Autori: Simone D’Agostino e Antonio Piovesan

Abbiamo spesso parlato di casi di vettori di attacco come e-mail/sms di phishing, siti abbeveratoio (watering hole) o altro riconducibile in generale a social engineering, quest’oggi invece vi parleremo di una nuova modalità che sfrutta una tecnologia nata da pochi anni e che si sta sempre più diffondendo.

Il 12 giugno 2025, Kaspersky GReAT ha pubblicato un’allerta riguardante una sofisticata campagna malware che sfrutta la crescente diffusione di modelli linguistici offline (Offline LLM) per colpire utenti Windows.Il malware, mai emerso prima, è stato denominato BrowserVenom: è progettato per intercettare il traffico web delle vittime, rubando credenziali e informazioni personali.

Ma la vera novità è appunto il vettore d’inganno: si presenta come una falsa versione installabile del noto LLM DeepSeek-R1.

Come funziona l’attacco

BrowserVenom si diffonde attraverso un sito fake che replica in modo credibile la homepage di DeepSeek-R1, uno dei modelli open-source più ricercati del momento, in grado di funzionare offline tramite strumenti come Ollama o LM Studio.

Catena d’infezione:

• L’utente cerca “DeepSeek R1” su Google;
• Clicca su un risultato pubblicitario o SEO manipolato;
• Apre una pagina che emula la UI ufficiale;
• Scarica un falso installer (che include Ollama o LM Studio contraffatti), al cui interno è incorporato anche BrowserVenom;
• Se l’utente dispone di privilegi di amministratore, il malware si installa e modifica i proxy dei browser.

Impatto tecnico

Una volta installato, BrowserVenom:

• Devia tutto il traffico web (HTTP/HTTPS) verso proxy remoti controllati dagli attaccanti;
• Intercetta dati di navigazione: cookie, credenziali, contenuti dei form, cronologia;
• Aggira Windows Defender mediante tecniche di evasione comportamentale;
• Persiste nel sistema modificando i file di configurazione proxy nei browser principali (Chrome, Edge, Firefox).

Analisi OSINT: come è emerso deepseek-r1.com

La nostra analisi OSINT indipendente ha individuato il dominio deepseek-r1.com come nodo centrale della campagna.
Partendo dalle tecniche descritte da Kaspersky — in particolare l’uso fraudolento del nome DeepSeek — è stato possibile, tramite monitoraggio SEO e analisi delle SERP, isolare il dominio compromesso.

Le SERP (Search Engine Results Pages) sono le pagine di risultati che i motori di ricerca mostrano all’utente quando effettua una ricerca per una certa parola chiave: al loro interno link e pagine web sono selezionati e ordinati tenendo conto della capacità dei contenuti di soddisfare l’intenzione di ricerca insieme ad altri fattori.

Il sito risultava posizionato nei primi risultati sponsorizzati o organici di Google, accanto a fonti legittime come Hugging Face o deepseek.com, sfruttando tecniche avanzate di SEO poisoning.

Cosa abbiamo scoperto

Il dominio deepseek-r1.com

• Il dominio deepseek-r1.com:
• Registrato a gennaio 2025 tramite Namecheap, con protezione privacy attiva;
• Hostato su IP 147.79.79.153 e 147.79.72.122, appartenente a un range Hostinger già associato ad attività sospette;
• Segnalato da 12 motori antivirus su VirusTotal come malware, infostealer o phishing (tra cui BitDefender, Fortinet, G-Data, Kaspersky).

Cos’è il SEO poisoning?

Il SEO poisoning è una tecnica in cui gli attaccanti manipolano i motori di ricerca per far apparire link fraudolenti accanto a contenuti legittimi.

Nel caso di deepseek-r1.com, il sito sfrutta:

• Iniezione massiva di keyword come “DeepSeek no login” o “Download GPT open source”;
• Sitemap ben strutturate e frequentemente aggiornate;
• Hosting su CMS ottimizzati (WordPress + CDN Hostinger);
• Probabile cloaking: contenuti differenti per i bot dei motori di ricerca rispetto agli utenti reali.

Il cloaking è una tecnica mediante la quale, grazie a particolari script, è possibile fare in modo che un sito web mostri ai motori di ricerca un contenuto differente da quello che realmente il sito stesso propone agli utenti fisici/ai visitatori, consentendo così di ottenere un migliore posizionamento all’interno delle pagine SERP.

Domini collegati: riflessioni e precauzioni

L’analisi ha evidenziato collegamenti tecnici e di referral tra deepseek-r1.com e altri domini:

• 8pixlabs.com: presente nei referral. Alcuni motori AV lo classificano come “malicious”, ma non vi sono elementi per attribuirgli un ruolo diretto nella catena d’infezione.
• ai-pro.org: linkato dalla falsa UI, presenta DNS Cloudflare e IP 172.67.38.167.
  È stato registrato nel 2022 via Moniker. La sua infrastruttura è menzionata in alcuni dump OSINT legati a traffico automatizzato o anomalo, ma non risulta flaggato al momento su VirusTotal.

Potrà avere vittime in Italia?

Ad oggi non risultano infezioni accertate in Italia, ma:

• Il sito è accessibile da IP italiani;
• È indicizzato su Google.it tra i risultati legittimi;
• Il file si scarica senza allarmi AV o blocchi DNS.

Indicatori di Compromissione (IoC)

• Dominio: deepseek-r1.com
• IP: 147.79.79.153 – 147.79.72.122
• CDN: Hostinger CDN
• CMS: WordPress 6.7.2
• Certificato TLS: ZeroSSL RSA, valido fino ad agosto 2025
• SHA256 (installer infetto): non pubblico, ma rilevato da almeno 12 AV

Conclusione

La campagna BrowserVenom sfrutta il boom dell’AI offline per colpire in modo silenzioso ma efficace.
Il dominio deepseek-r1.com, al centro della catena d’infezione, è stato scoperto dalla nostra redazione OSINT prima delle segnalazioni ufficiali.

L’indagine dimostra come campagne SEO ben orchestrate possano alterare i risultati di ricerca, convincendo l’utente ad affidarsi a strumenti, in questo caso di AI, manipolati per rubare credenziali o altre informazioni personali o sensibili.

L'articolo BrowserVenom, il malware che sfrutta DeepSeek per rubare dati. Può colpire anche in Italia? proviene da il blog della sicurezza informatica.

YOLO can mean many things, but in the context of [be_riddickulous]’s AI Talking Robot Dinosaur it refers to the “You Only Look Once” YOLOv11 object-detection algorithm by Ultralytics, the method by which this adorable dino recognizes colors and shapes to teach them to children.

If you’re new to using YOLO or object recognition more generally, [be_riddiculous]’s tutorial is not a bad place to get started. She goes through how many images you’ll need and what types to get the shape-and-color recognition needed for this project, as well as how to annotate them and train the model, either locally or in the cloud.

The project itself is an adorable paper-mache dinosaur with a servo-actuated mouth hiding some LEDs and a Raspberry Pi camera module to provide images. In operation, the dinosaur “talks” to children using pre-recorded voice lines, inviting them to play a game and put a specific shape, or shape of a specific color (or both) in its mouth. Then the aforementioned object detection (running on a laptop) goes “YOLO” and identifies the shape so the toy can provide feedback on the child’s choice via a speaker in the belly of the beast.

The link to the game code is currently not valid, but it looks like they used PyGame for the audio output code. A servo motor controls the mouth, but without that code it’s not entirely clear to us what it’s doing. We expect by the time you read this there’s good odds [be_riddickulous] will have fixed that link and you can see for yourself.

The only thing that holds this back from being a great toy to put in every Kindergarten class is the need to have a laptop close by to plug the webcam into. A Raspberry Pi 5 ought to have the horsepower to run YOLOv11, so with a little extra effort the whole thing could be standalone — there might even be room in there for batteries.We’ve had other hacks aimed at little ones, like a kid-friendly computer to relive the glory days of the school computer lab or one of the many iterations of the RFID jukebox idea. If you want to wow the kiddos with AI, perhaps take a look at this talking Santa plush.

Got a cool project, AI, kid-related, or otherwise? Don’t forget to toss us a tip!

hackaday.com/2025/06/17/robot-…

Una vulnerabilità nel modulo di recupero del nome utente legacy di Google permetteva di indovinare il numero di telefono completo associato a un account, conoscendo solo il nome visualizzato e parte del numero. Questa falla aumentava notevolmente il rischio di attacchi mirati, dal phishing al furto di SIM card.

La vulnerabilità è stata scoperta da un ricercatore con lo pseudonimo di BruteCat, divenuto famoso in precedenza per essere riuscito a violare gli indirizzi email privati ​​dei proprietari di account YouTube. Questa volta, ha trovato un modo per aggirare le restrizioni del modulo di recupero del nome utente di Google, progettato per browser senza supporto JavaScript. A differenza della versione attuale, il vecchio modulo non includeva meccanismi moderni di protezione contro le azioni automatiche e rimaneva accessibile alle richieste.

BruteCat notò che il modulo gli permetteva di scoprire se un determinato numero di telefono fosse associato a un account Google specifico, conoscendo il nome del profilo e parte del numero. Iniziò a inviare richieste POST, sostituendo diverse combinazioni, e riuscì ad aggirare con successo la limitazione di base sul numero di tentativi. Per riuscirci, utilizzò la rotazione scalabile degli indirizzi IPv6: grazie alle subnet /64, era possibile generare un numero virtualmente infinito di IP univoci senza attivare blocchi.

Il ricercatore ha anche trovato un modo per aggirare la protezione CAPTCHA assegnando un token BotGuard valido, ottenuto dalla versione JavaScript dello stesso modulo, al parametro “bgresponse=js_disabled”. Ha estratto questo token automaticamente utilizzando il browser Chrome headless, scrivendo uno script separato per la generazione.

Queste tecniche sono state utilizzate per creare uno strumento chiamato gpb, che ha forzato in brute force i numeri di telefono rispetto a pattern specifici di diversi paesi, utilizzando la libreria libphonenumber di Google stessa e un database predefinito di maschere. A una velocità di 40.000 query al secondo, ci sono voluti circa 20 minuti per trovare un numero completo negli Stati Uniti, 4 minuti nel Regno Unito e meno di 15 secondi nei Paesi Bassi.

Per avviare l’attacco, era necessario conoscere l’indirizzo email della vittima, ma BruteCat ha aggirato anche questo ostacolo. Ha creato un documento in Looker Studio e ha trasferito la proprietà dell’account della vittima.

Non restava che specificare il numero, e qui entrarono in gioco altri servizi. Ad esempio, quando si cerca di reimpostare una password su PayPal, si possono vedere più cifre di un numero di telefono di quante ne mostri Google: questo era sufficiente per restringere l’intervallo di valori possibili. Quindi BruteCat ha raccolto i numeri completi associati agli account e, secondo lui, nella stragrande maggioranza dei casi si trattava dei numeri di telefono principali dei proprietari.

I dati ottenuti hanno dato al ricercatore di sicurezza l’opportunità di effettuare attacchi mirati, dall’ingegneria sociale al furto di un numero di telefono tramite più operatori. Questo approccio è diventato particolarmente pericoloso se combinato con e-mail e altre fughe di notizie precedentemente divulgate.

Il ricercatore ha segnalato la vulnerabilità a Google il 14 aprile 2025. Inizialmente, l’azienda ha valutato il rischio come basso, ma un mese dopo, il 22 maggio, ha aumentato il livello di minaccia a medio e ha implementato misure di mitigazione temporanee. BruteCat ha ricevuto una ricompensa di 5.000 dollari per la sua ricerca.

Il 6 giugno, Google ha disattivato completamente la vulnerabilità, rendendo impossibile qualsiasi ulteriore sfruttamento. Tuttavia, non è ancora noto se questa tecnica sia stata utilizzata da qualcuno prima che la vulnerabilità venisse ufficialmente chiusa.

L'articolo BruteCat buca Google: scoperti numeri di telefono nascosti con un semplice script proviene da il blog della sicurezza informatica.

La Relazione Europea sulla Droga 2025: Tendenze e Sviluppi presenta l'ultima analisi dell'EUDA sulla situazione della droga in Europa. L’ #EUDA è l’Agenzia dell’Unione europea sulle droghe (European Union Drugs Agency). È un organismo dell’ #UE con sede a Lisbona, operativo dal 2 luglio 2024, che ha sostituito il precedente Osservatorio europeo delle droghe e delle tossicodipendenze.

Concentrandosi sul consumo di droghe illecite, sui danni correlati e sull'offerta di droga, la relazione fornisce una serie completa di dati nazionali su questi temi, nonché sui trattamenti specialistici per la tossicodipendenza e sui principali interventi di riduzione del danno.

Il report fornisce una panoramica aggiornata sulla situazione delle droghe in Europa fino alla fine del 2024, evidenziando tendenze e sviluppi rilevanti per le politiche e gli operatori del settore.

Offerta, produzione e precursori
La disponibilità di droghe illecite rimane elevata per tutte le sostanze. I dati del 2023 mostrano tendenze stabili nei sequestri e nei reati legati alla droga, con una produzione significativa e sequestri di precursori chimici.

Cannabis
È la droga illecita più consumata in Europa. I dati includono prevalenza d’uso, richieste di trattamento, sequestri, prezzo, purezza e danni associati.

Cocaina
Seconda droga più usata dopo la cannabis, con variazioni significative tra i paesi. Il report analizza uso, trattamento, sequestri, prezzo, purezza e danni.

Stimolanti sintetici
Comprendono amfetamina, metamfetamina e catinoni sintetici. L’analisi copre uso, trattamento, sequestri, prezzo, purezza e impatti sulla salute.

MDMA
Associata principalmente al contesto ricreativo e notturno. Il report esamina uso, sequestri, prezzo e purezza.

Eroina e altri oppioidi
L’eroina è l’oppioide illecito più usato e causa un notevole carico sanitario. La situazione evolve, influenzando le strategie di intervento.

Nuove sostanze psicoattive
Il mercato è dinamico, con nuove sostanze rilevate ogni anno. Include cannabinoidi sintetici, catinoni, oppioidi sintetici e nitazeni.

Altre droghe
LSD, funghi allucinogeni, ketamina, GHB e protossido di azoto sono usati in Europa. Il report analizza uso, sequestri, trattamento e danni.

Uso di droghe per via iniettiva
In calo negli ultimi dieci anni, ma ancora associato a gravi danni sanitari. Include dati su prevalenza e analisi dei residui nelle siringhe.

Malattie infettive correlate
Chi si inietta droghe è a rischio di infezioni come HIV ed epatiti B e C. Il report fornisce dati aggiornati su queste infezioni.

Morti indotte da droghe
Fondamentale per valutare l’impatto sulla salute pubblica. Include dati su overdose e sostanze coinvolte.

Trattamento con agonisti degli oppioidi
È il trattamento specialistico più comune per gli utenti di oppioidi. Il report analizza copertura, accesso e percorsi terapeutici.

Riduzione del danno
Comprende interventi per ridurre i danni sanitari, sociali ed economici. Include programmi con naloxone, stanze del consumo e trattamenti sostitutivi.

La pubblicazione è scaricabile qui edr-2025-full-book-6.06.2025-en.pdf

@Notizie dall'Italia e dal mondo

During Apple’s late-90s struggles with profitability, it made a few overtures toward licensing its software to other computer manufacturers, while at the same time trying to modernize its operating system, which was threatening to slip behind Windows. While Apple eventually scrapped their licensing plans, an interesting product of the situation was Rhapsody OS. Although Apple was still building PowerPC computers, Rhapsody also had compatibility with Intel processors, which [Omores] put to good use by running it on a relatively modern i7-3770 CPU.

[Omores] selected a Gigabyte GA-Z68A-D3-B3 motherboard because it supports IDE emulation for SATA drives, a protocol which Rhapsody requires. The operating system installer needs to run from two floppy disks, one for boot and one for drivers. The Gigabyte motherboard doesn’t support a floppy disk drive, so [Omores] used an older Asus P5E motherboard with a floppy drive to install Rhapsody onto an SSD, then transferred the SSD to the Gigabyte board. The installation initially had a kernel panic during installation caused by finding too much memory available. Limiting the physical RAM available to the OS by setting the maxmem value solved this issue.

After this, the graphical installation went fairly smoothly. A serial mouse was essential here, since Rhapsody doesn’t support USB. It detected the video card immediately, and eventually worked with one of [Omores]’s ethernet cards. [Omores] also took a brief look at Rhapsody’s interface. By default, there were no graphical programs for web browsing, decompressing files, or installing programs, so some command line work was necessary to install applications. Of course, the highlight of the video was the installation of a Doom port (RhapsoDoom).

This isn’t the first obscure Apple operating system we’ve seen; some of them have even involved updates to Apple’s original releases. We’ve also seen people build Apple hardware.

youtube.com/embed/uE6qp94InBM?…

Thanks to [Stephen Walters] for the tip!

hackaday.com/2025/06/16/bringi…

We at Pirate Parties International (PPI) observe the recent escalation between Israel and Iran with profound concern. Israel claims to have launched preemptive strikes targeting Iranian nuclear and military facilities. However, the Netanyahu regime is already engaged in a devastating war in Gaza, and its military actions in Gaza, the West Bank, Lebanon, Syria, and now Iran appear driven more by the political survival and legacy of his leadership. The international community deserves clear evidence and transparency regarding these attacks.

On the other hand, the Iranian regime under Khamenei has also ruled atrociously. Iran continues to launch indiscriminate strikes on civilian centers, intentionally far from legitimate military targets. The Iranian regime’s persistent pursuit of nuclear weapons, support for terrorism targeting Jewish communities, and supplying military equipment to violent groups such as the Houthis in Yemen and Hezbollah in Lebanon must cease immediately.

Pirate Parties International emphasizes that diplomatic solutions must take precedence over military aggression. We are deeply worried by a conflict that threatens millions of innocent lives, risks severe nuclear incidents, and grows increasingly unpredictable. The public is rightly fearful that nuclear stockpiles may already be compromised, endangering civilians on all sides who cannot rely solely on missile defenses and shelters for safety.

We call unequivocally for an immediate ceasefire.

Our movement comprises members globally, including Pirate Party affiliates in Israel, sympathizers in Iran, and many individuals of Iranian descent living in exile. It is truly heartening that our Israeli and Iranian colleagues are communicating constructively about this crisis, openly exploring paths toward peace. We only wish the political leaders entrenched in both governments would exhibit similar wisdom and humanity.

We advocate greater freedom, transparency, and human rights for all affected populations. We strongly urge renewed grassroots dialogue and open communication channels between civilians in Israel and Iran, who share a common interest in peace and reconciliation. Past efforts to unite these communities remind us that solidarity and understanding are achievable.

We call on all parties to prioritize civilian life above all political ambitions. Pirate Parties International stands firmly for peace, transparency, and the power of people over regimes.

pp-international.net/2025/06/i…

We at Pirate Parties International (PPI) observe the recent escalation between Israel and Iran with profound concern. Israel claims to have launched preemptive strikes targeting Iranian nuclear and military facilities. However, the Netanyahu regime is already engaged in a devastating war in Gaza, and its military actions in Gaza, the West Bank, Lebanon, Syria, and now Iran appear driven more by the political survival and legacy of his leadership. The international community deserves clear evidence and transparency regarding these attacks.

On the other hand, the Iranian regime under Khamenei has also ruled atrociously. Iran continues to launch indiscriminate strikes on civilian centers, intentionally far from legitimate military targets. The Iranian regime’s persistent pursuit of nuclear weapons, support for terrorism targeting Jewish communities, and supplying military equipment to violent groups such as the Houthis in Yemen and Hezbollah in Lebanon must cease immediately.

Pirate Parties International emphasizes that diplomatic solutions must take precedence over military aggression. We are deeply worried by a conflict that threatens millions of innocent lives, risks severe nuclear incidents, and grows increasingly unpredictable. The public is rightly fearful that nuclear stockpiles may already be compromised, endangering civilians on all sides who cannot rely solely on missile defenses and shelters for safety.

We call unequivocally for an immediate ceasefire.

Our movement comprises members globally, including Pirate Party affiliates in Israel, sympathizers in Iran, and many individuals of Iranian descent living in exile. It is truly heartening that our Israeli and Iranian colleagues are communicating constructively about this crisis, openly exploring paths toward peace. We only wish the political leaders entrenched in both governments would exhibit similar wisdom and humanity.

We advocate greater freedom, transparency, and human rights for all affected populations. We strongly urge renewed grassroots dialogue and open communication channels between civilians in Israel and Iran, who share a common interest in peace and reconciliation. Past efforts to unite these communities remind us that solidarity and understanding are achievable.

We call on all parties to prioritize civilian life above all political ambitions. Pirate Parties International stands firmly for peace, transparency, and the power of people over regimes.

pp-international.net/2025/06/e…

Nacque a Livorno il 16 giugno 1901 con il nome di Federazione Italiana Operai Metallurgici.[2] Nel 1906 partecipò alla fondazione della Confederazione Generale del Lavoro (CGdL, oggi CGIL).

Dopo il fascismo fu rifondata, nell'ambito della nuova CGIL unitaria, con il IX Congresso che si tenne a Torino nel 1946, presieduto da Giovanni Roveda, e durante il quale cambiò il proprio nome in Federazione Impiegati Operai Metallurgici, lasciando invariata la sigla ma allargando la propria rappresentanza.

it.wikipedia.org/wiki/Federazi…

sindacato di categoria affiliato alla CGIL

^{Contributori ai progetti Wikimedia (Wikimedia Foundation, Inc.)}

Così mi dice il sito di Poste Italiane dopo aver inserito il mio indirizzo di posta elettronica in risposta a questo invito.

Inserendo il tuo numero di cellulare e/o indirizzo di posta elettronica, Poste Italiane, titolare del trattamento dei dati, potrà informarti sulla consegna della tua spedizione.

Ho controllato, l'indirizzo è giusto e non ci sono spazi né prima né dopo.

Errore semantico...

EDRi’s position paper addresses the challenges posed by state use of spyware in the EU. It also tackles how spyware should be legally defined in a way that shields us from future harms, as well as the dangers of the proliferation of commercial spyware in Europe. After conducting a values-based analysis into spyware, the paper concludes that the only human-rights compliant approach is a full ban.

The post Spyware and state abuse: The case for an EU-wide ban appeared first on European Digital Rights (EDRi).