Nella tarda sera di lunedì 10 febbraio, durante una “ricognizione” sulle ultime “notizie” dal DarkWeb, un post sul noto forum BreachForums attira la mia attenzione. Il titolo: da prima pagina! “Cisco Data Breach – Ransomware Group Allegedly Breached Internal Network & Leaked AD”.

Il post, a “cura” dell’utente dallo pseudonimo lulagain (ndr tutto sommato anche con una discreta reputazione all’interno di BreachForum), riporta uno screenshot dove i presunti thread actors trollano Cisco con frasi del tipo: “Ci hai mentito e hai preso tempo per buttarci fuori.” e ancora “Ci vedremo presto, di nuovo. La prossima volta non avrai alcuna possibilità.”.

Lulagain continua con un’analisi del presunto attacco, dove i criminali informatici hanno avuto accesso alla rete interna di Cisco e all’Active Directory interna, collezionando username e NTLM Hash delle password. La presenza degli account dei Domain Controller, nel dump riportato, fa presumere a Lulagain che i malintenzionati abbiano avuto un accesso molto “profondo” alla rete e abbiamo potuto anche effettuare movimenti laterali all’interno della rete. Aggiunge inoltre, che tutto fa pensare ad un accesso persistente e ad una lunga permanenza all’interno della rete. Infine, ammette che Cisco non ha ufficialmente confermato l’attacco e conclude con consigli sulla sicurezza come: l’implementazione dalla MFA, analisi dei LOG, cambio password ecc.

Una notizia di questo livello non può essere passata inosservata e cerco qualche conferma. Trovo un articolo su Forbes e Kate O’Flaherty riporta che il presunto attacco è quello subito da Cisco del 2022. Quindi nessun nuovo attacco alla rete di Cisco!

La conferma è supportata da portavoce dell’azienda contatti via e-mail da Forbes, i quali confermano che “Cisco è a conoscenza di rapporti su incidenti di sicurezza” e che “l’incidente menzionato nei report è quello accaduto nel maggio 2022”.

Infine, si fa riferimento al post sul blog di sicurezza di Cisco Talos (il dipartimento di threat intelligence di Cisco) dove è possibile avere un report dettaglio sull’incidente di sicurezza.

Interessante lettura che ancora una volta conferma come il furto di credenziali sia il metodo preferito (e forse il più “semplice”) per guadagnare credenziali di accesso valide alle reti. Il report di sicurezza evidenzia come il “vettore inziale di attacco” sia stato un account Google personale di un dipendente compromesso. Sull’account era attiva la sincronizzazione delle password con Google Chrome, comprese le password di accesso ai sistemi ci Cisco. La MFA è poi stata violata con tecniche di social engineering come:

• MFA fatigue: che consiste nell’inviare decine di richieste di conferma finché l’utente per errore o per “sfinimento” conferma il codice MFA.
• VOICE PHISHING (aka “vishing”): Il vishing è una tecnica di social engineering sempre più comune, in cui gli attaccanti cercano di ingannare i dipendenti affinché rivelino informazioni sensibili al telefono. In questo caso, un dipendente ha riferito di aver ricevuto più chiamate nel corso di diversi giorni, in cui i chiamanti – che parlavano in inglese con vari accenti e dialetti internazionali – dichiaravano di essere associati a organizzazioni di supporto fidate dall’utente.

Ancora una volta, sebbene non si tratta di uno nuovo attaccato informatico, è importante comprendere che la formazione degli utenti, la cybersecurity awareness e l’utilizzo di strumenti per l’analisi delle credenziali compromesse, siano principi fondamentali per aumentare la sicurezza. In altre parole “le persone sono i nostri migliori firewall!”

L'articolo CISCO, violata? No! L’azienda rimanda alla violazione del 2022… proviene da il blog della sicurezza informatica.

Finalmente è tempo per la prima presentazione dell'anno! Ci verrà a trovare Raoul Dalmasso con il quale parleremo del suo libro "La storia dei quaranta o la verissima storia de li quaranta banditi di Amandola che se ne andarono a menar guerra al Turco" edito da Edizioni Malamente.
Un testo dalla narrazione pop e serrata, con un forte senso etico e politico. Sta al lettore decidere se leggerlo come un romanzo d'avventura o come una trattazione storica di eventi.
Dalmasso ci accompagna nella seconda metà del '500 nella marca del sud a suon di risse, archibugiate, fatti truci e sanguinosi ma anche di onore e giustizia, personale e sociale. Noi ci siamo lasciati trasportare dalla narrazione serrata del suo libro e siamo sicuri che conquisterà anche voi.

Anno 1565. Città di Amandola, Stato di Santa Chiesa. Tutta la Marca del Sud è infestata da una seditiosa et brigosa marmaglia de banniti. Sembra che queste terre montagnose non partoriscano altro che gente indocile e cruenta. Amandola non fa di certo eccezione. Anzi.
Quaranta banditi amandolesi vengono coinvolti nella guerra di famiglia dei Manardi che è appena ricominciata. L'intervento di Papa Pio V e i suoi birri obbligano i Quaranta a fuggire più lontano possibile dalla iustitia del Papa e dal cappio del boia. Riparano a Venezia, dove si arruolano come mercenari. La Serenissima, ben contenta di poter combattere il Male con il Peggio, li schiera nel bel mezzo della grande guerra contro il Turco.
La passeggiata terrena dei Quaranta si fa fottutamente difficile.

Ci vediamo venerdì 14 alle 18:30 in libreria, non mancate!

Art. 640 ter C.P. (Frode Informatica)
“Chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da euro 51 a euro 1.032.

La pena è della reclusione da uno a cinque anni e della multa da trecentonove euro a millecinquecentoquarantanove euro se ricorre una delle circostanze previste dal numero 1) del secondo comma dell'articolo 640, ovvero se il fatto produce un trasferimento di denaro, di valore monetario o di valuta virtuale o è commesso con abuso della qualità di operatore del sistema.

La pena è della reclusione da due a sei anni e della multa da euro 600 a euro 3.000 se il fatto è commesso con furto o indebito utilizzo dell'identità digitale in danno di uno o più soggetti.
Il delitto è punibile a querela della persona offesa, salvo che ricorra taluna delle circostanze di cui al secondo e terzo comma o la circostanza prevista dall'articolo 61, primo comma, numero 5, limitatamente all'aver approfittato di circostanze di persona, anche in riferimento all'età”
Oggi basta scrivere all’interno del proprio browser di ricerca, la parola Trading per essere indirizzati su centinaia di siti, che promettono guadagni esorbitati mediante l’investimento di semplici somme. Ricordiamo che l’attività di Trading Online, consiste nell’acquistare e vendere titoli finanziari via computer. L’obiettivo principale di chi fa TOL consiste nel guadagnare sulla differenza di prezzo tra acquisto e vendita.

In definitiva consiste in una negoziazione telematica di titoli finanziari, quindi di un servizio finanziario fornito da società autorizzate da Consob, il cui scopo sarà quello di mettere a disposizione dei clienti, una piattaforma, su cui visualizzare i titoli presenti su numerosi mercati borsistici esteri e italiani. Queste società sono chiamate “broker online” o intermediari digitali.

Chiunque effettui tale attività, deve essere autorizzato ai sensi del DECRETO LEGISLATIVO del 24 feb 1998, n.58, dall’autorità finanziaria dello Stato in cui ha sede.

Chiarito questo aspetto, l’investitore oculato deve verificare che il consulente finanziario, deve essere in possesso di questa autorizzazione, diversamente si è preda di un operatore abusivo, non controllato. Il trader abusivo, che tratterà per sé le somme conferitegli, creando l’illusione di aver effettuato grandi guadagni, sparendo successivamente, commetterà sia il reato di abusivismo finanziario che quello di truffa (art. 640 1comma del C.P.). Infatti, in qualità di finto promotore finanziario, con più azioni esecutive di un medesimo disegno criminoso, con artifizi e raggiri indurrà la vittima in errore, ottenendo un guadagno trattenendo per se o per altri le somme dell’ignara vittima.

La tipica frode si esplica mediante la proposta di investimenti, propedeutica per l’intervento successivo sui dati di pagamento forniti dalla vittima, oppure reindirizzando il malcapitato su pagine fake, sostituite a quelle di siti affidabili, oppure sfruttando la creazione di piattaforme su misura, sostenute da numerose recensioni false.

Solitamente il primo approccio avviene tramite un falso call center o mediante l’inoltro di Email/messaggi whatapps con proposte di investimento. Ottenuto il primo aggancio si verrà messi in contatto con quello che viene presentato come un consulente personale esperto, il quale avrà il compito di seguire tutte le operazioni.

Qui sarà possibile, ravvisare i primi segnali di truffa, infatti nel linguaggio utilizzato durante le comunicazioni, i messaggi sono solitamente infarciti di errori grammaticali. Inoltre il finto broker, non fornirà mai la documentazione informativa obbligatoria, in contrasto con il testo unico delle disposizioni in materia di intermediazione finanziaria.

La vittima, a questo punto, viene indotta ad investire, mediante piattaforme che sembrano affidabili. Piattaforme di cui il sedicente consulente, fornirà direttamente l’URL. Tali pagine,verosimilmente, saranno state hackerate o create ad hoc per eseguire tale attività di truffa. Da questo momento, per la persona vittima si apriranno due scenari:

il primo, si verifica quando il soggetto sarà indotta con artifici e raggiri ad effettuare direttamente investimenti che produrranno un guadagno ingiusto a favore del falso trader o di un terzo soggetto. La seconda si verifica quando la frode sarà veicolata sfruttando un sistema informatico, situazione che incorre quando la pagina del sito su cui si effettuano gli investimenti viene hackerata, oppure nella quale il falso operatore prospetta l’istallazione di programmi che sfruttano il protocollo RDP, necessari per un controllo remoto del computer della vittima.

Questa situazione manifesta i requisiti costitutivi della frode informatica (art. 640 ter del C.P.), in quanto si configura un inganno perpetrato mediante l’uso di strumenti informatici. Fattispecie aggravata dalla minorata difesa della vittima, poiché per la giurisprudenza l’utilizzo di sistemi informatici viene considerato pregiudizievole, in quanto permissivo di operazioni effettuabili a distanza.

Nelle fattispecie indicate, presenterà un grande fattore di criticità, il recupero degli eventuali fondi investiti, poiché per la maggior parte trasferiti su conti esteri, molto spesso sotto forma di criptovaluta e quindi difficilmente oggetto di provvedimenti di sequestro e restituzione da parte della Autorità Giudiziaria.

Come nella maggior parte delle fattispecie caratterizzate da frode, la miglior tutela risulta sempre l’attenzione preventiva. Una delle strategie utilizzate dai criminali informatici sarà puntare sull’elevata redditività dei prodotti , omettendo di spiegare in maniera esatta i rischi delle operazioni di investimento. Tuttavia la materia trattata comprende argomenti complessi e articolati, sia sul lato informatico che su quello finanziario, ovviamente non colmabili mediante semplici scambi telefonici o messaggi.

L'articolo Hacker, Finti Broker e Call Center Truffaldini: Ecco Come Rubano i Tuoi Soldi proviene da il blog della sicurezza informatica.

Gli sponsor fossili di Sanremo: testi e musiche “sostenibili”, dirige l’orchestra il greenwashing

Anche quest'anno la rassegna è sostenuta da aziende che operano in settori che hanno gravi responsabilità nella crisi climatica e ambientale: da Eni a Coca-Cola, passando per Costa crociere a Suzuki.

#cambiamentoclimatico #costacrociere #crociere #eni #enigreenwashing #fontifossili #generali #greenwashing #plenitude #pubblicitàfontifossili #sanremo

Gli sponsor fossili di Sanremo: testi e musiche "sostenibili", dirige l'orchestra il greenwashing

^{Andrea Siccardo (Altreconomia)}

Interesting parts make for interesting projects, and this nifty precision voltage reference has some pretty cool parts, not to mention an interesting test jig.

The heart of [Gaurav Singh]’s voltage reference is an ADR1399, precision shunt reference from Analog Devices. The datasheet makes for pretty good reading and reveals that there’s a lot going on inside the TO-49 case, which looks unusually large thanks to a thick plastic coat. The insulation is needed for thermal stability for the heated Zener diode reference. The device also has a couple of op-amps built in, one that provides closed-loop voltage control and another that keeps the internal temperature at a toasty 95°C. The result is a reference that’s stable over a wide range of operating conditions.

[Gaurav]’s implementation maximizes this special part’s capabilities while making it convenient to use. The PCB has a precision linear regulator that accepts an input voltage from 16 V to 20 V, plus a boost converter that lets you power it from USB-C. The board itself is carefully designed to minimize thermal and mechanical stress, with the ADR1399 separated from the bulk of the board with wide slots. The first video below covers the design and construction of an earlier rev of the board.

One problem that [Gaurav] ran into with these boards was the need to age the reference with an extended period of operation. To aid in that, he built a modular test jig that completed PCBs can be snapped into for a few weeks of breaking in. The jigs attach to a PCB with pogo pins, which mate to test points and provide feedback on the aging process. See the second video for more details on that.

youtube.com/embed/Ty0r_sLv-CI?…

youtube.com/embed/RvmJLGUzDS0?…

hackaday.com/2025/02/11/precis…

T-Mobile lancia ufficialmente la versione beta pubblica della copertura satellitare-cellulare tramite rete Starlink con uno spot durante il Super Bowl 2025. Negli States la copertura prevista è di più di 1 milione e trecento mila chilometri quadrati, aree non raggiunte da stazioni radio base cellulari terrestri.

youtube.com/embed/HLw6ZovMpLI?…

Inizialmente sarà disponibile esclusivamente il servizio di messaggistica tradizionale (SMS) usufruibile attraverso la maggior parte degli smartphone di recente commercializzazione, sia per i clienti T-Mobile, oltre che per gli clienti dei loro concorrenti nazionali, tra cui Verizon e AT&T. Per accedere al servizio sarà sufficiente registrarsi tramite portale dedicato. I servizio gratuito direct-to-cell sarà disponibile fino a Luglio.

Eliminare le zone morte con il direct-to-cell

T-Mobile e SpaceX annunciarono il servizio satellitare direct-to-cell due anni e mezzo fa, ma il servizio richiedeva che fossero operativi i satelliti di nuova generazione Starlink V2. Mentre continua il dispiegamento in orbita di questa tipologia di satelliti V2 iniziato nel Febbraio 2023, già ora centinaia di questi V2 sono perfettamente operativi.
Per T-Mobile la missione è porre fine alle zone morte, cioè quelle aree del territorio dove non è presente una copertura cellulare terrestre, zone dove molto spesso non ha alcun senso costruire un’infrastruttura data la bassissima o addirittura nulla presenza abituale di utenti, oppure zone dove l’opportuna copertura del segnale è limitata o resa difficile dall’orografia non favorevole.

twitter.com/elonmusk/status/16…

Il servizio in alpha-test ha già aiutato in situazioni d’emergenza

In via del tutto emergenziale, T-Mobile aveva già temporaneamente reso disponibile il servizio di messaggistica direct-to-cell in nelle aree di Los Angeles colpite dagli incendi e ancora prima nelle aree colpite dagli uragani Helene e Milton. In queste aree il servizio di comunicazione cellulare era irregolare sul territorio o totalmente assente a causa dello stato in cui versavano la rete elettrica e tutte le infrastrutture di telecomunicazioni (torri, apparati, collegamenti in fibra).

Ora solo SMS, in futuro dati e voce, ma dove e per chi?

T-Mobile comunica che nella fase beta sarà possibile inviare e ricevere messaggi di testo (SMS) attraverso il servizio direct-to-cell (via satellite), ma non è stata ancora comunicata la data esatta in cui si aggiungeranno le funzionalità di connettività dati e chiamata vocale tradizionale. In futuro T-Mobile potrebbe estendere la copertura di questi servizi satellitari attraverso partner di roaming globali e SpaceX per offrire copertura all’estero o in acque internazionali.
T-Mobile dichiara che la maggior parte degli smartphone degli ultimi quattro anni funzionerà con il servizio T-Mobile Starlink, ma ci tiene a precisare l’elenco dei dispositivi testati e sicuramente capaci di fruttare il servizio direct-to-cell, che sono prevalentemente Apple (iPhone 14 e successivi), Google, Motorola (post-2024) e Samsung (Galaxy post-2021).

Quanto costa

La beta è gratuita per tutti gli utenti statunitensi, invece a Luglio T-Mobile Starlink verrà lanciato ufficialmente, sarà gratuito con il piano più costoso di T-Mobile, mentre avrà un costo di $15/mese per gli altri piani.
Dopo Luglio, per i beta tester di T-Mobile è previsto uno sconto di 5$/mese, per i clienti di Verizon, AT&T e altri potranno continuare ad utilizzare oppure ottenere il servizio T-Mobile Starlink senza cambiare operatore per 20 $/mese.

Convenienza

Il prezzo del servizio aggiuntivo e facoltativo al piano tariffario può sembrare alto se confrontati già ai soli piani tariffari europei e soprattutto italiani, ma che se rapportato agli abbonamenti statunitensi (~50$/mese) e piani tariffari satellitari (~2$/min) può non impensierire più di tanto o addirittura convenire. Inoltre per determinati gruppi d’utenti questo servizio può diventare fondamentale se non essenziale, andando ad affiancare, se non a sostituire, altri sistemi di comunicazione locali più voluminosi, pesanti, costosi e meno diffusi con costi davvero “irrisori”.

L'articolo T-Mobile svela la copertura satellitare via Starlink durante il Super Bowl: addio zone morte! proviene da il blog della sicurezza informatica.

I ricercatori di sicurezza informatica hanno scoperto una vulnerabilità critica nel sottosistema TCP del kernel Linux, identificata come CVE-2024-36904. Questa falla, introdotta sette anni fa, consente agli aggressori di sfruttare una race-condition, portando potenzialmente all’esecuzione di codice remoto (RCE).

La vulnerabilità deriva da una condizione di competizione nella funzione inet_twsk_hashdance(), in cui un’inizializzazione non corretta del contatore di riferimento crea opportunità di corruzione della memoria. La vulnerabilità si verifica quando il contatore di riferimento di un socket TCP time-wait viene inizializzato dopo essere stato aggiunto a una tabella hash e aver rilasciato il suo blocco.

Se un’altra operazione accede al socket prima dell’inizializzazione, incontra un contatore di riferimento azzerato. Ciò attiva gli avvisi dei meccanismi di protezione del contatore di riferimento del kernel e può portare a un vero e proprio scenario di utilizzo dopo la liberazione in condizioni specifiche. Tali scenari potrebbero consentire agli aggressori di eseguire codice arbitrario all’interno del kernel, compromettendo l’integrità del sistema.

Sebbene il kernel Linux includa misure di sicurezza per rilevare anomalie nel contatore di riferimento, questo difetto aggira tali protezioni in determinate sequenze di esecuzione. La vulnerabilità interessa diverse distribuzioni Linux, tra cui i derivati ​​di Red Hat Enterprise Linux e Fedora. I test sui kernel più recenti, come la versione 6.8, hanno confermato che il problema persiste in vari ambienti.

La falla è stata scoperta durante una ricerca di routine sulle vulnerabilità condotta da Allele Security utilizzando strumenti come il fuzzer Syzkaller. Inizialmente scambiato per un problema relativo al protocollo KCM, analisi più approfondite hanno rivelato che si trattava di un bug specifico del sottosistema TCP. La vulnerabilità è stata segnalata e corretta a maggio 2024. Tuttavia, molte distribuzioni non avevano integrato la correzione nelle loro ultime release al momento della scoperta.

La patch risolve il problema garantendo una corretta sincronizzazione durante l’inizializzazione del contatore di riferimento, prevenendo condizioni di competizione che potrebbero portare a scenari di utilizzo dopo la liberazione.

L'articolo Scoperta una falla nel Kernel Linux dopo 7 anni: ecco cosa rischi! proviene da il blog della sicurezza informatica.

Nelle ultime ore un’escalation di post nella sezione “Access Market” del famoso forum nel DarkWeb. In vendita accessi ad una azienda di software italiana “Italian B2B Enterprise Software Solutions”, ad una delle più antiche università europee “One of Europe’s most oldest Universities”, a diverse municipalità degli stati uniti e molto altro.

L’hacker, che opera sotto lo pseudonimo di MYAKO, nelle ultime ore sta postando decine di accessi a enti governativi americani, ad aziende, a istituti pubblici e privati. I prezzi (tutti non negoziabili) variano da qualche centinaio di dollari a diverse migliaia. Le tipologie di accessi in vendita sono le più varie. Si possono comprare accessi ai firewall con privilegi di root, accessi ai sistemi di management ecc.

MYAKO vende anche “know how”. Nel suo post del 4 febbraio con oggetto “Intermediate Cyber Operations Guide” dove puoi “scoprire come navigare nel complesso panorama dello sfruttamento dei sistemi, della persistenza e del pivoting dal punto di vista di qualcuno che ha costantemente dimostrato la fragilità anche delle infrastrutture più ‘sicure’.” Per 500 dollari un pacchetto completo di: how-to, tool, repository, guide step-by-step. Il tutto scritto in linguaggio chiaro e conciso per appiattire la curva di apprendimento.

MYAKO si definisce un “operatore” autonomo, non sponsorizzato da qualche nazione. Si promuove facendo riferimento a diverse pubblicazioni che “parlano” di lui. Un’interessante intervista che ha rilasciato a Osint10x mette in luce il modo in cui opera, le tecniche, le procedure (TTPs). Osint10x lo identifica anche come admin di HellCat Group. Nell’intervista lui si dice interessato solo ai soldi.

ThreatMon lo identifica come “An Emerging Threat Actor with Advanced Capabilities” che utilizza tecniche di OSINT per identificare target di alto valore. Un suo biglietto da visita: il 13 dicembre 2024 ha messo in vendita per 2000 dollari l’accesso ad un firewall di una divisione dell’FBI, accesso venduto il 14 dicembre 2024.

Altro target italiano un ente di istruzione privato italiano. Sempre in vendita accesso root al firewall.

Per concludere è importante capire che ruolo giocano gli IAB (Initial Access Broker) nel panorama dell’underground, aprendo le porte a gruppi hacker che poi sfruttano questi accessi per portare a segno attacchi più importanti e potenzialmente devastanti.

L'articolo $800 per compromettere un contractor nucleare UK? Gli IaB alzano la posta in gioco! proviene da il blog della sicurezza informatica.

Spesso parliamo degli spyware come Paragon, Pegasus e Karma. Ma alla fine , cosa consente a questi spyware di infettare i device e quindi fornire accesso e il controllo completo ad eventuale aggressore? Gli exploit Remote Code Execution (RCE) 0click 0day.

Ma anche quelli locali non sono da meno, e consentono a soluzioni analoghe di indagini forensi di poter accedere al dispositivo senza conoscere pin o password di accesso.

Infatti Apple ha rilasciato iOS 18.3.1 e iPadOS 18.3.1, risolvendo una vulnerabilità zero-day sfruttata in attacchi mirati estremamente sofisticati, sfruttando la disattivazione della modalità con restrizioni USB. L’aggiornamento è disponibile per vari dispositivi, tra cui iPhone XS e modelli successivi, nonché vari modelli di iPad Pro, iPad Air, iPad e iPad mini.

La modalità USB con restrizioni di Apple è una funzionalità di sicurezza che impedisce l’accesso non autorizzato ai dati su un dispositivo iOS. Impedisce agli accessori USB di connettersi a un dispositivo bloccato dopo un certo periodo di tempo.

L’aggiornamento risolve un problema nel framework di accessibilità che potrebbe consentire a un aggressore fisico di disattivare la modalità con restrizioni USB su un dispositivo bloccato. “Un attacco fisico potrebbe disattivare la modalità USB con restrizioni su un dispositivo bloccato. Apple è a conoscenza di un rapporto secondo cui questo problema potrebbe essere stato sfruttato in un attacco estremamente sofisticato contro individui specifici presi di mira”. Apple ha affermato nelle note di rilascio .

La vulnerabilità è identificata con l’identificatore CVE-2025-24200 ed è stata segnalata da Bill Marczak del Citizen Lab presso la Munk School dell’Università di Toronto. Apple mantiene la sua politica di trattenere i dettagli sulle vulnerabilità di sicurezza fino al completamento delle indagini e alla disponibilità di patch per proteggere gli utenti. L’azienda sottolinea la sua dedizione alla sicurezza degli utenti affrontando prontamente tali problemi e fornendo aggiornamenti regolari.

Questa vulnerabilità rappresentava un rischio serio, in quanto poteva essere sfruttata in attacchi altamente sofisticati mirati a individui specifici. Apple ha riconosciuto segnalazioni di questo problema utilizzato in scenari del mondo reale. Il difetto è stato identificato come un problema di autorizzazione, che Apple ha risolto migliorando la gestione dello stato all’interno del sistema.

L'articolo Zero-day su iOS: scoperto un exploit avanzato, Apple rilascia un fix immediato! proviene da il blog della sicurezza informatica.

Nuovo allarme sicurezza per gli utenti di Zimbra Collaboration: il popolare software di comunicazione e collaborazione è stato colpito da gravi vulnerabilità che mettono a rischio la riservatezza delle informazioni aziendali. Il team di Zimbra ha rilasciato aggiornamenti urgenti per correggere queste falle critiche, ma il pericolo rimane elevato per chi non aggiorna tempestivamente.

CVE-2025-25064: SQL Injection

La vulnerabilità più critica, identificata come CVE-2025-25064, ha un punteggio CVSS di 9.8 su 10, un valore che lascia pochi dubbi sulla sua pericolosità. Il problema risiede in un difetto di validazione dei parametri nel servizio ZimbraSync Service SOAP endpoint, consentendo a un attaccante autenticato di iniettare query SQL arbitrarie. Questo potrebbe tradursi in accesso non autorizzato ai metadati delle email, compromettendo la sicurezza delle comunicazioni aziendali.

Stored XSS nel Web Client classico di Zimbra

Un’altra grave vulnerabilità riguarda il Web Client classico di Zimbra, afflitto da un bug di Stored Cross-Site Scripting (XSS). Sebbene non abbia ancora ricevuto un identificativo CVE, questa falla permette agli attaccanti di iniettare codice malevolo persistente all’interno dell’interfaccia utente, con il rischio di rubare credenziali e sessioni di autenticazione. Fortunatamente, la patch è già disponibile nelle versioni 9.0.0 Patch 44, 10.0.13 e 10.1.5.

CVE-2025-25065: SSRF e accesso non autorizzato alla rete interna

Infine, Zimbra ha corretto anche CVE-2025-25065, una vulnerabilità di Server-Side Request Forgery (SSRF) con punteggio CVSS di 5.3. Questo difetto, presente nel modulo di parsing degli RSS feed, potrebbe consentire a un attaccante di manipolare richieste HTTP per accedere a risorse interne della rete aziendale, potenzialmente aprendo la porta ad attacchi più avanzati.

Come proteggersi?

Zimbra ha rilasciato aggiornamenti critici per mitigare queste vulnerabilità, disponibili nelle seguenti versioni:

• CVE-2025-25064: corretta in Zimbra 10.0.12 e 10.1.4
• Stored XSS: risolto in Zimbra 9.0.0 Patch 44, 10.0.13 e 10.1.5
• CVE-2025-25065: mitigato in Zimbra 9.0.0 Patch 43, 10.0.12 e 10.1.4

Conclusione

Chi utilizza Zimbra deve aggiornare immediatamente i propri sistemi per evitare possibili compromissioni. Il rischio di sfruttamento è concreto e potrebbe avere impatti devastanti sulle aziende che utilizzano questo software per la gestione delle proprie comunicazioni. La tempestività nell’applicazione degli aggiornamenti di sicurezza è essenziale per ridurre al minimo il rischio di attacchi informatici.

L'articolo Vulnerabilità critiche in Zimbra: SQL Injection, Stored XSS e SSRF mettono a rischio i dati aziendali proviene da il blog della sicurezza informatica.

La privacy negli Stati Uniti è un tema di dibattito costante, soprattutto nell’era digitale. La Corte Suprema ha avuto un ruolo centrale nell’interpretazione del Quarto Emendamento, che protegge i cittadini da perquisizioni e sequestri irragionevoli.

Tuttavia, con l’avanzare della tecnologia, la sorveglianza di massa si è evoluta, sollevando interrogativi sul bilanciamento tra sicurezza nazionale e diritti individuali. In questo contesto, il Foreign Intelligence Surveillance Act (FISA) e, in particolare, la sua Sezione 702, introdotta con il FISA Amendments Act del 2008, sono strumenti legislativi controversi che influenzano la privacy negli USA e nelle sue zone di influenza.

Ma cosa vuol dire tutto questo per i cittadini americani e per gli europei che utilizzano sistemi e software di aziende statunitensi?

Il Quarto Emendamento: Origini e Sfide nell’Era Digitale

Il Quarto Emendamento della Costituzione degli Stati Uniti stabilisce che:

“Il diritto dei cittadini di godere della sicurezza personale, della loro casa, delle loro carte e dei loro beni, nei confronti di perquisizioni e sequestri ingiustificati non potrà essere violato; e non si emetteranno mandati giudiziari se non su fondati motivi sostenuti da giuramento o da dichiarazione solenne e con descrizione precisa del luogo da perquisire e delle persone da arrestare o delle cose da sequestrare.“

Storicamente, la Corte Suprema ha interpretato il Quarto Emendamento in base alle esigenze del tempo. Con l’avvento di Internet e delle telecomunicazioni digitali, la sfida è definire se e come la raccolta di dati elettronici rientri nelle protezioni costituzionali.

Il Foreign Intelligence Surveillance Act (FISA) e la Sezione 702

Il Foreign Intelligence Surveillance Act (FISA) è stato introdotto nel 1978 per regolamentare la sorveglianza sulle attività di spionaggio e terrorismo straniero. Questo atto ha istituito la Foreign Intelligence Surveillance Court (FISC), un tribunale segreto che approva richieste di sorveglianza per motivi di sicurezza nazionale. Il FISA è stato più volte aggiornato, in particolare dopo l’11 settembre 2001, per adeguarsi alle nuove minacce globali e all’espansione delle tecnologie di sorveglianza.

La Sezione 702 del FISA Amendments Act del 2008 è un’importante autorità di raccolta di intelligence che consente alla Intelligence Community (IC) di raccogliere, analizzare e condividere informazioni di intelligence su minacce alla sicurezza nazionale. La Sezione 702 autorizza la raccolta mirata di informazioni su soggetti stranieri, esclusivamente non cittadini statunitensi, ritenuti essere al di fuori del territorio degli Stati Uniti.

Criteri e Restrizioni della Sorveglianza

La Sezione 702 del FISA stabilisce criteri stringenti per determinare chi può essere soggetto a sorveglianza, garantendo al contempo la protezione della privacy dei cittadini statunitensi e di chiunque si trovi nel Paese. La normativa consente il monitoraggio esclusivamente di individui non statunitensi situati all’estero, ritenuti coinvolti in attività rilevanti per la sicurezza nazionale. Questo include soggetti che potrebbero possedere, ricevere o trasmettere informazioni sensibili relative a terrorismo, spionaggio o proliferazione di armi di distruzione di massa. L’obiettivo è prevenire potenziali minacce globali attraverso un’attività di intelligence mirata.

D’altra parte, la legge vieta categoricamente la sorveglianza di cittadini statunitensi, indipendentemente dalla loro posizione geografica, così come di qualsiasi persona fisicamente presente negli Stati Uniti. Inoltre, è proibito il cosiddetto “reverse targeting”, ovvero l’uso della sorveglianza di un soggetto straniero con l’intento di raccogliere informazioni su un cittadino statunitense o su una persona che si trovi nel territorio americano. Questo principio è essenziale per garantire che le attività di intelligence non violino le protezioni costituzionali previste dal Quarto Emendamento.

Critiche e Controversie

Nonostante la sua utilità nella lotta al terrorismo e nella protezione della sicurezza nazionale, questa disposizione legislativa ha sollevato non poche critiche per le sue implicazioni sulla privacy e i diritti civili.

Uno dei principali problemi riguarda la possibilità che, nel corso delle attività di sorveglianza, vengano raccolti incidentalmente dati di cittadini statunitensi. Sebbene la legge preveda procedure di minimizzazione per limitare l’uso improprio di tali informazioni, gruppi per i diritti civili denunciano che le forze dell’ordine potrebbero accedervi senza un mandato, aggirando così le garanzie previste dal Quarto Emendamento. Inoltre, la mancanza di trasparenza nelle decisioni della FISC e l’assenza di un controllo pubblico diretto alimentano timori su un potenziale abuso del potere di sorveglianza.

Alcuni critici sostengono che l’uso delle informazioni raccolte potrebbe andare oltre il contrasto al terrorismo e alla sicurezza nazionale, entrando in ambiti come le indagini penali interne senza le dovute garanzie procedurali. Queste preoccupazioni hanno acceso un intenso dibattito sulla necessità di riformare la normativa introducendo controlli più stringenti e maggiore supervisione.

Le Critiche delle Big Tech e la Battaglia di Ron Wyden sulla Sorveglianza USA

Negli anni, la Sezione 702 del FISA ha ricevuto critiche non solo da gruppi per i diritti civili, ma anche da colossi della tecnologia. Nel 2017, aziende come Google, Microsoft, Facebook ed Amazon hanno inviato una lettera al Congresso chiedendo una riforma della normativa per garantire maggiore trasparenza e protezione della privacy.

Nella lettera, le aziende hanno evidenziato cinque aspetti chiave da migliorare:

• Cessazione della raccolta “about”: Si chiedeva di codificare la fine della raccolta di comunicazioni che menzionano soggetti sorvegliati, ma che non sono direttamente a loro collegate.
• Supervisione giudiziaria: Le Big Tech volevano introdurre un controllo legale per l’accesso alle comunicazioni dei cittadini statunitensi, affinché l’agenzia governativa ottenesse un mandato prima di esaminare tali dati.
• Ridefinizione delle informazioni di intelligence: Una richiesta importante riguardava la limitazione della raccolta di dati su individui non statunitensi che non sono sospettati di alcun crimine.
• Maggiore trasparenza: Le aziende chiedevano il diritto di pubblicare informazioni più dettagliate sul numero e la natura delle richieste di sorveglianza ricevute.
• Chiarezza sulle ricerche nei database: È stato sollecitato un maggiore controllo su come i dati dei cittadini americani raccolti incidentalmente vengono conservati e utilizzati.

Anche dal lato politico ci sono state critiche forti contro la Sezione 702, in particolare dal senatore Ron Wyden, da sempre un sostenitore delle libertà civili. Wyden ha più volte denunciato gli abusi della sorveglianza senza mandato, evidenziando come il rinnovo della Sezione 702 avvenga ogni volta senza un dibattito pubblico adeguato.

Dopo l’ennesima proroga della legge, il senatore ha dichiarato:
“Il Senato ha atteso fino all’ultimo minuto per approvare in tutta fretta il rinnovo della sorveglianza senza mandato, nel cuore della notte. Ma non mi arrenderò. Il popolo americano sa che la riforma è possibile e che non è necessario sacrificare la libertà per avere sicurezza.”

Wyden ha inoltre sottolineato che, nonostante le promesse di riforma, emergono continuamente nuovi casi di abusi e violazioni, alimentando la sfiducia nei confronti del programma di sorveglianza.

Nonostante le pressioni delle Big Tech e del senatore Wyden per un maggiore equilibrio tra sicurezza e tutela della privacy, le loro richieste non hanno portato alle riforme auspicate, e la normativa è stata rinnovata più volte senza cambiamenti sostanziali.

Il Futuro della Privacy negli USA

Nel corso degli anni, diversi gruppi per i diritti civili hanno contestato la costituzionalità di questa normativa sulla sorveglianza. La Corte Suprema, pur non avendo ancora emesso una decisione definitiva in merito, ha progressivamente riconosciuto l’importanza di adattare il Quarto Emendamento al contesto digitale, come dimostrato nei casi Carpenter v. United States (2018) e Riley v. California (2014).

Il dibattito sulla privacy negli Stati Uniti continua a evolversi di pari passo con i progressi tecnologici e le nuove sfide legate alla sicurezza nazionale. Da un lato, le istituzioni governative sostengono che strumenti di sorveglianza avanzati siano essenziali per contrastare minacce globali sempre più sofisticate; dall’altro, attivisti e giuristi avvertono che un’espansione incontrollata della raccolta di dati potrebbe compromettere le libertà civili e creare un pericoloso precedente per il futuro. In un’epoca in cui le informazioni digitali sono al centro della vita quotidiana, il bilanciamento tra privacy e sicurezza si conferma una delle questioni più complesse del nostro tempo. Il ruolo della Corte Suprema e del legislatore sarà cruciale per definire fino a che punto il governo possa spingersi nella sorveglianza senza violare i principi costituzionali, e se le protezioni attuali siano sufficienti a garantire i diritti fondamentali dei cittadini.

L'articolo USA e Sorveglianza Globale : Alla Scoperta Della Sezione 702 del Foreign Intelligence Surveillance Act proviene da il blog della sicurezza informatica.

Disk space is allocated in clusters of a certain size. When a file is written to disk and the file size is smaller than the cluster(s) allocated for it, there is an unused portion of varying size between the end of the file’s data and the end of the allocated clusters. This unused space is the slack space, it’s perfectly normal, and [Zachary Parish] had an idea to write a tool to hide data in it.
The demo uses a usb drive, using the slack space from decoy files to read and write data.
[Zachary]’s tool is in Python and can map available slack space and perform read and write operations on it, treating the disparate locations as a single unified whole in which to store arbitrary files. A little tar and gzip even helps makes things more efficient in the process.

There’s a whole demo implemented on Linux using a usb drive with some decoy files to maximize the slack space, and you can watch it in action in the video embedded below. It’s certainly more practical than hiding data in a podcast!

Note that this is just a demo of the concept. The approach does have potential for handling secret data, but [Zachary] points out that there are — from a serious data forensics point of view– a number of shortcomings in its current form. For example, the way the tool currently structures and handles data makes it quite obvious that something is going on in the slack space.

[Zachary] created this a few years ago and has some ideas about how to address those shortcomings and evolve the tool, so if you have ideas of your own or just want to try it out, the slack_hider GitHub repository is where you want to go.

youtube.com/embed/ooYwYke9UFk?…

hackaday.com/2025/02/10/make-a…

The days that PDFs were the granny-proof Swiss Army knives of document sharing are definitely over, according to [vk6]. He has managed to pull off the ultimate mind-bender: running Linux inside a PDF file. Yep, you read that right. A full Linux distro chugging along in a virtual machine all encapsulated within a document. Just when you thought running DOOM was the epitome of it. You can even try it out in your own browser, right here. Mind-boggling, or downright Pandora’s box?

Let’s unpack how this black magic works. The humble PDF file format supports JavaScript – with a limited standard library, mind you. By leveraging this, [vk6] managed to compile a RISC-V emulator (TinyEMU) into JavaScript using an old version of Emscripten targeting asm.js instead of WebAssembly. The emulator, embedded within the PDF, interfaces with virtual input through a keyboard and text box.

The graphical output is ingeniously rendered as ASCII characters – each line displayed in a separate text field. It’s a wild solution but works astonishingly well for something so unconventional.

Security-wise, this definitely raises eyebrows. PDFs have long been vectors for malware, but this pushes things further: PDFs with computational power. We know not to trust Word documents, whether they just capable of running Doom, or trash your entire system in a blink. This PDF anomaly unfolds a complete, powerful operating system in front of your very eyes. Should we think lightly, and hope it’ll lead to smarter, more interactive PDFs – or will it bring us innocent looking files weaponized for chaos?

Curious minds, go take a look for yourself. The project’s code is available on GitHub.

youtube.com/embed/cWnN-FA3zRM?…

hackaday.com/2025/02/10/nice-p…

Blinds are great for keeping light out or letting light in on demand, but few of us appreciate having to walk over and wind them open and shut on the regular. [DIY Builder] resented this very task, so set about creating an automated system to do the job for him.

The blinds in question use a ball chain to open and close, which made them relatively easy to interface with mechanically. [DIY Builder] set up a NEMA 17 stepper motor with an appropriate 3D-printed gear to interface with the chain, allowing it to move the blinds accurately. The motor is controlled via an Arduino Nano and an A4988 stepper motor driver.

However, that only covered the mechanical side of things. [DIY Builder] wanted to take the build a step further by making the blinds voice activated. To achieve this, the Arduino Nano was kitted out with a DFRobot Gravity voice recognition module. It’s a super simple way to do voice recognition—it’s an entirely offline solution with no cloud computing or internet connection required. You just set it up to respond to simple commands and it does the rest.

The result is a voice activated blind that works reliably whether your internet is up or not. We’ve seen some other great projects in this space, too. Video after the break.

youtube.com/embed/xdABENCrh98?…

hackaday.com/2025/02/10/blinds…