😍😍😍

youtu.be/18QQWa5MEcs?si=tFj9-s…

#marvel #Fantastic4

Immagina di aprire, come ogni sera, il bookmark del tuo forum preferito per scovare nuove varianti di stealer o l’ennesimo pacchetto di credenziali fresche di breach. Invece della solita bacheca di annunci, ti appare un banner con tre loghi in bella vista: la Brigata francese per la lotta alla cyber‑criminalità, il Dipartimento Cyber dell’intelligence ucraina ed Europol.

Sotto, una scritta secca: «Questo dominio è stato sequestrato». Così è calato il sipario su XSS.IS, la sala d’aste clandestina che per dodici anni ha fatto incontrare sviluppatori di malware, broker di accessi e affiliati ransomware.

Quello che segue non è soltanto il racconto di un blitz all’alba: è la storia di un’indagine a orologeria che, in quattro anni, ha trasformato log di chat cifrate e transazioni Bitcoin in un mandato d’arresto internazionale. È il viaggio dietro le quinte di un’operazione che, colpendo l’infrastruttura e la fiducia, ha dato uno scossone a tutto il mercato nero del cyber‑crime. Se credi che un forum oscuro sia al riparo da occhi indiscreti, questa storia potrebbe farti cambiare idea.

L’indagine francese prende forma (2021‑2023)

Quando, il 2 luglio 2021, la Procura nazionale francese per la criminalità informatica (JUNALCO) apre un dossier su XSS.SI, l’obiettivo è capire come quel forum riesca a restare online malgrado continui riferimenti a estorsioni e intrusioni contro aziende francesi. Gli investigatori della Brigata per la lotta alla cybercriminalità della Préfecture de Police (BL2C) cominciano dal basso: enumerano DNS, analizzano certificati TLS “freschi” e ricostruiscono una mappa di server bullet‑proof in Olanda, Russia e Malesia.

L’intuizione chiave arriva quando un analista nota che, ogni volta che un grosso affare viene concluso sul forum, parecchi utenti citano lo stesso dominio Jabber, thesecure.biz. BL2C chiede al giudice istruttore di monitorare quel server: non un’acquisizione massiva, ma un “log chirurgico” delle chat usate dallo staff. L’ordinanza di intercettazione svela i turni di lavoro dell’amministratore – sempre fra le 9 e le 18 di Kiev – e soprattutto i wallet Bitcoin su cui confluiscono le commissioni del 3 % trattenute sugli escrow (AP News, SecurityWeek).

A fine 2023 il fascicolo è già una pila di prove tecniche: indirizzi IP, timestamp, importi in criptovaluta, screenshot di back‑end e perfino gli hash dei backup automatici salvati dall’admin su un NAS remoto.

Dal nickname al passaporto (2023‑2025)

Individuare il vero nome dietro al nickname richiede pazienza. Europol – entrata in scena con il suo European Cybercrime Centre – incrocia tre famiglie di dati:

• Open‑source e leak: avatar riutilizzati in forum minori, vecchi commit su GitHub e una PGP‑key del 2014 generata a Kyiv.
• Stilometria: gli esperti di linguistica forense confrontano grammatica, emoji e lunghezza media delle frasi con migliaia di post di XSS e con i suddetti commit: la corrispondenza supera il 90 %.
• Follow‑the‑money: grazie a un ordine europeo di indagine, due exchange forniscono i dati Know‑Your‑Customer di chi ha convertito BTC in Tether e poi in contanti presso un chiosco cripto di Kyiv. Le cifre coincidono con i guadagni dell’admin stimati in oltre 7 milioni di euro (Reuters, CyberScoop).

Quando la sicurezza interna ucraina (Služba Bezpeky Ukraïny, Dipartimento Cyber) verifica che l’uomo abita davvero nel quartiere indicato dall’analisi, le tessere del puzzle combaciano.

L’alba del 22 luglio 2025

Alle 06:00 del mattino, gli agenti della SBU suonano alla porta di un appartamento al quarto piano di un condominio di Kyiv. All’interno vengono trovati un portatile Linux, un NAS Synology e due token FIDO: il tutto viene clonato sul posto con kit forensi portatili Europol. Le frasi‑pass – scritte a mano su un taccuino – permettono di decifrare i dischi prima ancora che l’indagato raggiunga la centrale di polizia.

In parallelo, i registrar che gestiscono xss.is ricevono un ordine di sequestro francese, controfirmato da Europol, e reindirizzano il DNS verso un server a Parigi con il banner di presa in carico. Lo stesso succede al nodo Jabber: il traffico residuo confluisce in un sinkhole sotto controllo della polizia, utile per mappare affiliati ignari che tentano di collegarsi (Hackread, Ars Technica).

Nel giro di due ore il forum scompare dal web e il presunto amministratore – un trentacinquenne ucraino – è in custodia cautelare con accuse di associazione a delinquere, estorsione e riciclaggio di denaro.

Timeline sintetica

Gli “sportelli bancari” del dark‑web

Se XSS era la piazza, il suo vero tesoro era il servizio di escrow: un amministratore‑garante che custodiva i fondi finché compratore e venditore non dichiaravano “ok, tutto a posto”. Commissione fissa: 3 % – a volte 5 % per le vendite più rischiose (securitymagazine.com, ReliaQuest). Il pagamento avveniva in Bitcoin, l’ok finale via Jabber. È lo stesso modello che vediamo su Exploit e WWH‑Club, ma XSS aveva due plus: arbitri veloci (entro 24 ore) e un canale “VIP” per transazioni sopra i 50 000 dollari.

Un altro indizio: anche thesecure.biz è irraggiungibile

Anche thesecure.biz – il server Jabber usato dallo staff di XSS per gestire le dispute e gli escrow – risulta completamente offline. Una semplice “multiloc check” (vedi screenshot) mostra timeout da tutti i nodi di test, dall’Australia alla Finlandia: nessuna risposta HTTP, nessun banner sostitutivo, soltanto silenzio di rete.

Dentro il database sequestrato

Secondo fonti vicine all’inchiesta, il dump recuperato nel blitz contiene:

• 13 TB di post, messaggi privati e log Jabber;
• 93 000 escrow chiusi (2019‑2025) con importi e wallet associati;
• oltre 1 000 arbitrati con prove di truffe interne (screenshot, file crittati, PGP‑sign).

Per le forze dell’ordine è oro puro: incrociando i wallet con le blacklist di Chainalysis e il database di reclami antiriciclaggio, è possibile risalire a broker di accessi, sviluppatori di ransomware e persino mule che riciclavano il denaro. Gli incident‑responders, invece, potranno avvisare le aziende i cui dati compaiono tra i “pacchetti” venduti: un’occasione rara per chiudere la filiera degli attacchi prima che si concretizzino.

Domino effect: i forum tremano

Con XSS offline, i flussi migrano su Exploit e su piccoli canali Telegram. Ma la “garanzia” manca: aumentano le truffe, come dimostrano i primi thread di scam‑report pubblicati su Exploit meno di 48 ore dopo il sequestro. È la stessa dinamica vista dopo i blitz contro Genesis Market (aprile 2023) e BreachForums (2023‑2024): senza un arbitro credibile, il dark‑web diventa Far West e i margini di profitto crollano (Ministero della Giustizia, CyberScoop).

Uno sguardo al futuro

• Indagini a cascata – Come per Genesis, il banner di sequestro potrebbe presto invitare gli utenti a “farsi vivi” in cambio di uno sconto di pena.
• Forum più piccoli, più privati – Gli operatori migreranno su reti Tox, session “ghost” in Matrix e canali Telegram one‑to‑one.
• Escrow decentralizzati – Si parla già di smart‑contract su blockchain anonime per non dipendere da un singolo garante. Ma la storia insegna che, senza fiducia umana, i contratti automatici durano poco.

Conclusione

Il sequestro di XSS non è solo un arresto in più: è un attacco diretto al meccanismo di fiducia che sorregge i mercati criminali. Senza escrow, il dark‑web rischia di implodere in micro‑comunità sospettose. E ogni nuova micro‑community sarà, a sua volta, un bersaglio più facile da infiltrare.

Fonti utilizzate per questo articolo

Europol, Reuters, Associated Press, SecurityWeek, Infosecurity‑Magazine, CyberScoop, ReliaQuest, Digital Shadows, Department of Justice (Genesis Market), Trend Micro (Operation Cronos), Europol (Operation Endgame) (AP News, Reuters, CyberScoop, SecurityWeek, Europol, trendmicro.com, Ministero della Giustizia, ReliaQuest)

L'articolo XSS.IS messo a tacere! Dentro l’inchiesta che ha spento uno dei bazar più temuti del cyber‑crime proviene da il blog della sicurezza informatica.

redhotcyber.com/post/xss-is-me…

There are a ton of Bluetooth speakers on the market. Just about none of them have any user-serviceable components or replacement parts available. When they break, they’re dead and gone, and you buy a new one. [Jonathan Mueller-Boruttau] wrote in to tell us about the latest speaker from Teufel Audio, which aims to break this cycle. It’s a commercial product, but the design files have also been open sourced — giving the community the tools to work with and maintain the hardware themselves.

The project is explained by [Jonathan] and [Erik] of Teufel, who were part of the team behind the development of the MYND speaker. The basic idea was to enable end-user maintenance, because the longer something is functioning and usable, the lower its effective environmental footprint is. “That was why it was very important for us that the MYND be very easy to repair,” Erik explains. “Even users without specialist knowledge can replace the battery no problem.” Thus, when a battery dies, the speaker can live on—versus a regular speaker, where the case, speakers, and electronics would all be thrown in the garbage because of a single dead battery. The case was designed to be easy to open with minimal use of adhesives, while electronic components used inside are all readily available commercial parts.

Indeed, you can even make your own MYND if you’re so inclined. Firmware and hardware design files are available on GitHub under the Creative Commons Attribution-ShareAlike 4.0 International (CC BY-SA 4.0) license for those looking to repair their speakers, or replicate them from the ground up. The company developed its own speaker drivers, but there’s nothing stopping you from using off-the-shelf replacements if so desired.

It’s a strategy we expect few other manufacturers to emulate. Overall, as hackers, it’s easy to appreciate a company making a device that’s easy to repair, rather than one that’s designed to frustrate all attempts made. As our own Jenny List proclaimed in 2021—”You own it, you should be able to fix it!” Sage words, then as now!

hackaday.com/2025/07/24/teufel…

Il 22 luglio 2025, Mozilla ha rilasciato Firefox 141, un aggiornamento volto a migliorare la sicurezza del browser. Nell’ambito del Bollettino MFSA 2025-56, sono state risolte 18 vulnerabilità, tra cui errori relativi al motore JavaScript, a WebAssembly, al meccanismo di isolamento degli iframe e alla Content Security Policy (CSP).

A due vulnerabilità è stato assegnato un livello di gravità elevato. La prima, il CVE-2025-8027, è stata scoperta nel compilatore JIT di IonMonkey: su piattaforme a 64 bit, scriveva parzialmente il valore di ritorno, creando le condizioni per un funzionamento errato dello stack e la potenziale esecuzione di codice arbitrario. La seconda, il CVE-2025-8028, riguardava WebAssembly su dispositivi ARM64: un utilizzo non corretto di tabelle di branching di grandi dimensioni poteva portare a istruzioni troncate e a errori nella gestione del flusso di esecuzione.

Altri problemi risolti includono:

• CVE-2025-8042 : Possibilità di avviare download da iframe isolati,
• CVE-2025-8036 : l’attacco di rebinding DNS consente di aggirare la protezione
• CVE-2025-8029 : Esecuzione javascript di link all’interno di specifici tag
• CVE-2025-8039 : Memorizzazione delle query di ricerca nella barra degli indirizzi.

Tre vulnerabilità generalizzate meritano particolare attenzione: CVE-2025-8034 , CVE-2025-8035 e CVE-2025-8040. Combinano diversi errori di gestione della memoria scoperti utilizzando il sistema di fuzzing automatico. Alcune di esse potrebbero essere potenzialmente sfruttate tramite l’esecuzione di codice remoto.

L’aggiornamento si applica a tutte le versioni dei browser supportate, inclusi i canali ESR: Firefox ESR 115.26, 128.13 e 140.1. Correzioni simili sono state implementate in Thunderbird 141. Mozilla sottolinea l’importanza di mantenere il browser aggiornato, soprattutto sulle piattaforme a 64 bit e ARM64. Le vulnerabilità relative alla gestione della memoria e alla compilazione JIT sono classificate come critiche e possono essere utilizzate per compromettere il sistema.

Firefox 141 è disponibile tramite il meccanismo di aggiornamento integrato, il sito web ufficiale di Mozilla e i canali di distribuzione per Windows, macOS e Linux.

L'articolo Firefox 141: rilasciato un aggiornamento critico di Sicurezza proviene da il blog della sicurezza informatica.

Neha Madhira grew up in North Texas with the TV constantly buzzing with world news. Madhira, now 24, recognized that journalism was key to keeping her family informed on the happenings back home in India. But with state-sanctioned violence limiting journalists on the ground from reporting, and few legacy media outlets with reporters that looked like her left to report on it, Madhira also knew there were gaps to be filled.

Nearly a decade later, Madhira is bridging the gaps in Western media’s health and education coverage of the Middle East-North Africa region, South Asia, and their diasporas. The contacts she’s built have allowed her to expand her reporting focus — she recently collaborated with Freedom of the Press Foundation (FPF) on an article for The Intercept featuring testimonials from journalists targeted by the Israeli military.

“In a time where press freedom is definitely in question in the U.S. right now, and censorship on social media and in newsroom settings is even becoming more and more common, it’s really important for me that I stay true to my values of why I started reporting,” Madhira said. “I use freelancing to try my best to cover that gap in reporting when it comes to Western media, and try to cover the communities that I know deserve a platform.”

Madhira first spent years covering breaking news, the COVID-19 pandemic, and the social movements of 2020 for local newsrooms in Austin, Texas, while studying journalism and women’s and gender issues. But with activism movements roaring overseas, coupled with the lack of coverage on the impacts of the pandemic in India, she saw freelancing as an opportunity to cover issues happening in countries that face extreme press censorship for audiences overseas and in the U.S.

“A big part of my job during the pandemic, and even now, is reaching out to health care officials, regardless of what’s happening, to actually see who it’s affecting, why it’s affecting them, and what resources people need,” Madhira said. “If there’s a possibility that that information is being withheld from the public, that becomes a problem. How are we supposed to continue to inform and educate the public on how to stay safe during a pandemic or epidemic if we don’t even have that information to begin with?”

She has built close relationships with journalists on the ground in Iran, Afghanistan, India, Gaza, and the West Bank, relying on their reporting to reach audiences in the U.S. and abroad. Recognizing the privilege she holds, Madhira does her best to ensure their perspectives are reflected in her writing.

“I covered the Woman, Life, Freedom movement in Iran very extensively,” she said. “Two journalists who I really looked up to were arrested around this time last year. I wrote a story on that, and I noticed that a lot of Iranian and Iranian American activists were reaching out to me, appreciating the fact that the story was written, because even writing about their release and the details of how they are doing and how journalism and activism is continuing within the country is a privilege.”

Over the past year and a half, Madhira has covered the medical and humanitarian infrastructure collapses in Gaza and the West Bank, as well as the campus encampments in protest of Israel’s actions, and the shadowy organizations collaborating with the government to identify and persecute students and others who are critical of Israel.

“As we see less and less news coming out of Gaza, I urge people to not look away.”

Neha Madhira

With more than 180 journalists killed by Israel to date, media blackouts, and censorship on social media, Madhira writes to amplify the voices of her colleagues remaining on the ground, including those whose stories she wrote about in The Intercept.

“I have advocated for Palestine since I was a child, and at the beginning of October 2023, I was horrified at the language being used to dehumanize Palestinians,” she said. “As a journalist, I was seeing the gaps in Western media coverage and its support of Israel, and I wanted to help change this narrative in any way I could. As we see less and less news coming out of Gaza, I urge people to not look away and to pay closer attention to passive voice being used to describe the atrocities Palestinians continue to face every day.”

While the stories that Madhira tells are urgent and deserving of immediate attention, communicating with people on the ground in Gaza is a slow, challenging process. “Most of the people I’ve interviewed, whether that be journalists, or medical workers, or humanitarian workers, there is a small gap every single day that they have access to the internet, and we have used that to communicate with each other every single day,” she said. “I continue to do that because their voices are the most important and the most pertinent.”

Reporting from the U.S. on Palestine has not come without its own battles against censorship. Having experienced “shadow banning” that has limited visibility of her social media posts, she said the public must pay attention to the ways social media platforms moderate content to censor certain news, and she calls for users to consume content carefully. By amplifying journalists’ content on social media, independent reporting can reach wider audiences and fight against algorithmic suppression, Madhira added.

“There are a lot more people who are in the dark about what is happening than you would think,” she said. “There are so many nonprofit, independent newsrooms, not only in the U.S., but around the world who do incredible reporting for very little money, and it’s important to pay attention, because these journalists are some of the most skilled and experienced within their field.”

freedom.press/issues/freelanci…