Executive summary

Tropic Trooper (also known as KeyBoy and Pirate Panda) is an APT group active since 2011. This group has traditionally targeted sectors such as government, healthcare, transportation and high-tech industries in Taiwan, the Philippines and Hong Kong. Our recent investigation has revealed that in 2024 they conducted persistent campaigns targeting a government entity in the Middle East, starting in June 2023.

Sighting this group’s TTPs in critical governmental entities in the Middle East, particularly those related to human rights studies, marks a new strategic move for them. This can help the threat intelligence community better understand the motives of this threat actor.

The infection came to our attention in June 2024, when our telemetry gave recurring alerts for a new China Chopper web shell variant (used by many Chinese-speaking actors), which was found on a public web server. The server was hosting an open-source content management system (CMS) called Umbraco, written in C#. The observed web shell component was compiled as a .NET module of Umbraco CMS.

In our subsequent investigation, we looked for more suspicious detections on this public server and identified multiple malware sets. These include post-exploitation tools, which, we assess with medium confidence, are related to and leveraged in this intrusion.

Furthermore, we identified new DLL search-order hijacking implants that are loaded from a legitimate vulnerable executable as it lacks the full path specification to the DLL it needs. This attack chain was attempting to load the Crowdoor loader, which is half-named after the SparrowDoor backdoor, detailed by ESET. During the attack, the security agent blocked the first Crowdoor loader, prompting the attackers to switch to a new, previously unreported variant, with almost the same impact.

We attribute this activity to the Chinese-speaking threat actor known as Tropic Trooper with high confidence. Our findings reveal an overlap in the techniques reported in recent Tropic Trooper campaigns. The samples we found also show a high overlap with samples previously attributed to Tropic Trooper.

Background

In June 2024, we detected a new version of the well-known China Chopper web shell. Further investigation followed as it represents a module within Umbraco CMS, receiving commands via the Umbraco controller.

On the same public server hosting Umbraco, we found other suspicious implants and malware clusters, which appeared to be part of the same attack. The installed security agent kept detecting these malware implants, and the attackers tried to drop additional post-exploitation tools to achieve their main objectives: in this intrusion we assess with high confidence that the motive is cyber espionage.

The table below shows the discovered malware families related to this intrusion. The subsequent sections of this report provide a technical analysis of these malware clusters.

Technical details

Webshells — Umbraco modules

The module exhibits characteristics commonly associated with malicious activity, including obfuscation and dynamic execution of commands. The commands are received and dispatched by the
umbraco_bind_aspx module, as can be seen below.

Malicious module found inside Umbraco CMS on the compromised server

The
umbraco_bind_aspx is a class generated by the ASP.NET framework for an ASPX page within Umbraco CMS. The framework automatically calls the __BuildControlTree() function. This function, implemented by the attackers, is responsible for calling malicious code as the argument to the RenderMethod() function. Also, event validation, which is a security feature in ASP.NET that prevents unauthorized events from being logged on the server, is disabled by setting EnableEventValidation to false as can be seen in the screenshot below.

Malicious function implementing China Chopper registered as a callback function

__Render__control1() is the main malicious function. As can be seen in the screenshot below, a Base64 string is decoded and then executed via dynamic evaluation using JavaScript.

Obfuscated dynamic JS code execution

The script employs multiple Base64 decodings before the final JavaScript payload is generated and executed. The resulting code resembles the known functionality associated with the China Chopper web shell, a popular web shell used by attackers for remote access and control over compromised web servers.

China Chopper web shell functionality

The attackers then started dropping various samples on this server, notably a dropper that was pushing more compiled variants carrying the same functionality, but using different module names. These module names all match the pattern
App_Web_{8}[a-z0-9].dll. In our telemetry, we noticed exploitation attempts of several CVEs (CVE-2021-34473, CVE-2021-34523 and CVE-2021-31207 in Microsoft Exchange, CVE-2023-26360 in Adobe ColdFusion). Therefore, we believe with moderate confidence that these web shells were dropped by exploiting an existing unpatched vulnerability.
According to the timeline of the detection logs, the attackers were able to leverage some of these web shells to execute commands on the affected server and drop more post-exploitation tools utilized for lateral movement. The majority of observed software are open-source tools maintained by Chinese-speaking developers. These implants are dropped into the Umbraco CMS root directory.

We found the following tools:

• Fscan: A tool for vulnerability scanning including host status detection, port scanning, service enumeration, exploitation, etc. The tool documentation is in simplified Chinese and maintained by Chinese-speaking accounts. The attackers created a script, named i.bat, to identify available machines on the network using simple ICMP ping requests. The output is directed to a text file, which is used later for lateral movement.
• Swor: A simple penetration testing tool whose author tried to make it immune to removal by security solutions. Based on its documentation, it can deploy mimikatz, FRP and ElevationStation. The tool is open-source and maintained by Chinese-speaking developers. This tool was previously sighted being leveraged in attacks on government entities in Malaysia, which is a similar industry vertical to the Middle East intrusion victimology. We found the same compiled sample in the wild at [domain]/wampthemes/simple/123/In-Swor-v2/1.exe.
• Neo-reGeorg: An open-source SOCKS5 proxy, the attackers used it to pivot to other machines and evade network-level security controls. Some detections suggest that this tool may be used to proxy traffic, but we have not been able to verify the actual purpose of proxying traffic through this server.
• ByPassGodzilla: A Chinese web shell encryptor used to obfuscate other deployed web shells to bypass detections. We were able to source different implementations of encrypted web shells in .NET and ASPX scripts from the same server. According to our telemetry, the newly discovered web shell was also associated with a campaign leveraging CVE-2023-26360 early this year targeting vulnerable servers in the Middle East.

Backdoor implants using DLL search-order hijacking

The attackers tried to load a malicious DLL,
datast.dll, from c:\Users\Public\Music\data three times. After these attempts failed, the attackers relied on another malicious loader, VERSION.dll, which was dropped into C:\Windows\branding\data. We discuss this below in the “New samples” section. We believe, based on our telemetry, that the Umbraco web shells were used to drop these files on the infected server.
Since the timeframe for loading the two malicious DLLs,
VERSION.dll and datast.dll, were very close, it allowed us to link the two files. Additionally, the same approach was used for both: leveraging a legitimate executable file vulnerable to DLL search-order hijacking, which would load a malicious DLL dropped into the same path as the legitimate executable.

The datast.dll library

In this incident, our telemetry points to the malware export being called using the rundll32 command from the
a.bat file (MD5: fca94b8b718357143c53620c6b360470), which we were unable to obtain. A second assumption is that it was loaded through a legitimate executable using DLL search-order hijacking, as datast.dll has been observed before, associated with Tropic Trooper and loaded by the same method. We believe with low to medium confidence that the batch script was merely used for testing purposes as the whole malware-loading chain was designed to be loaded from a legitimate executable.
Once loaded,
datast.dll exports a single function named InitCore. This function usually gets imported by another DLL called datastate.dll. The function implements the main functionality for this loader, decrypting the shellcode for the next stage from a memory buffer inside the datastate.dll file using a variant of the RC4 stream cipher. The first code block is the Key Scheduling Algorithm (KSA), while the second block (the “for” loop in the image below) is the core of the KSA, where it scrambles the initial permutation using the hardcoded RC4 key fYTUdr643$3u.

Code stub responsible for decrypting the next stage

Code stub responsible for decrypting the next stage

After decryption, the shellcode is executed, then the next stage is loaded into the address space of the process that loaded
datast.dll.

Hunting for new loaders

As mentioned, the infection chain was not fully executed, forcing the attackers to shift to new undetected variants. By pivoting on the hardcoded RC4 key, we found a new set of files sharing similar code, which turned out to be new updated variants of this family with minor differences in functionality. Below is the chronological view of the evolution of this specific loader as observed from our telemetry and scanning third-party malware repositories.

Recent variants

Updated loader variant in February 2024

In February 2024, a user uploaded three Crowdoor-related files to a multiscanner platform:

These files are also involved in a DLL search-order hijacking sequence:

1. A legitimate executable loads a vulnerable DLL (datastate.dll);
2. This DLL then loads a malicious Crowdoor DLL (datast.dll);
3. The loader DLL uses this malicious DLL to decrypt and load the Crowdoor payload.

This method is hard to detect since the malicious functions are split across two DLLs, which mostly perform seemingly benign tasks, such as reading files or decrypting RC4 data. Both DLLs have build timestamps future-dating them to 26 May 2027.

The
datastate.dll loader imports two functions from datast.dll — one called rcd (likely “run code”) to execute the shellcode and another called ldf (likely “load file”) to read content from a file that is named after a legitimate executable but without the file extension. In this case, the payload file uploaded is named WinStore, meaning the legitimate executable is WinStore.exe. The loader uses the RC4 key fYTUdr643$3u, the same key as found in the initial sample discussed in the previous section, to decrypt the payload file containing the same Crowdoor shellcode.
The Crowdoor payload from this chain stays active by creating a Windows service named WinStore, which is used as the service name, display name and description. If creation of the service fails, the payload uses the registry auto-start extensibility point (ASEP) at
HKCU\Software\Microsoft\Windows\CurrentVersion\Run with the value WinStore to persist.
When executed, it injects itself into the
colorcpl.exe process with the command-line argument “2” and tries to contact a C2 server that is hardcoded in the payload using its configuration (blog.techmersion[.]com on port 443).
We compared the collected samples with the reference sample (MD5: a213873eb55dc092ddf3adbeb242bd44) and revealed a degree of code similarity in them. For example, the core functions responsible for loading the next stage are almost identical. Based on this, we believe with medium confidence that the newly found samples are related to Tropic Trooper, the same actor behind the Middle East intrusion.

The actor has likely been using this search-order hijacking technique since at least June 2022, which marks the first known instance of a malicious DLL being loaded through a vulnerable executable using this method, according to our telemetry. Tropic Trooper employs this technique to split the malicious code across several stages. In the first stage, only the extraction of the next stage, which was encrypted with the same RC4 key, occurs. Subsequently, the actual loader for the final implant is deployed.

New samples

We investigated the second attempt made by the threat actor after failing to load the previously covered loader. The actor uploaded new samples detailed in the table below:

As usual, the same DLL search-order hijacking was used. Note that
inst.exe, which is a legitimate executable, imports three functions from VERSION.dll:

• VerQueryValueW;
• GetFileVersionInfoW;
• GetFileVersionInfoSizeW.

Each variant of the dropped
VERSION.dll implements the three exported functions, with minimal differences between both samples. Upon analyzing the three malicious exports from the samples, it is very likely that the attackers built them incrementally. The first sample (MD5: e845563ba35e8d227152165b0c3e769f) was dropped on April 28, immediately after the failed attempt to execute the old loader. This variant had fewer capabilities than the one dropped on May 15, which had a complete implementation for all the malicious capabilities needed to load the same shellcode that would load Crowdoor into memory.
Both variants have compilation timestamps set in the future. Looking at the
GetFileVersionInfoSizeW implementation between the two samples, we see that the most recently dropped sample has the full implementation, while the earlier sample has an empty implementation, implying gradual testing and development of this loader.
The main loading functionality was designed to execute a legitimate
msiexec.exe process, then inject the next stage by writing into its remote address space and creating a remote thread to execute it.

The victim

We sighted this targeted intrusion in a government entity in the Middle East. At the same time, we saw a subset of these samples being used to target a government entity in Malaysia. This matches the type of targets and their location as described in recent Tropic Trooper reports.

Attribution

Based on the samples found, we are reassessing the relationship between Tropic Trooper and the FamousSparrow group, reported by ESET in 2021. Some industry reports link the two groups together.

The following reasons led us to attribute the campaign described in this report and all the observed implants to Tropic Trooper and its associated group, FamousSparrow:

• Hardcoded RC4 key: the attackers tried to launch a loader previously attributed to Tropic Trooper (MD5: a213873eb55dc092ddf3adbeb242bd44), after they failed to load it from the a.bat file. They relied on a new method maintaining the same approach by using DLL search-order hijacking and used a new loader. Both samples share the same RC4 key.
• Post-exploitation tools: some of the post-exploitation tools the attackers used were seen before in other attacks within the same timeframe of this campaign, in which the victims aligned with the targeted regions and industry verticals targeted by this threat group.
• The code similarity between the Middle East intrusion sample and the sample found in the third-party malware repository from February 2024 (MD5: c10643b3fb304972c650e593b69faaa1): both were loading Crowdoor into memory. Also, the command-line argument “2” found in a variant related to Tropic Trooper samples is very similar to SparrowDoor “-k” switch functionality.

Conclusion

The event that made us investigate Tropic Trooper was the recurring detection of the China Chopper web shell. Following our investigation into this incident, we found more samples written by Tropic Trooper as well as third-party tools used in the post-exploitation phase. This improved insights into this threat actor’s TTPs. Notable is the discrepancy in skill set used in various stages of the attack, as well as the choices made after failure. When the actor became aware that their backdoors were detected, they tried to upload newer samples to evade detection, thereby increasing the risk of their new set of samples being detected in the near future. In the same light, the loader sequence goes to great lengths to avoid detection. However, the usage of publicly available tools such as Fscan for further exploitation of the victim’s network again highlights the discrepancy between some relatively advanced parts of their operation and the “noisier” parts.

Investigating the motives of this threat actor led us to conclude that the significance of this intrusion lies in the sighting of a Chinese-speaking actor targeting a content management platform that published studies on human rights in the Middle East, specifically focusing on the situation around Israel-Hamas conflict. Our analysis of this intrusion revealed that this entire system was the sole target during the attack, indicating a deliberate focus on this specific content.

A more detailed analysis of this campaign is available to users of our private Threat Intelligence Portal, with another upcoming report on this activity. To learn more about this report, please contact intelreports@kaspersky.com.

Indicators of Compromise

Umbraco Webshells
3F15C4431AD4573344AD56E8384EBD62
78B47DDA664545542ED3ABE17400C354
3B7721715B2842CDFF0AB72BD605A0CE
868B8A5012E0EB9A48D2DAF7CB7A5D87

Post-Exploitation Tools
149A9E24DBE347C4AF2DE8D135AA4B76
103E4C2E4EE558D130C8B59BFD66B4FB
E0D9215F64805E0BFF03F4DC796FE52E
27C558BD42744CDDC9EDB3FA597D0510
4F950683F333F5ED779D70EB38CDADCF

File Paths:
c:\sql\tools\attunitycdcoracle\x64\1033
c:\microsoft.net\framework64\v4.0.30319\temporary asp.net files\root\fc88e889\b64f0276
c:\microsoft.net\framework64\v4.0.30319\temporary asp.net files\root\5b841946\ca5a9bf5

Tropic Trooper Loaders
FD8382EFB0A16225896D584DA56C182C
1DD03936BAF0FE95B7E5B54A9DD4A577
8A900F742D0E3CD3898F37DBC3D6E054
A213873EB55DC092DDF3ADBEB242BD44
DD7593E9BA80502505C958B9BBBF2838
2C7EBD103514018BAD223F25026D4DB3
0B9AE998423A207F021F8E61B93BC849
E845563BA35E8D227152165B0C3E769F
A213873EB55DC092DDF3ADBEB242BD44

Domains and IPs
51.195.37[.]155
162.19.135[.]182
techmersion[.]com

Yara Rules

rule tropictrooper_umbraco_compiled_webshells {
meta:
description = "Rule to detect Tropic Trooper Umbraco webshells .NET sample"
author = "Kaspersky"
copyright = "Kaspersky"
distribution = "DISTRIBUTION IS FORBIDDEN. DO NOT UPLOAD TO ANY MULTISCANNER OR SHARE ON ANY THREAT INTEL PLATFORM"
sample = "3f15c4431ad4573344ad56e8384ebd62"

strings:
$s1 = { 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 1F 0A 72 ?? ?? ?? ?? A2 25 1F 0B 72 ?? ?? ?? ?? A2 25 1F 0C 72 ?? ?? ?? ?? A2 25 1F 0D 72 ?? ?? ?? ?? A2 25 1F 0E 72 ?? ?? ?? ?? A2 25 1F 0F 72 ?? ?? ?? ?? A2 25 1F 10 72 ?? ?? ?? ?? A2 25 1F 11 72 ?? ?? ?? ?? A2 25 1F 12 72 ?? ?? ?? ?? A2 25 1F 13 72 ?? ?? ?? ?? A2 25 1F 14 72 ?? ?? ?? ?? A2 25 1F 15 72 ?? ?? ?? ?? A2 25 1F 16 72 ?? ?? ?? ?? A2 25 1F 17 72 ?? ?? ?? ?? A2 25 1F 18 72 ?? ?? ?? ?? A2 }

condition:
$s1 and
filesize < 1MB
}

securelist.com/new-tropic-troo…

Sometimes, simple things can make a world of difference. Take for example a non-verbal person who can’t necessarily control a touch screen in order to tell someone else what they need or want or think.

This is where Augmentative and Alternative Communication (AAC) devices come in. Recently tasked with building such a device, [Thornhill!] came up with a great design that houses 160 different phrases in a fairly small package and runs on CircuitPython.

Basically, the client presses the appropriate snap-dome button button and the corresponding phrase is spoken through the speaker. The 10×16 grid of buttons is covered with a membrane that both feels nice and gives a bit of protection from spills.

The buttons can achieve high actuation forces and have a crisp tactile response, which means they’re probably gonna go a long way to keep the user from getting frustrated.

This handy AAC board is built on the Adafruit RP2040 Prop-Maker Feather and two keypad matrices. If this weren’t useful enough as it is, [Thornhill!] also built an even smaller version with 16 buttons for the client to wear around their neck.

Did you know? AAC boards aren’t just for humans.

hackaday.com/2024/09/05/tactil…

Si sono da poco conclusi i Giochi Olimpici di Parigi, ma le Paralimpiadi continuano. Mancano ancora alcuni anni alle Olimpiadi di Los Angeles del 2028, ma il regista Josh Kahn sta già pensando al futuro: come potrebbero essere i Giochi di Los Angeles nel 3028?

Kahn, noto per il suo lavoro per LeBron James e i Chicago Bulls, si è interessato al tema delle future Olimpiadi grazie alle nuove tecnologie di creazione video che utilizzano l’intelligenza artificiale. Con l’avvento di Sora di OpenAI e di altri strumenti come Runway e Synthesia, la creazione di video è diventata accessibile e veloce. Questi strumenti ti consentono di generare video di alta qualità in pochi minuti, rendendo il processo molto più semplice rispetto ai metodi tradizionali come CGI o animazione.

Sebbene la tecnologia non sia ancora perfetta e siano possibili distorsioni – ad esempio dita in più sulle mani o oggetti che scompaiono – ha un potenziale enorme. Agenzie pubblicitarie, aziende e creatori di contenuti possono utilizzarli per produrre video in modo rapido ed economico.

Utilizzando l’ultima versione di Runway, Kahn ha creato un video immaginando come potrebbero essere i Giochi Olimpici tra mille anni. Per ogni scena, ha inserito una nuova query, ottenendo un video di un minuto che raffigura una Los Angeles futuristica, dove il livello del mare è aumentato in modo significativo e la città è proprio sul bordo dell’acqua. Lo stadio di calcio si trova sul tetto di un grattacielo e la cupola con i campi da beach volley si trova proprio nel porto.

Il video, presentato al MIT Technology Review, illustra le capacità delle moderne tecnologie di intelligenza artificiale piuttosto che fungere da vero e proprio progetto per lo sviluppo della città. Kahn ha osservato che i Giochi Olimpici sono sempre accompagnati dalla narrativa culturale della città ospitante, e Los Angeles, nota per la sua cultura dell’immaginazione e della narrazione, potrebbe essere un luogo ideale per i Giochi tra mille anni. Secondo lui sarebbe interessante mostrare come potrebbero essere i Giochi Olimpici in futuro.

youtube.com/embed/nTaTC6AgKeI?…

La creazione di un video del genere non è stata priva di sfide, il che mostra sia le possibilità che i limiti delle tecnologie generative. Kahn non ha rivelato richieste specifiche o il numero di tentativi necessari per creare ogni scena, ma ha sottolineato che lavorare con l’intelligenza artificiale richiede pazienza e molta sperimentazione.

Una delle difficoltà è stata la creazione di soluzioni architettoniche non standard, come uno stadio sull’acqua. I modelli di intelligenza artificiale addestrati su dati limitati non sono sempre in grado di riprodurre immagini così insolite. Ogni nuovo fotogramma richiede una serie separata di query, il che rende difficile mantenere uno stile visivo coerente: i modelli hanno ancora difficoltà a coordinare colori, angoli di illuminazione e forme degli edifici. La mancanza di primi piani delle persone è dovuta anche al fatto che l’intelligenza artificiale non è ancora in grado di ricreare in modo affidabile i dettagli del volto e del corpo umano.

Secondo Kahn, le tecnologie generative in questa fase sono più efficaci nel gestire oggetti e panorami su larga scala che con scene dettagliate o interazione umana. Suggerisce quindi che le prime applicazioni del video generativo nel cinema saranno in ampie riprese di paesaggi o scene di folla.

Anche Alex Mashrabov, che ha fondato Higgsfield AI dopo aver lavorato presso Snap, sottolinea gli attuali limiti della tecnologia. Crede che creare dialoghi utilizzando l’intelligenza artificiale sia ancora difficile, poiché richiede un’espressione accurata delle espressioni facciali e dei gesti. Molti creatori di contenuti possono essere intimiditi dalla necessità di effettuare ricerche su più query per ottenere lo scatto giusto. Mashrabov osserva che in media solo uno su venti query ha successo e talvolta sono necessarie dozzine di tentativi.

Nonostante queste sfide, la tecnologia è già in uso. Mashrabov sottolinea l’aumento dell’uso di video generativi per creare pubblicità, soprattutto tra le grandi aziende. In Cina, i generatori video vengono utilizzati attivamente per la pubblicità di prodotti rapida ed economica. Anche se il video generativo richiede molti tentativi, è comunque molto più economico delle riprese tradizionali effettuate con persone e attrezzature reali. Mashrabov ritiene che tali esempi potrebbero diventare i primi casi di utilizzo di massa di video generativi man mano che le tecnologie migliorano.

Secondo Mashrabov, anche se il percorso di sviluppo dell’IA generativa sarà lungo, è già possibile trovare ambiti in cui questa tecnologia sta dando buoni risultati.

L'articolo Olimpiadi 3028: L’IA Reinventa lo Sport del Futuro con Stadi Fluttuanti e Grattacieli proviene da il blog della sicurezza informatica.

Immaginate la scena: siete seduti sul divano a guardare la vostra serie tv preferita. Fuori è buio, ma niente può farvi paura: avete da poco installato un sistema d’allarme all’avanguardia, le vostre finestre sono protette da pesanti grate e in giardino scodinzola un cane di 50 kg. E se vi dicessimo che in realtà nel […]
Continua a leggere

The post Ce l’abbiamo tutti in casa ma lo sottovalutiamo: il router, potenziale nemico domestico appeared first on InsideOver.

Questa è la storia di Max, il fondatore di un e-commerce specializzato in dispositivi tecnologici: una storia di pura invenzione (perdonerete la mia vena di scrittore) per introduttore un altro dei OWASP TOP 10 (qui il sito ufficiale ): “Identification and Authentication Failures” cioè i fallimenti di identificazione ed autenticazione.

Questa storia ci insegnerà alcuni accorgimenti per aiutare a prevenire i fallimenti di identificazione ed autenticazione in un e-commerce.

Da quando Max ha creato il suo e-commerce, questo non ha fatto che crescere con il fatturato. La vasta gamma di prodotti unita alla puntuale assistenza, ha fatto dell’e-commerce di Max un punto di riferimento per gli appassionati. Ma questa non è una storia di successo. É una storia di perdite finanziarie, multe e di perdita di fiducia dei clienti. Questo è il palcoscenico di un incidente informatico.

L’ombra dell’incubo dei Fallimenti di Identificazione ed Autenticazione

Le cose, in genere, iniziano da qualcosa di molto piccolo, quasi insignificante. Max prestava attenzione alla sicurezza informatica, pensava di farlo al meglio. Oltre all’e-commerce utilizzava molti altri servizi online. La password che usava era complessa e faceva sempre il logout dalle applicazioni. Era convinto che bastasse.

Visto che la password era complessa e pensava che non fosse una buona pratica segnarla in foglietti in bella vista, usava sempre la stessa in modo tale da ricordarla, dovendola inserire più volte al giorno quindi…servizi diversi, stesse credenziali.

Inoltre per l’account di amministratore del suo e-commerce, non era presente la MFA (Multi Factor Authentication), ritenuta una noia. La password era complessa e tanto bastava. Non era presente neanche un time-out per login errati. Aveva paura di essere chiuso fuori.

Immersione nel Caos

Quella mattina, quando si collegò all’e-commerce tutto era sparito ma nel back-end trovò un file con la richiesta di riscatto di 3 bitcoin per avere indietro i dati e perché questi non fossero venduti nel Dark Web. Max si sentì scosso fino alle fondamenta. I backup più recenti erano online ed anche quelli erano stati rimossi. Ma quello che più lo sconvolgeva era la possibilità che i dati dei clienti fossero venduti dai trafficanti. Chiamò immediatamente il team di sviluppo che si mise al lavoro. Furono giorni frenetici.

Alla fine capirono il problema: le credenziali di Max, che erano sempre uguali in tutti i servizi online, erano state trafugate da uno di questi e finite in un grande database molto diffuso negli ambienti.

I criminali, provando tutto il database, avevano trovato la combinazione giusta. Non essendoci poi time-out o ban per tentativi errati o MFA, l’accesso era stato veloce.

Verso una nuova Alba

Max ha subito delle perdite che ancora non ha del tutto recuperato: i giorni di fermo, la multa, la fiducia dei clienti, ma è determinato a ricostruirla diventando più forte di prima. Adesso utilizza credenziali diverse per diversi servizi online e per il suo e-commerce ha attivato sia il time-out dopo alcuni tentativi errati che il ban dell’IP (dopo molti tentativi) oltre che il Multi Factor Authentication.

“Oggi segna il ritorno della fiducia. La lezione più grande che abbiamo imparato è che la sicurezza informatica non è mai una destinazione finale, ma un viaggio di continuo miglioramento. Spero che la mia storia possa servire ad altri imprenditori: investire nella sicurezza informatica non è più una scelta ma un imperativo assoluto.”

A Max gli auguri di una pronta ripresa.

L'articolo La Storia di Max: Fallimenti di Identificazione e Autenticazione in un E-commerce proviene da il blog della sicurezza informatica.

Recentemente, il noto Threat Actor IntelBroker, amministratore di BreachForums, ha pubblicato una nuova presunta violazione ai danni di un’azienda sanitaria privata degli Stati Uniti

Da quanto riportato nel post, IntelBroker fa sapere che nel settembre 2024, Prime Healthcare, insieme a tutta una serie di aziende, ha subito violazioni dei dati.

Al momento, non possiamo confermare la veridicità della notizia, poiché l’organizzazione non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo deve essere considerato come ‘fonte di intelligence’.

Dettagli della violazione

Prime Healthcare Services è una società privata statunitense operante nel settore sanitario. È stata fondata nel 2001 dal presidente e CEO Prem Reddy , MD, e gestisce 44 ospedali in 14 stati. È affiliata alla fondazione non-profit Prime Healthcare Foundation.

Secondo IntelBroker, la violazione ha portato alla compromissione delle seguenti informazioni

Dati compromessi:

“fid”, “faxnumid”, “companyid”, “faxpath”, “pages”, “faxcatid”, “did_id”, “description”, “lastoperation”, “lastmoddate”, “archstamp”, “modemdev”, “userid”, “origfaxnum”, “faxcontent”, “inbox”

Ci sono anche informazioni su prescrizioni, nomi completi, indirizzi e-mail, SSN, numeri di telefono, indirizzi, ecc.

Inoltre, sempre nel post, IntelBroker fa saspere che che altri database delle società menzionate in questo fax verranno inclusi in un secondo momento nel mercato delle fughe di notizie o nella sezione database.

Conclusioni

La divulgazione di informazioni personali comporta rischi significativi. I dati condivisi da IntelBroker includono informazioni identificabili come nomi, email numeri di telefono e indirizzi. Tali informazioni possono essere utilizzate per effettuare attacchi di phishing, furti d’identità e altre forme di criminalità informatica

La presunta violazione dei dati rappresenta perciò un rischio elevato per gli utenti interessati. Gli utenti sono quindi invitati a tenere d’occhio qualsiasi attività sospetta.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzareredhotcyber.com/whistleblowerla mail crittografata del whistleblower.

L'articolo Violazione dei Dati Sanitari: IntelBroker rivendica un attacco a Prime Healthcare proviene da il blog della sicurezza informatica.

La cybersicurezza è diventata una componente cruciale per la protezione delle informazioni aziendali e dei dati sensibili. Avviare un programma di cybersicurezza non è solo una necessità, ma un obbligo per qualsiasi organizzazione che voglia proteggere il proprio patrimonio informativo. Ma come si inizia un percorso di cybersicurezza efficace? In questo articolo, esploreremo le prime fasi essenziali per avviare un programma cyber, focalizzandoci su concetti fondamentali come l’analisi dei rischi (Risk Analysis), la Business Impact Analysis (BIA) e la classificazione dei dati.

Classificazione dei Dati: La Pietra Angolare della Cybersicurezza

Il primo passo cruciale per avviare un programma di cybersicurezza è la classificazione dei dati. Questa fase consiste nel catalogare e organizzare i dati in base alla loro importanza e alla sensibilità. La classificazione permette di stabilire quali dati richiedono maggior protezione e quali possono essere gestiti con misure di sicurezza meno stringenti.

Perché è Importante?

La classificazione dei dati è fondamentale perché consente di identificare quali informazioni sono più critiche per l’organizzazione e quindi necessitano di protezioni avanzate. Dati sensibili, come informazioni personali, proprietà intellettuale o dati finanziari, richiedono un livello di sicurezza elevato per evitare furti, perdite o compromissioni.

Come Classificare i Dati?

• Identificare i tipi di dati: Determinare quali dati sono trattati dall’organizzazione (es. dati personali, dati finanziari, proprietà intellettuale).
• Valutare il valore dei dati: Definire il valore e la sensibilità dei dati per l’organizzazione.
• Assegnare una classificazione: Assegnare una categoria a ciascun tipo di dato (es. pubblico, confidenziale, segreto).

Analisi dei Rischi (Risk Analysis)

Una volta classificati i dati, il passo successivo è la Risk Analysis. Questa attività consiste nell’identificare le minacce che potrebbero compromettere la sicurezza dei dati e nel valutare i rischi associati.

Che Cos’è la Risk Analysis?

La Risk Analysis è un processo metodico per identificare, valutare e prioritizzare i rischi in base alla probabilità che un evento negativo si verifichi e all’impatto che tale evento avrebbe sull’organizzazione. L’obiettivo è identificare i rischi più critici e mettere in atto misure di mitigazione.

Come si Conduce una Risk Analysis?

• Identificazione delle minacce: Elencare le potenziali minacce, come attacchi informatici, errori umani, guasti hardware o disastri naturali.
• Valutazione delle vulnerabilità: Analizzare le vulnerabilità dell’organizzazione che potrebbero essere sfruttate da queste minacce.
• Determinazione del rischio: Valutare la probabilità e l’impatto di ciascuna minaccia sulle diverse classi di dati.
• Pianificazione delle contromisure: Stabilire le misure di sicurezza da implementare per ridurre il rischio a un livello accettabile.

Business Impact Analysis (BIA)

La Business Impact Analysis (BIA) è un altro strumento fondamentale per avviare un programma di cybersicurezza. La BIA aiuta a comprendere l’impatto che la compromissione dei dati potrebbe avere sull’organizzazione, non solo in termini finanziari, ma anche operativi e reputazionali.

A Cosa Serve la BIA?

La BIA serve a stabilire le priorità per il recupero delle operazioni aziendali in caso di incidente. Attraverso la BIA, si determinano quali processi aziendali sono critici, quanto tempo è tollerabile che siano interrotti e quali risorse sono necessarie per il loro ripristino.

Come si Conduce una BIA?

• Identificazione dei processi critici: Determinare quali processi aziendali sono essenziali per il funzionamento dell’organizzazione.
• Valutazione dell’impatto: Stimare l’impatto finanziario e operativo di un’interruzione di tali processi.
• Stabilire le priorità di ripristino: Definire i tempi massimi accettabili di interruzione (RTO – Recovery Time Objective) e le risorse necessarie per il ripristino.

Implementazione delle Soluzioni di Sicurezza

Dopo aver condotto la classificazione dei dati, la Risk Analysis e la BIA, il passo successivo è implementare le soluzioni di sicurezza più appropriate. Queste soluzioni possono includere l’adozione di software di sicurezza, la crittografia dei dati, l’implementazione di firewall, l’adozione di politiche di accesso rigorose e la formazione dei dipendenti.

Misure Tecniche e Organizzative

• Crittografia: Protegge i dati sensibili sia a riposo che in transito.
• Firewall e IDS/IPS: Monitorano e bloccano traffico sospetto o non autorizzato.
• Controllo degli accessi: Assicura che solo personale autorizzato possa accedere a dati critici.
• Formazione e sensibilizzazione: Fondamentale per ridurre il rischio di errori umani, che rappresentano una delle principali cause di violazione della sicurezza.

Il Percorso Ciclico della Cybersicurezza

Un aspetto chiave della cybersicurezza, secondo gli standard NIST (National Institute of Standards and Technology), è la sua natura ciclica. Un programma di cybersicurezza non è mai completo una volta per tutte. È necessario un processo continuo di definizione, realizzazione, misurazione e ottimizzazione delle attività di sicurezza.

La Ciclicità del Processo

• Definizione: Continuare a valutare i rischi emergenti e aggiornare le politiche di sicurezza.
• Realizzazione: Implementare le nuove soluzioni di sicurezza e rafforzare quelle esistenti.
• Misurazione: Monitorare l’efficacia delle misure implementate attraverso audit e controlli periodici.
• Ottimizzazione: Apportare miglioramenti continui per affrontare nuove minacce e ridurre i rischi residui.

Documentazione e Revisione Continua

Ogni fase del percorso deve essere accuratamente documentata, per garantire che tutte le attività siano tracciabili e revisionabili. La documentazione non solo aiuta a mantenere una visione chiara dello stato della sicurezza, ma è anche essenziale per conformarsi a normative e standard internazionali.

Conclusione

Avviare un programma di cybersicurezza è un compito complesso, che richiede un approccio metodico e continuo. La classificazione dei dati, la Risk Analysis e la Business Impact Analysis sono le fondamenta su cui costruire una strategia di sicurezza robusta. Seguendo un approccio ciclico, come suggerito dagli standard NIST, le organizzazioni possono migliorare continuamente la loro postura di sicurezza, affrontando in modo efficace le minacce in continua evoluzione.

Proteggere i dati non è un’attività una tantum, ma un processo continuo di adattamento e miglioramento. Solo con un approccio disciplinato e ciclico è possibile garantire che la sicurezza delle informazioni rimanga sempre al passo con le nuove sfide del mondo digitale.

L'articolo Come Avviare un Programma Cyber: Le Prime Cose da Fare proviene da il blog della sicurezza informatica.

Le principali aziende tecnologiche come Google , Apple e Discord stanno facilitando l’accesso rapido degli utenti a siti dannosi che utilizzano l’intelligenza artificiale per “spogliare” le persone nelle fotografie, creando immagini di nudo senza il loro consenso. Nel corso di diversi mesi, più di una dozzina di questi siti hanno utilizzato i sistemi di autorizzazione di queste società, che consentivano agli utenti di registrarsi facilmente su tali risorse.

Un’analisi di WIRED ha identificato 16 dei più grandi siti di immagini di nudo false che utilizzano l’infrastruttura di accesso tramite Google, Apple, Discord, Twitter, Patreon e Line. Questa integrazione ha creato l’illusione di legittimità per tali siti, consentendo agli utenti di creare rapidamente account e acquistare crediti per la generazione di immagini.

Il numero di siti che creano immagini intime senza consenso è aumentato in modo significativo con l’avvento dell’intelligenza artificiale generativa. È particolarmente allarmante che tali tecnologie siano state utilizzate attivamente dagli adolescenti che creano immagini dei loro coetanei. Nonostante l’ovvietà del problema, le grandi aziende tecnologiche non hanno fretta di adottare misure per combattere tali siti, che vengono facilmente trovati attraverso i motori di ricerca, promossi attivamente attraverso la pubblicità sui social network e finiscono persino negli app store.

I sistemi di accesso utilizzati su questi siti consentono agli utenti di registrarsi tramite i propri account esistenti. Google era presente su 16 di questi siti, Discord su 13 e Apple su sei. Quando sono state contattate da WIRED, alcune società hanno affermato di aver preso provvedimenti per rimuovere gli account sviluppatore associati ai siti, ma altre società non hanno commentato o hanno rifiutato di discutere di siti specifici.

Negli ultimi anni, le tecnologie deepfake hanno reso molto più semplice la creazione di tali immagini e i siti impegnati in questa attività hanno iniziato a operare come aziende. Spesso nascondono informazioni sui proprietari e sulle modalità operative, offrono i propri servizi in diverse lingue e si sviluppano attivamente, aggiungendo nuove funzionalità come la possibilità di personalizzare il proprio aspetto e scaricare immagini da Instagram.

Alcuni siti creano persino le proprie criptovalute per pagare i servizi. Nonostante le critiche e le affermazioni secondo cui tali tecnologie contribuiscono alla violenza sessuale e allo sfruttamento delle donne, i siti continuano a funzionare e il loro traffico non fa che crescere.

Le forze dell’ordine e le organizzazioni pubbliche continuano a combattere tali siti, ma il problema rimane ancora rilevante. La richiesta da parte dei giganti della tecnologia di una regolamentazione più rigorosa e di una restrizione dell’accesso a tali tecnologie si fa sempre più forte, ma per ora la maggior parte delle misure vengono adottate solo dopo un’ampia copertura mediatica della questione.

L'articolo Come Google, Apple e Discord Diffondono siti AI per “Spogliare” le Persone proviene da il blog della sicurezza informatica.

When you think of Sony, you probably think of a technology company that’s been around forever. However, as [Asianometry] points out, it really formed in the tough years after World War II. The two people behind the company’s formation were an interesting pair. One of them was a visionary engineer and one was a consummate businessman.

While it is hard to imagine today, securing a license to produce transistors was difficult in the early days. What’s worse is, even with the license, it was not feasible to use the crude devices in a radio.

The devices were poor by today’s standards, and while transistors would work at audio frequencies for hearing aids, getting them to work at AM radio frequencies was a challenge. The Sony founders had to decide whether to use alloy transistors or grown crystal transistors.

Western Electric did not want to share its crystal-growing technology, so in 1954, the team created an alloy transistor. However, it failed to work well at radio frequencies, so they shifted to growing crystals, which seemed more amenable to scaling. One of the team tried using phosphorous and indium doping and created a transistor that could work at higher frequencies. But there was a problem.

Despite the transistor’s superior performance, they couldn’t make another one. Common wisdom at the time was that phosphorus doping was a dead end, but it had worked once. It just took time to find the right way to do it. By 1955, they produced usable transistors, even though the yield was at around 5%.

Texas Instruments beat them to market with a transistor radio, the Regency TR-1, in 1954, but in 1955, they produced the TR-55. Of the five transistors inside, some were alloyed transistors, and some were grown crystals. The factory had to hand-select crystal transistors to make each unit work. The radios were on sale for about 19,000 yen (the TR-1 cost about 50 bucks; recall that in 1954, that was nearly $600 in today’s money). Adjusting for inflation, in today’s money, a Japanese teenager would shell out about $850 for the TR-55.

The TR-55 wasn’t the first Sony radio to have transistors. The TR-52 was a prototype, but it had case problems and never made it into the hands of the public. The radio didn’t make it to the United States until 1957. By then, Texas Instruments, Raytheon, and GE all had radios available, too.

It is a fascinating look into the history of an iconic electronics brand and a window into another world that, honestly, wasn’t that long ago. We couldn’t help but note similarities with Apple, who also had a businessman and engineer combination. Sony would go on to innovate in a number of areas, including optical data storage.

youtube.com/embed/7pi9k5n7Wrw?…

hackaday.com/2024/09/04/how-so…

Whether you have full use of your hands or not, a foot-operated keyboard is a great addition to any setup. Of course, it has to be a lot more robust than your average finger-operated keyboard, so building a keyboard into an existing footstool is a great idea.

When [Wingletang]’s regular plastic footrest finally gave up the ghost and split in twain, they ordered a stronger replacement with a little rear compartment meant to hold the foot switches used by those typing from dictation. Settling upon modifiers like Ctrl, Alt, and Shift, they went about designing a keyboard based on the ATmega32U4, which does HID communication natively.

For the switches, [Wingletang] used the stomp switches typically found in guitar pedals, along with toppers to make them more comfortable and increase the surface area. Rather than drilling through the top of the compartment to accommodate the switches, [Wingletang] decided to 3D print a new one so they could include circuit board mounting pillars and a bit of wire management. Honestly, it looks great with the black side rails.

If you want to build something a little different, try using one of those folding stools.

hackaday.com/2024/09/04/floorb…

[Peter Demchenko] wanted to use a low power TS555 in an ESR meter design. The problem is, he needed to handle significant current sink requirements for cases where the capacitor under test had a low ESR. The TS555 wasn’t up to the task.

However, [Peter] made an interesting observation. the output pin of the device can sink or source current. However, the discharge pin is exactly the same output but can only sink current.

But what if you tied them together? Using some equalizing resistors, that’s exactly what he did, and this roughly doubles the rated current sink capability. According to [Peter], you do make the circuit more sensitive to power supply variations, but that could be an acceptable trade, depending on your application.

The meter schematic confused us for a moment because the R3 and R4 designations are corrupted. Both the equalizing resistors, it appears, are 110 ohms. The schematic legend should read “R3 110” not “3 110.” The same for R4 which appears as “4 110.”

We do love unusual ways to use a 555. If you need to read ESR, and you have one of those ubiquitous component testers handy, they will give you a reading of ESR, among other things.

hackaday.com/2024/09/04/humble…

I ricercatori hanno scoperto un nuovo malware chiamato Cyclops, probabilmente sviluppato dal gruppo Charming Kitten (APT 35). Questo software è apparso per la prima volta nel dicembre 2023 e ha iniziato ad essere utilizzato contro obiettivi in ​​Medio Oriente nel 2024.

Cyclops consente agli aggressori di eseguire comandi sui dispositivi infetti e di penetrare nelle reti per ulteriori attacchi. Il malware viene gestito tramite un’API REST HTTP, a cui è possibile accedere tramite un tunnel SSH.

Sulla base dei dati, Cyclops è stato creato per sostituire il malware BellaCiao. Ciò è confermato dalla somiglianza dei metodi di lavoro e degli obiettivi di entrambi i programmi. Le funzionalità principali di Cyclops includono l’esecuzione di comandi arbitrari, la manipolazione del file system e l’utilizzo di un dispositivo infetto per propagare un attacco all’interno di una rete.

Finora sono stati rilevati solo pochi casi di questo malware, il che indica la sua recente comparsa e forse una distribuzione limitata. Cyclops è stato probabilmente utilizzato per attaccare organizzazioni operanti in Libano e Afghanistan.

Si segnala che lo sviluppo di Cyclops è terminato a dicembre 2023, poco dopo la cessazione dell’utilizzo di BellaCiao. Ciò indica una connessione diretta tra questi due malware e i loro autori.

I ricercatori ritengono che Cyclops possa rappresentare una nuova fase nelle attività di Charming Kitten, nota per i suoi attacchi contro vari obiettivi, compresi i tentativi di interferire nelle elezioni statunitensi. L’analisi di Cyclops e della sua infrastruttura aiuta a comprendere meglio le azioni di questo gruppo e a contrastare le sue nuove minacce.

L'articolo Gli hacker Iraniani pronti a colpire con il malware Cyclops proviene da il blog della sicurezza informatica.

Ian from Dangerous Prototypes demonstrating the RP2350-E9 issue in a Bus Pirate prototype without pull-ups.
There’s currently a significant amount of confusion around the full extent of the GPIO hardware issue in the Raspberry Pi RP2350 microcontroller, with [Ian] over at [Dangerous Prototypes] of Bus Pirate fame mentioning that deliveries of the RP2350-based Bus Pirate 5XL and 6 have been put on hold while the issue is further being investigated. Recorded in the RP2350 datasheet as erratum RP2350-E9, it was originally reported as only being related to the use of internal pull-downs, but [Ian] has since demonstrated in the primary issue ticket on GitHub that the same soft latching behavior on GPIO pins occurs also without pull-downs enabled.

When we first reported on this hardware bug in the RP2350’s A2 (and likely preceding) stepping there was still a lot of confusion about what this issue meant, but so far we have seen the Bus Pirate delay and projects like [Agustín Gimenez Bernad]’s LogicAnalyzer have opted for taking the RP2350 port out back. There are also indications that the ADC and PIO peripherals are affected by this issue, with workarounds only partially able to circumvent the hardware issue.

In the case of the Bus Pirate a potential workaround is the addition of 4.7 kOhm external pull-downs, but at the cost of 0.7 mA continuous load on the GPIO when pulled high and part of that when pulled low. Although a final solution for Bus Pirate is still being investigated, this kind of ugly hardware hack might at least save existing boards. It also shows the lengths that hardware developers who seek to use this MCU have to go to to make it work.

Meanwhile there are lively discussions about the issue on the Raspberry Pi forums, both on the E9 erratum as well as the question of when there will be a new stepping. The official statement by Raspberry Pi is still that ‘they are investigating’. Presumably there will be a Bx stepping at some point, but for now it is clear that the RP2350’s A2 stepping is probably best avoided.

hackaday.com/2024/09/04/the-wo…

This week Jonathan Bennett chats with Lori Lorusso and Steve Hoffman, the Head of Community and SVP of engineering at Percona, the open source database experts.

• percona.com/

youtube.com/embed/tGbOt9HkQhA?…

Did you know you can watch the live recording of the show Right on our YouTube Channel? Have someone you’d like us to interview? Let us know, or contact the guest and have them contact us! Take a look at the schedule here.

play.libsyn.com/embed/episode/…

Direct Download in DRM-free MP3.

If you’d rather read along, here’s the transcript for this week’s episode.

Places to follow the FLOSS Weekly Podcast:

• Spotify
• RSS

hackaday.com/2024/09/04/floss-…

While some byproducts recall an idyllic piece of Americana, others remind us that the past is not always so bright and cheerful. Trinitite, created unintentionally during the development of the first atomic bomb, is arguably one of these byproducts.
A Trinitite pendant. Image via Galactic Stone
Whereas Fordite kept growing back for decades, all Trinitite comes from a single event — the Trinity nuclear bomb test near Alamogordo, New Mexico on July 16, 1945. Also called ‘atomsite’ and ‘Alamogordo glass’, ‘Trinitite’ is the name that stuck.

There wasn’t much interest in the man-made mineral initially, but people began to take notice (and souvenirs) after the war ended. And yes, they made jewelry out of it.

Although there is still Trinitite at the site today, most of it was bulldozed over by the US Atomic Energy Commission in 1953, who weren’t too keen on the public sniffing around.

There was also a law passed that made it illegal to collect samples from the area, although it is still legal to trade Trinitite that was already on the market. As you might expect, Trinitite is rare, but it’s still out there today, and can even be bought from reputable sources such as United Nuclear.

The Formation Event

On that fateful day, the plutonium bomb nicknamed “Gadget” was strapped to a 100-foot tower atop a bed of sandy soil. The detonation left a crater half a mile across and eight feet deep of radioactive glass.
The Trinity blast. Public domain via Wikimedia Commons
While at first it was assumed that the sand that became Trinitite melted at ground level, it has somewhat recently been theorized that the sand was sucked up into the fireball, liquefied, then rained down to form a sheet of glass of varying thickness, composition, and topology.

It’s estimated that the glass was formed by 4,300 gigajoules of heat energy, and the sand was exposed to a minimum temperature of 1,470 °C (2,680 °F) and super-heated for two or three seconds before solidifying into Trinitite.

In September 1945, Time magazine reported that the site looked like “a lake of green jade”, with the glass taking strange shapes, like those of “lopsided marbles… broken, thin-walled bubbles, green, worm-like forms.” The marbles suggest that some material solidified in the air on the way down.

Not all Trinitite is bottle-green, although most of it is. Some red Trinitite was discovered in one part of the site, and there are rare black pieces that are thought to contain iron. It’s been theorized that green Trinitite gets its color from the material in the support tower, while red specimens include copper from the electrical wiring.

A Unique Composition

A stack of Trinitite. Image via the University of New Mexico
Geologically speaking, Trinitite is made up of a chaotic mixture that varies both its structure and composition. A typical sample has been described as 1 to 3 cm thick, with a smooth side and a rough side from landing in a molten state on the desert floor. The upper surface is usually sprinkled with dust, while the bottom is thicker and grades into the soil it came from. Far from completely solid, it is estimated that around 30% of Trinitite is void space, and usually has cracks.

Optically, there are two forms of Trinitite with different refraction indices — the lower-index type is mostly silicon dioxide, while the higher-index glass has mixed components. Although deemed safe to handle, Trinitite is measurably radioactive. The level of radioactivity fluctuates based on the size of the specimen and its distance from ground zero.

The First of Many Atomsites, Unfortunately

As you might imagine, glassy residues remain wherever nuclear weapons detonate at or near ground level. Some scientists prefer to call all other glasses ‘atomsite’, although plenty of site- and creator-specific names have been given to the byproducts of other detonations. It was discovered in 2016 that, following the bombing of Hiroshima, between 0.6% and 2.5% of the sand on local beaches consisted of fused glass spheres that had formed. It has been called Hiroshimaite.

Trinitite is known as a melt glass or glass melt, which basically means that the silica from the ground bonded with surrounding minerals originating from both the tower and the bomb itself. While this formation process is a man-made one, there are similar natural processes that produce glassy byproducts. Stay tuned!

hackaday.com/2024/09/04/boss-b…

Resistance to the Hungarian presidency's approach to the EU's draft law to combat online child sexual abuse material (CSAM) was still palpable during a member states' meeting on Wednesday (4 September).

euractiv.com/section/law-enfor…

Il 2 settembre il ricercatore di sicurezza Sergei Kornienko di PixiePoint ha pubblicato un’analisi e una dimostrazione dello sfruttamento di una vulnerabilità critica zero-day nel kernel di Windows , nota come CVE-2024-38106. Questa vulnerabilità legata all’escalation dei privilegi viene già sfruttata attivamente dagli aggressori, richiedendo un intervento urgente da parte dei professionisti e degli utenti della sicurezza.

Il CVE-2024-38106 (punteggio CVSS: 7.0) si trova nel kernel del sistema operativo Windows, in particolare nel processo “ntoskrnl.exe“. Questo processo è un componente chiave di Windows che consente la comunicazione tra hardware e software e supporta molti importanti servizi di sistema.

La vulnerabilità è legata ad una Race Condition , una situazione in cui il risultato dipende dalla sequenza o dalla tempistica degli eventi. Un utente malintenzionato che sfruttasse con successo questa vulnerabilità potrebbe aumentare i propri privilegi al livello SYSTEM, dandogli di fatto il pieno controllo sul dispositivo interessato.

La vulnerabilità è stata segnalata in modo responsabile a Microsoft ed è già stato rilasciato un aggiornamento che risolve CVE-2024-38106. Kornienko ha anche analizzato l’aggiornamento che corregge la vulnerabilità e ha notato importanti cambiamenti in due funzioni chiave: VslGetSetSecureContext() e NtSetInformationWorkerFactory(). Queste modifiche erano necessarie per eliminare la Race Condition e migliorare la sicurezza del sistema.

In particolare, sono stati introdotti meccanismi di blocco delle operazioni legate alla modalità provvisoria del kernel Virtualization-Based Security (VBS), ed è stato aggiunto il controllo dei flag nel processo NtShutdownWorkerFactory(), che ha ridotto la probabilità di sfruttamento della vulnerabilità.

Kornienko ha anche pubblicato un exploit PoC che mostra come gli aggressori possono utilizzare CVE-2024-38106 per aumentare i privilegi. La pubblicazione dell’exploit evidenzia i potenziali rischi per gli utenti domestici e aziendali se la vulnerabilità non viene affrontata in modo tempestivo.securitylab.ru/glossary/eksplo…

Secondo PixiePoint, la vulnerabilità è stata attivamente sfruttata da un gruppo di hacker nordcoreano noto come Citrine Sleet. Gli attacchi registrati sono iniziati reindirizzando le vittime al sito web dannoso “voyagorclub[.]space”. Si presume che a questo scopo siano stati utilizzati metodi di ingegneria sociale.

Una volta colpito il sito, è stata sfruttata la vulnerabilità legata all’esecuzione di codice in modalità remota CVE-2024-7971, che ha consentito agli aggressori di accedere al sistema preso di mira. Successivamente, hanno scaricato ed eseguito codice per sfruttare la vulnerabilità CVE-2024-38106 per aggirare la sandbox e aumentare i privilegi. Ciò ha reso possibile l’introduzione del malware: il rootkit FudModule.

Un pericolo particolare del rootkit FudModule è l’utilizzo della tecnica Direct Kernel Object Manipulation (DKOM), che consente agli aggressori di modificare i meccanismi di sicurezza del kernel di Windows. Ciò rende estremamente difficile rilevarlo e rimuoverlo.

Microsoft ha rilasciato rapidamente una patch per la vulnerabilità CVE-2024-38106 come parte dell’aggiornamento di agosto 2024. Tuttavia, il fatto che la vulnerabilità fosse già stata sfruttata in attacchi prima del rilascio dell’aggiornamento evidenzia l’importanza di patch tempestive e di una continua vigilanza sulla sicurezza informatica.

L'articolo Windows Kernel Zero-Day: CVE-2024-38106 Sfruttata Attivamente da Hacker Nordcoreani proviene da il blog della sicurezza informatica.