Stiamo assistendo a un periodo turbolento nel panorama della cybercriminalità, segnato dall’emergere di una nuova piattaforma di phishing-as-a-service (PaaS) chiamata ‘FlowerStorm’. Questa minaccia, che si concentra principalmente sugli utenti di Microsoft 365, ha rapidamente guadagnato terreno dopo l’imprevisto arresto del suo predecessore, Rockstar2FA, avvenuto nel novembre 2024.

Il crollo di Rockstar2FA

Rockstar2FA, un kit di phishing evoluto dall’ormai noto DadSec, ha subito un parziale crollo infrastrutturale l’11 novembre 2024 (Qui l’articolo completo). Secondo i ricercatori di Sophos, Sean Gallagher e Mark Parsons, molte pagine del servizio sono diventate inaccessibili, probabilmente a causa di problemi tecnici piuttosto che per interventi delle forze dell’ordine. In particolare, l’infrastruttura di Rockstar2FA faceva affidamento su un modello centralizzato che si è dimostrato vulnerabile a interruzioni multiple, lasciando spazio a nuove piattaforme come FlowerStorm.

La nascita di FlowerStorm

Comparsa per la prima volta a giugno 2024, FlowerStorm ha colmato rapidamente il vuoto lasciato da Rockstar2FA. Questa nuova piattaforma condivide molte caratteristiche con il suo predecessore, tra cui meccanismi avanzati di elusione, un pannello user-friendly e una gamma diversificata di opzioni di phishing. Tuttavia, è l’uso di tecniche Adversary-in-the-Middle (AiTM) che rende FlowerStorm particolarmente insidiosa. Queste tecniche permettono agli attaccanti di intercettare credenziali e cookie di sessione, bypassando così le protezioni di autenticazione multi-fattore (MFA).

I portali di phishing utilizzati da FlowerStorm imitano in modo convincente le pagine di login di Microsoft, progettate per ingannare gli utenti e raccogliere token MFA e credenziali. Inoltre, Sophos ha evidenziato che FlowerStorm utilizza un sistema modulare che permette agli operatori di personalizzare gli attacchi in base ai target, rendendo la piattaforma particolarmente adattabile.

La tematica botanica di FlowerStorm

In un curioso dettaglio, la piattaforma adotta un tema botanico per le sue operazioni. Termini come “Flower”, “Sprout”, “Blossom” e “Leaf” compaiono nei titoli HTML delle pagine di phishing. Anche i pattern di registrazione e hosting dei domini sono simili a quelli di Rockstar2FA, con un forte utilizzo di domini .ru e .com, supportati da servizi di Cloudflare. Le similitudini nei domini suggeriscono una possibile connessione tra i due operatori o almeno una condivisione delle stesse infrastrutture.

L’impatto di FlowerStorm

Source: Sophos
I dati di telemetria di Sophos rivelano che il 63% delle organizzazioni e l’84% degli utenti colpiti da FlowerStorm risiedono negli Stati Uniti. Tra i settori più colpiti troviamo i servizi (33%), la manifattura (21%), il retail (12%) e i servizi finanziari (8%).

Oltre a questo, si segnala una crescente attenzione verso i settori governativi e sanitari, con attacchi mirati che sfruttano vulnerabilità specifiche nelle loro infrastrutture di email e autenticazione.

Difendersi da FlowerStorm

Si consigliano alcune contromisure per proteggersi da attacchi sofisticati come quelli di FlowerStorm:

1. Utilizzare MFA con token FIDO2 resistenti alle tecniche AiTM.
2. Implementare soluzioni di filtraggio email per bloccare i tentativi di phishing.
3. Adottare filtri DNS per impedire l’accesso a domini sospetti.
4. Monitorare attivamente i log di accesso per identificare attività sospette e sessioni compromesse.

Conclusione

FlowerStorm non è solo un nome, ma un simbolo di come la cybercriminalità stia evolvendo in modo sofisticato e imprevedibile. Proprio come una tempesta che travolge tutto ciò che incontra, questa piattaforma di phishing-as-a-service ha dimostrato di essere in grado di adattarsi, mutare e prosperare, colpendo senza pietà utenti vulnerabili. Con il suo approccio modulare e l’uso di tecniche avanzate come l’Adversary-in-the-Middle (AiTM), FlowerStorm rappresenta una delle minacce più insidiose del panorama cyber odierno. Non c’è più tempo da perdere: la difesa contro questa tempesta deve essere immediata, precisa e senza compromessi.

L'articolo FlowerStorm: la nuova piattaforma PaaS che prende di mira gli utenti Microsoft 365 proviene da il blog della sicurezza informatica.

Introduction

Known since 2014, Cloud Atlas targets Eastern Europe and Central Asia. We’re shedding light on a previously undocumented toolset, which the group used heavily in 2024. Victims get infected via phishing emails containing a malicious document that exploits a vulnerability in the formula editor (CVE-2018-0802) to download and execute malware code. See below for the infection pattern.

Typical Cloud Atlas infection pattern

When opened, the document downloads a malicious template formatted as an RTF file from a remote server controlled by the attackers. It contains a formula editor exploit that downloads and runs an HTML Application (HTA) file hosted on the same C2 server. The RTF and HTA downloads are restricted to certain time slots and victim IP addresses: requests are only allowed from target regions.

The malicious HTA file extracts and writes several files to disk that are parts of the VBShower backdoor. VBShower then downloads and installs another backdoor: PowerShower. This infection scheme was originally described back in 2019 and has changed only slightly from year to year.

Previously, Cloud Atlas employed PowerShower to download and run an executable file: a DLL library. This DLL would then fetch additional executable modules (plug-ins) from the C2 server and execute these in memory. Among these plug-ins was one specifically designed to exfiltrate files with extensions of interest to the attackers: DOC, DOCX, XLS, XLSX, PDF, RTF, JPG and JPEG. The plugins were downloaded and their output was uploaded via the WebDAV protocol over public cloud services. Interestingly, after a plug-in was successfully downloaded, the DLL would delete the file from the cloud.

The VBCloud backdoor now replicates the executable file’s original capabilities, such as downloading and executing malicious plug-ins, communicating with a cloud server, and performing other tasks. We first detected attacks using this implant in August of last year. Since then, we’ve observed numerous variations of the backdoor which have helped it to stay under the radar. This new campaign loads VBCloud via VBShower, which also downloads the PowerShower module. PowerShower probes the local network and facilitates further infiltration, while VBCloud collects information about the system and steals files. Below, we use a sample seen in September 2024 as a case study to examine each stage of a Cloud Atlas attack that employs the new toolkit.

Technical details

HTA

The exploit downloads the HTA file via the RTF template and runs it. It leverages the alternate data streams (NTFS ADS) feature to extract and create several files at %APPDATA%\Roaming\Microsoft\Windows\. These files make up the VBShower backdoor.

Sample HTA content

Below are the VBShower components loaded by the HTA dropper.

After the download is complete, the malware adds a registry key to auto-run the VBShower Launcher script.
"Software\Microsoft\Windows\\CurrentVersion\Run","dmwappushservice","wscript /B "%APPDATA%\Roaming
\Microsoft\Windows\AppCache028732611605321388.log:AppCache028732611605321388.vbs"
The backdoor also launches further scripts: VBShower Launcher (copy) and VBShower Cleaner.
wscript /B "%APPDATA%\Roaming
\Microsoft\Windows\AppCache028732611605321388.log:AppCache02873261160532138892.vbs

wscript /B "%APPDATA%\Roaming
\Microsoft\Windows\AppCache028732611605321388.log:AppCache0287326116053213889292.vbs
The attackers create custom HTA files for each victim, so the names of the scripts and registry keys are mostly unique. For example, we have seen
intertwine used as a name template, while the file names themselves looked as follows.

• “intertwine.ini:intertwineing.vbs”;
• “intertwine.ini:intertwineinit.vbs”;
• “intertwine.ini:intertwine.vbs”;
• “intertwine.ini:intertwine.con”.

VBShower

VBShower::Launcher

This script acts as a loader, responsible for reading and decrypting the contents of AppCache028732611605321388.log:AppCache028732611605321388.dat, before using the
Execute() function to pass control to that file.

Sample VBShower Launcher content

VBShower::Cleaner

This script is designed to clear the contents of all files inside the \Local\Microsoft\Windows\Temporary Internet Files\Content.Word\ folder by opening each in write mode. While the files persist, their contents are erased. This is how the Trojan covers its tracks, removing malicious documents and templates it downloaded from the web during the attack.

The script uses the same method to erase both its own contents and the contents of the VBShower Launcher copy, which is used solely for the malware’s first run.

Sample VBShower Cleaner content

VBShower::Backdoor

The backdoor’s payload is contained encrypted within a DAT file.

Encrypted VBShower backdoor

VBShower::Launcher goes through several stages to decrypt the backdoor.

First decrypted layer of VBShower Backdoor

Fully decrypted and deobfuscated VBShower Backdoor content

The VBShower backdoor then runs in memory, subsequently performing several operations in a loop.

• Check for the autorun registry key and restore it if missing.
• Attempt to download additional encrypted VB scripts from the C2 server and run these. If the downloaded data is larger than 1 MB, the module saves the script to disk inside alternate data streams (NTFS ADS) and runs it with the help of the “wscript” utility. Otherwise, it runs the script in the current context.
• If an alternate data stream contains a TMP file, the backdoor sends it to the C2 server with a POST request. The additional scripts downloaded from the C2 use the TMP file to store their output.

VBShower::Payload

We were able to detect and analyze a number of scripts downloaded and executed by the VBShower backdoor.

VBShower::Payload (1)

The first script we found does the following.

• Gets the domain, username and computer.
• Gets the names and values of the registry keys in the SOFTWARE\Microsoft\Windows\CurrentVersion\Run branch.
• Gets information about the file names and sizes in the following folders:
  
  • %AppData%;
  • %AllUsersProfile%;
  • %AllUsersProfile%\Canon;
  • %AllUsersProfile%\Intel;
  • %AllUsersProfile%\Control;
  • %AllUsersProfile%\libs;
  • %AllUsersProfile%\Adobe;
  • %AllUsersProfile%\Yandex;
  • %AllUsersProfile%\Firefox;
  • %AllUsersProfile%\Edge;
  • %AllUsersProfile%\Chrome;
  • %AllUsersProfile%\avp.

  
  

• Gets the names of running processes, their start dates and the commands that started them.
• Gets a list of scheduler tasks by running cmd.exe /c schtasks /query /v /fo LIST.

All data collected this way is saved in a TMP alternate data stream and forwarded to the C2 server by the VBShower::Backdoor component.

The paths listed above (%AllUsersProfile%\<subfolder>) are used for installing the VBCloud backdoor. The steps performed by the script are most likely needed to check if the backdoor is present and installed correctly.

Decrypted and deobfuscated contents of script 1

VBShower::Payload (2)

The second script reboots the system.

Decrypted and deobfuscated contents of script 2

VBShower::Payload (3)

A further script downloads a ZIP archive, extracts it into the %TMP% directory, and collects the names and sizes of downloaded files to then send an extraction report to the C2. This is done to verify that the files were received and unpacked.

Decrypted and deobfuscated contents of script 3

VBShower::Payload (4) and (5)

VBShower downloads two similar scripts that are designed for installing the VBCloud and PowerShower backdoors. These scripts first download an archive from a hardcoded link and then unpack it into the %ALLUSERSPROFILE% folder. In the case of VBCloud, the script changes the extension of the unpacked file from TXT to VBS and creates a scheduler task to run VBCloud. In the case of PowerShower, the extension of the unpacked file is changed from TXT to PS1, whereupon the script adds the file to the \Run registry branch.

Unlike VBShower’s own scripts, downloadable scripts with a payload are present on disk as files, rather than hidden inside alternate data streams.

Besides installing backdoors, these scripts build a report that consists of the names of running processes, their start dates and the commands that started them, registry keys and values in the \Run branch, and a list of files and directories at the path where the archive was unpacked. This report is then sent to the C2 server.

Decrypted and deobfuscated contents of the scripts for downloading and installing VBCloud and PowerShower

PowerShower

PowerShower is nearly identical to VBShower in terms of functionality.

Sample PowerShower script installed with VBShower

PowerShower downloads additional PowerShell scripts from the C2 and executes these. If the downloaded data begins with the character “P”, PowerShower interprets the data as a ZIP archive, rather than a PowerShell script, and saves the archive to disk as “%TMP%\Firefox.zip”. PowerShower does not unpack the archive, serving as a downloader only.

Decoded PowerShower script

The downloaded PowerShell scripts run in memory, without being saved to disk. Most of the scripts save their output to sapp.xtx, which PowerShower then sends as a report to the C2.

The PowerShower scripts use the same C2 domains as VBShower.

PowerShower::Payload (1)

The script gets a list of local groups and their members on remote computers via Active Directory Service Interfaces (ADSI). The script is most often used on domain controllers.

Sample script to get a local groups and members list, downloaded and executed by PowerShower

PowerShower::Payload (2)

Script for dictionary attacks on user accounts.

Sample password bruteforcing script, downloaded and executed by PowerShower

PowerShower::Payload (3)

The script unpacks the Firefox.zip archive previously downloaded by the PowerShower backdoor, and executes the keb.ps1 script contained in the archive as a separate PowerShell process with a hidden window. The keb.ps1 script belongs to the popular PowerSploit framework for penetration testing and kicks off a Kerberoasting attack.

Sample script that launches a Kerberoasting attack, downloaded and executed by PowerShower

PowerShower::Payload (4)

This script gets a list of administrator groups.

Sample script to get a list of administrator groups, downloaded and executed by PowerShower

PowerShower::Payload (5)

This script gets a list of domain controllers.

Sample script to get a list of domain controllers, downloaded and executed by PowerShower

PowerShower::Payload (6)

This script gets information about files inside the ProgramData directory.

Sample script to get information about files inside the ProgramData directory, downloaded and executed by PowerShower

PowerShower::Payload (7)

This script gets the account policy and password policy settings on the local computer.

Sample script to get policy settings, downloaded and executed by PowerShower

PowerShower::Payload:: Inveigh

We also observed the use of PowerShell Inveigh, a machine-in-the-middle attack utility used in penetration testing. Inveigh is used for data packet spoofing attacks, and collecting hashes and credentials both by intercepting packets and by using protocol-specific sockets.

The Inveigh script is extracted from the ZIP archive downloaded by PowerShower and runs as described under PowerShower::Payload (3).

Sample Inveigh script, downloaded and executed by PowerShower

VBCloud

As described above, VBCloud is installed via VBShower. We found the following module installation paths.
C:\ProgramData\avp\avp_upd.vbs
C:\ProgramData\Adobe\AdobeLog.vbs
C:\ProgramData\Adobe\manager.vbs
C:\ProgramData\Adobe\sysman.vbs
C:\ProgramData\Adobe\news_adobe.vbs
C:\ProgramData\Adobe\upgrade.vbs
C:\ProgramData\Edge\SrvMngrUpd.vbs
C:\ProgramData\Edge\intelog.vbs
C:\ProgramData\Chrome\ChromeSys.vbs

Sample VBCloud main module paths

The core functionality of the VBCloud module duplicates that of VBShower: both download and run PowerShell scripts with a payload, and then send the output to the C2. Unlike VBShower, however, VBCloud uses public cloud storage as the C2.

Sample VBCloud script

The VBCloud script does not contain any loops, and it is designed to execute only once. However, it gets triggered by a scheduled task every time the user logs into the system, which means it will run frequently. We’ve also seen variants of the backdoor that executed their core functionality in a loop with a thirty-minute delay between repetitions. These variants ran the script once via the \Run registry branch when the system booted up for the first time after being infected.

Decrypted and deobfuscated VBCloud script

VBCloud does the following:

• Check the availability of the kim.nl.tab.digital WebDav server by sending an HTTP MKCOL request to create the directories named “kmsobuqjquut” and “rwqdmpaohxns” with the credentials hardcoded in the script. If the server is unavailable, the script switches to the backup address “webdav.mydrive.ch”.
• If the WebDav server is available, create a file in the “kmsobuqjquut” directory on that server via an HTTP PUT The file name follows the pattern ddmmyy_HHMMSS, and the extension is randomly selected from among TXT, RTF, DOC, PPT, MDS, PNG and JPEG. We have seen files named “070824_001919.txt” and “250724_002919.doc”. Files like these contain the username and MAC addresses of network adapters, effectively confirming that the script is active on the infected system.
• The Trojan then attempts to download one of three files from the “rwqdmpaohxns” directory: “criclyqnduv.txt”, “jhflenoqelp.txt” or “avnwiabihik.txt”. If VBCloud successfully downloads the file, it immediately deletes it from the cloud with an HTTP DELETE request, and then executes it in the current process via the Execute() function after decrypting the contents. As in the case of PowerShower, the payload can be made up of various scripts.

VBCloud::Payload (1)

This script is designed to send information about disks to the C2.

VBCloud::Payload (2)

This script is designed to exfiltrate files and documents. It iterates through local drives and removable media in search of files with the extensions DOC, DOCX, XLS, XLSX, PDF, TXT, RTF and RAR. The script checks the size of any files it finds to match this condition and collects those between 1000 and 3,000,000 bytes to exfiltrate. The files must have been modified no more than 72 hours before the current date. The script then copies matching files to a ZIP archive it creates, named “mapping.zip”. It also adds a file with metadata such as the created time, modified time, last opened time, and full path to the file. Upon exceeding 4,000,000 bytes, an archive is uploaded to cloud storage and deleted from the system. It is replaced with a new one, and the file harvesting process continues. The archive is uploaded in RC4-encrypted form, with a name that follows the template “%d_13134” and one of the following extensions chosen at random: MP3, AAC, MP2, FLAC, WAV, ALAC, MQA, OGG, DSD, WMA, and MP4.

Part of the file exfiltration script

VBCloud::Payload (3)

This script gets various system information such as the OS version, RAM size, manufacturer, computer name, username and domain name.

VBCloud::Payload (4)

Script to exfiltrate Telegram files:

• The file D877F783D5D3EF8Cs contains the user ID and encryption key used for interaction between the desktop client and Telegram servers.
• The file key_datas contains local encryption keys.

Part of the file exfiltration script

Geography of attacked users

Several dozen users were attacked in 2024, 82% of these in Russia. Isolated attacks were recorded in Belarus, Canada, Moldova, Israel, Kyrgyzstan, Vietnam and Turkey.

Conclusion

We continue to monitor activity linked to Cloud Atlas. In a new campaign that began in August 2023, the attackers made changes to their familiar toolkit. This time, instead of an executable library to load malware modules, the group relied on the VBShower backdoor as the loader. Besides, they are now using a new module in their attacks: VBCloud. This collects and uploads system information and other data. These actions employ a variety of PowerShell scripts that enable the attackers to perform a range of tasks on the victim’s system. VBCloud uses public cloud storage as a C2 server.

The infection chain consists of several stages and ultimately aims to steal data from victims’ devices. We’ve observed that, similar to past Cloud Atlas campaigns, phishing emails continue to be the initial access point. This underscores the still-pressing need for organizations to strengthen their infrastructure defenses and improve employee awareness to ward off these kinds of attacks.

Indicators of compromise

HTA file download domains
content-protect[.]net
control-issue[.]net
office-confirm[.]com
onesoftware[.]info
serverop-parametrs[.]com
web-privacy[.]net
net-plugin[.]org
triger-working[.]com

VBShower C2
yandesks[.]net
yandisk[.]info
mirconnect[.]info
sber-cloud[.]info
gosportal[.]net
riamir[.]net
web-wathapp[.]com

PowerShower C2
yandisk[.]info
yandesktop[.]com
web-wathapp[.]com

Cloud repositories used ​by VBCloud
webdav.opendrive.com
webdav.mydrive.ch
webdav.yandex.ru
kim.nl.tab.digital

HTA MD5
9D3557CC5C444FE5D73E4C7FE1872414
CBA05E11CB9D1D71F0FA70ECD1AF2480
CBFB691E95EE34A324F94ED1FF91BC23
2D24044C0A5B9EBE4E01DED2BFC2B3A4
88BE01F8C4A9F335D33FA7C384CA4666
A30319545FDA9E2DA0532746C09130EB

PowerShower MD5
15FD46AC775A30B1963281A037A771B1
31B01387CA60A1771349653A3C6AD8CA
389BC3B9417D893F3324221141EDEA00

VBShower::Launcher MD5
AA8DA99D5623FAFED356A14E59ACBB90
016B6A035B44C1AD10D070ABCDFE2F66
160A65E830EB97AAE6E1305019213558
184CF8660AF7538CD1CD2559A10B6622
1AF1F9434E4623B7046CF6360E0A520E
1BFB9CBA8AA23A401925D356B2F6E7ED
21585D5881CC11ED1F615FDB2D7ACC11
242E86E658FE6AB6E4C81B68162B3001
2FE7E75BC599B1C68B87CF2A3E7AA51F
36DD0FBD19899F0B23ADE5A1DE3C2FEC
389F6E6FD9DCC84C6E944DC387087A56
3A54ACD967DD104522BA7D66F4D86544
3F12BF4A8D82654861B5B5993C012BFA
49F8ED13A8A13799A34CC999B195BF16
4B96DC735B622A94D3C74C0BE9858853
F45008BF1889A8655D32A0EB93B8ACDD

VBCloud MD5
0139F32A523D453BC338A67CA45C224D
01DB58A1D0EC85ADC13290A6290AD9D6
0F37E1298E4C82098DC9318C7E65F9D2
6FCEE9878216019C8DFA887075C5E68E
D445D443ACE329FB244EDC3E5146313B
F3F28018FB5108B516D802A038F90BDE

securelist.com/cloud-atlas-att…

[Lonyelon] wanted to build an anniversary gift for his girlfriend. He decided to say it with e-Paper, a wise choice given its persistence and longevity.

The project is an anniversary calendar. It displays a counter of the total time the couple has been together, measured in years, months, days, and hours—so it’s remarkably precise. [Lonyelon] also programmed it to display additional counters to create plenty of additional fun anniversaries—the couple can celebrate milestones like their 1000th day together, for example. It also cycles through a range of cute messages and displays photos of the couple together.

The code is on Github for the curious. The build is based around a LilyGO e-Paper display with an onboard ESP32 microcontroller. [Lonyelon] paired this with a 2,500 mAh battery. It lasts for ages because the device is programmed to update only every 20 minutes, spending the rest of its time in deep sleep. Since it’s an e-Paper display, it uses zero power when it’s not being updated, so it’s the perfect technology for this application.

It’s a simple project that comes from the heart—the core of any beautiful gift. In fact, some of the coolest projects we feature were built as gifts for romantic partners, family members, or even our fellow hackers. If you’ve been cooking up your own neat build, please let us know on the tipsline!

hackaday.com/2024/12/23/e-pape…

Dal 2014 una piccola realtà cripto monetaria si aggira nella rete. Non finisce spesso sui media come i grandi fratelloni Bitcoin e Ethereum, non supporta contratti, non fa scandalo ma umilmente e in silenzio fa quello che deve fare, e lo fa bene, ti permette di comprare e vendere mantenendo le transazioni anonime e sicure.

Alla scoperta di Monero

Monero, l’abbiamo capito, e’ una criptomoneta. Cosa la contraddistingue dalla marea di altre cripto cose che vanno in giro per la rete?

Prima di tutto definiamo una differenza fondamentale. E’ una Cripto Moneta con una sua Blockchain nativa. Questa Blockchain e’ basata su un algoritmo con diverse proprietà che la rendono fondamentalmente diversa da Bitcoin e Ethereum.

Punto primo: Monero non puo’ essere “farmato” con gli ASIC. Gli ASIC sono microprocessori disegnati e prodotti per fare una cosa e una cosa soltanto. Bitcoin e’ minato principalmente con questi processori che vengono principalmente prodotti (e usati) in Cina.

Questo alza drasticamente il costo di entrata nel mondo del mining Bitcoin (ognuno di questi giocattoli ha un pricetag con 3 zeri). Inoltre la Cina sta pesantemente investendo in Bitcoin per motivi geopolitici che non sto a speculare in questo articolo.

Punto Secondo: la produzione di Monero è costante. Sarà sempre possibile minare un Monero nuovo a differenza di Bitcoin che ha un limite al massimo numero di BTC che possono essere minati.

Per Bitcoin questo numero e’ fissato da come funziona l’algoritmo ed e’ 21 milioni di BTC. ad oggi 19 Milioni sono gia’ stati minati e quando l’ultimo bitcoin sara’ minato l’unico incentivo per mantenere queste enormi infrastrutture piene di ASIC affamati di corrente sara’ la transaction fee (una percentuale minima di ogni transazione che va al miner per aver certificato la transazione).

In Monero invece sara’ sempre possibile minare nuova valuta e mantenere viva la blockchain.

Punto Terzo: Privacy garantita a livello protocollo. Mentre in Bitcoin tutte le transazioni sono visibili in Blockchain (e tracciabili) per ogni singolo “token”, in Monero non solo non è possibile tracciare chi ha mandato a chi ma anche l’ammontare della transazione.

Ecosistema:

Col passare degli anni a differenza di altre criptovalute si e’ sviluppato un mercato circolare di Monero, e’ una moneta spesso snobbata da grandi investitori interessati solo all’andamento del mercato e usata principalmente per fare quello che le crypto dovrebbero fare, abilitare un mercato libero ed egualitario.

Ad oggi e’ facilmente possibile comprare beni e soprattutto servizi con Monero in maniera semplice veloce e poco costosa. Un ottimo punto di partenza e’ ovviamente il sito ufficiale getmonero.org/ dove sara’ possibile scaricare sia il wallet sia iniziare a capire come minare, e spendere.

Ovviamente date le spiccate caratteristiche di anonimita’ del sistema Monero e’ una moneta molto popolare nei mercati underground. Questo dato di fatto dovrebbe regalarci due considerazioni fondamentali. La prima e’ che effettivamente e’ una moneta “a prova di privacy” la seconda e’ che e’ una moneta “Viva” costantemente usata, minata e in circolazione.

In Moniera!

Val la pena provarci? Prima domanda che viene alla mente a chiunque abbia mai provato a minare criptovaluta. Monero e’ come abbiamo detto resistente (se non immune) agli ASIC e alle GPU, questo significa che creare grossi centri di mining e’ complesso e costoso.

L’algoritmo monero e’ disegnato per dare una chance a tutti anche chi ha minime risorse da dedicare. Gira SOLO sul processore, mangia un discreto quantitativo di RAM. Piu’ core metti nel calderone piu’ monero usciranno fuori. L’approccio e’ estremamente distribuito. Puoi minare con un cellulare o col vecchio portatile che non usi piu’ o con una Raspberry PI. Ovviamente se ti avanza un processore server da 64core avrai risultati migliori ma è SEMPRE possibile minare Monero su qualsiasi cosa sia in grado di far girare DOOM.

La Community

Monero e’ una Community, su getmonero.org/ e’ possibile accedere alla community monero e partecipare attivamente alle discussioni del progetto, partecipare al crowdfunding di varie iniziative e incontrare altra gente che partecipa al mercato circolare.

Considerazioni

Personalmente non sono un estremista delle Crypto ma penso che e’ sempre bene conoscere le opzioni che si hanno a disposizione. Uso carte di credito virtuali come chiunque altro per comprare la maggior parte dei beni e servizi online MA ci sono casi in cui e’ preferibile avere un livello più alto di anonimita’. L’uso di criptomonete non vi rende automaticamente dei fantasmi nella rete ma l’oceano e’ fatto di piccole gocce. Ovviamente innumerevoli altre precauzioni sono necessarie ed è assolutamente necessario conoscere bene i tool a disposizione (sapevate che con Monero si possono fare wallet monouso?)

L'articolo Alla scoperta di Monero! Quando minare è possibile anche da un Portatile vecchio di anni proviene da il blog della sicurezza informatica.

L’innovazione e la creatività italiane brillano ancora una volta sul palcoscenico globale. Alessandro Greco (Aleff) è stato appena annunciato vincitore assoluto degli Hack Five Payload Awards, un riconoscimento di prestigio per la comunità di sviluppatori di payload legati alla cybersecurity.

Aleff è uno sviluppatore noto per la creazione di payload per dispositivi Hak5, come l’USB Rubber Ducky. I suoi contributi includono payload progettati per eseguire specifiche azioni su sistemi target, come il dump della memoria RAM di applicazioni in esecuzione utilizzando software come ProcDump.

Questi payload sono disponibili su piattaforme come PayloadHub, dove la comunità condivide script per vari dispositivi Hak5. I dispositivi Hak5, come l’USB Rubber Ducky, sono strumenti utilizzati per test di penetrazione e automazione IT, capaci di iniettare sequenze di tasti a velocità sovrumane per eseguire payload predefiniti.

Cosa sono i dispositivi di Hack5

I dispositivi di Hak5 sono strumenti avanzati progettati per test di penetrazione e automazione IT. Creati per professionisti della sicurezza informatica e appassionati, questi gadget permettono di simulare attacchi cibernetici in modo controllato, con l’obiettivo di identificare e risolvere vulnerabilità nei sistemi. La gamma di prodotti include dispositivi come l’USB Rubber Ducky, il WiFi Pineapple, il Bash Bunny e altri, ciascuno con funzionalità specifiche pensate per esplorare diverse superfici di attacco.

Uno dei dispositivi più iconici è l’USB Rubber Ducky, una penna USB in grado di eseguire script predefiniti con la velocità di una tastiera umana. Utilizzato per attacchi di tipo HID (Human Interface Device), questo strumento può iniettare rapidamente comandi su un computer target, simulando l’interazione di un utente reale. È spesso impiegato per dimostrare come credenziali, file o accessi sensibili possano essere compromessi in pochi secondi.

Un altro dispositivo popolare è il WiFi Pineapple, progettato per analisi di reti wireless e attacchi di tipo “man-in-the-middle”. Questo strumento permette di intercettare e manipolare il traffico di rete, creando un ambiente di test ideale per valutare la sicurezza delle comunicazioni Wi-Fi. Grazie alla sua capacità di impersonare reti wireless legittime, il WiFi Pineapple è una scelta potente per chi vuole migliorare la sicurezza delle reti.

Infine, il Bash Bunny offre una combinazione di funzionalità avanzate per attacchi USB, tra cui esfiltrazione di dati e backdoor persistenti. Grazie alla sua semplicità d’uso e alla capacità di eseguire script complessi, è uno strumento ideale per test di sicurezza completi. Tutti questi dispositivi sono supportati da una vasta comunità che condivide payload, script e idee, rendendoli strumenti indispensabili per chiunque si occupi di cybersecurity.

L’evento e il suo significato

La cerimonia, presentata da Darren Kitchen e Ali Diamond, celebra i contributi innovativi degli sviluppatori che sfruttano strumenti come il USB Rubber Ducky, il Key Croc e altri dispositivi di Hack Five.

Questi payload (Qua i payload scritti da ALEFF), scritti in linguaggi semplici come Ducky Script o Bash, sono progettati per esplorare nuove tecniche di hacking in modo creativo e collaborativo.

youtube.com/embed/FjEi0OPqsFM?…

Darren Kitchen ha sottolineato l’importanza della comunità, ricordando come tutto sia iniziato quasi 20 anni fa: “I payload non sono solo un modo per dimostrare le proprie capacità di sviluppo, ma anche un’opportunità per connettersi con altre menti creative.”

I dettagli della vittoria di Greco

Alessandro Greco ha ottenuto il titolo grazie alla sua genialità nello sviluppare moltissimi payload che ha stupito giudici e pubblico.

Pur non essendo stati rivelati ulteriori dettagli sul progetto specifico durante la cerimonia, la vittoria di Greco si inserisce in una competizione serrata che ha visto partecipare sviluppatori da tutto il mondo, con categorie che spaziano dall’estrazione di credenziali all’esfiltrazione di dati ed altro ancora.
Nomina di Alessandro Greco (Aleff) come vincitore della challenge 2023 sul canale youtube
L’evento ha messo in luce anche altre eccellenze, come il payload di Spy Will per il Key Croc e il progetto innovativo di Kbit che utilizza segnali Morse con LED. Tuttavia, la vittoria di Alessandro Greco rappresenta un simbolo dell’importanza di investire nell’innovazione e nella collaborazione per affrontare le sfide crescenti nel panorama della sicurezza informatica.

Conclusioni

Il trionfo di Greco agli Hack Five Payload Awards è una testimonianza di come il talento e la determinazione possano conquistare il mondo della tecnologia, un byte alla volta. Questo successo conferma che gli hacker italiani non sono secondi a nessuno a livello globale e che il nostro paese continua a essere riconosciuto come una fucina di menti brillanti e innovatori nel campo della cybersecurity.

Tuttavia, è fondamentale fare di più per supportare la community hacker italiana, creando opportunità e risorse che incentivino i nostri talenti a restare e contribuire all’innovazione del paese.

Solo così potremo evitare che le nostre migliori menti abbandonino l’Italia per cercare altrove il riconoscimento e il supporto che meritano. Investire nella nostra comunità hacker significa investire nel futuro tecnologico e competitivo del nostro paese.

Alessandro Greco, per incentivare i ragazzi allo sviluppo di capacità di hacking, devolverà parte della vincita all’università della Calabria UNICAL. Un bellissimo gesto da parte di Greco verso tutti i ragazzi che potranno avviare una carriera verso la Sicurezza Informatica.

Questo ricordiamolo sempre.

L'articolo Alessandro Greco (Aleff) trionfa agli Hack Five Payload Awards del 2023/2024 proviene da il blog della sicurezza informatica.

Ultimamente, per via di varie vicissitudini personali e per fare acquisti, ho riaperto il mio oramai defunto profilo Facebook. Chi mi segue da tempo sa benissimo quanto io sia critico dei social media tradizionali e delle loro meccaniche tossiche che ci inducono a diventarne dipendenti e ad odiarci a vicenda. Tuttavia, devo riconoscere che il formato di Facebook, per quanto riguarda la costruzione di reti sociali e il community building, rimanga comunque una delle migliori che abbia mai visto. il social è intuitivo e semplice da usare, ricco di funzionalità interessanti e relativamente personalizzabile nel feed.

Secondo me, come comunità FLOSS e da promotori del Fediverso, dovremmo cominciare a riconoscere ciò che c'è di buono nei social media tradizionali da un punto di vista puramente funzionale

Continuerò a preferire infinitamente di più il Fediverso in ogni sua sfaccettatura, ma potremmo dare uno sguardo per cercare di comprendere cosa porti le persone a snobbarci e per generare più attrattiva verso la nostra causa

L'ufficiale dell'esercito francese Alfred Dreyfus viene condannato all'ergastolo per tradimento, sulla base di prove fragili e fondato sospetto di antisemitismo, scatenando così una controversia che dividerà la Francia per 12 anni.

@Storia
#otd

In un post su Framablog l’associazione Framasoft ha presentato Framamia un sito per condividere conoscenze , ricerche, problemi e domande attorno all’Intelligenza Artificiale.

Allo stesso tempo Framasoft ha rilasciato un primo risultato delle sue ricerche: Lokas, un prototipo di applicazione per Android e iOS che permette di registrare l’audio di una riunione e ottenere la trascrizione del testo.

Lo sviluppo di questa applicazione, qui una presentazione completa in inglese , dipenderà dai feedback degli utenti che vorranno provarla e dalla disponibilità delle risorse finanziarie che possano sosterne lo sviluppo.

Ecco l’inizio dell’articolo tradotto in italiano:

“Per contribuire a demistificare il tema dell'intelligenza artificiale, Framasoft pubblica una prima versione del sito web Framamia. Definizioni, problemi, rischi e domande: condividendo le conoscenze, speriamo di aiutare a recuperare il potere su queste tecnologie che stanno influenzando le nostre società. E per metterlo in pratica, Framasoft sta anche pubblicando l'applicazione Lokas, che presentiamo qui.”

Potete scaricare il testo integrale in formato .pdf dal link che trovate qui sotto:
nilocram.eu/edu/framamia-ita.p…

Sia Framamia che Lokas mi sembrano due buone ragioni per continuare a sostenere l’attività e i progetti di Framasoft:

soutenir.framasoft.org/en/

Al momento, la raccolta di fondi ha superato i 150.000 euro, rimangono ancora 10 giorni per raggiungere almeno l’obiettivo minimo che si è posta Framasoft per festeggiare i suoi 20 anni di vita (200.000 euro).

Anche noi possiamo dare il nostro piccolo contributo! 😀

#IA #AI #Framasoft #SpeechToText
@Framasoft
@Informa Pirata