Fix stuff, earn big awards? Maybe, if this idea for repair bounties takes off. The group is dubbed the FULU Foundation, for “Freedom from Unethical Limitations on Users,” and was co-founded by right-to-repair activist Kevin O’Reilly and perennial Big Tech thorn-in-the-side Louis Rossman. The operating model works a bit like the bug bounty system, but in reverse: FULU posts cash bounties on consumer-hostile products, like refrigerators that DRM their water filters or bricked thermostats. The bounty starts at $10,000, but can increase based on donations from the public. FULU will match those donations up to $10,000, potentially making a very rich pot for the person or team that fixes the problem.

So far, it looks like FULU has awarded two $14,000 bounties for separate solutions to the bricked Nest thermostats. A second $10,000 bounty, for an air purifier with DRM’d filters, is under review. There’s also a $30,000 bounty outstanding for a solution to the component pairing problem in Xbox Series X gaming consoles. While we love the idea of putting bounties on consumer-unfriendly products and practices, and we celebrate the fixes discovered so far, we can’t help but worry that this could go dramatically wrong for the bounty hunters, if — OK, when — someone at a Big Tech company decides to fight back. When that happens, any bounty they score is going to look like small potatoes compared to a DMCA crackdown.

From the “Interesting times, interesting problems” Department comes this announcement by NASA of a change in vendor for the ground support vehicles for the Artemis program. The US space agency had been all set to use EVs manufactured by Canoo to whisk astronauts on the nine-mile trip from their prep facility to the launch pad, but when the company went belly up earlier this year, things abruptly changed. Now, instead of the tiny electric vans that look the same coming and going, NASA will revert to type and use modified Airstream coaches to do the job. Honestly, we think this will be better for the astronauts. The interior of the Airstream is spacious, allowing for large seats to accommodate bulky spacesuits and even providing enough headroom to stand up, a difficult proposition in the oversized breadloaf form-factor of the Canoo EV. If they’re going to strap you into a couple of million pounds of explosives and blast you to the Moon, the least they can do is make the last few miles on Earth a little more comfortable.

Speaking of space, we stumbled across an interesting story about time on Mars that presented a bit of a “Well, duh!” moment with intriguing implications. The article goes into some of the details about clocks running slower on Mars compared to Earth, thanks to the lower mass of the Red Planet and the reduced gravity. That was the “duh” part for us, as was the “Einstein was right” bit in the title, but we didn’t realize that the difference would be so large — almost half a millisecond. While that might not sound like much, it could have huge implications when considering human exploration of Mars or even eventual colonization. Everything from the Martian equivalent of GPS to a combined Earth-Mars Internet would need to take the differing concept of what a second is into account. Taking things a bit further, would future native-born Martians even want to use units of measurement based on those developed around the processes and parameters of the Old World? Seems like they might prefer a system of time based on their planet’s orbital and rotational characteristics. And why would they measure anything in meters, being based (at least originally) on the distance between the North Pole and the equator on a line passing through Paris — or was it Greenwich? Whatever; it wasn’t Mars, and that’s probably going to become a sticking point someday. And you thought the U.S. versus the metric system war was bad!

Sticking with space news, what does it take to be a U.S. Space Force guardian? Brains and brawn, apparently, as the 2025 “Guardian Arena” competition kicked off this week at Florida’s Space Force Base Patrick. Guardians, as Space Force members are known, compete as teams in both physical and mental challenges, such as pushing Humvees and calculating orbital properties of a satellite. Thirty-five units from across the Space Force compete for the title of Best Unit, with the emphasis on teamwork. It’s not quite the Colonial Marines, but it’s pretty close.

And finally, Canada is getting in on the vintage computer bandwagon with the first-ever VCF Montreal. In just a couple of weeks, Canadian vintage computer buffs will get together at the Royal Military College of Saint-Jean-sur-Richelieu for an impressive slate of speakers, including our friend “Curious Marc” Verdiell, expounding on his team’s efforts to unlock the secrets of the Apollo program’s digital communications system. Along with the talks, there’s a long list of exhibitors and vendors. The show kicks off on January 24, so get your tickets while you can.

hackaday.com/2025/12/14/hackad…

Un noto broker di accesso iniziale (IAB) denominato “Storm-0249“, ha modificato le proprie strategie operative, utilizzando campagne di phishing ma anche attacchi altamente mirati, i quali sfruttano proprio gli strumenti di sicurezza pensati per la protezione delle reti come mezzo per raggiungere i propri obiettivi.

Il gruppo utilizza una nuova tecnica allarmante che include un metodo chiamato DLL sideloading. I pacchetti MSI dannosi vengono diffusi da Storm-0249 tramite campagne di phishing, sfruttando spesso tattiche di ingegneria sociale denominate “ClickFix”, le quali spingono gli utenti a eseguire comandi per risolvere presunti problemi tecnici fasulli.

Il ReliaQuest Threat Research Team (dopo che l’analisi era stata in parte sviluppata dagli specialisti di TrendMicro) ha pubblicato un rapporto aggiornato, il quale sottolinea che il gruppo di minaccia sta anche sfruttando indebitamente i processi legittimi di rilevamento e risposta agli endpoint (EDR), soprattutto le componenti SentinelOne, al fine di occultare le proprie tracce e facilitare l’avvio di attacchi del tipo ransomware.

Una volta eseguito con privilegi di SYSTEM, il programma di installazione rilascia una versione legittima e firmata digitalmente di SentinelAgentWorker.exe, un componente fondamentale dell’agente di sicurezza di SentinelOne , nella cartella AppData dell’utente. Insieme a essa, inserisce un file dannoso denominato SentinelAgentCore.dll.

“Quando il file binario SentinelOne portato con sé dall’aggressore viene avviato, carica la DLL dannosa invece di quella legittima che si trova accanto ad essa”, spiega il rapporto.

Questo trasforma di fatto lo strumento di sicurezza in un cavallo di Troia. Per chi si occupa della difesa della rete, l’attività appare come una normale operazione EDR, che consente agli aggressori di aggirare il rilevamento basato sulle firme e stabilire canali di comando e controllo (C2) crittografati mascherati da telemetria legittima.

I difensori dovrebbero monitorare:

• Caricamento laterale anomalo: file binari legittimi che caricano DLL da posizioni insolite come AppData.
• Traffico sospetto: connessioni a domini appena registrati provenienti da processi EDR attendibili.
• Abuso di LoLBin: utilizzo inaspettato di curl.exe o reg.exe da parte degli agenti di sicurezza.

Oltre al sideloading, Storm-0249 abusa anche delle utilità integrate di Windows per eludere il rilevamento. Il gruppo crea domini falsi che imitano gli URL di Microsoft (ad esempio, /us.microsoft.com/) per ingannare gli utenti e i filtri di sicurezza.

ReliaQuest sottolinea che questo non indica una vulnerabilità in SentinelOne in sé. “I processi legittimi all’interno dei comuni strumenti EDR, incluso SentinelOne, non vengono sfruttati, aggirati, elusi o compromessi con le tecniche descritte nel presente documento”. Al contrario, gli aggressori stanno abusando della fiducia riposta nei file binari firmati.

Utilizzano quindi curl.exe, uno strumento standard per il trasferimento dati, per recuperare script dannosi e inviarli direttamente nella memoria di PowerShell. “Invece di salvare lo script su disco, dove l’antivirus potrebbe intercettarlo, il comando invia il contenuto direttamente nella memoria di PowerShell per l’esecuzione immediata”, creando una catena di attacchi “fileless” che lascia prove forensi minime.

L’obiettivo finale di queste intrusioni è vendere l’accesso a gruppi di ransomware come LockBit e ALPHV. Il rapporto sottolinea che Storm-0249 conduce una ricognizione specifica per estrarre il MachineGuid, un identificatore di sistema univoco.

L'articolo Quando l’EDR diventa un cavallo di Troia: Storm-0249 abusa di SentinelOne proviene da Red Hot Cyber.

Una campagna di malware sofisticata è stata individuata all’interno del marketplace di Visual Studio Code (VS Code). I ricercatori di ReversingLabs (RL) sono riusciti a identificare 19 estensioni malevole che sono state in grado di eludere con successo i metodi standard di rilevamento, occultando i loro payload all’interno delle cartelle delle dipendenze in modo profondo.

Attiva da febbraio 2025, utilizza una combinazione astuta di tecniche di “typosquatting-adjacent” e steganografia al fine di compromettere i computer degli sviluppatori.

“I file dannosi hanno abusato di un pacchetto npm legittimo per eludere il rilevamento e hanno creato un archivio contenente file binari dannosi che si spacciavano per un’immagine: un file con estensione PNG”, hanno riportato i ricercatori.

Per oscurare ulteriormente le loro tracce, gli aggressori hanno utilizzato un file ingannevole denominato banner.png. Sebbene sembrasse un file immagine standard per la presentazione dell’estensione sul marketplace, in realtà era un archivio modificato.

La catena di attacco inizia quando il file index.js della dipendenza compromessa viene eseguito all’avvio di VS Code. Attiva una classe nascosta che decodifica un dropper JavaScript da un file chiamato semplicemente lock. Questo dropper estrae quindi il payload dal file PNG falso.

Il modo in cui le estensioni di VS Code gestiscono i loro componenti fondamentali è ciò che rende questo attacco geniale. Le estensioni di VS Code, diversamente dai progetti npm tradizionali che scaricano le dipendenze in tempo reale, sono fornite con una cartella node_modules già pronta, contenente tutte le librerie richieste.

Questa struttura consente alle estensioni di funzionare “out of the box”, ma ha anche offerto agli aggressori un nascondiglio perfetto, riportano i ricercatori.

Per questa campagna, gli autori della minaccia hanno preso il popolarissimo pacchetto path-is-absolute, una libreria con oltre 9 miliardi di download, e lo hanno modificato localmente all’interno delle loro estensioni dannose. Non hanno toccato il pacchetto ufficiale nel registro npm; hanno invece manomesso la versione inclusa nella loro estensione.

“In questo modo, l’autore della minaccia sta trasformando un pacchetto popolare e altrimenti sicuro in una bomba a orologeria pronta a esplodere non appena viene utilizzata una delle estensioni dannose”, afferma il rapporto. “Il file banner.png, come si è scoperto, non era un file immagine. Si tratta invece di un archivio contenente due file binari dannosi”.

Una volta decompresso, il malware non si limita a essere eseguito: sfrutta il sistema contro se stesso. Il dropper decodificato esegue i file binari dannosi utilizzando cmstp.exe, uno strumento legittimo di installazione dei profili di Microsoft Connection Manager, spesso utilizzato dagli hacker come file binario “Living Off the Land” (LOLBIN) per aggirare i controlli di sicurezza .

Sebbene la maggior parte delle estensioni identificate abusasse del pacchetto path-is-absolute, i ricercatori hanno notato che quattro estensioni utilizzavano un vettore diverso, modificando il pacchetto @actions/io e nascondendo i payload nei file TypeScript (.ts) e sourcemap (.map) invece dell’immagine falsa.

L'articolo Sviluppatori nel mirino: malware nascosto nel marketplace di Visual Studio Code proviene da Red Hot Cyber.