I criminali informatici hanno iniziato adutilizzare attivamente una vulnerabilità criticache consente loro di ottenere il controllo completo di migliaia di server, compresi quelli che eseguono compiti chiave nei data center. Questo è quanto avverte l’Agenzia per la sicurezza informatica e la sicurezza delle infrastrutture degli Stati Uniti.

Il problema è stato rilevato nel firmware AMI MegaRAC Baseboard Management Controller (BMC) sviluppato da American Megatrends International (AMI), utilizzato per la gestione remota di grandi parchi di server. Questo firmware è integrato nei microcontrollori sulle schede madri. Consentono agli amministratori di eseguire operazioni anche quando il sistema operativo non è in funzione o l’alimentazione è disattivata.

Attraverso questi controller, è possibile reinstallare i sistemi operativi, modificare le configurazioni e avviare applicazioni senza accesso fisico al server. Basta compromettere un solo controller per accedere alla rete interna e agli altri dispositivi dell’infrastruttura.

La vulnerabilità ha ottenuto l’identificatore CVE-2024-54085 e una valutazione massima di pericolo – 10/10. La sua essenza è che un aggressore può aggirare l’autenticazione semplicemente inviando una richiesta HTTP speciale al dispositivo vulnerabile. La vulnerabilità è stata rilevata dalla società Eclypsium e segnalata a marzo, con un exploit funzionante che consente di creare un account amministratore senza password. A quel tempo, non erano note attacchi reali.

Il 26 giugno, la vulnerabilità è stata inclusa nella lista ufficiale delle vulnerabilità sfruttate da CISA, il che indica l’inizio degli attacchi reali. Non sono stati resi noti dettagli su quanto sta accadendo, ma Eclypsium ritiene che la portata possa essere seria.

Secondo loro, gli aggressori possono utilizzare le vulnerabilità per inserire codice dannoso direttamente nella firmware BMC. Ciò rende l’attacco praticamente invisibile e il malware può sopravvivere anche alla reinstallazione del sistema o alla sostituzione dei dischi. Tali attacchi aggirano gli antivirus e i sistemi di monitoraggio e consentono inoltre di accendere, spegnere o riavviare il server indipendentemente dallo stato del sistema operativo.

È inoltre possibile rubare le credenziali, utilizzare il server come punto di ingresso nella rete rimanente e persino danneggiare la firmware per disabilitare l’apparecchiatura. Tutto ciò rende la minaccia particolarmente seria per le infrastrutture aziendali e cloud.

L'articolo 10 su 10! Ora i criminali creano account Admin senza password sui server. Il CISA Avverte proviene da il blog della sicurezza informatica.

rieccomi con qualche piccola e deludente novità. Da ieri pomeriggio ho il tanto agognato contratto!
Inizialmente mi era stato "promesso" un contratto di un anno all'80% . Ero contenta, un giorno in più libero non mi fa schifo, e lo stipendio è sufficiente per me.
Poi però si è tramutato in "per il momento possiamo offrirti solo 9 mesi sempre all'80%", ma niente contratto da 10 giorni...
Infine ieri mi è stato detto che purtroppo per una serie disguidi e malfunzionamenti, il contratto me lo possono fare solo fino a dicembre 2025.

Bah, la mia prima reazione è stata quello di rifiutare.
Poi il mio superiore mi ha chiamata nel suo ufficio, si è scusato mille volte e mi ha spiegato che sta facendo di tutto per tramutare il mio contratto in uno a tempo indeterminato, perché anche se sono lì da poco, ho già dimostrato di essere una valida risorsa, e lui ci tiene a valorizzare le persone meritevoli.
Sono volubile e ho detto ok (anche se, a dire tutta la verità non ho ancora firmato nulla).

Scherzi a parte, fino a dicembre mi terrò questo lavoro, almeno posso pagare l'affitto. Intanto continuo la mia formazione e studio, così da poter seguire i miei sogni. 🙃

Ora vado, parrucchiere, medico e poi giornata in spiaggia (del fiume) con la nipotina! #proudaunt

#lavoro #contratto #delusione

Una campagna di phishing sofisticata che ha colpito oltre 70 organizzazioni sfruttando la funzione Direct Send di Microsoft 365. La campagna, iniziata a maggio 2025 e che ha mostrato un’attività costante negli ultimi due mesi, colpisce principalmente organizzazioni con sede negli Stati Uniti in diversi settori e luoghi.

Questo nuovo metodo di attacco, riportano i ricercatori di Varonis, consente agli attori delle minacce di impersonare utenti interni e consegnare email di phishing senza dover compromettere un account, aggirando i controlli di sicurezza email tradizionali che in genere esaminano le comunicazioni esterne. Ciò che rende questo attacco particolarmente preoccupante è lo sfruttamento di una funzione di Microsoft 365 poco conosciuta, progettata per comunicazioni interne legittime ma priva di adeguate protezioni di autenticazione.

In questi attacchi, gli attori delle minacce utilizzano la funzionalità Direct Send di M365 per colpire singole organizzazioni con messaggi di phishing che ricevono un esame molto meno rigoroso rispetto alla normale email in entrata. Direct Send è una funzione in Exchange Online progettata per consentire ai dispositivi interni come stampanti e applicazioni di inviare email all’interno di un tenant Microsoft 365 senza richiedere autenticazione. La funzione utilizza un host intelligente con un formato prevedibile: tenantname.mail.protection.outlook.com.

La falla di sicurezza critica risiede nell’assenza totale di requisiti di autenticazione. Gli aggressori hanno bisogno solo di pochi dettagli disponibili pubblicamente per eseguire le loro campagne: il dominio dell’organizzazione bersaglio e indirizzi di destinatari validi. La squadra di forensics di Varonis ha osservato gli aggressori utilizzare comandi PowerShell per inviare email truccate tramite l’host intelligente. Queste email sembrano provenire da indirizzi interni legittimi nonostante siano inviate da attori esterni non autenticati.

Il processo di attacco è notevolmente semplice. Una volta che gli attori delle minacce identificano il dominio e i destinatari validi, possono inviare email truccate che sembrano provenire dall’interno dell’organizzazione senza mai accedere o entrare nel tenant. Questa semplicità rende Direct Send un vettore attraente e a basso sforzo per campagne di phishing sofisticate.

L'articolo Microsoft 365 sotto attacco: come gli hacker sfruttano Direct Send per inviare email di phishing proviene da il blog della sicurezza informatica.

Il sistema giudiziario statunitense si è trovato al centro di un’importante controversia sulla privacy degli utenti di ChatGPT dopo che un giudice federale ha ordinato a OpenAI di conservare in modo permanente i registri di tutte le comunicazioni degli utenti, compresi i messaggi eliminati, in una causa per violazione del copyright intentata da diverse importanti organizzazioni giornalistiche.

All’inizio di maggio, il giudice Ona Wang, che ha firmato la sentenza, ha respinto il primo tentativo di uno degli utenti di intervenire nel caso, poiché rappresentava la sua azienda, ma lo ha fatto senza l’assistenza di un avvocato professionista. Tuttavia, anche un tentativo più recente di un altro utente, Aidan Hunt, di portare all’attenzione del tribunale la questione dell’archiviazione di massa dei dati personali è fallito, nonostante una richiesta più fondata.

Hunt, nel suo ricorso alla corte, ha sottolineato di utilizzare ChatGPT occasionalmente, inserendo talvolta nel sistema “informazioni personali e commerciali estremamente sensibili”. Ha affermato di ritenere che la sentenza della corte crei di fatto un “programma di sorveglianza di massa” su tutti gli utenti di ChatGPT a livello nazionale, senza alcun preavviso. Anche le chat eliminate o anonime sono ora soggette a archiviazione obbligatoria, ha affermato, il che viola le fondamentali tutele costituzionali della privacy.

Hunt è particolarmente preoccupato dal fatto che, anche se vengono salvate solo le risposte del modello, anziché le domande dell’utente, ciò non cambierebbe molto, poiché il contenuto delle risposte spesso riflette direttamente le domande originali, inclusi argomenti personali e delicati. Ha appreso della sentenza del tribunale per caso, dopo averla letta online, e si è quindi rivolto al tribunale, sostenendo che i suoi diritti sanciti dal Quarto Emendamento e dal giusto processo erano stati violati.

Nella sua mozione, Hunt ha chiesto di annullare o riconsiderare l’ordinanza, insistendo, come minimo, che tutte le chat e le comunicazioni anonime contenenti informazioni mediche, finanziarie, legali e altre informazioni personali non pertinenti alla causa intentata dalle società di informazione vengano escluse dall’archiviazione.

Tuttavia, il giudice Wang non è d’accordo con la tesi dell’utente. Nella sua sentenza, ha sottolineato che non si trattava di un caso di sorveglianza di massa, bensì di una prassi legale standard in cui alle aziende viene ordinato di conservare i dati ai fini di un procedimento giudiziario. Ha specificamente osservato che la magistratura non è un’agenzia di polizia e che le sue decisioni non equivalgono alla creazione di un programma di sorveglianza.

Tuttavia, gli esperti di diritti digitali individuano in questa situazione un precedente preoccupante. Come ha osservato Corinne McSherry, direttrice legale dell’Electronic Frontier Foundation, tali decisioni potrebbero effettivamente trasformarsi in una scappatoia per espandere il controllo aziendale e l’accesso alle informazioni personali degli utenti. Secondo lei, i precedenti in cui le forze dell’ordine o i querelanti iniziano a richiedere in massa dati sulle azioni degli utenti di chatbot sono piuttosto reali: basti pensare a casi simili con la cronologia delle ricerche o i post sui social media. .

L'articolo ChatGPT è la nuova Spia! Un giudice obbliga OpenAI a salvare ogni parola scritta dagli utenti proviene da il blog della sicurezza informatica.

Un nuovo annuncio pubblicato sulla piattaforma underground XSS.is rivela la presunta vendita di un accesso compromesso ai server di una web agency italiana ad alto fatturato. A offrire l’accesso è l’utente hackutron, attivo dal settembre 2023 e già noto nei circuiti dell’underground cybercrime.

Secondo quanto dichiarato dall’attore, l’accesso alla vittima avverrebbe tramite una WebShell attiva su un sistema Windows, protetto unicamente da Windows Defender. Il prezzo richiesto è di 300 dollari, una cifra relativamente bassa rispetto al valore del target dichiarato.

Nel dettaglio, l’annuncio riporta:

• Paese: Italia
• Fatturato dichiarato: oltre 15 milioni di dollari
• Tipo di accesso: WebShell
• Antivirus presente: Windows Defender
• Contenuto compromesso: oltre 20 installazioni WordPress e relativi database di altre aziende

L’obiettivo dichiarato sembra essere una agenzia web che gestisce più ambienti WordPress per clienti terzi. In uno dei messaggi si legge:

“Web Agency che ospita oltre 20 WordPress e DB di altre aziende (ricavi elevati)”

Questo rende particolarmente interessante l’accesso per attori malevoli specializzati in data theft, phishing-as-a-service, SEO poisoning o black hat defacement. Con accesso WebShell a un ambiente shared hosting, le possibilità di escalation e movimento laterale sono elevate.

Il fatto che si tratti di una web agency multi-tenant suggerisce che i dati potenzialmente compromessi non siano limitati alla sola vittima primaria, ma includano clienti, e-commerce, CMS e CRM installati nei vari domini ospitati. Questo moltiplica esponenzialmente l’impatto potenziale.

Ma la morale in tutto questo?

Che comprendere prima che un Initial Access Broker stia osservando o analizzando una rete aziendale è oggi una delle informazioni più preziose per la difesa preventiva. Questi attori vendono porte d’accesso già aperte, e sapere in anticipo se si è finiti nel loro radar consente di rafforzare i punti deboli, segmentare la rete, aggiornare le policy di accesso e attuare contromisure tempestive. Aspettare che l’accesso venga venduto – e poi magari usato da un gruppo ransomware – significa intervenire quando il danno è già in atto.

Qui entra in gioco la Cyber Threat Intelligence (CTI), che non si limita a osservare il passato, ma analizza pattern, comportamenti, reputazione e movimenti degli attori nelle zone grigie del web. L’intelligence delle minacce consente alle aziende di monitorare marketplace, forum underground, canali Telegram e dark web per rilevare vendite sospette, fughe di dati o credenziali compromesse. In un’epoca in cui le PMI vengono bersagliate con la stessa frequenza delle grandi aziende, la CTI non è un lusso per pochi, ma una necessità per tutti.

L'articolo In vendita sul dark web l’accesso a una web agency italiana: compromessi oltre 20 siti WordPress proviene da il blog della sicurezza informatica.

[Hunter Irving] is a talented hacker with a wicked sense of humor, and he has written in to let us know about his latest project which is to make a GameCube keyboard controller work with Animal Crossing.

This project began simply enough but got very complicated in short order. Initially the goal was to get the GameCube keyboard controller integrated with the game Animal Crossing. The GameCube keyboard controller is a genuine part manufactured and sold by Nintendo but the game Animal Crossing isn’t compatible with this controller. Rather, Animal Crossing has an on-screen keyboard which players can use with a standard controller. [Hunter] found this frustrating to use so he created an adapter which would intercept the keyboard controller protocol and replace it with equivalent “keypresses” from an emulated standard controller.

In this project [Hunter] intercepts the controller protocol and the keyboard protocol with a Raspberry Pi Pico and then forwards them along to an attached GameCube by emulating a standard controller from the Pico. Having got that to work [Hunter] then went on to add a bunch of extra features.

First he designed and 3D-printed a new set of keycaps to match the symbols available in the in-game character set and added support for those. Then he made a keyboard mode for entering musical tunes in the game. Then he integrated a database of cheat codes to unlock most special items available in the game. Then he made it possible to import images (in low-resolution, 32×32 pixels) into the game. Then he made it possible to play (low-resolution) videos in the game. And finally he implemented a game of Snake, in-game! Very cool.

If you already own a GameCube and keyboard controller (or if you wanted to get them) this project would be good fun and doesn’t demand too much extra hardware. Just a Raspberry Pi Pico, two GameCube controller cables, two resistors, and a Schottky diode. And if you’re interested in Animal Crossing you might enjoy getting it to boot Linux!

Thanks very much to [Hunter] for writing in to let us know about this project. Have your own project? Let us know on the tipsline!

youtube.com/embed/Yw8Alf_lolA?…

hackaday.com/2025/06/26/making…

Sempre per capire un po' meglio il posto in cui mi trovo...

Vedo spesso la riga "Filtered language" con vicino Il nome di una lingua e "Reveal/hide".

Se ho capito bene dovrebbe essere il sistema che mi dice "questo contenuto te l'ho nascosto perché è in una lingua che non capiresti però se proprio vuoi, clicca qui e te lo faccio vedere".

Beh... non so se succede anche a voi ma 9 volte su 10 è normalissimo italiano.

Possibile che l'algoritmo che dovrebbe riconoscere le lingue sbagli così tanto?

Earlier this week, CBS News filed a strong brief outlining why President Donald Trump’s lawsuit over the editing of its 2024 interview with Kamala Harris is completely frivolous and an affront to the First Amendment.

But just days later, The Wall Street Journal reported that a mediator had proposed CBS owner Paramount Global settle the suit for $20 million. It’s been reported that Paramount — believing the Trump administration will block its merger with Skydance Media if it doesn’t settle – had previously offered $15 million, which Trump declined, demanding at least $25 million.

A mediator’s job is to find a compromise number, so, from that perspective, it’s easy to understand why they’d propose $20 million (mediators get paid the big bucks to do that kind of math). But mediators are still under an obligation not to facilitate criminality. And, as both federal and state lawmakers have said, a settlement by Paramount may amount to illegal bribery.

The Model Standards of Conduct for Mediators — adopted by the American Bar Association, American Arbitration Association, and Association for Conflict Resolution — provide as follows: “If a mediation is being used to further criminal conduct, a mediator should take appropriate steps including, if necessary, postponing, withdrawing from or terminating the mediation.” The ethics guidelines of Judicial Arbitration and Mediation Services go a step further: “A mediator should withdraw from the process if the mediation is being used to further illegal conduct.“

The mediator’s identity hasn’t been publicly disclosed, but presumably, they’re a lawyer, also bound by the rules of professional conduct. Those rules also include obligations to uphold the integrity of the legal profession and not facilitate illegal conduct. Violations are punishable by discipline up to disbarment. That said, it should not require citation of specific rules and standards to establish that it’s improper to facilitate the abuse of the legal system to funnel bribes disguised as settlements to politicians.

Everyone knows the case is not worth $20 million, or even 20 cents, in terms of legal merit. It’s beyond frivolous — and that’s saying something given the myriad frivolous lawsuits Trump has filed. As Paramount’s own lawyers note, Trump often doesn’t even attempt to cite cases supporting his cockamamie legal theories or refuting the decades of First Amendment precedent that obviously protects CBS’ editorial judgment. Any first-year law student can see this case should be thrown out at the first opportunity. It’s a joke.

“If a mediation is being used to further criminal conduct, a mediator should take appropriate steps including, if necessary, postponing, withdrawing from or terminating the mediation.”

The Model Standards of Conduct for Mediators

Yet it’s been widely reported that Paramount directors believe they need to pay up if they want Trump’s Federal Communications Commission to approve the Skydance merger. Possibly the only thing stopping them is the fact that the directors are reportedly concerned that settling could put it at risk of liability for bribery.

They should be worried. In addition to the lawmakers that have launched probes into potential criminality, as Paramount shareholders and defenders of press freedom, we’ve threatened to bring a shareholder derivative suit against Paramount directors and officers if the company pays Trump off, and retained counsel to do so on our behalf.

Any settlement agreed to by Paramount to facilitate its merger is not only tantamount to bribery but throws its own storied news outlet under the bus and invites Trump to extort countless other news corporations as soon as the check clears.

The Wall Street Journal reported that directors at Paramount have been mulling over a number it can offer that reduces the odds of a bribery case. When a party to a mediation is calculating settlement numbers not based on the merits of the lawsuit and cost of litigation but on the maximum it can pay without officers and directors getting indicted, that’s a gigantic red flag that no ethical mediator should ignore (as if investigations from federal and state lawmakers aren’t enough of a warning).

We hope the mediator is taking their obligations seriously. And we also hope Paramount directors are reading their own lawyers’ legal briefs. Editing interviews is something news outlets across the political spectrum do every hour of every day (even Trump-aligned Fox News hosts have openly acknowledged that). As Paramount’s lawyers wrote, if this case were to go forward, it “would amount to green-lighting thousands of consumer claims brought by individuals who merely disagree with a news organization’s editorial choices.”

The same can be said for if Paramount settles. Trump sued The Des Moines Register right after ABC owner Disney shamefully settled with Trump earlier this year. If he is gifted $20 million (and no, it doesn’t help matters if the money goes to his purported library foundation) for disliking the way an interview was edited, there’s no telling how many news outlets he’ll target next.

freedom.press/issues/paramount…

La Pirate Academy online, organizzata dall’eurodeputata Markéta Gregorová e dal gruppo politico Verdi/ALE, si terrà nell’autunno del 2025. David, dicci, cosa tratterà esattamente il corso? Si articolerà in cinque sessioni online interattive, più un incontro in diretta a Bruxelles, presso il Parlamento europeo, per i migliori partecipanti. Il corso ti preparerà a lavorare come consulente…

Source

Dal 2020 sono un utente #Fairphone, prima con il FP3+ e adesso con il FP5.

Sono un "Fairphone Angel" (è un nome che fa un po' ridere, lo so 😁 ) ovvero una di quelle persone che mettono la loro esperienza a disposizione di chi possiede un Fairphone o è interessato a saperne qualcosa di più (*). Maggiori informazioni le potete trovare qui.

Ho visto che nel Fediverso c'è un certo interesse su questi argomenti e così ho pensato di mettere un post "ad hoc" nel caso qualcuno volesse informazioni sul telefono.

Il sito ufficiale Fairphone è qui.

Bene, a voi la linea...

(*) Non abbiamo nessun rapporto organico con l'azienda né riceviamo compensi sotto nessuna forma, semplicemente crediamo in questo progetto, ci fa piacere contribuire in qualche modo e lo facciamo così.

QUI per firmare la proposta di legge online

Si è tenuta oggi, giovedì 26 giugno, in Piazza XXV Aprile a Milano, la conferenza stampa di lancio della raccolta firme per una proposta di legge di iniziativa popolare finalizzata a legalizzare tutte le scelte di fine vita, inclusa l’eutanasia, promossa dall’Associazione Luca Coscioni.

Nel corso dell’iniziativa – alla quale hanno preso parte Marco Cappato, tesoriere dell’Associazione Luca Coscioni e Matteo Mainardi, coordinatore delle campagne sul fine vita – insieme alla consigliera regionale della Lombardia (in quota Partito Democratico) Carmela Rozza, l’esponente del gruppo consiliare di Alleanza Verdi e Sinistra a Sesto San Giovanni Michele Foggetta, il consigliere comunale ed esponenti dei Sentinelli Milano, Alessandro Giungi – è stato attivato il primo tavolo di raccolta firme. Nei prossimi giorni, l’attività proseguirà in centinaia di piazze italiane.

L’obiettivo è di raccogliere le firme di almeno 50.000 persone in due settimane necessarie per poter depositare la proposta in Parlamento prima della ripresa della discussione sul fine vita prevista in Senato il 17 luglio.

La proposta di legge, depositata in Corte di Cassazione, su cui inizia la raccolta firme, prevede la possibilità per ogni persona maggiorenne, pienamente capace di prendere decisioni libere e consapevoli, affetta da una condizione o patologia irreversibile o da una patologia con una prognosi infausta a breve termine, fonte di sofferenze fisiche o psicologiche ritenute intollerabili, di richiedere, previa verifica delle condizioni, assistenza per porre fine volontariamente alla propria vita mediante autosomministrazione o somministrazione dei farmaci per il fine vita.

La legge prevede:

• la libertà di scelta tra autosomministrazione o somministrazione da parte di un medico;
• la presa in carico da parte del Servizio sanitario nazionale, con conclusione delle verifiche entro 30 giorni dalla richiesta;
• la possibilità per i medici di partecipare su base volontaria.

Il testo mira a superare le disuguaglianze territoriali e a garantire un diritto esigibile in tutto il Paese, nel rispetto dei principi costituzionali di autodeterminazione, dignità e umanità.

“Le persone con patologie irreversibili e sofferenze insopportabili hanno già diritto da sette anni a essere aiutate a morire senza soffrire in Italia grazie alla sentenza della Corte Costituzionale – dichiara Marco Cappato, Tesoriere Associazione Luca Coscioni -. Ora il Governo vuole restringere e cancellare questo diritto eliminando il ruolo del Servizio Sanitario Nazionale. Come Associazione Luca Coscioni invece proponiamo attraverso la legge di Iniziativa Popolare Eutanasia Legale di estendere il diritto ad essere aiutati anche da parte di un medico e anche per le persone che non siano dipendenti da trattamenti sanitari come i malattie terminali di cancro. Dopo aver raccolto 50.000 firme, a nome delle persone che avranno aderito presenteremo questa proposta entro metà luglio e il Parlamento dovrà discuterne quando avvierà il dibattito sul tema, dal 17 luglio in poi”.

Il testo integrale della proposta di legge, il materiale informativo e la mappa aggiornata dei tavoli per la raccolta firme sono disponibili QUI

L'articolo Al via la raccolta firme della proposta di iniziativa popolare per legalizzare tutte le scelte di Fine vita proviene da Associazione Luca Coscioni.