Un aneddoto che vale la pena riproporre qui su Friendica, anche se lunghetto... 😆

La backroom

Angry Likho (referred to as Sticky Werewolf by some vendors) is an APT group we’ve been monitoring since 2023. It bears a strong resemblance to Awaken Likho, which we’ve analyzed before, so we classified it within the Likho malicious activity cluster. However, Angry Likho’s attacks tend to be targeted, with a more compact infrastructure, a limited range of implants, and a focus on employees of large organizations, including government agencies and their contractors. Given that the bait files are written in fluent Russian, we infer that the attackers are likely native Russian speakers.

We’ve identified hundreds of victims of this attack in Russia, several in Belarus, and additional incidents in other countries. We believe that the attackers are primarily targeting organizations in Russia and Belarus, while the other victims were incidental—perhaps researchers using sandbox environments or exit nodes of Tor and VPN networks.

At the beginning of 2024, several cybersecurity vendors published reports on Angry Likho. However, in June, we detected new attacks from this group, and in January 2025, we identified malicious payloads confirming their continued activity at the moment of our research.

Technical details

Initial attack vector

The initial attack vector used by Angry Likho consists of standardized spear-phishing emails with various attachments. Below is an example of such an email containing a malicious RAR archive.

Contents of spear-phishing email inviting the victim to join a videoconference

The archive includes two malicious LNK files and a legitimate bait file.

Bait document from spear-phishing email inviting the victim to join a videoconference

The content of this document is almost identical to the body of the phishing email.

This example illustrates how the attackers gain access to victims’ systems. All these emails (and others like them in our collection) date back to April 2024. We observed no further activity from this group until we discovered an unusual implant, described below. Based on our telemetry, the attackers operate periodically, pausing their activities for a while before resuming with slightly modified techniques.

Previously unknown Angry Likho implant

In June 2024, we discovered a very interesting implant associated with this APT. The implant was distributed under the name FrameworkSurvivor.exe from the following URL:

hxxps://testdomain123123[.]shop/FrameworkSurvivor.exe

This implant was created using the legitimate open-source installer, Nullsoft Scriptable Install System, and functions as a self-extracting archive (SFX). We’ve previously observed this technique in multiple Awaken Likho campaigns.

Below are the contents of the archive, opened using the 7-Zip archiver.

Contents of the malicious SFX archive

The archive contains a single folder, $INTERNET_CACHE, filled with many files without extensions.

Installation script of the self-extracting archive

To understand how the SFX archive infects a system when launched, we had to find and analyze its installation script. The latest versions of 7-Zip do not allow extraction of this script, but it can be retrieved using older versions. We used 7-Zip version 15.05 (the last version supporting extraction of the installation script):

Contents of the malicious SFX archive opened in 7-Zip version 15.05

The installation script was named [NSIS].nsi, and was partially obfuscated.

Obfuscated contents of the installation script

After deobfuscation, we were able to determine its primary purpose:

Deobfuscated installation script from the malicious SFX implant

The script searches for the folder on the victim’s system using the $INTERNET_CACHE macro, extracts all the files from the archive into it, renames the file “Helping” to “Helping.cmd”, and executes it.

Helping.cmd command file

Below are the contents of the Helping.cmd file:

Contents of the Helping.cmd file

This file is heavily obfuscated, with several meaningless junk lines inserted between each actual script command. Once deobfuscated, the script’s logic becomes clear. Below is the code, with some lines modified for readability:

Deobfuscated Helping.cmd

The Helping.cmd script launches a legitimate AutoIt interpreter (Child.pif) with the file i.a3x as a parameter. The i.a3x file contains a compiled AU3 script. With that in mind, we can assume that this script implements the core logic of the malicious implant.

AU3 script

To recover the original AU3 file used when creating the i.a3x file, we created a dummy executable with a basic AutoIt script, swapped its content with i.a3x, and used a specialized tool to extract the original AU3 script.
We ended up with the original AU3 file:

Restored AU3 script

The script is heavily obfuscated, with all strings encrypted. After deobfuscating and decrypting the code, we analyzed it. The script begins with a few verification procedures:

The AU3 script checks the environment

The script checks for artifacts associated with emulators and research environments of security vendors. If a match is found, it either terminates or executes with a 10,000 ms delay to evade detection.

Interestingly, we’ve seen similar checks in the Awaken Likho implants. This suggests that the attackers behind these two campaigns share the same technology or are the same group using different tools for different targets and tasks.

The script next sets an error-handling mode by calling SetErrorMode() from the kernel32.dll with the flags SEM_NOALIGNMENTFAULTEXCEPT, SEM_NOGPFAULTERRORBOX, and SEM_NOOPENFILEERRORBOX, thus hiding system error messages and reports. If this call fails, the script terminates.

Afterward, the script deletes itself from disk by calling FileDelete(“i”) and generates a large text block, as shown below.

Code for generating “shellcode”

This block is presumably shellcode that will be loaded into memory and executed. However, it is also packed and encrypted. Once unpacked and decrypted, the AU3 script attempts to inject the malicious payload into the legitimate AutoIt process.

Final activity of the AU3 script

Main payload

To obtain the shellcode, we saved a dump of the decrypted and unpacked payload once the AU3 malicious script had fully processed it. After removing unnecessary bytes from the dump, we recovered the original payload of the attack. It turned out to be not shellcode but a full-fledged MZ PE executable file.

The decrypted and unpacked payload—an MZ PE file

Our products detect this payload with the following verdicts:

• HEUR:Trojan.MSIL.Agent.pef
• HEUR:Trojan.Win32.Generic

We examined this payload and concluded that it is the Lumma Trojan stealer (Trojan-PSW.Win32.Lumma).

The Lumma stealer gathers system and installed software information from the compromised devices, as well as sensitive data such as cookies, usernames, passwords, banking card numbers, and connection logs. It also steals data from 11 browsers, including Chrome, Chromium, Edge, Kometa, Vivaldi, Brave, Opera Stable, Opera GX Stable, Opera Neon, Mozilla Firefox and Waterfox, as well as cryptocurrency wallets such as Binance and Ethereum. Additionally, it exfiltrates data from cryptowallet browser extensions (MetaMask) and authenticators (Authenticator), along with information from applications such as the remote access software AnyDesk and the password manager KeePass.

Command servers

This sample contains encoded and encrypted addresses of command servers. Using a simple decryption procedure in the executable file code, we restored the original domain names used as command servers.

• averageorganicfallfaw[.]shop
• distincttangyflippan[.]shop
• macabrecondfucews[.]shop
• greentastellesqwm[.]shop
• stickyyummyskiwffe[.]shop
• sturdyregularrmsnhw[.]shop
• lamentablegapingkwaq[.]shop
• Innerverdanytiresw[.]shop
• standingcomperewhitwo[.]shop

By identifying the command server names from this malware variant, we were able to identify other related samples. As a result, we discovered over 60 malicious implants. Some of them had the same payload, and we managed to find additional attacker-controlled command servers (the addresses listed below were used in the identified samples alongside the original command servers):

• uniedpureevenywjk[.]shop
• spotlessimminentys[.]shop
• specialadventurousw[.]shop
• stronggemateraislw[.]shop
• willingyhollowsk[.]shop
• handsomelydicrwop[.]shop
• softcallousdmykw[.]shop

We’re convinced that the main objectives of this APT group are to steal sensitive data using stealers and establish full control over infected machines via malicious remote administration utilities.

New activity

We’ve been tracking the attacks of this campaign since June 2024. However, in January 2025, the attackers showed a new surge in activity, as reported by our colleagues from F6 (previously known as F.A.C.C.T.). We analyzed the indicators of compromise they published and identified signs of a potential new wave of attacks, likely in preparation since at least January 16, 2025:

Files found in Angry Likho’s payload repositories

We managed to download malicious files hosted in repositories seen in the January Angry Likho attack while they were still accessible. Analysis of the files test.jpg and test2.jpg revealed that they contained the same .NET-based payload, encoded using Base64. Last year, we documented Angry Likho attacks that used image files containing malicious code. Moreover, the filenames match those of the samples we recently discovered.

This further confirms that the Angry Likho group, responsible for these attacks, remains an active threat. We are continuing to monitor this threat and providing up-to-date cyber intelligence data about it and the TTPs used by the group.

Victims

At the time of our investigation, our telemetry data showed hundreds of victims in Russia and several in Belarus. Most of the SFX archives had filenames and bait documents in Russian, thematically linked to government institutions in Russia. These institutions and their contractors are the primary targets of this campaign.

Attribution

We attribute this campaign to the APT group Angry Likho with a high degree of confidence. It shares certain similarities with findings from our colleagues at BI.ZONE and F6, as well as previous attacks by the group:

1. The same initial implant structure (an archive with similar contents, sent in an email).
2. Similar bait documents with the same naming patterns and themes, mostly written in Russian.
3. Command files and AutoIt scripts used to install the implant are obfuscated similarly. Newer versions contain more sophisticated installation scripts, with extra layers of obfuscation to complicate analysis.
4. The implant described in this report contains a known payload—the Lumma stealer (Trojan-PSW.Win32.Lumma). We have not previously seen this tool used in Angry Likho campaigns, but earlier attacks showed similar data exfiltration tactics, suggesting the group is still targeting cryptowallet files and user credentials.

Conclusion

We are continuing to monitor the activity of the Angry Likho APT, which targets Russian organizations. The group’s latest attacks use the Lumma stealer, which collects a vast amount of data from infected devices, including browser-stored banking details and cryptowallet files. As before, the complex infection chain was contained in a self-extracting archive distributed via email. We believe that the attackers crafted spear-phishing emails tailored to specific users, attaching bait files designed to attract their interest. Additionally, we identified more malicious samples linked to this campaign based on common command servers and repositories.
Let’s sum up by highlighting the notable features of this campaign and other similar ones:

1. The attack techniques remain relatively consistent over time, with only minor modifications. Despite this, the attackers are successfully achieving their objectives.
2. The attackers occasionally pause their activity, only to return with a new wave of attacks after a certain period.
3. The group relies on readily available malicious utilities obtained from darknet forums, rather than developing its own tools. The only work they do themselves is writing mechanisms of malware delivery to the victim’s device and crafting targeted phishing emails.

To protect against such attacks, organizations need a comprehensive security solution that provides proactive threat hunting, 24/7 monitoring, and incident detection. Our product line for businesses helps identify and prevent attacks of any complexity at an early stage. The campaigns in this article rely on phishing emails as the initial attack vector, highlighting the importance of regular employee training and awareness programs for corporate security.

Indicators of compromise

File hashes

Implants

f8df6cf748cc3cf7c05ab18e798b3e91
ef8c77dc451f6c783d2c4ddb726de111
de26f488328ea0436199c5f728ecd82a
d4b75a8318befdb1474328a92f0fc79d
ba40c097e9d06130f366b86deb4a8124
b0844bb9a6b026569f9baf26a40c36f3
89052678dc147a01f3db76febf8441e4
842f8064a81eb5fc8828580a08d9b044
7c527c6607cc1bfa55ac0203bf395939
75fd9018433f5cbd2a4422d1f09b224e
729c24cc6a49fb635601eb88824aa276
69f6dcdb3d87392f300e9052de99d7ce
5e17d1a077f86f7ae4895a312176eba6
373ebf513d0838e1b8c3ce2028c3e673
351260c2873645e314a889170c7a7750
23ce22596f1c7d6db171753c1d2612fe
0c03efd969f6d9e6517c300f8fd92921
277acb857f1587221fc752f19be27187

Payload

faa47ecbcc846bf182e4ecf3f190a9f4
d8c6199b414bdf298b6a774e60515ba5
9d3337f0e95ece531909e4c8d9f1cc55
6bd84dfb987f9c40098d12e3959994bc
6396908315d9147de3dff98ab1ee4cbe
1e210fcc47eda459998c9a74c30f394e
fe0438938eef75e090a38d8b17687357

Bait files

e0f8d7ec2be638fbf3ddf8077e775b2d
cdd4cfac3ffe891eac5fb913076c4c40
b57b13e9883bbee7712e52616883d437
a3f4e422aecd0547692d172000e4b9b9
9871272af8b06b484f0529c10350a910
97b19d9709ed3b849d7628e2c31cdfc4
8e960334c786280e962db6475e0473ab
76e7cbab1955faa81ba0dda824ebb31d
7140dbd0ca6ef09c74188a41389b0799
5c3394e37c3d1208e499abe56e4ec7eb
47765d12f259325af8acda48b1cbad48
3e6cf927c0115f76ccf507d2f5913e02
32da6c4a44973a5847c4a969950fa4c4

Malicious domains

testdomain123123[.]shop
averageorganicfallfaw[.]shop
distincttangyflippan[.]shop
macabrecondfucews[.]shop
greentastellesqwm[.]shop
stickyyummyskiwffe[.]shop
sturdyregularrmsnhw[.]shop
lamentablegapingkwaq[.]shop
innerverdanytiresw[.]shop
standingcomperewhitwo[.]shop
uniedpureevenywjk[.]shop
spotlessimminentys[.]shop
specialadventurousw[.]shop
stronggemateraislw[.]shop
willingyhollowsk[.]shop
handsomelydicrwop[.]shop
softcallousdmykw[.]shop

securelist.com/angry-likho-apt…

It is easy to port C compilers to architectures that look like old minicomputers or bigger CPUs. However, as the authors of the Small Device C Compiler (SDCC) found, pushing C into a typical 8-bit CPU is challenging. Lessons learned from SDCC inspired a new 8-bit architecture, F8. This isn’t just a theoretical architecture. You can find an example Verilog implementation in the SDDC project and on GitHub. The name choice may turn out to be unfortunate as there was an F8 CPU from Fairchild back in the 1970s that apparently few people remember.

In the video from FOSDEM 2025, [Phillip Krause] provides a nice overview of the how and why of F8. While it might seem odd to create a new 8-bit CPU when you can get bigger CPUs for pennies, you have to consider that 8-bit machines are more than enough for many jobs, and if you can squeeze one into an FPGA, it might be a good choice as opposed to having to get a bigger FPGA to hold your design and a 32-bit CPU.

Many 8-bit computers struggle with efficient C code mainly because the data size is smaller than the width of a pointer. Doing things like adding two numbers takes more code, even in common situations. For example, suppose you have a pointer to an array, and each element of the array is four bytes wide. To find the address of the n’th element, you need to compute: element_n = base_address + (n *4). On, say, an 8086 with 16-bit pointers and many 16-bit instructions and addressing modes can do the calculation very succinctly.

Other problems you frequently run into with compiling code for small CPUs include segmented address spaces, dedicated registers for memory indexing, and difficulties putting wider items on a stack (or, for some very small CPUs, even having a stack, at all).

The wish list was to include stack-relative addressing, hardware 8-bit multiplication, and BCD support to help support an efficient printf implementation.

Keep in mind, it isn’t that you can’t compile C for strange 8-bit architectures. SDDC is proof that you can. The question is how efficient is the generated code. F8 provides features that facilitate efficient binaries for C programs.

We’ve seen other modern 8-bit CPUs use SDCC. Writing C code for the notorious PIC (with it’s banked memory, lack of stack, and other hardships) was truly a surreal experience.

hackaday.com/2025/02/21/a-new-…

Un grande imprenditore italiano diceva moltissimi anni fa: “L’Italia procede ancora nel compromesso, nei vecchi sistemi del trasformismo politico, del potere burocratico, delle grandi promesse, dei grandi piani e delle modeste realizzazioni”.

Ma ovviamente tutti ci aspettiamo che non sia così.

L’Italia progetta di creare un proprio sistema di satelliti in orbita bassa per le comunicazioni governative, ha affermato il ministro dell’Industria Adolfo Urso. Questa mossa è vista come un’alternativa all’utilizzo della rete Starlink di Elon Musk, di cui si era già parlato nel governo di Georgia Meloni.

In precedenza, il governo aveva preso in considerazione l’utilizzo di Starlink per le comunicazioni crittografate tra funzionari che lavoravano in aree ad alto rischio. Tuttavia, l’idea ha suscitato aspre critiche da parte dell’opposizione, che ha espresso preoccupazione per il fatto di affidare un elemento chiave della sicurezza nazionale nelle mani di un imprenditore straniero con stretti legami con il governo degli Stati Uniti.

Adolfo Urso, di Fratelli d’Italia, ha dichiarato al Parlamento che il governo sta lavorando alla creazione di un sistema satellitare indipendente in orbita bassa, con la partecipazione di importanti aziende italiane. Ha sottolineato che il nuovo sistema diventerà un’alternativa competitiva agli operatori stranieri, tra cui SpaceX.

Non è ancora noto quali aziende prenderanno parte al progetto, ma il capo del Ministero locale dell’Industria e del Commercio ha affermato che l’agenzia spaziale nazionale condurrà uno studio di fattibilità. Non è inoltre specificata la tempistica di attuazione del programma.

Elon Musk ha già espresso in passato la sua disponibilità a offrire i suoi servizi all’Italia e il suo rapporto amichevole con Meloni ha alimentato le aspettative di una possibile cooperazione. Tuttavia, il ministro della Difesa Guido Crosetto ha affermato che non sono stati ancora raggiunti accordi.

Attualmente sono 6.700 i satelliti Starlink operativi in ​​orbita terrestre bassa. Mentre in precedenza l’Italia aveva preso in considerazione un contratto quinquennale da 1,5 miliardi di euro con SpaceX, ora il Paese sta compiendo un passo avanti verso la creazione di una propria infrastruttura di comunicazioni sicure e indipendenti. In questo modo l’Italia intende garantire il controllo sulle comunicazioni di importanza strategica e ridurre la dipendenza dalle tecnologie straniere.

L'articolo L’Italia sfida Elon Musk! In arrivo la Nostra Rete Satellitare Nazionale? proviene da il blog della sicurezza informatica.

If you think sonic booms from supersonic aircraft are a nuisance, wait until the sky is full of planes propelled by up-scaled versions of this interesting but deafening audio resonance engine.

Granted, there’s a lot of work to do before this “Sonic Ramjet” can fly even something as small as an RC plane. Creator [invalid_credentials] came up with the idea for a sound-powered engine after listening to the subwoofers on a car’s audio system shaking the paint off the body. The current design uses a pair of speaker drivers firing into 3D printed chambers, which are designed based on Fibonacci ratios to optimize resonance. When the speakers are driven with a low-frequency sine wave, the chambers focus the acoustic energy into powerful jets, producing enough thrust to propel a small wheeled test rig across a table.

It’s fair to ask the obvious question: is the engine producing thrust, or is the test model moving thanks to the vibrations caused by the sound? [invalid_credentials] appears to have thought of that, with a video showing a test driver generating a powerful jet of air. Downloads to STL files for both the large and small versions of the resonating chamber are provided, if you want to give it a try yourself. Just be careful not to annoy the neighbors too much.

Thanks to [cabbage] for the tip via [r/3Dprinting].

hackaday.com/2025/02/21/acoust…

Un'alta carica della P.A. che non sembra avere chiaro un concetto, come dire... Piuttosto intuitivo.

Il Direttore Generale: #brevestoriatriste

Avevo sentito del tentativo di colpo di Stato di Bolsonaro ai danni di Lula, ma una cosa è ssentire la notizia, altra cosa è conoscere i dettagli.

Aveva affidato ad un gruppo militare il compito di UCCIDERE Lula. Come? Era indifferente, andava bene anche l'avvelenamento. In alternativa il Vicepresidente. E anche il Giudice della corte costituzionale, De Moraes, che da sempre indaga sui reati dell'estrema destra. Ma gli elettori dell'estrema destra qualche domanda non se la fanno mai? Mai mai?

Ma ci rendiamo conto? Questi sono gli amici della Meloni, che ovviamente non dice una parola su tutto questo.

Fortuna che ci restano podcast come questo.

open.spotify.com/episode/3phhc…

#bolsonaro #meloni #internazionale #podcast #notizie #brasile #colpodiStato

Gli hacker di NoName057(16) continuano i loro attacchi di Distributed Denial-of-Service (DDoS) contro gli obiettivi italiani. Molti dei loro canali Telegram sono stati eliminati negli scorsi giorni, sinonimo che la moderazione del social network di Durov sta iniziando a portare i miglioramenti decantati.

Oggi gli obiettivi rivendicati in un post sul nuovo canale Telegram sono i seguenti:
❌Negozio online Parmalat SpA
check-host.net/check-report/234a0982kba8

❌Marcegaglia è un gruppo industriale che produce acciaio al carbonio e inox
check-host.net/check-report/234a0b66ka64

❌TechnoAlpin, specializzato nella produzione di sistemi di innevamento manuale e completamente automatico.
check-host.net/check-report/234a0cbek311

❌Leonardo è una delle più grandi aziende di ingegneria meccanica in Italia (dead on ping)
check-host.net/check-report/234a0ce3k64a

❌Alpi Aviation - produttore italiano di velivoli ultraleggeri
check-host.net/check-report/234a0de4k9a7
Mentre altri siti risentono delle connessioni anomale, il sito di Leonardo è perfettamente raggiungibile. Sinonimo che l’azienda ha tutte le mitigazioni del caso attive per poter reagire ad attacchi come quelli sferrati dal progetto DDoSia.

Ricordiamo sempre che gli attacchi DDoS non arrecano danni ai sistemi, ma per un periodo temporaneamente limitato non permettono un corretto accesso alle pagine web delle aziende colpite. Dopo l’attacco, tutto ritorna nuovamente disponibile.

NoName057(16) è un gruppo di hacker che si è dichiarato a marzo del 2022 a supporto della Federazione Russa. Hanno rivendicato la responsabilità di attacchi informatici a paesi come l’Ucraina, gli Stati Uniti e altri vari paesi europei. Questi attacchi vengono in genere eseguiti su agenzie governative, media e siti Web di società private

Che cos’è un attacco Distributed Denial of Service

Un attacco DDoS (Distributed Denial of Service) è un tipo di attacco informatico in cui vengono inviate una grande quantità di richieste a un server o a un sito web da molte macchine diverse contemporaneamente, al fine di sovraccaricare le risorse del server e renderlo inaccessibile ai suoi utenti legittimi.

Queste richieste possono essere inviate da un grande numero di dispositivi infetti da malware e controllati da un’organizzazione criminale, da una rete di computer compromessi chiamata botnet, o da altre fonti di traffico non legittime. L’obiettivo di un attacco DDoS è spesso quello di interrompere le attività online di un’organizzazione o di un’azienda, o di costringerla a pagare un riscatto per ripristinare l’accesso ai propri servizi online.

Gli attacchi DDoS possono causare danni significativi alle attività online di un’organizzazione, inclusi tempi di inattività prolungati, perdita di dati e danni reputazionali. Per proteggersi da questi attacchi, le organizzazioni possono adottare misure di sicurezza come la limitazione del traffico di rete proveniente da fonti sospette, l’utilizzo di servizi di protezione contro gli attacchi DDoS o la progettazione di sistemi resistenti agli attacchi DDoS.

Occorre precisare che gli attacchi di tipo DDoS, seppur provocano un disservizio temporaneo ai sistemi, non hanno impatti sulla Riservatezza e Integrità dei dati, ma solo sulla loro disponibilità. pertanto una volta concluso l’attacco DDoS, il sito riprende a funzionare esattamente come prima.

Che cos’è l’hacktivismo cibernetico

L’hacktivismo cibernetico è un movimento che si serve delle tecniche di hacking informatico per promuovere un messaggio politico o sociale. Gli hacktivisti usano le loro abilità informatiche per svolgere azioni online come l’accesso non autorizzato a siti web o a reti informatiche, la diffusione di informazioni riservate o il blocco dei servizi online di una determinata organizzazione.

L’obiettivo dell’hacktivismo cibernetico è di sensibilizzare l’opinione pubblica su questioni importanti come la libertà di espressione, la privacy, la libertà di accesso all’informazione o la lotta contro la censura online. Gli hacktivisti possono appartenere a gruppi organizzati o agire individualmente, ma in entrambi i casi utilizzano le loro competenze informatiche per creare un impatto sociale e politico.

È importante sottolineare che l’hacktivismo cibernetico non deve essere confuso con il cybercrime, ovvero la pratica di utilizzare le tecniche di hacking per scopi illeciti come il furto di dati personali o finanziari. Mentre il cybercrime è illegale, l’hacktivismo cibernetico può essere considerato legittimo se mira a portare all’attenzione pubblica questioni importanti e a favorire il dibattito democratico. Tuttavia, le azioni degli hacktivisti possono avere conseguenze legali e gli hacktivisti possono essere perseguiti per le loro azioni.

Chi sono gli hacktivisti di NoName057(16)

NoName057(16) è un gruppo di hacker che si è dichiarato a marzo del 2022 a supporto della Federazione Russa. Hanno rivendicato la responsabilità di attacchi informatici a paesi come l’Ucraina, gli Stati Uniti e altri vari paesi europei. Questi attacchi vengono in genere eseguiti su agenzie governative, media e siti Web di società private

Le informazioni sugli attacchi effettuati da NoName057(16) sono pubblicate nell’omonimo canale di messaggistica di Telegram. Secondo i media ucraini, il gruppo è anche coinvolto nell’invio di lettere di minaccia ai giornalisti ucraini. Gli hacker hanno guadagnato la loro popolarità durante una serie di massicci attacchi DDOS sui siti web lituani.

Le tecniche di attacco DDoS utilizzate dal gruppo sono miste, prediligendo la “Slow http attack”.

La tecnica del “Slow Http Attack”

L’attacco “Slow HTTP Attack” (l’articolo completo a questo link) è un tipo di attacco informatico che sfrutta una vulnerabilità dei server web. In questo tipo di attacco, l’attaccante invia molte richieste HTTP incomplete al server bersaglio, con lo scopo di tenere occupate le connessioni al server per un periodo prolungato e impedire l’accesso ai legittimi utenti del sito.

Nello specifico, l’attacco Slow HTTP sfrutta la modalità di funzionamento del protocollo HTTP, che prevede che una richiesta HTTP sia composta da tre parti: la richiesta, la risposta e il corpo del messaggio. L’attaccante invia molte richieste HTTP incomplete, in cui il corpo del messaggio viene inviato in modo molto lento o in modo incompleto, bloccando la connessione e impedendo al server di liberare le risorse necessarie per servire altre richieste.

Questo tipo di attacco è particolarmente difficile da rilevare e mitigare, poiché le richieste sembrano legittime, ma richiedono un tempo eccessivo per essere elaborate dal server. Gli attacchi Slow HTTP possono causare tempi di risposta molto lenti o tempi di inattività del server, rendendo impossibile l’accesso ai servizi online ospitati su quel sistema.

Per proteggersi da questi attacchi, le organizzazioni possono implementare soluzioni di sicurezza come l’uso di firewall applicativi (web application firewall o WAF), la limitazione delle connessioni al server e l’utilizzo di sistemi di rilevamento e mitigazione degli attacchi DDoS

L'articolo NoName057(16) avvia la quarta Giornata di Attacchi DDoS. Qualcuno giù, Leonardo senza problemi proviene da il blog della sicurezza informatica.

Il Digital Services Act (DSA) è una delle normative più ambiziose mai adottate dall’Unione Europea per regolamentare le piattaforme digitali. Il suo obiettivo principale è garantire un ambiente online più sicuro e trasparente, bilanciando la libertà di espressione con la responsabilità delle piattaforme e la protezione degli utenti. Questo regolamento introduce nuovi obblighi per le aziende digitali, ridefinendo il modo in cui i contenuti vengono moderati e gestiti.

Cos’è il Digital Services Act?

Approvato nel 2022 ed entrato in vigore il 17 febbraio 2024, il provvedimento stabilisce regole chiare per le piattaforme online, obbligandole a contrastare la disinformazione, migliorare la trasparenza degli algoritmi e rendere più efficace la moderazione dei contenuti.

Si applica a tutti i servizi digitali, ma introduce requisiti più stringenti per le Very Large Online Platforms (VLOPs) e i Very Large Online Search Engines (VLOSEs), come Google, Facebook, Amazon e TikTok.

Un principio fondamentale della normativa europea è che ciò che è illegale offline deve esserlo anche online, con l’obbligo per le piattaforme di intervenire per rimuovere i contenuti illeciti e proteggere gli utenti.

Obblighi di Rimozione dei Contenuti Illegali

Uno degli aspetti chiave di questa legge riguarda la gestione dei contenuti illeciti. Le piattaforme devono:

• Implementare sistemi di segnalazione chiari e trasparenti per la rimozione tempestiva dei materiali non conformi.
• Collaborare con Trusted Flaggers, enti certificati con competenze specifiche nella segnalazione di attività illecite.
• Garantire agli utenti strumenti di ricorso per contestare eventuali rimozioni ingiustificate.

Contenuti Illegali e Trusted Flaggers

Il regolamento non introduce una lista specifica di contenuti vietati, ma fa riferimento alle normative nazionali ed europee già in vigore. Tra le categorie interessate rientrano:

• Violazioni del copyright;
• Discorso d’odio e incitamento alla violenza;
• Materiale pedopornografico;
• Contenuti terroristici;
• Vendita di prodotti e servizi illegali.

Per migliorare l’efficacia delle segnalazioni, la normativa introduce la figura dei Trusted Flaggers. Questi enti devono dimostrare competenze specifiche nel rilevamento di contenuti illeciti, essere indipendenti dalle piattaforme e operare in modo obiettivo. I Coordinatori dei Servizi Digitali degli Stati membri certificheranno e monitoreranno le attività di questi segnalatori.

Trasparenza sugli Algoritmi

La nuova regolamentazione europea impone obblighi di trasparenza per le piattaforme, imponendo loro di spiegare chiaramente come funzionano gli algoritmi di raccomandazione e offrendo agli utenti alternative per personalizzare i contenuti visualizzati. In particolare:

• Le piattaforme devono chiarire perché certi contenuti vengono mostrati nei feed.
• Gli utenti devono poter disattivare la personalizzazione algoritmica.
• Verranno pubblicati report periodici per valutare l’impatto degli algoritmi sulla diffusione delle informazioni.

Sanzioni per le Piattaforme Non Conformi

Le aziende che non rispettano il regolamento rischiano sanzioni fino al 6% del loro fatturato annuo globale, come previsto dall’articolo 52 del DSA.. La Commissione Europea ha il potere di condurre indagini, richiedere report dettagliati e imporre misure correttive in caso di violazioni.

Per evitare una moderazione eccessiva dei contenuti, la normativa introduce:

• Un sistema di ricorso per gli utenti, che potranno contestare la rimozione dei propri contenuti.
• Organi indipendenti di supervisione, per garantire imparzialità nelle decisioni di moderazione.
• Regole più chiare per le piattaforme, evitando decisioni arbitrarie.

Quali Servizi Digitali Sono Coperti?

La regolamentazione europea si applica a una vasta gamma di servizi digitali, tra cui:

• Fornitori di accesso a Internet e infrastrutture di rete (VPN, VoIP, registrar di domini);
• Servizi di hosting, come cloud storage (Dropbox, AWS) e web hosting;
• Piattaforme online, tra cui social network, app store, marketplace digitali e servizi di condivisione di contenuti (Facebook, YouTube, TikTok, Google Play, Apple App Store);
• Motori di ricerca, soggetti a obblighi specifici se rientrano tra i Very Large Online Search Engines (VLOSEs).

Meccanismi di Ricorso per gli Utenti

Gli utenti che ritengono ingiusta una decisione di moderazione possono contestarla attraverso diversi canali:

• Reclamo interno: Le piattaforme devono offrire un sistema gratuito e facilmente accessibile per contestare la rimozione di contenuti, valido per almeno sei mesi.
• Organismi indipendenti di risoluzione delle controversie: Se il reclamo interno non porta a una soluzione soddisfacente, gli utenti possono rivolgersi a enti certificati dallo Stato membro di riferimento.
• Ricorso ai tribunali nazionali: È sempre possibile portare la questione in tribunale, senza dover prima passare attraverso i meccanismi di reclamo interno.

Le piattaforme sono obbligate a garantire che i reclami vengano gestiti in modo tempestivo, equo e trasparente, evitando decisioni arbitrarie.

Chi Vigila sul Rispetto della Normativa?

La supervisione è affidata alla Commissione Europea e agli Stati membri:

• La Commissione Europea controlla le piattaforme più grandi (VLOPs e VLOSEs) e gestisce le violazioni più gravi.
• Gli Stati membri devono designare un Coordinatore dei Servizi Digitali (Digital Services Coordinator) per monitorare le piattaforme nel proprio territorio.
• Le aziende digitali devono sottoporsi a revisioni indipendenti per garantire la conformità al regolamento.

Conclusione: Un Nuovo Equilibrio tra Sicurezza e Libertà

Questa regolamentazione rappresenta una svolta nella gestione di Internet da parte dell’Unione Europea. L’obiettivo è rendere il web più sicuro, senza limitare eccessivamente la libertà di espressione. Tuttavia, resta da vedere come le piattaforme applicheranno queste nuove regole nella pratica. Il Digital Services Act potrebbe diventare un modello globale, ispirando anche paesi extra-UE come il Regno Unito e gli Stati Uniti, che stanno valutando normative simili per regolamentare le piattaforme digitali. influenzando anche le politiche di altri paesi sulla gestione dei contenuti online.

L'articolo Digital Services Act: La Nuova Regolamentazione Europea sulla Moderazione dei Contenuti Online proviene da il blog della sicurezza informatica.

Su BreachForum un utente dallo pseudonimo EDRVendor ha venduto, dopo poche ore dall’annuncio, l’accesso ad una cassetta postale della polizia di stato italiana.

Oltre alla mail viene offerto anche l’accesso ai pannelli riservati alle forze dell’ordine dei principali social network: Meta (Facebook, WhatsApp e Instagram), TikTok e X.

Il prezzo di vendita è di 220 dollari e con 60 dollari in più era possibile avere in bundle anche un “mandato di perquisizione e un mandato di cattura”.

La reputazione di EDRVendor è molto alta su BreachForum e lo stesso utente, a garanzia della transazione, riporta i suoi feedback a 5 stelle su Escrow.

Abbiamo approfondito il profilo di EDRVendor e pare essere specializzato nella vendita di accessi governativi.

Istruzioni pronte all’uso direttamente dall’IaB

Cosa è possibile fare comprando accessi di questo tipo? La risposta è ovvia, ma se per caso avessimo qualche dubbio, EDRVendor offre anche qualche suggerimento.

Avere accesso alla cassetta postale di una forza di polizia genera una “credibilità” tale da commettere ogni sorta di illecito, proviamo a fare qualche riflessione in merito:

• Presentare richieste di dati di emergenza/richieste di ricerca che includono: Registri delle chiamate/Richieste di conformità delle forze dell’ordine (in combinazione con un mandato di comparizione/ordine del tribunale o come EDR);
• Sfruttare le Industrie Osint: (iscrivendosi alla posta elettronica del governo e richiedendo crediti gratuiti, soggetti ad approvazione);
• Estorsione/Scamming/Spooking/Vanità: Avere il potere di influenzare chi si vuole, quando si vuole;
• Diffondere il ransomware tra i ranghi del governo o dei singoli: Quale miglior catalizzatore per diffondere il ransomware?
• Phishing di governi o individui: È più probabile che le persone cadano nel vostro phishing se questo viene diffuso da una mail governativa;
• Richiedere l’accesso a pannelli di social media/forze dell’ordine e servizi di crittografia: Fingetevi un funzionario governativo e richiedete l’accesso ovunque. Scrivere e inviare lettere di raccomandazione: Perché no;
• Social Engineering contro altri funzionari governativi per aumentare i privilegi all’interno dell’infrastruttura governativa: Pivot, pivot, pivot!

Viene quindi riportata la possibilità di accedere ai portali dedicati alle forze dell’ordine (messi a disposizione dai social network) consente di richiedere informazioni di qualsiasi natura in merito ai profili degli utenti, giustificando la richiesta come relativa ad un’indagine in corso.

Inoltre, da quanto riporta l’Initial Access Broker, è possibile richiedere un EDR (Emergency Data Request) a seguito del quale vengono fornite informazioni quali: log di accesso, IP, numeri di telefono ecc. Per un EDR potrebbero essere richiesti anche documenti comprovanti l’indagine in corso, ecco perché nel bundle in vendita venivano offerti anche un “mandato di attesto e un mandato di perquisizione”.

EDRVendor, nel suo post di vendita, mette anche degli screenshot che dimostrano l’effettiva capacità di eseguire un EDR nei confronti dei vari social media.

Poter recuperare così “facilmente” informazioni su qualsiasi utente di un social media, apre a scenari di CSINT (Closed Source Intelligence) molto evoluti.

Sempre EDRVendor in uno suo post del 23 gennaio 2025 regala una guida molto evoluta sui tool e le tecniche di OSINT/Doxxing: post dal titolo “Best and Most Comprehensive Guide To Doxing/OSINT You Will Find. [FREE!|”.

Per concludere è importante capire che ruolo giocano gli IAB (Initial Access Broker) nel panorama dell’underground, aprendo le porte a gruppi hacker che poi sfruttano questi accessi per portare a segno attacchi più importanti e potenzialmente devastanti.

Abbiamo informato prima di scrivere questo articolo la polizia postale che ci ha detto che stanno già indagando sulla questione.

L'articolo 220$ per entrare nella Polizia di Stato Italiana: l’inquietante offerta di EDRVendor proviene da il blog della sicurezza informatica.

Split flap displays! They’re mechanical, clickety-clackity, and largely commercially irrelevant in our screen-obsessed age. That doesn’t mean you can’t have a ball making one of your own, though! [Morgan Manly] did just that, with tidy results.

An ESP32 C3 SuperMini serves as the boss of the operation, running the whole display. The display is designed to be modular, so you can daisy chain multiple characters together to spell longer words. Each module has 37 characters, so it can display the alphabet, numerals 0 to 9, and a blank. Each module contains a 28BYJ-48 stepper motor for controlling the flaps, and a ULN2003 driver board to run it and a PCF8575 IO expander to handle communciation. An A3144 hall effect sensor is also used for positional feedback to ensure the display always shows the right character. The flap mechanism itself is relatively straightforward—a drum with all 37 flaps is until the correct character is reached, with the blank flaps hosting a magnet to trigger the aforementioned hall effect sensor. The flaps themselves are 3D-printed, with filament changes used to color the characters against the background.

If you’ve ever dreamed of building a flap-display clock or ticker, you needn’t dream of finding the perfect vintage example. You can just build your own! The added bonus is that you can make it as big or as small as you like. We’ve seen some interesting variations on the split flap concept recently, too. If you’re cooking up your own kooky electromechanical displays, don’t hesitate to let us know!

hackaday.com/2025/02/20/3d-pri…

As the fundamental flaw of today’s quantum computers, improving qubit stability remains the focus of much research in this field. One such stability attempt involves so-called topological quantum computing with the use of anyons, which are two-dimensional quasiparticles. Such an approach has been claimed by Microsoft in a recent paper in Nature. This comes a few years after an earlier claim by Microsoft for much the same feat, which was found to be based on faulty science and hence retracted.

The claimed creation of anyons here involves Majorana fermions, which differ from the much more typical Dirac fermions. These Majorana fermions are bound with other such fermions as a Majorana zero mode (MZM), forming anyons that are intertwined (braided) to form what are in effect logic gates. In theNature paper the Microsoft researchers demonstrate a superconducting indium-arsenide (InAs) nanowire-based device featuring a read-out circuit (quantum dot interferometer) with the capacitance of one of the quantum dots said to vary in a way that suggests that the nanowire device-under-test demonstrates the presence of MZMs at either end of the wire.

Microsoft has a dedicated website to their quantum computing efforts, though it remains essential to stress that this is not a confirmation until their research is replicated by independent researchers. If confirmed, MZMs could provide a way to create more reliable quantum computing circuitry that does not have to lean so heavily on error correction to get any usable output. Other, competing efforts here include such things as hybrid mechanical qubits and antimony-based qubits that should be more stable owing to their eight spin configurations.

hackaday.com/2025/02/20/micros…

Whether it’s a game of D&D or encrypting top-secret information, a wide array of methods are available for generating the needed random numbers with high enough entropy for their use case. For a tabletop game this might be a single die but for more sensitive applications a more robust method of generating random numbers is needed. Programmers might reach for a rand() function of some sort, but these pseudorandom numbers don’t cut the mustard for encryption. For that you’ll need a true random number generator (RNG), and this open-source hardware RNG uses one of the better methods we’ve seen.

The device, called RAVA, is based on a property found in many electronic devices called avalanche breakdown. Avalanche breakdown occurs when a high voltage (in this case approximately 25V) is applied in the reverse bias direction, with this device using a pair of Zener diodes. When this high voltage is applied, an “avalanche” of electrons occurs which allows the diodes conduct in the opposite direction that they would when they are forward biased. This isn’t a constant current flow, though; there are slight variations over time which can be amplified and used as the random number generator. The noise is amplified over a series of op amps and then fed to an ATmega32U4 microcontroller which can provide the user with 136.0 Kbit/s of random data.

Unlike other random number generators, this device is based on a method generally accepted to be truly random. Not only that, but since it’s based on discrete hardware it can be accessed directly for monitoring and replacement in case of faults, unlike other methods which are more “black boxes” and are more opaque in their processes which are thus harder to audit. We also appreciate it’s open-source nature as well, and for some more information on it be sure to check out the paper on it in IEEE. If you’re looking for something to generate random numbers but will also bring some extra flair to the next game night, take a look at this radioactive dice replacement.

hackaday.com/2025/02/20/open-s…

LoRa gear can be great for doing radio communications in a light-weight and low-power way. However, it can also work over great distances if you have the right hardware—and the right antennas in particular. [taste_the_code] has been experimenting in this regard, and whipped up a simple yagi antenna that can work at distances of up to 40 kilometers.

The basic mathematics behind the yagi antenna are well understood. To that end, [taste_the_code] used a simple online calculator to determine the correct dimensions to build a yagi out of 2 mm diameter wire that was tuned for the relevant frequency of 868 MHz. The build uses a 3D-printed boom a handle and holes for inserting each individual wire element in the right spot—with little measuring required once the wires are cut, since the print is dimensionally accurate. It was then just a matter of wiring it up to the right connector to suit the gear.

The antenna was tested with a Reyas RYLR998 module acting as a base station, with the DIY yagi hooked up to a RYLR993 module in the field. In testing, [taste_the_code] was able to communicate reliably from 40 kilometers away.

We’ve featured some other unique LoRa antenna builds before, too. Video after the break.

youtube.com/embed/gA5SCXw_E1Q?…

hackaday.com/2025/02/20/diy-ya…