Sygnia segnala che il vettore di attacco iniziale di Fire Ant CVE-2023-34048, sfrutta la vulnerabilità di scrittura fuori dai limiti nell’implementazione del protocollo DCERPC di vCenter Server che consente l’esecuzione di codice remoto non autenticato. I ricercatori di sicurezza hanno identificato arresti anomali sospetti del processo ‘vmdird‘ sui server vCenter, indicando lo sfruttamento di questa vulnerabilità critica.

Dopo aver ottenuto la compromissione, gli autori della minaccia implementano strumenti sofisticati, tra cui lo script open source vCenter_GenerateLoginCookie.py, per falsificare i cookie di autenticazione e aggirare i meccanismi di accesso. Gli aggressori raccolgono sistematicamente le credenziali vpxuser, ovvero account di sistema creati automaticamente da vCenter con privilegi amministrativi completi sugli host ESXi.

Questo furto di credenziali consente lo spostamento laterale nell’intera infrastruttura di virtualizzazione, poiché gli account vpxuser restano esenti dalle restrizioni della modalità di blocco. Gli autori della minaccia sfruttano anche il CVE-2023-20867, una vulnerabilità di VMware Tools che consente l’esecuzione di comandi host-to-guest non autenticati tramite il cmdlet Invoke-VMScript di PowerCLI.

Capacità di persistenza e metodi di evasione

Fire Ant dimostra notevoli capacità di persistenza attraverso molteplici tecniche di distribuzione di backdoor. Il gruppo installa vSphere Installation Bundle (VIB) dannosi con livelli di accettazione impostati su “partner” e distribuiti utilizzando il flag -force per ignorare la convalida della firma. Questi VIB non autorizzati contengono file di configurazione che fanno riferimento a file binari nella cartella ‘/bin‘ e script personalizzati incorporati in ‘/etc/rc.local.d/’ per l’esecuzione all’avvio.

Inoltre, gli aggressori implementano una backdoor HTTP basata su Python denominata autobackup.bin che si collega alla porta 8888 e fornisce funzionalità di esecuzione di comandi remoti. Questo malware modifica ‘/etc/rc.local.d/local.sh’ sugli host ESXi per un’esecuzione persistente. Per eludere ulteriormente il rilevamento, Fire Ant termina il processo vmsyslogd, il demone syslog nativo di VMware, disabilitando di fatto sia la scrittura dei log locali che l’inoltro dei log remoti.

Gli autori della minaccia dimostrano sofisticate capacità di manipolazione della rete compromettendo i bilanciatori di carico F5 tramite lo sfruttamento CVE-2022-1388 e distribuendo webshell su ‘ /usr/local/www/xui/common/css/css.php ‘ per il bridging di rete. Utilizzano webshell di tunneling Neo-reGeorg su server web interni basati su Java e distribuiscono il rootkit Medusa su punti pivot Linux per la raccolta delle credenziali e l’accesso persistente.

Fire Ant utilizza i comandi netsh portproxy per l’inoltro delle porte attraverso endpoint attendibili, aggirando di fatto gli elenchi di controllo degli accessi e le restrizioni del firewall. Il gruppo sfrutta inoltre il traffico IPv6 per aggirare le regole di filtraggio incentrate su IPv4, dimostrando una conoscenza approfondita degli ambienti di rete dual-stack e delle comuni lacune di sicurezza nelle infrastrutture organizzative.

Le organizzazioni devono dare urgentemente priorità alla protezione dei propri ambienti VMware tramite l’applicazione completa di patch, un monitoraggio avanzato delle attività dell’hypervisor e l’implementazione di funzionalità di rilevamento avanzate che vadano oltre le tradizionali soluzioni di sicurezza degli endpoint.

L'articolo Fire Ant all’attacco: come un bug in vCenter apre le porte all’inferno IT proviene da il blog della sicurezza informatica.

FOR IMMEDIATE RELEASE:

Today, Freedom of the Press Foundation (FPF), represented by nonpartisan watchdog American Oversight, filed a Freedom of Information Act suit against the Department of Justice in the U.S. District Court for the District of Columbia for failing to release a legal memorandum that reportedly justified the Trump administration’s acceptance of a $400 million jet gifted by the Qatari government in May.

The luxury aircraft — set to be retrofitted for use as Air Force One to the tune of hundreds of millions of U.S. taxpayer dollars and later transferred to President Donald Trump’s private foundation — has raised serious legal and ethical concerns. Multiple experts and lawmakers from both parties have raised questions about whether accepting such a gift from a foreign government violates the Constitution’s Foreign Emoluments Clause and federal ethics rules. Additionally, while Trump claims Qatar reached out and offered the jet as a “gift” to him, media reports the opposite is true — his administration approached Qatar.

“It shouldn’t take 620 days to release a single, time-sensitive document,” said Lauren Harper, Freedom of the Press Foundation’s Daniel Ellsberg chair on government secrecy. “How many flights could Trump have taken on his new plane in the same amount of time it would have taken the DOJ to release this one document? The government’s inability to administer FOIA makes it too easy for agencies to keep secrets, and nonexistent disclosure rules around donations to presidential libraries provide easy cover for bad actors and potential corruption.”

“President Trump’s deal to take a $400 million luxury jet from a foreign government deserves full public scrutiny — not a stiff-arm from the Department of Justice,” said Chioma Chukwu, executive director of American Oversight, which is representing FPF in its litigation. “This is precisely the kind of corrupt arrangement that public records laws are designed to expose. The DOJ cannot sit on its hands and expect the American people to wait years for the truth while serious questions about corruption, self-dealing, and foreign influence go unanswered.”

The May 2025 memorandum, reportedly signed by Attorney General Pam Bondi, who previously lobbied on behalf of the Qatari government, purportedly concluded that the Trump administration’s acceptance of the jet was legally permissible. The administration accepted the jet just days later. The circumstances surrounding the jet deal, including reports that the transaction may have been initiated by the Trump administration and that it followed a lucrative Trump private business arrangement in Qatar, have only heightened calls for transparency.

News that the luxury jet will be donated to Trump’s private presidential library foundation after he is no longer in office follows reports that ABC News and Paramount, which was seeking government approval for a merger with Skydance, resolved litigation with President Trump by agreeing to multimillion-dollar payouts to the foundation.

FPF submitted its FOIA request for the Bondi memo on May 15. Although the DOJ granted expedited processing, the department informed FPF that the estimated time for fulfilling the request was more than 600 days. As of today, the DOJ has failed to release any responsive records or provide a further timeline for production.

Please contact us if you would like further comment.

freedom.press/issues/fpf-sues-…

We’ve often thought that it must be harder than ever to learn about computers. Every year, there’s more to learn, so instead of making the gentle slope from college mainframe, to Commodore 64, to IBM PC, to NVidia supercomputer, you have to start at the end. But, really, you don’t. You can always emulate computers from simpler times, and even if you don’t need to, it can be a lot of fun.

That’s the idea behind the MonTana mini-computer. It combines “…ideas from the PDP-11, MIPS, Scott CPU, Game Boy, and JVM to make a relatively simple 16-bit computer…”

The computer runs on Java, so you can try it nearly anywhere. The console is accessed through a web browser and displays views of memory, registers, and even something that resembles a Game Boy screen. You’ll need to use assembly language until you write your own high-level language (we’d suggest Forth). There is, however, a simple operating system, MTOS.

This is clearly made for use in a classroom, and we’d love to teach a class around a computer like this. The whole thing reminds us of a 16-bit computer like the PDP-11 where everything is a two-byte word. There are only 4K bytes of memory (so 2K words). However, you can accomplish a great deal in that limited space. Thanks to the MTOS API, you don’t have to worry about writing text to the screen and other trivia.

It looks like fun. Let us know what you’ll use it for. If you want to go down a level, try CARDIAC. Or skip ahead a little, and teach kids QBasic.

hackaday.com/2025/07/28/learn-…

Sollicciano, un piccolo centro di tortura nel verde, alle porte di Firenze.

Da sabato scorso è completamente allagato il reparto destinato ai detenuti con gravi disturbi psichiatrici (“Articolazione tutela salute mentale, ATSM”), sia al piano superiore, dove ci sono le celle, che a quello inferiore, dove si svolgono le attività riabilitative. Per giorni i detenuti sono stati chiusi in cella, senza poter uscire per attività e momenti di socialità

L’avvocato Enrico Helmut Vincenzini è osservatore delle carceri toscane e lombarde per l’associazione Antigone [...] "È una specie di grotta: le pareti trasudano acqua. Sono entrato in una cella della sesta sezione dove il muro del bagno era nero e schiumava sostanze bianche".

in molti reparti c’è un problema di cimici dei letti, nella struttura ci sono anche frequenti infiltrazioni, perdite d’acqua e umidità (anche se non dell’attuale entità), topi e sporcizia.

The next “Brandung-Live” will be on 27.07.2025 at 20.00h CEST/DST.

News from Potsdam, Brandenburg, the Pirates of Germany and international news – in German.

If you want to join the conversation, just contact info@PiratesOnAir.net.

piratesonair.net/brandung-live…