Nel contesto di un’attività sempre più criminale, Darktrace ha scoperto una nuova campagna che utilizza la botnet ShadowV2. I ricercatori hanno rilevato attività dannose il 24 giugno 2025, quando sono stati attivati i loro honeypot. Questo sistema si basa su un trojan scritto in Go che trasforma i container cloud di Amazon Web Services compromessi in nodi a tutti gli effetti per attacchi DDoS.

ShadowV2 è unico in quanto sfrutta istanze Docker vulnerabili in esecuzione su macchine virtuali AWS EC2. Il primo passo dell’infezione è l’implementazione di un container helper basato su un’immagine Ubuntu, che installa automaticamente gli strumenti necessari.

Successivamente, viene creato un container separato con un file eseguibile ELF precompilato che comunica con il server di comando e controllo all’indirizzo “shadow.aurozacloud[.]xyz“. Il malware invia regolarmente messaggi heartbeat e riceve comandi da questo server, incluse le istruzioni per lanciare attacchi.

L’infrastruttura di controllo della botnet è realizzata utilizzando il framework Python FastAPI e la libreria Pydantic. L’interfaccia web del sistema include un modulo di login e un pannello di controllo per gli operatori, consentendo loro di aggiungere e modificare utenti, impostare parametri di attacco e specificare elenchi di obiettivi ed eccezioni. Tutto ciò indica che ShadowV2 è una piattaforma pronta all’uso per attacchi DDoS che utilizzano il modello “servizio a pagamento”.

Gli attacchi distribuiti effettuati tramite ShadowV2 includono tecniche avanzate. Tra queste, HTTP/2 Rapid Reset , un attacco in grado di mandare in crash i server resettando ripetutamente le connessioni ad alta velocità, e bypassando la modalità Under Attack di Cloudflare. Quest’ultima viene implementata tramite lo strumento ChromeDP, che risolve automaticamente le attività JavaScript e ottiene i cookie di bypass.

Tuttavia, l’affidabilità di questo metodo è discutibile, poiché molte soluzioni di sicurezza rilevano e bloccano il comportamento dei browser headless.

Inoltre, ShadowV2 utilizza un modulo di distribuzione separato, anch’esso scritto in Python. Questo componente hackera i daemon Docker e poi distribuisce un container dannoso. Questo approccio consente ai criminali di ridurre al minimo la loro presenza sui computer compromessi e ostacolare le analisi forensi.

Ciò che è particolarmente allarmante è l’attenzione dell’intera architettura su estensibilità e riutilizzo: l’API di controllo consente non solo di personalizzare gli attacchi, ma anche di scalare massicciamente l’infrastruttura con completa automazione. ShadowV2 rappresenta quindi un esempio di una nuova generazione di criminalità informatica, in cui gli strumenti dannosi assomigliano sempre più ai prodotti SaaS legittimi in termini di praticità e scalabilità.

In seguito a questo incidente, F5 Labs ha segnalato un’altra ondata di attività: una botnet che utilizza intestazioni di browser mascherate da Mozilla sta conducendo una scansione massiva di Internet alla ricerca di vulnerabilità note. In totale, sono state rilevate oltre 11.000 diverse stringhe User-Agent associate ai browser basati su Mozilla.

Nel frattempo, Cloudflare ha pubblicato un proprio report annunciando il blocco automatico del più grande attacco DDoS mai registrato. L’impatto registrato ha raggiunto i 22,2 Tbps con un picco di 10,6 miliardi di pacchetti al secondo. L’attacco è durato solo 40 secondi, ma la sua intensità ha stabilito un nuovo record nella storia delle minacce informatiche.

Tutti questi eventi evidenziano la tendenza verso strumenti di attacco sempre più sofisticati e la crescita del settore del “cybercrime-as-a-service”. Le botnet moderne come ShadowV2 sono sviluppate pensando a scalabilità, funzionalità e facilità d’uso, anche per clienti tecnicamente inesperti.

L'articolo ShadowV2: la nuova botnet MaaS per attacchi DDoS sfrutta i container proviene da il blog della sicurezza informatica.

Il sistema informatico del Comune di Forlì è stato oggetto di un attacco hacker che ha compromesso il funzionamento di diversi servizi digitali. L’amministrazione comunale, riporta Il Resto Del Carlino, ha confermato ufficialmente l’“accesso non autorizzato”, senza però specificare il momento esatto in cui si è verificata l’intrusione.

A seguito dell’attacco, numerosi cittadini e dipendenti hanno riscontrato difficoltà nell’utilizzo delle piattaforme online, con disagi crescenti per chi deve accedere ai servizi comunali.

La posizione del Comune

In una nota ufficiale, l’amministrazione ha dichiarato riguardo alla fuoriuscita dei dati che “ad oggi, a seguito delle attività di verifica, non ci sono evidenze. Le attività di verifica restano comunque in corso”. Gli archivi comunali contengono una grande quantità di informazioni delicate sui cittadini, ma dalle prime analisi non emergono compromissioni.

Per tutelare utenti e personale, il Comune ha attivato immediatamente le procedure di sicurezza e avviato indagini tecniche approfondite, in collaborazione con l’Agenzia per la Cybersicurezza Nazionale, le autorità competenti e i partner tecnologici.

Alcuni sistemi e servizi digitali rimarranno tuttavia temporaneamente non disponibili per consentire i controlli in condizioni di sicurezza.

Le critiche di Europa Verde

Le prime segnalazioni pubbliche sono arrivate da Alessandro Ronchi e Maria Grazia Creta, esponenti di Europa Verde Forlì. I due hanno evidenziato come l’interruzione dei servizi comunali stia creando notevoli difficoltà, in particolare nell’impossibilità di depositare pratiche edilizie.

Ronchi e Creta hanno inoltre ricordato la sospensione del progetto di digitalizzazione degli archivi comunali da parte della giunta Zattini, sottolineando che tale decisione ha amplificato i danni derivanti dall’alluvione e che episodi come questo confermano l’urgenza di rafforzare la gestione digitale.

La replica dell’amministrazione

Il Comune, da parte sua, ha riconosciuto i disagi per cittadini e professionisti, assicurando l’impegno a ridurli al minimo e a fornire aggiornamenti costanti sull’evoluzione della situazione.

“La protezione dei dati e la sicurezza dei sistemi informativi restano una priorità assoluta”, si legge nella dichiarazione ufficiale, che annuncia nuove comunicazioni attraverso i canali istituzionali non appena saranno disponibili ulteriori elementi.

L'articolo Attacco Informatico al Comune di Forlì: verifiche in corso, nessun furto di dati proviene da il blog della sicurezza informatica.

Ho lavorato per diversi anni come System Engineer e uno dei compiti che ho svolto è stata la gestione di Citrix PVS. Uno dei problemi con PVS era l’analisi dei file di dump. L’unico modo per generare un file di dump completo era utilizzare l’ opzione DedicatedDumpFile, disponibile come chiave di registro in HKLMSYSTEMCurrentControlSetControlCrashControl.

Un ostacolo significativo quando il file DedicatedDumpFile è abilitato e configurato è la sua eliminazione, poiché è sempre in uso da parte di un processo.

Il crash dump viene creato dal kernel di Windows (ntoskrnl.exe) in collaborazione con il driver Crashdmp.sys. Per garantire che il file sia sempre contiguo, non frammentato e disponibile al momento del crash, il kernel lo mantiene aperto e riservato mentre il sistema è in esecuzione.

Ora, cosa succede se il valore della chiave di registro DedicatedDumpFile non è un file .dmp?

Per impostazione predefinita, Windows non verifica se il valore della chiave punta a un file .dmp. Se inseriamo il percorso di un file .exe (ad esempio, EDR.exe) nella chiave DedicatedDumpFile , Windows aprirà il file all’avvio, causando l’utilizzo del file .exe.

Questo può causare il crash di un processo protetto, come un EDR? Certo che sì.

Ho creato un semplice script PowerShell che aggiunge la chiave DedicatedDumpFile con il valore di un percorso .exe (EDRService.exe).
Powershell per aggiungere la chiave
Come puoi vedere nell’immagine sottostante, la chiave è stata aggiunta correttamente.
Chiave aggiunta nel registro di Windows
Naturalmente è necessario un riavvio perché la chiave venga aggiunta in HKLM .

Dopo il riavvio, come accennato in precedenza, il processo EDR non può essere avviato perché il servizio è in uso.

Ora siamo in grado di eseguire le azioni desiderate senza l’interazione dell’EDR.
Il servizio EDR non si avvia
Questa tecnica è stata testata su otto EDR e solo uno di essi l’ha bloccata, non a causa di DedicatedDumpFile, ma perché controlla se una chiave di registro è scritta con il suo nome.

L'articolo Come disabilitare un EDR tramite registro? Con il DedicatedDumpFile proviene da il blog della sicurezza informatica.

GitHub ha annunciato importanti modifiche al sistema di autenticazione e pubblicazione npm, volte a rafforzare la protezione contro gli attacchi alla supply chain. Gli aggiornamenti sono stati motivati dalla recente campagna Shai-Hulud, un worm dannoso e auto-propagante incorporato in centinaia di librerie npm. Non solo si replicava in altri pacchetti, ma scansionava anche i dispositivi degli sviluppatori alla ricerca di dati sensibili, tra cui chiavi e token, e li trasmetteva agli aggressori.

In risposta all’incidente, GitHub ha annunciato che avrebbe presto eliminato i meccanismi di autorizzazione legacy e introdotto controlli più rigorosi.

Le modifiche principali includono l’autenticazione a due fattori obbligatoria per la pubblicazione locale e il passaggio a token di breve durata con una validità massima di sette giorni. Inoltre, l’azienda promuoverà attivamente l’uso di Trusted Publishing, un sistema basato sul protocollo OpenID Connect che consente la pubblicazione diretta di pacchetti da CI/CD senza token.

Trusted Publishing crea un collegamento crittograficamente verificabile tra un pacchetto pubblicato e il suo ambiente di compilazione. L’interfaccia a riga di comando di npm genera e allega automaticamente una prova di autenticità alla release, consentendo a ogni utente di verificare dove e in quali condizioni il pacchetto è stato compilato. Questa soluzione mira ad aumentare la trasparenza e la fiducia nei fornitori di componenti software.

La transizione al nuovo sistema includerà le seguenti modifiche:

• token classici precedentemente utilizzati per la pubblicazione;
• dismissione del TOTP come metodo 2FA a favore di chiavi fisiche compatibili con FIDO;
• limitare il periodo di validità dei token dettagliati, in particolare quelli che concedono il diritto di pubblicazione;
• Blocco della pubblicazione tramite token per impostazione predefinita: verrà data preferenza alla pubblicazione attendibile o al caricamento manuale con 2FA;
• rimozione delle eccezioni che consentono di aggirare la protezione a due fattori durante la pubblicazione locale;
• ampliando l’elenco dei provider CI/CD adatti alla pubblicazione attendibile.

Secondo GitHub, ciò dovrebbe ridurre drasticamente la capacità degli aggressori di impossessarsi dell’infrastruttura NPM tramite token contraffatti o rubati, soprattutto data la portata dell’attacco Shai-Hulud.

L’ago della bilancia è stato un malware scoperto recentemente che è stato in grado non solo di replicarsi, ma anche di rubare diversi tipi di segreti, andando ben oltre la compromissione di un singolo ecosistema. L’azienda sottolinea che senza il tempestivo intervento della community e la sua risposta, le conseguenze avrebbero potuto essere molto più gravi.

Il nuovo modello di pubblicazione mira a ridurre la dipendenza dai token come singolo punto di errore e ad aumentare il livello di verifica di ogni azione relativa al posizionamento dei pacchetti.

Queste misure non rappresentano solo una risposta a un attacco specifico, ma anche una revisione strategica dell’intero sistema di sicurezza, basata sui principi di minimizzazione dei privilegi e verifica crittografica.

L'articolo GitHub rafforza la sicurezza npm contro gli attacchi alla supply chain proviene da il blog della sicurezza informatica.

I ricercatori di Google DeepMind hanno pubblicato una versione aggiornata del loro framework di valutazione del rischio dell’IA, Frontier Safety Framework 3.0. Questo documento esamina come i modelli generativi possano impazzire e rappresentare una minaccia. Considera scenari in cui l’IA ignora i tentativi degli utenti di fermarla.

L’approccio di DeepMind si basa sui cosiddetti “Livelli di Capacità Critica” (Critical Capability Levels, CCL). Si tratta di una scala per valutare il punto in cui il comportamento di un modello diventa pericoloso, ad esempio nella sicurezza informatica o nelle biotecnologie.

Il documento descrive le misure che gli sviluppatori dovrebbero adottare quando i loro sistemi raggiungono un certo livello di rischio.

I ricercatori citano il potenziale di perdita di peso del modello come una delle principali minacce. Se queste perdite dovessero finire nelle mani di malintenzionati, questi potrebbero disabilitare le limitazioni integrate e utilizzare l’IA per creare malware o persino sviluppare armi biologiche. Un altro rischio è il comportamento manipolativo.

DeepMind avverte che i chatbot potrebbero influenzare la visione del mondo delle persone, sebbene osservi che si tratta di una “minaccia a bassa velocità” che la società sta attualmente affrontando con i propri meccanismi di difesa.

Particolare attenzione viene rivolta all'”IA non coordinata”, ovvero a sistemi che iniziano a ignorare le istruzioni o ad agire contro gli interessi umani. Sono già stati registrati casi di modelli ingannevoli o ostinati.

In futuro, tali sistemi potrebbero sviluppare un efficace “ragionamento simulato”, ma senza passaggi intermedi verificabili. Ciò significa che il monitoraggio dei loro processi diventerà praticamente impossibile.

Attualmente non esistono proposte per una soluzione definitiva a questo problema. DeepMind raccomanda solo di utilizzare il monitoraggio automatizzato per analizzare i risultati intermedi dei modelli e identificare eventuali segnali di incoerenza.

Tuttavia, gli stessi ricercatori riconoscono che si sa ancora troppo poco su come le moderne IA giungano alle loro risposte e che la minaccia potrebbe intensificarsi nei prossimi anni.

L'articolo Verso l’AGI: Google DeepMind avverte, l’IA potrebbe ignorare gli esseri umani proviene da il blog della sicurezza informatica.

Lo striscione che campeggia davanti a Montecitorio è il risultato di una mobilitazione straordinaria.
A sostenerlo con noi i deputati Francesco Emilio Borrelli, Andrea Volpi e Filiberto Zaratti e la Consigliera regionale Alessandra Zeppieri. La prima giornata di presidio si è quindi conclusa così.
Domani proseguiamo per arrivare a una consegna della petizione e di tutte le firme a suo sostegno che si traduca in un impegno che onori, come merita, ognuna di quelle firme.

L'Unione dei Comitati contro l'inceneritore

A searchable public database known as the Police Records Access Project has made public for the first time more than 1.5 million pages of previously secret records about the use of force and misconduct by California police officers.

The California Reporting Project, a collaboration between news outlets, universities, and civil society organizations, began collecting and organizing the documents after the passage of SB 1421, a landmark law that made them public records. The law was expanded in 2021 to give the public even greater access.

Now, however, the California legislature is beginning to reverse course. This month, it passed AB 1178, a new bill that would make it harder for the public to access police misconduct records. The bill is awaiting Gov. Gavin Newsom’s signature or veto.

We spoke to journalist Lisa Pickoff-White, who is the director of research at the California Reporting Project, about what the CRP has accomplished so far and what AB 1178 could mean for transparency and accountability.

What are some of the most impactful stories journalists in the CRP have published using these records?

The project had impact from the beginning. A district attorney dropped charges against a woman who was wrongly arrested for allegedly misusing 911, after an investigation into one of the first cases released under SB 1421.

Reporters documented where departments failed to investigate police killings, found a homicide detective whose dishonesty upended criminal cases, and uncovered a pattern of excessive force at a state prison. We identified 22 people who died after officers held them face down, including two people who died after a state law banning the practice.

The governor is expected to sign a law barring agencies from using secret deals to conceal misconduct, prompted by an investigation exposing how 163 departments signed “clean-record agreements.”

What were some of the biggest challenges in collecting, reviewing, and standardizing these records and launching the database?

Obtaining records continues to be a major challenge. Just days before SB 1421 took effect, Inglewood destroyed records, for instance. In August, we sued San Joaquin County over the cost of autopsy reports related to deaths caused by law enforcement officers. We’ve made more than 3,500 record requests and maintain relationships with hundreds of agencies.

Once we have the records, assembling them is a challenge. There’s no standard police report, and we receive a great variety of files, from PDFs to surveillance video. We built tools to extract information, which researchers use to match files into a case. Then we reextract information from each case, some of which is published, and then also used to help us identify places where we need more records.

Now that the database is public, what should journalists know about using it? How has the public responded to the database since it launched?

So far, people have searched our archive more than 1 million times. We’ve heard from people who have lost loved ones to police violence that this database makes it easier to access records.

Expanding the search can help. Multiple agencies may have records about the same incident. If an officer shoots and kills someone, the police, the district attorney, and the medical examiner or coroner may hold records. A review board may have files. The state attorney general could investigate. Sometimes, agencies also investigate cases for each other; a local sheriff may investigate a shooting for a police department.

Officers can also appeal disciplinary charges. If you’re looking at a misconduct case, it might also be worth searching local administrative agencies or the state personnel board.

A new bill awaiting the signature or veto of Gov. Newsom, AB 1178, could lead to more redactions when officers claim their duties require anonymity. What would it mean for transparency and accountability if misconduct records become harder for the press and the public to obtain?

Without AB 1178, agencies can already redact the names of undercover officers. Our records show that agencies across the state continue to improperly redact the names of officers. Meanwhile, the bill’s authors have yet to cite any harm that’s come from releasing the names of officers involved in use-of-force and misconduct incidents.

Our reporting, and other investigations, revealed that agencies can and do hire officers who previously violated policies. These officers are more likely to receive complaints again. For instance, Derek Chauvin had 18 prior complaints in the Minneapolis Police Department, two of which led to discipline, before killing George Floyd.

What lessons can journalists and advocates in other states learn from CRP’s work?

There is a vast amount of work to do and collaboration is the key to doing it. More than 100 reporters have worked on the project for the last seven years, and we needed people with a wide range of expertise to make requests, build tools, and report.

That mix of skills allowed us to build tools to spot the gaps between what cases agencies disclose and incidents listed in other data sources about shootings and sustained complaints. We’ve gained thousands of cases through this kind of check. Having a group of people with request aptitude, coding ability, and domain knowledge allowed us to identify what we needed and the incremental steps to take to get it.

freedom.press/issues/californi…