Un’azienda, senza rendersene conto, ha assunto un dipendente IT per una posizione remota, solo per scoprire in seguito di essere diventata una vittima di un attacco informatico orchestrato da un criminale nordcoreano. Secondo un rapporto della società di sicurezza informatica Secureworks, l’incidente ha rivelato come gli hacker nordcoreani possano infiltrarsi nelle aziende occidentali registrandosi con identità false.

L’hacker in questione ha fornito informazioni personali e dettagli sulla propria esperienza lavorativa falsificati, riuscendo così a ottenere un impiego presso un’azienda operante nel Regno Unito, negli Stati Uniti e in Australia. Per mantenere la propria copertura, l’individuo ha scelto di rimanere anonimo. Dopo essere stato assunto durante l’estate, l’hacker ha ricevuto accesso agli strumenti necessari per lavorare da casa. Secureworks ha riportato che l’infiltrato ha utilizzato le credenziali aziendali per scaricare silenziosamente un volume significativo di dati sensibili. In soli quattro mesi, è riuscito a rubare informazioni vitali senza che l’azienda si accorgesse di nulla, continuando a percepire uno stipendio per il suo “lavoro”.

Per evitare sanzioni internazionali, l’hacker ha trasferito i fondi guadagnati in Corea del Nord attraverso una rete complessa di riciclaggio di denaro. Quando l’azienda ha infine deciso di licenziarlo a causa di una scarsa performance durante la revisione delle prestazioni, l’hacker ha reagito inviando un’e-mail di riscatto. Ha minacciato di causare perdite all’azienda se non fosse stato pagato in criptovaluta per i dati rubati. Non è chiaro se l’azienda abbia ceduto a queste richieste.

Questo caso ha sollevato serie preoccupazioni nel mondo degli affari, con esperti che avvertono che le operazioni informatiche nordcoreane sono in aumento.

È fondamentale che le aziende adottino misure di sicurezza rigorose per proteggersi da tali minacce. Inoltre, i dipendenti assunti per posizioni remote dovrebbero sempre essere cauti nel fornire informazioni riservate e identificative alle aziende.

L'articolo Da Dipendente ad Hacker Criminale! il Caso Sconcertante di un Infiltrato Nordcoreano proviene da il blog della sicurezza informatica.

[Igor] has an AS5600 magnetic rotary encoder chip on a breakout board. Normally, you’d think that was an easy device to work with since it has an I2C interface. But [Igor] wanted to do it the hard way. What’s the hard way? By hand. He directly manipulates the clock and data lines using some push buttons. You can see how it goes in the video below.

This is possible because the controlling device — in this case [Igor] — gets to set the clock rate, and there’s no reason it has to be regular. We have to admit that it never occurred to us to do this, but we have written “bit banged” I2C-like code before.

The practical value of this isn’t clear, but we were still impressed. Certainly, if you had to write code or build hardware to operate the protocol, this would tell you quickly if you understood the fundamentals. We wonder if his next trick will be RS232 via Morse code key.

If you want a deep dive into the world of I2C, we can help with that. This reminded us of the old “paperclip computer book” that showed how to make your own computer with oatmeal boxes and paperclips. You just had to do the work of the CPU yourself.

youtube.com/embed/6bdbk9Mryv0?…

hackaday.com/2024/10/21/i2c-th…

In questo podcast potete ascoltare, liberamente, la mia lezione d'inaugurazione del Corso di Perfezionamento in Criminalità Informatica e Investigazioni Digitali che inizia oggi, con quasi 100 iscritti.

zerodays.podbean.com/e/la-cybe…

Introduction

Information stealers, which are used to collect credentials to then sell them on the dark web or use in subsequent cyberattacks, are actively distributed by cybercriminals. Some of them are available through a monthly subscription model, thus attracting novice cybercriminals. According to Kaspersky Digital Footprint Intelligence, almost 10 million devices, both personal and corporate, were attacked by information stealers in 2023. That said, the real number of the attacked devices may be even higher, as not all stealer operators publish all their logs immediately after stealing data.

This year, we analyzed quite a few previously known and new stealers, which we described in detail in our private reports. You will find a few excerpts from these below. To learn more about our crimeware reporting service, contact us at crimewareintel@kaspersky.com.

Kral

In mid-2023, we discovered the Kral downloader which, back then, downloaded the notorious Aurora stealer. This changed in February this year when we discovered a new Kral stealer, which we believe is part of the same malware family as the downloader due to certain code similarities.

The Kral stealer is delivered solely by the Kral downloader. The downloader itself sneaks onto the user’s device when a potential victim visits an adult website that embeds malicious ads. These redirect the victim to a phishing page which offers them to download a file. That file is the Kral downloader. Back in 2023, the downloader was written in a combination of C++ and Delphi, which resulted in relatively large samples. These days, the downloader is solely written in C++, which has shrunk the size of the payload tenfold.

The Kral stealer has quite some similarities with the downloader. Both are signed and both use the same function for binary integrity verification (
WinVerifyTrust()). Also, they both use the same key for string encryption. Last but not least, the Kral name is used in the PDB paths to both binaries.
In terms of functionality, the stealer is particularly interested in cryptocurrency wallets and browser data. A random folder is created in
C:\ProgramData\, where stolen data, as well as information about the system (local time, time zone, CPU, etc) are stored. The folder is then zipped and sent to the C2 via the COM interface of the Background Intelligent Transfer Service (BITS). The stealer only collects data once. However, if the user launches it again, it will steal once more.

AMOS

The AMOS stealer targeting macOS was first identified in early 2023. In June 2024, we discovered a new domain delivering this malware. The website impersonated the Homebrew package manager. Following a deeper investigation, we found out that users ended up on this site through malvertising.

Homebrew fake website

As you can see from the image above, there are two options to install the malware. First, there is an option to download the infected DMG image directly, while the second option is to use an installation script.

The installation script is fairly simple. It downloads the malicious image and installs it, after which it downloads and installs the legitimate Homebrew package. In the other case, when the user downloads the image, the following screen is displayed:

DMG file with nested files

As can be seen, the user is tricked into thinking that they have launched the Homebrew app and opening the AMOS stealer. When the malware is executed, multiple instances of the Terminal and bash processes are started. These processes start collecting system information and creating new hidden session history files. The stealer also embeds a specific trick to collect the macOS user password. Instead of logging keystrokes, the malware displays deceptive dialog boxes requesting the user’s credentials.

Vidar / ACR

The actors behind Vidar spread it by adding comments on YouTube that contain links to a ZIP or RAR archive hosted on a file-sharing platform which is changing every week. The archive is password protected, but the password is found at the same URL as the archive.

Contents of the cloud storage

The downloaded archive contains another password-protected archive, which contains the following files:

1. converter.exe: legitimate ImageMagick application;
2. vcomp100.dll: malicious DLL used for DLL hijacking;
3. bake.docx: encrypted first stage loader;
4. blindworm.avi: IDAT loader, the second stage payload.

The legitimate converter.exe loads vcomp100.dll as the former is vulnerable to DLL hijacking. Next, the malicious DLL reads the encrypted “bake.docx” file, gets the payload and the key from a specified offset, and decodes the payload. That payload is a variant of the Penguish downloader containing an IDAT packed sample. This means we can use the IDAT loader extractor to extract the final payload, which is the Vidar stealer.

What is interesting here is that instead of stealing data, Vidar actually downloads the ACR stealer. The latter, like many stealers these days, is interested in browser data and wallets. Vidar, too, normally targets the same types of data, however in this case, it uses the ACR Stealer as an exfiltration module.

According to our telemetry data, most victims are found in Brazil.

Conclusion

Stealers are found everywhere, and they are popular among cybercriminals. Stolen data can be either leveraged for further attacks by the attackers themselves or sold on the dark web. Although stealers implement extensive support for snatching crypto-related data, the harvesting of credentials can be just as damaging – or even more so. This is especially true for credentials that provide access to corporate networks which can then be leveraged to deploy ransomware attacks.

Relatively simple measures, such as 2FA, choosing unique passwords, downloading software only from official websites, and double-checking the website before downloading, can complicate this kind of attacks.

If you would like to stay up to date on the latest TTPs being used by criminals, or if you have questions about our private reports, contact us at crimewareintel@kaspersky.com.

Indicators of compromise

Kral
02c168aebb26daafe43a0cccd85397b2
039bebb6ccc2c447c879eb71cd7a5ba8
0509cc53472b265f8c3fc57008e31dbe

Amos
ec7f737de77d8aa8eece7e355e4f49b9
dd2832f4bf8f9c429f23ebb35195c791

Vidar
6f9d3babdeea3275489589ee69bc3f31

securelist.com/kral-amos-vidar…

pubblicato su «Il Giorno», 3 febbraio 1965

Il brigadiere è davanti alla macchina da scrivere. L’interrogato, seduto davanti a lui, risponde alle domande un po’ balbettando, ma attento a dire tutto quel che ha da dire nel modo più preciso e senza una parola di troppo: «Stamattina presto andavo in cantina ad accendere la stufa e ho trovato tutti quei fiaschi di vino dietro la cassa del carbone. Ne ho preso uno per bermelo a cena. Non ne sapevo niente che la bottiglieria di sopra era stata scassinata». Impassibile, il brigadiere batte veloce sui tasti la sua fedele trascrizione: «Il sottoscritto essendosi recato nelle prime ore antimeridiane nei locali dello scantinato per eseguire l’avviamento dell’impianto termico, dichiara d’essere casualmente incorso nel rinvenimento di un quantitativo di prodotti vinicoli, situati in posizione retrostante al recipiente adibito al contenimento del combustibile, e di aver effettuato l’asportazione di uno dei detti articoli nell’intento di consumarlo durante il pasto pomeridiano, non essendo a conoscenza dell’avvenuta effrazione dell’esercizio soprastante».
Ogni giorno, soprattutto da cent’anni a questa parte, per un processo ormai automatico, centinaia di migliaia di nostri concittadini traducono mentalmente con la velocità di macchine elettroniche la lingua italiana in un’antilingua inesistente. Avvocati e funzionari, gabinetti ministeriali e consigli d’amministrazione, redazioni di giornali e di telegiornali scrivono parlano pensano nell’antilingua. Caratteristica principale dell’antilingua è quello che definirei il «terrore semantico», cioè la fuga di fronte a ogni vocabolo che abbia di per se stesso un significato, come se «fiasco» «stufa» «carbone» fossero parole oscene, come se «andare» «trovare» «sapere» indicassero azioni turpi. Nell’antilingua i significati sono costantemente allontanati, relegati in fondo a una prospettiva di vocaboli che di per se stessi non vogliono dire niente o vogliono dire qualcosa di vago e sfuggente. «Abbiamo una linea esilissima, composta da nomi legati da preposizioni, da una copula o da pochi verbi svuotati della loro forza» come ben dice Pietro Citati che di questo fenomeno ha dato su queste colonne un’efficace descrizione.
Chi parla l’antilingua ha sempre paura di mostrare familiarità e interesse per le cose di cui parla, crede di dover sottintendere: «io parlo di queste cose per caso, ma la mia funzione è ben più in alto delle cose che dico e che faccio, la mia funzione è più in alto di tutto, anche di me stesso». La motivazione psicologica dell’antilingua è la mancanza d’un vero rapporto con la vita, ossia in fondo l’odio per se stessi. La lingua invece vive solo d’un rapporto con la vita che diventa comunicazione, d’una pienezza esistenziale che diventa espressione. Perciò dove trionfa l’antilingua – l’italiano di chi non sa dire «ho fatto» ma deve dire «ho effettuato» – la lingua viene uccisa.
Se il linguaggio «tecnologico» di cui ha scritto Pasolini (cioè pienamente comunicativo, strumentale, omologatore degli usi diversi) si innesta sulla lingua non potrà che arricchirla, eliminarne irrazionalità e pesantezze, darle nuove possibilità (dapprincipio solo comunicative, ma che creeranno, come è sempre successo, una propria area di espressività); se si innesta sull’antilingua ne subirà immediatamente il contagio mortale, e anche i termini «tecnologici» si tingeranno del colore del nulla.
L’italiano finalmente è nato, – ha detto in sostanza Pasolini, – ma io non lo amo perché è «tecnologico».
L’italiano da un pezzo sta morendo, – dico io, – e sopravviverà soltanto se riuscirà a diventare una lingua strumentalmente moderna; ma non è affatto detto che, al punto in cui è, riesca ancora a farcela.
Il problema non si pone in modo diverso per il linguaggio della cultura e per quello del lavoro pratico. Nella cultura, se lingua «tecnologica» è quella che aderisce a un sistema rigoroso, – di una disciplina scientifica o d’una scuola di ricerca – se cioè è conquista di nuove categorie lessicali, ordine più preciso in quelle già esistenti, strutturazione più funzionale del pensiero attraverso la frase, ben venga, e ci liberi di tanta nostra fraseologia generica. Ma se è una nuova provvista di sostantivi astratti da gettare in pasto all’antilingua, il fenomeno non è positivo né nuovo, e la strumentalità tecnologica vi entra solo per finta.
Ma il giusto approccio al problema mi pare debba avvenire al livello dell’uso parlato, della vita pratica quotidiana. Quando porto l’auto in un’officina per un guasto, e cerco di spiegare al meccanico che «quel coso che porta al coso mi pare che faccia uno scherzo sul coso», il meccanico che fino a quel momento ha parlato in dialetto guarda dentro il cofano e spiega con un lessico estremamente preciso e costruendo frasi d’una funzionale economia sintattica, tutto quello che sta succedendo al mio motore. In tutta Italia ogni pezzo della macchina ha un nome e un nome solo, (fatto nuovo rispetto alla molteplicità regionale dei linguaggi agricoli; meno nuovo rispetto a vari lessici artigiani), ogni operazione ha il suo verbo, ogni valutazione il suo aggettivo. Se questa è la lingua tecnologica, allora io ci credo, io ho fiducia nella lingua tecnologica.
Mi si può obiettare che il linguaggio – diciamo così – tecnico-meccanico è solo una terminologia; lessico, non lingua. Rispondo: più la lingua si modella sulle attività pratiche, più diventa omogenea sotto tutti gli aspetti, non solo, ma pure acquista «stile». Finché l’italiano è rimasto una lingua letteraria, non professionale, nei dialetti (quelli toscani compresi, s’intende) esisteva una ricchezza lessicale, una capacità di nominare e descrivere i campi e le case, gli attrezzi e le operazioni dell’agricoltura e dei mestieri che la lingua non possedeva. La ragione della prolungata vitalità dei dialetti in Italia è stata questa. Ora, questa fase è superata da un pezzo: il mondo che abbiamo davanti, – case e strade e macchinari e aziende e studi, e anche molta dell’agricoltura moderna – è venuto su con nomi non dialettali, nomi dell’italiano, o costruiti su modelli dell’italiano, oppure d’una inter-lingua scientifico-tecnico-industriale, e vengono adoperati e pensati in strutture logiche italiane o interlinguistiche. Sarà sempre di più questa lingua operativa a decidere le sorti generali della lingua.
Anche nel suo aspetto espressivo: non tanto per le possibili rapide fortune di nuovi termini che dall’uso scientifico o tecnico passano a quello metaforico, affettivo, psicologico ecc. (questo è sempre successo: parole come «allergico», «cartina al tornasole», «relativistico» già erano entrate nell’«italiano medio» dei nostri padri, ma devo dire che mi garbano poco), ma perché anche qui le forme dell’uso pratico sono sempre determinanti, fanno cadere vecchie forme di coloritura espressiva diventate incompatibili col resto del modo di parlare, obbligano a sostituirle con altre.
Il dato fondamentale è questo: gli sviluppi dell’italiano oggi nascono dai suoi rapporti non con i dialetti ma con le lingue straniere. I discorsi sul rapporto lingua-dialetti, sulla parte che nell’italiano d’oggi hanno Firenze o Roma o Milano, sono ormai di scarsa importanza. L’italiano si definisce in rapporto alle altre lingue con cui ha continuamente bisogno di confrontarsi, che deve tradurre e in cui deve essere tradotto.
Le grandi lingue europee hanno tutte i loro problemi, al loro interno e soprattutto nel confronto reciproco, tutte hanno limiti gravi di fronte ai bisogni della civiltà contemporanea, nessuna riesce a dire tutto quello che avrebbe da dire. Per esempio, la spinta innovatrice del francese, di cui parlava su queste colonne Citati, è fortemente frenata dalla struttura della frase fondamentalmente classicista, letteraria, conservatrice: la Quinta Repubblica vive il contrasto tra la sua realtà economica solidamente tecnocratica e il suo linguaggio d’una espressività letteraria vaga e anacronistica.
La nostra epoca è caratterizzata da questa contraddizione: da una parte abbiamo bisogno che tutto quel che viene detto sia immediatamente traducibile in altre lingue; dall’altra abbiamo la coscienza che ogni lingua è un sistema di pensiero a sé stante, intraducibile per definizione.
Le mie previsioni sono queste: ogni lingua si concentrerà attorno a due poli: un polo di immediata traducibilità nelle altre lingue con cui sarà indispensabile comunicare, tendente ad avvicinarsi a una sorta di interlingua mondiale ad alto livello; e un polo in cui si distillerà l’essenza più peculiare e segreta della lingua, intraducibile per eccellenza, e di cui saranno investiti istituti diversi come l’argot popolare e la creatività poetica della letteratura.
L’italiano nella sua anima lungamente soffocata, ha tutto quello che ci vuole per tenere insieme l’uno e l’altro polo: la possibilità d’essere una lingua agile, ricca, liberamente costruttiva, robustamente centrata sui verbi, dotata d’una varia gamma di ritmi nella frase. L’antilingua invece esclude sia la comunicazione traducibile, sia la profondità espressiva. La situazione sta in questi termini: per l’italiano trasformarsi in una lingua moderna equivale in larga parte a diventare veramente se stesso, a realizzare la propria essenza; se invece la spinta verso l’antilingua non si ferma ma continua a dilagare, l’italiano scomparirà dalla carta linguistica d’Europa come uno strumento inservibile.

Gnu/Linux Italia (LaserOffice) ha pubblicato un mio articolo introduttivo al Fediverso e della sua correlazione con il panorama opensource.

laseroffice.it/blog/2024/10/20…

FEDIVERSO: Un'alternativa decentralizzata e open source ai social network proprietari - Aggregatore

Nel mondo odierno, la maggior parte delle persone si affida a piattaforme social centralizzate come Facebook, Instagram, YouTube e WhatsApp. Questi servizi,

^{Alex (Aggregatore GNU/Linux e dintorni)}

Nasce a Lugos, Ungheria [ora Lugoj, Romania] Bela Lugosi attore famoso soprattutto per la sua sinistra interpretazione del vampiro Conte Dracula.
@Storia
#otd