Introduction

Since early March 2025, our systems have recorded an increase in detections of similar files with names like договор-2025-5.vbe, приложение.vbe, and dogovor.vbe (translation: contract, attachment) among employees at various Russian organizations. The targeted attack begins with bait emails containing malicious links, sent under the pretext of signing a contract. The campaign began in July 2024 and is still ongoing at the time of publication. The main goal of the attack is to infect organizations with the previously unknown Batavia spyware, which then proceeds to steal internal documents. The malware consists of the following malicious components: a VBA script and two executable files, which we will describe in this article. Kaspersky solutions detect these components as HEUR:Trojan.VBS.Batavia.gen and HEUR:Trojan-Spy.Win32.Batavia.gen.

First stage of infection: VBS script

As an example, we examined one of the emails users received in February. According to our research, the theme of these emails has remained largely unchanged since the start of the campaign.

Example of an email with a malicious link

In this email, the employee is asked to download a contract file supposedly attached to the message. In reality, the attached file is actually a malicious link: https://oblast-ru[.]com/oblast_download/?file=hc1-[redacted].

Notably, the sender’s address belongs to the same domain – oblast-ru[.]com, which is owned by the attackers. We also observed that the file=hc1-[redacted] argument is unique for each email and is used in subsequent stages of the infection, which we’ll discuss in more detail below.

When the link is clicked, an archive is downloaded to the user’s device, containing just one file: the script Договор-2025-2.vbe, encrypted using Microsoft’s proprietary algorithm (MD5: 2963FB4980127ADB7E045A0F743EAD05).

Snippet of the malicious script after decryption

The script is a downloader that retrieves a specially crafted string of 12 comma-separated parameters from the hardcoded URL [strong]https://oblast-ru[.]com/oblast_download/?file=hc1-[redacted][/strong]&vput2. These parameters are arguments for various malicious functions. For example, the script identifies the OS version of the infected device and sends it to the attackers’ C2 server.

By accessing the address [strong]https://oblast-ru[.]com/oblast_download/?file=hc1-[redacted][/strong]&dd=d, the script downloads the file WebView.exe (MD5: 5CFA142D1B912F31C9F761DDEFB3C288) and saves it to the %TEMP% directory, then executes it. If the OS version cannot be retrieved or does not match the one obtained from the C2 server, the downloader uses the Navigate() method; otherwise, it uses Run().

Second stage of infection: WebView.exe

WebView.exe is an executable file written in Delphi, with a size of 3,235,328 bytes. When launched, the malware downloads content from the link [strong]https://oblast-ru[.]com/oblast_download/?file=[/strong]1[strong]hc1-[redacted]&view[/strong] and saves it to the directory C:\Users[username]\AppData\Local\Temp\WebView, after which it displays the downloaded content in its window. At the time of analysis, the link was no longer active, but we assume it originally hosted the fake contract mentioned in the malicious email.

At the same time as displaying the window, the malware begins collecting information from the infected computer and sends it to an address with a different domain, but the same infection ID: [strong]https://ru-exchange[.]com/mexchange/?file=[/strong]1[strong]hc1-[redacted][/strong]. The only difference from the ID used in the VBS script is the addition of the digit 1 at the beginning of the argument, which may indicate the next stage of infection.

The spyware collects several types of files, including various system logs and office documents found on the computer and removable media. Additionally, the malicious module periodically takes screenshots, which are also sent to the C2 server. To avoid sending the same files repeatedly, the malware creates a file named h12 in the %TEMP% directory and writes a 4-byte FNV-1a_32 hash of the first 40,000 bytes of each uploaded file. If the hash of any subsequent file matches a value in h12, that file is not sent again.

In addition, WebView.exe downloads the next-stage executable from [strong]https://oblast-ru[.]com/oblast_download/?file=[/strong]1[strong]hc1-[redacted][/strong]&de and saves it to %PROGRAMDATA%\jre_22.3\javav.exe. To execute this file, the malware creates a shortcut in the system startup folder: %APPDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\Jre22.3.lnk. This shortcut is triggered upon the first device reboot after infection, initiating the next stage of malicious activity.

Third stage of infection: javav.exe

The executable file javav.exe (MD5: 03B728A6F6AAB25A65F189857580E0BD) is written in C++, unlike WebView.exe. The malicious capabilities of the two files are largely similar; however, javav.exe includes several new functions.

For example, javav.exe collects files using the same masks as WebView.exe, but the list of targeted file extensions is expanded to include these formats:

• Image and vector graphic: *.jpeg, *.jpg, *.cdr
• Spreadsheets: *.csv
• Emails: *.eml
• Presentations: *.ppt, *.pptx, *.odp
• Archives: *.rar, *.zip
• Other text documents: *.rtf, *.txt

Like its predecessor, the third-stage module compares the hash sums of the obtained files to the contents of the h12 file. The newly collected data is sent to [strong]https://ru-exchange[.]com/mexchange/?file=[/strong]2[strong]hc1-[redacted][/strong].
Note that at this stage, the digit 2 has been added to the infection ID.

Additionally, two new commands appear in the malware’s code: set to change the C2 server and exa/exb to download and execute additional files.

In a separate thread, the malware regularly sends requests to [strong]https://ru-exchange[.]com/mexchange/?[/strong]set[strong]&file=[/strong]2[strong]hc1-[redacted]&data=[xxxx][/strong], where [xxxx] is a randomly generated 4-character string. In response, javav.exe receives a new C2 address, encrypted with a 232-byte XOR key, which is saved to a file named settrn.txt.

In another thread, the malware periodically connects to [strong]https://ru-exchange[.]com/mexchange/?[/strong]exa[strong]&file=[/strong]2[strong]hc1-[redacted]&data=[xxxx][/strong] (where [xxxx] is also a string of four random characters). The server responds with a binary executable file, encrypted using a one-byte XOR key 7A and encoded using Base64. After decoding and decryption, the file is saved as %TEMP%\windowsmsg.exe. In addition to this, javav.exe sends requests to [strong]https://ru-exchange[.]com/mexchange/?[/strong]exb[strong]&file=[/strong]2[strong]hc1-[redacted]&data=[xxxx][/strong], asking for a command-line argument to pass to windowsmsg.exe.

To launch windowsmsg.exe, the malware uses a UAC bypass technique (T1548.002) involving the built-in Windows utility computerdefaults.exe, along with modification of two registry keys using the reg.exe utility.
add HKCU\Software\Classes\ms-settings\Shell\Open\command /v DelegateExecute /t REG_SZ /d "" /f

add HKCU\Software\Classes\ms-settings\Shell\Open\command /f /ve /t REG_SZ /d "%temp%\windowsmsg.exe <arg>"
At the time of analysis, downloading windowsmsg.exe from the C2 server was no longer possible. However, we assume that this file serves as the payload for the next stage – most likely containing additional malicious functionality.

Victims

The victims of the Batavia spyware campaign were Russian industrial enterprises. According to our telemetry data, more than 100 users across several dozen organizations received the bait emails.

Number of infections via VBS scripts, August 2024 – June 2025 (download)

Conclusion

Batavia is a new spyware that emerged in July 2024, targeting organizations in Russia. It spreads through malicious emails: by clicking a link disguised as an official document, unsuspecting users download a script that initiates a three-stage infection process on their device. As a result of the attack, Batavia exfiltrates the victim’s documents, as well as information such as a list of installed programs, drivers, and operating system components.

To avoid falling victim to such attacks, organizations must take a comprehensive approach to infrastructure protection, employing a suite of security tools that include threat hunting, incident detection, and response capabilities. Kaspersky Next XDR Expert is a solution for organizations of all sizes that enables flexible, effective workplace security. It’s also worth noting that the initial infection vector in this campaign is bait emails. This highlights the importance of regular employee training and raising awareness of corporate cybersecurity practices. We recommend specialized courses available on the Kaspersky Automated Security Awareness Platform, which help reduce employees’ susceptibility to email-based cyberattacks.

Indicators of compromise

Hashes of malicious files
Договор-2025-2.vbe
2963FB4980127ADB7E045A0F743EAD05
webview.exe
5CFA142D1B912F31C9F761DDEFB3C288
javav.exe
03B728A6F6AAB25A65F189857580E0BD

C2 addresses
oblast-ru[.]com
ru-exchange[.]com

securelist.com/batavia-spyware…

X-ray crystallography, like mass spectroscopy and nuclear spectroscopy, is an extremely useful material characterization technique that is unfortunately hard for amateurs to perform. The physical operation isn’t too complicated, however, and as [Farben-X] shows, it’s entirely possible to build an X-ray diffractometer if you’re willing to deal with high voltages, ancient X-ray tubes, and soft X-rays.

[Farben-X] based his diffractometer around an old Soviet BSV-29 structural analysis X-ray tube, which emits X-rays through four beryllium windows. Two ZVS drivers power the tube: one to drive the electron gun’s filament, and one to feed a flyback transformer and Cockroft-Walton voltage multiplier which generate a potential across the tube. The most important part of the imaging system is the X-ray collimator, which [Farben-X] made out of a lead disk with a copper tube mounted in it. A 3D printer nozzle screws into each end of the tube, creating a very narrow path for X-rays, and thus a thin, mostly collimated beam.

To get good diffraction patterns from a crystal, it needed to be a single crystal, and to actually let the X-ray beam pass through, it needed to be a thin crystal. For this, [Farben-X] selected a sodium chloride crystal, a menthol crystal, and a thin sheet of mica. To grow large salt crystals, he used solvent vapor diffusion, which slowly dissolves a suitable solvent vapor in a salt solution, which decreases the salt’s solubility, leading to very slow, fine crystal growth. Afterwards, he redissolved portions of the resulting crystal to make it thinner.
The diffraction pattern generated by a sodium chloride crystal.
For the actual experiment, [Farben-X] passed the X-ray beam through the crystals, then recorded the diffraction patterns formed on a slide of X-ray sensitive film. This created a pattern of dots around the central beam, indicating diffracted beams. The mathematics for reverse-engineering the crystal structure from this is rather complicated, and [Farben-X] hadn’t gotten to it yet, but it should be possible.

We would recommend a great deal of caution to anyone considering replicating this – a few clips of X-rays inducing flashes in the camera sensor made us particularly concerned – but we do have to admire any hack that coaxed such impressive results out of such a rudimentary setup. If you’re interested in further reading, we’ve covered the basics of X-ray crystallography before. We’ve also seen a few X-ray machines.

youtube.com/embed/EKCt-dHuzS4?…

hackaday.com/2025/07/07/buildi…

E’ stato sviluppato un proof-of-concept (PoC) di un exploit per una falla critica che consente l’escalation dei privilegi locali, interessando varie distribuzioni Linux principali, come Fedora e SUSE. La vulnerabilità, monitorata con il codice CVE-2025-6019, consente agli utenti non privilegiati di ottenere l’accesso root sfruttando il demone udisksd e la sua libreria backend libblockdev, creando significativi rischi per la sicurezza dei sistemi multiutente e degli ambienti condivisi.

La vulnerabilità sfrutta una vulnerabilità fondamentale nel modo in cui il demone udisksd elabora le richieste di comunicazione D-Bus dagli utenti del gruppo allow_active. Quando i sistemi correttamente configurati ricevono operazioni relative al disco tramite chiamate D-Bus, il demone presuppone erroneamente che la sola appartenenza al gruppo fornisca un’autorizzazione sufficiente per operazioni sensibili.

Ricordiamo che il demone udisksd è un componente di sistema su Linux responsabile della gestione dei dispositivi di archiviazione (dischi rigidi, SSD, chiavette USB, CD/DVD, ecc.). Questo PoC consente agli aggressori di aggirare i controlli di sicurezza previsti ed eseguire operazioni privilegiate con permessi di root.

Il vettore di attacco si concentra sulla gestione impropria dell’autorità dell’utente durante le comunicazioni interprocesso tramite D-Bus. I ricercatori di sicurezza hanno scoperto che il demone udisksd non riesce a convalidare adeguatamente il contesto dell’utente che effettua l’invocazione, affidandosi invece esclusivamente a controlli dei privilegi basati sul gruppo.

Secondo l’analisi di SecureLayer7, questo difetto di progettazione crea un percorso sfruttabile in cui le chiamate D-Bus possono essere manipolate per innescare operazioni privilegiate non autorizzate. L’analisi statica del codice sorgente di udisks2 e libblockdev ha rivelato diversi pattern preoccupanti nel percorso di escalation dei privilegi. Il flusso di esecuzione vulnerabile segue il seguente schema: udisks_daemon_handle_mount → polkit_check → blkdev_mount.
Immagine dell’esecuzione dell’exploit dal blog di securelayer7.net
Questa sequenza consente agli utenti non privilegiati di far sì che udisksd esegua operazioni di montaggio con permessi di root, aggirando di fatto il modello di sicurezza previsto. Il processo di exploit richiede una sofisticazione tecnica minima, il che lo rende particolarmente pericoloso. Gli aggressori necessitano solo dell’appartenenza al gruppo allow_active e della capacità di eseguire comandi udisksctl.

La prova di concetto dimostra che un semplice comando come udisksctl mount -b /dev/loop0 può causare operazioni di montaggio controllate da root da parte di utenti non root, portando potenzialmente alla compromissione dell’intero sistema. La vulnerabilità interessa un’ampia gamma di distribuzioni Linux che implementano udisks2 e libblockdev nei loro ambienti desktop. I sistemi Fedora e SUSE sono particolarmente vulnerabili a causa delle loro configurazioni predefinite, che spesso includono utenti nel gruppo allow_active per le funzionalità desktop.

Il problema della sicurezza è particolarmente preoccupante per gli ambienti di elaborazione condivisi, i sistemi multiutente e qualsiasi distribuzione in cui la separazione dei privilegi è fondamentale. I responsabili della distribuzione hanno risposto con aggiornamenti di sicurezza che risolvono la vulnerabilità principale attraverso diversi meccanismi. La correzione principale prevede una verifica basata sull’UID più rigorosa, anziché basarsi esclusivamente sull’appartenenza al gruppo. Il codice aggiornato ora richiede sia l’appartenenza al gruppo che un contesto UID appropriato prima di consentire operazioni privilegiate.

Gli amministratori di sistema dovrebbero aggiornare immediatamente i pacchetti udisks2 e libblockdev alle versioni corrette. Le organizzazioni dovrebbero inoltre verificare le autorizzazioni basate sui gruppi e implementare regole polkit più rigorose per prevenire vulnerabilità simili.

L'articolo Un nuovo Exploit Poc consente Privilege Excalation su Linux utilizzando il demone udisksd proviene da il blog della sicurezza informatica.

CHIUSURA STAGIONE 9 - I LLM sono il sogno di manager e stakeholder: il lavoro (o almeno la sua parte vendibile) senza i lavoratori. Il solo vero caso d'uso è la svalutazione del lavoro e delle competenze. Da qui tutti i discorsi sulla prossima inutilità di psicologi, medici, programmatori. Gli utili idioti che abboccano sono solo quelli che credono di avere il simulacro, lo spettacolo della competenza, senza la competenza, sia un gioco vincente.

spreaker.com/episode/dk-9x36-i…

A San Francisco, chiunque abbia mai partecipato a un hackathon lo conosce. René Turcios non è un programmatore, non è un ingegnere e non si è laureato in un’università prestigiosa. Non scrive nemmeno codice. Ma dal 2023, questo ragazzo ha vinto più di duecento hackathon, portando a casa premi, rispetto e bonus piuttosto consistenti. Il suo segreto è semplice: la “programmazione a vibrazioni”.

Il termine “vibe coding” è stato coniato dal ricercatore di intelligenza artificiale Andrej Karpathy per descrivere il processo in cui un essere umano spiega un compito a parole e un’intelligenza artificiale lo trasforma in codice funzionante. Inizialmente disprezzato, questo approccio è ora utilizzato sia da startup che da grandi aziende IT, e strumenti come Cursor e Claude stanno diventando la norma.

Turcios iniziò a usare questo metodo molto prima di avere un nome. Al suo primo hackathon, inseriva semplicemente un’idea in ChatGPT: creare un convertitore di qualsiasi canzone in una versione lo-fi. E – senza scrivere nulla a mano – si aggiudicò il secondo posto. Quando i risultati furono annunciati, urlò di gioia. Nessuno lo conosceva allora, ma fu allora che capì di poter competere con laureati di Stanford e ingegneri di grandi aziende.

René ha 29 anni. È originario del Missouri ed è cresciuto in una famiglia di artisti circensi che domavano leoni e orsi. Invece di andare all’università, è diventato un giocatore professionista di Yu-Gi-Oh! e ha viaggiato per diversi anni negli Stati Uniti, partecipando a tornei e dormendo a casa di amici. A un certo punto, si è stancato e si è trasferito a San Francisco con la sua ragazza. Ha provato diversi lavori part-time e in seguito ha lanciato una startup per creare infrastrutture per il metaverso. Ma il progetto è stato presto chiuso: gli ingegneri si sono rifiutati di lavorare con l’intelligenza artificiale.

Uno di loro ha persino affermato che si sarebbe licenziato se gli avessero chiesto di nuovo di usare una rete neurale. In risposta, Turcios ha chiuso l’azienda e si è messo a studiare per conto proprio. Ha iniziato a presentarsi a quasi tutti gli hackathon della città, dall’AGI House alla Frontier Tower. Non scriveva codice, sapeva solo come formulare correttamente una richiesta e sfruttare al meglio l’intelligenza artificiale. E sapeva come vincere.
Una immagine di René Turcios dal suo profilo di Instagram
Organizzatori e partecipanti agli hackathon si sono già abituati alla sua voce potente, all’immagine cyberpunk da strada e alla sua frase distintiva “Non ho scritto una sola riga di codice”. Le vittorie sono arrivate una dopo l’altra. Le startup hanno iniziato a commissionargli lo sviluppo di MVP e prototipi, che richiedevano settimane di lavoro a team di programmatori. Lui li ha realizzati in poche ore. Ora conduce personalmente workshop, insegnando sia a principianti che a sviluppatori esperti come lavorare con l’intelligenza artificiale.

Ora Turcios ha rallentato un po’. Si concentra sul suo progetto personale: creare agenti di intelligenza artificiale. Nessun team, nessun investitore, nessun sviluppatore. Fa tutto da solo, o meglio, insieme a una rete neurale. Durante una delle riunioni, ha aperto il suo portatile e ha chiesto: cosa dovremmo costruire? La conversazione verteva sui suoi personaggi preferiti di Labubus, che conserva in scatole a casa. In 15 minuti, un sito web per la rivendita di bambole era pronto.

A René non importano lauree, linguaggi di programmazione o ruoli aziendali. Ha semplicemente capito come funziona il nuovo mondo e ha imparato a giocare secondo le sue regole. O meglio, le ha riscritte.

L'articolo Non so programmare, ma ha vinto 200 hackathon! René Turcios, la leggenda del “vibe coder” proviene da il blog della sicurezza informatica.

Although not nearly as intimidating as her ceiling-mounted hanging arm body, GLaDOS spent a significant portion of the Portal 2 game in a stripped-down computer powered by a potato battery. [Dave] had already made a version of her original body, but it was built around a robotic arm that was too expensive for the project to be really accessible. For his latest project, therefore, he’s created a AI-powered version of GLaDOS’s potato-based incarnation, which also serves as a fun introduction to building AI systems.

[Dave] wanted the system to work offline, so he needed a computer powerful enough to run all of his software locally. He chose an Nvidia Jetson Orin Nano, which was powerful enough to run a workable software system, albeit slowly and with some memory limitations. A potato cell unfortunately doesn’t generate enough power to run a Jetson, and it would be difficult to find a potato large enough to fit the Jetson inside. Instead, [Dave] 3D-printed and painted a potato-shaped enclosure for the Jetson, a microphone, a speaker, and some supplemental electronics.

A large language model handles interactions with the user, but most models were too large to fit on the Jetson. [Dave] eventually selected Llama 3.2, and used LlamaIndex to preprocess information from the Portal wiki for retrieval-augmented generation. The model’s prompt was a bit difficult, but after contacting a prompt engineer, [Dave] managed to get it to respond to the hapless user in an appropriately acerbic manner. For speech generation, [Dave] used Piper after training it on audio files from the Portal wiki, and for speech recognition used Vosk (a good programming exercise, Vosk being, in his words, “somewhat documented”). He’s made all of the final code available on GitHub under the fitting name of PotatOS.

The end result is a handheld device that sarcastically insults anyone seeking its guidance. At least Dave had the good sense not to give this pernicious potato control over his home.

youtube.com/embed/Dz95q6XYjwY?…

hackaday.com/2025/07/06/buildi…

Il 1 luglio 2025 il canale Telegram “APT IRGC” ha pubblicato l’archivio Pegasus-prv.zip (390 MB) rivendicando una fuga di materiale sullo spyware Pegasus di NSO Group. APT IRGC (Advanced Persistent Threat – Islamic Revolutionary Guard Corps) è un acronimo per identificare gruppi di cyber-spionaggio legati all’Iran, ritenuti affiliati o controllati direttamente dal Corpo delle Guardie Rivoluzionarie Islamiche (IRGC). Questi gruppi operano principalmente con finalità politiche, militari e di sorveglianza interna/esterna, e sono responsabili di campagne offensive contro infrastrutture critiche, oppositori politici, e governi stranieri.

Nota: Il nome “APT IRGC” non si riferisce a un singolo gruppo tecnico ma a una famiglia di operatori con affiliazione comune al settore cyber militare iraniano.

Nel giro di poche ore vx-underground – archivio di riferimento per i ricercatori di malware – ha esaminato il dump, liquidandolo come «FAKE AS ALWAYS» x.com.

L’obiettivo di questo report è mostrare, con dati alla mano, perché il pacchetto non contiene Pegasus ma soltanto malware generico e documentazione commerciale già nota.

2 File three

2.1 Contenuto di Pegasus-prv.zip

Nota Il PDF “NSO-Pegasus” è un brochure di prodotto già trapelata anni fa (versione Pegasus Product Description Oct-2013).

2.2 Focus su Pegasus_malware.zip

Dallo zip secondario abbiamo estratto cinque campioni nominati come hash (nessuna estensione):

Nessuno di questi file è correlato allo spyware NSO; sono semplici payload/loader mainstream usati in campagne Android o Java RAT.

3 Analisi tecnica dettagliata

4 Debunking di vx-underground

• Verifica firma: i campioni non coincidono con SHA-256 noti nei report Citizen Lab su Pegasus.
• Composizione del dump: miscela di RAT Windows, APK Android, README di un ricercatore indipendente (Jonathan Scott) già fonte di controversie.
• Conclusione: il leak è una “franken-collezione” di materiale pubblico usata per propaganda anti-israeliana. x.com

5 Rischio per la community

il file APK: 144778790d4a43a1d93dff6b660a6acb3a6d37a19e6a6f0a6bf1ef47e919648e

risulta malevolo su varie sandbox:

virustotal.com/gui/file/144778…

bazaar.abuse.ch/sample/1447787…

La data di prima sottomissione risulta piuttosto datata, elemento che rafforza l’ipotesi di una manipolazione e riutilizzo di un malware preesistente.

6 Conclusioni

Il pacchetto Pegasus-prv.zip non contiene né exploit zero-click né codice proprietario NSO.
È un collage di:

1. Vecchio materiale marketing (privo di valore operativo).
2. Malware commodity (APK/JAR/RAT) rinominato per sembrare sofisticato.

La narrativa di “APT IRGC” è quindi da classificare come operazione di disinformazione a sfondo politico, con un potenziale rischio di infezione per chi analizza il dump senza sandbox.

L'articolo Falso leak Pegasus: nessun codice NSO, solo RAT e propaganda proviene da il blog della sicurezza informatica.

Nell’interconnesso labirinto del XXI secolo, dove il desiderio di autenticità e la ricerca di opportunità danzano sul filo del paradosso, emerge un fenomeno oscuro che sfida le nostre più radicate difese psicologiche: il “pig butchering scam”. Non una mera frode finanziaria, ma una macabra sinfonia di manipolazione e ingegneria sociale, costruita sulla fame atavica di connessione umana. Qui, la preda non è solo il conto in banca, ma l’integrità stessa dell’individuo.

Manipolazione emotiva

Al cuore del “pig butchering scam” c’è una meticolosa, quasi chirurgica, costruzione di fiducia e dipendenza emotiva. Gli scammer non sono ladri improvvisati; sono maestri nell’arte della persuasione psicologica, capaci di tessere ragnatele relazionali con una pazienza spaventosa.

• Aggancio iniziale: tutto inizia spesso su piattaforme di dating online, social media o persino app di messaggistica. Il profilo dell’aggressore è un’opera d’arte digitale: attraente, di successo, culturalmente interessante, e soprattutto, apparentemente in cerca di una connessione profonda e autentica. L’obiettivo? Generare un’immediata attrazione e curiosità, quell'”effetto wow” che cattura l’attenzione e apre la porta a un dialogo.
• Costruzione del legame: una volta stabilito il contatto, inizia la fase del “love bombing”. Messaggi costanti, lodi sperticate, dichiarazioni di intenti serie e immediate (“sei l’unica persona che mi capisce”, “vedo un futuro con te”). Questo crea un legame emotivo intenso e accelerato, saturando la vittima di un’attenzione positiva e rinforzando l’illusione di una relazione speciale e profonda. La solitudine, il desiderio di amore o accettazione, e la ricerca di una connessione significativa diventano in questa fase leve potentissime, riempiendo un vuoto che la vittima potrebbe non aver nemmeno pienamente percepito.
• Costruzione dei bisogni e delle vulnerabilità: durante questa fase, lo scammer non fa altro che ascoltare – o meglio, simulare un ascolto attivo e empatico. Raccoglie informazioni preziose sulla vita della vittima: sogni, paure, insicurezze finanziarie o emotive. È un’indagine subdola, cruciale per personalizzare l’inganno. La vulnerabilità non è vista come una caratteristica umana da rispettare, ma come un’opportunità strategica da sfruttare senza scrupoli.
• Creazione di una realtà condivisa: l’attaccante introduce gradualmente l’argomento degli investimenti, spesso presentandoli come un segreto per il successo finanziario che desidera condividere “solo con te”, in quanto parte di una relazione ormai “speciale”. Vengono mostrati profitti fittizi su piattaforme fasulle, creando un senso di esclusività e opportunità irripetibile. La vittima viene coinvolta in un progetto comune, un sogno di ricchezza condivisa che cementa ulteriormente il legame, rendendo la separazione dall’inganno sempre più difficile.

Bias Cognitivi

Dietro queste dinamiche psicologiche si nasconde un’ingegneria sociale finemente calibrata che fa leva sui nostri bias cognitivi, quelle scorciatoie mentali che, seppur utili nella vita quotidiana, possono trasformarsi in veri e propri punti deboli quando sfruttate:

• Bias di conferma: la mente umana tende a cercare attivamente e interpretare le informazioni in modo da confermare le proprie credenze preesistenti. In questo contesto, la vittima cerca ogni segnale che convalidi la bontà dell’investimento e la sincerità della relazione, ignorando sistematicamente ogni allarme.
• Bias di reciprocità: avendo ricevuto un’overdose di “amore” e attenzione, la vittima sviluppa un senso di debito inconscio, sentendosi più propensa a ricambiare il favore, anche se questo significa un impegno finanziario sproporzionato.
• Overconfidence bias: spinta dall’illusione di un successo garantito e dalla convinzione di essere “speciali” agli occhi dello scammer, la vittima tende a sovrastimare le proprie capacità decisionali e a sottovalutare i rischi, sentendosi immune da fallimenti.
• Need for closure: il desiderio umano di avere risposte chiare, di risolvere l’incertezza e di raggiungere un obiettivo può rendere la vittima più suscettibile a “soluzioni” rapide, facili e apparentemente redditizie, senza approfondire i dettagli.

Cicatrici invisibili

La tragedia del “pig butchering scam” va ben oltre la perdita economica. Le vittime subiscono un profondo e complesso trauma psicologico, le cui cicatrici sono spesso invisibili ma devastanti:

• Vergogna e colpa: la percezione di essere stati “stupidi” o “ingenui” genera un’ondata di vergogna e auto-colpevolizzazione. Si sentono responsabili della propria rovina, un fardello emotivo pesantissimo.
• Perdita di fiducia: questa si estende non solo verso gli altri e il mondo esterno, ma in modo ancora più doloroso, verso se stessi e il proprio giudizio. Questo può compromettere profondamente future relazioni interpersonali e la capacità di prendere decisioni importanti.
• Isolamento sociale: la vergogna e la paura del giudizio spingono spesso le vittime a nascondere l’accaduto, imprigionandole in un doloroso isolamento che impedisce loro di chiedere aiuto e di iniziare il processo di guarigione.
• Depressione e ansia: la perdita finanziaria sommata al tradimento emotivo, al senso di umiliazione e alla rottura della fiducia può innescare gravi problemi di salute mentale, inclusi episodi depressivi profondi, attacchi d’ansia e disturbi da stress post-traumatico.
• Dissonanza cognitiva: la difficoltà straziante di conciliare la percezione iniziale di una relazione amorevole e autentica con la cruda, brutale realtà della frode crea una dissonanza cognitiva insopportabile, un dolore emotivo lancinante che scuote le fondamenta della propria identità.

In conclusione

Il “pig butchering scam” è un monito potente su quanto sia fragile la nostra percezione della realtà, specialmente quando è annebbiata dal desiderio più profondo di connessione, successo o affetto. È un promemoria che la vera ricchezza non si misura solo in denaro, ma nella solidità del nostro discernimento e nella robustezza dei nostri confini emotivi.

Ora, la domanda è: Quanto si è pronti a riprendere la propria storia, a riprendere il timone della propria vita, anche se questo significa affrontare una verità scomoda e dolorosa?

Il primo atto di liberazione è riconoscere l’inganno.

Il secondo, e non meno potente, è scegliere di rialzarsi.

La resilienza è la chiave di volta.

Perché? Perché la resilienza è quella forza interiore che permette non solo di resistere all’impatto devastante del tradimento e della perdita, ma di trasformare la ferita in una risorsa preziosa.

È la capacità di riadattarsi, di apprendere dagli eventi più dolorosi, di ricostruire la fiducia in se stessi e negli altri.

La resilienza offre gli strumenti per rialzarsi più forti, più consapevoli.

L'articolo Pig Butchering Scam: Come la macellazione del maiale sta diventando una Truffa di dipendenza emotiva proviene da il blog della sicurezza informatica.

Un nuovo infostealer emerge dalle underground criminali e il suo nome è “123 | Stealer”. L’autore di questo software è un hacker che si nasconde sotto lo pseudonimo di koneko. Offre in affitto il malware per 120 dollari al mese, presentandolo come uno strumento universale per il furto di informazioni riservate.

Il programma è progettato con particolare attenzione alle prestazioni e alla mobilità. Secondo l’autore, “123 | Stealer” è scritto in C++, non richiede librerie aggiuntive e le sue dimensioni sono di circa 700 kilobyte. Il malware viene distribuito come un file eseguibile autonomo compatto, il che ne complica il rilevamento da parte degli antivirus .

Tuttavia, l’utilizzo di questo strumento presenta alcune sfide tecniche. Per funzionare, l’aggressore deve configurare un proprio server proxy basato su Ubuntu o Debian. Questo requisito non solo aumenta il livello di stealth e rende più difficile tracciare il traffico di comando e controllo, ma richiede anche che l’utente disponga di competenze tecniche di base.

Le funzionalità di “123 | Stealer” includono il furto di dati da browser popolari come Chrome e Firefox . Il malware è in grado di estrarre password, cookie e cronologia di navigazione salvati. Di particolare interesse è la funzione mirata al furto di wallet di criptovalute, che evidenzia la rilevanza di tali attacchi nel contesto del crescente interesse per le risorse digitali.

Inoltre, il programma può intercettare processi e file in esecuzione sul dispositivo infetto, nonché interagire con le estensioni del browser. Il pannello di controllo supporta oltre 70 estensioni per browser basati su Chromium e Gecko, inclusi programmi di messaggistica istantanea e altre piattaforme popolari.

Di seguito quanto riportayto nel forum underground XSS in lingua russa da parte degli sviluppatori.

123 Stealer raccoglie i dati del browser, i cookie, le password, il file grabber, il process grabber, le estensioni del browser chrome, la raccolta di portafogli di criptovalute, e per lo più cose predefinite come tutti gli altri.
È necessario un proprio server su ubuntu o debian, per installare il proxy è obbligatorio!
Licenza per un mese 120$, solo per un mese e non di più.

Per i rilevamenti e le cause di forza maggiore la responsabilità non è responsabile. (e cosa volevate per una tale somma?) cryptuite damn)

La build è scritta in c++, non carica dll aggiuntive, peso circa 700kb, x64
Tutto memorizzato sui nostri server.

Regole
È severamente vietato lavorare in Russia, nei paesi della CSI e nelle ex repubbliche dell’URSS. La violazione di questa regola porterà al blocco immediato dell’account senza alcuna spiegazione.
Non siamo responsabili per i vostri log e per cause di forza maggiore. A causa dello spazio limitato sul server, siamo costretti a pulirlo periodicamente. Vi consigliamo di salvare autonomamente i log più importanti.

L’emergere di “123 | Stealer” è l’ennesima conferma dello sviluppo attivo del mercato del malware basato sul modello “malware as a service” (MaaS). Nell’ambito di questo schema, gli autori forniscono accesso a strumenti di spionaggio informatico e furto di informazioni a un canone mensile. Strumenti già noti come RedLine e LummaC2vengono distribuiti in modo simile .

La base di tali programmi è la raccolta di dati riservati, che vengono poi venduti o utilizzati per hackerare account, commettere frodi e altri attacchi. Tuttavia, le capacità di “123 | Stealer” rimangono incerte: nella comunità underground, solo gli strumenti che hanno dimostrato la loro efficacia nella pratica e si sono guadagnati la fiducia dei criminali informatici sono i più richiesti.

Gli esperti di sicurezza informatica sottolineano che la diffusione di tali programmi abbassa la soglia di accesso all’ambiente criminale informatico. Anche gli utenti con conoscenze tecniche minime possono lanciare attacchi che utilizzano metodi avanzati di furto di informazioni.

Se le affermazioni di “123 | Stealer” fossero vere, la sua architettura modulare e il supporto per più piattaforme potrebbero effettivamente rappresentare una seria minaccia sia per gli individui che per le organizzazioni. È ancora troppo presto per valutare il reale impatto del nuovo malware, ma aziende e privati sono già invitati a essere estremamente vigili, ad aggiornare le proprie misure di sicurezza e a monitorare costantemente eventuali segnali di fuga di dati.

L'articolo Arriva 123 Stealer! 120 dollari al mese in abbonamento, per rubare qualsiasi dato riservato proviene da il blog della sicurezza informatica.

In questo episodio ci occupiamo di studio con l'ausilio degli strumenti di IA generativa.

zerodays.podbean.com/e/io-e-ch…

Counting objects is an ideal task for automation, and when focusing on a single type of object, there are many effective solutions. But what if you need to count hundreds of different objects? That’s the challenge [Christopher] tackled with his latest addition to his impressive automation projects. (Video, embedded below.)

[Christopher] has released a series of videos showcasing a containerized counting system for various fasteners, available on his YouTube channel. Previously, he built remarkable devices to count and sort fastener hardware for automated packaging, but those systems were designed for a single fastener type. He effectively highlights the vast complexity of the fastener ecosystem, where each diameter has dozens of lengths, multiple finishes, various head shapes, and more.

To address this, he developed a machine that accepts standardized containers of fastener hardware. These uniform boxes can hold anything from a small M2 countersunk screw to a large M8 cap head bolt and everything in between. To identify the loaded box and determine the appropriate operations, the machine features an RFID reader that scans each box’s unique tag.

Once a box is loaded, the machine tilts it to begin counting fasteners using a clever combination of moving platforms, an optical sensor, and gravity. A shelf first pushes a random number of fasteners onto an adjustable ledge. A second moving platform then sweeps excess fasteners off, leaving only those properly aligned. It’s no surprise this system has nine degrees of freedom. The ledge then moves into view of a sensor from a flatbed scanner, which detects object locations with an impressive 0.04 mm resolution across its length—remarkable for such an affordable sensor. At this point, the system knows how many fasteners are on the ledge. If the count exceeds the desired number, a sloped opening allows the ledge to lift just high enough to release the correct amount, ensuring precision.

The ingenuity continues after the initial count. A secondary counting method uses weight, with a load cell connected to the bin where fasteners drop. A clever over-center mechanism decouples the tilting system from the load cell to ensure accurate readings. We love automation projects, and this one incorporates so many ingenious design elements that it’s sure to inspire others for their future endeavors.

youtube.com/embed/1lFvGlfb2sA?…

hackaday.com/2025/07/06/fasten…

Taking delivery of a new vehicle from a dealership is an emotional mixed bag. On the one hand, you’ve had to endure the sales rep’s hunger to close the deal, the tedious negotiations with the classic “Let me run that by my manager,” and the closer who tries to tack on ridiculous extras like paint sealer and ashtray protection. On the other hand, you’re finally at the end of the process, and now you get to play with the Shiny New Thing in your life while pretending it hasn’t caused your financial ruin. Wouldn’t it be nice to skip all those steps in the run-up and just cut right to the delivery? That’s been Tesla’s pitch for a while now, and they finally made good on the promise with their first self-driving delivery.

The Model Y sedan drove itself from its birthplace at the Texas Gigafactory to its new owner, a 30-minute trip that covered a variety of driving situations. The fully autonomous EV did quite well over its journey, except for at the very end, where it blatantly ignored the fire lane outside its destination and parked against the red-painted curb. While some are trying to make hay of Tesla openly flaunting the law, we strongly suspect this was a “closed course” deal, at least for that last bit of the trip. So the production team probably had permission to park there, but it’s not a good look, especially with a parking lot just a few meters to the left. But it’s pretty cool that the vehicle was on the assembly line just a half-hour before. Betcha the owner still had to pay for dealer prep and delivery, though.

How much space does a million dollars take up? According to the Federal Reserve Bank of Chicago, a million one-dollar bills will fit into a cube about 50 inches (1.27 m) on a side, and they even built one as a display for their museum. Putting aside for the moment the fact that the Federal Reserve Bank of Chicago feels that they have enough public appeal to support a museum — we’d love to see the gift shop — would a million bucks really fit into a little more than a cubic meter? Not according to Calvin Liang, who took it upon himself to determine the real number of semolians on display. To do so, he built an app called Dot Counter, which lets users count items in an image by clicking on them. It turns out that the cube holds more like $1.55 million, at least assuming there are no voids inside. He also works through the math on what it would take to make an actual million-dollar cube; turns out that the 2.53:1 aspect ratio of a dollar bill makes it tough to manage anything other than a cuboid slightly smaller than the display cube holding $1.008 million. All of that really doesn’t matter, though, since Dot Counter is sure to help us win every “Guess the number of jelly beans in the jar” contest we see.

Even for the smallest of jobs, driving a truck is a hard job. And the job just keeps getting harder as the load gets bigger, as a driver in Maryland can attest to after a bizarre accident last week during the transport of a wind turbine blade. It’s a little hard to tell exactly what happened from the published stories, and the stills from the traffic-potato aren’t much help either. But it looks like the steerable rear wheels on the mega-long trailer used to move the blade, which looks to be at least 50 meters long, decided to take the eastbound lane of I-70 while the rest of the truck was going west. The pucker factor for the driver must have been off the charts as the blade crossed the highway median. Luckily, traffic was light at 5:00 AM when the accident happened, but even still, one injury was reported, and the ensuing mayhem as the blade remained lodged across both lanes as the Monday rush started must have been one for the books.

A couple of weeks ago, we featured a story on a great collection of Telnet games and demos, some of which are so accomplished that it really blows the mind. One that didn’t make that list is this fantastic ASCII moon-phase tracker. It uses ASCII art to depict the current phase of the moon visually, and yes, you can copy and paste the characters. True, it’s web-based, which probably accounts for it not appearing on the Telnet games list, but the source code is available, so making it work over Telnet might be a fun project for someone.

And finally, we’ve heard about “Netflix and chill,” but is “NASA and chill” about to be a thing? Apparently so, since NASA+, the US space agency’s media outlet, made a deal with Netflix to offer its live programming on the streaming service. This is fantastic news for Netflix subscribers, who instead of watching live launches and such for free on YouTube can pay be the privilege of watching the same content on Netflix, complete with extra ads thrown in. That’s one giant leap for mankind right there.

hackaday.com/2025/07/06/hackad…

The inside of this AF117 transistor can was a thriving whisker ecosystem. (Credit: Anthony Francis-Jones)
AF114 germanium transistors and related ones like the AF115 through AF117 were quite popular during the 1960s, but they quickly developed a reputation for failure. This is due to what should have made them more reliable, namely the can shielding the germanium transistor inside that is connected with a fourth ‘screen’ pin. This failure mode is demonstrated in a video by [Anthony Francis-Jones] in which he tests a number of new-old-stock AF-series transistors only for them all to test faulty and show clear whisker growth on the can’s exterior.

Naturally, the next step was to cut one of these defective transistors open to see whether the whiskers could be caught in the act. For this a pipe cutter was used on the fairly beefy can, which turned out to rather effective and gave great access to the inside of these 1960s-era components. The insides of the cans were as expected bristling with whiskers.

The AF11x family of transistors are high-frequency PNP transistors that saw frequent use in everything from consumer radios to just about anything else that did RF or audio. It’s worth noting that the material of the can is likely to be zinc and not tin, so these would be zinc whiskers. Many metals like to grow such whiskers, including lead, so the end effect is often a thin conductive strand bridging things that shouldn’t be. Apparently the can itself wasn’t the only source of these whiskers, which adds to the fun.

In the rest of the video [Anthony] shows off the fascinating construction of these germanium transistors, as well as potential repairs to remove the whisker-induced shorts through melting them. This is done by jolting them with a fairly high current from a capacitor. The good news is that this made the component tester see the AF114 as a transistor again, except as a rather confused NPN one. Clearly this isn’t an easy fix, and it would be temporary at best anyway, as the whiskers will never stop growing.

youtube.com/embed/Otac6XXkp4M?…

hackaday.com/2025/07/06/diagno…

These are tough times for American hackers, and rife with uncertainty. Trade wars are on, off, on again– who can keep track? If you’re used to getting everything from China, that can really cramp your style. [Jeremy Cook] took the time to write up hisexperience prototyping with American-made PCBs , just in time for us to totally miss Independence Day.

The project was a simple nightlight, using a single LED, a photoresistor, a transistor, and a CR2032 battery. The CR2032 battery does complicate things, though: [Jeremy] figured out a neat way to hold the battery using a PCB cutout, but it needs to be a 0.8 mm board. (That’s going to matter in a moment.)He’s put that PCB on GitHub if you’re interested.

To start off, JLBPCB is the Chinese clearing house of choice for [Jeremy], and they quoted a very cheap $7.10 for 20 boards. The problem was that shipping across the Pacific Ocean, plus the ever-wavering tariff charge, brought the price to $48.08. About five dollars of which was from tariffs; the rest you can put down to the cost of jet fuel and the size of the Pacific Ocean.

On the other hand, OSH Park, was able to get [Jeremy] three of their pretty purple PCBs for $7.75 all-inclusive. Overall, since he’s prototyping and does not want 20 boards this revision, [Jeremy] saves quite a lot by staying local– including the environmental impact of shipping and laxer regulations in China, if that sort of thing matters to you.

The suprizing thing is the turnaround time: [Jeremy] got his pretty purple PCBs from OSH Park a full twenty days after ordering. Similar orders from China take only a week, which is just mind-blowing when you stop and think about the great honking ocean in the way. We could perhaps cut OSH Park some slack in that 0.8 mm boards are not the most common, but their quoted turnaround time for two-layer prototypes is minimum 12 days.

They do offer a “super-swift” option for two-layer boards, but then they lose on price. As [Jeremy] points out, there are always tradeoffs. If you’re really in a hurry, nothing’s faster thanmilling the boards yourself. Or you could go the old-schooltoner-transfer etching route.

Our thanks to [Jeremy] for the tip. If you’ve got a better way to prototype, dosend us a tip about it. Also, please us know in the comments if you’ve tried an in-country PCB fabricator, and how it compared to the usual offerings from the PRC.

hackaday.com/2025/07/06/does-m…