Il King Faisal Specialty Hospital and Research Center ( KFSH&RC ) in Arabia Saudita ha raggiunto un traguardo significativo nel suo programma di chirurgia cardiaca robotica. Dal suo lancio nel febbraio 2019, sono state eseguite 400 operazioni con un tasso di sopravvivenza del 98%, rafforzando la posizione dell’ospedale come leader mondiale nel settore.

KFSH&RC riporta miglioramenti significativi nei risultati del trattamento rispetto ai metodi tradizionali. La chirurgia robotica ha ridotto la necessità di trasfusioni di sangue e i tempi di ventilazione meccanica, consentendo ai pazienti di riprendersi più rapidamente e di riscontrare meno complicazioni.

La natura minimamente invasiva delle procedure ha ridotto la durata della degenza ospedaliera di oltre il 50%, riducendo i costi complessivi del 40%. I pazienti possono tornare alla vita quotidiana più velocemente.

Il programma di cardiochirurgia robotica KFSH&RC tratta con successo un’ampia gamma di condizioni cardiache complesse, comprese le sostituzioni multiple di valvole e altre procedure. L’ospedale esegue anche interventi chirurgici su pazienti ad alto rischio, compresi bambini sotto i 18 anni di età, persone con obesità patologica e coloro che necessitano di procedure ripetute. KFSH&RC è l’unico ospedale al mondo che esegue interventi di cardiochirurgia robotica sui bambini.

Lo sviluppo della chirurgia robotica corrisponde a uno spostamento globale verso un’assistenza sanitaria basata sul valore, in cui si dà la priorità a migliori risultati per i pazienti e al rapporto costo-efficacia. La tecnologia sta guadagnando terreno, con un’azienda indiana che ha recentemente lanciato un robot medico basato sull’intelligenza artificiale per la chirurgia ortopedica e AiM Medical Robotics che ha svelato un robot chirurgico compatibile con la risonanza magnetica per la pianificazione intraoperatoria.

Nonostante gli elevati costi iniziali, i benefici a lungo termine della chirurgia robotica sotto forma di riduzione delle complicanze, degenze ospedaliere più brevi e miglioramento della qualità della vita sono inestimabili. Gli ospedali continuano ad adottare la tecnologia robotica, stabilendo nuovi standard per la cura dei pazienti e l’eccellenza chirurgica, aprendo la strada a un futuro più sano.

L'articolo La Chirurgia Robotica è Realtà! Un Ospedale Esegue 400 Operazioni Cardiache Robotiche con Tasso di Sopravvivenza del 98%! proviene da il blog della sicurezza informatica.

Benvenuti nella rubrica dedicata alla sicurezza informatica e alle TOP 10 OWASP for Dummies.

L’obiettivo è rendere accessibile a sviluppatori e appassionati la comprensione delle dieci vulnerabilità più critiche secondo l’OWASP (Open Web Application Security Project). Attraverso una trattazione chiara e pratica, vi guideremo nel comprendere come funzionano queste minacce e come proteggere le vostre applicazioni web.

A09: Security Logging and Monitoring Failures

Immaginate di essere il responsabile della sicurezza di un edificio. Ogni giorno, centinaia di persone entrano ed escono, e il vostro compito è monitorare tutto ciò che accade per assicurare che nessuno violi le regole.

Se il sistema di sorveglianza non funziona correttamente o nessuno controlla le registrazioni, non vi accorgerete mai se qualcuno entra di nascosto o compie attività sospette. Questo è ciò che accade quando un sistema informatico non registra correttamente le attività o non le monitora in modo efficace.

Punti Chiave:

• Registrazione di login, accessi, e fallimenti nella convalida dell’input.
• Contesto utente sufficiente per identificare account sospetti.
• Conservazione dei log per consentire l’analisi forense ritardata.

Per ulteriori dettagli, è possibile consultare la pagina di OWASP Foundation.

La sicurezza informatica è una preoccupazione crescente per molte aziende, e la mancanza di logging e monitoraggio adeguati rappresenta uno dei rischi più significativi. Il fallimento nel loggare e monitorare correttamente gli eventi di sicurezza può impedire il rilevamento di violazioni in corso. Questo problema di sicurezza rientra nella categoria A09 delle vulnerabilità OWASP Top 10 del 2021. Senza un’efficace registrazione degli eventi critici, come accessi non riusciti e transazioni di alto valore, è impossibile reagire tempestivamente a possibili minacce.

Inoltre, non monitorare attivamente i log di sicurezza per rilevare attività sospette significa lasciare la propria rete vulnerabile agli attacchi. La configurazione corretta e l’uso adeguato degli strumenti di sicurezza sono essenziali per identificare intrusioni e anomalie. Ogni evento significativo deve essere registrato e analizzato per garantire che eventuali violazioni vengano rilevate e affrontate in modo rapido ed efficace.

Implementare un sistema di logging e monitoraggio robusto non solo aiuta a proteggere le risorse aziendali, ma migliora anche la capacità dell’azienda di rispondere agli incidenti di sicurezza. Analizzare esempi pratici di carenze di sicurezza nei log può fornire un quadro chiaro di come evitare e mitigare tali rischi.

Key Takeaways

• Il loggare correttamente gli eventi di sicurezza è cruciale.
• Un monitoraggio attivo previene violazioni non rilevate.
• Configurazioni adeguate e strumenti di sicurezza sono essenziali.

Comprensione delle Mancanze di Logging e Monitoraggio

youtube.com/embed/x92MNJTPIiM?…

Le mancanze di logging e monitoraggio rappresentano vulnerabilità critiche che possono mettere a rischio la sicurezza delle applicazioni. È essenziale capire cosa comporta il logging e perché il monitoraggio è fondamentale.

Definizione di Logging

Il logging consiste nella registrazione di eventi significativi all’interno di un sistema informatico. Questi eventi includono accessi, errori, transazioni importanti e altre attività rilevanti.

• Le registrazioni permettono di avere un tracciamento storico.
• Log insufficienti possono lasciare invisibili attività dannose.

Ad esempio, il mancato logging dei tentativi di accesso falliti può impedire il rilevamento di tentativi di intrusione. Questo riduce la capacità di rispondere tempestivamente a potenziali attacchi.

Importanza del Monitoraggio

Il monitoraggio implica l’osservazione continua dei log per individuare eventuali anomalie o comportamenti sospetti. Questo processo è essenziale per mantenere la sicurezza e l’integrità delle applicazioni.

• Il monitoraggio aiuta a rilevare e risolvere problemi in tempo reale.
• Allarmi non adeguati o inesistenti possono compromettere la sicurezza.

Ad esempio, se i log degli accessi non sono monitorati, un accesso non autorizzato potrebbe rimanere non rilevato. Monitorare regolarmente permette di individuare e rispondere rapidamente a tali situazioni.

Implicazioni delle Mancanze di Logging e Monitoraggio

Le mancanze nel logging e monitoraggio possono comportare gravi rischi alla sicurezza e pose conseguenze legali e di conformità per un’azienda. È essenziale capire le potenziali implicazioni per adottare misure preventive adeguate.

Rischi di Sicurezza

Le carenze nel logging e monitoraggio possono lasciare le organizzazioni vulnerabili agli attacchi. Senza una registrazione adeguata, è difficile rilevare attività sospette o intrusioni. Questo significa che i cybercriminali potrebbero accedere e muoversi nei sistemi senza essere scoperti.

Queste vulnerabilità aumentano il rischio di perdita di dati sensibili. Quando un attacco passa inosservato, gli intrusi possono rubare informazioni aziendali critiche, compromettere database o diffondere malware. L’assenza di segnalazioni tempestive riduce anche la capacità di rispondere rapidamente agli incidenti.

Implementare pratiche di monitoraggio efficaci è fondamentale per proteggere le risorse digitali. Utilizzare strumenti avanzati può aiutare a identificare e mitigare le minacce in modo proattivo, riducendo il rischio di danni estesi.

Conseguenze Legali e di Conformità

Le mancate attività di logging e monitoraggio possono portare a violazioni normative. Molte leggi richiedono alle aziende di mantenere registri dettagliati delle attività di sicurezza per garantire la protezione dei dati. La non conformità può comportare multe salate e sanzioni legali.

Oltre alle sanzioni economiche, la reputazione dell’azienda può soffrire enormemente. I clienti e i partner commerciali devono poter fidarsi che le loro informazioni siano protette. Un incidente di sicurezza non rilevato può minare questa fiducia e danneggiare le relazioni commerciali.

Per evitare tali rischi legali, è importante seguire le migliori pratiche e standard di sicurezza. Implementare procedure di audit regolari e formazione continua del personale garantirà che le normative vengano rispettate e che i dati siano protetti in modo efficace.

Implementazione del Logging e Monitoraggio Efficace

L’implementazione di un logging e monitoraggio efficaci previene intrusioni e anomalie. Utilizzare le giuste linee guida, strumenti e migliori pratiche è essenziale per la sicurezza.

Linee Guida di Implementazione

Le linee guida per un’efficace implementazione del logging includono la definizione di quali eventi devono essere registrati. È cruciale loggare tentativi di accesso non autorizzati, modifiche ai sistemi, e errori di applicazione.

Il logging deve essere centralizzato per facilitare l’analisi e la correlazione degli eventi. Utilizzare formati di log standardizzati migliora la leggibilità e l’integrazione con altri strumenti di monitoraggio.

Infine, occorre progettare un ciclo di vita per la gestione dei log, comprendendo la loro conservazione e distruzione sicura.

Strumenti e Tecnologie

Esistono numerosi strumenti di logging e monitoraggio. Tra i più utilizzati vi sono Splunk, Graylog, e Elasticsearch. Questi strumenti sono progettati per raccogliere, analizzare, e visualizzare i log in modo efficiente.

Splunk è noto per le sue potenti capacità di ricerca e visualizzazione. Graylog offre una soluzione open source con un’interfaccia intuitiva. Elasticsearch, spesso usato in combinazione con Kibana, permette ricerche veloci e analisi dettagliate.

La scelta dello strumento giusto dipende dalle specifiche esigenze dell’organizzazione e dal budget a disposizione.

Migliori Pratiche

Adottare le migliori pratiche di logging e monitoraggio è fondamentale. Assicurarsi che i log siano protetti, implementando controlli di accesso appropriati.

È importante mantenere una politica di revisione regolare dei log. Questo aiuta a identificare rapidamente attività sospette e a intraprendere azioni correttive.

Automatizzare il monitoraggio con strumenti di allerta e notifiche in tempo reale può migliorare notevolmente la reattività.

Infine, formare il personale sulla rilevanza dei log di sicurezza e su come interpretarli correttamente contribuisce a una cultura aziendale più consapevole e sicura.

Esempio pratico

In un’azienda, un team di sviluppatori ha implementato un sistema di logging per monitorare l’accesso ai server.

Problema:

Un utente malevolo tenta di accedere senza autorizzazione.

Logging inadeguato:

def login(user):
if authenticate(user):
print("Login successful")
else:
print("Login failed")

Questo codice non fornisce informazioni sull’identità dell’utente o sui dettagli del tentativo di accesso.

Logging adeguato:

import logging

logging.basicConfig(filename='app.log', level=logging.INFO)

def login(user):
if authenticate(user):
logging.info(f"Login successful for user: {user.username}")
else:
logging.warning(f"Login failed for user: {user.username}")

In questo esempio, le informazioni dell’utente e il risultato del tentativo di accesso vengono registrate.

Vantaggi del logging adeguato:

• Identificazione rapida: È possibile identificare rapidamente utenti sospetti.
• Analisi post-incidente: Gli amministratori possono analizzare i log per comprendere come è avvenuto l’accesso non autorizzato.
• Conformità: Rispetto delle normative di sicurezza che richiedono una documentazione accurata delle attività di sistema.

Strategie utili:

• Implementazione di un sistema di logging completo: Registrazione dettagliata di tutte le attività rilevanti.
• Monitoraggio continuo: Utilizzo di strumenti per analizzare i log in tempo reale.
• Protezione dei log: Proteggere i log da modifiche e accessi non autorizzati.
• Revisione periodica: Analizzare regolarmente i log per individuare potenziali vulnerabilità.

Consulta OWASP per ulteriori informazioni su Security Logging and Monitoring Failures.

Esempi di Mancanze di Sicurezza nei Log

Le mancanze di sicurezza nei log possono avere conseguenze gravi, come la perdita di dati o l’accesso non autorizzato a informazioni sensibili. Questo può avvenire a causa di configurazioni errate o di attacchi mirati sui sistemi di logging e monitoraggio.

Studi di Caso

Uno studio noto riguarda il ransomware LockBit 2.0. Questo malware è noto per cancellare i log di sicurezza e evento prima di disabilitare ulteriori registrazioni. Questo impedisce alle organizzazioni di rilevare e rispondere efficacemente agli attacchi.

Un altro caso coinvolge un fornitore di servizi cloud che ha subito un attacco interno. L’attacco è stato facilitato dalla mancanza di log adeguati, che ha reso difficile rilevare e tracciare le attività malevole per diversi mesi.

Analisi di Incidenti

Durante un test di penetrazione, un’azienda ha scoperto che i suoi log non erano configurati correttamente. Gli attacchi non venivano rilevati perché i log non raccoglievano tutte le informazioni necessarie. La configurazione errata ha permesso agli attaccanti di muoversi lateralmente nella rete senza essere scoperti.

In un altro incidente, un sistema di monitoraggio mal configurato ha permesso a un attaccante di esfiltrare dati sensibili. I log erano stati sovrascritti e non archiviati correttamente, rendendo impossibile determinare l’entità dell’attacco e l’origine della compromissione.

Mitigazione e Prevenzione

Per affrontare le falle di sicurezza nel logging e nel monitoraggio, le organizzazioni devono adottare tattiche di mitigazione efficaci e strategie proattive. Queste includono l’implementazione di strumenti di monitoraggio all’avanguardia e la creazione di processi standardizzati per la risposta agli incidenti.

Tattiche di Mitigazione

Una tattica chiave per mitigare le falle nel logging e monitoraggio è l’implementazione del logging centralizzato. Centralizzare i log permette una vista unificata degli eventi, facilitando il rilevamento di anomalie. Utilizzare strumenti come SIEM (Security Information and Event Management) può aiutare a identificare comportamenti sospetti e intruzioni.

Assicurarsi che tutti gli eventi critici siano adeguatamente registrati è fondamentale. Questo include login, tentativi di login falliti, e transazioni ad alto valore. Inoltre, è necessario configurare tutte le applicazioni per inviare i log a un archivio centralizzato, garantendo che nessun evento sia trascurato.

Le organizzazioni dovrebbero anche automatizzare la risposta agli incidenti. Automazione significa che quando viene rilevata un’anomalia, vengono immediatamente avviate azioni di contenimento come la quarantena dei sistemi compromessi o l’avviso agli amministratori di sistema.

Strategie Proattive

La prevenzione richiede strategie che anticipino i problemi prima che si verifichino. Una pratica essenziale è condurre test di penetrazione regolari per identificare e risolvere le vulnerabilità nei sistemi di logging e monitoraggio. Questi test simulano attacchi reali per valutare la prontezza del sistema a gestire minacce.

Le organizzazioni devono anche investire in formazione continua del personale. Gli addetti alla sicurezza devono essere costantemente aggiornati sulle nuove minacce e sulle migliori pratiche di logging e monitoraggio. Creare esercitazioni regolari e corsi di aggiornamento aiuta a mantenere alta la consapevolezza e la prontezza del team.

Infine, adottare una cultura della sicurezza è cruciale. Garantire che ogni membro dell’organizzazione comprenda l’importanza del logging e monitoraggio aiuta a creare un ambiente dove la sicurezza è una priorità condivisa. Questo può essere facilitato da politiche aziendali chiare e da un supporto attivo della dirigenza.

L'articolo OWASP A09 Security Logging and Monitoring Failures: Guida alle Migliori Pratiche proviene da il blog della sicurezza informatica.

Nella mattina del 6 luglio 2024, un utente noto come “BlackKing” ha rivelato su un forum di hacking una significativa violazione dei dati riguardante una piattaforma di viaggi e turismo cinese. Questa fuga di informazioni, avvenuta nel marzo 2024, ha portato all’esposizione di 7,5 milioni di record, di cui 5,82 milioni contengono identificativi di residenti.

Dettagli della Violazione

Secondo quanto riportato dall’Hacker, la violazione ha compromesso un’ampia gamma di dati personali.

I campi di dati inclusi nella fuga comprendono:

• calc_sex: Sesso calcolato
• hlr_province: Provincia HLR
• hlr_city: Città HLR
• hlr_carrier: Carrier HLR
• calc_birthyear: Anno di nascita calcolato
• calc_birthmonthday: Giorno e mese di nascita calcolati
• id_province: Provincia ID
• id_city: Città ID
• Name: Nome
• CtfTp: Tipo di Certificato
• CtfId: ID del Certificato
• Gender: Genere
• Birthday: Data di nascita
• Address: Indirizzo
• Zip: CAP
• Mobile: Numero di cellulare
• Tel: Numero di telefono fisso
• Fax: Numero di fax
• Email: Indirizzo email
• Nation: Nazionalità

Implicazioni della Violazione

Se la violazione venisse confermata la fuga di dati rappresenterebbe una seria minaccia per la privacy degli individui coinvolti. I dati personali esposti possono essere utilizzati per una serie di attività illecite, tra cui frodi d’identità, phishing e altri tipi di cyberattacchi. La presenza di dati come il numero di cellulare, l’indirizzo email e l’indirizzo fisico rende particolarmente pericolosa questa violazione.

Al momento, non possiamo confermare con precisione la veridicità della violazione, poiché l’organizzazione non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo dovrebbe essere considerato come una ‘fonte di intelligence’.

Reazioni e Misure di Sicurezza

Le autorità cinesi non hanno ancora rilasciato dichiarazioni ufficiali riguardo alla violazione. Tuttavia, è probabile che vengano avviate indagini approfondite per determinare la fonte del leak e per prevenire future violazioni di questo tipo. Gli utenti delle piattaforme di viaggio e turismo sono consigliati di monitorare attentamente le loro comunicazioni per eventuali attività sospette e di adottare misure di sicurezza come l’aggiornamento delle password e l’attivazione dell’autenticazione a due fattori.

Conclusione

La violazione dei dati della piattaforma turistica cinese evidenzia ancora una volta la necessità di una maggiore sicurezza e protezione dei dati personali online. Mentre le autorità lavorano per contenere i danni e prevenire future violazioni, gli utenti devono essere proattivi nella protezione delle proprie informazioni personali. Questa vicenda serve da monito sull’importanza della sicurezza informatica nel mondo digitale di oggi.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Shock Cina e Turismo: 7,5 Milioni di Dati Personali Rubati da una Piattaforma di Viaggi proviene da il blog della sicurezza informatica.

It’s said that “Golf is a good walk spoiled,” so is attaching an amateur radio to a bike a formula for spoiling a nice ride?

Not according to [Wesley Pidhaychuk (VA5MUD)], a Canadian ham who tricked out his bike with a transceiver and all the accessories needed to work the HF bands while peddling along. The radio is a Yaesu FT-891, a workhorse mobile rig covering everything from the 160-meter band to 6 meters. [Wes] used some specialized brackets to mount the radio’s remote control head to the handlebars, along with an iPad for logging and a phone holder for streaming. The radio plus a LiFePO4 battery live in a bag on the parcel rack in back. The antenna is a Ham Stick mounted to a mirror bracket attached to the parcel rack; we’d have thought the relatively small bike frame would make a poor counterpoise for the antenna, but it seems to work fine — well enough for [Wes] to work some pretty long contacts while pedaling around Saskatoon, including hams in California and Iowa.

The prize contact, though, was with [WA7FLY], another mobile operator whose ride is even more unique: a 737 flying over Yuma, Arizona. We always knew commercial jets have HF rigs, but it never occurred to us that a pilot who’s also a ham might while away the autopilot hours working the bands from 30,000 feet. It makes sense, though; after all, if truckers do it, why not pilots?

youtube.com/embed/I6YLW5jOs10?…

This article introduces the EIT’s Regional Innovation Scheme, outlines its successes over the decade since its foundation, explains how it helps ventures in modest and moderated innovator countries to realise their potential, and shares two success stories,

euractiv.com/section/digital/o…

We’ve covered the Tiny Tapeout project a few times on these pages, and while getting your digital IC design out there onto actual silicon for a low cost is super cool, it is still somewhat limited. Now, along comes the German FMD QNC project funding MPW (multi-project wafer) runs not in bog standard Silicon CMOS but Silicon-Germanium bipolar technology. And this is accessible to you and me, of course, provided you have the skills to design in this high-speed analog technology.

The design can be submitted via Github by cloning the IHP-Open-DesignLib repo, adding your design, and issuing a pull request. If your submission passes the correctness checks and is selected, it will be fabricated in-house by the IHP pilot line facility, which means it will take at least four months to complete. However, there are a few restrictions. The design must be open source, DRC complete (obviously!) and below a somewhat limiting two square millimetres. Bonus points for selecting your project can be had for good documentation and a unique quality, i.e., they shouldn’t have too many similar designs in the project archive. Also, you don’t get to keep the silicon samples, but you may rent them for up to two years for evaluation. In fact, anybody can rent them. Still, it’s a valuable service to trial a new technique or debug a design and a great way to learn and hone a craft that is difficult to get into by traditional means. Such projects would be an excellent source of verifiable CV experience points we reckon!

If you fancy getting your hands on your own silicon, but bipolar SiGe is a bit of a stretch, look no further than our guide to Tiny Tapeout. But don’t take our word for it—listen to the creator himself!

When we talk about keyboards that do it all, we usually mean either big ones with lots of keys and doodads like rotary encoders and displays, or small ones with lots of layers (and usually a few doodads, too). But this — this is something else entirely. Chinese PC maker Linglong have crammed an entire mini PC into a keyboard that’s small enough to fit in your back pocket. Oh, and it folds, too. All you need is a display.

Why do you need a display? Why not include one, if you’re going to wedge everything else in there? Well, the company envisions its users pairing it with a VR or AR glasses. But we can see use cases far beyond ownership of special spectacles, of course.

For instance, office work. Linglong says this key-puter (you read it here first) will last up to ten hours for light use, and nearly six hours for watching movies, but heavy use will have you down to four hours, which really isn’t that bad.

Spec-wise, it looks pretty good, with an AMD Ryzen 7 and either 16 or 32 GB of memory and a half- or full-terabyte hard drive. The whole thing is around 4 x 6″ (15 x 10cm), presumably in the folded orientation, and weighs less than two pounds (800 g). The projected cost is $400-500 depending on specs.

Unfortunately, this little key-puter isn’t available just yet. There are just 200 units available for Beta testing, and no, we don’t have one!

Main and thumbnail images via Linglong

Un enorme data breach ha colpito DigiVation Digital Solutions Pvt. Ltd., un’azienda di innovazione digitale con sede a Mumbai, in India. I dati trafugati, che includono nomi, indirizzi email, numeri di telefono e password di migliaia di clienti, sono ora in vendita su BreachForum, un noto marketplace online per dati rubati.

Questo evento rappresenta un grave colpo per DigiVation e per i suoi clienti, che ora si trovano ad affrontare un elevato rischio di frodi, furti d’identità e altri danni. Al momento non è chiaro come i dati siano stati ottenuti, e nemmeno se DigiVation è a conoscenza del databreach.

Modalità di vendita

Il threat actor dichiara di possedere un file CSV contenente dati dell’azienda DigiVation inerenti al 2023.

Dettagli:

• Anno: 2023;
• Volume: 98.693 righe di dati;
• Tipo di file: CSV (Comma-Separated Values);
• Dominio: digivationworld.com;
• Origine: DBS Business Center, situato presso “World Trade Tower, Barakhamba Lane, New Delhi, 110001, India”.

Questa volta i dati non sono in vendita, tuttavia, una parte del file è stata resa accessibile alla community del darkweb. Il file può essere completamente accessibile in cambio di crediti, in questo caso 8.

Il file CSV contiene diverse tipologie di informazioni come nomi, indirizzi mail, numero di telefono, nello specifico è composto da 27 colonne. Questa fuga di dati espone i dati personali di migliaia di persone al rischio di frodi, furti d’identità e altri danni.

L’autore del breach non ha dichiarato nulla su come è stato eseguito l’attacco ma si è semplicemente limitato a pubblicare la data nella quale il database è prelevato, è importante che gli individui interessati prendano precauzioni per proteggersi, come cambiare le password e monitorare i propri conti bancari.

Criticità

Gli aspetti critici sono molteplici:

• Elevato volume di dati: Il numero di righe interessate (98.693) indica una significativa esposizione di dati sensibili.
• Sensibilità dei dati: I dati trafugati includono informazioni personali come nomi, indirizzi email, numeri di telefono e password, che possono essere utilizzati per scopi illeciti.
• Disponibilità parziale: La parziale disponibilità dei dati sul darkweb potrebbe indurre gli utenti a tentare di accedere al file completo, aumentando il rischio di ulteriori danni.
• Mancanza di informazioni sull’attacco: L’assenza di dettagli su come è stato eseguito l’attacco rende difficile per DigiVation implementare misure preventive efficaci.

Conclusioni

Il data breach di DigiVation Digital Solutions Pvt. Ltd. è un evento preoccupante che evidenzia l’importanza di una solida sicurezza informatica per le aziende che gestiscono dati sensibili. Le organizzazioni devono essere proattive nell’implementare misure di protezione efficaci e nel rispondere prontamente agli incidenti di sicurezza informatica.

L'articolo DigiVation Sotto Attacco: Una potenziale fuga di Dati Sensibili Espone Migliaia di Clienti proviene da il blog della sicurezza informatica.

Usually the business card itself is the reminder to get in contact with whoever gave it to you. But this is Hackaday, after all. This solar-powered card reminds the recipient to send [Dead Rat Productions] an email by beeping about every two hours, although the gist of that email may simply be begging them to make it stop, provided they didn’t just toss the thing in the garbage.

The full-on, working version of the card is not intended for everyone — mostly serious-looking A-list types that ooze wealth. Most of [Dead Rat Productions]’ pub mates will get an unpopulated version, which could be a fun afternoon for the right kind of recipient, of course.

That person would need a Seeed Studio Xiao SAMD21, a solar panel, plus some other components, like an energy-harvesting chip to keep the battery topped up. Of note, there is a coin cell holder that requires prying with a screwdriver to get the battery out, so there’s really no escaping the beeping without some work on their part. We rather like the artwork on this one, especially the fact that the coin cell sits inside the rat’s stomach. That’s a nice touch.

When I was growing up, about 4 or 5 years old, I had an unorthodox favourite type of reading material: service manuals for my dad’s audio equipment. This got to the point that I kept asking my parents for more service manuals, and it became a running joke in our family for a bit. Since then, I’ve spent time repairing tech and laptops in particular as a way of earning money, hanging out at a flea market in the tech section, then spending tons of time at our hackerspace. Nowadays, I’m active in online hacker groups, and I have built series of projects closely interlinked with modern-day consumer-facing tech.

Twenty three years later, is it a wonder I have a soft spot in my heart for schematics? You might not realize this if you’re only upcoming in the hardware hacking scene, but device schematics, whichever way you get them, are a goldmine of information you can use to supercharge your projects, whether you’re hacking on the schematic-ed device itself or not. What’s funny is, not every company wants their schematics to be published, but it’s ultimately helpful for the company in question, anyway.

If you think it’s just about repair – it’s that, sure, but there’s also a number of other things you might’ve never imagined you can do. Still, repair is the most popular one.

Repair, Of Course

Asked to pay for a schematic? You can most likely find it elsewhere for free.
It’s an old chestnut that tech marvels of the past used to come bundled with schematics, and that’s no longer the case. Indeed, they are often top secret. For laptops and phones, one part of that is extensive NDAs that cover information on many a chip within them, including schematics. That said, somehow, this hasn’t stopped certain companies like Clevo, who has been seen putting their designs’ schematics right inside the service manual, for example, the P75xZM_ESM.pdf.

Still, schematics are a market; repair shops earn their keep from being able to fix devices, so a PDF is likely to leak one way or another, often it just takes time. For certain laptop manufacturers and series, this doesn’t happen, but most of all it seems to depend on popularity. In a way, schematics being leaked is a decent indicator that a product is popular enough to hit repair shops en masse, creating demand for underpaid workers to bring a loaded microSD card with them on a trip back home from the factory employing them.

I’m aware that companies sometimes can’t publish much, and, it’s still interesting how publishing schematics and other repair documents is not more popular with companies, despite everything it brings. During my call-in laptop repair days, travelling around with a tiny Asus netbook in my toolbox that used to be a makeup suitcase, I can remember one specific phrase I heard often: “yeah, we don’t like %BRAND%, we’ve had our %BRAND% device break and it couldn’t be fixed”.

Companies Who Publish Nevertheless

When it comes to publicly shared schematics, for instance, Framework laptops have adopted a “Raspberry Pi” approach – share schematics that concern external ports, where no NDAs could conceivably be involved, and even publish further specifications about these ports. This has created a vivid hacking and modding ecosystem around Framework, attracting a good amount of people, and this part in particular is something other companies could do as well. I’ve talked aplenty about the Framework ecosystem already, and I mention the schematic involvement there quite a bit, too!

It’s not just about connectors – there’s plenty of places in a laptop where failures are likely to occur, like power management. Intel might scoff at the CPU and Thunderbolt part pinouts being published, but schematics for these aren’t usually involved in a laptop repair anyway, what fails is usually power management, and chances are, just the schematic pages for that could be published without violating an NDA. Raspberry Pi’s schematics used to work in this way; sadly, RPF has given up on publishing Linux-powered Pi schematics due to being stuck in a perfectionism loop – the Pi 5 schematics are nowhere to be seen, and the USB-C-fixed Pi 4 schematics aren’t available either.

Pine64 is a strange case – their products are not open-source, in large part due to their operation’s scale landing them in a cloning-happy environment. Still, they publish a ton of the information that you might want. Pine64 publishes schematics for their products, and is forthcoming with things like – for instance, ever broke a barrel jack socket on your Pinecil? It’s a rare fault, but in case you somehow have, they stock replacement sockets. Of course, Pinecil schematics are available too, in full, same goes for PinePhone and most of their other products.

I was particularly active in the Pinecil community of the Pine64 discord, and thanks to schematics being accessible in a searchable way, we could help people fix their Pinecils on a community basis, across timezones, often quicker than the tech support could give them a response. In fact, because of the conversations happening in an official Pine64 community, Pine64 tech support could read the conversations in our channel, and avoid repeating many of the debugging steps with the Pinecil owner in question. It really helped that, everything they had to do over email, we could do over real-time chat! Schematics were a crucial part of that, from tracing what could it be that’d die from a reverse polarity what was shorting out the 3.3 V regulator, to the part numbers.

A good few failures were relatively common, and a few community members across different continents, including me, stocked up on some of the commonly involved parts and mailed them out to people in flat envelopes. Compared to the Pinecil sales numbers, the number of failures that we handled was pretty low, but we did help a good few people; generally, people were quite happy about fixing something they own, as opposed to getting a new iron and putting the broken one into a cupboard drawer!
here’s a trae you can cut to protect your old Pinecil from FUSB failure, and gain 24V support as a side effect
It wasn’t just replacing components – together, we narrowed down a particularly common fault that would kill Pinecils or at least make their USB-C PD power input inoperable, and figured out a fix that, in the end, involved simply cutting a trace. The gist is, a pin of a specific IC on the Pinecil was connected directly to the power input rail, this pin specifically was sensitive to overvoltage, killing the chip in a way that sometimes would even pull down the entire 3.3 V rail. What’s interesting, it didn’t have to be connected to that rail at all! The community designed a fix, people have applied it for both failure immunity and also being able to use 24 V bricks. Later on, Pine64 applied the fix to a new batch of the Pinecil hardware, which is now immune to this fault.

Before the ability to just cut the trace was figured out by [Thanos the tank engine] and others, I managed to design an addon board that’d down-regulate the voltage with a Zener diode, and even published the files for it. After all, you can design a whole lot if schematics are available!

Build All The Cool Stuff

Hackers have long used schematics to design things like addons – physical board attributes, you can redesign with calipers in hand, but schematics capture everything else. All those consoles put into tiny formfactors, made possible because of the motherboard being cut down? Schematics were likely involved in one way or another.

Friends of mine have done the same kind of schematic-inspired design, on a number of occasions – in particular, [Wificable] has designed an MXM reuse adapter and a good few MXM cards only thanks to available schematics, and her TinyRiser, an adapter that pulls extra PCIe from a particular lineup of Lenovo Tiny computers, was only possible because we could get find the relevant PDF in a Telegram group.
Got a technical question the manufacturer doesn’t expand on? A schematic is a reliable way to check.
It’s not just addons, it’s also finding information you can’t find otherwise. Wondering what your laptop’s USB-C port does, whether it supports DisplayPort, or charging input? The manufacturer’s website might not be helpful at all, but the schematics show it all instantly, on the page with the block diagram. I’ve seen a product being developed, an ExpressCard slot adapter housing an SSD, that researched laptop schematics to figure out 3.3 V current limits on the ExpressCard slot and how they were implemented in different laptops.

Tapping into the iPhone battery market to get a reliable source of slim batteries for your project? Use the schematics to find the battery connector pinout – and the connector part number. Remember the M.2 card with a 1:2 PCIe switch, that I’ve shown you the design process of? That one was only possible because of a laptop schematic we found featuring the ASM1182e chip. Schematics often contain part numbers, and these are super helpful – you could consult one of the connector bibles, or you could simply copy the part number for a connector out of a schematic PDF and get the exact part number necessary.

Remember that Sony Vaio P motherboard rebuild project I’ve started? I’ve just recently received the v1 PCBs of a motherboard I designed, now they’re waiting to be assembled, and I couldn’t have had done this without all the connector pinout information I found in the schematic. In particular, it might be that this motherboard replacement will be impossible to adapt to the second revision of these Vaios, since, as far as I’ve seen, that revision’s schematics haven’t leaked. Well, either way, expect an article about the new motherboard soon!

There’s way, way more you can learn from schematics as you go. One of my current projects requires learning a fair bit from the PinePhone schematic and specifically its LTE modem that boasts open firmware, as part of uncovering yet another series-worthy topic; naturally, you will hear about that one soon. Schematics keep a treasure trove of hacker-friendly information in them, and information deserves to be free.

[Usagi Electric] is breathtakingly close to having his Bendix G15 vacuum tube computer up and running. This week he is joined by a new friend, [Lloyd] who is restoring a G15 as well. [Lloyd] used to repair the Bendix Computers back in the 1970s, so he’s privy to lots of practical knowledge you can’t find in the manuals.

The goal this week was to apply DC power to the G15. The AC power spins the fans and makes the tubes start glowing. But DC makes the magic happen. That’s when the boot sequencers start running, sending data to the drum, testing various parts of the machine, and finally, loading software from the paper tape reader.

Since this was a computer from the 1950’s, powering up DC might work, or could let the magic smoke out. The only way to find out was to push the big green “Reset” button.

The first attempt was stymied by a blown fuse. The second attempt resulted in real live blinkenlights. The data and status lights on the Bendix lit up for the first time in decades. The only thing missing was the sound of the tape drive. A bit of digging proved that the problem wasn’t in the computer, but in the typewriter user console. The typewriter supplies -20 volts DC to the Bendix. Since that voltage wasn’t getting to the computer, the boot process halted.

Unfortunately, the typewriter has “somebody’s been here before” syndrome – in addition to age, there are a number of odd modifications. It’s going to take [Usagi] a bit of time to dig into it and figure out what’s wrong.

The good news is that the computer is using its massive spinning drum drive. [Usagi] was able to verify this with the test panel inside the machine. One button will write a pulse to the drum, and another will erase it. Manipulating these buttons, [Usagi] could see the results on an oscilloscope. This may sound simple – but just getting to this point means an incredibly complex chain of tube, relay, and mechanical logic has to work. Bravo [Dave] and [Lloyd]!

youtube.com/embed/f_kD3Dr5Im8?…

Un threat actor sostiene di aver divulgato dati sensibili di NATO – TIDE (Think-Tank for Information Decision and Execution Superiority).

NATO-TIDE (Think-Tank for Information Decision and Execution Superiority)

E’ una divisione specializzata della NATO (Organizzazione del Trattato dell’Atlantico del Nord), focalizzata sul miglioramento delle capacità decisionali e di esecuzione attraverso l’uso avanzato delle informazioni. Questa organizzazione ha lo scopo di ottimizzare la raccolta, l’analisi e l’uso dei dati per supportare operazioni militari e strategiche.

L’attore, identificato con il nome utente “natohub” su un forum online, ha pubblicato un annuncio il 7 luglio 2024, affermando di aver ottenuto e condiviso 643 file CSV contenenti dati degli utenti, gruppi di utenti, server fisici e virtuali, eventi e altro ancora. Le informazioni fornite includono dettagli come:

• Data: Luglio 2024
• Dimensione: 271MB
• Esempi di file: Users.csv

Dettagli della Presunta Violazione

L’annuncio è stato accompagnato da un logo di NATO e un breve messaggio rivolto alla comunità del forum, nel quale l’attore sottolineava la natura e l’importanza delle informazioni divulgate. I file coinvolti nella presunta violazione sembrano coprire una vasta gamma di dati che potrebbero avere un impatto significativo se autentici.

Veridicità e Riscontri

Al momento della stesura di questo articolo, non è stato possibile verificare con certezza l’autenticità della violazione. NATO non ha rilasciato alcun comunicato stampa ufficiale o dichiarazione pubblica riguardante l’incidente sul proprio sito web o tramite altri canali di comunicazione ufficiali. Pertanto, è essenziale trattare queste informazioni con cautela e considerarle come una ‘fonte di intelligence’ non verificata.

Implicazioni di Sicurezza

Se la violazione fosse confermata, le implicazioni per la sicurezza sarebbero significative. La divulgazione di dati sensibili come quelli degli utenti e dei server potrebbe esporre l’organizzazione a una serie di minacce, tra cui attacchi informatici mirati, phishing e altre forme di sfruttamento da parte di attori maligni. La natura dei dati divulgati suggerisce che le informazioni potrebbero essere utilizzate per scopi malevoli, compromettere la sicurezza operativa e danneggiare la reputazione di NATO.

Conclusioni

La presunta violazione dei dati NATO rappresenta un potenziale rischio significativo per la sicurezza delle informazioni e l’integrità operativa dell’organizzazione. Mentre si attende una verifica ufficiale, è fondamentale trattare queste informazioni con la dovuta cautela e prepararsi adeguatamente per mitigare eventuali rischi associati.Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

L'articolo NATO-TIDE Sotto Attacco: Hacker Rivendica la Divulgazione di 643 File! proviene da il blog della sicurezza informatica.

The late 1990s saw the widespread introduction of solid-state storage based around NAND Flash. Ranging from memory cards for portable devices to storage for desktops and laptops, the data storage future was prophesied to rid us of the shackles of magnetic storage that had held us down until then. As solid-state drives (SSDs) took off in the consumer market, there were those who confidently knew that before long everyone would be using SSDs and hard-disk drives (HDDs) would be relegated to the dust bin of history as the price per gigabyte and general performance of SSDs would just be too competitive.

Fast-forward a number of years, and we are now in a timeline where people are modifying SSDs to have less storage space, just so that their performance and lifespan are less terrible. The reason for this is that by now NAND Flash has hit a number of limits that prevent it from further scaling density-wise, mostly in terms of its feature size. Workarounds include stacking more layers on top of each other (3D NAND) and increasing the number of voltage levels – and thus bits – within an individual cell. Although this has boosted the storage capacity, the transition from single-level cell (SLC) to multi-level (MLC) and today’s TLC and QLC NAND Flash have come at severe penalties, mostly in the form of limited write cycles and much reduced transfer speeds.

So how did we get here, and is there life beyond QLC NAND Flash?

Floating Gates

Basic model of a floating-gate transistor.
At the core of NAND Flash lies the concept of floating gates, as first pioneered in the 1960s with the floating-gate MOSFET (FGMOS). As an FGMOS allows for the retention of a charge in the floating gate, it enabled the development of non-volatile semiconductor storage technologies like EPROM, EEPROM and flash memory. With EPROM each cell consists out of a single FET with the floating and control gates. By inducing hot carrier injection (HCI) with a programming voltage on the control gate, electrons are injected into the floating gate, which thus effectively turns the FET on. This allows then for the state of the transistor to be read out and interpreted as the stored bit value.

Naturally, just being able to program an EPROM once and then needing to erase the values by exposing the entire die to UV radiation (to induce ionization within the silicon oxide which discharges the FET) is a bit of a bother, even if it allowed the chip to be rewritten thousands of times. In order to make EPROMs in-circuit rewritable, EEPROMs change the basic FET-only structure with two additional transistors. Originally EEPROMs used the same HCI principle for erasing a cell, but later they would switch to using Fowler-Nordheim tunneling (FNT, the wave-mechanical form of field electron emission) for both erasing and writing a cell, which removes the damaging impact of hot carrier degradation (HCD). HCD and the application of FNT are both a major source of the physical damage that ultimately makes a cell ‘leaky’ and rendering it useless.

Combined with charge trap flash (CTF) that replaces the original polycrystalline silicon floating gate with a more durable and capable silicon nitride material, modern EEPROMs can support around a million read/write cycles before they wear out.

Flash memory is a further evolution of the EEPROM, with the main distinctions being a focus on speed and high storage density, as well as the use of HCI for writes in NOR Flash, due to the speed benefits this provides. The difference between NOR and NAND Flash comes from the way in which the cells are connected, with NOR Flash called that way because it resembles a NOR gate in its behavior:
NOR flash memory wiring and structure on silicon (Credit: Cyferz, Wikimedia)
To write a NOR Flash cell (set it to logical ‘0’), an elevated voltage is applied to the control gate, inducing HCI. To erase a cell (reset to logical ‘1’), a large voltage of opposite polarity is applied to the control gate and the source terminal, which draws electrons out of the floating gate due to FNT.

Reading a cell is then performed by pulling the target word line high. Since all of the storage FETs are connected to both ground and the bit line, this will pull the bit line low if the floating gate is active, creating a logical ‘1’ and vice versa. NOR Flash is set up to allow for bit-wise erasing and writing, although modern NOR Flash is moving to a model in which erasing is done in blocks, much like with NAND Flash:
NAND flash memory wiring and structure on silicon (Credit: Cyferz, Wikimedia)
The reason why NAND Flash is called this way is readily apparent from the way the cells are connected, with a number of cells connected in series (a string) between the bit line and ground. NAND Flash uses FNT for both writing and erasing cells, which due to its layout always has to be written (set to ‘0’) and read in pages (a collection of strings), while erasing is performed on a block level (a collection of pages).

Unlike NOR Flash and (E)EPROM, the reading out of a value is significantly more complicated than toggling a control gate and checking the level of the bit line. Instead the control gate on a target cell has to be activated, while putting a much higher (>6V) voltage on the control gate of unwanted cells in a string (which turns them on no matter what). Depending on the charge inside the floating gate, the bit line voltage will reach a certain level, which can then be interpreted as a certain bit value. This is also how NAND Flash can store multiple bits per cell, by relying on precise measurements of the charge level of the floating gate.

All of this means that while NOR Flash supports random (byte-level) access and erase and thus eXecute in Place (XiP, allows for running applications directly off ROM), NAND Flash is much faster with (block-wise) writing and erasing, which together with the higher densities possible has led to NAND Flash becoming the favorite for desktop and mobile data storage applications.

Scaling Pains

With the demand for an increasing number of bytes-per-square-millimeter for Flash storage ever present, manufacturers have done their utmost to shrink the transistors and other structures that make up a NAND Flash die down. This has led to issues such as reduced data retention due to electron leakage and increased wear due to thinner structures. The quick-and-easy way to bump up total storage size by storing more bits per cell has not only exacerbated these issues, but also introduced significant complexity.

The increased wear can be easily observed when looking at the endurance rating (program/erase (P/E) cycles per block) for NAND Flash, with SLC NAND Flash hitting up to 100,000 P/E cycles, MLC below 10,000, TLC around a thousand and QLC dropping down to hundreds of P/E cycles. Meanwhile the smaller feature sizes have made NAND Flash more susceptible to electron leakage from electron mobility, such from high environmental temperatures. Data retention also decreases with wear, making data loss increasingly more likely with high-density, multiple bits per cell NAND Flash.

Because of the complexity of QLC NAND Flash with four bits (and thus 16 voltage levels) per cell, the write and read speeds have plummeted compared to TLC and especially SLC. This is why QLC (and TLC) SSDs use a pseudo-SLC (pSLC) cache, which allocates part of the SSD’s Flash to be only used only with the much faster SLC access pattern. In the earlier referenced tutorial by Gabriel Ferraz this is painfully illustrated by writing beyond the size of the pSLC cache of the target SSD (a Crucial BX500):
(Credit: Gabriel Ferraz)
Although the writes to the target SSD are initially nearly 500 MB/s, the moment the ~45 GB pSLC cache fills up, the write speeds are reduced to the write speeds of the underlying Micron 3D QLC NAND, which are around 50 MB/s. Effectively QLC NAND Flash is no faster than a mechanical HDD, and with worse data retention and endurance characteristics. Clearly this is the point where the prophesied solid state storage future comes crumbling down as even relatively cheap NAND Flash still hasn’t caught up to the price/performance of HDDs.

(Credit: Gabriel Ferraz)
The modification performed by Gabriel Ferraz on the BX500 SSD involves reprogramming its Silicon Motion SM2259XT2 NAND Flash controller using the MPTools software, which is not provided to consumers but has been leaked onto the internet. While not as simple as toggling on a ‘use whole SSD as pSLC’ option, this is ultimately what it comes down to after flashing modified firmware to the drive.

With the BX500 SSD now running in pSLC mode, it knocks the storage capacity down from 500 GB to 120 GB, but the P/E rating goes up from a rated 900 cycles in QLC mode to 60,000 cycles in pSLC mode, or well over 3,000%. The write performance is a sustained 496 MB/s with none of the spikes seen in QLC mode, leading to about double the score in the PCMark 10 Full System Drive test.

With all of this in mind, it’s not easy to see a path forward for NAND Flash which will not make these existing issues even worse. Perhaps Intel and Micron will come out of left field before long with a new take on the 3D XPoint phase-change memory, or perhaps we’ll just keep muddling on for the foreseeable future with ever worse SSDs and seemingly immortal HDDs.

Clearly one should never believe prophets, especially not those for shiny futuristic technologies.

Featured image: “OCZ Agility 3 PCB” by [Ordercrazy]

Recentemente, una massiccia esposizione di dati ha colpito X (twitter), con quasi 200 milioni di record utente. Questa violazione potrebbe rappresentare una delle più grandi esposizioni di dati utente degli ultimi tempi e ha messo a rischio la sicurezza e la privacy di milioni di utenti. In questo articolo analizziamo i dettagli della violazione, le sue implicazioni e i rischi potenziali per gli utenti coinvolti.

Dimensioni e Fonte della Fuga di Dati

Il database trapelato contiene un’enorme quantità di dati, per un totale di 9,4 GB. La fonte della violazione è un database di Twitter o una sua copia, che è stata pubblicata su un noto forum di hacking dedicato alla fuga e alla violazione di dati.

Il titolo del thread, “9.4GB Twitter Leaked Database Last One – The Exposure Of Over 200 Million Records Containing Email Addresses, Names, And Twitter Account Details,” evidenzia la gravità e la portata di questa fuga di dati.

Dettagli della Fuga di Dati

L’attore malevolo responsabile del rilascio del database, noto con il nome “michupa,” ha creato recentemente il proprio account sul forum (il 7 luglio 2024).

Nel thread, “michupa” fornisce un riassunto dell’incidente, specificando che la violazione è la più recente e ha coinvolto oltre 200 milioni di record. Il campione di record trapelato contiene informazioni come indirizzi email, nomi, nomi utente (screen names), numero di follower e la data di creazione dell’account.

Tipologie di Dati Esposti

I dati esposti includono:

• Indirizzi email
• Nomi
• Dettagli degli account X (screen names, numero di follower, data di creazione degli account)

Gli indirizzi email associati agli account Twitter possono essere utilizzati per attività di phishing, spamming o altre attività malevole. I nomi completi degli utenti di Twitter e le informazioni sugli account, inclusi i nomi utente e altre informazioni del profilo, possono essere utilizzati per identificare gli individui e potenzialmente collegarli ad altri profili online.

Implicazioni e Rischi per gli Utenti

L’esposizione dei dati mette gli utenti a rischio di vari attacchi, tra cui phishing, furto di identità e schemi di ingegneria sociale. Con la vasta quantità di informazioni personali disponibili, attori malintenzionati possono sfruttare questi dati per compromettere ulteriormente account e sistemi collegati agli indirizzi email interessati.

Veridicità della Violazione

Al momento, non possiamo confermare con precisione la veridicità della violazione, poiché l’organizzazione non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo dovrebbe essere considerato come una ‘fonte di intelligence’ e non come un rapporto confermato.

Conclusioni e Raccomandazioni

La fuga di dati di Twitter rappresenta un grave rischio per la privacy e la sicurezza degli utenti coinvolti. È essenziale che gli utenti interessati adottino misure di sicurezza adeguate, come il cambio delle password, l’attivazione dell’autenticazione a due fattori e una maggiore attenzione a possibili tentativi di phishing. Le piattaforme social e le autorità competenti devono collaborare per mitigare i danni e prevenire future violazioni di questo tipo.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Esposti 200 Milioni di Account X (Twitter) nelle underground proviene da il blog della sicurezza informatica.

If you’ve ever seen the cockpit of an airplane, you’ve probably noticed the round ball that shows your attitude, and if you are like us, you’ve wondered exactly how the Attitude Direction Indicator (ADI) works. Well, [msylvain59] is tearing one apart in the video below, so you can satisfy your curiosity in less than 30 minutes.

Like most things on an airplane, it is built solidly and compactly. With the lid open, it reminded us of a tiny CRT oscilloscope, except the CRT is really the ball display. It also has gears, which is something we don’t expect to see in a scope.

Getting to the ball mechanism was fairly difficult. It is nearly the end of the video before the ball comes apart, revealing a pair of hefty but tiny autosyn units and a clockwork full of gears. Bendix equipment often used the autosyn to transmit positions over wire similar to a selsyn but using AC instead of DC.

Next time you peek into a cockpit, you’ll know what’s driving that eyeball or, at least, what might be driving it since not every one of these is identical, of course.

These cool devices show up in our feed every so often. If you can cram a CPU, a screen, and an accelerometer into a Lego, you could build one for your next block model.

youtube.com/embed/N48f4APrhd0?…

Dopo aver affermato di aver trafugato 170.000 biglietti per l’ERAS Tour di Taylor Swift, oggi il gruppo hacker Sp1d3rHunters dichiara di aver diffuso altri 30.000+ biglietti per eventi di grande rilievo.

I biglietti presumibilmente trapelati oggi includono eventi per:

• P!NK: Summer Carnival 2024 (diverse città)
• Aerosmith: PEACE OUT The Farewell Tour (più di 10 città)
• Chris Brown: The 11:11 Tour
• Neil Young con Crazy Horse: Love Earth Tour l’8 luglio
• Alanis Morissette: The Triple Moon Tour il 13 luglio
• Red Hot Chili Peppers: Unlimited Love Tour il 17 luglio
• Bruce Springsteen and The E Street Band: Tour 2024
• USHER: Past Present Future
• Pearl Jam
• Sammy Hagar
• Stevie Nicks
• Steve Miller Band
• Cirque du Soleil

Sp1d3rHunters, noto per le sue attività illecite nel mondo del cybercrime, ha pubblicato un messaggio dettagliato su un darkforum, sostenendo di aver violato la sicurezza di Ticketmaster. Secondo quanto riferito, la falla sfruttata dal gruppo hacker permette di stampare biglietti fisici (Ticketfast, e-ticket, e biglietti inviati via posta) che, a differenza dei biglietti elettronici dinamici di Ticketmaster, non possono essere automaticamente aggiornati.

How to: Guida in 4 Passi per Creare i Propri Biglietti Ticketfast

1. Utilizza il tutorial gratuito per creare i tuoi codici a barre in Excel.
2. Usa le linee guida ufficiali di Ticketmaster per creare i tuoi biglietti stampabili.
3. Compila il PDF con il testo e il codice a barre desiderati.
4. Goditi l’evento gratuitamente!

Situazione Attuale e Veridicità della Violazione

Al momento, non possiamo confermare con precisione la veridicità della violazione, poiché Ticketmaster non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Tuttavia, la portata delle affermazioni di Sp1d3rHunters e il potenziale danno per gli eventi menzionati rendono questa notizia particolarmente preoccupante.

Implicazioni e Prossimi Passi

Se le affermazioni si rivelassero vere, Ticketmaster dovrà affrontare un compito enorme per ripristinare la sicurezza dei suoi biglietti e proteggere i suoi clienti da possibili truffe. È probabile che vengano adottate misure di emergenza per invalidare i biglietti trapelati e rilasciarne di nuovi.

Conclusioni

Sebbene non ci siano ancora conferme ufficiali, la possibilità di una violazione di questa portata solleva serie preoccupazioni sulla sicurezza dei sistemi di Ticketmaster. Invitiamo i lettori a rimanere aggiornati e a controllare regolarmente il sito web di Ticketmaster per eventuali annunci ufficiali.

Nota Bene: Questo articolo deve essere considerato come una fonte di intelligence e non come un’informazione confermata.

Rimaniamo in attesa di ulteriori sviluppi e conferme da parte di Ticketmaster e degli organizzatori degli eventi coinvolti.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Biglietti Gratis per Bruce Springsteen, Aerosmith e Red Hot Chili Peppers? 30.000 biglietti gratuiti rilasciati dai criminali di Sp1d3rHunters proviene da il blog della sicurezza informatica.

In queste ore, secondo il CSIRT Italia (advisory: AL01/240708/CSIRT-ITA), si sta diffondendo in rete il PoC per lo sfruttamento della vulnerabilità con CVE-2024-29510, che affligge Ghostscript nelle versioni precedenti alla 10.03.1.

Ghostscript è un software open-source sviluppato da Artifex, utilizzato in ambienti di editoria e stampa per la conversione di documenti tra vari formati, il rendering grafico, la stampa, oltre che la visualizzazione ed interpretazione di file PostScript e PDF.

Panoramica della vulnerabilità

CVE-2024-29510, pubblicato il 03/07/2024 e che presenta punteggio CVSS v3 di 5.5 – Medium, è una vulnerabilità che affligge le versioni di Ghostscript precedenti alla 10.03.1.
La vulnerabilità consente ad un attaccante di eseguire codice arbitrario sfruttando l’iniezione di stringhe di formato all’interno del dispositivo uniprint. Il problema si verifica perché Ghostscript non limita adeguatamente le modifiche alle stringhe degli argomenti del dispositivo dopo l’attivazione della modalità SAFER.

La vulnerabilità viene sfruttata tramite stringhe di formato nel dispositivo uniprint, in particolare durante la gestione di parametri come upYMoveCommand e upWriteComponentCommands. Questi parametri contengono specificatori di formato che possono essere manipolati per iniettare codice dannoso. Durante l’inizializzazione del dispositivo, queste stringhe vengono utilizzate senza adeguata validazione, permettendo a un attaccante di eseguire codice arbitrario passando stringhe di formato appositamente create alla funzione gs_snprintf.

Mitigazione

Nel caso non si fosse già provveduto, si consiglia agli utenti di aggiornare alla versione 10.03.1 di Ghostscript, dove questa vulnerabilità (oltre ad alcune altre risalenti a maggio) è stata risolta. Al seguente link è presente l’ultima release del vendor: ghostscript.com/releases/index…

Inoltre, è consigliabile evitare di esporre Ghostscript direttamente su internet per ridurre il rischio di sfruttamento di vulnerabilità.

L'articolo Disponibile PoC per sfruttamento della vulnerabilità di Ghostscript (CVE-2024-29510), software di stampa proviene da il blog della sicurezza informatica.

Un attore malevolo ha dichiarato di aver divulgato un database contenente oltre 1,6 milioni di linee di dati dal governo lettone. La fuga di informazioni, datata 7 luglio 2024, comprende tutte le informazioni provenienti dalle autorità governative della Lettonia.

Dettagli dell’Incidente

L’annuncio della violazione è stato fatto su un forum specializzato, dove l’utente identificato come Hana ha pubblicato il messaggio iniziale. Hana, un utente VIP con 15 post e una reputazione di 30, ha indicato che il dump dei dati include 1.660.183 linee. La pubblicazione contiene una descrizione dell’entità della fuga, sottolineando che tutti i dati del governo lettone sono stati compromessi.

Veridicità della Violazione

Attualmente, non è possibile confermare con precisione l’autenticità della violazione. L’organizzazione interessata non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo all’incidente. Pertanto, questo articolo deve essere considerato come una ‘fonte di intelligence’ piuttosto che una conferma definitiva della violazione.

Implicazioni Potenziali

Se confermata, questa violazione rappresenterebbe un grave rischio per la sicurezza nazionale della Lettonia. I dati governativi potrebbero contenere informazioni sensibili su cittadini, politiche interne e relazioni internazionali. La divulgazione di tali informazioni potrebbe portare a una serie di conseguenze negative, tra cui:

• Furto di Identità: Informazioni personali dei cittadini potrebbero essere utilizzate per scopi fraudolenti.
• Compromissione della Sicurezza Nazionale: Dati sensibili potrebbero essere sfruttati da attori ostili per minare la stabilità del paese.
• Danno alla Reputazione: La fiducia dei cittadini nel governo potrebbe essere gravemente danneggiata.

Conclusioni

La presunta violazione del database del governo lettone è un episodio allarmante che evidenzia la crescente minaccia degli attacchi informatici a livello globale. Sebbene l’autenticità dell’incidente non sia ancora stata confermata ufficialmente, è essenziale monitorare attentamente la situazione e adottare tutte le misure necessarie per proteggere le informazioni riservate e mantenere la fiducia del pubblico.

Rimanete Aggiornati

Continuate a seguirci per ulteriori aggiornamenti su questa storia in evoluzione. Siamo impegnati a fornire informazioni accurate e tempestive su questioni critiche che riguardano la sicurezza e la privacy nel mondo digitale.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Database del Governo Lettone Compromesso: Oltre 1,6 Milioni di Dati Governativi! proviene da il blog della sicurezza informatica.

In the 60’s and 70’s there were many ways to display numeric data. Nixie tubes, Vacuum Florescent Displays (VFD), micro projection systems, you name it. All of them had advantages and drawbacks. One of the simplest ways to display data was the RCA Numitron. [Alec] at Technology Connections has a bit of a love/hate relationship with these displays.

The Numitron is simply a seven-segment display built from light bulb filaments. The filaments run at 5 V, and by their nature are current limited. Seven elements versus the usual ten seen in Nixie tubes reduced the number of switching elements (transistors, relays, or tubes) needed to drive them, and the single low-voltage supply was also much simpler than Nixie or even VFD systems.

Sounds perfect, right? Well, [Alec] has a bone to pick with this technology. The displays were quite dim, poorly assembled, and not very pleasing to look at. RCA didn’t bother tilting the “8” to fit the decimal point in! Even the display background was gray, causing the numbers to wash out in ambient light. Black would have been much better. In [Alec]’s words, the best way to describe the display would be “Janky,” yet he still enjoys them. In fact, he built a fancy retro-industrial-themed clock with them.

The Numitron was not a failure, though — we know variants of this display ended up in everything from gas pumps to aircraft cockpit gauges. You can even build an LED-based replica clock — no glowing filaments necessary.

youtube.com/embed/YGT1EvmDJh4?…

Un attore malevolo, sotto il nome di “tikila”, ha pubblicato su un forum di hacking l’annuncio della vendita di una vulnerabilità di escalation dei privilegi locali (LPE) per Windows. Questa vulnerabilità, secondo quanto dichiarato, è stata testata e confermata funzionante su diverse versioni di Windows, tra cui Windows 10, Windows 11 e vari Windows Server (2008, 2012, 2016, 2019, 2022).

Dettagli della Vulnerabilità

L’annuncio afferma che la vulnerabilità è affidabile al 100% e non provoca crash di sistema, garantendo la continuazione dei processi.

L’autore dell’annuncio specifica che la vulnerabilità è stata testata su sistemi completamente aggiornati e patchati, il che implica che potrebbe sfruttare una falla zero-day ancora sconosciuta ai fornitori di sicurezza.

Termini di Vendita

I termini di vendita della vulnerabilità includono:

• Vendita esclusiva: La vulnerabilità sarà venduta ad un solo acquirente.
• Accettazione di intermediari: L’autore accetta l’uso di intermediari per facilitare la transazione.
• Richiesta di prova dei fondi: Gli acquirenti devono dimostrare di avere i fondi necessari per l’acquisto.
• Condivisione del Proof of Concept (PoC): Un video che dimostra il funzionamento della vulnerabilità può essere condiviso con l’acquirente.

Implicazioni di Sicurezza

La vendita di una vulnerabilità LPE per Windows rappresenta una seria minaccia per la sicurezza informatica, in quanto potrebbe consentire agli attaccanti di ottenere privilegi elevati sui sistemi compromessi. Questo tipo di accesso può essere utilizzato per eseguire codice malevolo, rubare dati sensibili, o prendere il controllo completo delle macchine vittima.

Raccomandazioni

Le organizzazioni dovrebbero essere vigili e monitorare i propri sistemi per segnali di compromissione. È consigliabile mantenere tutti i software aggiornati e applicare le patch di sicurezza rilasciate dai fornitori. Inoltre, è cruciale implementare misure di sicurezza difensive, come l’uso di software antivirus e firewall, e limitare i privilegi utente per ridurre il rischio di escalation dei privilegi.

Conclusioni

L’annuncio di tikila evidenzia ancora una volta la continua evoluzione delle minacce informatiche e la necessità di una vigilanza costante nella protezione delle infrastrutture IT. Le aziende devono rimanere aggiornate sulle nuove vulnerabilità e adottare una strategia di sicurezza proattiva per difendersi contro queste potenziali minacce.

Per restare sempre aggiornati sulle vulnerabilità Microsoft è possibile controllore il servizio Security Update Guide.

L'articolo Pericoloso 0day LPE per Windows in vendita nell’underground proviene da il blog della sicurezza informatica.

Roblox, una delle piattaforme di gioco online più popolari al mondo, ha recentemente informato tutti gli sviluppatori registrati su FNTech di una violazione dei dati che ha compromesso informazioni sensibili. Questo incidente ha sollevato preoccupazioni significative riguardo alla sicurezza dei dati e alla protezione delle informazioni personali degli utenti.

Dettagli della violazione

La violazione dei dati ha coinvolto informazioni personali importanti, tra cui i nomi completi, gli indirizzi email e gli indirizzi IP degli sviluppatori. Gli individui colpiti sono stati avvisati tramite email inviate all’indirizzo di registrazione FNTech, informandoli della compromissione delle loro informazioni personali.

Un fornitore di Roblox ha recentemente notificato all’azienda che si è verificato un accesso non autorizzato a un sottoinsieme delle informazioni degli utenti di Roblox, prelevate dall’elenco di registrazione della Roblox Developer Conference 2022-2024 tramite il suo sito web. Le categorie di informazioni personali che potrebbero essere state incluse tra i dati accessibili sono: nomi registrati, indirizzi email e indirizzi IP.

Impatto e portata

Secondo le informazioni fornite da Have I Been Pwned (HIBP), un servizio online che consente agli utenti di verificare se le loro informazioni personali sono state compromesse in violazioni di dati, la violazione ha interessato circa 10.000 indirizzi email unici, nomi e indirizzi IP. Questo numero significativo di dati compromessi evidenzia la gravità dell’incidente e la necessità di misure di sicurezza più rigorose.

Risposta di Roblox

Roblox ha immediatamente preso provvedimenti per affrontare la situazione, collaborando con FNTech per garantire che gli sviluppatori colpiti ricevano tutte le informazioni necessarie per proteggere i loro dati personali. L’azienda ha inoltre avviato un’indagine approfondita per determinare le cause della violazione e prevenire futuri incidenti simili.

In un comunicato ufficiale, Roblox ha dichiarato: “La sicurezza e la privacy dei nostri utenti sono di fondamentale importanza per noi. Stiamo lavorando instancabilmente per rafforzare le nostre misure di sicurezza e garantire che situazioni del genere non si ripetano.”

Misure di protezione consigliate

Gli esperti di sicurezza informatica consigliano agli sviluppatori colpiti di adottare misure immediate per proteggere i loro dati personali. Tra queste misure, si raccomanda di:

1. Cambiare le password: Utilizzare password uniche e complesse per ogni account e considerare l’uso di un gestore di password.
2. Abilitare l’autenticazione a due fattori (2FA): Questa misura aggiuntiva di sicurezza può impedire l’accesso non autorizzato agli account.
3. Monitorare l’attività dell’account: Tenere sotto controllo qualsiasi attività sospetta sui propri account online e segnalare immediatamente eventuali anomalie.

Conclusioni

La recente violazione dei dati degli sviluppatori di Roblox mette in luce l’importanza di una sicurezza informatica robusta, sia per le aziende che per gli individui. Mentre Roblox sta adottando misure per rafforzare la protezione dei dati, è fondamentale che gli utenti rimangano vigili e proattivi nella salvaguardia delle proprie informazioni personali. Solo attraverso una collaborazione costante e l’adozione di pratiche di sicurezza rigorose, possiamo sperare di minimizzare i rischi associati alle violazioni dei dati.

L'articolo Violazione dei Dati degli Sviluppatori di Roblox Migliaia di Informazioni Sensibili Esposte! proviene da il blog della sicurezza informatica.

Una vulnerabilità di sicurezza critica, identificata come CVE-2024-6376, è stata scoperta in MongoDB Compass, un’interfaccia grafica ampiamente utilizzata per la gestione dei dati di MongoDB. Questa falla di sicurezza potrebbe avere gravi ripercussioni, tra cui la perdita di dati e l’accesso non autorizzato ai sistemi.

Dettagli della Vulnerabilità

La vulnerabilità riguarda le versioni di MongoDB Compass precedenti alla 1.42.2. Secondo il National Vulnerability Database (NVD), la falla ha ricevuto un punteggio di 9.8 su 10 nel sistema di valutazione CVSS (Common Vulnerability Scoring System), indicando un rischio estremamente elevato. Questo punteggio sottolinea la gravità del problema e la necessità di un’azione immediata per mitigare i potenziali danni.

Implicazioni della Vulnerabilità

L’exploit della vulnerabilità CVE-2024-6376 potrebbe consentire a malintenzionati di eseguire codice arbitrario nei sistemi vulnerabili. Questo tipo di attacco, noto come code injection, può compromettere l’integrità, la riservatezza e la disponibilità dei dati gestiti da MongoDB Compass. Gli attaccanti potrebbero sfruttare questa falla per manipolare i dati, esfiltrare informazioni sensibili o prendere il controllo completo dei sistemi colpiti.

Risoluzione e Raccomandazioni

MongoDB, Inc. ha prontamente risposto alla scoperta della vulnerabilità rilasciando la versione 1.42.2 di MongoDB Compass, che include le correzioni necessarie per risolvere il problema. Gli utenti sono fortemente incoraggiati ad aggiornare immediatamente all’ultima versione per proteggere i propri sistemi da potenziali attacchi.

Conclusione

La vulnerabilità CVE-2024-6376 in MongoDB Compass rappresenta un rischio significativo per gli utenti di questa popolare interfaccia di gestione dati. Con un punteggio CVSS di 9.8, la falla evidenzia l’importanza di mantenere aggiornati i software critici e di seguire le migliori pratiche di sicurezza informatica. MongoDB, Inc. ha dimostrato un impegno proattivo nel risolvere rapidamente il problema, ma spetta agli utenti adottare le misure necessarie per proteggere i propri sistemi.

Per ulteriori dettagli sulla vulnerabilità, è possibile consultare il sito del National Vulnerability Database (NVD) al seguente link: NIST – CVE-2024-6376.

Rimanere vigili e aggiornati sulle ultime minacce di sicurezza è essenziale per proteggere le infrastrutture digitali nel panorama tecnologico odierno in continua evoluzione.

L'articolo Vulnerabilità Critica in MongoDB Compass: Sistemi a Rischi di Code Injection proviene da il blog della sicurezza informatica.

In May 2024, we discovered a new advanced persistent threat (APT) targeting Russian government entities that we dubbed CloudSorcerer. It’s a sophisticated cyberespionage tool used for stealth monitoring, data collection, and exfiltration via Microsoft Graph, Yandex Cloud, and Dropbox cloud infrastructure. The malware leverages cloud resources as its command and control (C2) servers, accessing them through APIs using authentication tokens. Additionally, CloudSorcerer uses GitHub as its initial C2 server.

CloudSorcerer’s modus operandi is reminiscent of the CloudWizard APT that we reported on in 2023. However, the malware code is completely different. We presume that CloudSorcerer is a new actor that has adopted a similar method of interacting with public cloud services.

Our findings in a nutshell:

• CloudSorcerer APT uses public cloud services as its main C2s
• The malware interacts with the C2 using special commands and decodes them using a hardcoded charcode table.
• The actor uses Microsoft COM object interfaces to perform malicious operations.
• CloudSorcerer acts as separate modules (communication module, data collection module) depending on which process it’s running, but executes from a single executable.

Technical details

Initial start up

The malware is executed manually by the attacker on an already infected machine. It is initially a single Portable Executable (PE) binary written in C. Its functionality varies depending on the process in which it is executed. Upon execution, the malware calls the GetModuleFileNameA function to determine the name of the process it is running in. It then compares this process name with a set of hardcoded strings: browser, mspaint.exe, and msiexec.exe. Depending on the detected process name, the malware activates different functions:

• If the process name is mspaint.exe, CloudSorcerer functions as a backdoor module, and performs activities such as data collection and code execution.
• If the process name is msiexec.exe, the CloudSorcerer malware initiates its C2 communication module.
• Lastly, if the process name contains the string “browser” or does not match any of the specified names, the malware attempts to inject shellcode into either the msiexec.exe, mspaint.exe, or explorer.exe processes before terminating the initial process.

The shellcode used by CloudSorcerer for initial process migration shows fairly standard functionality:

• Parse Process Environment Block (PEB) to identify offsets to required Windows core DLLs;
• Identify required Windows APIs by hashes using ROR14 algorithm;
• Map CloudSorcerer code into the memory of one of the targeted processes and run it in a separate thread.

All data exchange between modules is organized through Windows pipes, a mechanism for inter-process communication (IPC) that allows data to be transferred between processes.

CloudSorcerer backdoor module

The backdoor module begins by collecting various system information about the victim machine, running in a separate thread. The malware collects:

• Computer name;
• User name;
• Windows subversion information;
• System uptime.

All the collected data is stored in a specially created structure. Once the information gathering is complete, the data is written to the named pipe \\.\PIPE\[1428] connected to the C2 module process. It is important to note that all data exchange is organized using well-defined structures with different purposes, such as backdoor command structures and information gathering structures.

Next, the malware attempts to read data from the pipe \\.\PIPE\[1428]. If successful, it parses the incoming data into the COMMAND structure and reads a single byte from it, which represents a COMMAND_ID.

Main backdoor functionality

Depending on the COMMAND_ID, the malware executes one of the following actions:

• 0x1 – Collect information about hard drives in the system, including logical drive names, capacity, and free space.
• 0x2 – Collect information about files and folders, such as name, size, and type.
• 0x3 – Execute shell commands using the ShellExecuteExW API.
• 0x4 – Copy, move, rename, or delete files.
• 0x5 – Read data from any file.
• 0x6 – Create and write data to any file.
• 0x8 – Receive a shellcode from the pipe and inject it into any process by allocating memory and creating a new thread in a remote process.
• 0x9 – Receive a PE file, create a section and map it into the remote process.
• 0x7 – Run additional advanced functionality.

When the malware receives a 0x7 COMMAND_ID, it runs one of the additional tasks described below:

All the collected information or results of performed tasks are added to a specially created structure and sent to the C2 module process via a named pipe.

C2 module

The C2 module starts by creating a new Windows pipe named \\.\PIPE\[1428]. Next, it configures the connection to the initial C2 server by providing the necessary arguments to a sequence of Windows API functions responsible for internet connections:

• InternetCrackUrlA;
• InternetSetOptionA;
• InternetOpenA;
• InternetConnectA;
• HttpOpenRequestA;
• HttpSendRequestA

The malware sets the request type (“GET”), configures proxy information, sets up hardcoded headers, and provides the C2 URL.

Setting up internet connection

The malware then connects to the initial C2 server, which is a GitHub page located at https://github[.]com/alinaegorovaMygit. The malware reads the entire web page into a memory buffer using the InternetReadFile call.

The GitHub repository contains forks of three public projects that have not been modified or updated. Their purpose is merely to make the GitHub page appear legitimate and active. However, the author section of the GitHub page displays an interesting string:

Hex string in the author section

We found data that looks like a hex string that starts and ends with the same byte pattern – “CDOY”. After the malware downloads the entire GitHub HTML page, it begins parsing it, searching specifically for the character sequence “CDOY”. When it finds it, it copies all the characters up to the second delimiter “CDOY” and then stores them in a memory buffer. Next, the malware parses these characters, converting them from string values to hex values. It then decodes the string using a hardcoded charcode substitution table – each byte from the parsed string acts as an index in the charcode table, pointing to a substitutable byte, thus forming a new hex byte array.

Decoding algorithm

Charcode table

Alternatively, instead of connecting to GitHub, CloudSorcerer also tries to get the same data from hxxps://my.mail[.]ru/, which is a Russian cloud-based photo hosting server. The name of the photo album contains the same hex string.

The first decoded byte of the hex string is a magic number that tells the malware which cloud service to use. For example, if the byte is “1”, the malware uses Microsoft Graph cloud; if it is “0”, the malware uses Yandex cloud. The subsequent bytes form a string of a bearer token that is used for authentication with the cloud’s API.

Depending on the magic number, the malware creates a structure and sets an offset to a virtual function table that contains a subset of functions to interact with the selected cloud service.

Different virtual tables for Yandex and Microsoft

Next, the malware connects to the cloud API by:

• Setting up the initial connection using InternetOpenA and InternetConnectA;
• Setting up all the required headers and the authorization token received from the GitHub page;
• Configuring the API paths in the request;
• Sending the request using HttpSendRequestExA and checking for response errors;
• Reading data from the cloud using InternetReadFile.

The malware then creates two separate threads – one responsible for receiving data from the Windows pipe and another responsible for sending data to it. These threads facilitate asynchronous data exchange between the C2 and backdoor modules.

Finally, the C2 module interacts with the cloud services by reading data, receiving encoded commands, decoding them using the character code table, and sending them via the named pipe to the backdoor module. Conversely, it receives the command execution results or exfiltrated data from the backdoor module and writes them to the cloud.

Infrastructure

GitHub page

The GitHub page was created on May 7, 2024, and two repositories were forked into it on the same day. On May 13, 2024, another repository was forked, and no further interactions with GitHub occurred. The forked repositories were left untouched. The name of the C2 repository, “Alina Egorova,” is a common Russian female name; however, the photo on the GitHub page is of a male and was copied from a public photo bank.

Mail.ru photo hosting

This page contains the same encoded string as the GitHub page. There is no information about when the album was created and published. The photo of the owner is the same as the picture from the photo bank.

Cloud infrastructure

Attribution

The use of cloud services is not new, and we reported an example of this in our overview of the CloudWizard APT (a campaign in the Ukrainian conflict with ties to Operation Groundbait and CommonMagic). However, the likelihood of attributing CloudSorcerer to the same actor is low, as the code and overall functionality of the malware are different. We therefore assume at this point that CloudSorcerer is a new actor that has adopted the technique of interacting with public cloud services.

Victims

Government organizations in the Russian Federation.

Conclusions

The CloudSorcerer malware represents a sophisticated toolset targeting Russian government entities. Its use of cloud services such as Microsoft Graph, Yandex Cloud, and Dropbox for C2 infrastructure, along with GitHub for initial C2 communications, demonstrates a well-planned approach to cyberespionage. The malware’s ability to dynamically adapt its behavior based on the process it is running in, coupled with its use of complex inter-process communication through Windows pipes, further highlights its sophistication.

While there are similarities in modus operandi to the previously reported CloudWizard APT, the significant differences in code and functionality suggest that CloudSorcerer is likely a new actor, possibly inspired by previous techniques but developing its own unique tools.

Indicators of Compromise

File Hashes (malicious documents, Trojans, emails, decoys)

Domains and IPs

Yara Rules

rule apt_cloudsorcerer {
meta:
description = "Detects CloudSorcerer"
author = "Kaspersky"
copyright = "Kaspersky"
distribution = "DISTRIBUTION IS FORBIDDEN. DO NOT UPLOAD TO ANY MULTISCANNER OR SHARE ON ANY THREAT INTEL PLATFORM"
version = "1.0"
last_modified = "2024-06-06"
hash = "F701fc79578a12513c369d4e36c57224"

strings:
$str1 = "Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko"
$str2 = "c:\\windows\\system32\\mspaint.exe"
$str3 = "C:\\Windows\\system32\\msiexec.exe"
$str4 = "\\\\.\\PIPE\\"

condition:
uint16(0) == 0x5A4D and
all of ($str*)
}

MITRE ATT&CK Mapping

securelist.com/cloudsorcerer-n…

@Notizie dall'Italia e dal mondo

A Rio de Janeiro si è recentemente svolto il corso “I Caschi Blu della Cultura. Il Patrimonio Culturale in caso di catastrofe: rischi e interventi di sicurezza””. La giornata conclusiva si è tenuta il 2 luglio al Paço Imperial (Palazzo Imperial).

I "caschi blu della cultura" sono una idea italiana, sviluppatasi sin dal 2016 nell’ambito della campagna #Unite4Heritage. Il governo italiano e l’Unesco siglarono un memorandum d’intesa per la creazione di una task force di sessanta unità, composta da carabinieri, storici dell’arte, studiosi e restauratori, pronti a intervenire per salvaguardare il patrimonio culturale in zone di crisi. Con Decreto firmato il 31 marzo 2022 dal Ministro della Cultura pro–tempore Franceschini fu perfezionata la Task Force, formalmente denominata “Caschi Blu della Cultura”, unità operativa concepita per intervenire in aree colpite da emergenze, quali calamità o crisi prodotte dall’uomo, in una cornice di sicurezza, al fine di: – salvaguardare i siti archeologici, i luoghi della cultura ed i beni culturali; – contrastare il traffico internazionale di beni culturali illecitamente sottratti; – supportare l’Autorità dei Paesi esteri richiedenti, nella predisposizione di misure atte a limitare i rischi che situazioni di crisi o emergenziali potrebbero arrecare al patrimonio culturale di quella Nazione. L' #Armadeicarabinieri – con personale tratto dal Comando Tutela Patrimonio Culturale (#TPC) assegnato al Ministero della Cultura – hanno la gestione operativa–logistica delle missioni.

Tornando al corso in Brasile, questo è stato realizzato dall’Organizzazione Internazionale Italo-Latino Americana (#IILA), con il finanziamento della Direzione Generale per la Cooperazione allo Sviluppo del Ministero degli Affari Esteri e della Cooperazione Internazionale (#MAECI), in collaborazione con il Ministero della Cultura italiano (#MIC), il Comando Carabinieri Tutela Patrimonio Culturale e, da parte brasiliana, con il Ministério das Relações Exteriores, Ministerio da Cultura, Centro Lucio Costa, IPHAN – Instituto do Patrimônio Histórico e Artístico Nacional, SBM – Sistema Brasiliero de Museus, IBRAM – Instituto Brasileiro de Museus, Instituto Guimarães Rosa, #PoliciaFederal e #INTERPOL Brasil. Hanno partecipato 55 funzionari pubblici latinoamericani, provenienti da forze di polizia, forze armate, protezione civile e vigile del fuoco, Ministero della Cultura oltre a restauratori e conservatori di beni culturali, per formare di una task force italo-latinoamericana per la protezione del patrimonio culturale

Tra gli altri intervenuti alla giornata finale il Generale D. Francesco Gargaro, Comandante Carabinieri Tutela Patrimonio Culturale; Paolo Iannelli, Rappresentante del MIC – Caschi Blu della Cultura; Marcos Moreira Nizio, Capo del Settore Protezione del Patrimonio storico e culturale della Polizia Federale brasiliana.

Il Generale Gargaro (foto sopra) ha dichiarato nella circostanza:“Il corso che oggi si conclude è stato concepito per dotarvi degli strumenti necessari per affrontare queste sfide. Attraverso questo confronto tra diverse esperienze si sono volute trasmettere competenze tecniche e operative che permetteranno di intervenire sempre più efficacemente in situazioni di emergenza. Avete imparato l’importanza dell’identificazione e catalogazione dei beni culturali anche in situazioni emergenziali, della collaborare con le comunità locali e con le diverse istituzioni in contesti complessi. In un’epoca in cui i conflitti, crisi e catastrofi naturali minacciano di cancellare la memoria storica e culturale dei popoli, l’importanza del nostro lavoro non può essere sottovalutata. La distruzione di beni culturali non è solo una perdita per le comunità direttamente coinvolte, ma per tutta l’umanità.
È la cancellazione della nostra storia condivisa, delle nostre identità e dei valori che ci uniscono come esseri umani”.

La missione addestrativa, tenuta dal 24 giugno al 2 luglio 2024 da esperti italiani del Ministero della Cultura e del Comando Carabinieri Tutela del Patrimonio Culturale, ha voluto trasmettere ai paesi partecipanti quali Brasile, Cile, Colombia e Paraguay il modello italiano di tutela del patrimonio culturale attraverso sessioni teoriche ed esercitazioni pratiche, tra cui la simulazione di una inondazione e un focus rivolto alla sicurezza di beni archivistici e librari in ragione delle esigenze di tutela del territorio ospitante.

Durante la consegna dei diplomi, la Segretaria Generale dell'Organizzazione internazionale italo-latino americana Cavallari, nel ringraziare tutte le istituzioni partners che hanno reso possibile il successo del corso, ha sottolineato che l’obiettivo principale dell’IILA è proprio quello di stimolare la reciproca conoscenza e integrazione fra i paesi membri. Il programma addestrativo di quest’anno, come quello realizzato nel giugno 2023 a Città del Messico con la partecipazione di esperti di Bolivia, Costa Rica, Ecuador, Guatemala, Messico, Perù e Repubblica Dominicana, ha conseguito l’obiettivo di promuovere la condivisione di esperienze e buone pratiche per la possibile creazione di Caschi Blu della Cultura in Brasile, Colombia, Cile e Paraguay.

Importante infine sottolineare come la partecipazione dei carabinieri esalta il loro ruolo nella difesa a livello internazionale del patrimonio culturale italiano e mondiale: ruolo che l’Arma svolge nella protezione dei beni culturali da più di cinque decenni .