(...con qualche bonus aggiuntivo!)

Ok, a preparare questa ci ho messo un po'.

Con Lens, Google ha accentrato tante funzioni in una sola app, rendendosi ancora più "indispensabile" e garantendosi virtualmente l'accesso a una quantità smisurata di dati dei suoi utenti ("cerca quello che vedi", come recita il motto, o piuttosto "fai vedere a Google quello che vedi"?)

Le funzioni di Lens sono così tante che per sostituirle bisogna ricorrere a diverse app*. Ne ho testate molte negli ultimi mesi, ma non tutte estensivamente.
Tra le miriadi di app disponibili, ho dato la preferenza a quelle open source, poi a quelle comunque prive di tracker.

*) Mi limito alle app Android, non potendo testare quelle per iOs. Quelle presenti sul Play Store potrebbero essere presenti anche sull'App Store Apple.

NOTA: so che esistono molte app che emulano tutte le funzioni di Lens... purtroppo, sono tutte piene zeppe di tracker (vedi anche l'ultimo punto).

NOTA 2: alcune app open source vanno installate da F-Droid (installare il pacchetto da f-droid.org/) oppure installando il pacchetto apk a mano (non si avranno aggiornamenti automatici).

-- RICONOSCIMENTO TESTI da immagine (OCR) --

Arriva subito il primo bonus!
Infatti, la migliore soluzione open source per estrarre testo da un'immagine è inclusa in un'app di scansione (ed è perciò un'ottima ALTERNATIVA alle app più usate a questo scopo, come CamScanner, che contiene ben 13 tracker!)

Si tratta di [1] OSS Document Scanner [Play Store, FDroid (repo izzysoft)], un'app ricchissima di funzionalità e opzioni (tra cui la sincronizzazione delle cartelle), in grado di acquisire documenti in modo completamente automatico. Dopo la scansione, si può usare la funzione di riconoscimento (OCR) per estrarre in modo affidabile tutto il testo, che può poi essere incollato.

-- TRADUZIONE (anche da immagine) --

L'opzione open source è senza dubbio [2] Traduttore You (Translate You) [F-Droid].
App molto snella e funzionale, che può sfruttare molti motori di traduzione liberi e proprietari (vanno impostati nelle preferenze).
Nella mia esperienza, quello che funziona meglio è LaraTranslate, qui utilizzato anonimamente tramite l'app: le traduzioni sono potenziate da AI e sono tra le migliori, inoltre riconosce anche parole spezzate da trattini e a capi e altri errori dovuti a riconoscimento testi.
A proposito, l'app può estrarre e tradurre direttamente da foto: per farlo, bisogna però configurare le lingue nelle impostazioni, scaricando i dati di quelle che si desidera usare. I nomi dei pacchetti sono poco intuitivi, comunque le prime lettere indicano la lingua.
L'app fornisce anche una voce nel menu contestuale (di altre app): per esempio, selezionando del testo in un browser si avrà l'opzione di tradurlo con Traduttore You.
Se l'OCR interno non dovesse funzionare, consiglio di scansionare il testo con l'app OSS Document Scanner, copiarlo e incollarlo in Traduttore You.
Sito (github)

Per avere una soluzione integrata di queste prime due funzionalità e un'esperienza più vicina a quella di Google Lens, consiglio invece [3] DeepL Traduttore [Play Store].
L'app è proprietaria e utilizza 2 tracker (ma sono tra i più "innocui"*). In generale è un buon compromesso tra privacy e usabilità, anche se per alcune funzioni più avanzate (e anche per utilizzare l'app oltre un certo numero di caratteri) è richiesto l'acquisto della versione Pro. Se lavorate molto con le traduzioni da immagine, o utilizzate molto questo tipo di servizio, forse vale la pena consultare i loro piani a pagamento.

*) OpenTelemetry e Sentry

-- SCANSIONE CODICI QR --

Secondo bonus!
Infatti, ormai è comune includere la funzione di scansione codici direttamente nell'app fotocamera, ma... puoi fidarti di quella del tuo telefono?
Sicuramente affidabile è [4] Secure Camera [Play Store], l'app sviluppata per Graphene OS, che pur non essendo open source è totalmente priva di traccianti e pubblicità, oltre ad essere un'app fotocamera eccellente e piena di funzioni. Tra cui, proprio quella di scansionare codici QR!

Per chi invece vuole un'app indipendente, consiglio [5] QR Scanner (PFA) [F-Droid], una delle app open source e privacy-friendly sviluppate dal gruppo di ricerca SECUSO all'Università Tecnica di Darmstadt (hanno un account su Bluesky e uno sul Fediverso/Mastodon: @SECUSO_Research@bawü.social).

-- RICONOSCIMENTO PIANTE --

Per questa funzione consiglio vivamente [6] Flora Incognita [Play Store], nata all'interno di un progetto di ricerca per la conservazione della natura, a cura dell'Università Tecnica di Ilmenau e dell'Istituto Max Planck di Jena. Ben tradotta in italiano, priva di traccianti e di pubblicità, rende facilissimo riconoscere fiori e piante di tutti i tipi e tener traccia delle proprie osservazioni.
Il progetto è presente sia sui social commerciali che sul Fediverso (anche se l'account Mastodon @Flora Incognita (EN) non sembra attivo).

-- RICONOSCIMENTO ANIMALI --

Per riconoscere gli animali ho trovato [7] Animal Identifier: AI Scanner [Play Store], un'app priva di traccianti e tradotta in italiano, che fornisce un'interfaccia stile AI bot con cui chattare dopo aver scattato una foto. C'è un limite giornaliero di 2 identificazioni (sbloccabile passando alla versione Premium).

Un'altra possibilità senza traccianti è [8] Animal Identifier - iSpecies [Play Store], con un limite di 3 identificazioni al giorno e un'interfaccia più tradizionale, che include una estesa libreria di schede informative su tutti i tipi di animali.
Unica pecca: non è tradotta in italiano e anche le informazioni sugli animali sono in inglese, ma si può ovviare a questo gap linguistico scorrendo la scheda fino in fondo, premendo l'icona di Wikipedia (Read More) e successivamente cambiando la lingua su italiano nella pagina di Wikipedia che si apre.

Se invece vogliamo un accesso illimitato, dobbiamo utilizzar app più specifiche, come ad esempio [9] Uccelli Riconoscere - Bird ID (Bird Identifier) [Play Store], un'ottima app priva di tracker e di pubblicità in grado di riconoscere gli uccelli non solo a partire da fotografie, ma anche dal canto!
L'unica pecca è la traduzione italiana ancora molto incompleta...

Ecco infatti il terzo bonus: Google Lens è limitato alle immagini, mentre l'app che ho citato può riconoscere anche il canto degli uccelli.
Un'app open source, con un buon supporto linguistico italiano, dedicata al riconoscimento del canto degli uccelli è [10] whoBIRD [F-Droid],
caratterizzata da un'interfaccia minimalista e no-click (riconosce al volo appena aperta l'app). Sicuramente la più immediata da usare e la più pratica per chi ne fa un utilizzo intensivo.
Ancora una buona alternativa per chi usa solo il Play Store: [11] BirdNET [Play Store], un po' più macchinosa da usare ma anche molto precisa, perché consente di selezionare il canto degli uccelli nello spettro del suono registrato. Senza traccianti e completamente tradotta in italiano.

-- RICONOSCIMENTO MINERALI --

Ho trovato un'app che mi sembra funzioni, anche se non l'ho testata esaustivamente.
È solo in inglese, ma non ha traccianti.
Eccola: [12] Rock Identifier - Rockr [Play Store]

-- RICONOSCIMENTO FUNGHI --

NO. Enne-o.
Cioè, anche GPT4 si rifiuta di riconoscere i funghi.
Ho provato un'app, ma ne ha sbagliati più della metà.
Perciò, i funghi fateli vedere da un esperto.

-- PIATTI NEL MENU --

Una delle funzioni più apprezzate di Lens è quella di darci informazioni sui piatti presenti nei menu (e mostrarci come potrebbero presentarsi).
Posto che io preferisco sempre chiedere consiglio al personale di sala, esiste [13] PicMenu.co, una webapp open source basata su Together AI in grado di fare la stessa cosa. O almeno così dicono... non l'ho testata.
Nulla da installare: basta aprire la pagina sul proprio browser.

-- ESPRESSIONI MATEMATICHE --

In questo caso vi propongo una vera e propria "istituzione": [14] Wolphram Alpha [Play Store], uno dei motori di "intelligenza computazionale" più noti del web.
È disponibile sia come web app (direttamente dal browser) che come app installabile, e in questo caso offre anche la possibilità di input fotografico. Purtroppo, è una feature a pagamento (e i prezzi non sono bassi)... Ma già con la versione gratuita è possibile avere un grande aiuto introducendo le espressioni a mano.
L'app è priva di traccianti.
App web: wolframalpha.com/

E se invece volete proprio il riconoscimento da foto, vi suggerisco di andare direttamente con la prossima opzione...

-- TUTTO IL RESTO --

Ok, resta l'ultima possibilità (almeno per quanto mi riguarda).
Visto che si tratta di modelli IA, a questo puinto chiediamo direttamente a un LLM... il che, a mio modo di vedere, significa usare [15] Duck.ai.
Non ChatGPT (o MetaAI, Copilot, Grok, Claude...), cioè non attraverso la loro app, che comporta la creazione di un account. Una chat con un LLM fornisce un sacco di informazioni su di noi, ed è meglio che rimangano in locale.
Duck.ai si apre nel browser. Si può scegliere tra molti modelli (ecco l'ultimo bonus!), tutte le chat restano in locale, possono essere conservate ma anche cancellate per sempre.
GPT4o, nella fattispecie, accetta input in forma di foto ed è in grado di estrarne il testo, incluse le formule matematiche, e aiutarci passo passo nella soluzione di problemi (io comunque insisto che prima bisogna provare a ragionare con la nostra testa...). Può anche aiutarci a identificare luoghi, monumenti, oggetti e prodotti, anche se non può fornire link diretti a shop online.

E così, mi sembra ce ne sia per tutti...

[Ok, ok, allora, se proprio volete il tool unico e mi state suggerendo Perplexity, vi avviso che ha 2 tracker di Google e un punteggio di privacy di 7/10 secondo Exodus. È vero che gran parte delle altre app di AI-powered-search stanno a 0/10, ma io raramente scendo sotto il 9/10, perciò...]

#degoogle #degafam #google #lens #googlelens #AI #reverseimagesearch #traduzione #OCR #tracker #trackerfree #lookup #identifier

Have you ever been out and about and needed to make a check against INT, WIS or CON but not had a die handy? Sure, you could use an app on your phone, but who knows what pseudorandom nonsense that’s getting up to. [Lazy Hovercraft] has got the solution with his new site RealDice.org, which, well, rolls real dice.

Well, one die, anyway. The webpage presents a button to roll a single twenty-sided die, or “Dee-Twenty” as the cool kids are calling it these days. The rolling is provided by a unit purchased from Amazon that spins the die inside a plastic bubble, similar to this unit we covered back in 2020. (Alas for fans of the venerable game Trouble, it does not pop.) The die spinner’s button has been replaced by a relay, which is triggered from the server whenever a user hits the “roll” button.

You currently have to look at the camera feed with your own eyes to learn what number was rolled, but [Lazy Hovercraft] assures us that titanic effort will be automated once he trains up the CVE database. To that end you are encouraged to help build the dataset by punching in what number is shown on the die.

This is a fun little hack to get some physical randomness, and would be great for the sort of chatroom tabletop gaming that’s so common these days. It may also become the new way we select the What’s That Sound? winners on the Hackaday Podcast.

Before sitting down for a game session, you might want to make sure you’re all using fair dice. No matter how fair the dice, its hard to beat quantum phenomena for random noise.

hackaday.com/2025/08/29/no-die…

Gli scienziati cinesi hanno presentato un lanciatore spaziale compatto, inizialmente progettato per rimuovere pericolosi detriti spaziali, ma che potrebbe potenzialmente essere utilizzato come arma. Il progetto è stato ideato da ingegneri di Nanchino, Shanghai e Shenyang e i risultati sono stati pubblicati sulla rivista peer-reviewed Acta Aeronautica et Astronautica Sinica.

ezstandalone.cmd.push(function () { ezstandalone.showAds(604); });
Il sistema si basa sul principio dell’espulsione della polvere da sparo, noto in Cina fin dal IX secolo, ma rielaborato per l’era spaziale. A differenza delle armi convenzionali, che creano lampi, vibrazioni e nuvole di fumo, il nuovo sistema funziona in modo silenzioso e pulito: niente luce, niente fumo e quasi nessuna vibrazione. Ciò è stato reso possibile da un meccanismo a gas chiuso con assorbimento di energia.

Quando viene sparato, una piccola carica crea un gas ad alta pressione che spinge un pistone. Una sezione appositamente indebolita del corpo collassa a una certa pressione, rilasciando il proiettile. All’uscita, incontra un anello piegato a un angolo di 35°, che smorza l’energia principale e le vibrazioni deformandosi verso l’interno. Di conseguenza, il rinculo scompare quasi completamente e il gas rimane bloccato all’interno, eliminando la contaminazione dell’orbita.

ezstandalone.cmd.push(function () { ezstandalone.showAds(612); });
Secondo gli autori, l’angolo di 35° si è rivelato ottimale: ha ridotto la forza di rinculo massima di oltre il 9% rispetto ai 20° e ha limitato lo spostamento della canna a soli 3,45 mm. Questo è fondamentale per i veicoli spaziali, dove vibrazioni o flare eccessivi possono danneggiare gli strumenti sensibili e ridurre la riserva di energia.

A differenza dei cannoni elettromagnetici a rotaia, che richiedono enormi alimentatori, superconduttori e complessi sistemi di raffreddamento, la nuova installazione non richiede alimentazione esterna, è facile da manutenere e può essere prodotta in serie in fabbriche convenzionali.

La missione principale del dispositivo è catturare un detrito utilizzando una capsula con una rete espandibile, fissarlo e trascinarlo nell’atmosfera, dove brucerà. Tuttavia, gli esperti ammettono che con piccole modifiche, il sistema potrebbe disattivare i satelliti nemici, privandoli di comunicazioni o informazioni, senza esplosioni o attacchi visibili, che potrebbero apparire come un semplice guasto.

ezstandalone.cmd.push(function () { ezstandalone.showAds(613); });
Non è noto se lo sviluppo abbia raggiunto la fase di applicazione pratica. È noto che il responsabile del progetto, il professore associato dell’Università di Scienza e Tecnologia di Nanchino Yue Shuai, è specializzato nella dinamica e nel controllo delle armi spaziali e ha già due sistemi operativi in orbita.

Sebbene il Trattato sullo spazio extra-atmosferico del 1967 proibisca l’impiego di armi nucleari e richieda l’uso pacifico dei corpi celesti, non vieta esplicitamente i sistemi cinetici convenzionali, tra cui questo dispositivo.

L'articolo Lanciato in Cina un sistema spaziale compatto per rimuovere detriti spaziali proviene da il blog della sicurezza informatica.

È stato scoperto che RubyGems conteneva 60 pacchetti dannosi che si spacciavano per strumenti innocui per l’automazione di social network, blog e servizi di messaggistica. I codici malevoli rubavano le credenziali degli utenti e sono state scaricate più di 275.000 volte da marzo 2023. Gli esperti di Socket, che hanno individuato la campagna, riferiscono che i pacchetti erano rivolti principalmente agli utenti sudcoreani che utilizzano strumenti di automazione per lavorare con TikTok, X, Telegram, Naver, WordPress, Kakao e così via.

ezstandalone.cmd.push(function () { ezstandalone.showAds(604); });
L’elenco completo dei pacchetti dannosi è disponibile nel rapporto Socket. Di seguito sono riportati esempi di typosquatting utilizzati dagli aggressori.

• Automazione di WordPress: wp_posting_duo, wp_posting_zon.ezstandalone.cmd.push(function () { ezstandalone.showAds(612); });
• Bot per Telegram: tg_send_duo, tg_send_zon.
• Strumenti SEO per i backlink: backlink_zon, back_duo.
• Strumenti per piattaforme di blogging: nblog_duo, nblog_zon, tblog_duopack, tblog_zon.ezstandalone.cmd.push(function () { ezstandalone.showAds(613); });
• Strumenti di Naver Café: cafe_basics[_duo], cafe_buy[_duo], cafe_bey, *_blog_comment, *_cafe_comment.

Il malware è stato pubblicato su RubyGems.org con i nomi di diversi editori: zon, nowon, kwonsoonje e soonje. La distribuzione delle attività dannose su più account ha reso difficile tracciare e bloccare gli attacchi.

Si sottolinea che tutto i 60 pacchetti avevano un’interfaccia grafica apparentemente plausibile e implementavano le funzionalità dichiarate. Allo stesso tempo, però, tutti i dati inseriti dalle vittime nei moduli di accesso venivano trasmessi agli indirizzi hard-coded dei server degli aggressori (programzon[.]com, appspace[.]kr, marketingduo[.]co[.]kr).

ezstandalone.cmd.push(function () { ezstandalone.showAds(614); });
In alcuni casi, gli strumenti mostravano anche messaggi di errore o di successo, anche se in realtà non avevano eseguito alcuna richiesta di accesso o API. Di conseguenza, agli autori del malware sono stati forniti login e password in chiaro, indirizzi MAC dei dispositivi (per l’impronta digitale) e nomi di pacchetti dannosi (per monitorare l’efficacia della campagna). I ricercatori affermano di aver trovato i dati rubati in vendita sui mercati darknet in lingua russa.

Il rapporto rileva che almeno 16 dei 60 pacchetti dannosi sono ancora disponibili per il download, nonostante Socket abbia notificato al team di RubyGems tutti i pacchetti dannosi. Gli esperti ricordano agli sviluppatori di controllare sempre attentamente i pacchetti provenienti da repository open source per individuare codice sospetto (ad esempio offuscamento), di considerare la reputazione e la cronologia delle versioni dell’autore e di affidarsi a versioni già testate e note per essere sicure.

L'articolo 60 Gems Dannose su RubyGems: Furto di Credenziali con Typosquatting proviene da il blog della sicurezza informatica.

If a system is popular with users, you can bet it’s just as popular with cybercriminals. Although Windows still dominates, second place belongs to macOS. And this makes it a viable target for attackers.

With various built-in protection mechanisms, macOS generally provides a pretty much end-to-end security for the end user. This post looks at how some of them work, with examples of common attack vectors and ways of detecting and thwarting them.

Overview of macOS security mechanisms

Let’s start by outlining the set of security mechanisms in macOS with a brief description of each:

1. Keychain – default password manager
2. TCC – application access control
3. SIP – ensures the integrity of information in directories and processes vulnerable to attacks
4. File Quarantine – protection against launching suspicious files downloaded from the internet
5. Gatekeeper – ensures only trusted applications are allowed to run
6. XProtect – signature-based anti-malware protection in macOS
7. XProtect Remediator – tool for automatic response to threats detected by XProtect

Keychain

Introduced back in 1999, the password manager for macOS remains a key component in the Apple security framework. It provides centralized and secure storage of all kinds of secrets: from certificates and encryption keys to passwords and credentials. All user accounts and passwords are stored in Keychain by default. Access to the data is protected by a master password.

Keychain files are located in the directories ~/Library/Keychains/, /Library/Keychains/ and /Network/Library/Keychains/. Besides the master password, each of them can be protected with its own key. By default, only owners of the corresponding Keychain copy and administrators have access to these files. In addition, the files are encrypted using the reliable AES-256-GCM algorithm. This guarantees a high level of protection, even in the event of physical access to the system.

However, attacks on the macOS password manager still occur. There are specialized utilities, such as Chainbreaker, designed to extract data from Keychain files. With access to the file itself and its password, Chainbreaker allows an attacker to do a local analysis and full data decryption without being tied to the victim’s device. What’s more, native macOS tools such as the Keychain Access GUI application or the /usr/bin/security command-line utility can be used for malicious purposes if the system is already compromised.

So while the Keychain architecture provides robust protection, it is still vital to control local access, protect the master password, and minimize the risk of data leakage outside the system. Below is an example of a Chainbreaker command:

python -m chainbreaker -pa test_keychain.keychain -o output

As mentioned above, the security utility can be used for command line management, specifically the following commands:

• security list-keychains – displays all available Keychain files

Keychain files available to the user

• security dump-keychain -a -d – dumps all Keychain files

Keychain file dump

• security dump-keychain ~/Library/Keychains/login.keychain-db – dumps a specific Keychain file (a user file is shown as an example)

To detect attacks of this type, you need to configure logging of process startup events. The best way to do this is with the built-in macOS logging tool, ESF. This allows you to collect necessary events for building detection logic. Collection of necessary events using this mechanism is already implemented and configured in Kaspersky Endpoint Detection and Response (KEDR).

Among the events necessary for detecting the described activity are those containing the security dump-keychain and security list-keychains commands, since such activity is not regular for ordinary macOS users. Below is an example of an EDR triggering on a Keychain dump event, as well as an example of a detection rule.

Example of an event from Kaspersky EDR

Sigma:
title: Keychain access
description: This rule detects dumping of keychain
tags:
- attack.credential-access
- attack.t1555.001
logsource:
category: process_creation
product: macos
detection:
selection:
cmdline: security
cmdline:
-list-keychains
-dump-keychain
condition: selection
falsepositives:
- Unknow
level: medium

SIP

System Integrity Protection (SIP) is one of the most important macOS security mechanisms, which is designed to prevent unauthorized interference in critical system files and processes, even by users with administrative rights. First introduced in OS X 10.11 El Capitan, SIP marked a significant step toward strengthening security by limiting the ability to modify system components, safeguarding against potential malicious influence.

The mechanism protects files and directories by assigning special attributes that block content modification for everyone except trusted system processes, which are inaccessible to users and third-party software. In particular, this makes it difficult to inject malicious components into these files. The following directories are SIP-protected by default:

• /System
• /sbin
• /bin
• /usr (except /usr/local)
• /Applications (preinstalled applications)
• /Library/Application Support/com.apple.TCC

A full list of protected directories is in the configuration file /System/Library/Sandbox/rootless.conf. These are primarily system files and preinstalled applications, but SIP allows adding extra paths.

SIP provides a high level of protection for system components, but if there is physical access to the system or administrator rights are compromised, SIP can be disabled – but only by restarting the system in Recovery Mode and then running the csrutil disable command in the terminal. To check the current status of SIP, use the csrutil status command.

Output of the csrutil status command

To detect this activity, you need to monitor the csrutil status command. Attackers often check the SIP status to find available options. Because they deploy csrutil disable in Recovery Mode before any monitoring solutions are loaded, this command is not logged and so there is no point in tracking its execution. Instead, you can set up SIP status monitoring, and if the status changes, send a security alert.

Example of an event from Kaspersky EDR

Sigma:
title: SIP status discovery
description: This rule detects SIP status discovery
tags:
- attack.discovery
- attack.t1518.001
logsource:
category: process_creation
product: macos
detection:
selection:
cmdline: csrutil status
condition: selection
falsepositives:
- Unknow
level: low

TCC

macOS includes the Transparency, Consent and Control (TCC) framework, which ensures transparency of applications by requiring explicit user consent to access sensitive data and system functions. TCC is structured on SQLite databases (TCC.db), located both in shared directories (/Library/Application Support/com.apple.TCC/TCC.db) and in individual user directories (/Users/<username>/Library/Application Support/com.apple.TCC/TCC.db).

Contents of a table in the TCC database

The integrity of these databases and protection against unauthorized access are implemented using SIP, making it impossible to modify them directly. To interfere with these databases, an attacker must either disable SIP or gain access to a trusted system process. This renders TCC highly resistant to interference and manipulation.

TCC works as follows: whenever an application accesses a sensitive function (camera, microphone, geolocation, Full Disk Access, input control, etc.) for the first time, an interactive window appears with a request for user confirmation. This allows the user to control the extension of privileges.

TCC access permission window

A potential vector for bypassing this mechanism is TCC Clickjacking – a technique that superimposes a visually altered window on top of the permissions request window, hiding the true nature of the request. The unsuspecting user clicks the button and grants permissions to malware. Although this technique does not exploit TCC itself, it gives attackers access to sensitive system functions, regardless of the level of protection.

Example of a superimposed window

Attackers are interested in obtaining Full Disk Access or Accessibility rights, as these permissions grant virtually unlimited access to the system. Therefore, monitoring changes to TCC.db and managing sensitive privileges remain vital tasks for ensuring comprehensive macOS security.

File Quarantine

File Quarantine is a built-in macOS security feature, first introduced in OS X 10.5 Tiger. It improves system security when handling files downloaded from external sources. This mechanism is analogous to the Mark-of-the-Web feature in Windows to warn users of potential danger before running a downloaded file.

Files downloaded through a browser or other application that works with File Quarantine are assigned a special attribute (com.apple.quarantine). When running such a file for the first time, if it has a valid signature and does not arouse any suspicion of Gatekeeper (see below), the user is prompted to confirm the action. This helps prevent running malware by accident.

Example of file attributes that include the quarantine attribute

To get detailed information about the com.apple.quarantine attribute, use the xattr -p com.apple.quarantine <File name> command. The screenshot below shows an example of the output of this command:

• 0083 – flag for further Gatekeeper actions
• 689cb865 – timestamp in hexadecimal format (Mac Absolute Time)
• Safari – browser used to download the file
• 66EA7FA5-1F9E-4779-A5B5-9CCA2A4A98F5 – UUID attached to this file. This is needed to database a record of the file

Detailed information about the com.apple.quarantine attribute

The information returned by this command is stored in a database located at ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2, where it can be audited.

Data in the com.apple.LaunchServices.QuarantineEventsV2 database

To avoid having their files quarantined, attackers use various techniques to bypass File Quarantine. For example, files downloaded via curl, wget or other low-level tools that are not integrated with File Quarantine are not flagged with the quarantine attribute.

Bypassing quarantine using curl

It is also possible to remove the attribute manually using the xattr -d com.apple.quarantine <filename> command.

Removing the quarantine attribute

If the quarantine attribute is successfully removed, no warning will be displayed when the file is run, which is useful in social engineering attacks or in cases where the attacker prefers to execute malware without the user’s knowledge.

Running a file without a File Quarantine check

To detect this activity, you need to monitor execution of the xattr command in conjunction with -d and com.apple.quarantine, which implies removal of the quarantine attribute. In an incident related to macOS compromise, also worth investigating is the origin of the file: if it got onto the host without being flagged by quarantine, this is an additional risk factor. Below is an example of an EDR triggering on a quarantine attribute removal event, as well as an example of a rule for detecting such events.

Example of an event from Kaspersky EDR

Sigma:
title: Quarantine attribute removal
description: This rule detects removal of the Quarantine attribute, that leads to avoid File Quarantine
tags:
- attack.defense-evasion
- attack.t1553.001
logsource:
category: process_creation
product: macos
detection:
selection:
cmdline: xattr -d com.apple.quarantine
condition: selection
falsepositives:
- Unknow
level: high

Gatekeeper

Gatekeeper is a key part of the macOS security system, designed to protect users from running potentially dangerous applications. First introduced in OS X Leopard (2012), Gatekeeper checks the digital signature of applications and, if the quarantine attribute (com.apple.quarantine) is present, restricts the launch of programs unsigned and unapproved by the user, thus reducing the risk of malicious code execution.

The spctl utility is used to manage Gatekeeper. Below is an example of calling spctl to check the validity of a signature and whether it is verified by Apple:

Spctl -a -t exec -vvvv <path to file>

Checking an untrusted file using spctl

Checking a trusted file using spctl

Gatekeeper requires an application to be:

• either signed with a valid Apple developer certificate,
• or certified by Apple after source code verification.

If the application fails to meet these requirements, Gatekeeper by default blocks attempts to run it with a double-click. Unblocking is possible, but this requires the user to navigate through the settings. So, to carry out a successful attack, the threat actor has to not only persuade the victim to mark the application as trusted, but also explain to them how to do this. The convoluted procedure to run the software looks suspicious in itself. However, if the launch is done from the context menu (right-click → Open), the user sees a pop-up window allowing them to bypass the block with a single click by confirming their intention to use the application. This quirk is used in social engineering attacks: malware can be accompanied by instructions prompting the user to run the file from the context menu.

Example of Chropex Adware using this technique

Let’s take a look at the method for running programs from the context menu, rather than double-clicking. If we double-click the icon of a program with the quarantine attribute, we get the following window.

Running a program with the quarantine attribute by double-clicking

If we run the program from the context menu (right-click → Open), we see the following.

Running a program with the quarantine attribute from the context menu

Attackers with local access and administrator rights can disable Gatekeeper using the spctl –master disable or --global-disable command.

To detect this activity, you need to monitor execution of the spctl command with parameters –master disable or --global-disable, which disables Gatekeeper. Below is an example of an EDR triggering on a Gatekeeper disable event, as well as an example of a detection rule.

Example of an Kaspersky EDR event

Sigma:
title: Gatekeeper disable
description: This rule detects disabling of Gatekeeper
tags:
- attack.defense-evasion
- attack.t1562.001
logsource:
category: process_creation
product: macos
detection:
selection:
cmdline: spctl
cmdline:
- '--master-disable'
- '--global-disable'
condition: selection

Takeaways

The built-in macOS protection mechanisms are highly resilient and provide excellent security. That said, as with any mature operating system, attackers continue to adapt and search for ways to bypass even the most reliable protective barriers. In some cases when standard mechanisms are bypassed, it may be difficult to implement additional security measures and stop the attack. Therefore, for total protection against cyberthreats, use advanced solutions from third-party vendors. Our Kaspersky EDR Expert and Kaspersky Endpoint Security detect and block all the threats described in this post. In addition, to guard against bypassing of standard security measures, use the Sigma rules we have provided.

securelist.com/macos-security-…

WIRobotics ha presentato la parte superiore del suo primo robot umanoide multiuso , ALLEX, presso il Robot Innovation Hub della Korea University of Technology and Education. Il nome sta per “ALL-EXperience” e gli sviluppatori sottolineano che la macchina non solo è in grado di riconoscere immagini e controllare la propria posizione nello spazio, ma anche di rispondere a influenze fisiche reali: forza, tocco, impatto. Questo rende ALLEX un passo avanti rispetto ai modelli esistenti, poiché dimostra un comportamento simile a quello umano.

ezstandalone.cmd.push(function () { ezstandalone.showAds(604); });
La caratteristica principale del progetto è una nuova mano con un elevato grado di mobilità. Ha dimensioni paragonabili a quelle di una mano umana ed è dotata di 15 gradi di libertà, il che garantisce movimenti precisi e un’ampia gamma di compiti. Allo stesso tempo, la mano è in grado di rilevare sforzi di soli 100 grammi di forza anche senza sensori tattili. L’errore nel posizionamento ripetuto della punta delle dita non supera 0,3 mm e la forza di compressione raggiunge i 40 Newton, consentendole di sollevare oltre 30 kg su un gancio: questo è uno dei migliori indicatori tra i manipolatori antropomorfi ad alta mobilità.

Particolare attenzione è stata dedicata ai sistemi di azionamento e controllo. Il nuovo attuatore presenta un attrito estremamente basso e un’elevata capacità di carico, e l’algoritmo di controllo combina il posizionamento preciso con il controllo di forza e rigidità. Il design utilizza anche un compensatore di peso per il corpo, rendendo l’interazione umana più sicura e migliorando la precisione durante l’esecuzione di compiti pesanti.

ezstandalone.cmd.push(function () { ezstandalone.showAds(612); });
Un elemento importante è la combinazione di leggerezza ed elevata capacità di carico. La mano pesa circa 700 grammi e l’intero assemblaggio, dalla spalla in giù, pesa circa 5 kg. Allo stesso tempo, il robot è in grado di manipolare oggetti di peso superiore a 3 kg con una sola mano, una capacità paragonabile a quella di un manipolatore collaborativo medio di peso superiore a 20 kg.

ALLEX è il primo umanoide dotato di una “flessibilità” innata in grado di rispondere a forze esterne con mani, dita e corpo senza l’uso di sensori di forza. Questo apre la strada a un’interazione sicura ma dinamica con gli esseri umani e semplifica l’addestramento basato sull’apprendimento automatico , riducendo al minimo il divario tra simulazione e mondo reale.

L’azienda vede ALLEX come la base di una futura piattaforma modulare: braccia, mani, corpo o sistema di controllo possono essere utilizzati separatamente. WIRobotics prevede di condurre dimostrazioni in vari settori per entrare nel mercato.

ezstandalone.cmd.push(function () { ezstandalone.showAds(613); });
Per unire robotica e intelligenza artificiale , WIRobotics sta costruendo un ecosistema di innovazione aperto. L’azienda ha una partnership strategica con RLWRLD, una startup che lavora allo sviluppo di “IA fisica”, e collabora anche con importanti centri di ricerca e aziende in tutto il mondo, tra cui il MIT , l’Università dell’Illinois a Urbana-Champaign, l’Università del Massachusetts, il Korea Advanced Institute of Science and Technology e Maxon.

“ALLEX non è solo un’imitazione dei movimenti umani. È il primo robot che percepisce e reagisce realmente al mondo che lo circonda“, ha affermato Young-Jae Kim, co-CEO e CTO di WIRobotics. Secondo lui, l’obiettivo dell’azienda è creare una piattaforma umanoide multifunzionale, accessibile a tutti nella vita di tutti i giorni entro il 2030.

WIRobotics è stata fondata nel giugno 2021 da quattro ex ingegneri Samsung . L’azienda promuove l’idea di “Tecnologia per le persone, per la qualità della vita”. Tra i suoi progetti figurano l’esoscheletro industriale WIBS e l’assistente mobile WIM, che ha vinto il CES Innovation Awards per due anni consecutivi. Nel 2024, l’azienda ha raccolto 13 miliardi di won per lo sviluppo, ha inaugurato il Robot Innovation Hub e ha avviato collaborazioni con organizzazioni accademiche per accelerare la ricerca nei campi dei manipolatori sicuri e flessibili e della deambulazione robotica.

ezstandalone.cmd.push(function () { ezstandalone.showAds(614); });
L'articolo WIRobotics presenta ALLEX, il robot umanoide multiuso avanzato proviene da il blog della sicurezza informatica.