AI continues to be used in new and exciting ways… like generating spam messages. Yes, it was inevitable, but we now have spammers using LLM to generate unique messages that don’t register as spam. AkiraBot is a Python-powered tool, designed to evade CAPTCHAs, and post sketchy SEO advertisements to web forms and chat boxes around the Internet.

AkiraBot uses a bunch of techniques to look like a legitimate browser, trying to avoid triggering CAPTCHAs. It also runs traffic through a SmartProxy service to spread the apparent source IP around. Some captured logs indicate that of over 400,000 attempted victim sites, 80,000 have successfully been spammed.

SSRF Attacking AWS

March brought a spike in instances of an interesting EC2 attack. F5 labs has the details, and it’s really pretty simple. Someone is sending requests ending in /?url=hxxp://169.254.169.254/latest/meta-data/iam/security-credentials/, with the hope that the site is vulnerable to a Server Side Request Forgery (SSRF).

That IP address is an interesting one. It’s the location where Amazon EC2 makes the Instance Metadata Service available (IMDSv1). Version 1 of this service completely lacks authentication, so a successful SSRF can expose whatever information that service makes available. And that can include AWS credentials and other important information. The easiest fix is to upgrade the instance to IMDSv2, which does have all the authentication features you’d expect.

SAP and setuid

Up next is this Anvil Secure report from [Tao Sauvage], about finding vulnerable setuid binaries in the SAP Linux images.

Setuid is a slightly outdated way to allow a less-privileged user to run a binary with elevated privileges. The simplest example is ping, which needs raw socket access to send special ICMP packets. The binary is launched by the user, escalates its privileges to send the packet, and then terminates without actually breaking the security barrier. At least that’s what is supposed to happen. In reality, setuid binaries are a consistent source of privilege escalation problems on Linux. So much so, that it’s now preferred to use the capabilities functionality to achieve this. But that’s fairly new, and many distros just give binaries like ping the setuid bit.

This brings us to SAP’s Linux images, like SAP HANA Express. These images include a small collection of custom setuid binaries, with icmbnd and hostexecstart catching our researcher’s eyes. icmbnd notably has the -f flag to specify the output file for a debug trace. That’s a typical setuid problem, in that a user can specify an oddball location, and the binary will change the system’s state in unexpected ways. It’s an easy denial of service attack, but is there a way to actually get root? It turns out the the Linux /etc/passwd file is particularly resilient. Lines that don’t make any sense as password entries are just ignored. Inject a pair of newlines and a single valid passwd entry into the passwd file, and you too can be root on an SAP system.

The hostexecstart vulnerability is a bit more involved. That binary starts and stops the SAP Host Agent on the system. That would be a dead end, except it can also take a SAR archive and upgrade the system agent. [Tao] chased a couple of dead ends regarding library injection and SAR archive signing, before finally using another standard setuid technique, the symbolic link. In this case, link the /etc/passwd file to the local sapcar_output location, and include a malicious passwd line inside a cooked SAR archive. hostexecstart tries to unpack the archive, and outputs the log right into the local sapcar_output file. But that file is really a symbolic link, and it once again clobbers passwd.

Google’s Take on End-to-end-encryption

We’re fans of end-to-end encryption around here. If Alice had a message that’s only intended for Bob to see, then it seems only right that Bob is really the only one that can read the message. The reality of modern cryptography is that this is 100% possible via RSA encryption, and the entire variety of asymmetric encryption schemes that followed. The problem with actually using such encryption is that it’s a pain. Between managing keys, getting an email client set up properly, and then actually using the system in practice, end-to-end asymmetric encryption is usually just not worth the hassle for everyday people.

Google feels that pain, and is bringing easy end-to-end encryption to business Gmail accounts. Except, it’s not actually asymmetric encryption. This works using the key access control list (KACL). Here Alice writes a message, and asks the KACL server for a key to use to send it to Bob. The server provides a symmetric key, and Alice encrypts the message. Then when Bob receives the message, he asks the same server for the same key, and the server provides it, allowing him to decrypt the message.

So is this actually end-to-end encryption? Yes, but also no. While this solution does mean that Google never has the key needed to decrypt the message, it also means that whoever is running the KACL server does have that key. But it is better than the alternative. And the technique in use here could be adapted to make true symmetric encryption far easier for end users.

Ivanti Connect Active Exploit

Google’s Mandiant has announced that Ivanti Connect Secure boxes are under active exploitation via an n-day exploit. This is a buffer overflow that Ivanti discovered internally, and patched in February of this year. The overflow was considered to be strictly limited to denial of service, as the characters written to memory could only be digits and the dot symbol. If that sounds like an IP address, just hang on, and we’ll get there.

It’s apparent that malware actors around the world are actively checking for potential vulnerabilities in Ivanti firmware updates, as the group Mandiant calls UNC5221 has apparently worked out a way to achieve Remote Code Execution with this vulnerability, and is using it to deploy malware on these systems. This is thought to be the same Chinese group that Microsoft appropriately calls Silk Typhoon.

Our friends at watchTowr have dug a bit more into this issue, and found the exact vulnerable code. It’s in HTTP header handling code, where a specific header is first limited to numerals and the period, and then copied into a fixed size buffer. Remember that observation that this sounds like an IP address? The header is X-Forwarded-For, and setting that to a long string of numbers on a vulnerable Ivanti box will indeed trigger a crash in the web binary. There’s no word yet on how exactly that was used to achieve RCE, but we’re very much hoping the rest of the story comes to light, because it’s an impressive feat.

Bits and Bytes

About 100,000 WordPress sites have a real problem. The Ottokit plugin has an authentication bypass issue, where a blank API key can be matched by setting an empty st_authorization header in an incoming request. The flaw was reported privately on April 3rd, and a fixed version was released the same day. But within hours exploitation attempts were seen in the wild.

Legacy Gigacenter devices expose a TR-069 service on port 6998. That service can be accessed with a simple telnet connection, and the commands entered here are not properly sanitized before being evaluated. Anything inside a $() substitution string is executed locally: $(ping -c5 your.ip.address) This makes for an exceedingly trivial remote code execution attack on these devices.

And finally, the Langflow AI workflow tool has a simple remote exploit vulnerability fixed in version 1.3.0. This vulnerability notably allows bypassing authentication through an API endpoint. While Langflow has Python execution by design, doing it while bypassing authentication is a definite problem. You should update to 1.3.0, and don’t expose Langflow to the Internet at all if you can help it.

hackaday.com/2025/04/11/this-w…

Microsoft ha registrato una distribuzione su larga scala di e-mail dannose che sfruttano argomenti relativi alla dichiarazione dei redditi per rubare dati e installare malware.

La particolarità di queste campagne è l’impiego di tecniche moderne per aggirare filtri e sistemi di sicurezza: gli aggressori introducono codici QR, accorciatori di link, servizi legittimi di archiviazione di file e profili aziendali per non destare sospetti nei sistemi antivirus e nei gateway di posta.

Le campagne sono rivolte a utenti aziendali e privati ​​che vengono attirati verso pagine di accesso false tramite la piattaforma di phishing RaccoonO365. Viene utilizzato per raccogliere le credenziali di Microsoft 365 e distribuire payload dannosi come i trojan remoti Remcos, GuLoader, AHKBot, i downloader Latrodectus e il framework di test di penetrazione e post-sfruttamento BruteRatel C4.

Uno degli attacchi, scoperto il 6 febbraio 2025, aveva come target gli utenti statunitensi ed era attivamente diffuso tramite file PDF con link che rimandavano a una falsa pagina DocuSign. Dopo aver cliccato sul collegamento, venivano controllati il ​​sistema e l’indirizzo IP della vittima: se il dispositivo veniva considerato “promettente”, veniva scaricato JavaScript, che installava un file MSI dannoso con BRc4 e poi scaricava Latrodectus. In altri casi, l’utente riceveva un file innocuo, il che riduceva il rischio che il sistema venisse scoperto.

Un’altra campagna, registrata tra il 12 e il 28 febbraio, è stata ancora più grande: più di 2.300 organizzazioni nei settori IT, ingegneria e consulenza sono state vittime di una mailing con PDF contenenti codici QR. Questi codici portavano alle pagine di phishing di RaccoonO365 camuffate da interfaccia di accesso di Microsoft 365, costringendo così i dipendenti a inserire i propri nomi utente e password.

Gli scenari di phishing variano notevolmente. Nel caso di AHKBot, all’utente veniva offerto un documento Excel con macro: dopo averle attivate, iniziava una catena di download che si concludeva con l’installazione di uno script AutoHotKey. Catturava degli screenshot e li trasmetteva a un server remoto. La campagna GuLoader ha utilizzato archivi ZIP con etichette che assomigliavano a moduli fiscali. Una volta aperto, è stato avviato PowerShell, che ha avviato il download del codice dannoso e l’installazione di Remcos RAT.

Sempre più spesso gli aggressori utilizzano strumenti per aggirare filtri e gateway di sicurezza: ad esempio, file SVG per aggirare i sistemi anti-spam, finestre del browser false (BitB) che imitano le interfacce di accesso e l’uso dei servizi Adobe, Dropbox, Zoho e DocuSign per nascondere attività dannose.

I ricercatori hanno prestato particolare attenzione alle azioni del gruppo Storm-0249. Tra le sue campagne più recenti rientrano il reindirizzamento degli utenti a false pagine di download di Windows 11 Pro tramite annunci di Facebook, che hanno portato all’installazione di Latrodectus. Una versione aggiornata del malware, rilevata a febbraio, includeva nuovi comandi e un modo per persistere nel sistema tramite attività pianificate.

L'articolo Benvenuto nel mondo delle Botnet! Apri un file PDF e perdi tutto proviene da il blog della sicurezza informatica.

Un avviso è comparso sul sito ufficiale di Busitalia, la società del gruppo Ferrovie dello Stato che gestisce il trasporto pubblico nelle province di Padova e Rovigo. In mezzo agli aggiornamenti sulle nuove corse e alle modifiche delle linee, è stato pubblicato un comunicato dal titolo inequivocabile: “Comunicazione di una violazione dei dati personali”.

Nei giorni scorsi Busitalia è stata vittima di un attacco informatico che ha compromesso i dati personali dei passeggeri registrati. L’incidente riguarda in particolare i canali digitali come l’App Busitalia Veneto e il portale abbonamenti, che vengono utilizzati quotidianamente da migliaia di utenti per gestire spostamenti e titoli di viaggio.
Si informano i clienti dei servizi di trasporto di Busitalia Veneto S.p.A. che i canali App Busitalia Veneto e il portale abbonamenti on line gestiti da un fornitore esterno quale Responsabile del trattamento, hanno subito una violazione dei dati personali.

Nello specifico, il fornitore ha comunicato che è stata riscontrata a livello di un data center esterno, una violazione dei dati personali (esfiltrazione non autorizzata verso un cloud esterno) causata da attività malevole di attori esterni non identificati, avvenuta tra il 29 e il 30 marzo 2025.

Di tali fatti, è stata trasmessa comunicazione a Busitalia Veneto S.p.A. in data 4 aprile u.s., quale Titolare del trattamento dei dati personali in argomento. Nel dettaglio, il fornitore ha comunicato che:

· le categorie di interessati coinvolte sono: Utenti/Contraenti/Abbonati/Clienti attuali o potenziali;

· le categorie di dati personali oggetto della violazione sono: dati anagrafici, dati di contatto, dati di profilazione, dati relativi all’ubicazione. Non sono stati invece coinvolti i dati relativi alle carte di credito, in quanto conservati presso i sistemi di Payment Service Provider;

· le probabili conseguenze della violazione per gli interessati riguardano la potenziale perdita di riservatezza (possibilità che i dati siano divulgati al di fuori di quanto previsto dall’informativa ovvero dalla disciplina di riferimento) e perdita di disponibilità (mancato accesso a servizi, malfunzionamento e difficoltà nell’utilizzo di servizi);

· non appena rilevata la violazione, il sistema è stato reso inaccessibile per un periodo di tempo limitato al fine di consentire le opportune verifiche ed azioni di sicurezza;

· sono state adottate e sono in corso di adozione misure per contenere la violazione e attenuarne gli effetti, nonché volte a prevenire il ripetersi di violazioni analoghe.

Si consiglia comunque, in via del tutto precauzionale, di modificare la password dell’account e di prestare particolare attenzione a e-mail di phishing, messaggi e chiamate sospetti o altre richieste di informazioni personali.

L’Azienda si è immediatamente attivata per analizzare quanto accaduto e per mettere in atto tutte le misure possibili per scongiurare le conseguenze negative di tale attacco verso i propri Clienti. In particolare, Busitalia Veneto S.p.A., oltre al presente comunicato, ha ritenuto di effettuare:

• la notifica preliminare all’Autorità Garante per la protezione dei dati personali;

• la richiesta di informazioni al Responsabile del trattamento, ai sensi dell’art. 28, par. 3, lettere f) e g), del GDPR affinché assista Busitalia Veneto S.p.A. nel garantire il rispetto degli artt. da 32 a 36, con particolare riferimento alla gestione della violazione dei dati personali e alle misure di sicurezza implementate a seguito della stessa.

Per ulteriori informazioni in ordine alla violazione in argomento, le richieste possono essere presentanti direttamente ai contatti istituzionali della società. di seguito indicati:
• privacy@fsbusitaliaveneto.it
• protezionedati@fsbusitalia.it

Infine, si desidera rassicurare i Clienti che Busitalia Veneto S.p.A. è impegnata a proteggere e a salvaguardare qualsiasi dato personale e, anche in questa circostanza, agirà nell’interesse e per la tutela dei diritti dei propri Clienti.

Rimarremo costantemente in contatto con il fornitore per monitorare l’esito degli accertamenti e per assumere ogni altra iniziativa volta a mitigare i possibili effettivi di quanto verificatosi.
La società ha prontamente informato i clienti, specificando che l’attacco ha potenzialmente esposto informazioni sensibili. Tuttavia, non sono ancora stati resi noti i dettagli tecnici sull’entità dell’intrusione, né quali dati siano stati effettivamente compromessi. Busitalia ha dichiarato di aver immediatamente avviato le procedure di sicurezza previste dal GDPR e di essere al lavoro per limitare gli impatti dell’incidente.

Secondo le prime ricostruzioni, l’accesso non autorizzato ai sistemi avrebbe potuto permettere la visualizzazione di dati personali come “dati anagrafici, dati di contatto, dati di profilazione, dati relativi all’ubicazione. Non sono stati invece coinvolti i dati relativi alle carte di credito, in quanto conservati presso i sistemi di Payment Service Provider”

L’accaduto sottolinea ancora una volta la crescente vulnerabilità dei sistemi informatici nel settore dei trasporti pubblici. In un contesto in cui la digitalizzazione dei servizi è sempre più centrale, episodi come questo richiamano l’urgenza di investire in soluzioni di cybersecurity più robuste e in una maggiore sensibilizzazione degli utenti.

L'articolo Attacco hacker a Busitalia: compromessi i dati dei passeggeri proviene da il blog della sicurezza informatica.

Il presidente degli Stati Uniti Donald Trump ha firmato un ordine esecutivo che elimina le restrizioni federali sulla quantità d’acqua utilizzabile dai soffioni delle docce. La misura cancella i limiti introdotti dalle amministrazioni Obama e Biden, che fissavano il massimo flusso a nove litri al minuto per favorire il risparmio idrico. Nel testo si legge che gli americani "pagano la propria acqua e devono essere liberi di scegliere come fare la doccia, senza intrusioni federali".

Ma non erano i woke quelli che, con tutti i problemi seri che ci sono, stavano a preoccuparsi di cose futili come l'identità di genere, il binarismo sessuale, ecc.?

E questo fa un ordine esecutivo per farsi la doccia con tanta acqua?

agi.it/estero/news/2025-04-10/…

Sono stato a vedere la mostra Genealogies di Thomas Schütte, allestita dalla Pinault Collection a Venezia nella sede di Punta della Dogana. Un’esposizione che attraversa decenni di produzione, materiali eterogenei e registri espressivi che vanno dall’ironia alla gravità. L’essere umano è al centro: corpi, volti, figure. Ma sempre sfuggenti. Mai rassicuranti.

Il lavoro di Schütte sul corpo mi ha colpito in particolare per la sua capacità di destabilizzare. Le figure non aderiscono a un codice normativo: sono deformate, abbozzate, eccessive, assenti. I “Fratelli” presentano espressioni contratte, fisse, ambigue. Nascono da uno studio sui busti romani e sono ispirati dallo scandalo Mani Pulite. Mi hanno molto colpito: mi sono sentito osservato e inquietato da queste figure mute, statiche, eppure piene di tensione.

“Vater Staat”, imponente e trasandato con la sua vestaglia, è lo Stato ridotto a una goffa caricatura. Un padre vecchio, immobile, incapace eppure enorme. E proprio da questa immobilità emerge una strana forma di potenza simbolica. Lo sguardo dell’artista, in questi casi, è acuto, critico, capace di riflettere in modo ironico e cupo sul potere e sull’identità.

Il corpo qui non è un’icona, ma un campo di tensioni. Sospeso tra fallimento, desiderio e memoria. La mia passione per l’arte queer mi ha fatto pensare al corpo come indefinito, che scivola via dalla norma. Anche se questa lettura è del tutto personale e soggettiva, resta però chiaro che questi corpi non si lasciano facilmente decifrare, né tantomeno glorificare.

La rappresentazione femminile, invece, mi ha coinvolto meno. Pur essendo varia e apparentemente sovversiva (le Donne piangenti, le donne distese deformate, la Geisha attempata), mi è sembrata spesso meno profonda e meno incisiva rispetto al lavoro fatto sui corpi e sui volti maschili. Un po’ come se l’artista stesse cercando un modo alternativo di raffigurare le donne, ma da una posizione inevitabilmente maschile, senza riuscire davvero a costruirne uno alternativo e senza scardinarne lo sguardo.

Durante la visita, una sorpresa: un’immagine bellissima e inattesa. Alcune opere erano collocate in cima al torrione, con il belvedere sulla laguna. Il cielo di Venezia, la luce dell’acqua, il vento: un momento sospeso. E anche lì, in quell’aria, il corpo sembrava sfuggire, come un fantasma.

@Arte e Cultura @Cultura
#arte #venezia #puntadelladogana #ThomasSchutte

In questi giorni caotici in cui le notizie da oltreoceano si susseguono come proiettili di una mitragliatrice, non riesco a non pensare ad un aspetto che rischia di passare inosservato, schiacciato dal peso dei gravi effetti di Trump sul mondo:

I SOSTENITORI DI TRUMP IN ITALIA.

Ne conosco diversi, tanti, troppi: quelli che già da prima del voto sostenevano che Trump fosse l'unica scelta possibile, visto che Biden era chiaramente uscito di senno e, successivamente, "ma chi voti? Voti la Harris? Una sciacquetta senza nessuna credibilità".

C'era chi sosteneva che la nuova venuta di Trump avrebbe finalmente portato la pace nel mondo, un mondo più tranquillo dopo che quel "guerrafondaio di Biden" aveva fatto di tutto per rovinarlo.

"E poi vuoi mettere l'economia?" Sicuramente Trump, un affarista nato, avrebbe fatto risorgere i mercati mettendo al contempo la Cina al suo posto, e "vedrai come risorge l'occidente!"

Oggi, in un mondo normale, gli italiani che sostenevano tutto questo non dovrebbero uscire di casa per la vergogna. Io al loro posto non mi farei più vedere, cambierei cognome, nasconderei la testa sotto la sabbia lasciando le terga al vento, pur di non dover parlare più con nessuno: perché la figura di merda colossale che starei facendo non sarebbe più riparabile.

E invece no.

Li trovi ancora a scrivere blog, articoli, cazzate dai titoli simili a questo: "Dazi USA a Taiwan: suicidio economico o strategia geniale?".

A qualunque persona con due neuroni attivi pare ormai chiaro che l'unico veramente fuori di testa sia proprio Trump, più che Biden, che gli Stati Uniti di sono ormai una barzelletta, che il consigliere economico di trump, Peter Navarro, sia uno che deve essersi fatto di qualche droga tagliata male, ma i "nostri" no, a loro non la si fa: stoici, continuano ad arrampicarsi sugli specchi. Trump è un grande statista, è tutto calcolato, "almeno tolgono l'ideologia woke", Musk un grande imprenditore (praticamente un filantropo); insomma, tutto normale. E' ormai chiarissimo che l'operato di Trump sia sovrapponibile ai desideri di Punti per l'occidente. Io qualche domandina me la farei e qualche risposta me la darei.

A me pare evidente che, se anche per il mondo ci potrebbe essere qualche speranza, l'Italia è già bella che spacciata: perché le persone così sono ormai cresciute e diventate abbastanza da formare una massa critica. Come si può essere così ottusi?

Vi prego, datemi un punto di vista diverso dal mio, fatemi cambiare idea.

#trump #dazi #europa #usa #italia #taiwan #harris #musk #destra #trumpismo #Italia #trumpism #guerradeidazi #tariffs #russia