@jack is back with a weekend project. Yes, that Jack. [Jack Dorsey] spent last weekend learning about Bluetooth meshing, and built Bitchat, a BLE mesh encrypted messaging application. It uses X25519 for key exchange, and AES-GCM for message encryption. [Alex Radocea] took a look at the current state of the project, suspects it was vibe coded, and points out a glaring problem with the cryptography.

So let’s take a quick look at the authentication and encryption layer of Bitchat. The whitepaper is useful, but still leaves out some of the important details, like how the identity key is tied to the encryption keys. The problem here is that it isn’t.

Bitchat has, by necessity, a trust-on-first-use authentication model. There is intentionally no authentication central authority to verify the keys of any given user, and the application hasn’t yet added an out-of-band authentication method, like scanning QR codes. Instead, it has a favorites system, where the user can mark a remote user as a favorite, and the app saves those keys forever. There isn’t necessarily anything wrong with this approach, especially if users understand the limitations.

The other quirk is that Bitchat uses ephemeral keys for each chat session, in an effort to have some forward secrecy. In modern protocols, it’s desirable to have some protection against a single compromised encryption key exposing all the messages in the chain. It appears that Bitchat accomplishes this by generating dedicated encryption keys for each new chat session. But those ephemeral keys aren’t properly verified. In fact, they aren’t verified by a user’s identity key at all!

The attack then, is to send a private message to another user, present the public key of whoever your’re trying to impersonate, and include new ephemeral encryption keys. Even if your target has this remote user marked as a favorite, the new encryption keys are trusted. So the victim thinks this is a conversation with a trusted person, and it’s actually a conversation with an attacker. Not great.

Now when you read the write-up, you’ll notice it ends with [Alex] opening an issue on the Bitchat GitHub repository, asking how to do security reports. The issue was closed without comment, and that’s about the end of the write-up. It is worth pointing out that the issue has been re-opened, and updated with some guidance on how to report flaws.

Post-Quantum Scanning

There’s a deadline coming. Depending on where you land on the quantum computing skepticism scale, it’s either the end of cryptography as we know it, or a pipe dream that’s always going to be about 10 years away. My suspicion happens to be that keeping qubits in sync is a hard problem in much the same way that factoring large numbers is a hard problem. But I don’t recommend basing your cryptography on that hunch.

Governments around the world are less skeptical of the quantum computer future, and have set specific deadlines to migrate away from quantum-vulnerable algorithms. The issue here is that finding all those uses of “vulnerable” algorithms is quite the challenge. TLS, SSH, and many more protocols support a wide range of cryptography schemes, and only a few are considered Post Quantum Cryptography (PQC).

Anvil Secure has seen this issue, and released an Open Source tool to help. Pqcscan is a simple idea: Scan a list of targets and collect their supported cryptography via an SSH and TLS scan. At the end, the tool generates a simple report of how many of the endpoints support PQC. This sort of compliance is usually no fun, but having some decent tools certainly helps.

Citrixbleed 2

Citrix devices have a problem. Again. The nickname for this particular issue is CitrixBleed 2, which hearkens all the way back to Heartbleed. The “bleed” here refers to an attack that leaks little bits of memory to attackers. We know that it’s related to an endpoint called doAuthentication.do.

The folks at Horizon3 have a bit more detail, and it’s a memory management issue, where structures are left pointing to arbitrary memory locations. The important thing is that an incomplete login message is received, the code leaks 127 bytes of memory at a time.

What makes this vulnerability particularly bad is that Citrix didn’t share any signs of attempted exploitation. Researchers have evidence of this vulnerability being used in the wild back to July 1st. That’s particularly a problem because the memory leak is capable of revealing session keys, allowing for further exploitation. Amazingly, in an email with Ars Technica, Citrix still refused to admit that the flaw was being used in the wild.

Opossum

We have a new TLS attack, and it’s a really interesting approach. The Opossum Attack is a Man in the Middle (MitM) attack that takes advantage of of opportunistic TLS. This TLS upgrade approach isn’t widely seen outside of something like email protocols, where the StartTLS command is used. The important point here is that these connections allow a connection to be initiated using the plaintext protocol, and then upgrade to a TLS protocol.

The Opossum attack happens when an attacker in a MitM position intercepts a new TCP connection bound for a TLS-only port. The attacker then initiates a plaintext connection to that remote resource, using the opportunistic port. The attacker can then issue the command to start a TLS upgrade, and like an old-time telephone operator, patch the victim through to the opportunistic port with the session already in progress.

The good news is that this attack doesn’t result in encryption compromise. The basic guarantees of TLS remain. The problem is that there is now a mismatch between exactly how the server and client expect the connection to behave. There is also some opportunity for the attacker to poison that connection before the TLS upgrade takes place.

TSAs

AMD has announced yet another new Transient Execution attack, the Transient Scheduler Attack. The AMD PDF has a bit of information about this new approach. The newly discovered leak primitive is the timing of CPU instructions, as instruction load timings may be affected by speculative execution.

The mitigation for this attack is similar to others. AMD recommends running the VERW instruction when transitioning between Kernel and user code. The information leakage is not between threads, and so far appears to be inaccessible from within a web browser, cutting down the real-world exploitability of this new speculative execution attack significantly.

Bits and Bytes

The majority of McDonald’s franchises uses the McHire platform for hiring employees, because of course it’s called “McHire”. This platform uses AI to help applicants work through the application process, but the issues found weren’t prompt injection or anything to do with AI. In this case, it was a simple default username and password 123456:123456 that gave access to a test instance of the platform. No real personal data, but plenty of clues to how the system worked: an accessible API used a simple incrementing ID, and no authentication to protect data. So step backwards through all 64 million applications, and all that entered data was available to peruse. Yikes! The test credentials were pulled less than two hours after disclosure, which is an impressive turn-around to fix.

When you’ve been hit by a ransomware attack, it may seem like the criminals on the other side are untouchable. But once again, international law enforcement have made arrests of high-profile ransomeware gangs. This time it’s members of Scattered Spider that were arrested in the UK.

And finally, the MCP protocol is once again making security news. As quickly as the world of AI is changing, it’s not terribly surprising that bugs and vulnerabilities are being discovered in this very new code. This time it’s mcp-remote, which can be coerced to run arbitrary code when connecting to a malicious MCP server. Connect to server, pop calc.exe. Done.

hackaday.com/2025/07/11/this-w…

[Sylvain Fortin] recently wrote in to tell us about his Homebrew CPU Project, and the story behind this one is truly remarkable.

He began working on this toy CPU back in 1994, over thirty years ago. After learning about the 74LS181 ALU in college he decided to build his own CPU. He made considerable progress back in the 90s and then shelved the project until the pandemic hit when he picked it back up again and started adding some new features. A little later on, a board house approached him with an offer to cover the production cost if he’d like to redo the wire-wrapped project on a PCB. The resulting KiCad files are in the GitHub repository for anyone who wants to play along at home.
An early prototype on breadboard
The ALU on [Sylvain]’s CPU is a 1-bit ALU which he describes as essentially a selectable gate: OR, XOR, AND, NOT. It requires more clock steps to compute something like an addition, but, he tells us, it’s much more challenging and interesting to manage at the microcode level. On his project page you will find various support software written in C#, such as an op-code assembler and a microcode assembler, among other things.

For debugging [Sylvain] started out with das blinkin LEDs but found them too limiting in short order. He was able to upgrade to a 136 channel Agilent 1670G Benchtop Logic Analyzer which he was fortunate to score for cheap on eBay. You can tell this thing is old from the floppy drive on the front panel but it is rocking 136 channels which is seriously OP.

The PCB version is a great improvement but we were interested in the initial wire-wrapped version too. We asked [Sylvain] for photos of the wire-wrapping and he obliged. There’s just something awesome about a wire-wrapped project, don’t you think? If you’re interested in wire-wrapping check out Wire Wrap 101.

hackaday.com/2025/07/11/this-h…

Secondo Trellix, il gruppo DoNot APT ha recentemente condotto una campagna di spionaggio informatico in più fasi, prendendo di mira il Ministero degli Affari Esteri italiano. Il gruppo, attribuito da diverse società di intelligence sulle minacce informatiche all’India, si è spacciato per funzionari della difesa europei, menzionando la loro visita in Bangladesh, e ha indotto le sue vittime a cliccare su un link dannoso di Google Drive.

DoNot APT, noto anche come APT-C-35, Mint Tempest, Origami Elephant, SECTOR02 e Viceroy Tiger, è attivo almeno dal 2016. Il gruppo si concentra tradizionalmente su campagne di spionaggio informatico con interessi geopolitici nell’Asia meridionale. Le sue operazioni sono caratterizzate da sorveglianza persistente, esfiltrazione di dati e accesso a lungo termine. Il gruppo è noto per l’utilizzo dimalware Windows personalizzati, tra cui backdoor come YTY e GEdit, spesso diffusi tramite e-mail di spear-phishing o documenti dannosi.

L’obiettivo finale dell’attacco era quello di stabilire un punto d’appoggio nell’infrastruttura del bersaglio e sottrarre informazioni sensibili. L’analisi del payload ha rivelato la sua associazione con il malware LoptikMod, uno strumento utilizzato esclusivamente dal gruppo APT DoNot dal 2018.

“Sebbene storicamente focalizzato sull’Asia meridionale, questo incidente che ha preso di mira le ambasciate dell’Asia meridionale in Europa indica una chiara espansione dei loro interessi verso le comunicazioni diplomatiche e l’intelligence europea”, hanno affermato i ricercatori di Tellix in un rapporto dell’8 luglio .
Catena di infezione (Fonte Trellix)
L’ultimo attacco DoNot APT identificato da Trellix è iniziato con un’email di spear-phishing proveniente da un indirizzo Gmail, int.dte.afd.1@gmail[.]com, che impersonava corrispondenza diplomatica ufficiale. Il bersaglio era un ente governativo italiano operante nel settore diplomatico. L’e-mail ha fatto leva su temi diplomatici legati al coordinamento degli addetti alla difesa tra Italia e Bangladesh.

Sebbene il contenuto esatto del messaggio non sia stato raccolto nei risultati, l’oggetto “Visita dell’addetto alla Difesa italiano a Dhaka, Bangladesh” suggerisce un’esca studiata per apparire come legittima corrispondenza diplomatica, che ragionevolmente conterrebbe allegati o link a documenti. L’e-mail conteneva un collegamento a Google Drive che indirizzava il destinatario a un archivio RAR dannoso denominato SyClrLtr.rar.

“Il recente attacco a un ministero degli esteri europeo evidenzia la portata crescente di DoNot APT e il suo persistente interesse nel raccogliere informazioni sensibili, sottolineando la necessità di una maggiore vigilanza e di solide misure di sicurezza informatica”, ha concluso il rapporto Trellix.

L'articolo Il Ministero degli Esteri italiano preso di mira in una campagna di spionaggio da Gruppo DoNot APT proviene da il blog della sicurezza informatica.

Testo preparato con Peppe Brescia

Grazie a un’inaspettata nota divulgata il 9 Luglio, l’istituto Superiore di Sanità (Iss) ha annunciato l’avvio della prima sperimentazione italiana sugli utilizzi medici della psilocibina, il principio attivo dei cosiddetti funghi magici nell’ambito della cura di patologie depressive resistenti ai trattamenti tradizionali. Lo studio, che ha ultimato la fase di test preclinici, ha ricevuto l’autorizzazione da parte dell’Agenzia Italiana per i Farmaci (Aifa).

La ricerca verrà sviluppata in modalità multicentrica, mediante una collaborazione tra la Clinica Psichiatrica dell’Ospedale di Chieti, il Dipartimento di Neuroscienze, Imaging e Scienze Cliniche dell’Università “Gabriele D’Annunzio” di Chieti, l’ASL Roma 5 e l’Azienda Ospedaliero-Universitaria “Ospedali Riuniti” di Foggia. L’Iss assumerà invece le funzioni di coordinamento dello studio.

Per il progetto, che prevede durata biennale, sono stati arruolati 68 pazienti affetti da depressione resistente che riceveranno somministrazioni di psilocibina in un ambiente controllato e supervisionato da personale clinico specializzato.

La valutazione dei risultati del trial, finalizzato alla definizione di nuovi modelli di approccio psichiatrico, sarà effettuata tramite il ricorso a tecniche di neuroimaging e neurofisiologia, propedeutici all’identificazione di biomarcatori cerebrali di rilievo.

L’annuncio dell’Iss è stato accolto con generale entusiasmo da parte dei professionisti del settore coinvolti nella sperimentazione. Secondo Giovanni Martinotti, Professore Ordinario di Psichiatria all’Università di Chieti, si tratta di “un cambio di paradigma più scientifico che culturale”, nonché di “una grande occasione per la ricerca italiana e per migliorare le cure per la salute mentale” utile a produrre conoscenze che “potranno rendere l’impiego delle nuove molecole ancora più sicuro, accettabile e accessibile per l’applicazione in ambito clinico”.

Anche Francesca Zoratto, ricercatrice dell’Iss e Principal Investigator del progetto, ha posto l’accento sulle inedite peculiarità dell’esperimento, sottolineando la possibilità di sondare “forme innovative, come quelle non psichedeliche che potrebbero mantenere il potenziale terapeutico eliminando gli effetti allucinogeni”.

La psilocibina, trasformata a livello metabolico in psilocina, svolge la propria azione sui recettori della serotonina mediante un’attività di riorganizzazione delle reti cerebrali responsabili di umore e percezioni.

Le potenzialità terapeutiche finora dimostrate dalla psilocibina hanno attirato interesse anche in ambito europeo, all’inizio del 2024 è infatti in corso PsyPal il primo progetto pan-europeo di studio psichedelico finanziato dalla Commissione europea che, tra le altre cose, valuterà l’idoneità della psilocibina nella gestione del disagio psicologico ed esistenziale derivante da quattro diverse patologie progressive: la broncopneumopatia cronica ostruttiva, la sclerosi multipla, la sclerosi laterale amiotrofica e i disturbi parkinsoniani avanzati e atipici.

Secondo i dati raccolti dall’Iss nel 2024, circa il 6% della popolazione italiana riferisce sintomi depressivi, riconducibili alla depressione maggiore nella metà dei casi.

Altre sono le condizioni per cui la ricerca scientifica o i trial clinici con gli psichedelici potrebbe dare risultati incoraggianti, per questo l’Associazione Luca Coscioni continua a portare avanti il suo impegno a favore della sperimentazione delle molecole allucinogene: nei mesi scorsi è stato lanciato L’Italia apra alle terapie psichedeliche, un appello in quattro punti indirizzato ai ministri Schillaci e Crosetto.

Le richieste prevedono la prescrivibilità degli psichedelici nell’ambito delle cure palliative e in quanto terapie compassionevoli, l’istituzione di un progetto pilota incentrato sullo studio della sindrome da stress post-traumatico del personale militare impiegato in missioni internazionali, infine un confronto istituzionale con una delegazione di esperti.

L’appello è al momento giunto a circa 15000 sottoscrizioni tra cittadini e operatori del settore. Il 27 settembre a La Spezia l’Associazione terrà un evento pre-congressuale dedicato agli psichedelici e continua a partecipare alla mobilitazione di Psychedelicare.eu l’iniziativa civica che chiede alla Commissione europea adeguati finanziamenti e un impegno internazionale per ritabellizzare gli psichedelici. L’iniziativa può essere sottoscritta qui.

L'articolo Al via la prima sperimentazione italiana con la psilocibina proviene da Associazione Luca Coscioni.

"No matter how they try in Israel to wrap this move with laundered epithets, they are talking about a concentration camp".

Haaretz.com

2025-07-10 16:45:00

Israel wants to build the most moral concentration camp in the world | Haaretz Editorial
haaretz.com/opinion/editorial/…

Israel wants to build the most moral concentration camp in the world

***

^{Haaretz Editorial (Haaretz)}

è difficile restare fedele ai miei valori e convinzioni.
Non so.. Fare la spesa boicottando prodotti di aziende che traggono profitto dal genocidio palestinese (ad esempio, non mi ero mai resa conto che la mia mayo preferita fosse di Nestlé 🙁

Pause caffè piene di discorsi superficiali e di disinformazione, gossip sui colleghi a cui non voglio partecipare - ma non voglio nemmeno restare sempre isolata.

Essere onesta, in un ambiente di lavoro tossico.

-

*l'articolo non le rende giustizia: la cesta solidale, l'ho -orgogliosamente- creata (e ripristinata diverse volte) io, durante la pandemia, e da allora resiste 😀

#boicottare #cestasolidale #lavoro #valori #mayonnaise #thomy #nestle

Consiglio la lettura di questo libro.

Leggete l'estratto di questo libro, e poi pensate a Travaglio, a Orsini, al Fatto Quotidiano.

Poi chiedetevi perché siamo molto in basso nelle classifiche sull'informazione libera a livello mondiale.

"Secondo il sociologo della Chapman University della California, Andrea Molle, intervistato dalla RAI[76], “l’ideologia del Gruppo Wagner, che si associa alla sua dimensione per così dire aziendale, associa il neonazismo con il neopaganesimo slavo molto diffuso in Russia a partire dagli anni ‘70 del secolo scorso. Io parlerei di una forma esoterica di nazismo”. Il professore fa esplicito riferimento ad una particolare “declinazione dell’ideologia nazionalsocialista” con la quale venivano fusi gli elementi classici del nazismo con altri tipici del misticismo, occultismo ed esoterismo in voga in Germania a cavallo tra il 1800 ed il 1900. “Il Gruppo Wagner - afferma - riprende alcuni di questi contenuti nella propria estetica, come l’uso di rune sui propri mezzi, e nelle ritualità che sembrano caratterizzarlo”. Il sociologo parla anche di contatti tra Wagner e gli ambienti legati all’ultra destra e nazionalisti russi, i cui militanti sarebbero in larga parte impiegati anche nelle operazioni militari in Ucraina, ma non solo russi. Spiega anche che “abbiamo notizie di rapporti tra il gruppo Wagner e altri gruppi di estrema destra in Europa, ma anche negli Stati Uniti e in altri paesi del mondo. Alcuni ricercatori sostengono che negli ultimi anni, membri di gruppi estremisti (ad esempio tedeschi) e dei paesi dell’est Europa abbiano partecipato a sessioni di addestramento organizzate dalle PMC (private military company) russe tra le quali è ragionevole pensare anche il Gruppo Wagner”. Un ruolo determinante nella formazione e nell’addestramento delle milizie non ufficiali delle quali si avvale il Cremlino spetta, come si è visto, al Movimento Imperiale Russo, al quale ha dedicato attenzione anche il Centro per la Sicurezza e la Cooperazione Internazionale (CISAC)[77] centro di ricerca della prestigiosa Università di Stanford in California. Secondo il CISAC, il MIR “è un'organizzazione militante della supremazia bianca di estrema destra con sede a San Pietroburgo, in Russia. Fondato nel 2002, il gruppo promuove il nazionalismo etnico russo, sostiene la restaurazione del regime zarista russo e cerca di alimentare l'estremismo della supremazia bianca in Occidente. MIR (o RIM) mantiene contatti con gruppi neonazisti e suprematisti bianchi in Europa e negli Stati Uniti."

Setaccioli, Marco. Scemi di pace: Come i "pacifinti" ingannano l'Italia, diffondendo e mascherando le menzogne del Cremlino (pp.177-178). Edizione del Kindle.

#ucraina
#guerra
#mosca
#russia
#nazismo
#neonazismo
#wagner
#distopia
#disinformazione
#ilfattoquotidiano
#Orsini