I ricercatori hanno scoperto un pacchetto dannoso chiamato fezbox in npm che ruba i cookie delle vittime. Per garantire che l’attività dannosa rimanga inosservata, vengono utilizzati codici QR per scaricare il malware dal server degli aggressori.

Secondo i ricercatori di Socket, gli aggressori hanno trovato un nuovo utilizzo per i codici QR: nascondere codice dannoso al loro interno. Gli analisti hanno segnalato che il pacchetto contiene istruzioni nascoste per scaricare un’immagine JPG con un codice QR, che viene poi elaborato per lanciare un payload offuscato come parte della seconda fase dell’attacco.

Al momento della scoperta del malware, il pacchetto era stato scaricato almeno 327 volte prima che gli amministratori di npm lo rimuovessero. Bleeping Computer sottolinea che il payload dannoso principale si trova nel file dist/fezbox.cjs del pacchetto (usando la versione 1.3.0 come esempio). Il codice nel file è stato minimizzato e reso più facile da leggere dopo la formattazione.

Il malware verifica anche se l’applicazione è in esecuzione in un ambiente di sviluppo per eludere il rilevamento. “Gli aggressori non vogliono rischiare di essere scoperti in un ambiente virtuale o non di produzione, quindi aggiungono restrizioni su quando e come il loro exploit opera”, spiegano i ricercatori. “Se non vengono rilevati problemi, dopo 120 secondi, analizza ed esegue il codice QR all’indirizzo nella stringa invertita.”

Il risultato, una volta effettuato l’accesso, è un URL. Secondo gli esperti, memorizzare gli URL in ordine inverso è una tecnica di mascheramento utilizzata per aggirare gli strumenti di analisi statica che cercano gli URL (quelli che iniziano con http(s)://) nel codice.

A differenza dei codici QR che normalmente incontriamo nella vita reale, questo è insolitamente denso e contiene molti più dati. Come hanno notato i giornalisti, è impossibile da leggere con una normale fotocamera del telefono. Gli aggressori hanno creato appositamente il codice QR per trasmettere codice offuscato che può essere analizzato dal pacchetto. Il payload offuscato legge il cookie tramite document.cookie .

La scoperta di questo malware dimostra un nuovo approccio all’abuso dei codici QR. Un computer infetto può utilizzarli per comunicare con il proprio server di comando e controllo, mentre a un server proxy o a uno strumento di sicurezza di rete, questo apparirà come normale traffico di immagini.

L'articolo Malware Fezbox: il pacchetto NPM che ruba cookie con i QRCode proviene da il blog della sicurezza informatica.

Introduction

The modern development world is almost entirely dependent on third-party modules. While this certainly speeds up development, it also creates a massive attack surface for end users, since anyone can create these components. It is no surprise that malicious modules are becoming more common. When a single maintainer account for popular modules or a single popular dependency is compromised, it can quickly turn into a supply chain attack. Such compromises are now a frequent attack vector trending among threat actors. In the last month alone, there have been two major incidents that confirm this interest in creating malicious modules, dependencies, and packages. We have already discussed the recent compromise of popular npm packages. September 16, 2025 saw reports of a new wave of npm package infections, caused by the self-propagating malware known as Shai-Hulud.

Shai-Hulud is designed to steal sensitive data, expose private repositories of organizations, and hijack victim credentials to infect other packages and spread on. Over 500 packages were infected in this incident, including one with more than two million weekly downloads. As a result, developers who integrated these malicious packages into their projects risk losing sensitive data, and their own libraries could become infected with Shai-Hulud. This self-propagating malware takes over accounts and steals secrets to create new infected modules, spreading the threat along the dependency chain.

Technical details

The worm’s malicious code executes when an infected package is installed. It then publishes infected releases to all packages the victim has update permissions for.

Once the infected package is installed from the npm registry on the victim’s system, a special command is automatically executed. This command launches a malicious script over 3 MB in size named bundle.js, which contains several legitimate, open-source work modules.

Key modules within bundle.js include:

• Library for interacting with AWS cloud services
• GCP module that retrieves metadata from the Google Cloud Platform environment
• Functions for TruffleHog, a tool for scanning various data sources to find sensitive information, specifically secrets
• Tool for interacting with the GitHub API

The JavaScript file also contains network utilities for data transfer and the main operational module, Shai-Hulud.

The worm begins its malicious activity by collecting information about the victim’s operating system and checking for an npm token and authenticated GitHub user token in the environment. If a valid GitHub token is not present, bundle.js will terminate. A distinctive feature of Shai-Hulud is that most of its functionality is geared toward Linux and macOS systems: almost all malicious actions are performed exclusively on these systems, with the exception of using TruffleHog to find secrets.

Exfiltrating secrets

After passing the checks, the malware uses the token mentioned earlier to get information about the current GitHub user. It then runs the extraction function, which creates a temporary executable bash script at /tmp/processor.sh and runs it as a separate process, passing the token as an argument. Below is the extraction function, with strings and variable names modified for readability since the original source code was illegible.

The extraction function, formatted for readability

The bash script is designed to communicate with the GitHub API and collect secrets from the victim’s repository in an unconventional way. First, the script checks if the token has the necessary permissions to create branches and work with GitHub Actions. If it does, the script gets a list of all the repositories the user can access from 2025. In each of these, it creates a new branch named shai-hulud and uploads a shai-hulud-workflow.yml workflow, which is a configuration file for describing GitHub Actions workflows. These files are automation scripts that are triggered in GitHub Actions whenever changes are made to a repository. The Shai-Hulud workflow activates on every push.

The malicious workflow configuration

This file collects secrets from the victim’s repositories and forwards them to the attackers’ server. Before being sent, the confidential data is encoded twice with Base64.

This unusual method for data collection is designed for a one-time extraction of secrets from a user’s repositories. However, it poses a threat not only to Shai-Hulud victims but also to ordinary researchers. If you search for “shai-hulud” on GitHub, you will find numerous repositories that have been compromised by the worm.

Open GitHub repositories compromised by Shai-Hulud

The main bundle.js script then requests a list of all organizations associated with the victim and runs the migration function for each one. This function also runs a bash script, but in this case, it saves it to /tmp/migrate-repos.sh, passing the organization name, username, and token as parameters for further malicious activity.

The bash script automates the migration of all private and internal repositories from the specified GitHub organization to the user’s account, making them public. The script also uses the GitHub API to copy the contents of the private repositories as mirrors.

We believe these actions are intended for the automated theft of source code from the private repositories of popular communities and organizations. For example, the well-known company CrowdStrike was caught in this wave of infections.

The worm’s self-replication

After running operations on the victim’s GitHub, the main bundle.js script moves on to its next crucial stage: self-replication. First, the script gets a list of the victim’s 20 most downloaded packages. To do this, it performs a search query with the username from the previously obtained npm token:
registry.npmjs.org/-/v1/search…

Next, for each of the packages it finds, it calls the updatePackage function. This function first attempts to download the tarball version of the package (a .TAR archive). If it exists, a temporary directory named npm-update-{target_package_name} is created. The tarball version of the package is saved there as package.tgz, then unpacked and modified as follows:

• The malicious bundle.js is added to the original package.
• A postinstall command is added to the package.json file (which is used in Node.js projects to manage dependencies and project metadata). This command is configured to execute the malicious script via node bundle.js.
• The package version number is incremented by 1.

The modified package is then re-packed and published to npm as a new version with the npm publish command. After this, the temporary directory for the package is cleared.

The updatePackage function, formatted for readability

Uploading secrets to GitHub

Next, the worm uses the previously mentioned TruffleHog utility to harvest secrets from the target system. It downloads the latest version of the utility from the original repository for the specific operating system type using the following link:
github.com/trufflesecurity/tru… version}/{OS-specific file}

The worm also uses modules for AWS and Google Cloud Platform (GCP) to scan for secrets. The script then aggregates the collected data into a single object and creates a repository named “Shai-Hulud” in the victim’s profile. It then uploads the collected information to this repository as a data.json file.

Below is a list of data formats collected from the victim’s system and uploaded to GitHub:
{
"application": {
"name": "",
"version": "",
"description": ""
},
"system": {
"platform": "",
"architecture": "",
"platformDetailed": "",
"architectureDetailed": ""
},
"runtime": {
"nodeVersion": "",
"platform": "",
"architecture": "",
"timestamp": ""
},
"environment": {
},
"modules": {
"github": {
"authenticated": false,
"token": "",
"username": {}
},
"aws": {
"secrets":
[] },
"gcp": {
"secrets":
[] },
"truffleHog": {
"available": false,
"installed": false,
"version": "",
"platform": "",
"results": [
{}
]
},
"npm": {
"token": "",
"authenticated": true,
"username": ""
}
}
}

Infection characteristics

A distinctive characteristic of the modified packages is that they contain an archive named package.tar. This is worth noting because packages usually contain an archive with a name that matches the package itself.

Through our research, we were able to identify the first package from which Shai-Hulud began to spread, thanks to a key difference. As we mentioned earlier, after infection, a postinstall command to execute the malicious script, node bundle.js, is written to the package.json file. This command typically runs immediately after installation. However, we discovered that one of the infected packages listed the same command as a preinstall command, meaning it ran before the installation. This package was ngx-bootstrap version 18.1.4. We believe this was the starting point for the spread of this infection. This hypothesis is further supported by the fact that the archive name in the first infected version of this package differed from the name characteristic of later infected packages (package.tar).

While investigating different packages, we noticed that in some cases, a single package contained multiple versions with malicious code. This was likely possible because the infection spread to all maintainers and contributors of packages, and the malicious code was then introduced from each of their accounts.

Infected libraries and CrowdStrike

The rapidly spreading Shai-Hulud worm has infected many popular libraries that organizations and developers use daily. Shai-Hulud has infected over 500 popular packages in recent days, including libraries from the well-known company CrowdStrike.
Among the infected libraries were the following:

• @crowdstrike/commitlint versions 8.1.1, 8.1.2
• @crowdstrike/falcon-shoelace versions 0.4.1, 0.4.2
• @crowdstrike/foundry-js versions 0.19.1, 0.19.2
• @crowdstrike/glide-core versions 0.34.2, 0.34.3
• @crowdstrike/logscale-dashboard versions 1.205.1, 1.205.2
• @crowdstrike/logscale-file-editor versions 1.205.1, 1.205.2
• @crowdstrike/logscale-parser-edit versions 1.205.1, 1.205.2
• @crowdstrike/logscale-search versions 1.205.1, 1.205.2
• @crowdstrike/tailwind-toucan-base versions 5.0.1, 5.0.2

But the event that has drawn significant attention to this spreading threat was the infection of the @ctrl/tinycolor library, which is downloaded by over two million users every week.

As mentioned above, the malicious script exposes an organization’s private repositories, posing a serious threat to their owners, as this creates a risk of exposing the source code of their libraries and products, among other things, and leading to an even greater loss of data.

Prevention and protection

To protect against this type of infection, we recommend using a specialized solution for monitoring open-source components. Kaspersky maintains a continuous feed of compromised packages and libraries, which can be used to secure your supply chain and protect development from similar threats.

For personal devices, we recommend Kaspersky Premium, which provides multi-layered protection to prevent and neutralize infection threats. Our solution can also restore the device’s functionality if it’s infected with malware.

For corporate devices, we advise implementing a comprehensive solution like Kaspersky Next, which allows you to build a flexible and effective security system. This product line provides threat visibility and real-time protection, as well as EDR and XDR capabilities for investigation and response. It is suitable for organizations of any scale or industry.

Kaspersky products detect the Shai-Hulud threat as HEUR:Worm.Script.Shulud.gen.

In the event of a Shai-Hulud infection, and as a proactive response to the spreading threat, we recommend taking the following measures across your systems and infrastructure:

• Use a reliable security solution to conduct a full system scan.
• Audit your GitHub repositories:
  • Check for repositories named shai-hulud.
  • Look for non-trivial or unknown branches, pull requests, and files.
  • Audit GitHub Actions logs for strings containing shai-hulud.

Indicators of compromise

Files:
bundle.js
shai-hulud-workflow.yml

Strings:
shai-hulud

Hashes:
C96FBBE010DD4C5BFB801780856EC228
78E701F42B76CCDE3F2678E548886860

Network artifacts:
https://webhook.site/bb8ca5f6-4175-45d2-b042-fc9ebb8170b7

Compromised packages:
@ahmedhfarag/ngx-perfect-scrollbar
@ahmedhfarag/ngx-virtual-scroller
@art-ws/common
@art-ws/config-eslint
@art-ws/config-ts
@art-ws/db-context
@art-ws/di
@art-ws/di-node
@art-ws/eslint
@art-ws/fastify-http-server
@art-ws/http-server
@art-ws/openapi
@art-ws/package-base
@art-ws/prettier
@art-ws/slf
@art-ws/ssl-info
@art-ws/web-app
@basic-ui-components-stc/basic-ui-components
@crowdstrike/commitlint
@crowdstrike/falcon-shoelace
@crowdstrike/foundry-js
@crowdstrike/glide-core
@crowdstrike/logscale-dashboard
@crowdstrike/logscale-file-editor
@crowdstrike/logscale-parser-edit
@crowdstrike/logscale-search
@crowdstrike/tailwind-toucan-base
@ctrl/deluge
@ctrl/golang-template
@ctrl/magnet-link
@ctrl/ngx-codemirror
@ctrl/ngx-csv
@ctrl/ngx-emoji-mart
@ctrl/ngx-rightclick
@ctrl/qbittorrent
@ctrl/react-adsense
@ctrl/shared-torrent
@ctrl/tinycolor
@ctrl/torrent-file
@ctrl/transmission
@ctrl/ts-base32
@nativescript-community/arraybuffers
@nativescript-community/gesturehandler
@nativescript-community/perms
@nativescript-community/sentry
@nativescript-community/sqlite
@nativescript-community/text
@nativescript-community/typeorm
@nativescript-community/ui-collectionview
@nativescript-community/ui-document-picker
@nativescript-community/ui-drawer
@nativescript-community/ui-image
@nativescript-community/ui-label
@nativescript-community/ui-material-bottom-navigation
@nativescript-community/ui-material-bottomsheet
@nativescript-community/ui-material-core
@nativescript-community/ui-material-core-tabs
@nativescript-community/ui-material-ripple
@nativescript-community/ui-material-tabs
@nativescript-community/ui-pager
@nativescript-community/ui-pulltorefresh
@nstudio/angular
@nstudio/focus
@nstudio/nativescript-checkbox
@nstudio/nativescript-loading-indicator
@nstudio/ui-collectionview
@nstudio/web
@nstudio/web-angular
@nstudio/xplat
@nstudio/xplat-utils
@operato/board
@operato/data-grist
@operato/graphql
@operato/headroom
@operato/help
@operato/i18n
@operato/input
@operato/layout
@operato/popup
@operato/pull-to-refresh
@operato/shell
@operato/styles
@operato/utils
@teselagen/bio-parsers
@teselagen/bounce-loader
@teselagen/file-utils
@teselagen/liquibase-tools
@teselagen/ove
@teselagen/range-utils
@teselagen/react-list
@teselagen/react-table
@teselagen/sequence-utils
@teselagen/ui
@thangved/callback-window
@things-factory/attachment-base
@things-factory/auth-base
@things-factory/email-base
@things-factory/env
@things-factory/integration-base
@things-factory/integration-marketplace
@things-factory/shell
@tnf-dev/api
@tnf-dev/core
@tnf-dev/js
@tnf-dev/mui
@tnf-dev/react
@ui-ux-gang/devextreme-angular-rpk
@ui-ux-gang/devextreme-rpk
@yoobic/design-system
@yoobic/jpeg-camera-es6
@yoobic/yobi
ace-colorpicker-rpk
airchief
airpilot
angulartics2
another-shai
browser-webdriver-downloader
capacitor-notificationhandler
capacitor-plugin-healthapp
capacitor-plugin-ihealth
capacitor-plugin-vonage
capacitorandroidpermissions
config-cordova
cordova-plugin-voxeet2
cordova-voxeet
create-hest-app
db-evo
devextreme-angular-rpk
devextreme-rpk
ember-browser-services
ember-headless-form
ember-headless-form-yup
ember-headless-table
ember-url-hash-polyfill
ember-velcro
encounter-playground
eslint-config-crowdstrike
eslint-config-crowdstrike-node
eslint-config-teselagen
globalize-rpk
graphql-sequelize-teselagen
json-rules-engine-simplified
jumpgate
koa2-swagger-ui
mcfly-semantic-release
mcp-knowledge-base
mcp-knowledge-graph
mobioffice-cli
monorepo-next
mstate-angular
mstate-cli
mstate-dev-react
mstate-react
ng-imports-checker
ng2-file-upload
ngx-bootstrap
ngx-color
ngx-toastr
ngx-trend
ngx-ws
oradm-to-gql
oradm-to-sqlz
ove-auto-annotate
pm2-gelf-json
printjs-rpk
react-complaint-image
react-jsonschema-form-conditionals
react-jsonschema-form-extras
react-jsonschema-rxnt-extras
remark-preset-lint-crowdstrike
rxnt-authentication
rxnt-healthchecks-nestjs
rxnt-kue
swc-plugin-component-annotate
tbssnch
teselagen-interval-tree
tg-client-query-builder
tg-redbird
tg-seq-gen
thangved-react-grid
ts-gaussian
ts-imports
tvi-cli
ve-bamreader
ve-editor
verror-extra
voip-callkit
wdio-web-reporter
yargs-help-output
yoo-styles

securelist.com/shai-hulud-worm…

Dal 2013, l’IEEE pubblica una classifica annuale interattiva dei linguaggi di programmazione più popolari. Tuttavia, oggi i metodi tradizionali per misurarne la popolarità potrebbero perdere di significato, a causa dei cambiamenti nel modo in cui programmiamo.

Nell’ultima classifica IEEE Spectrum, Python si riconferma al primo posto. JavaScript ha registrato il calo maggiore, scendendo dal terzo al sesto posto. Nel frattempo, anche nella categoria separata “Lavoro“, che tiene conto solo della domanda dei datori di lavoro, Python ha preso il sopravvento. Tuttavia, SQL rimane una competenza chiave nei curriculum degli sviluppatori.

La metodologia di classificazione si basa su una raccolta di dati aperti: query di ricerca su Google, discussioni su Stack Overflow , attività su GitHub e menzioni in pubblicazioni scientifiche. Tuttavia, negli ultimi due anni, il volume di tali segnali è diminuito drasticamente. Sempre più programmatori si rivolgono a ChatGPT o Claude invece di porre domande pubbliche sui forum, mentre assistenti come Cursor scrivono autonomamente codice di routine. Di conseguenza, il numero di nuove domande su Stack Overflow nel 2025 è solo il 22% del livello dell’anno scorso.

Ciò rende sempre più difficile misurare la popolarità di un linguaggio. Ma, cosa ancora più importante, la necessità stessa di scegliere un linguaggio sta gradualmente perdendo importanza.

Mentre un tempo sintassi, funzioni e regole del linguaggio erano fondamentali, ora questi compiti vengono sempre più spesso affidati all’intelligenza artificiale. I programmatori stanno iniziando a discutere meno su dove posizionare un punto e virgola o su quale indentazione sia appropriata, e si stanno concentrando maggiormente su architettura e algoritmi.

L’intelligenza artificiale è in grado di generare codice praticamente in qualsiasi linguaggio, a patto che siano forniti dati di addestramento. Questo mette in discussione il futuro dei nuovi linguaggi: sebbene libri, articoli e progetti dimostrativi abbiano contribuito in passato a promuoverli, questo non è sufficiente per l’intelligenza artificiale. Richiede grandi quantità di codice per l’addestramento, svantaggiando i linguaggi meno comuni.

A lungo termine, questo potrebbe congelare la popolarità dei linguaggi esistenti. Il lancio di nuovi progetti diventerà più difficile e la scelta del linguaggio diventerà sempre più un dettaglio tecnico, proprio come un tempo lo erano le caratteristiche di specifici processori.

Alcuni ricercatori si stanno già chiedendo se i linguaggi di alto livello siano davvero necessari. Se l’intelligenza artificiale potesse trasformare direttamente la query di un programmatore in codice intermedio per il compilatore, i linguaggi tradizionali potrebbero trasformarsi in un inutile livello di astrazione. Certo, questo porterebbe alla creazione di “scatole nere” illeggibili ma testabili unitariamente.

Anche il ruolo dei programmatori in questo futuro cambierà. Le decisioni architetturali, la selezione degli algoritmi, l’integrazione dei sistemi e l’utilizzo di nuovo hardware continueranno a essere importanti. Ciò significa che le conoscenze di base saranno considerate più importanti della padronanza di un linguaggio specifico.

Se nel 2026 esisterà un “linguaggio di programmazione primario” è un grande interrogativo. Una cosa è chiara: l’intelligenza artificiale è già diventata il motore di cambiamento più significativo nello sviluppo del software dall’avvento dei compilatori negli anni ’50. E anche se parte dell’attuale clamore intorno all’intelligenza artificiale dovesse rivelarsi una mera illusione, la pratica di utilizzare LLM per la programmazione non scomparirà.

L’IEEE promette di esplorare nuove metriche e approcci nel prossimo anno per comprendere cosa significhi realmente “popolarità del linguaggio” nell’era dell’intelligenza artificiale.

L'articolo Il codice come lo conoscevamo è morto! L’Intelligenza Artificiale scrive il futuro proviene da il blog della sicurezza informatica.

Il Dipartimento di Giustizia degli Stati Uniti e la polizia britannica hanno incriminato Talha Jubair, 19 anni, residente nell’East London, che gli investigatori ritengono essere un membro chiave di Scattered Spider, un gruppo responsabile di una serie di attacchi estorsivi ai danni di importanti aziende e agenzie governative.

Secondo il fascicolo, da maggio 2022 a settembre di quest’anno, gli aggressori hanno effettuato almeno 120 intrusioni, colpendo 47 organizzazioni negli Stati Uniti, e l’importo totale dei pagamenti ha superato i 115 milioni di dollari. Un caso parallelo a Londra riguarda un attacco a Transport for London nell’agosto 2024, in cui il diciottenne Owen Flowers era coinvolto insieme a Jubair.

La chiave per identificare il sospettato è stata una serie di coincidenze tecniche. Gli investigatori hanno tracciato i trasferimenti dagli indirizzi in cui venivano inviati i pagamenti del riscatto a un server che ritenevano fosse controllato da Jubair.

Questo nodo ospitava portafogli di criptovalute utilizzati per acquistare buoni regalo per il gioco d’azzardo e carte per la consegna di cibo; gli ordini venivano consegnati al suo complesso residenziale e uno dei certificati era collegato a un profilo di gioco con informazioni sull’appartamento. Durante il raid, gli agenti hanno confiscato circa 36 milioni di dollari in criptovalute; somme ingenti erano state precedentemente prelevate da questi indirizzi.

A Jubair viene attribuita una lunga storia di attacchi informatici. Secondo l’indagine, nel 2021-2022 faceva parte diLAPSUS$, operando con i nomi utente Amtrak e Asyntax, e in precedenza come Everlynn, associato alla vendita di false richieste di dati di emergenza per conto delle forze dell’ordine. Conflitti interni a LAPSUS$ hanno portato alla fuga di dati reali nelle chat pubbliche di Telegram.

Dal 2022, una persona nota come EarthtoStar ha co-gestito il canale Star Chat, una piattaforma attiva per lo scambio di SIM. Il gruppo ha condotto sistematicamente attacchi di phishing contro i dipendenti degli operatori di telecomunicazioni, il più delle volte T-Mobile, ottenendo l’accesso a strumenti interni e vendendo servizi di inoltro di chiamata e reset degli account email.

Quell’estate, gli aggressori hanno utilizzato false pagine Okta e bot di Telegram per inviare istantaneamente codici di autenticazione a due fattori per compromettere i dipendenti di centinaia di aziende, con conseguenti incidenti presso LastPass, DoorDash, Mailchimp, Plex e Signal.

Tracce di attività portano anche al forum Exploit, dove gli account RocketAce e Lopiu pubblicizzavano l’accesso alle reti di telecomunicazioni statunitensi, kit di phishing, downloader dannosi e persino certificati Extended Validation. Tra la fine del 2022 e l’inizio del 2023, una serie di “servizi IRL” è emersa nella comunità “Com” di lingua inglese, includendo elementi di pressione fisica sugli obiettivi, tra cui offerte di rapina; questa attività è anche associata alla stessa EarthtoStar. Contemporaneamente, con il nome utente Brad o Brad_banned, ha promosso lo sviluppo di malware a livello kernel con persistenza, reverse shell e la presunta capacità di aggirare le misure di sicurezza aziendali .

Nel settembre 2023, in seguito agli attacchi a MGM Resorts e Caesars Entertainment, il gruppo ne rivendicò la responsabilità. L’accesso fu ottenuto tramite social engineering da appaltatori. Caesars, secondo quanto riportato dai media, pagò un riscatto di 15 milioni di dollari, mentre presso MGM l’interruzione provocò tempi di inattività prolungati. Nella primavera del 2025, un rapporto anonimo di “Com Cast” collegò Jubair a nuovi alias: Clark, Miku e Operator. A quest’ultimo fu attribuito il dirottamento della risorsa Doxbin e il lancio di un servizio di doxxing automatizzato.

I documenti del Dipartimento di Giustizia degli Stati Uniti descrivono specificamente un attacco informatico ai danni dell’infrastruttura di un tribunale federale nel gennaio 2025: tramite il supporto tecnico, gli aggressori hanno forzato la reimpostazione delle password, ottenuto l’accesso ad altri due account e sottratto i dati personali dei dipendenti. Uno degli account di posta elettronica compromessi ha quindi richiesto all’istituto finanziario di rilasciare urgentemente i dati dei clienti.

In altri incidenti, che spaziavano da aziende manifatturiere e di intrattenimento a società di vendita al dettaglio, finanziarie e infrastrutture critiche, lo scenario si è ripetuto: inganno del personale di supporto, modifiche delle password, esfiltrazione, talvolta crittografia, e poi contrattazione per la decrittazione o la promessa di non pubblicare i dati rubati. In cinque casi, le vittime hanno inviato almeno 89,5 milioni di dollari in BTC, con i pagamenti più consistenti destinati alle banche.

Telegram bloccò Star Chat nel marzo 2025, ma secondo gli inquirenti, le operazioni continuarono fino a settembre. Alcuni episodi richiamano il caso Flowers, così come l’indagine contro Noah Urban, che ha già ricevuto una condanna a 10 anni di carcere negli Stati Uniti. Gli analisti osservano che il coinvolgimento di minori in “Com” crea scappatoie legali e ritarda i procedimenti giudiziari, ma gli sforzi concertati di agenzie governative e aziende su entrambe le sponde dell’Atlantico stanno gradualmente privando Scattered Spider della sua base operativa.

L'articolo Criptovalute, ransomware e hamburger: la combo fatale per Scattered Spider proviene da il blog della sicurezza informatica.

For RC aircraft there are generally legal restrictions that require the craft to stay within line of sight of the operator, but an RC boat or car can in theory go as far as the signal will allow — provided there is ample telemetry to let the operator navigate. [Thingify] took this idea to the extreme with a remote-controlled boat that connects to a satellite internet service and adds solar panels for theoretically unlimited range, in more ways than one.

The platform for this boat is a small catamaran, originally outfitted with an electric powertrain running on a battery. Using a satellite internet connection not only allows [Thingify] to receive telemetry and pilot the craft with effectively unlimited range, but it’s a good enough signal to receive live video from one of a pair of cameras as well. At that point, the main limiting factor of the boat was the battery, so he added a pair of flexible panels on a custom aluminum frame paired with a maximum power point tracking charge controller to make sure the battery is topped off. He also configured it to use as much power as the panels bring in, keeping the battery fully charged and ready for nightfall where the boat will only maintain its position and wait for the sun to rise the next morning.

With this setup [Thingify] hopes to eventually circumnavigate Lake Alexandrina in Australia. Although he has a few boat design issues to work out first; on its maiden voyage the boat capsized due to its high center of gravity and sail-like solar panels. Still, it’s an improvement from the earlier version of the craft we saw at the beginning of the year, and we look forward to his next iteration and the successful voyage around this lake.

youtube.com/embed/UjFrFAIM2Aw?…

hackaday.com/2025/09/25/solar-…

Chiediamo pertanto a codesta direzione una incisiva azione a tutela e difesa del diritto umanitario:
– di interrompere ogni forma di collaborazione, gemellaggio o rapporto istituzionale con enti e istituzioni dello Stato di Israele finché perdureranno le politiche di occupazione e oppressione del popolo palestinese;
– di esporre la bandiera palestinese accanto a quella italiana, in tutti gli ospedali ed i distretti socio sanitari in solidarietà alla popolazione palestinese
[...]

#cgil #gaza

cgiltoscana.it/2025/09/24/gaza…

Togleteci di torno questo pagliaccio!!!
Che scappa come un ladro da neanche 200 persone che manifestano...

Io sono disgustata 🤮

rsi.ch/info/svizzera/Riconosci…

#cassis #cassis #palestina #Svizzera #soluzioneaduestati #pagliaccio

Riconoscimento della Palestina: “La Svizzera mantiene la sua posizione” - RSI

Il consigliere federale Ignazio Cassis indica che la Confederazione è favorevole alla soluzione dei due Stati, ma solo quando ci sarà una chiara mappa per una pace duratura - L’incontro a margine dell’Assemblea generale dell’ONU

^rsi

For years, many researchers and activists – especially in the Global Majority - have been shining the spotlight on the massive impact on the climate and environment caused by the never-ending thirst for tech seen around the world. This blog explores EDRi's contribution to a large body of work meant to acknowledge the need for collective action in this field.

The post Building movement capacity at the intersection of digital and environmental justice appeared first on European Digital Rights (EDRi).

PrivacyCamp25 will take place on 30 September, 2025 online and at La Tricoterie, Brussels. Curious about what we have planned? Check out the final programme.

The post #PrivacyCamp25: The final programme is here appeared first on European Digital Rights (EDRi).

Dopo il diniego della azienda sanitaria, l’uomo, affetto da una patologia neurodegenerativa, è stato accompagnato da Roberta Pelletta e Cinzia Fornero, volontarie di Soccorso Civile, l’associazione per le disobbedienze civili sul fine vita di cui è responsabile legale Marco Cappato

“Non mi piango addosso. Sono determinato a andare in Svizzera” aveva dichiarato “Fabrizio”. Il 25 settembre, alle 10:30, al Grand Hotel Savoia in via Arsenale di Terra 5 a Genova, le volontarie che hanno accompagnato “Fabrizio” incontreranno la stampa insieme a Marco Cappato

“Fabrizio” (nome di fantasia a tutela della privacy), 79 enne ligure, affetto da patologia neurodegenerativa, è morto lunedì 22 settembre in Svizzera, dove ha avuto accesso al suicidio medicalmente assistito.

È stato accompagnato da Roberta Pelletta e Cinzia Fornero, iscritte a Soccorso Civile, l’associazione che fornisce assistenza alle persone in determinate condizioni, che hanno deciso di porre fine alle proprie sofferenze all’estero, e di cui è presidente e rappresentante legale Marco Cappato.

L’uomo era affetto da una malattia neurodegenerativa progressiva irreversibile, che lo ha portato a una totale perdita della capacità di parlare e a gravi disturbi motori. Comunicava solo tramite gesti e, a fatica, con un tablet.

Era totalmente dipendente da assistenza quotidiana continua e oltre alla sua malattia, a causa di tromboembolia polmonare era in terapia, e con anche insufficienza respiratoria per la quale dipendeva dall’ossigeno terapia durante il sonno.

Nonostante tutto questo, secondo il Servizio sanitario della Regione Liguria, “Fabrizio” non dipendeva da alcun trattamento di sostegno vitale, uno dei requisiti poter accedere legalmente alla morte volontaria assistita in Italia, sulla base della sentenza “Cappato-Antoniani” 242/2019 della Corte costituzionale.

Aveva chiesto la verifica delle condizioni a febbraio 2025. Dopo le visite della commissione medica, a maggio, era arrivato il diniego. A quel punto, assistito dal gruppo legale dell’Associazione Luca Coscioni, coordinato dall’avvocata Filomena Gallo, “Fabrizio” aveva presentato un’opposizione alla decisione della ASL, chiedendo la rivalutazione del requisito del trattamento di sostegno vitale alla luce della giurisprudenza costituzionale che chiarisce cosa deve intendersi per sostegno vitale. Le nuove visite erano state effettuate a luglio, ma a “Fabrizio” non era mai arrivata una risposta e, non volendo aspettare altro tempo in condizioni di sofferenza per lui intollerabile, aveva deciso di andare in Svizzera per accedere al suicidio assistito.

“Fabrizio” aveva dichiarato: “Come dice Pessoa: ‘la vita è un viaggio sperimentale fatto involontariamente’. Siccome io non posso più sperimentare nulla, meglio cessare l’esistenza… Per me la vita è solo una sofferenza, bado solo a non soffrire troppo. Non mi piango addosso. Sono determinato ad andare in Svizzera per finire questa vita”.

L'articolo “Fabrizio” è morto in Svizzera proviene da Associazione Luca Coscioni.

In summer 2025, so-called “Chat Control” became a huge topic of public attention. This is because in a major vote planned for 13 or 14 October, EU governments will decide whether to endorse or reject a mass surveillance, encryption-breaking and anonymity-ending law: the EU CSA Regulation. However, there remain many democratic checks-and-balances in the EU lawmaking system that mean we still have a strong chance to stop measures that would amount to Chat Control.

The post Chat Control: What is actually going on? appeared first on European Digital Rights (EDRi).

Un network composto principalmente da criminali di origine siriana ed egiziana operava dal Nord Italia, offrendo quello che viene denominato ‘#crimeasaservice ’ (crimine come servizio), organizzando il riciclaggio di denaro per altri gruppi criminali attraverso il cosiddetto sistema "hawala".
Questo sistema prevede l'occultamento di profitti illeciti attraverso una serie di promesse o garanzie per il trasferimento di ingenti somme di denaro da riciclare. A tal fine, si avvale di una rete di "hawaladar", che creano una miriade di trasferimenti di denaro difficili da tracciare (leggi la nota esplicativa sottostante).
Nel caso del gruppo criminale smantellato, venivano acquistati e scambiati anche lingotti d'oro per nascondere i proventi illeciti, rendendoli ancora più difficili da rintracciare. I sospettati arrestati erano anche coinvolti nel traffico di droga, utilizzando veicoli con scomparti nascosti. Il valore stimato dei proventi e dei fondi illeciti è stimato in almeno 30 milioni di euro.

La cooperazione tra le autorità francesi e italiane è stata istituita tramite #Eurojust nel dicembre 2024, incluso l'avvio della squadra investigativa comune (#JIT) composta da elementi della Gendarmerie Nationale di Marsiglia – Section de Recherches e e della Guardia di Finanza - Nucleo Polizia Finanziaria di Milano, Unità Investigativa Criminalità Organizzata (GICO). Inoltre, #Europol ha coordinato le recenti operazioni per effettuare gli arresti e ha fornito supporto giudiziario transfrontaliero. Gli specialisti di Europol in materia di riciclaggio di denaro e analisi finanziaria hanno fornito la propria competenza alle controparti francesi e italiane. Durante le operazioni, gli investigatori di entrambi i paesi hanno utilizzato la piattaforma di comunicazione sicura di Europol per lo scambio di informazioni.

Durante le azioni congiunte in Francia e Italia, sono stati sequestrati i lingotti d'oro, ed anche contanti, auto di lusso e vari orologi costosi per un valore complessivo stimato di 8 milioni di euro.
Le autorità giudiziarie coinvolte sono state per la Francia la Jurisdiction Interrégionale Specialisée (JIRS) di Marsiglia e per l'Italia la Procura della Repubblica di Milano – Direzione Distrettuale Antimafia.

#Hawala è una parola araba che significa “scambiare” o “trasformare” e indica un sistema di rimessa alternativo, fortemente radicato nella cultura islamica e basato sulla fiducia, che trova le sue fondamenta nei testi dalla giurisprudenza islamica dell’VIII secolo. Nato per trasferire fondi legittimi e con finalità lecite, elimina il rischio legato al trasporto internazionale delle valute e fornisce supporto nelle aree del globo in cui il sistema bancario è carente. Oggi la hawala è ancora considerata legale in alcuni stati del Asia e del Medio Oriente.
La hawala è caratterizzata dalla presenza di due agenti denominati hawaladar, il primo situato nel luogo di partenza del denaro e l’altro nel luogo di ricezione, ai quali si rivolgono rispettivamente il cliente che vuole trasferire il denaro e il beneficiario.
Il cliente per trasferire dei fondi al beneficiario residente nel paese del hawaladar B si rivolge al hawaladar A con il quale concorderà le commissioni applicate sulla transazione nonché l’eventuale tasso di cambio che verrà applicato nel caso in cui il trasferimento avvenga in due valute differenti; la transazione viene autorizzata in base ad una parola d’ordine che il cliente comunica al hawaladar A in fase di consegna dei fondi, successivamente la stessa viene comunicata dal Cliente al Beneficiario; l’hawaladar A contatta l’hawaladar B informandolo dei dettagli dell’operazione e comunica allo stesso la parola d’ordine che dovrà essere comunicata dal beneficiario in fase di ritiro dei fondi; l’hawaladar B trasferisce i fondi al Beneficiario; l’hawaladar A e l’hawaladar B regoleranno successivamente le partite di debito/credito mediante compensazioni periodiche fra gli stessi.

@Attualità, Geopolitica e Satira

ConcaEntosa nasce dal Coraggio.
Il coraggio di partire e di tornare.
Il coraggio di rischiare e realizzare.
Il coraggio di conservare la propria integrità.
Il coraggio di cambiare prospettiva.
Il coraggio di imparare dagli altri ed insegnare a se stessi..
… di inseguire un sogno.
Di produrre un vino.. il Mio vino…

L’ ho chiamato SHAR , da Shardana , i guerrieri che popolavano la Sardegna migliaia di anni fà.
L’ isola in cui sono cresciuto , da cui sono partito e in cui ora vivo..quando non sono in viaggio.
L’ isola che non capivo e che adesso amo.

Spero che SHAR vi piaccia. Spero che vi spinga a guardare lontano.
Spero che vi faccia innamorare e sognare…
.. che vi aiuti a fare la scelta giusta… e quella sbagliata.
Spero che lo criticherete, ma ne vorrete ancora .
Spero che vi spinga a viaggiare, che vi aiuti a capire chi volete diventare.
Spero che vi faccia combattere per ciò che è giusto…
.. perché il successo è la miglior rivalsa.
Spero che vi faccia riflettere sul passato e che vi faccia chiudere gli occhi e sorridere…
immaginando il Futuro.

Emanuele Ragnedda

...Insomma, questo Emanuele Ragnedda -che riesce a rimanere antipatico persino quando scrive andando a capo ogni tanto- è un ricco che fa coltivare e raccogliere frutta, la fa spremere, fa trattare il succo in modo che fermenti e poi cerca di venderlo.
Cerca di venderlo caro, si capisce leggendo tutta una risma di quelle irritanti sviolinate che fanno il marketing del settore.
Probabilmente ci riesce anche.
Si vede che ci sa fare.
Con le donne invece deve saperci fare un po' meno, perché a settembre del 2025 i gendarmi dicono che ha fatto moltissimo male a una certa Cinzia Pinna e lo vanno a cercare a casa.
Non ce lo trovano. Per chissà quale stranissimo motivo, Emanuele ha deciso prima di armarsi e poi di fare una gita in gommone.
Una gita finita piuttosto male.

Non è ammessa la ricezione dall’esterno di bevande alcoliche. È consentito l’acquisto presso lo spaccio interno e il consumo giornaliero di vino in misura non superiore a mezzo litro e di gradazione non superiore a dodici gradi o di birra in misura non superiore ad un litro. La distribuzione e il consumo di tali bevande avviene nei locali in cui si consumano i pasti. In ogni caso è vietato l’accumulo di bevande alcoliche.

Decreto del Presidente della Repubblica 230 anno 2000. Articolo 14, comma 3.

Post scriptum. Emanuele Ragnedda ha confessato, e con questo chiuso il discorso.
Lo attende un avvenire non troppo allegro, nemmeno dal punto di vista enologico.
Il sussiegoso sito della sua fabbrica di succo di frutta fermentato, come si è visto, ci faceva sapere che ha chiamato uno dei suoi prodotti SHAR, da Shardana.
Le prossime produzioni potrebbero chiamarsi CAPT, da Captisterio, ODA, da Ora d'Aria, e SOP da Sopravvitto. Potremmo persino mettere qualche frase a disposizione di eventuali recensori: "...Un forte bouquet di casanza con sentori di calzini, corridoio e battitura al primo sorso che richiama alla mente gli ameni panorami di Bad 'e Carros. Persistenza e finale indefinito sono un obbligo".