Gli aggressori hanno introdotto una nuova tattica negli attacchi all’ecosistema npm: due pacchetti dannosi modificano segretamente librerie legittime già installate sul sistema per incorporare una reverse shell e fornire un accesso persistente al sistema della vittima. Anche dopo la rimozione dei pacchetti dannosi, la backdoor continua a funzionare perché è nascosta in una versione modificata di un pacchetto attendibile.

I ricercatori di Reversing Labs hanno studiato le catene di fornitura del software. Sebbene le librerie dannose non siano ancora diffuse, i ricercatori mettono in guardia dal pericolo che rappresentano. Secondo loro, di tanto in tanto su npm compaiono dei malware loader, anche se gli infostealer sono più comuni. In questo caso, però, è stata utilizzata una strategia particolarmente sofisticata per nascondere il payload dannoso, che merita un’attenzione particolare.

I pacchetti scoperti si chiamano “ethers-provider2” e “ethers-providerz”. Il primo di questi, che era ancora disponibile su npm al momento della pubblicazione, si basa sulla popolare libreria “ssh2“. Ma a differenza dell’originale, ha uno script di installazione modificato “install.js”. Una volta caricato, lo script scarica la seconda fase del codice dannoso da una fonte esterna, la esegue e poi la elimina, cercando di non lasciare tracce.

La seconda fase del malware controlla se il famoso pacchetto “ethers” è installato sul sistema. In caso affermativo, sostituisce il file provider-jsonrpc.js con una versione modificata che contiene malware. Questo codice, a sua volta, si connette all’host remoto, da dove viene caricata la terza fase: una reverse shell completamente funzionale. La sua implementazione si basa su un client SSH modificato che si maschera da comportamento legittimo della libreria ssh2.

La che la rimozione di “ethers-provider2” non rimuove la backdoor: il file infetto nella libreria ethers rimane attivo. Ciò significa che il sistema dell’utente rimane compromesso anche se il modulo dannoso non è più installato.

Il secondo malware, “ethers-providerz”, funziona in modo simile, ma prende di mira un altro modulo popolare: @ethersproject/providers. Inietta inoltre un payload dannoso nella libreria legittima e installa una reverse shell che punta allo stesso indirizzo IP dell’attaccante: 5[.]199[.]166[.]1:31337.

Secondo Reversing Labs, le prime versioni di “ethers-providerz” contenevano errori nei percorsi dei file, che impedivano il funzionamento dell’attacco. Tuttavia, l’autore ha già rimosso il pacchetto da npm, il che potrebbe indicare l’intenzione di migliorarlo e ripubblicarlo. Durante l’indagine, gli esperti hanno anche identificato due pacchetti aggiuntivi, “reproduction-hardhat” e “@theoretical123/providers”, che potrebbero essere correlati alla stessa campagna dannosa.

Per rilevare le minacce, Reversing Labs ha pubblicato regola YARA, progettate per identificare i componenti malware noti. Si consiglia agli sviluppatori di controllare i propri ambienti e di assicurarsi che non vi siano segni di compromissione.

Gli analisti sottolineano l’importanza di controllare il codice sorgente e l’affidabilità degli sviluppatori quando si installano pacchetti da repository pubblici come npm o PyPI. Prestare particolare attenzione al codice offuscato, alle connessioni esterne e alle azioni sospette negli script di installazione.

L'articolo Nuovo Attacco Alla Supply Chain! Un Malware Invisibile Infetta Le Librerie Attendibili di NPM proviene da il blog della sicurezza informatica.

Alla fine non è stato troppo difficile salutare #Firefox dopo 22 anni di utilizzo.

Le nuove politiche che ha adottato @Mozilla non riesco proprio a digerirle; non amo il fatto che una fondazione (o chiunque altro) possa dirmi come devo usare il mio browser, e che in qualunque momento possa cambiare decisione senza nemmeno farmelo sapere. A questo punto, tanto vale usare un browser proprietario. Quale sarebbe il vantaggio di continuare ad usare Firefox?

Odio il fatto che i dati immessi nel browser non siano più miei. E tutto questo, badate bene, per un software #opensource !

Valutando tutte le complesse variabili della mia presenza on line e della geografia, ho scelto Vivaldi che ha importato tutte le password e la cronologia in un attimo, senza battere ciglio. Le impostazioni fondamentali ci sono tutte; mi mancano alcune funzioni peculiari di firefox, come la modalità lettura scura, ma sopravvivrò; non sono cose che non ci si dorme la notte.

Unica scocciatura, siccome avevo usato la funzione firefox relay, che trovavo comodissima, la Mozilla foundation stava nel mezzo tra la mia casella e molti servizi a cui mi ero iscritto, che così non conoscevano il mio indirizzo reale. Bella pensata, mi mancherà. Pazienza. Ho dovuto cambiare un po' di email, ma ne è valsa la pena.

Ci rivedremo, spero, quando vorrete di nuovo aderire alla filosofia OpenSource.

E poi ci sono i fork, io continuo a sperare in qualche fork del browser più bello ed equo che ci sia mai stato.

Fino ad ora.

#browser #opensource #vivaldi #brave #chromium #mozilla #firefox #softwarelibero #fsf

Around these parts, projects needlessly using a microcontroller where a simpler design would do are often derided with the catch-all “Should have used a 555,” even if the venerable timer chip wouldn’t have been the ideal solution. But the sentiment stands that a solution more complicated than it needs to be is probably one that needs rethinking, as this completely mechanical chaser light badge Simple Add-On (SAO) aptly demonstrates.

Rather than choosing any number of circuits to turn a strip of discrete lights on and off, [Johannes] took inspiration for his chaser lights from factory automation mechanisms that move parts between levels on steps that move out of phase with each other, similar to the marble-raising mechanism used in [Wintergatan]’s Marble Machine X.

Two thin plates with notches around the edge are sandwiched together inside the 3D printed case of the SAO, between the face and the light source. A small motor and a series of gears rotate the two masks 180° out of phase with each other, which creates the illusion that the light is moving.

It’s pretty convincing; when we first saw the video below, we were sure it was a row of tiny LEDs around the edge of the badge.

Hats off to [Johannes] for coming up with such a clever mechanism and getting it working just in time for Hackaday Europe. If you need to catch up on the talks, we’ve got a playlist ready for you.

youtube.com/embed/bpqRJ9gQvO8?…

hackaday.com/2025/03/27/chase-…

Recentemente Splunk ha reso pubblica una vulnerabilità critica identificata come SVD-2025-0301, con il CVE ID CVE-2025-20229. Questa falla di sicurezza, presente nelle versioni di Splunk Enterprise precedent, e in alcune versioni della Splunk Cloud Platform, permette a utenti con privilegi limitati, privi dei ruoli “admin” o “power”, di eseguire codice remoto caricando file nella directory $SPLUNK_HOME/var/run/splunk/apptemp.

a vulnerabilità deriva dalla mancanza di controlli di autorizzazione adeguati durante il processo di caricamento dei file, consentendo potenzialmente a malintenzionati di compromettere l’integrità e la sicurezza dei sistemi affetti. Splunk ha assegnato a questa vulnerabilità un punteggio di 8.0 su 10 nella scala CVSSv3.1, classificandola come elevata

Di seguito la matrice delle versioni affette dal bug di sicurezza.

Per mitigare il rischio associato a questa falla, Splunk raccomanda agli utenti di aggiornare immediatamente Splunk Enterprise alle versioni 9.4.0, 9.3.3, 9.2.5 o 9.1.8, a seconda della release attualmente in uso. Per gli utenti della Splunk Cloud Platform, l’azienda sta monitorando attivamente e applicando le patch necessarie per proteggere gli ambienti cloud.

È fondamentale che le organizzazioni che utilizzano Splunk valutino l’impatto di questa vulnerabilità sui loro sistemi e procedano con l’aggiornamento alle versioni corrette senza indugi. L’implementazione tempestiva delle patch è essenziale per prevenire possibili exploit che potrebbero compromettere dati sensibili e la continuità operativa.​

Per ulteriori dettagli e per accedere alle istruzioni complete sull’aggiornamento, si consiglia di consultare l’advisory ufficiale pubblicato da Splunk al seguente link.

L'articolo Splunk a Rischio: Scoperta Vulnerabilità RCE Critica in Splunk Enterprise e Cloud proviene da il blog della sicurezza informatica.

dip 038, #sintassi , #davidlynch slowforward.net/2025/01/22/dip…

slowforward

2025-01-22 18:13:14

dip 038, sintassi

questa annotazione può sembrar cadere qui out of the blue (e forse un po’ è così), ma va detto – o sono persuaso possa essere detto – che:

c’è un modo specifico di sentire, di avvertire la sintassi, e di naturalmente tornirne i labirinti, che è in profondità analogo al lavoro di Lynch non soltanto con la macchina da presa e con determinate sue carrellate lentissime in climax o anticlimax (per esempio), ma proprio con la gestione della trama, intesa come:

tessuto che non solo si smaglia ma si riannoda in punti imprevedibili, come un abito non euclideo. o non sempre – non tutto – euclideo.

a differenza della radice, verticale e gerarchica, il rizoma è intersecante, trasverso, anarchico e orizzontale.

in questo, una certa modalità della ricerca letteraria, che soprattutto metto al lavoro con prose brevi in un libro che uscirà prima dell’estate, le asimmetrie e astrazioni (e torsioni) sintattiche che ho sperimentato dialogano, credo proficuamente, con una idea post-novecentesca di montaggio, frammentazione e ripresa di unità.

vorrò/vorrei poi sempre più che una quota forte, alta, di indeterminazione connotasse i materiali dei prossimi testi. (ma “textus” è un vocabolo inesatto, e la parentesi resta aperta

#111 #DavidLynch #dip #dip038 #dip038 #Lynch #sintassi