I ricercatori hanno scoperto una nuova versione dell’infostealer Banshee progettato per macOS. Il malware non controlla più se sui sistemi infetti è installata la lingua russa ed elude il rilevamento utilizzando la crittografia delle stringhe di Apple XProtect.

Ricordiamo che Banshee è un infostealer rivolto ai sistemi che eseguono macOS. È stato avvistato per la prima volta a metà del 2024. Quindi ha funzionato secondo lo schema stealer-as-a-service, e poteva raccogliere dati da browser, portafogli di criptovaluta e file che soddisfacevano determinati criteri. Il malware veniva venduto sulla darknet per 3.000 dollari al mese.

Nel novembre 2024, il codice sorgente del ladro è stato pubblicato sui forum di hacking, dopodiché il progetto è stato chiuso, ma altri criminali hanno avuto l’opportunità di creare il proprio malware basato su Banshee.

Come riferiscono ora gli esperti di Check Point , hanno scoperto una nuova variante di Banshee che è ancora attiva oggi e utilizza un nuovo metodo di crittografia che gli consente di eludere meglio il rilevamento. Inoltre, questa versione dello stealer non evita più i sistemi degli utenti russi, il che significa che gli aggressori cercano di ampliare la gamma dei possibili bersagli degli attacchi.

Apple XProtect è una tecnologia di rilevamento malware integrata in macOS. Utilizza una serie di regole, simili alle firme antivirus, per identificare e bloccare le minacce conosciute. La variante Banshee osservata dai ricercatori utilizza l’algoritmo di crittografia delle stringhe utilizzato da XProtect per proteggere i propri dati. Crittografando le stringhe e decrittografandole solo in fase di esecuzione, Banshee evita i metodi di rilevamento statico standard. Inoltre, gli esperti ritengono che anche macOS stesso e gli strumenti di sicurezza di terze parti trattino questo metodo di crittografia con meno sospetto, il che consente al ladro di rimanere inosservato più a lungo.

I ricercatori notano che questa versione di Banshee è distribuita principalmente attraverso repository fraudolenti su GitHub, che presumibilmente offrono vari software. Allo stesso tempo, gli operatori di malware attaccano anche gli utenti Windows, ma utilizzando lo stealer Lumma.

L'articolo Nuova Variante di Banshee per Apple macOS: Il Malware che Elude Apple XProtect proviene da il blog della sicurezza informatica.

Die Piratenpartei hat die „Stimmfreigabe“ zur Umweltverantwortungsinitiative beschlossen [1].
Ausnahmsweise wurde die Parole nicht an einer Mitgliederversammlung, sondern vom Vorstand in einem referendumsfähigen Beschluss gefasst.

Quellen:
[1] https://www.piratenpartei.chhttps://www.piratenpartei.ch/2025/01/08/referendumsfaehiger-umlaufbeschluss-parole-stimmfreigabe-zur-umweltverantwortungsinitiative/

piratenpartei.ch/2025/01/15/pa…

As a general concept, fault injection is a technique that studies how a system reacts to unusual or unexpected external forces. The idea is that, if you can trigger a glitch at the precise moment, you might be able to use that to your advantage in disabling security features or otherwise gaining further access to the device in question. In the hardware world, this could be achieved by fiddling with the power going into the device, or subjecting it to extreme temperatures.

We’ve covered voltage glitching attacks on these pages in the past, but most of the tools used are fairly expensive if you’re not doing this kind of thing professionally. Luckily for us, [Aditya Patil] has developed a fault injection tool that can run on a standard ESP8266 development board. Obviously it’s not as capable as a bespoke device costing hundreds of dollars, but if you just want to experiment with the concept, it’s a fantastic way to wrap your head around it all.

Now to be clear, the ESP8266 alone isn’t able to generate the sort of high-voltage spikes that are often used to glitch out a chip. The idea with this project is that the ESP would serve as the programmable timer used to trigger a high voltage generator or other nefarious piece of kit. That said, if you’ve got something low power enough that could get confused by rapidly having ~3 V applied to its power rails, in theory you could use the dev board without any additional hardware — though we’d strongly recommend at least throwing a MOSFET between the ESP and whatever you’re harassing.

With the firmware flashed to the ESP8266, plugging the board into your computer will provide you with a serial interface through which the software can be configured and attacks can be launched. While this interactive menu system is nice, and reminds us a bit of the Bus Pirate, [Aditya] also provides an example Python script that will let you fire commands at the system far faster than you could type them out.

If you’re looking for more capability, something like the PicoGlitcher would probably be the next step up, but if you want to really dive into the deep-end, the ChipWhisperer line of devices from [Colin O’Flynn] are really where it’s at. Check out the fascinating talk he gave about voltage glitching during the 2021 Remoticon if you’d like to learn more about the technique.

hackaday.com/2025/01/15/using-…

DOOM is a classic game to implement on a variety of platforms, but doompdf by [ading2210] is one we didn’t see coming. It runs a bit slow and controls are a little awkward but it does run. Entirely within a PDF file, at that.

How is this possible? PDFs are technically capable of much more than just displaying static content, and support JavaScript with their own library of functions. Adobe Acrobat implements the full spec, but modern web browsers implement at least a subset of the functionality in a sandboxed JavaScript runtime environment. Input and output are limited to things one might expect from a fancy PDF form (text input boxes, clickable buttons, things of that nature) but computation-wise, just about anything goes.

The playable DOOM PDF therefore implements keyboard input by reading characters typed into a text entry box, or has the user click buttons with the mouse. It’s not the smoothest of input methods but it’s gloriously hacky. What’s even better is the video output, which is essentially ASCII-art video frames. Zoom in and you’ll see for yourself! It’s not the fastest frame rate, but it’s fantastic all the same.
As shown by zooming in, video frames are rendered as rows of ASCII. It’s enough to implement 6-color monochrome and make in-game text legible.
This project was partly inspired by Tetris in a PDF which demonstrated a lot of the concepts used, and if you like electronic document related shenanigans, be sure to check out playing chess against your printer with PostScript. PostScript is actually a fully functional interpreted language, but unlike JavaScript it was never intended to be used directly by humans.

Thanks to everyone who sent this to our tips line!

hackaday.com/2025/01/15/nice-p…

Il collettivo di hacktivisti noto come DarkBit ha recentemente sferrato un attacco ransomware contro l’Ashkelon Academic College (AAC), una delle principali istituzioni accademiche israeliane. In un comunicato rilasciato pubblicamente, il gruppo ha dichiarato che l’operazione è parte di una campagna più ampia per promuovere un cambiamento sociale e politico in Israele, puntando il dito contro la comunità Haredi e la loro esenzione dal servizio militare obbligatorio.

Il college ha due facoltà, la School of Economics and Social Work, per gestione, logistica, banca e contabilità, in cui si svolgono studi universitari e post-laurea , e la School of Health Sciences, per studi universitari in nutrizione, infermieristica e salute pubblica. Il college offre programmi di studi universitari nei campi della politica e del governo , dell’informatica , della sociologia e dell’antropologia , della psicologia , della criminologia , degli studi sulla Terra d’Israele , del turismo e degli studi multidisciplinari nelle scienze sociali.

Il Comunicato di DarkBit: Una Missione Ideologica

Nel messaggio, DarkBit afferma che l’attacco mira a denunciare quella che definiscono un’ingiustizia sociale all’interno della società israeliana. Secondo il gruppo, la comunità Haredi e i loro sostenitori devono essere integrati nelle leggi civili del paese, incluso il servizio militare.

La retorica utilizzata dal collettivo richiama esplicitamente il concetto di uguaglianza, condannando una presunta disparità che definiscono come una “regola della Fattoria degli Animali” – un riferimento all’opera di George Orwell.
Rivendicazione dell’attacco sul profilo Telegram di Darkbit

DarkBit: Un Profilo di Hacktivismo Ransomware

DarkBit si distingue nella scena cybercriminale per la combinazione di motivazioni ideologiche e tattiche di estorsione. Il gruppo non è nuovo a operazioni di questo tipo e ha già dimostrato di saper sfruttare vulnerabilità tecnologiche per perseguire obiettivi politici e sociali. La loro strategia unisce le tecniche tradizionali dei gruppi ransomware, come il blocco dei sistemi e la richiesta di riscatto, a messaggi pubblici che mirano a mobilitare l’opinione pubblica e a fare pressione sui loro obiettivi.

Implicazioni per la Cybersecurity e il Contesto Geopolitico

L’attacco di DarkBit sottolinea la crescente minaccia degli hacktivisti nell’era digitale. Non si tratta solo di crimine informatico tradizionale, ma di operazioni che fondono ideologia, geopolitica e tecnologia per ottenere visibilità e risultati concreti. Nel caso di Israele, dove la tensione tra gruppi laici e religiosi è già un tema di dibattito, questi attacchi possono amplificare divisioni interne e creare ulteriore instabilità.

Gli attacchi ransomware come quello di DarkBit evidenziano la necessità di rafforzare le difese informatiche, specialmente per le istituzioni educative e governative, che spesso diventano bersagli strategici per gruppi cybercriminali e hacktivisti. La comunità internazionale della cybersecurity è chiamata a collaborare per affrontare queste minacce in modo più efficace.

L'articolo DarkBit Scrive a RHC le Motivazione dell’Attacco all’Ashkelon Academic College proviene da il blog della sicurezza informatica.

L’anno nuovo si apre con una ventata di sicurezza: Microsoft ha rilasciato il primo Patch Tuesday del 2025, mettendo a segno un imponente aggiornamento che affronta 159 vulnerabilità, di cui 10 classificate come critiche e ben 8 zero-day. Tre di queste ultime risultavano già attivamente sfruttate, evidenziando l’urgenza di applicare subito le patch.

Zero-day:

Tra le vulnerabilità zero-day spiccano:

• Windows Hyper-V (CVE-2025-21333, CVE-2025-21334, CVE-2025-21335): falle che consentono agli attaccanti di ottenere privilegi SYSTEM, garantendo un controllo totale sui sistemi colpiti.
• Microsoft Access Remote Code Execution (CVE-2025-21366, CVE-2025-21395, CVE-2025-21186): vulnerabilità che permettevano l’esecuzione di codice malevolo da remoto, ora mitigate tramite il blocco di alcune estensioni di file.
• Windows App Package Installer (CVE-2025-21275): una criticità che permetteva l’escalation dei privilegi, dando maggiore controllo agli attaccanti su un sistema compromesso.
• Windows Themes Spoofing (CVE-2025-21308): apparentemente meno grave, questa falla poteva ingannare gli utenti inducendoli a caricare file malevoli mascherati da innocui temi di Windows.

Criticità risolte:

Microsoft ha risolto vulnerabilità che interessano vari vettori d’attacco, tra cui spoofing, denial of service (DoS), elevazione dei privilegi (EoP), divulgazione di informazioni e remote code execution (RCE). Ecco alcune delle falle più rilevanti:

• Esecuzione di codice remoto nei componenti core di Windows:
  
  • Microsoft Digest Authentication (CVE-2025-21294),
  • SPNEGO Extended Negotiation (CVE-2025-21295),
  • BranchCache (CVE-2025-21296),
  • Windows Remote Desktop Services (CVE-2025-21297, CVE-2025-21309),
  • Windows OLE (CVE-2025-21298),
  • Reliable Multicast Transport Driver (CVE-2025-21307).

  
  

• Elevazione di privilegi in NTLM V1 (CVE-2025-21311): una falla che consentiva agli attaccanti di ottenere privilegi elevati, aprendo la strada a compromissioni più gravi.
• Esecuzione di codice remoto in Microsoft Excel (CVE-2025-21354, CVE-2025-21362): dimostrando ancora una volta i pericoli derivanti dall’apertura di file malevoli.

Curiosamente, nessuna vulnerabilità è stata risolta nel browser Microsoft Edge (basato su Chromium) questo mese. Una rarità che lascia intendere una momentanea tregua per uno degli strumenti più esposti ad attacchi. Questa eccezione potrebbe anche riflettere un miglioramento temporaneo nella sicurezza del browser.

Perché agire subito?

Con un numero così elevato di vulnerabilità, applicare le patch di gennaio 2025 è una priorità assoluta. Lasciare un sistema scoperto significa esporsi a rischi concreti, specialmente considerando le zero-day già sfruttate attivamente.

Cosa fare:

1. Aggiorna subito i tuoi dispositivi: assicurati che gli aggiornamenti automatici siano attivati o controlla manualmente la disponibilità delle patch tramite Windows Update.
2. Evita file sospetti: non aprire allegati o file provenienti da fonti non attendibili.
3. Rimani informato: monitora le minacce emergenti e mantieni alto il livello di guardia

Conclusione

Questo Patch Tuesday dimostra quanto sia incessante la lotta contro le vulnerabilità. Ogni mese è una corsa contro il tempo per mitigare i rischi e proteggere dati e sistemi. La sicurezza informatica è una responsabilità condivisa: aggiornare i sistemi non è solo una scelta, ma un dovere.

L'articolo Microsoft inaugura il 2025 con un Patch Tuesday da record: 159 bug risolti, 10 critici e 8 0day proviene da il blog della sicurezza informatica.

As we enter 2025, we look back on some of the biggest European digital rights developments, the laws passed, enforcement actions taken, and things to watch out for in the new year and the new EU mandate.

The post EDRi’s 2024 in Review appeared first on European Digital Rights (EDRi).

Una nuova campagna informatica in corso sta mettendo a dura prova i dispositivi FortiGate di Fortinet, in particolare quelli con interfacce di gestione esposte su Internet pubblico. Questo attacco ha scatenato un’ondata di preoccupazioni per la sicurezza, rivelando vulnerabilità potenzialmente devastanti che potrebbero compromettere l’intera infrastruttura aziendale. Se sei uno degli amministratori responsabili della gestione di dispositivi FortiGate, è il momento di agire con urgenza.

Arctic Wolf, una rinomata azienda di cybersecurity, ha rivelato che gli attaccanti stanno sfruttando una vulnerabilità sospetta zero-day, che consente loro di ottenere accesso amministrativo non autorizzato per modificare le configurazioni del firewall, estrarre credenziali e spostarsi lateralmente all’interno di ambienti compromessi. La gravità della situazione non può essere sottovalutata: l’attacco ha coinvolto dispositivi FortiGate che eseguivano firmware dalle versioni 7.0.14 alla 7.0.16, rilasciate tra febbraio e ottobre 2024.

Una campagna opportunistica che non risparmia nessuno

Gli attaccanti non sembrano essersi concentrati su un settore o tipo di organizzazione in particolare. Questo attacco è opportunistico, sfruttando vulnerabilità comuni per ottenere un accesso privilegiato e avanzare nel sistema. La campagna, che si è sviluppata tra novembre e dicembre 2024, ha visto una progressione a fasi, ognuna con obiettivi e tecniche mirate:

• Fase 1 Vulnerability scanning (16–23 novembre 2024): Gli attaccanti hanno eseguito scansioni di vulnerabilità sfruttando l’interfaccia a riga di comando jsconsole, utilizzando indirizzi IP sospetti come quelli di loopback (ad esempio, 127.0.0.1) o risolutori DNS pubblici (ad esempio, 8.8.8.8).
• Fase 2 Reconnaissance (22–27 novembre 2024): I malintenzionati hanno effettuato il riconoscimento, cercando di modificare le configurazioni per verificare se fossero riusciti a ottenere i privilegi amministrativi.
• Fase 3 SSL VPN configuration (4–7 dicembre 2024): In questa fase, gli attaccanti hanno configurato l’accesso SSL VPN, creando nuovi account super amministrativi o prendendo il controllo di quelli esistenti per infiltrarsi ulteriormente nelle reti.
• Fase 4 Lateral Movement (16–27 dicembre 2024): Con accesso amministrativo, gli attaccanti hanno sfruttato la tecnica DCSync per estrarre le credenziali, approfittando della replica del dominio e accedendo a informazioni sensibili.

The CLI Console feature in the FortiGate web interface

Cosa fare?

Arctic Wolf sottolinea l’importanza di proteggere le interfacce di gestione e limitare l’accesso solo a utenti interni fidati. Ecco alcune azioni critiche da intraprendere senza indugi:

1. Disabilita l’accesso pubblico alle interfacce di gestione: Assicurati che le interfacce di gestione dei firewall siano inaccessibili da Internet.
2. Aggiorna regolarmente il firmware: Mantieni i dispositivi aggiornati con l’ultima versione stabile per proteggerti dalle vulnerabilità note.
3. Monitora attività anomale: Cerca comportamenti sospetti, come accessi amministrativi ripetuti o l’uso di IP di loopback.
4. Implementa l’autenticazione a più fattori (MFA): Rafforza la sicurezza degli accessi amministrativi per ridurre i rischi.
5. Effettua attività di Threat Hunting: Indaga su segni di attività malevola, inclusi cambiamenti non autorizzati nelle configurazioni o configurazioni SSL VPN sospette.

Conclusione

Fortinet è consapevole della campagna e sta attivamente indagando sull’incidente. Il 12 dicembre 2024, Arctic Wolf ha segnalato le attività osservate a Fortinet, e il loro team PSIRT ha confermato di essere a conoscenza della situazione il 17 dicembre. Tuttavia, l’attività prosegue e l’impegno di Fortinet nella risoluzione è ancora in corso.

Questa campagna è un chiaro esempio di come attacchi mirati possano evolversi rapidamente e compromettere gravemente la sicurezza delle infrastrutture IT. Ora più che mai, è fondamentale essere preparati e implementare le misure di difesa adeguate per proteggere i dati sensibili e garantire la resilienza della rete aziendale.

L'articolo Allarme FortiGate: attacco zero-day in corso, migliaia di dispositivi a rischio! proviene da il blog della sicurezza informatica.