Un nuovo gruppo ransomware, autodefinitosi “Vanir Group,” ha recentemente fatto il suo debutto nel panorama del cybercrimine.

Questo gruppo ha subito attirato l’attenzione per l’aggressività e la professionalità delle loro operazioni, colpendo tre vittime in poco tempo e rendendo pubbliche le loro azioni attraverso un data leak site.

Il Messaggio di Ransomware

Nel loro sito web, il Vanir Group ha lasciato un messaggio intimidatorio per i loro bersagli, indirizzato ai CEO o agli amministratori di dominio delle aziende colpite. Ecco una parte del messaggio:

“Ciao,
Devi essere l’amministratore del dominio o il CEO, in altre parole, la nostra ultima vittima. Leggendo questo messaggio significa che l’infrastruttura interna della tua azienda è stata compromessa, tutti i tuoi backup sono stati eliminati o criptati. Abbiamo anche rubato la maggior parte dei dati importanti detenuti dalla tua azienda. Andando avanti, sarebbe nel tuo interesse cooperare con noi, per evitare ulteriori disgrazie.”

Le Vittime e le Richieste di Riscatto

Il Vanir Group afferma di avere una profonda conoscenza delle finanze delle aziende colpite, suggerendo che il prezzo richiesto per il riscatto è stato calcolato attentamente. Minacciano di vendere o distribuire i dati rubati se non vengono soddisfatte le loro richieste:

“Quando scegli di ignorare la nostra gentilezza e riferire alle forze dell’ordine o agli esperti di recupero dati, per aiutarti a trovare un modo per recuperare i tuoi dati persi, perdi TEMPO e SOLDI, e nel processo perdi anche la nostra pazienza.”

Le Comunicazioni del Gruppo

Il sito web del Vanir Group include anche un terminale interattivo dove è possibile inserire comandi come “help” per una lista di comandi disponibili, “news” per informazioni sul gruppo e le loro vittime, e “victims” per un elenco di tutte le loro vittime.

Collaborazione e Affiliazione

Nel terminale, il Vanir Group invita anche potenziali affiliati a contattarli, suggerendo che sono alla ricerca di collaboratori per espandere le loro operazioni:

“Per unirti a noi, invia un messaggio a BlackEyedBastard su Tox per la tua esaminazione.”

Conclusione

Il Vanir Group rappresenta una nuova e pericolosa minaccia nel mondo del cybercrimine. Con le loro operazioni precise e spietate, hanno già colpito tre aziende, mettendo in guardia sia le potenziali vittime che le forze dell’ordine. È essenziale che le aziende rafforzino le loro difese informatiche e adottino misure preventive per evitare di diventare le prossime vittime di questo gruppo ransomware.

L'articolo Nuovo Gruppo Ransomware “Vanir Group”: Subito Tre Vittime nel loro Data Leak Site proviene da il blog della sicurezza informatica.

Nella giornata di oggi, la ransomware gang conosciuta come Meow ha rivendicato un attacco informatico ai danni del colosso multinazionale Hewlett Packard Enterprise (HPE).

La rivendicazione è stata pubblicata sul loro Data Leak Site (DLS), dove il gruppo ha offerto l’accesso a un presunto database riservato di HPE al prezzo di 199 dollari.

HPE

Hewlett Packard Enterprise (HPE) è una delle principali aziende tecnologiche globali, nata come risultato della scissione di Hewlett-Packard Company nel novembre 2015. Hewlett-Packard, fondata da Bill Hewlett e Dave Packard nel 1939, è stata suddivisa in due entità separate: HP Inc., che si occupa principalmente di stampanti e personal computer, e Hewlett Packard Enterprise, focalizzata sui servizi e sulle soluzioni per le imprese.

Il Post sul DLS

Secondo quanto pubblicato sul DLS, il database conterrebbe dati confidenziali di grande valore che la gang di Meow ha ottenuto attraverso un attacco mirato. Tuttavia, al momento non è possibile confermare con certezza la veridicità della violazione. Hewlett Packard Enterprise non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Questo solleva dubbi sulla legittimità delle affermazioni fatte dalla gang di Meow.

L’Offerta di Meow

Nel messaggio pubblicato, la gang di Meow invita i potenziali acquirenti a non perdere l’opportunità di accedere a dati riservati di HPE ad un prezzo “conveniente”.

La descrizione sul sito afferma:

“Non perdete questa occasione unica di accedere a dati confidenziali di Hewlett Packard Enterprise a un prezzo accessibile. Basta cliccare sul pulsante ‘Buy’ e fornire le vostre informazioni di contatto per la registrazione. Il nostro team garantirà una transazione fluida e riservata.”

Il Gruppo Ransomware Meow

Origini e Attività del Gruppo

Il gruppo ransomware Meow è emerso recentemente come una delle nuove minacce nel panorama della sicurezza informatica. Sebbene le informazioni disponibili sulle loro origini siano limitate, le prime segnalazioni delle loro attività risalgono alla fine del 2023. Il gruppo si è rapidamente fatto conoscere per i suoi attacchi aggressivi e mirati contro aziende di alto profilo, utilizzando tecniche sofisticate per infiltrarsi nei sistemi e crittografare dati sensibili.

Attacchi Noti

Nonostante la loro recente apparizione, Meow ha già rivendicato numerosi attacchi contro organizzazioni di diversi settori. Uno degli attacchi più rilevanti è stato quello contro Hewlett Packard Enterprise, come descritto in precedenza. Altri bersagli includono istituzioni finanziarie, aziende tecnologiche, e infrastrutture critiche, dimostrando la loro capacità di colpire obiettivi di alto valore.

Implicazioni e Considerazioni

Se l’attacco fosse confermato, potrebbe avere gravi implicazioni per Hewlett Packard Enterprise, una delle principali aziende tecnologiche al mondo. La violazione di dati riservati potrebbe esporre informazioni sensibili riguardanti clienti, partner e operazioni aziendali, causando danni significativi alla reputazione dell’azienda e potenziali perdite economiche.

Al momento, non possiamo confermare con precisione la veridicità della violazione, poiché l’organizzazione non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo dovrebbe essere considerato come una ‘fonte di intelligence’.

Conclusione

Nonostante la mancanza di conferme ufficiali, la rivendicazione di Meow rappresenta una fonte di intelligence importante che le aziende e i professionisti della sicurezza informatica devono considerare attentamente. Restiamo in attesa di ulteriori aggiornamenti da parte di Hewlett Packard Enterprise per capire la portata reale dell’incidente e le misure che l’azienda intende adottare per affrontarlo.

In un mondo sempre più interconnesso e dipendente dalla tecnologia, la sicurezza informatica rimane una priorità fondamentale per prevenire attacchi che possono avere conseguenze devastanti.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Meow Ransomware rivendica l’attacco nel suo Data Leak Site al colosso HPE proviene da il blog della sicurezza informatica.

The European Commission designated the pornography platform XNXX as a very large online platform under the Digital Services Act (DSA) on Wednesday (10 July), making it comply with the DSA's strictest regulations.

euractiv.com/section/platforms…

Arguably the greatest strength of the Raspberry Pi is the ecosystem — it’s well-supported by its creators and the aftermarket. At the same time, the proliferation of different boards has made things more complicated over the years. Thankfully, though, the community is always standing by to help fix any problems. [Rastersoft] has stepped up in this regard, solving an issue with the Raspberry Pi 5 and DSI screen cables.

The root cause is that the DSI cable used on the Raspberry Pi 5 has changed relative to earlier boards. This means that if you use the Pi 5 with many existing screens and DSI cables, you’ll find your flat ribbon cable gets an ugly twist in it. This can be particularly problematic when using the cables in tight cases, where they may end up folded, crushed, or damaged.

[Rastersoft] got around this by designing a new cable that avoided the problem. It not only solves the twist issue, but frees up space around the CPU if you wish to use a cooler. Thanks to modern PCB houses embracing flexible boards, it’s easy to get it produced, too.

This is a great example of the democratization of PCB and electronics production in general. 20 years ago, you wouldn’t be able to make a flex cable like this without ordering 10,000 of them. Today, you can order a handful for your own personal use, and share the design with strangers on a whim. Easy, huh? It’s a beautiful world we live in.

Il 9 luglio 2024, un utente noto come “888” ha pubblicato un post su BreachForums dichiarando di aver divulgato dati sensibili di dipendenti Microsoft. Questa presunta violazione ha esposto informazioni personali di 2.073 dipendenti dell’azienda, presumibilmente a causa di una falla in un sistema di terze parti.

Dettagli della Violazione

Secondo il post pubblicato da “888”, i dati compromessi includono:

• Nome e Cognome
• Titolo di Lavoro
• Email
• Stato di Verifica dell’Email
• Numero di Telefono Diretto
• Numero di Telefono Aziendale
• Settore
• URL LinkedIn della Persona
• Sito Web Aziendale
• Città, Stato e Paese di Residenza della Persona
• Numero di Telefono dell’Azienda

La portata della violazione è significativa, poiché le informazioni divulgate possono essere utilizzate per una serie di attività dannose, tra cui phishing, frodi e attacchi mirati.

Analisi della Situazione

Al momento, non possiamo confermare con precisione la veridicità della violazione. Microsoft non ha rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. La mancanza di una dichiarazione ufficiale rende difficile verificare l’autenticità dei dati pubblicati da “888”.

Tuttavia, il post su BreachForums ha attirato l’attenzione della comunità della sicurezza informatica e degli esperti del settore, che stanno monitorando la situazione da vicino. La rapidità con cui questi dati potrebbero essere utilizzati per scopi dannosi sottolinea l’importanza di una risposta tempestiva e trasparente da parte di Microsoft.

Conclusioni

Il possibile attacco a Microsoft, rivendicato dall’attore malevolo 888, è un chiaro segnale di allarme per tutte le aziende riguardo alla vulnerabilità dei loro dati.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Il Threat Actors 888 rivendicata una compromissione di Microsoft proviene da il blog della sicurezza informatica.

Maintaining net neutrality is crucial for Europe's startup ecosystem to foster innovation, economic growth, and strategic autonomy. Introducing network fees would harm startups, stifling their ability to compete and innovate, ultimately weakening the EU’s competitiveness and technological autonomy.

euractiv.com/section/digital/o…

Un attore malevolo, conosciuto con l’alias “888”, ha recentemente dichiarato di essere responsabile della divulgazione di dati sensibili appartenenti all’azienda Nokia. L’attacco, avvenuto nel luglio 2024, ha compromesso una vasta gamma di informazioni, suscitando preoccupazioni significative riguardo alla sicurezza dei dati e alla protezione delle informazioni personali.

Dettagli della violazione

Secondo le dichiarazioni di 888, la violazione ha portato all’esposizione di diversi dati sensibili. Tra le informazioni compromesse ci sono:

• Nome
• Cognome
• Titolo di lavoro
• Nome dell’azienda
• Email
• Stato di verifica dell’email
• Numero di telefono diretto
• Numero di telefono aziendale
• Numero di dipendenti
• Settore industriale
• Stato di residenza della persona
• Paese di residenza della persona
• Data di creazione dei dati

Al momento, non possiamo confermare con precisione la veridicità della violazione, poiché l’organizzazione non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo dovrebbe essere considerato come una ‘fonte di intelligence’.

Implicazioni dell’attacco

La possibile divulgazione di tali informazioni può avere conseguenze devastanti sia per gli individui coinvolti che per l’azienda. I dati personali come nomi, cognomi e informazioni di contatto possono essere utilizzati per attività fraudolente, furti di identità e altre forme di cybercriminalità. Inoltre, le informazioni aziendali sensibili possono esporre Nokia a rischi competitivi e minare la fiducia dei clienti e dei partner commerciali.

Conclusione

L’attacco a Nokia, rivendicato dall’attore malevolo 888, è un chiaro segnale di allarme per tutte le aziende riguardo alla vulnerabilità dei loro dati.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Il Threat Actors 888 rivendicata una compromissione di Nokia proviene da il blog della sicurezza informatica.

Model rocketry has always taken cues from what’s happening in the world of full-scale rockets, with amateur rocketeers doing their best to incorporate the technologies and methods into their creations. That’s not always an easy proposition, though, as this three-year effort to nail a SpaceX-style vertical landing aptly shows.

First of all, hats off to high schooler [Aryan Kapoor] from JRD Propulsion for his tenacity with this project. He started in 2021 with none of the basic skills needed to pull off something like this, but it seems like he quickly learned the ropes. His development program was comprehensive, with static test vehicles, a low-altitude hopper, and extensive testing of the key technology: thrust-vector control. His rocket uses two solid-propellant motors stacked on top of each other, one for ascent and one for descent and landing. They both live in a 3D printed gimbal mount with two servos that give the stack plus and minus seven degrees of thrust vectoring in two dimensions, which is controlled by a custom flight computer with a barometric altimeter and an inertial measurement unit. The landing gear is also clever, using rubber bands to absorb landing forces and syringes as dampers.

The video below shows the first successful test flight and landing. Being a low-altitude flight, everything happens very quickly, which probably made programming a challenge. It looked like the landing engine wasn’t going to fire as the rocket came down significantly off-plumb, but when it finally did light up the rocket straightened and nailed the landing. [Aryan] explains the major bump after the first touchdown as caused by the ascent engine failing to eject; the landing gear and the flight controller handled the extra landing mass with aplomb.

All in all, very nice work from [Aryan], and we’re keen to see this one progress.

youtube.com/embed/vxP86WhNzP4?…

I ricercatori di sicurezza hanno scoperto una nuova vulnerabilità in OpenSSH, identificata come CVE-2024-6409, che potrebbe potenzialmente consentire attacchi di esecuzione di codice remoto sui sistemi interessati.

Questa vulnerabilità, che riguarda le versioni 8.7 e 8.8 di OpenSSH, consente la potenziale esecuzione di codice remoto (RCE) a causa di una condizione di competizione nella gestione del segnale all’interno del processo figlio di separazione dei privilegi (privsep).

La vulnerabilità è stata divulgata pubblicamente l’8 luglio 2024, in seguito a un’analisi approfondita condotta da Qualys in seguito alla precedente vulnerabilità CVE-2024-6387 e a un’ulteriore revisione da parte dei ricercatori di sicurezza.

il bug relativo al CVE-2024-6409 risiede nella funzione grace_alarm_handler() che richiama impropriamente cleanup_exit() dall’interno di un gestore di segnale. Questa funzione non è sicura da richiamare in tale contesto, in quanto potrebbe richiamare altre funzioni che non sono async-signal-safe, portando a potenziali rischi per la sicurezza.

Il problema è particolarmente preoccupante per i sistemi che eseguono le versioni 8.7 e 8.8 di OpenSSH, nonché le relative release portatili. La vulnerabilità è esacerbata da alcune patch downstream, come quella openssh-7.6p1-audit.patchpresente nel pacchetto OpenSSH di Red Hat, che aggiunge codice aggiuntivo cleanup_exit() che può innescare la vulnerabilità.

La distinzione fondamentale rispetto al CVE-2024-6387 risiede nel fatto che la race condition non ha il potenziale per l’esecuzione di codice remoto (RCE) essendo avviati nel processo figlio privsep. Questo processo opera con privilegi limitati rispetto al processo server padre. Di conseguenza, l’impatto immediato è ridotto.

Sebbene l’impatto immediato di CVE-2024-6409 sia in qualche modo mitigato dal fatto che la race condition e il potenziale RCE vengono attivati ​​nel processo figlio privsep, che opera con privilegi ridotti rispetto al processo del server padre, la vulnerabilità rappresenta comunque un rischio significativo.

Il processo figlio privsep è progettato per limitare i danni che possono essere causati se venisse compromesso, ma il rischio di esecuzione di codice remoto resta una minaccia seria.

L'articolo Una pericolosa RCE è stata rilevata all’interno del pacchetto OpenSSH proviene da il blog della sicurezza informatica.

Un attore malevolo sta presumibilmente vendendo l’accesso a un sistema RDWeb nel Regno Unito, appartenente a una società di contabilità. Questa violazione rappresenta una grave minaccia alla sicurezza dei dati sensibili di oltre 600 clienti, contenendo file di dichiarazioni fiscali e altri documenti riservati.

Dettagli dell’Offerta

L’annuncio pubblicato in un forum online descrive in dettaglio l’accesso al sistema compromesso:

• Sistema: RDWeb
• Localizzazione: Regno Unito
• Settore: Contabilità
• Diritti Utente: Completi
• Rete Locale: Presente
• Computers di Dominio: 57
• Dati Totali: 1TB

L’inserzionista afferma che i file contengono oltre 600 clienti con documenti di dichiarazione fiscale e altri documenti correlati. È specificato che ci sono molti altri file non ancora verificati, suggerendo la possibile presenza di ulteriori dati sensibili.

Prezzo dell’Accesso

L’accesso al sistema RDWeb è messo in vendita con i seguenti termini finanziari:

• Prezzo di Partenza: $9,000
• Incremento: $500
• Prezzo Blitz: $10,000

Veridicità della Violazione

Al momento, non possiamo confermare con precisione la veridicità della violazione. L’organizzazione interessata non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo dovrebbe essere considerato come una ‘fonte di intelligence’ e non come una conferma definitiva dell’avvenuto incidente.

Implicazioni e Raccomandazioni

Se confermata, questa violazione potrebbe avere gravi conseguenze per la privacy e la sicurezza dei dati dei clienti coinvolti. Gli attori malevoli potrebbero utilizzare queste informazioni per una serie di attività fraudolente, tra cui il furto di identità e frodi finanziarie.

Le aziende, specialmente quelle che trattano dati sensibili come le dichiarazioni fiscali, devono implementare misure di sicurezza robuste per proteggere i loro sistemi. Questo include l’uso di firewall avanzati, software antivirus aggiornati, crittografia dei dati e formazione continua del personale sulle migliori pratiche di sicurezza informatica.

Conclusione

Questa potenziale vendita di accesso a un sistema RDWeb di una società di contabilità nel Regno Unito sottolinea l’importanza critica della sicurezza informatica. Le organizzazioni devono rimanere vigili e proattive nella protezione dei dati dei clienti per prevenire simili incidenti e salvaguardare la loro reputazione e fiducia del cliente.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Vendesi Accesso a Sistema Contabile UK: 600 Clienti e 1TB di Dati a Rischio proviene da il blog della sicurezza informatica.

Il gruppo Kimsuky, noto per le sue operazioni di cyber spionaggio, ha sviluppato un nuovo malware chiamato “HappyDoor”. Questo backdoor, progettato per infiltrarsi e rubare dati dai sistemi compromessi, è stato analizzato dettagliatamente dall’AhnLab Security Emergency Response Center (ASEC). Di seguito, una descrizione approfondita delle caratteristiche tecniche e del funzionamento di HappyDoor, oltre a un profilo del gruppo Kimsuky.

Chi è il Gruppo Kimsuky

Kimsuky, anche noto come Thallium, Velvet Chollima e Black Banshee, è un gruppo di cyber spionaggio con presunti legami con la Corea del Nord. Attivo dal 2012, il gruppo è noto per prendere di mira principalmente enti governativi, organizzazioni politiche, istituzioni accademiche, e think tank, soprattutto in Corea del Sud e Stati Uniti. L’obiettivo principale di Kimsuky è raccogliere informazioni strategiche e politiche sensibili.

Topologia e Metodi Operativi

• Tecniche di Social Engineering: Kimsuky utilizza spesso email di phishing personalizzate per ingannare i destinatari e indurli a fornire credenziali o a installare malware.
• Malware e Backdoor: Il gruppo sviluppa e utilizza una varietà di malware, inclusi keylogger, trojan di accesso remoto (RAT) e backdoor come HappyDoor.
• Infrastrutture C&C: Kimsuky gestisce una rete di server di comando e controllo (C&C) per coordinare le attività di spionaggio e raccogliere dati esfiltrati.
• Obiettivi Geopolitici: Gli attacchi del gruppo sono spesso mirati a raccogliere informazioni utili alla strategia politica e militare della Corea del Nord.

Caratteristiche Tecniche del Malware

1. Registry Data

HappyDoor utilizza il registro di Windows per configurare dati essenziali per le sue operazioni. I principali percorsi del registro utilizzati sono:

• Notepad:
  
  • Percorso: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Notepad
  • Valore: IfChar
  • Descrizione: Contiene chiavi RSA (pubbliche e private), interruttori ON/OFF per la funzione di furto di informazioni e backdoor, e indirizzi delle funzioni di furto di informazioni.
  • Dimensione dei Dati: Varia tra 0x17E0 e 0x17D8 a seconda della versione.

  
  La struttura dei dati include:
  

  • Backdoor Packet Encryption ON/OFF: Un valore che decide se i comandi backdoor ricevuti devono essere cifrati. Di default è impostato su ON e utilizza una chiave RSA privata o una chiave RC4 per la decifratura.
  • interval_cmd, interval_ssht, ssht_width, ssht_height: Intervalli di raccolta delle informazioni e risoluzione degli screenshot.

  
  

• FTP:
  
  • Percorso: HKEY_CURRENT_USER\Software\Microsoft\FTP
  • Valore: Use Https
  • Descrizione: Include dati per l’autenticazione dei pacchetti e l’indirizzo del server C&C.
  • Dimensione dei Dati: Varia in base al numero di server C&C configurati.

  
  La struttura dei dati include:
  

  • USER ID: Un valore di 8 byte utilizzato per l’autenticazione dei pacchetti.
  • C2 (C&C) Address: L’indirizzo del server di comando e controllo utilizzato per il furto di informazioni e backdoor.

  
  

2. Packet Data

HappyDoor utilizza il protocollo HTTP per comunicare con i server C&C. I dati inviati sono cifrati utilizzando una combinazione di XOR e Base64, garantendo che le comunicazioni siano difficili da intercettare e decifrare.

• Metodo di Cifratura: XOR con una chiave fissa (ad esempio, DD 33 99 CC) e successiva codifica Base64.
• Struttura del Pacchetto: Include funzioni di furto di informazioni come allarmi, keylogger e screenshot, cifrate e inviate al server C&C.

3. Flusso di Comunicazione

Il flusso di comunicazione di HappyDoor si divide in tre tipi di pacchetti:

1. Autenticazione del Server:
   
   • Invia un comando di inizializzazione “init” al server e riceve una conferma “OK”.

   
   

2. Furto di Informazioni:
   
   • Invia uno stato di trasmissione (Trans Status: 0x1) per notificare l’invio di dati.
   • Trasferisce i dati in blocchi, ciascuno fino a una dimensione massima di 0x100000. Se i dati sono più grandi, vengono suddivisi in pacchetti successivi.
   • Una volta completato il trasferimento, invia un numero di ordine (Data Ord Number: 0x100000000) per confermare la fine della trasmissione e verifica la risposta del server.
   • Invia le informazioni del file trasferito, inclusi nome e dimensioni.

   
   

3. Comunicazione di Backdoor:
   
   • Scambia ID dei comandi (CMD ID: 0x3E) per eseguire istruzioni specifiche inviate dal server C&C.

   
   

Implicazioni e Raccomandazioni

HappyDoor rappresenta una minaccia significativa per la sicurezza delle informazioni, specialmente per le organizzazioni. È fondamentale che vengano adottate misure di sicurezza adeguate, tra cui:

• Aggiornamento Regolare: Assicurarsi che tutti i software di sicurezza siano aggiornati.
• Monitoraggio del Traffico: Implementare soluzioni per il monitoraggio del traffico di rete per rilevare attività sospette.
• Formazione del Personale: Educare i dipendenti sulle pratiche di sicurezza informatica per ridurre il rischio di compromissioni.

Conclusione

L’analisi di HappyDoor mette in luce la continua evoluzione delle tecniche di attacco utilizzate da gruppi avanzati come Kimsuky. Le organizzazioni devono rimanere vigili e aggiornate sulle minacce emergenti per proteggere efficacemente i propri dati e infrastrutture.

L'articolo “HappyDoor”: La nuova Backdoor del Gruppo Kimsuky proviene da il blog della sicurezza informatica.

Today’s memory sticks have hundreds of pins and many gigabytes of RAM on board. Decades ago, though, the humble 30-pin SIMM was the state of the art where memory was concerned. If you’ve got vintage gear, you can try and hunt down old RAM, or you can copy [Bits und Bolts] and make your own.

Previously, [Bits und Bolts] built a 4 MB SIMM, but he’s now ramped up to building 16 MB RAM sticks — the largest size supported by the 30-pin standard. That’s a ton compared to most 30-pin sticks from the 1980s, which topped out at a feeble 1 MB.

We get to see four of his 16 MB sticks installed in a 386 motherboard, set up to operate in the appropriate Fast Page Mode. He was able to get the system operating with 64 MB of RAM, an amount still considered acceptable in the early Pentium 3 era. Hilariously, memtest took a full ten hours to complete a single pass with this configuration. [Bits and Bolts] also tried to push the motherboard further, but wasn’t able to get it to POST with over 64 MB of RAM.

As [Bits und Bolts] demonstrates, if you can read a schematic and design a PCB, it’s not that hard to design RAM sticks for many vintage computers. We’ve seen some other RAM hacks in this vein before, too.

youtube.com/embed/oXZWF6gDNLI?…

Art.609-bis c.p. : Chiunque, con violenza o minaccia o mediante abuso di autorità costringe taluno a compiere o subire atti sessuali è punito con la reclusione da sei a dodici anni.

Alla stessa pena soggiace chi induce taluno a compiere o subire atti sessuali:
1) abusando delle condizioni di inferiorità fisica o psichica della persona offesa al momento del fatto;
2) traendo in inganno la persona offesa per essersi il colpevole sostituito ad altra persona.

Nei casi di minore gravità la pena è diminuita in misura non eccedente i due terzi.

Il contenuto della norma

Un tema relativamente nuovo è quello della violenza sessuale realizzata a distanza attraverso le tecnologie dell’informazione. Sempre più frequenti, infatti, sono i casi in cui un soggetto, attraverso l’installazione di una web cam chiede prestazioni sessuali ad altra persona o impone alla stessa di assistere a suoi atti di autoerotismo.

Sul piano giuridico, non essendovi norma specifica, occorre necessariamente far riferimento all’art.609-bis, che punisce, come violenza sessuale, la condotta di colui che con violenza o minaccia o mediante abuso di autorità costringa taluno a compiere o subire atti sessuali e quella di colui che induca un altro soggetto a compiere o subire atti sessuali abusando delle condizioni di inferiorità fisica o psichica della persona offesa al momento del fatto o traendo in inganno la persona offesa per essersi il colpevole sostituito ad altra persona.

Vista la formulazione dell’art.609- bis si è posto il problema di comprendere se sia ipotizzabile una violenza sessuale attraverso la rete.

La Giurisprudenza, come illustriamo di seguito, pare dare al momento risposta affermativa.

Cosa dice la giurisprudenza

Risponde di violenza sessuale – e non di estorsione – colui che, dietro la minaccia di diffusione di video sessualmente espliciti, costringa la vittima ad inviargli su Whatsapp foto delle proprie parti intime ( Cass., Sez. II, sent. n. 41985/21).

Perfeziona la fattispecie di violenza sessuale la condotta consistente nell’invio di una serie di messaggi whatsapp allusivi e sessualmente espliciti ad una minorenne , costringendola a realizzare selfie da contenuti intimi da inviare al soggetto agente, con la minaccia di pubblicare la chat su un social network (Cass.,Sez.III,sent.n.25266/20).

La Corte di Cassazione ha confermato la condanna per violenza sessuale realizzata mediante l’utilizzo di social network e webcam. Nel caso di specie, in particolare, il soggetto, attraverso le suddette tecnologie, aveva compiuto atti di autoerotismo dopo essersi assicurato che alcune minori lo avrebbero guardato attraverso webcam (Cass., Sez. III, sent. n. 16616/15).

In relazione all’art. 609-bis, c.1, c.p. si è più volte ribadito che il reato di violenza sessuale non sia esclusivamente caratterizzato dal contatto corporeo, potendosi estrinsecare anche nel compimento di atti di autoerotismo effettuati a seguito di costrizione o induzione ( Cass. , Sez.III, sent.n.37076/12).

Si è esclusa la possibilità di applicare “automaticamente” ai casi di violenza sessuale virtuale la circostanza attenuante speciale del fatto di lieve entità. Si è a tal riguardo precisato, infatti, che, ai fini dell’accertamento della diminuente prevista dall’art. 609 – bis, c. 3, c.p., debba farsi riferimento, oltre che alla materialità del fatto, a tutte le modalità che hanno caratterizzato la condotta criminosa, nonché al danno arrecato alla parte lesa, anche e soprattutto in considerazione dell’età della stessa o di altre condizioni psichiche in cui versi (Cass., Sez.III, sent.n.16615/15; Cass., Sez.III, sent. n. 45604/07).

L'articolo Digital Crime: La violenza sessuale virtuale proviene da il blog della sicurezza informatica.

When thinking about loops in programming languages, they often get simplified down to a conditions section and a body, but this belies the dizzying complexity that emerges when considering loop edge cases within the context of static analysis. A paper titled Misconceptions about Loops in C by [Martin Brain] and colleagues as presented to SOAP 2024 conference goes through a whole list of false assumptions when it comes to loops, including for languages other than C. Perhaps most interesting is the conclusion that these ‘edge cases’ are in fact a lot more common than generally assumed, courtesy of how creative languages and their users can be when writing their code, with or without dragging in the meta-language of C’s preprocessor.

Assumptions like loop equivalence can fall apart when considering the CFG ( control flow graph) interpretation versus a parse tree one where the former may e.g. merge loops. There are also doozies like assuming that the loop body will always exist, that the first instruction(s) in a loop are always the entry point, and the horrors of estimating loop exits in the context of labels, inlined functions and more. Some languages have specific loop control flow features that differ from C (e.g. Python’s for/else and Ada’s loop), all of which affect a static analysis.

Ultimately, writing a good static analysis tool is hard, and there are plenty of cases where it’s likely to trip up and give an invalid result. A language which avoids ambiguity (e.g. Ada) helps immensely here, but for other languages it helps to write your code as straightforward as possible to give the static analysis tool a fighting chance, or just get really good at recognizing confused static analysis tool noises.

(Heading image: Control flow merges can create multiple loop entry
edges (Credit: Martin Brand, et al., SOAP 2024) )

Die photo of the Intel Pentium processor with standard cells highlighted in red. The edges of the chip suffered some damage when I removed the metal layers. (Credit: Ken Shirriff)
Whereas the CPUs and similar ASICs of the 1970s had their transistors laid out manually, with the move from LSI to VLSI, it became necessary to optimize the process of laying out the transistors and the metal interconnects between them. This resulted in the development of standard-cells: effectively batches of transistors with each a specific function that could be chained together. First simple and then more advanced auto-routing algorithms handled the placement and routing of these standard elements, leading to dies with easily recognizable structures under an optical microscope. Case in point an original (P54C) Intel Pentium, which [Ken Shirriff] took an in-depth look at.

Using a by now almost unimaginably large 600 nm process, the individual elements of these standard cells including their PMOS and NMOS components within the BiCMOS process can be readily identified and their structure reverse-engineered. What’s interesting about BiCMOS compared to CMOS is that the former allows for the use of bipolar junction transistors, which offer a range of speed, gain and output impedance advantages that are beneficial for some part of a CPU compared to CMOS. Over time BiCMOS’ advantages became less pronounced and was eventually abandoned.

All in all, this glimpse at the internals of a Pentium processor provides a fascinating snapshot of high-end Intel semiconductor prowess in the early 1990s.

(Top image: A D flip-flop in the Pentium. Credit: [Ken Shirriff] )

Cars have had DRM-like measures for longer than you might think. Go back to the 1990s, and coded cassette decks were a common way to stop thieves being able to use stolen stereos. Sadly, they became useless if you ever lost the code. [Simon] had found a deck in great condition that was locked out, so he set about building his own controller for it.

The build relies on the cassette transport of a car stereo and a VFD display, but everything else was laced together by Simon. It’s a play-only setup, with no record, seeing as its based on an automotive unit. [Simon]’s write up explains how he reverse engineered the transport, figuring out how the motors and position sensors worked to control the playback of a cassette.

[Simon] used an Atmega microcontroller as the brains of the operation, which reads the buttons of the original deck via an ADC pin to save I/O for other tasks. The chip also drives the VFD display for user feedback, and handles auto reverse too. The latter is thanks to the transport’s inbuilt light barriers, which detect the tape’s current status. On the audio side, [Simon] whipped up his own head amplifier to process the signal from the tape head itself.

Fundamentally, it’s a basic build, but it does work. We’ve seen other DIY tape decks before, too. There’s something about this format that simply refuses to die. The fans just won’t let Compact Cassette go down without a fight. Video after the break.

youtube.com/embed/mDLw054vONI?…

Reverse-engineered schematics are de rigeur around these parts, largely because they’re often the key to very cool hardware hacks. We don’t get to see many mechanical reverse-engineering efforts, though, which is a pity because electronic hacks often literally don’t stand on their own. That’s why these reverse-engineered mechanical diagrams of the Quansheng UV-K5 portable amateur radio transceiver really caught our eye.

Part of the reason for the dearth of mechanical diagrams for devices, even one as electrically and computationally hackable as the UV-K5, is that mechanical diagrams are a lot less abstract than a schematic or even firmware. Luckily, this fact didn’t daunt [mdlougheed] from putting a stripped-down UV-K5 under a camera for a series of images to gather the raw data needed by photogrammetry package RealityCapture. The point cloud was thoughtfully scaled to match the dimensions of the radio’s reverse-engineered PC board, so the two models can work together.

The results are pretty impressive, especially for a first effort, and should make electromechanical modifications to the radio all the easier to accomplish. Hats off to [mdlougheed] for the good work, and let the mechanical hacks begin.

Nella giornata di oggi, dopo la pubblicazione delle due CVE CVE-2024-5491 e CVE-2024-5492 come riportato nel nostro precedente articolo, Citrix Netscaler pubblica ulteriori due CVE. Si tratta di ulteriori due bug di sicurezza che affliggono i prodotti NetScaler Console (precedentemente noto come NetScaler ADM), NetScaler SVM e NetScaler Agent.

Le vulnerabilità coinvolte sono:

• CVE-2024-6235: Divulgazione di informazioni sensibili (CVSSv4 Severità Critical 9.4)
• CVE-2024-6236: Negazione del servizio (CVSSv4 Severità High 7.1)

Versioni Interessate

Le versioni seguenti dei prodotti NetScaler sono soggette alle vulnerabilità:

• NetScaler Console: Versioni precedenti a 14.1-25.53
• NetScaler SVM: Versioni precedenti a 14.1-25.53, 13.1-53.17, 13.0-92.31
• NetScaler Agent: Versioni precedenti a 14.1-25.53, 13.1-53.22, 13.0-92.31

Riepilogo delle Vulnerabilità

• CVE-2024-6235: Questa vulnerabilità può consentire la divulgazione di informazioni sensibili agli attaccanti che hanno accesso all’IP della console NetScaler. È classificata con un punteggio CVSS v4.0 di 9.4, indicando un alto rischio di compromissione dei dati sensibili.
• CVE-2024-6236: Questa vulnerabilità comporta una negazione del servizio agli utenti che hanno accesso all’IP della console NetScaler, all’IP dell’agente NetScaler e all’IP SVM. Ha un punteggio CVSS v4.0 di 7.1, indicando un rischio moderato ma significativo di interruzione del servizio.

Azioni Consigliate per i Clienti da parte di Citric Netscaler

Cloud Software Group consiglia vivamente ai clienti di NetScaler Console di adottare le seguenti misure:

• Installare immediatamente le versioni aggiornate di NetScaler Console, SVM e Agent:
  
  • NetScaler Console 14.1-25.53 e successive, 13.1-53.22 e successive, 13.0-92.31 e successive
  • NetScaler SVM 14.1-25.53 e successive, 13.1-53.17 e successive, 13.0-92.31 e successive
  • NetScaler Agent 14.1-25.53 e successive, 13.1-53.22 e successive, 13.0-92.31 e successive

  
  

Questi aggiornamenti sono fondamentali per mitigare i rischi associati alle vulnerabilità CVE-2024-6235 e CVE-2024-6236, proteggendo così l’infrastruttura di rete e i dati sensibili gestiti tramite NetScaler Console.

Conclusione

La sicurezza delle infrastrutture IT è di primaria importanza. Agendo tempestivamente e applicando le patch consigliate, i clienti di NetScaler possono migliorare significativamente la sicurezza e la resilienza contro le minacce informatiche emergenti.

Restate protetti e informati, insieme possiamo rafforzare la difesa contro le vulnerabilità del ransomware e altre minacce digitali.

L'articolo Due gravi vulnerabilità sono state rilevate su Citrix NetScaler Console, Agent e SVM proviene da il blog della sicurezza informatica.

Ever since the first Supercon, people have submitted talk proposals at the very last minute, and some even in the minutes after the last minute. We know how it is – we are fully licensed procrastineers ourselves. So with an eye toward tradition, we’re extending the Call for Speakers and the Call for Workshops one more week, until July 16th.

The Hackaday Superconference is really and truly our favorite event of the year. It’s small, but not too small. The ideas everyone brings with them, however, are big. It’s like the absolute best of Hackaday live and in person. If you’re looking for a place to give a technical talk, or just to regale us all with the trials and triumphs of hacking, you won’t find a more receptive audience anywhere. Plus, presenters get in free.

In other news, [Voja] has an alpha version of the badge finished, so all that’s left is 90% of the work disguised as 10%. Some people have asked for clues, and what we’ll say at this point is that “Simple Add Ons have underutilized I2C pins”.

Expect tickets to go on sale in the next weeks – early bird tickets sell out fast. Keep your eyes on Hackaday for the announcement post when it goes live. Or, you can skip straight to the front of the line by giving a talk. But you can’t give a talk if you don’t submit your proposal first. Get on it now, because we’re not going to extend the CFP twice!