Neutrino Transmutation Observed For the First Time
Once upon a time, transmutation of the elements was a really big deal. Alchemists drove their patrons near to bankruptcy chasing the philosopher’s stone to no avail, but at least we got chemistry out of it. Nowadays, anyone with a neutron source can do some spicy transmutation. Or, if you happen to have a twelve meter sphere of liquid scintillator two kilometers underground, you can just wait a few years and let neutrinos do it for you. That’s what apparently happened at SNO+, the experiment formally known as Sudbury Neutrino Observatory, as announced recently.
The scinillator already lights up when struck by neutrinos, much as the heavy water in the original SNO experiment did. It will also light up, with a different energy peak, if a nitrogen-13 atom happens to decay. Except there’s no nitrogen-13 in that tank — it has a half life of about 10 minutes. So whenever a the characteristic scintillation of a neutrino event is followed shortly by a N-13 decay flash, the logical conclusion is that some of the carbon-13 in the liquid scintillator has been transmuted to that particular isotope of nitrogen.
That’s not unexpected; it’s an interaction that’s accounted for in the models. We’ve just never seen it before, because, well. Neutrinos. They’re called “ghost particles” for a reason. Their interaction cross-section is absurdly low, so they are able to pass through matter completely unimpeded most of the time. That’s why the SNO was built 2 KM underground in Sudbury’s Crieghton Mine: the neutrinos could reach it, but very few cosmic rays and no surface-level radiation can. “Most of the time” is key here, though: with enough liquid scintillator — SNO+ has 780 tonnes of the stuff — eventually you’re bound to have some collisions.
Capturing this interaction was made even more difficult considering that it requires C-13, not the regular C-12 that the vast majority of the carbon in the scintillator fluid is made of. The abundance of carbon-13 is about 1%, which should hold for the stuff in SNO+ as well since no effort was made to enrich the detector. It’s no wonder that this discovery has taken a few years since SNO+ started in 2022 to gain statistical significance.
The full paper is on ArXiv, if you care to take a gander. We’ve reported on SNO+ before, like when they used pure water to detect reactor neutrinos while they were waiting for the scintillator to be ready. As impressive as it may be, it’s worth noting that SNO is no longer the largest neutrino detector of its kind.
Vulnerabilità critica nei gateway SonicWall SMA1000: RCE pre-auth utilizzando due CVE
Un gruppo di ricercatori ha scoperto una vulnerabilità, identificata come CVE-2025-40602, che interessa la serie SMA1000 di gateway di accesso sicuro di SonicWall. Questa falla è particolarmente preoccupante perché potrebbe permettere a un aggressore di aumentare i propri privilegi all’interno di un sistema, senza essere necessariamente già presente al suo interno.
Il problema è stato ufficialmente classificato con un punteggio CVSS di 6,6, ma il vero pericolo risiede nel modo in cui gli aggressori potrebbero sfruttarla. Infatti, la vulnerabilità è stata descritta come una “vulnerabilità di escalation dei privilegi locali dovuta a un’autorizzazione insufficiente nella console di gestione dell’appliance (AMC) SonicWall SMA1000″.
Questa vulnerabilità potrebbe avere un impatto significativo sulla sicurezza delle organizzazioni che utilizzano questi dispositivi per gestire la connettività dei lavoratori da remoto. È importante quindi prendere misure per mitigare il rischio e proteggere i sistemi da possibili attacchi.
Tuttavia, l’avviso di SonicWall rivela un contesto più oscuro. Questo specifico bug viene sfruttato insieme a una falla critica precedentemente segnalata , con effetti catastrofici.
“IMPORTANTE: è stato segnalato che questa vulnerabilità viene sfruttata in combinazione con CVE-2025-23006 (punteggio CVSS 9,8) per ottenere l’esecuzione di codice remoto non autenticato con privilegi di root”, avverte l’avviso .
Concatenando questi due exploit, gli aggressori possono aggirare completamente l’autenticazione (utilizzando la prima falla) e poi elevare i propri permessi a root (utilizzando la nuova falla), impadronendosi di fatto delle “chiavi del castello” senza mai aver bisogno di un nome utente o di una password validi.
La vulnerabilità è specifica della serie SMA1000 che esegue le versioni firmware 12.4.3-03093 e precedenti, oppure 12.5.0-02002 e precedenti. SonicWall esorta gli utenti ad applicare immediatamente la patch. L’azienda ha rilasciato hotfix per la piattaforma (build 12.4.3-03245 e 12.5.0-02283) per colmare la lacuna di sicurezza .
Per le organizzazioni che non possono disattivare i propri sistemi per un aggiornamento immediato, SonicWall suggerisce una soluzione alternativa: bloccare l’interfaccia di gestione. Gli amministratori dovrebbero “disabilitare l’interfaccia di gestione SSL VPN (AMC) e l’accesso SSH dalla rete Internet pubblica” e limitare l’accesso ai tunnel VPN o a specifici indirizzi IP interni.
Per non cadere dentro questi problemi, è importante prestare attenzione ad alcuni aspetti. Innanzitutto, è fondamentale applicare immediatamente le patch di sicurezza rilasciate da SonicWall, come i hotfix per la piattaforma (build 12.4.3-03245 e 12.5.0-02283). In secondo luogo, occorre limitare l’accesso ai tunnel VPN o a specifici indirizzi IP interni e disabilitare l’interfaccia di gestione SSL VPN (AMC) e l’accesso SSH dalla rete Internet pubblica.
In questo modo, si può mitigare il rischio e proteggere i sistemi da possibili attacchi.
L'articolo Vulnerabilità critica nei gateway SonicWall SMA1000: RCE pre-auth utilizzando due CVE proviene da Red Hot Cyber.
Bluesky passa al lato oscuro introducendo il "caricamento dei contatti"?
@Privacy Pride
Il post completo di Christian Bernieri è sul suo blog: garantepiracy.it/blog/bluesky-…
Maledette abitudini! Come tutti, penso, ho la mia routine ed eseguo meccanicamente compiti ed azioni senza pensarci troppo: imparo le sequenze e clicco distrattamente ove necessario per avviare un'app, ogni giorno, ogni
Privacy Pride reshared this.
SUDAN: nuovi massacri, la guerra civile si estende al Kordofan
@Notizie dall'Italia e dal mondo
In Sudan le milizie stanno cancellando le prove della pulizia etnica compiuta a El Fasher e bombardano ospedali e caschi blu puntando all’oro e al petrolio
L'articolo SUDAN: nuovi pagineesteri.it/2025/12/18/afr…
Notizie dall'Italia e dal mondo reshared this.
Le autorità per la privacy leggono le sentenze?
@Giornalismo e disordine informativo
articolo21.org/2025/12/le-auto…
Il tribunale di Roma ha annullato la sanzione che il garante per la privacy aveva inflitto per una inchiesta su Andrea Mascetti, uno degli avvocati della Lega, in relazione a suoi presunti contatti e relazioni con gli affari dei
Giornalismo e disordine informativo reshared this.
Perché nessuno parla del rapporto di Amnesty sul degrado continuo del nostro Paese?
@Giornalismo e disordine informativo
articolo21.org/2025/12/perche-…
Chi sa perché quando Amnesty dedica i suoi rapporti alla Cina o al Venezuela, i media italiani non lesinano apprezzamenti e
Giornalismo e disordine informativo reshared this.
netzpolitik.org wirkt: Was unser Journalismus im Jahr 2025 verändert hat
netzpolitik.org/2025/netzpolit…
"Asset russi, timore per ritorsioni di Mosca: qual è la situazione dei capitali stranieri?"
Ma secondo voi a me frega qualcosa di chi ancora fa affari in russia? Se perde tutto ben gli sta....
The Quirky Peripherals In Medical PC Setups
Modern hospitals use a lot of computers. Architecturally speaking, they’re pretty typical machines—running the same CPUs and operating systems as any other PCs out there. However, they do tend to have some quirks when it comes to accessories and peripherals, as [tzukima] explores in a recent video.
The video starts by looking at typical power cables used with hospital computers and related equipment. In particular, [tzukima] talks about the common NEMA 5-15P to IEC-320-C13 style cable, which less sophisticated users might refer to as a kettle cord. In hospital-grade form, these cables are often constructed with translucent plug housings, with large cylindrical grips that make them easier to grip.
Digging further through business supply catalogs lead [tzukima] to discover further products aimed at hospital and medical users. In particular, there are a wide range of keyboards and mice that are designed for use in these environments. The most typical examples are regular peripherals that have simply been encased in silicone to make them easier to wash and disinfect where hygiene is paramount. Others, like the SealShield keyboard and mouse, use more advanced internally-sealed electronics to achieve their washable nature and IP68 ratings. These are peripherals that you can just throw in a dishwasher if you’re so inclined.
It’s a great look at weird hardware that most of us would never interact with.
youtube.com/embed/CqSyrm9mRu0?…
Sottovalutare la sicurezza informatica Oggi. Parliamo di “tanto chi vuoi che mi attacca?”
La cultura del “tanto chi vuoi che mi attacchi?” gira ancora, testarda.
Non è uno slogan, è proprio un modo di pensare. Una specie di alibi mentale che permette di rimandare, di non guardare troppo da vicino certi rischi. Succede spesso nelle aziende piccole, quelle dove tutti fanno un po’ di tutto e la sicurezza resta una cosa vaga, sullo sfondo.
Chi osserva queste dinamiche lo vede chiaramente: la sottovalutazione del rischio non è un problema teorico, è pratica quotidiana.
Non nasce da arroganza pura, più da stanchezza, da abitudine, da una fiducia mal riposta nel fatto che “siamo piccoli”. Una frase che torna, uguale, detta con convinzione. E che però non regge.
Perché “non siamo un obiettivo” non funziona
Nelle PMI l’idea è diffusa: nessun dato interessante, nessun nome famoso, nessuna ragione per attirare attenzioni. È una convinzione comoda e diciamola tutta, anche molto rassicurante. Permette di pensare che il problema riguardi altri, quelli grandi, quelli sotto i riflettori. Qui no, qui si lavora e basta.
Il punto è che gli attacchi non funzionano più così, se mai lo hanno fatto.
Non c’è qualcuno che guarda una singola azienda e decide se vale la pena. C’è automazione, c’è scanning continuo, c’è un rumore di fondo costante fatto di tentativi automatici. Non serve essere speciali. Basta essere lì.
Ma quante sono le piccole imprese che sono rimaste vittima di un ransomware e sono presenti su questo sito? Migliaia.
Attacchi automatici, non personali
Chi analizza gli incidenti lo ripete da anni, forse con meno pazienza di prima: gran parte degli attacchi è opportunistica. Sistemi che scandagliano la rete senza sosta, alla ricerca di una porta aperta, una configurazione sbagliata, una password debole. Non chiedono chi sei. Provano e basta.
In questo scenario, la dimensione conta poco. Anzi, a volte conta al contrario.
Le realtà più piccole sono spesso meno preparate, meno aggiornate, meno protette. Non per negligenza cattiva, ma per mancanza di tempo, risorse, attenzione. Ed è proprio lì che l’automazione trova spazio.
E se c’è un ransomware di mezzo? la PMI paga subito!
Il problema quindi è uno solo. Essere fortunati di non andarci di mezzo. Ma per una Amministratore delegato di una media impresa, costruita con il sacrificio e con la passione di anni di duro lavoro. E’ con la fortuna che vogliamo giocare?
Quando la teoria diventa danno concreto
Ci sono casi reali, documentati, di piccole aziende colpite duramente e ci sono casi documentati di aziende che hanno fallito per un attacco informatico.
Non per attività sensibili o segreti industriali, ma perché impreparate. Sistemi bloccati, dati irrecuperabili, operatività ferma. Il tipo di danno che, per una PMI, pesa molto più che per una grande struttura. Volete vedere cosa succede veramente?
Abbiamo anche realizzato un fumetto su questo, il secondo episodio della nostra serie a fumetti BETTI-RHC dal titolo “Zero Decrypt” dove raccontiamo proprio questa storia. Un attacco ransomware ad una piccola impresa. E questa storia si ripete ogni giorno, nel silenzio assordante della stampa che pensa solo ai pesci “grandi” e non ai piccoli.
Chi racconta questi episodi nota sempre lo stesso dettaglio, quasi banale: nessuno pensava potesse succedere. Nessun piano, nessuna procedura, nessuna reazione pronta. Solo sorpresa. E poi il conto, che arriva sempre in un secondo momento.
Il costo della sottovalutazione
Il problema non è solo l’attacco in sé, ma tutto quello che viene prima. La convinzione che il rischio sia remoto porta a rimandare aggiornamenti, a ignorare segnali, a trattare la sicurezza come un fastidio. Qualcosa che ruba tempo al lavoro vero. Un pensiero laterale, inutile.
Eppure è proprio questa leggerezza a trasformare un evento comune in un disastro. Perché l’attacco, in molti casi, è banale. Quello che manca è la preparazione. E senza preparazione, anche una cosa semplice diventa ingestibile.
La cultura del “chi vuoi che mi attacchi” resiste perché è facile.
Non chiede sforzo, non chiede cambiamenti. È una frase che chiude la discussione, che permette di passare ad altro. In fondo rassicura tutti, anche chi la dice.
Ma chi guarda i numeri, gli incidenti, le dinamiche reali, lo sa: non è una strategia. È solo una speranza. E sperare, quando si parla di sicurezza, raramente è una buona idea. Anche se suona umana, comprensibile. Fin troppo.
L'articolo Sottovalutare la sicurezza informatica Oggi. Parliamo di “tanto chi vuoi che mi attacca?” proviene da Red Hot Cyber.
Interview mit Gutachter: „Spätestens jetzt sollte die Bundesdruckerei den Datenatlas öffentlich zugänglich machen“
netzpolitik.org/2025/interview…
GRUSP: jsday (day 1/2) - Bologna [GrUSP]
Segnalato dal calendario eventi di Linux Italia e pubblicato sulla comunità Lemmy @GNU/Linux Italia
GRUSP
GNU/Linux Italia reshared this.
Designing a CPU for Native BASIC
Over the years there have been a few CPUs designed to directly run a high-level programming language, the most common approach being to build a physical manifestation of a portable code virtual machine. An example might be the experimental Java processors which implemented the JVM. Similarly, in 1976 Itty Bitty Computers released an implementation of Tiny BASIC which used a simple virtual machine, and to celebrate 50 years of Tiny BASIC, [Zoltan Pekic] designed a CPU that mirrors that VM.
The CPU was created within a Digilent Anvyl board, and the VHDL file is freely available. The microcode mapping ROM was generated by a microcode compiler, also written by [Zoltan]. The original design could execute all of the 40 instructions included in the reference implementation of Tiny BASIC; later iterations extended it a bit more. To benchmark its performance, [Zoltan] set the clock rate on the development board equal to those of various other retrocomputers, then compared the times each took to calculate the prime numbers under 1000 using the same Tiny BASIC program. The BASIC CPU outperformed all of them except for Digital Microsystems’ HEX29.
The next step was to add a number of performance optimizations, including a GOTO cache and better use of parallel operations. [Zoltan] then wrote a “Hello World” demo, which can be seen below, and extended the dialect of Tiny BASIC with FOR loops, INPUT statements, multiple LET statements, the modulo operator, and more. Finally, he also extended the CPU from 16-bit to 32-bit to be able to run an additional benchmark, on which it once again outperformed retrocomputers with comparable clock speeds.
We’ve previously seen [Zoltan]’s work with FPGAs, whether it’s giving one a cassette interface or using one to directly access a CPU’s memory bus. BASIC has always been a cross-platform pioneer, once even to the extent of creating a free national standard.
youtube.com/embed/Gqw1EIlatDk?…
RCE in HPE OneView: 10 su 10! Aggiornamenti urgenti per il Cloud e i Data Center
La sicurezza informatica è un tema che non scherza, specialmente quando si parla di vulnerabilità che possono compromettere l’intero sistema. Ebbene, Hewlett Packard Enterprise (HPE) ha appena lanciato l’allarme su una falla di sicurezza davvero preoccupante nel suo software di punta, OneView.
Questa vulnerabilità, identificata come CVE-2025-37164, ha un punteggio CVSS massimo di 10,0, il che significa che si tratta di un bug molto critico. Insomma, se non si aggiornano i sistemi, si rischia molto ed è questo quello che si consiglia, prima che i criminali informatici possano entrare nei sistemi e generare incidenti di sicurezza informatica.
OneView è il cervello dei data center, gestisce server, storage e networking, ed è il motore dell’automazione per gli ambienti cloud ibridi. Quindi, se un utente non autenticato può eseguire codice remoto, siamo davvero nei guai. È arrivato il momento di prendere seriamente questa vulnerabilità e capire cosa sta succedendo.
Il bug, infatti, consente l’esecuzione di codice remoto (RCE) da parte di un utente completamente non autenticato. Secondo l’avviso, la falla consente a un aggressore remoto di eseguire codice arbitrario senza dover effettuare l’accesso. In termini pratici, ciò significa che un aggressore potrebbe assumere il controllo dell’appliance di gestione da tutta la rete senza rubare alcuna credenziale.
Una volta all’interno, potrebbe potenzialmente interrompere le operazioni, distribuire ransomware o manipolare l’hardware fisico gestito dal software. Questa vulnerabilità riguarda HPE OneView – Tutte le versioni precedenti alla v11.00. HPE ha pubblicato una risoluzione urgente e consiglia a tutti i clienti di agire immediatamente.
La soluzione principale consiste nell’aggiornare completamente il software. “Hewlett Packard Enterprise OneView v11.00 o versioni successive risolve questa vulnerabilità”, ha dichiarato l’azienda. Gli amministratori possono scaricare l’aggiornamento tramite My HPE Software Center o HPE Synergy Software Releases.
Per le organizzazioni che impiegano versioni precedenti (dalla 5.20 alla 10.20) e non sono in grado di passare subito alla versione 11.00, HPE ha messo a disposizione un fix di sicurezza urgente. Tuttavia, l’installazione di questa patch richiede un’indicazione fondamentale che, se trascurata, potrebbe mettere a rischio il sistema. Gli esperti di HPE sottolineano che il fix di sicurezza non permane in seguito ad alcuni aggiornamenti.
In particolare, il fix di sicurezza deve essere reinstallato dopo aver aggiornato l’appliance da HPE OneView versione 6.60.xx alla versione 7.00.00, comprese eventuali re-immagini di HPE Synergy Composer.
Gli amministratori sono invitati a controllare i numeri di versione e ad applicare con urgenza le patch, poiché una vulnerabilità CVSS 10 rappresenta spesso una priorità assoluta per i gruppi di ransomware e gli attori finanziati da stati.
L'articolo RCE in HPE OneView: 10 su 10! Aggiornamenti urgenti per il Cloud e i Data Center proviene da Red Hot Cyber.
Allerta critica CISA! Tre nuovi bug sfruttati attivamente: Cisco, SonicWall e ASUS nel mirino
La Cybersecurity and Infrastructure Security Agency (CISA) ha diramato un’allerta critica includendo tre nuove vulnerabilità nel suo catalogo delle minacce informatiche sfruttate (KEV), evidenziando che tali falle sono attualmente oggetto di sfruttamento attivo da parte degli hacker criminali.
Tra queste, figura CVE-2025-20393, una vulnerabilità critica di tipo zero-day che interessa i dispositivi Secure Email Gateway (SEG) e Web Manager (SEWM) prodotti da Cisco, contraddistinta da un punteggio CVSS pari a 10/10.
Tale vulnerabilità, considerata di “massima gravità”, permette agli aggressori non autenticati di superare tutte le barriere di difesa e di eseguire comandi a loro scelta con i privilegi di root. L’origine del problema risiede in una procedura di convalida degli input errata nella funzione Spam Quarantine, che risulta esposta su Internet.
Gli hacker stanno quindi sfruttando attivamente una falla nelle appliance Secure Email Gateway (SEG) e Web Manager (SEWM) di Cisco, che consente loro di eseguire comandi arbitrari con privilegi di root a causa di una convalida errata degli input nella funzione Spam Quarantine quando questa è accessibile online.
Secondo Cisco Talos, un gruppo di minacce informatiche cinese-nexus, identificato come UAT-9686, sta già sfruttando questa falla, come visto nell’articolo precedente. Il gruppo sta implementando una suite di malware personalizzati, tra cui la backdoor persistente AquaShell e AquaPurge, uno strumento progettato per ripulire i log e nascondere le proprie tracce.
La CISA ha inoltre segnalato una situazione critica che coinvolge i dispositivi SonicWall SMA1000. Sebbene l’avviso evidenzi una vulnerabilità specifica (spesso collegata alla console di gestione), il vero pericolo deriva dal modo in cui gli aggressori la stanno collegando a una precedente falla, la CVE-2025-23006.
Gli aggressori stanno combinando queste vulnerabilità per ottenere un controllo completo del sistema. Il rapporto osserva che gli aggressori “hanno concatenato questa vulnerabilità con una falla di deserializzazione pre-autenticazione SMA1000 di gravità critica… per ottenere l’esecuzione di codice remoto non autenticato con privilegi di root”.
Questa “catena di exploit” trasforma il dispositivo in una porta aperta per gli intrusi. Alle agenzie federali è stata data una scadenza ravvicinata, il 24 dicembre 2025, per risolvere questa specifica minaccia.
La terza aggiunta è un tuffo nel passato con conseguenze moderne. CVE-2025-59374 (CVSS 9.3) riguarda il client ASUS Live Update, un’utilità che ha raggiunto la fine del supporto (EOS) nel 2021.
Nonostante sia obsoleto, il software viene sfruttato tramite una sofisticata “compromissione della supply chain”. Modifiche non autorizzate introdotte nel client di aggiornamento consentono agli aggressori di forzare i dispositivi a “eseguire azioni indesiderate” se soddisfano specifiche condizioni di targeting. Poiché il software non è più supportato, rappresenta un rischio “zombie”, in quanto non aggiornato e in agguato sui sistemi più vecchi.
Si evince quindi che le vulnerabilità informatiche sono sempre dietro l’angolo. La CISA ha segnalato ben tre nuove falle sfruttate attivamente dagli hacker. Questa falla permette agli aggressori di eseguire comandi a loro scelta con i privilegi di root.
Per non cadere dentro questi problemi, occorre prestare attenzione ad alcuni aspetti. Innanzitutto, è fondamentale aggiornare i sistemi e i software alle ultime versioni, come le falle scoperte nei dispositivi SonicWall SMA1000. Inoltre, è importante fare attenzione ai software obsoleti, come il client ASUS Live Update, che non sono più supportati ma possono ancora rappresentare un rischio.
In sintesi, la finestra tra pubblicazione degli exploit e sfruttamento attivo si sta sempre più riducendo, pertanto risulta importante effettuare il “patch management”, prima che gli aggressori possano sfruttare le falle di sicurezza all’interno delle nostre organizzazioni.
Solo con una grande attenzione e consapevolezza è possibile evitare di cadere nelle trappole tese dagli hacker.
L'articolo Allerta critica CISA! Tre nuovi bug sfruttati attivamente: Cisco, SonicWall e ASUS nel mirino proviene da Red Hot Cyber.
Backdoor invisibile nei Cisco Secure Email: quando la patch non basta più
Quando si parla di sicurezza informatica, è normale pensare a un gioco costante tra chi attacca e chi difende. E in questo gioco, le vulnerabilità zero-day sono il jackpot per gli hacker criminali. Recentemente, una falla critica nei dispositivi di posta elettronica sicura di Cisco ha attirato l’attenzione di un gruppo di hacker cinesi molto esperti.
Questa vulnerabilità, identificata come CVE-2025-20393, ha un punteggio CVSS massimo di 10 e consente agli aggressori di prendere il controllo totale dei gateway di rete sensibili.
Ma cosa significa esattamente?
In pratica, questi attacchi permettono agli hacker di bypassare l’autenticazione ed eseguire comandi come root, il che significa avere carta bianca per fare danni. La campagna è stata scoperta da Cisco Talos e prende di mira i dispositivi Cisco Secure Email Gateway (ESA) e Secure Email and Web Manager (SMA) che eseguono il software Cisco AsyncOS.
La cosa preoccupante è che la falla richiede configurazioni specifiche non standard per essere sfruttata, ma se gli aggressori riescono a sfruttarla, le conseguenze per le organizzazioni colpite possono essere davvero catastrofiche.
Il vettore di attacco si basa su una configurazione errata specifica: la funzione Spam Quarantine. Anche se disabilitata di default, se questa funzione è abilitata e la sua porta è esposta alla rete Internet aperta, diventa un punto di ingresso diretto per gli aggressori. Insomma, è un problema che non può essere ignorato..
“Questo attacco consente agli autori della minaccia di eseguire comandi arbitrari con privilegi di root sul sistema operativo sottostante di un dispositivo interessato”, si legge nell’avviso . Una volta entrato, l’avversario non si limita a eseguire comandi, ma installa una backdoor persistente e personalizzata, progettata per mimetizzarsi con il server web dell’appliance.
Cisco Talos ha attribuito questa campagna con “moderata sicurezza” a un autore di minacce con un legame con la Cina, identificato come UAT-9686. Le tecniche del gruppo mostrano evidenti sovrapposizioni con noti APT come APT41 e UNC5174.
Il gruppo distribuisce una serie di strumenti specializzati, pensati appositamente per questi elettrodomestici, denominati serie “Aqua”:
- AquaShell: il fiore all’occhiello della campagna. Questa backdoor Python leggera è integrata chirurgicamente nei file del server web esistente dell’appliance (/data/web/euq_webui/htdocs/index.py). Ascolta passivamente richieste HTTP POST appositamente create, decodificando ed eseguendo i comandi senza lasciare traccia nel log.
- AquaPurge: uno script “cleanup team” che pulisce i log di sistema. Utilizza egrep per invertire la ricerca nei file di log, eliminando di fatto tutte le righe contenenti parole chiave specifiche relative all’attività dell’aggressore, lasciando intatto il resto del file.
- AquaTunnel: un binario GoLang compilato basato sullo strumento open source “ReverseSSH“. Questo crea una connessione inversa con l’aggressore, garantendogli di bypassare i firewall e mantenere l’accesso anche se la vulnerabilità iniziale è stata corretta.
Il meccanismo di persistenza utilizzato da UAT-9686 è così profondamente radicato che la correzione standard non è sufficiente. Il consiglio di Cisco per le compromissioni confermate è chiaro: ricostruire. “In caso di compromissione confermata, la ricostruzione degli appliance è, attualmente, l’unica opzione praticabile per eliminare il meccanismo di persistenza degli attori della minaccia dall’appliance”.
Per evitare di cadere in questi problemi, innanzitutto gli amministratori devono verificare al più presto le loro configurazioni. Un punto cruciale è controllare se la funzione Spam Quarantine è abilitata e, se sì, assicurarsi che sia protetta da un firewall e isolata dalla rete Internet pubblica. Considerando che la vulnerabilità in questione ha un punteggio CVSS di 10, che è il massimo, è chiaro che non c’è spazio per errori.
Gli amministratori devono essere sul pezzo e assicurarsi che tutto sia in ordine per evitare brutte sorprese. La prudenza e l’attenzione al dettaglio sono fondamentali per non cadere in trappole del genere.
L'articolo Backdoor invisibile nei Cisco Secure Email: quando la patch non basta più proviene da Red Hot Cyber.
Allarme spionaggio: gruppo APT cinese Ink Dragon impianta C2 nei governi europei
Era solo questione di tempo. Ormai i governi del mondo hanno messo in allarme i loro sistemi di sicurezza. E infatti è di questi giorni la scoperta di un’operazione di spionaggio su larga scala condotta da un gruppo di hacker cinesi, noti come Ink Dragon.
L’obiettivo? Trasformare i server governativi hackerati in una rete distribuita di comando e di inoltro del traffico. Insomma, usare le vittime come parte della loro infrastruttura di comando e controllo. Un modus operandi che ha lasciato senza fiato gli esperti di sicurezza.
Ink Dragon è attivo da inizio 2023 e si è concentrato su organizzazioni governative, di telecomunicazioni e pubbliche nel Sud-est asiatico e in Sud America. Ma, fatto ancor più inquietante, ha aumentato la sua attività contro le strutture governative in Europa. Un livello di sofisticazione ingegneristica elevato e un utilizzo di componenti di sistema legittimi hanno reso questi attacchi difficili da individuare. Scovare questa operazione è stato come trovare un ago in un pagliaio. Ma, come si dice, “il lupo perde il pelo ma non il vizio”. E Ink Dragon non ha smesso di stupire.
Check Point Research ha scoperto questa operazione di spionaggio su larga scala che ha utilizzato di fatto le vittime stesse come parte della sua infrastruttura di comando e controllo.
Ink Dragon, noto anche come Earth Alux, Jewelbug , REF7707 e CL-STA-0049, è attivo almeno dall’inizio del 2023. Inizialmente, il gruppo si è concentrato su organizzazioni governative, di telecomunicazioni e pubbliche nel Sud-est asiatico e in Sud America, ma negli ultimi mesi ha notevolmente aumentato la sua attività contro le strutture governative in Europa.
Le campagne del gruppo sono caratterizzate da un elevato livello di sofisticazione ingegneristica, una meticolosa disciplina operativa e l’ampio utilizzo di componenti di sistema legittimi, consentendo agli attacchi di rimanere inosservati per lunghi periodi.
Una caratteristica chiave di Ink Dragon è il suo approccio che prevede l’integrazione dei server compromessi in una rete di relay distribuita globale, anziché il loro semplice utilizzo a scopo di spionaggio. Per raggiungere questo obiettivo, gli aggressori implementano un modulo IIS specializzato, ShadowPad Listener, che si integra nel server web e intercetta silenziosamente il traffico HTTP(S). Ogni server infetto diventa un nodo in grado di ricevere comandi, inoltrarli ad altre vittime e gestire le connessioni tramite proxy, espandendo così l’infrastruttura di comando e controllo senza la necessità di server C2 dedicati.
La penetrazione iniziale avviene in genere tramite errori di configurazione di IIS e SharePoint ben noti ma ancora diffusi. Ink Dragon sfrutta attivamente le vulnerabilità di deserializzazione di ASP.NET ViewState utilizzando valori machineKey prevedibili o trapelati, consentendo l’esecuzione di codice arbitrario. Diversi attacchi hanno anche sfruttato una serie di vulnerabilità di ToolShell nelle installazioni locali di Microsoft SharePoint , consentendo l’esecuzione di codice remoto non autenticato e l’installazione di web shell. Nell’estate del 2025, il gruppo ha condotto scansioni di massa di server SharePoint vulnerabili, indicando un accesso precoce agli exploit.
Nell’infrastruttura dell’organizzazione, dalle configurazioni IIS e dai processi di lavoro. Ciò consente a Ink Dragon di passare rapidamente dall’esecuzione di codice all’interno di un processo web all’ottenimento del pieno controllo del server e quindi all’autenticazione sugli host vicini. Fanno ampio uso di tunnel RDP e delle funzionalità ShadowPad integrate per il movimento, camuffando la loro attività da sessioni amministrative legittime
La persistenza nel sistema viene ottenuta creando attività di pianificazione e installando servizi con privilegi SYSTEM. I file eseguibili sono mascherati da componenti di sistema Windows, come conhost.exe, e spesso dispongono di firme digitali valide di fornitori affidabili, riducendo la probabilità di essere rilevati. Per aumentare i privilegi, Ink Dragon combina lo sfruttamento di vulnerabilità locali, incluse tecniche della famiglia Potato, con un’aggressiva raccolta di credenziali. Gli attacchi utilizzano strumenti proprietari per il dump di LSASS, l’estrazione di hash NTLM e artefatti Kerberos e la ricerca attiva di sessioni RDP amministrative “sospese” da cui estrarre token di amministratore di dominio.
Le vittime di Ink Dragon prendono di mira principalmente organizzazioni governative. Negli ultimi mesi è stato registrato un aumento degli attacchi contro entità europee, con server hackerati in Europa utilizzati per operazioni contro obiettivi in Africa e nel Sud-est asiatico. In diversi casi, è stata rilevata attività di un altro gruppo cinese , RudePanda, sugli stessi sistemi. Hanno utilizzato i propri moduli IIS, web shell e persino scaricato un rootkit del kernel, ma i ricercatori non hanno trovato alcun coordinamento diretto tra i gruppi.
Secondo Check Point Research, Ink Dragon rappresenta un modello maturo di cyberspionaggio in cui il confine tra “vittima” e “infrastruttura di controllo” praticamente scompare. Ogni nuovo server compromesso rafforza la rete complessiva, aumentandone la sopravvivenza e la furtività. In queste condizioni, proteggere i singoli nodi diventa insufficiente: contrastare tali operazioni richiede l’identificazione e l’interruzione dell’intera relay chain, altrimenti i sistemi compromessi continueranno a essere al servizio degli aggressori per lungo tempo.
Cosa abbiamo imparato da questo articolo? Innanzitutto, che esiste un gruppo di hacker chiamato Ink Dragon che si concentra principalmente sull’attacco a organizzazioni governative. E’ stato notato un aumento degli attacchi verso entità europee, con server hackerati in Europa che vengono usati per operazioni contro obiettivi in Africa e Sud-est asiatico. Dall’articolo si evince che non c’è una collaborazione diretta tra Ink Dragon e un altro gruppo di hacker, RudePanda, ma è stata rilevata un’attività simile su alcuni sistemi.
Per non cadere dentro questi problemi occorre prestare attenzione ad alcuni aspetti. Innanzitutto, proteggere i singoli nodi non è più sufficiente. Infatti, bisogna identificare e interrompere l’intera catena di relay. In questo modo, si può evitare che i sistemi compromessi continuino a essere utilizzati dagli aggressori per molto tempo. Inoltre, è importante tenere sotto controllo le attività dei gruppi di hacker e monitorare le loro mosse per prevenire futuri attacchi. In generale, la sicurezza informatica è un tema molto importante e va curato con attenzione.
L'articolo Allarme spionaggio: gruppo APT cinese Ink Dragon impianta C2 nei governi europei proviene da Red Hot Cyber.
Gazzetta del Cadavere reshared this.
BgLUG Bergamo: Brindisi di Natale al FabLab Bergamo 🎅
Segnalato dal calendario eventi di Linux Italia e pubblicato sulla comunità Lemmy @GNU/Linux Italia
Sabato 20 dicembre di pomeriggio faremo un brindisi di natale.
GNU/Linux Italia reshared this.
Germanium Semiconductor Made Superconductor by Gallium Doping
Over on ScienceDaily we learn that an international team of scientists have turned a common semiconductor germanium into a superconductor.
Researchers have been able to make the semiconductor germanium superconductive for the first time by incorporating gallium into its crystal lattice through the process of molecular-beam epitaxy (MBE). MBE is the same process which is used in the manufacture of semiconductor devices such as diodes and MOSFETs and it involves carefully growing crystal lattice in layers atop a substrate.
When the germanium is doped with gallium the crystalline structure, though weakened, is preserved. This allows for the structure to become superconducting when its temperature is reduced to 3.5 Kelvin.
It is of course wonderful that our material science capabilities continue to advance, but the breakthrough we’re really looking forward to is room-temperature superconductors, and we’re not there yet. If you’re interested in progress in superconductors you might like to read about Floquet Majorana Fermions which we covered earlier this year.
Underwater Jetpack is Almost Practical
The jet pack is one of those pre-war sci-fi dreams that the cold light of rational consideration reveals to be a terrible idea. Who wants to cook their legs with hot exhaust while careening out of control? Nobody. Yet it’s such an iconic idea, we can’t get away from it. What if there was a better environment, one where your jetpack dreams could come true? [CPSdrone] has found one: the world’s oceans, and have taken that revelation to build the world’s fastest underwater jetpack.
Underwater? Yeah, water drag is worse than air drag. But there are two big advantages: one, humans are fairly buoyant, so you don’t need fight gravity with rocket thrust, and two, the high density of water makes small, electric props a reasonable proposition. The electric ducted fans on this “jetpack” each produce about 110 pounds of thrust, or just over 490 N. The first advantage is helped further by the buoyancy provided by the air-filled “hull” of the jetpack. That’s necessary because while the motors might be rated for submersion, but the rest of the electronics aren’t.
Alas, wearing the device on the back is considerably less hydrodynamic than hanging on behind in the standard ‘water scooter’ configuration. While they’re able to go faster than a swimming human, the ESCs weren’t able to handle the motors full power so we can’t tell you if this device would allow [CPSdrone] to outrun a shark with those 220 lbf on tap, which was the design goal. Apparently they’re working on it.
From the testing done on-screen, it’s safe to say that they’d at least need to hang on behind to get their desired speed goals, and abandon their jet pack dreams just as we landlubbers were forced to do long ago. Well, some of us, anyway.
youtube.com/embed/RjUV6Y-baDY?…
World Summit on the Information Society Conference Results
The UN has decided the fate of the Internet at the WSIS
Today, December 18, 2025 a major international conference has concluded at the UN HQ in NY with vast represcusions for the future of a free, global internet.
For the first time at this level, the UN explicitly admits: **”Digital Public Goods” are the foundation.**
The document clearly spells out support for:
* Open Source Software (OSS)
* Open Data
* Open AI models
* Open Standards
This is what Pirates have been shouting about for years! Knowledge and code must belong to humanity, not locked behind corporate paywalls. Copyright must not strangle progress.
The main fear was that governance of the Web would be handed over exclusively to states.
The resolution confirms decisions aren’t just made by the suits in ministries
The Internet Governance Forum (IGF) is now a permanent UN institution!
While there are positives that came out of the event, there are also texts we need to carefully observe.
1. **”Sovereign Equality of States” (Para 4):**
Human rights do not end where a state’s IP address range begins.
2. **”Security” vs Freedom:**
Lots of words about cybersecurity and “malicious acts.” We know how often total surveillance and encryption backdoors are implemented under the pretext of fighting “fakes” and “cyber threats.”
3. **The Digital Divide:**
A third of the world is still offline. The UN promises to connect everyone, but if that connection is to a fenced-off, censored intranet then access is worthless.
The resolution opens doors for PPI:
* We will continue to participate in the IGF!
* We will push for Open Source
* We will defend encryption and anonymity.
We look forward to updating you more about our activities at the IGF next year, as well as future conferences about the global governance of the internet.
pp-international.net/2025/12/w…
La notte di Repubblica e del suo gruppo
@Giornalismo e disordine informativo
articolo21.org/2025/12/la-nott…
A dispetto del ministro Valditara che invoca il latino, sono i Greci a sbarcare in Italia. Com’è noto (ne ha ampiamente scritto anche il manifesto), l’imprenditore ellenico Kyriakou è di una famiglia che divide i suoi interessi tra il petrolio e i media.
Giornalismo e disordine informativo reshared this.
Vulnerabilità critica in Windows Admin Center: falla sicurezza permette takeover server
Una falla di sicurezza davvero è stata scoperta in Windows Admin Center (WAC) di Microsoft. In pratica, un errore di autorizzazione può far assumere il controllo totale di un server a qualsiasi utente standard.
Il team di Cymulate Research Labs hanno pubblicato un nuovo report che illustra la scoperta di CVE-2025-64669, ovvero una vulnerabilità (CVSS 7.8) di tipo Local Privilege Escalation (LPE). Questa debolezza va a colpire proprio le versioni più in voga dello strumento per gestire l’infrastruttura. Insomma, è una vulnerabilità che può mettere a rischio la sicurezza dei server.
La notizia è arrivata dopo un’analisi approfondita da parte del team di ricerca, che ha messo nel mirino il problema. A quanto pare, la falla di sicurezza è una guest star nelle versioni più popolari di WAC. Un utente con intenzioni poco pure potrebbe facilmente approfittare di questo errore per ottenere i privilegi di amministratore e quindi prendere il controllo totale del server, il che è davvero poco rassicurante.
Il problema nasce da un errore di configurazione davvero semplice: una cartella di sistema super importante è stata lasciata sbloccata. I ricercatori hanno scoperto che la directory C:ProgramDataWindowsAdminCenter era impostata per essere accessibile a tutti gli utenti standard, anche per quanto riguarda la scrittura. In pratica, questo errore ha permesso agli aggressori di prendere il controllo della situazione. Ora, grazie alla correzione di Microsoft, la falla è stata chiusa.
La vulnerabilità è stata causata da una mancata protezione della cartella, che è stata configurata per essere accessibile a tutti, senza troppe restrizioni. Questo ha fatto sì che gli utenti standard potessero scrivere nella directory, senza essere bloccati. La scoperta della vulnerabilità ha portato Microsoft a prendere provvedimenti, e ora la sicurezza della rete è stata rafforzata.
“La causa principale risiede nelle autorizzazioni di directory non sicure, in cui la cartella C:ProgramDataWindowsAdminCenter è scrivibile da tutti gli utenti standard”, afferma il rapporto. Questa svista ha fatto sì che qualsiasi utente con privilegi bassi sul sistema potesse manomettere i file utilizzati dai processi più potenti dell’Admin Center. “Gli utenti standard con accesso al file system sottostante possono sfruttare questa configurazione errata per aumentare i privilegi”.
Trovare una cartella scrivibile è una cosa, sfruttarla come arma è un’altra. I ricercatori hanno identificato due percorsi distinti per sfruttare questa falla , ma il metodo più ingegnoso prevedeva di ingannare il programma di aggiornamento del WAC.
La scoperta del team ha rivelato che era possibile effettuare un attacco di “DLL Hijacking” sul processo WindowsAdminCenterUpdater.exe. Nonostante ciò, l’aggiornamento presentava un meccanismo di protezione che consisteva nella convalida delle firme digitali prima del caricamento dei file.
“Avevamo quasi rinunciato, ma poi abbiamo notato qualcosa di interessante”, hanno scritto i ricercatori. Si sono resi conto che il processo di convalida presentava una piccola finestra di vulnerabilità, una classica falla “Time-of-Check Time-of-Use” (TOCTOU). “Il processo di convalida avviene all’interno del processo WindowsAdminCenter stesso e, al termine, richiama e apre WindowsAdminCenterUpdater.exe”.
Microsoft ha assegnato il problema CVE-2025-64669 e ha assegnato al team di Cymulate una ricompensa di 5.000 dollari per le sue scoperte. Gli amministratori che utilizzano Windows Admin Center sono invitati ad aggiornare immediatamente alla versione 2411 o successiva per colmare questa lacuna critica.
L'articolo Vulnerabilità critica in Windows Admin Center: falla sicurezza permette takeover server proviene da Red Hot Cyber.
Sanità: presidio al Pirellone, restituiti simbolicamente alla Giunta i “pessimi regali” alla sanità pubblica
@Giornalismo e disordine informativo
articolo21.org/2025/12/sanita-…
Milano, 16 dicembre 2025. Questo pomeriggio la rete La
Giornalismo e disordine informativo reshared this.
SuluBeddu
in reply to Antonella Ferrari • • •