribui banii către persoane implicate în plan. Tot DOJ afirmă că Rincker i-ar fi oferit lui Alvarez o pușcă cu pompă calibrul 12, într-o întâlnire în Omaha, primind la schimb mai multe echipamente și bunuri, inclusiv o imprimantă 3D, filament pentru imprimare 3D și un minicomputer. Componenta operațională: drone, explozibili și echipamente DOJ indică faptul că imprimanta 3D ar fi fost destinată fabricării de drone. În același timp, Rincker ar fi declarat anchetatorilor că nu a încercat niciodată să construiască drone și că nu știe cum se face acest lucru, potrivit relatării. Ce spun autoritățile despre scenariul atacului FBI a dejucat atacul potențial cu drone explozive care ar fi vizat zona Casei Albe în timpul UFC Freedom 250, iar directorul FBI, Kash Patel, a confirmat săptămâna trecută existența complotului, notează publicația. Potrivit unor oficiali citați de FOX News (menționați în articol), planul ar fi urmărit lovirea cu drone explozive a unor clădiri din apropierea evenimentului pentru a împinge spectatorii către o ambuscadă a unor lunetiști, urmată de o încercare de a forța porțile Casei Albe. Țintele invocate ar fi inclus „elite capitaliste”, „miliardari” sau politicieni care au primit donații de la American Israel Public Affairs Committee (AIPAC) , conform aceleiași relatări. [...]
Meta a pus pe pauză un program intern de monitorizare a activității angajaților, după ce un angajat a semnalat riscuri de expunere a unor date sensibile necriptate , potrivit TechRadar . Investigația vizează inițiativa „ Model Capability Initiative” (MCI) , care ar fi urmărit mișcările mouse-ului și activitatea digitală pentru a antrena modele de inteligență artificială. Ce făcea programul și de ce contează operațional MCI ar fi fost lansat în aprilie, cu scopul de a îmbunătăți modelele de AI ale companiei în sarcini unde acestea „se împiedică” de interacțiuni tipic umane cu computerul — de exemplu, selectarea dintr-un meniu derulant sau folosirea diferitelor scurtături de tastatură. Într-un memo intern citat în material, Meta ar fi prezentat inițiativa ca pe o modalitate prin care „toți angajații” pot contribui la îmbunătățirea modelelor „prin munca lor de zi cu zi”. Din perspectivă operațională, cazul ridică două probleme: amploarea colectării (monitorizare detaliată a activității) și controlul asupra datelor rezultate, mai ales când acestea ar fi fost stocate necriptat. Semnalarea de securitate: ce date ar fi fost expuse Conform Reuters (citată de TechRadar), un angajat a depus un raport de incident de securitate cu prioritate ridicată (SEV), susținând că programul ar fi expus date ale angajaților, inclusiv: „prompts” și transcrieri complete (în context, comenzi/cereri introduse în sisteme AI și rezultatele lor); conversații private; date despre persoane și performanță; evaluări de sensibilitate DSS (1–4). Aceeași sursă afirmă că programul ar fi colectat „mai multe informații decât fusese descris inițial” și le-ar fi stocat în formă necriptată. Angajatul ar fi susținut, de asemenea, că a putut accesa de pe computerul de serviciu informații personale, inclusiv fiscale și medicale. Poziția Meta și stadiul opririi Meta a confirmat că a pus programul pe pauză pentru a investiga acuzațiile, dar a spus că nu are, deocamdată, indicii că datele ar fi fost accesate necorespunzător de angajați. Declarația atribuită purtătoarei de cuvânt Tracy Clayton, citată în articol, este: „Am proiectat cu atenție acest program cu măsuri de protecție a confidențialității și, deși nu avem nicio indicație în acest moment că vreo dată a fost accesată necorespunzător de angajații Meta, îl punem pe pauză în timp ce investigăm.” Compania nu a precizat cât va dura pauza și a indicat că oprirea completă „pentru toată lumea” necesită timp, astfel că unii angajați ar putea vedea în continuare programul activ. Reuters a relatat că, în după-amiaza zilei de luni, programul încă rula pentru unele persoane. Ce urmează În lipsa unui termen comunicat pentru finalizarea investigației, miza imediată este dacă Meta va confirma amploarea colectării și modul de stocare a datelor, respectiv dacă va modifica sau va abandona MCI. Pentru companii, cazul este un semnal de risc privind instrumentele interne de „telemetrie” (colectare automată de date despre utilizare) folosite atât pentru productivitate, cât și pentru antrenarea AI: dacă nu sunt limitate strict și securizate, pot ajunge să includă și să expună date personale sau confidențiale care nu au legătură cu scopul declarat. [...]
LastPass confirmă că atacatori au accesat date de clienți din mediul său Salesforce , după ce au obținut tokenuri OAuth furate în atacul asupra furnizorului terț Klue, potrivit BleepingComputer . Compania spune că produsele, serviciile și infrastructura sa nu au fost afectate, iar seifurile (vaults) clienților au rămas în siguranță. Incidentul a fost semnalat către LastPass pe 12 iunie, după ce compania a aflat de o breșă la Klue, o platformă de „market intelligence” folosită de echipele sale comerciale și integrată cu Salesforce și Gong. În urma investigației, LastPass afirmă că un actor neautorizat a obținut tokenuri OAuth pe care Klue le deținea pentru mai mulți clienți, inclusiv pentru LastPass, și le-a folosit pentru a accesa date de clienți din mediul Salesforce al LastPass. Ce date ar fi putut fi expuse și de ce contează LastPass spune că ar fi putut fi expuse următoarele categorii de date: nume de clienți; numere de telefon; adrese de e-mail; adrese fizice; informații din tichete/cazuri de suport; date asociate vânzărilor și CRM (Customer Relationship Management – administrarea relațiilor cu clienții). Riscul operațional imediat este creșterea tentativelor de phishing și a atacurilor de inginerie socială, care pot folosi aceste date pentru a face mesajele sau apelurile mai credibile. Recomandarea generală indicată este prudența față de comunicări nesolicitate (telefon/e-mail), mai ales când se cer informații sensibile, iar parola principală (master password) nu ar trebui comunicată nimănui. Ce se știe despre atac și cine l-a revendicat Atacul asupra lanțului de aprovizionare Klue a fost revendicat de grupul de extorcare Icarus , care ar fi compromis infrastructura platformei și ar fi furat tokenuri OAuth ce conectau mediile Salesforce ale clienților. Conform informațiilor prezentate, atacatorii ar fi intrat folosind credențiale vechi compromise pentru un serviciu de integrare, obținând astfel acces la tokenuri OAuth care legau Klue de diverse servicii terțe. Incidentul ar fi afectat mai multe organizații, inclusiv Recorded Future, Tanium, Jamf, Sprout Social, Gong și Insurity, iar atacatorul ar fi exfiltrat date CRM și ar fi lansat o campanie de extorcare. Măsuri luate de LastPass și avertisment privind comunicările LastPass afirmă că a dezactivat accesul angajaților la Klue, a rotit tokenurile API/OAuth expuse și a notificat autoritățile, în timp ce investigația continuă. Compania mai avertizează că actorii de amenințare ar folosi domeniile de expeditor baccarat.com[.]au, robinskitchen.com[.]au și house[.]com.au și că ar trebui considerate de încredere doar comunicările venite prin canalele oficiale de suport ale LastPass. Pentru moment, compania spune că investigația nu a găsit dovezi că atacatorul ar fi accesat date legate de Gong (care includ, de regulă, apeluri și e-mailuri cu clienții). [...]
Agențiile de securitate cibernetică din alianța Five Eyes avertizează că atacurile amplificate de AI pot produce „catastrofe” în luni, nu în ani , iar mesajul lor către companii este că riscul nu mai poate fi tratat ca o problemă strict tehnică, ci ca una de continuitate operațională și pierderi financiare, potrivit Gizmodo . Într-o declarație comună rară, șefii agențiilor de securitate cibernetică din SUA, Australia, Marea Britanie, Canada și Noua Zeelandă spun că modelele avansate de inteligență artificială accelerează „viteza, scara și sofisticarea” amenințărilor. Mecanismul invocat este dublu: scad barierele de intrare pentru atacatori și se micșorează intervalul dintre descoperirea unei vulnerabilități software și exploatarea ei. „Calendarul nu este de ani, este de luni.” De ce contează pentru companii: risc de întreruperi și costuri mai mari Scrisoarea Five Eyes pune accent pe consecințe de business: breșele „se vor întâmpla”, iar diferența o face nivelul de pregătire, care poate limita escaladarea în „crize operaționale și financiare majore”. Mesajul este explicit: managementul de vârf trebuie să trateze securitatea ca responsabilitate de conducere, nu ca subiect delegat exclusiv echipelor IT. Măsuri recomandate: acces mai strict, patch-uri mai rapide, planuri testate Agențiile cer liderilor organizațiilor să reducă suprafața de atac și să scurteze timpii de reacție. Recomandările includ: limitarea accesului inutil la sisteme și a conectivității externe; evitarea întârzierilor la instalarea actualizărilor de securitate, prin prioritizarea patch-urilor; testarea planurilor de răspuns la incidente; întărirea autentificării identității; limitarea accesului utilizatorilor la sistemele critice. În același timp, grupul recomandă integrarea AI în operațiunile de securitate, argumentând că instrumentele bazate pe AI pot ajuta la detectarea mai timpurie a vulnerabilităților, monitorizarea comportamentelor neobișnuite și răspuns mai rapid la incidente, reducând „costul și impactul” acestora. Context: modele AI care ar crește capacitatea de exploatare a vulnerabilităților Avertismentul vine pe fondul apariției unor modele AI despre care se susține că pot accelera identificarea și exploatarea vulnerabilităților. Gizmodo menționează cazul Anthropic și modelul „Mythos”, descris ca fiind suficient de puternic încât accesul ar fi fost limitat inițial la anumite organizații și guverne, urmat de un model cu premise similare prezentat de OpenAI. Publicația notează și relatări potrivit cărora „Mythos” ar fi reușit să ocolească sistemul de operare al Apple și să preia controlul asupra unui sistem corporativ în „șase din zece” încercări, conform unor rapoarte ale organizațiilor care ar fi avut acces. Aceste informații nu sunt detaliate în scrisoarea Five Eyes și depind de raportările citate de Gizmodo. Presiune pe capacitatea statului: cazul CISA în SUA În SUA, discuția este complicată de situația agenției CISA (Cybersecurity and Infrastructure Security Agency). Gizmodo scrie că, după instalarea administrației Trump în ianuarie 2025, CISA ar fi pierdut o treime din personal prin concedieri și ar exista propuneri de tăieri bugetare de peste 250 milioane de dolari (aprox. 1,15 miliarde lei). Publicația mai amintește un incident în care jurnalistul de investigație Brian Krebs ar fi descoperit pe GitHub nume de utilizator și parole în clar pentru sisteme interne, posibil timp de circa șase luni. În acest context, avertismentul Five Eyes ridică o problemă practică pentru mediul privat: fereastra de timp pentru prevenție se comprimă, iar costul întârzierii (în patch-uri, controlul accesului și exerciții de răspuns) crește tocmai când capacitatea instituțională de a sprijini apărarea poate fi sub presiune. [...]
