A 3D Printed Cycloidal Gearbox


The media in this post is not displayed to visitors. To view it, please log in.

Stepper motors are undeniably useful, but sometimes they need a bit of gearing to help perform their task. [Gjhudson2008] has a compact gearbox for NEMA 17 or 23 steppers that is mostly 3D printed. How compact? The gearbox, named VANTIX, is exactly the height of a standard NEMA 17 axle.

However, for it to be that thin, your stepper has to have the D-bore on the shaft go all the way down. Some steppers leave a shank uncut at the base, and that won’t work for VANTIX.

The recommendation is to print in ABS with a 0.2 mm nozzle for certain parts to help improve tolerance. Most of the assembly is either press fit or installed during the printing process. Some parts of the gearbox are better to print with a larger nozzle, too.

There are some heat-set inserts and, of course, you’ll need lube to keep everything moving smoothly. There are a few top plates you can print to fit various mounting scenarios.

We have seen a number of similar designs. We’ve also looked at some e-bike-inspired drives.


hackaday.com/2026/08/06/a-3d-p…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

PSA: I am not in Las Vegas this week. So if anyone approaches you saying it's me, don't tell them any secrets.

You can tell ~ the real me ~ those secrets.

My Signal: +1 917 257 1382

Questa voce è stata modificata (2 giorni fa)

NASA’s Just Prolonged Voyager 2’s Science Mission With a Big Bang


The media in this post is not displayed to visitors. To view it, please log in.

Letting go is hard, especially when it concerns an irreplaceable space probe like the two Voyagers. Fortunately JPL engineers have managed to pull off a ‘big bang’ switch on Voyager 2, involving two heaters and another device that was kept on to keep providing sufficient heat to the spacecraft to allow it to keep functioning. After all, while the vacuum of space isn’t cold, out in deep space you’re radiating away all your precious heat.

Unfortunately the official press release in exceedingly limited in details, but The Register was kind enough to already nag a NASA spokesperson about it, which gives us some technical details. The short version is that these heaters don’t just keep the electronics within a happy operating range, they also keep the fuel lines warm and capable of providing fuel for attitude adjustments.

With this switch apparently enough of the rapidly diminishing power from the RTG has been freed up that the Voyager 2 has just gained a whole extra year on its extended mission. The JPL team hopes to perform the same switch on the Voyager 1 spacecraft soon, giving it a similar boost to its expected lifespan, before both of them go quiet in the depths of space.

Thanks to [Mark Stevens] for the tip.


hackaday.com/2026/08/06/nasas-…

Tyorgg reshared this.

Rubidium Frequency Standard Explained


The media in this post is not displayed to visitors. To view it, please log in.

You’ve probably heard of rubidium frequency standards, which are used where you need an extremely accurate time or frequency reference. [IMSAI] guy has a good explainer video about what’s actually going on inside one of these standards. Much of the basic idea also applies to cesium standards.

The explainer starts with the periodic table. Rubidium and cesium are both alkali metals, with a single electron in their outermost electron shell. Rubidium has 37 electrons, with the outermost one relatively loosely bound. Naturally occurring rubidium consists mainly of two isotopes, rubidium-85 and rubidium-87, which have the same number of protons and electrons but different numbers of neutrons.

A rubidium standard typically has three gas cells that have a bit of rubidium in them. An RF-excited rubidium-87 discharge lamp produces light at very specific wavelengths. The RF energy excites rubidium atoms into higher electronic states, and when their electrons fall back to lower-energy states, the atoms emit photons.

That light passes through a filter cell containing rubidium-85. The filter preferentially absorbs part of the lamp’s spectrum, leaving light that optically pumps the rubidium-87 atoms in the second resonance cell into one of two closely spaced hyperfine states of the atom’s ground state.

Those two states differ because of the interaction between the magnetic moment of the outer electron and that of the rubidium-87 nucleus. Their energy separation corresponds to a microwave frequency of about 6.835 GHz.

The resonance cell is illuminated by the filtered light while also being exposed to microwave energy from a local oscillator. When the microwave frequency is exactly equal to the rubidium-87 hyperfine transition frequency, it transfers atoms between the two ground-state hyperfine levels. That changes how strongly the cell absorbs the optical pumping light, producing a detectable dip in the light reaching a photodetector.

Electronics then servo the microwave oscillator onto the center of that absorption dip, using a feedback technique somewhat analogous to a phase-locked loop. Once locked, the oscillator is effectively referenced to an atomic transition rather than to the dimensions or mechanical properties of a crystal, giving you an extremely stable frequency standard.

We’ve peeked into these before. Cesium clocks are more accurate, and optical clocks are even better than that.

youtube.com/embed/e4Y55QtoOB8?…


hackaday.com/2026/08/06/rubidi…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ Snowflake, l’hacker Connor Moucka si dichiara colpevole: il conto finale di 165 aziende violate e miliardi di record rubati
#CyberSecurity
insicurezzadigitale.com/snowfl…

@informatica


Snowflake, l’hacker Connor Moucka si dichiara colpevole: il conto finale di 165 aziende violate e miliardi di record rubati


Connor Riley Moucka, 26 anni, di Kitchener (Ontario), si è dichiarato colpevole mercoledì 5 agosto 2026 davanti a un tribunale federale dello stato di Washington per frode informatica, frode telematica, furto di identità aggravato e cospirazione. È l’epilogo giudiziario di quella che resta una delle campagne di furto dati ed estorsione più estese mai orchestrate contro un singolo fornitore cloud: l’attacco del 2024 alla piattaforma Snowflake, che ha colpito almeno 165 aziende clienti e portato al furto di miliardi di record. Moucka rischia fino a 32 anni di carcere e sarà sentenziato il 27 ottobre.

Non una violazione di Snowflake, ma delle credenziali dei suoi clienti


Il dettaglio tecnico che ha reso il caso Snowflake un caso di scuola è che la piattaforma stessa non è mai stata compromessa. Mandiant, incaricata da Snowflake di condurre l’indagine forense, ha attribuito la campagna a un cluster tracciato come UNC5537 e ha confermato che gli attaccanti hanno sfruttato credenziali valide ma esposte da tempo — in alcuni casi risalenti al 2020 — raccolte tramite infostealer su macchine di dipendenti o partner delle aziende clienti. La mancanza sistemica di autenticazione a più fattori sugli account Snowflake ha fatto il resto, trasformando credenziali rubate anni prima in un accesso diretto ai data warehouse di centinaia di organizzazioni.

Secondo Mandiant, il gruppo dietro la campagna era basato in Nord America e collaborava con almeno un membro operante dalla Turchia — identificato in seguito in John Erin Binns, già legato all’hack di T-Mobile del 2021 e arrestato in Turchia nel 2024.

Le vittime: dalle telco alla sanità, passando per la vendita di biglietti


L’elenco delle aziende colpite tra febbraio e ottobre 2024 legge come una rassegna delle violazioni più discusse dell’anno: AT&T, con i log di chiamate e SMS di oltre 100 milioni di clienti; Ticketmaster/Live Nation, con dati relativi a circa 560 milioni di utenti; Advance Auto Parts; uno dei distretti scolastici più grandi degli Stati Uniti; Neiman Marcus; Santander; LendingTree. I dati sottratti includevano estratti bancari, informazioni finanziarie, numeri di registrazione DEA, patenti di guida, passaporti e numeri di previdenza sociale.

Estorsione, ri-estorsione e mercati underground


Dopo l’esfiltrazione, gli attaccanti hanno tentato di estorcere le aziende vittime minacciando la pubblicazione dei dati online, incassando circa 2,5 milioni di dollari in pagamenti di riscatto. Moucka ha inoltre guadagnato altri 495.000 dollari pubblicizzando parte dei dati rubati su forum criminali come BreachForums e XSS.is. Un dettaglio particolarmente inquietante emerso dagli atti processuali riguarda una vittima estorta due volte: nella seconda occasione, Moucka avrebbe utilizzato dati personali relativi a un funzionario governativo ex ed ai suoi familiari per aumentare la pressione. Le perdite complessive stimate per le vittime ammontano a circa 9,5 milioni di dollari.

Prima dell’arresto, avvenuto nel novembre 2024 e seguito dall’estradizione negli Stati Uniti nel luglio 2025, Moucka aveva parlato con la testata 404 Media dicendosi consapevole dell’imminente cattura e ammettendo di aver distrutto prove in vista dell’arresto.

Due righe per i difensori


Il caso Snowflake ha ridefinito il modello di minaccia per i servizi SaaS e data warehouse: non serve violare il fornitore cloud se le identità dei suoi clienti restano esposte. Per i team di sicurezza le lezioni pratiche restano attuali due anni dopo i fatti:

  • Imporre l’autenticazione a più fattori su tutti gli account con accesso a piattaforme cloud e data warehouse, senza eccezioni per account di servizio o legacy.
  • Ruotare periodicamente le credenziali e trattare come compromesse quelle esposte in precedenti data breach, anche se risalenti a diversi anni prima.
  • Monitorare i mercati underground e i forum come BreachForums per individuare precocemente la messa in vendita di dati aziendali.
  • Validare i log di accesso alle piattaforme SaaS per individuare pattern anomali provenienti da IP o infrastrutture non riconducibili agli utenti abituali.

La condanna definitiva di Moucka, attesa il 27 ottobre, non chiude del tutto il caso: restano aperte le posizioni di altri complici legati alla campagna, a conferma che dietro un singolo nome pubblico si nasconde quasi sempre un’infrastruttura criminale collaborativa e distribuita.

Timeline e dati chiave

Campagna attiva: febbraio - ottobre 2024
Cluster di minaccia (Mandiant): UNC5537
Aziende clienti Snowflake colpite: almeno 165
Vettore d'accesso: credenziali valide esposte (alcune dal 2020), assenza di MFA
Vittime principali: AT&T (100M+ utenti, log chiamate/SMS), Ticketmaster/Live Nation (560M utenti),
                     Advance Auto Parts, Neiman Marcus, Santander, LendingTree, distretto scolastico USA
Guadagni stimati: ~2,5M USD (riscatti) + 495.000 USD (vendita dati underground)
Perdite vittime stimate: ~9,5M USD
Mercati underground utilizzati: BreachForums, XSS.is
Complice: John Erin Binns (Turchia, già legato all'hack T-Mobile 2021)
Arresto Moucka: novembre 2024 (Canada) - Estradizione: luglio 2025
Dichiarazione di colpevolezza: 5 agosto 2026
Sentenza attesa: 27 ottobre 2026 (fino a 32 anni di carcere)

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ OctLurk e SilkLurk: la backdoor cinofona che si decifra solo sulla macchina della vittima
#CyberSecurity
insicurezzadigitale.com/octlur…

@informatica


OctLurk e SilkLurk: la backdoor sinofona che si decifra solo sulla macchina della vittima


Si parla di:
Toggle

Un malware che si rifiuta di funzionare su qualsiasi macchina tranne quella del bersaglio designato: è questa l’arma di precisione che un attore sinofono ha usato per almeno diciotto mesi contro ministeri, ospedali e centri di ricerca dell’Asia Centrale. Kaspersky GReAT ha battezzato l’operazione con i nomi dei due impianti che ne costituiscono il cuore, OctLurk e SilkLurk, e i dettagli tecnici pubblicati da Securelist disegnano il profilo di una campagna di cyberspionaggio pensata apposta per resistere all’analisi forense.

Un bersaglio, una chiave


Da gennaio 2025 il gruppo, non ancora attribuito a un cluster APT noto, ha colpito enti governativi e organizzazioni critiche in Afghanistan, Kirghizistan, Tagikistan, Uzbekistan, Kazakistan e, fuori dall’area, in Siria. La vittimologia comprende ministeri degli Esteri, forze dell’ordine, sanità, ricerca, logistica, pianificazione urbana e persino istituti scolastici pubblici — un ventaglio tipico delle operazioni di raccolta informativa a lungo termine piuttosto che del cybercrimine opportunistico.

Il tratto distintivo della campagna è la codifica “victim-specific”: entrambi i backdoor lasciano sul disco solo un minuscolo loader, mentre il payload vero e proprio resta cifrato finché non viene eseguito sulla macchina giusta. OctLurk usa il numero seriale del disco fisso come chiave di decifratura, SilkLurk il nome del computer. Se un analista prova a eseguire il campione in sandbox o su un sistema diverso da quello infettato, il payload semplicemente non si apre. È una tecnica che complica enormemente sia il rilevamento automatico sia il reverse engineering, perché toglie ai difensori la possibilità di “detonare” il malware in un ambiente controllato per osservarne il comportamento.

OctLurk: ricognizione e movimento laterale in memoria


OctLurk viene iniettato interamente in memoria tramite un loader dedicato. Prima di eseguire il payload principale, gli attaccanti verificano la connettività verso il dominio dns.ssentialserv[.]xyz, poi lanciano uno script batch che avvia LurkProxy, l’utility di proxying che stabilisce il contatto con il server di comando e controllo (C2) all’indirizzo 154.196.162[.]76.

Una volta operativo, OctLurk raccoglie le informazioni di sistema, le cifra e le invia via socket a un secondo C2 hard-coded, dns.multitoconference[.]com. Da quel momento il backdoor può caricare in memoria plugin aggiuntivi per l’esecuzione di comandi, operazioni sul filesystem, raccolta e manipolazione degli appunti, cattura di screenshot ed emulazione di mouse e tastiera. Gli operatori hanno sfruttato in particolare il plugin “command shell” per una sequenza di azioni molto concreta:

  • fingerprinting completo dell’host e raccolta di informazioni estese sul sistema compromesso;
  • esportazione e query degli eventi di logon interattivo remoto per individuare utenti specifici;
  • dump degli hash delle password dai domain controller tramite secretsdump.py di Impacket;
  • installazione di un keylogger travestito da AnyDesk per evitare il rilevamento;
  • decifratura ed estrazione delle password salvate in Google Chrome e Mozilla Firefox;
  • accesso remoto persistente tramite l’agente Pandora RC;
  • scansione di reti interne e pubbliche con Fscan, alla ricerca di servizi SSH (porta 22) e MySQL (porta 3306), con tentativi di accesso usando credenziali da un file chiamato pp.txt;
  • connessione a server di posta per raccogliere o manipolare messaggi email.

LurkProxy, il terzo strumento del set, può operare come proxy SOCKS5 o come proxy trasparente — una modalità alla volta — per instradare il traffico verso un indirizzo target, un accorgimento che aiuta gli attaccanti a mascherare l’origine delle connessioni C2 dentro il traffico di rete della vittima.

SilkLurk e il salto verso l’esfiltrazione


SilkLurk viene avviato tramite una DLL caricata con una sequenza di DLL side-loading, tecnica ormai marchio di fabbrica di diversi gruppi sinofoni. Dopo aver creato un socket TCP verso il proprio C2, invia le informazioni sulla vittima e attende istruzioni: sincronizzazione dell’orologio di sistema, impostazione dell’intervallo di polling, aggiornamento della configurazione o iniezione di ulteriori plugin in memoria.

L’attività post-compromissione osservata è quella di un’operazione di furto documentale mirato: tramite cmd.exe e PowerShell gli operatori si connettono a risorse di rete condivise usando credenziali amministrative, cercano e mettono da parte documenti riservati, si disconnettono dalle condivisioni e infine comprimono i dati rubati con WinRAR o 7-Zip. In alcuni casi la stessa catena di side-loading viene riutilizzata per distribuire PlugX, backdoor storicamente associata a gruppi di hacking cinesi.

Le tracce di un ecosistema più ampio


Kaspersky ha individuato sovrapposizioni infrastrutturali tra questa campagna e un impianto C++ precedentemente documentato, SilentRaid (noto anche come MystRodX o TrustFall), collegato a sua volta a un cluster di attività denominato UAT-7290 attivo contro operatori telco. I ricercatori restano cauti sull’attribuzione — non è chiaro se le due campagne siano state condotte in parallelo dallo stesso gruppo o se semplicemente condividano fornitori di infrastruttura — ma il quadro complessivo conferma quanto gli ecosistemi di cyberspionaggio sinofono continuino a riciclare toolkit, loader e provider tra operazioni distinte, rendendo la clusterizzazione un esercizio sempre più complesso per i difensori.

Cosa devono fare i difensori


Il vettore di accesso iniziale resta sconosciuto, il che rende la telemetria di rete l’unica difesa realmente efficace contro un impianto che vive quasi esclusivamente in memoria. Per le organizzazioni governative e critiche nell’area centroasiatica e per chiunque abbia rapporti con enti di quella regione, ha senso monitorare le connessioni verso i domini e l’IP indicati più sotto, verificare la presenza di keylogger mascherati da eseguibili legittimi come AnyDesk, controllare i log di logon interattivo remoto per pattern anomali di query mirate e, soprattutto, dare priorità a EDR capaci di ispezionare l’esecuzione in memoria piuttosto che il solo file scanning su disco, dato che il loader lasciato sul filesystem è deliberatamente minimale e poco significativo per il rilevamento signature-based.

Indicatori di compromissione

Domini C2:
dns.ssentialserv[.]xyz
dns.multitoconference[.]com

Indirizzo IP C2:
154.196.162[.]76

Strumenti abusati:
Impacket secretsdump.py
Fscan (github.com/shadow1ng/fscan)
Pandora RC agent
Keylogger camuffato da AnyDesk
WinRAR / 7-Zip per l'archiviazione dei dati esfiltrati
File di credenziali: pp.txt

Malware correlato:
PlugX (via DLL side-loading)
SilentRaid / MystRodX / TrustFall (overlap infrastrutturale)

Cybersecurity & cyberwarfare ha ricondiviso questo.

NEW: Google says several hacking groups are targeting and breaking into financial and investment firms with an old-fashioned method: calling employees and tricking them into giving up their passwords.

The victims reportedly include Apollo Global Management, Bain Capital, Blackstone, and Bridgewater Associates, among others.

techcrunch.com/2026/08/06/goog…

The media in this post is not displayed to visitors. To view it, please log in.

Snowflake, l’hacker Connor Moucka si dichiara colpevole: il conto finale di 165 aziende violate e miliardi di record rubati


@Informatica (Italy e non Italy)
Connor Riley Moucka si dichiara colpevole per l'attacco a Snowflake del 2024: 165 aziende violate, tra cui AT&T e Ticketmaster, miliardi di record rubati e un giro di


Snowflake, l’hacker Connor Moucka si dichiara colpevole: il conto finale di 165 aziende violate e miliardi di record rubati


Connor Riley Moucka, 26 anni, di Kitchener (Ontario), si è dichiarato colpevole mercoledì 5 agosto 2026 davanti a un tribunale federale dello stato di Washington per frode informatica, frode telematica, furto di identità aggravato e cospirazione. È l’epilogo giudiziario di quella che resta una delle campagne di furto dati ed estorsione più estese mai orchestrate contro un singolo fornitore cloud: l’attacco del 2024 alla piattaforma Snowflake, che ha colpito almeno 165 aziende clienti e portato al furto di miliardi di record. Moucka rischia fino a 32 anni di carcere e sarà sentenziato il 27 ottobre.

Non una violazione di Snowflake, ma delle credenziali dei suoi clienti


Il dettaglio tecnico che ha reso il caso Snowflake un caso di scuola è che la piattaforma stessa non è mai stata compromessa. Mandiant, incaricata da Snowflake di condurre l’indagine forense, ha attribuito la campagna a un cluster tracciato come UNC5537 e ha confermato che gli attaccanti hanno sfruttato credenziali valide ma esposte da tempo — in alcuni casi risalenti al 2020 — raccolte tramite infostealer su macchine di dipendenti o partner delle aziende clienti. La mancanza sistemica di autenticazione a più fattori sugli account Snowflake ha fatto il resto, trasformando credenziali rubate anni prima in un accesso diretto ai data warehouse di centinaia di organizzazioni.

Secondo Mandiant, il gruppo dietro la campagna era basato in Nord America e collaborava con almeno un membro operante dalla Turchia — identificato in seguito in John Erin Binns, già legato all’hack di T-Mobile del 2021 e arrestato in Turchia nel 2024.

Le vittime: dalle telco alla sanità, passando per la vendita di biglietti


L’elenco delle aziende colpite tra febbraio e ottobre 2024 legge come una rassegna delle violazioni più discusse dell’anno: AT&T, con i log di chiamate e SMS di oltre 100 milioni di clienti; Ticketmaster/Live Nation, con dati relativi a circa 560 milioni di utenti; Advance Auto Parts; uno dei distretti scolastici più grandi degli Stati Uniti; Neiman Marcus; Santander; LendingTree. I dati sottratti includevano estratti bancari, informazioni finanziarie, numeri di registrazione DEA, patenti di guida, passaporti e numeri di previdenza sociale.

Estorsione, ri-estorsione e mercati underground


Dopo l’esfiltrazione, gli attaccanti hanno tentato di estorcere le aziende vittime minacciando la pubblicazione dei dati online, incassando circa 2,5 milioni di dollari in pagamenti di riscatto. Moucka ha inoltre guadagnato altri 495.000 dollari pubblicizzando parte dei dati rubati su forum criminali come BreachForums e XSS.is. Un dettaglio particolarmente inquietante emerso dagli atti processuali riguarda una vittima estorta due volte: nella seconda occasione, Moucka avrebbe utilizzato dati personali relativi a un funzionario governativo ex ed ai suoi familiari per aumentare la pressione. Le perdite complessive stimate per le vittime ammontano a circa 9,5 milioni di dollari.

Prima dell’arresto, avvenuto nel novembre 2024 e seguito dall’estradizione negli Stati Uniti nel luglio 2025, Moucka aveva parlato con la testata 404 Media dicendosi consapevole dell’imminente cattura e ammettendo di aver distrutto prove in vista dell’arresto.

Due righe per i difensori


Il caso Snowflake ha ridefinito il modello di minaccia per i servizi SaaS e data warehouse: non serve violare il fornitore cloud se le identità dei suoi clienti restano esposte. Per i team di sicurezza le lezioni pratiche restano attuali due anni dopo i fatti:

  • Imporre l’autenticazione a più fattori su tutti gli account con accesso a piattaforme cloud e data warehouse, senza eccezioni per account di servizio o legacy.
  • Ruotare periodicamente le credenziali e trattare come compromesse quelle esposte in precedenti data breach, anche se risalenti a diversi anni prima.
  • Monitorare i mercati underground e i forum come BreachForums per individuare precocemente la messa in vendita di dati aziendali.
  • Validare i log di accesso alle piattaforme SaaS per individuare pattern anomali provenienti da IP o infrastrutture non riconducibili agli utenti abituali.

La condanna definitiva di Moucka, attesa il 27 ottobre, non chiude del tutto il caso: restano aperte le posizioni di altri complici legati alla campagna, a conferma che dietro un singolo nome pubblico si nasconde quasi sempre un’infrastruttura criminale collaborativa e distribuita.

Timeline e dati chiave

Campagna attiva: febbraio - ottobre 2024
Cluster di minaccia (Mandiant): UNC5537
Aziende clienti Snowflake colpite: almeno 165
Vettore d'accesso: credenziali valide esposte (alcune dal 2020), assenza di MFA
Vittime principali: AT&T (100M+ utenti, log chiamate/SMS), Ticketmaster/Live Nation (560M utenti),
                     Advance Auto Parts, Neiman Marcus, Santander, LendingTree, distretto scolastico USA
Guadagni stimati: ~2,5M USD (riscatti) + 495.000 USD (vendita dati underground)
Perdite vittime stimate: ~9,5M USD
Mercati underground utilizzati: BreachForums, XSS.is
Complice: John Erin Binns (Turchia, già legato all'hack T-Mobile 2021)
Arresto Moucka: novembre 2024 (Canada) - Estradizione: luglio 2025
Dichiarazione di colpevolezza: 5 agosto 2026
Sentenza attesa: 27 ottobre 2026 (fino a 32 anni di carcere)

Phantomdrive Keeps Your Secrets Out of Sight


The media in this post is not displayed to visitors. To view it, please log in.

It’s a complex world out there, and more than ever folks may find themselves in a situation where they want to keep particular bits of information away from prying eyes. At the same time, overly complex methods of file security can make it difficult to share said information with the intended recipients impractical. So what’s the solution?

One proposal from [Ryan Walker] AKA [machinehum] is the Phantomdrive — a fully open source USB flash drive that features a secret secondary filesystem. Not only is the existence of this data hidden from the operating system under normal circumstances, but it’s encrypted with AES-256. Rather than relying on software running on the computer to handle the decryption, the CH569 chip that powers the drive does it internally.

To complete this platform-agnostic approach, [machinehum] had to come up with a way for the user to unlock the secure storage that didn’t require running any code on the client machine. A hardware solution such as a keypad is the obvious answer, but in this case, was out of the question as it would immediately tip off an observer about the drive’s true nature. A covert storage device needs a similarly inconspicuous method of authentication.

That’s why the firmware on the Phantomdrive keeps an eye on all the write operations to the unsecured section of the drive looking for the string password:. Once it sees that, it treats whatever follows as the decryption key. If it’s correct, the previously inaccessible data will appear to the operating system as a new drive.

[machinehum] cautions that none of this has been professionally audited from a security standpoint, and that you should treat this whole concept as an experiment. In other words, it’s probably more than sufficient for the average person, but no guarantees on how long it would last should a three letter agency gets too interested in what you’re up to.

If this seems a bit familiar, it’s because the Phantomdrive follows up [machinehum]’s self-destructing USB flash drive from a few years back. The concept is essentially the same, except this time there’s no Magic Smoke getting released.

youtube.com/embed/-yI8j4pUuRU?…


hackaday.com/2026/08/06/phanto…

The media in this post is not displayed to visitors. To view it, please log in.

OctLurk e SilkLurk: la backdoor cinofona che si decifra solo sulla macchina della vittima


@Informatica (Italy e non Italy)
Kaspersky svela OctLurk e SilkLurk, due backdoor usate da un attore cinofono per colpire enti governativi e sanitari in Asia Centrale dal 2025. Il payload si decifra solo sul dispositivo del bersaglio, usando il seriale del disco o il


OctLurk e SilkLurk: la backdoor sinofona che si decifra solo sulla macchina della vittima


Si parla di:
Toggle

Un malware che si rifiuta di funzionare su qualsiasi macchina tranne quella del bersaglio designato: è questa l’arma di precisione che un attore sinofono ha usato per almeno diciotto mesi contro ministeri, ospedali e centri di ricerca dell’Asia Centrale. Kaspersky GReAT ha battezzato l’operazione con i nomi dei due impianti che ne costituiscono il cuore, OctLurk e SilkLurk, e i dettagli tecnici pubblicati da Securelist disegnano il profilo di una campagna di cyberspionaggio pensata apposta per resistere all’analisi forense.

Un bersaglio, una chiave


Da gennaio 2025 il gruppo, non ancora attribuito a un cluster APT noto, ha colpito enti governativi e organizzazioni critiche in Afghanistan, Kirghizistan, Tagikistan, Uzbekistan, Kazakistan e, fuori dall’area, in Siria. La vittimologia comprende ministeri degli Esteri, forze dell’ordine, sanità, ricerca, logistica, pianificazione urbana e persino istituti scolastici pubblici — un ventaglio tipico delle operazioni di raccolta informativa a lungo termine piuttosto che del cybercrimine opportunistico.

Il tratto distintivo della campagna è la codifica “victim-specific”: entrambi i backdoor lasciano sul disco solo un minuscolo loader, mentre il payload vero e proprio resta cifrato finché non viene eseguito sulla macchina giusta. OctLurk usa il numero seriale del disco fisso come chiave di decifratura, SilkLurk il nome del computer. Se un analista prova a eseguire il campione in sandbox o su un sistema diverso da quello infettato, il payload semplicemente non si apre. È una tecnica che complica enormemente sia il rilevamento automatico sia il reverse engineering, perché toglie ai difensori la possibilità di “detonare” il malware in un ambiente controllato per osservarne il comportamento.

OctLurk: ricognizione e movimento laterale in memoria


OctLurk viene iniettato interamente in memoria tramite un loader dedicato. Prima di eseguire il payload principale, gli attaccanti verificano la connettività verso il dominio dns.ssentialserv[.]xyz, poi lanciano uno script batch che avvia LurkProxy, l’utility di proxying che stabilisce il contatto con il server di comando e controllo (C2) all’indirizzo 154.196.162[.]76.

Una volta operativo, OctLurk raccoglie le informazioni di sistema, le cifra e le invia via socket a un secondo C2 hard-coded, dns.multitoconference[.]com. Da quel momento il backdoor può caricare in memoria plugin aggiuntivi per l’esecuzione di comandi, operazioni sul filesystem, raccolta e manipolazione degli appunti, cattura di screenshot ed emulazione di mouse e tastiera. Gli operatori hanno sfruttato in particolare il plugin “command shell” per una sequenza di azioni molto concreta:

  • fingerprinting completo dell’host e raccolta di informazioni estese sul sistema compromesso;
  • esportazione e query degli eventi di logon interattivo remoto per individuare utenti specifici;
  • dump degli hash delle password dai domain controller tramite secretsdump.py di Impacket;
  • installazione di un keylogger travestito da AnyDesk per evitare il rilevamento;
  • decifratura ed estrazione delle password salvate in Google Chrome e Mozilla Firefox;
  • accesso remoto persistente tramite l’agente Pandora RC;
  • scansione di reti interne e pubbliche con Fscan, alla ricerca di servizi SSH (porta 22) e MySQL (porta 3306), con tentativi di accesso usando credenziali da un file chiamato pp.txt;
  • connessione a server di posta per raccogliere o manipolare messaggi email.

LurkProxy, il terzo strumento del set, può operare come proxy SOCKS5 o come proxy trasparente — una modalità alla volta — per instradare il traffico verso un indirizzo target, un accorgimento che aiuta gli attaccanti a mascherare l’origine delle connessioni C2 dentro il traffico di rete della vittima.

SilkLurk e il salto verso l’esfiltrazione


SilkLurk viene avviato tramite una DLL caricata con una sequenza di DLL side-loading, tecnica ormai marchio di fabbrica di diversi gruppi sinofoni. Dopo aver creato un socket TCP verso il proprio C2, invia le informazioni sulla vittima e attende istruzioni: sincronizzazione dell’orologio di sistema, impostazione dell’intervallo di polling, aggiornamento della configurazione o iniezione di ulteriori plugin in memoria.

L’attività post-compromissione osservata è quella di un’operazione di furto documentale mirato: tramite cmd.exe e PowerShell gli operatori si connettono a risorse di rete condivise usando credenziali amministrative, cercano e mettono da parte documenti riservati, si disconnettono dalle condivisioni e infine comprimono i dati rubati con WinRAR o 7-Zip. In alcuni casi la stessa catena di side-loading viene riutilizzata per distribuire PlugX, backdoor storicamente associata a gruppi di hacking cinesi.

Le tracce di un ecosistema più ampio


Kaspersky ha individuato sovrapposizioni infrastrutturali tra questa campagna e un impianto C++ precedentemente documentato, SilentRaid (noto anche come MystRodX o TrustFall), collegato a sua volta a un cluster di attività denominato UAT-7290 attivo contro operatori telco. I ricercatori restano cauti sull’attribuzione — non è chiaro se le due campagne siano state condotte in parallelo dallo stesso gruppo o se semplicemente condividano fornitori di infrastruttura — ma il quadro complessivo conferma quanto gli ecosistemi di cyberspionaggio sinofono continuino a riciclare toolkit, loader e provider tra operazioni distinte, rendendo la clusterizzazione un esercizio sempre più complesso per i difensori.

Cosa devono fare i difensori


Il vettore di accesso iniziale resta sconosciuto, il che rende la telemetria di rete l’unica difesa realmente efficace contro un impianto che vive quasi esclusivamente in memoria. Per le organizzazioni governative e critiche nell’area centroasiatica e per chiunque abbia rapporti con enti di quella regione, ha senso monitorare le connessioni verso i domini e l’IP indicati più sotto, verificare la presenza di keylogger mascherati da eseguibili legittimi come AnyDesk, controllare i log di logon interattivo remoto per pattern anomali di query mirate e, soprattutto, dare priorità a EDR capaci di ispezionare l’esecuzione in memoria piuttosto che il solo file scanning su disco, dato che il loader lasciato sul filesystem è deliberatamente minimale e poco significativo per il rilevamento signature-based.

Indicatori di compromissione

Domini C2:
dns.ssentialserv[.]xyz
dns.multitoconference[.]com

Indirizzo IP C2:
154.196.162[.]76

Strumenti abusati:
Impacket secretsdump.py
Fscan (github.com/shadow1ng/fscan)
Pandora RC agent
Keylogger camuffato da AnyDesk
WinRAR / 7-Zip per l'archiviazione dei dati esfiltrati
File di credenziali: pp.txt

Malware correlato:
PlugX (via DLL side-loading)
SilentRaid / MystRodX / TrustFall (overlap infrastrutturale)

Cybersecurity & cyberwarfare ha ricondiviso questo.

Zbtlink has put out a statement on the recent VulnCheck backdoor accusations

The company says the backdoor is a technical support feature

It will also stop selling all the affected models

zbtlink.com/pages/zbt-router-f…

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Autenticazione SSH a chiave pubblica: la guida completa con ssh-keygen
#tech
spcnet.it/autenticazione-ssh-a…
@informatica


Autenticazione SSH a chiave pubblica: la guida completa con ssh-keygen


Perché le password su SSH sono ormai un rischio da eliminare


Se gestisci anche un solo server Linux esposto su Internet, i log di /var/log/auth.log te lo confermano ogni giorno: bot e botnet tentano continuamente il login SSH via password, in modalità brute-force o credential stuffing. Una password, per quanto complessa, resta un segreto condiviso che può essere intercettato, indovinato o riutilizzato da un attaccante che l’ha ottenuta altrove. L’autenticazione a chiave pubblica elimina questo vettore alla radice: il server non conosce mai un segreto trasmissibile, ma verifica solo che il client possieda la chiave privata corrispondente a una chiave pubblica già autorizzata.

Questa guida copre il flusso completo: generazione della coppia di chiavi con ssh-keygen, distribuzione della chiave pubblica, gestione di host multipli con ~/.ssh/config, uso di ssh-agent e, infine, disattivazione sicura del login via password lato server.

Generare la coppia di chiavi con ssh-keygen


Il primo passo è la scelta dell’algoritmo. Nel 2026 la raccomandazione per la quasi totalità degli scenari è Ed25519: chiavi più corte di RSA, generazione e verifica più veloci, sicurezza equivalente (o superiore) a RSA 3072/4096 bit. OpenSSH genera Ed25519 come default da ssh-keygen 9.5 (fine 2023), ma vale la pena specificarlo esplicitamente per chiarezza e portabilità degli script:

ssh-keygen -t ed25519 -C "nome@host-o-scopo-della-chiave"

Il comando chiede dove salvare la chiave (default ~/.ssh/id_ed25519) e una passphrase. Imposta sempre una passphrase: senza, chiunque copi il file della chiave privata (backup non cifrato, laptop rubato, snapshot di VM) ottiene accesso diretto ai sistemi target. Se devi supportare dispositivi legacy che non gestiscono Ed25519 (raro, ma capita con apparati di rete datati), usa RSA a 4096 bit come alternativa:
ssh-keygen -t rsa -b 4096 -C "nome@host-o-scopo-della-chiave"

Un’opzione spesso sottovalutata è l’uso di chiavi FIDO2/hardware, dove il materiale crittografico non lascia mai una security key fisica (es. YubiKey):
ssh-keygen -t ed25519-sk -C "chiave-hardware"

Per ambienti con requisiti di compliance elevati o accessi amministrativi privilegiati, vale la pena valutarla: anche in caso di compromissione totale della workstation, la chiave privata resta inaccessibile senza il dispositivo fisico.

Distribuire la chiave pubblica


Il modo più rapido è ssh-copy-id, che si occupa di creare (se assente) la directory ~/.ssh sul server remoto, con permessi corretti, e di appendere la chiave pubblica a authorized_keys:

ssh-copy-id -i ~/.ssh/id_ed25519.pub utente@server

Se ssh-copy-id non è disponibile (ad esempio da un client Windows senza WSL), il metodo manuale equivalente è:
cat ~/.ssh/id_ed25519.pub | ssh utente@server \
  "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

I permessi contano davvero: OpenSSH lato server rifiuta silenziosamente authorized_keys se la directory .ssh è scrivibile da altri utenti o se il file ha permessi troppo aperti. Se il login a chiave “non funziona” senza errori evidenti, controlla sempre chmod 700 ~/.ssh e chmod 600 ~/.ssh/authorized_keys prima di cercare altrove.

Gestire host multipli con ~/.ssh/config


Chi amministra decine di server trae grande beneficio da un file di configurazione client centralizzato. Invece di ricordare chiave, utente e porta per ogni host, definisci alias in ~/.ssh/config:

Host prod-web01
    HostName 203.0.113.10
    User deploy
    Port 2222
    IdentityFile ~/.ssh/id_ed25519_prod
    IdentitiesOnly yes

Host *.interno.lan
    User admin
    IdentityFile ~/.ssh/id_ed25519_lan
    ForwardAgent no

Da quel momento ssh prod-web01 basta e avanza. L’opzione IdentitiesOnly yes è importante quando gestisci più chiavi: senza di essa, il client SSH può offrire al server tutte le identità disponibili nell’agent, esaurendo il numero massimo di tentativi consentiti (MaxAuthTries) prima di arrivare a quella corretta.

ssh-agent: passphrase una sola volta per sessione


Con una passphrase impostata (come dovrebbe essere sempre), digitarla a ogni connessione è scomodo. ssh-agent mantiene la chiave decifrata in memoria per la durata della sessione:

eval "$(ssh-agent -s)"
ssh-add ~/.ssh/id_ed25519

Sulla maggior parte delle distribuzioni desktop l’agent è già integrato con il session manager. Evita ForwardAgent yes indiscriminato: l’agent forwarding espone la tua chiave in memoria a qualunque processo con privilegi root sul server intermedio, un rischio concreto se quel server non è pienamente fidato. Se ti serve saltare attraverso un bastion host, preferisci ProxyJump:
Host bastion
    HostName bastion.example.com
    User jump

Host target-interno
    HostName 10.0.5.20
    User admin
    ProxyJump bastion

Disabilitare l’autenticazione a password lato server


Solo dopo aver verificato che il login a chiave funziona correttamente (testalo in una sessione separata prima di chiudere quella attuale), disattiva la password lato server. Sulle distribuzioni moderne (Debian/Ubuntu recenti), il modo più pulito è un drop-in dedicato, che viene caricato prima del file principale e quindi vince sui default:

sudo mkdir -p /etc/ssh/sshd_config.d
sudo tee /etc/ssh/sshd_config.d/00-disable-password-auth.conf <<'EOF'
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin prohibit-password
EOF
sudo sshd -t && sudo systemctl reload sshd

sshd -t valida la sintassi prima del reload: un errore di battitura in questo file può tagliarti fuori dal server se non hai un accesso alternativo (console cloud, iDRAC/iLO, ecc.). PermitRootLogin prohibit-password è la scelta consigliata rispetto a no secco: mantiene comunque disponibile il root via chiave per operazioni di emergenza, ma blocca il tentativo via password.

Checklist finale per un hardening solido


  • Una chiave dedicata per servizio/scopo (deploy, amministrazione, CI/CD), non un’unica chiave riutilizzata ovunque.
  • Passphrase sempre presente sulle chiavi memorizzate su disco non cifrato.
  • Audit periodico di authorized_keys su ogni server: rimuovi le chiavi di chi ha lasciato il team o non necessita più di accesso.
  • AuthorizedKeysCommand con backend centralizzato (Vault, LDAP) se gestisci decine di server e vuoi evitare la distribuzione manuale delle chiavi.
  • Fail2ban o equivalente comunque attivo, come difesa in profondità anche a password disabilitate.


Conclusione


Il passaggio da password a chiavi SSH richiede pochi minuti per server, ma elimina una delle superfici di attacco più sfruttate contro sistemi Linux esposti. La combinazione di Ed25519, ~/.ssh/config ben strutturato e password disabilitate lato server è oggi lo standard minimo per qualunque infrastruttura, piccola o grande che sia.

Fonte: LinuxBlog.io.


Cybersecurity & cyberwarfare ha ricondiviso questo.

Snowflake, l’hacker Connor Moucka si dichiara colpevole: il conto finale di 165 aziende violate e miliardi di record rubati


Connor Riley Moucka si dichiara colpevole per l'attacco a Snowflake del 2024: 165 aziende violate, tra cui AT&T e Ticketmaster, miliardi di record rubati e un giro di estorsioni da milioni di dollari. Sentenza attesa il 27 ottobre.
The media in this post is not displayed to visitors. To view it, please go to the original post.

Connor Riley Moucka, 26 anni, di Kitchener (Ontario), si è dichiarato colpevole mercoledì 5 agosto 2026 davanti a un tribunale federale dello stato di Washington per frode informatica, frode telematica, furto di identità aggravato e cospirazione. È l’epilogo giudiziario di quella che resta una delle campagne di furto dati ed estorsione più estese mai orchestrate contro un singolo fornitore cloud: l’attacco del 2024 alla piattaforma Snowflake, che ha colpito almeno 165 aziende clienti e portato al furto di miliardi di record. Moucka rischia fino a 32 anni di carcere e sarà sentenziato il 27 ottobre.

Non una violazione di Snowflake, ma delle credenziali dei suoi clienti


Il dettaglio tecnico che ha reso il caso Snowflake un caso di scuola è che la piattaforma stessa non è mai stata compromessa. Mandiant, incaricata da Snowflake di condurre l’indagine forense, ha attribuito la campagna a un cluster tracciato come UNC5537 e ha confermato che gli attaccanti hanno sfruttato credenziali valide ma esposte da tempo — in alcuni casi risalenti al 2020 — raccolte tramite infostealer su macchine di dipendenti o partner delle aziende clienti. La mancanza sistemica di autenticazione a più fattori sugli account Snowflake ha fatto il resto, trasformando credenziali rubate anni prima in un accesso diretto ai data warehouse di centinaia di organizzazioni.

Secondo Mandiant, il gruppo dietro la campagna era basato in Nord America e collaborava con almeno un membro operante dalla Turchia — identificato in seguito in John Erin Binns, già legato all’hack di T-Mobile del 2021 e arrestato in Turchia nel 2024.

Le vittime: dalle telco alla sanità, passando per la vendita di biglietti


L’elenco delle aziende colpite tra febbraio e ottobre 2024 legge come una rassegna delle violazioni più discusse dell’anno: AT&T, con i log di chiamate e SMS di oltre 100 milioni di clienti; Ticketmaster/Live Nation, con dati relativi a circa 560 milioni di utenti; Advance Auto Parts; uno dei distretti scolastici più grandi degli Stati Uniti; Neiman Marcus; Santander; LendingTree. I dati sottratti includevano estratti bancari, informazioni finanziarie, numeri di registrazione DEA, patenti di guida, passaporti e numeri di previdenza sociale.

Estorsione, ri-estorsione e mercati underground


Dopo l’esfiltrazione, gli attaccanti hanno tentato di estorcere le aziende vittime minacciando la pubblicazione dei dati online, incassando circa 2,5 milioni di dollari in pagamenti di riscatto. Moucka ha inoltre guadagnato altri 495.000 dollari pubblicizzando parte dei dati rubati su forum criminali come BreachForums e XSS.is. Un dettaglio particolarmente inquietante emerso dagli atti processuali riguarda una vittima estorta due volte: nella seconda occasione, Moucka avrebbe utilizzato dati personali relativi a un funzionario governativo ex ed ai suoi familiari per aumentare la pressione. Le perdite complessive stimate per le vittime ammontano a circa 9,5 milioni di dollari.

Prima dell’arresto, avvenuto nel novembre 2024 e seguito dall’estradizione negli Stati Uniti nel luglio 2025, Moucka aveva parlato con la testata 404 Media dicendosi consapevole dell’imminente cattura e ammettendo di aver distrutto prove in vista dell’arresto.

Due righe per i difensori


Il caso Snowflake ha ridefinito il modello di minaccia per i servizi SaaS e data warehouse: non serve violare il fornitore cloud se le identità dei suoi clienti restano esposte. Per i team di sicurezza le lezioni pratiche restano attuali due anni dopo i fatti:

  • Imporre l’autenticazione a più fattori su tutti gli account con accesso a piattaforme cloud e data warehouse, senza eccezioni per account di servizio o legacy.
  • Ruotare periodicamente le credenziali e trattare come compromesse quelle esposte in precedenti data breach, anche se risalenti a diversi anni prima.
  • Monitorare i mercati underground e i forum come BreachForums per individuare precocemente la messa in vendita di dati aziendali.
  • Validare i log di accesso alle piattaforme SaaS per individuare pattern anomali provenienti da IP o infrastrutture non riconducibili agli utenti abituali.

La condanna definitiva di Moucka, attesa il 27 ottobre, non chiude del tutto il caso: restano aperte le posizioni di altri complici legati alla campagna, a conferma che dietro un singolo nome pubblico si nasconde quasi sempre un’infrastruttura criminale collaborativa e distribuita.

Timeline e dati chiave

Campagna attiva: febbraio - ottobre 2024
Cluster di minaccia (Mandiant): UNC5537
Aziende clienti Snowflake colpite: almeno 165
Vettore d'accesso: credenziali valide esposte (alcune dal 2020), assenza di MFA
Vittime principali: AT&T (100M+ utenti, log chiamate/SMS), Ticketmaster/Live Nation (560M utenti),
                     Advance Auto Parts, Neiman Marcus, Santander, LendingTree, distretto scolastico USA
Guadagni stimati: ~2,5M USD (riscatti) + 495.000 USD (vendita dati underground)
Perdite vittime stimate: ~9,5M USD
Mercati underground utilizzati: BreachForums, XSS.is
Complice: John Erin Binns (Turchia, già legato all'hack T-Mobile 2021)
Arresto Moucka: novembre 2024 (Canada) - Estradizione: luglio 2025
Dichiarazione di colpevolezza: 5 agosto 2026
Sentenza attesa: 27 ottobre 2026 (fino a 32 anni di carcere)
Cybersecurity & cyberwarfare ha ricondiviso questo.

OctLurk e SilkLurk: la backdoor sinofona che si decifra solo sulla macchina della vittima


Kaspersky svela OctLurk e SilkLurk, due backdoor usate da un attore cinofono per colpire enti governativi e sanitari in Asia Centrale dal 2025. Il payload si decifra solo sul dispositivo del bersaglio, usando il seriale del disco o il nome del computer come chiave, per rendere quasi impossibile l'analisi forense.
The media in this post is not displayed to visitors. To view it, please go to the original post.

Si parla di:
Toggle

Un malware che si rifiuta di funzionare su qualsiasi macchina tranne quella del bersaglio designato: è questa l’arma di precisione che un attore sinofono ha usato per almeno diciotto mesi contro ministeri, ospedali e centri di ricerca dell’Asia Centrale. Kaspersky GReAT ha battezzato l’operazione con i nomi dei due impianti che ne costituiscono il cuore, OctLurk e SilkLurk, e i dettagli tecnici pubblicati da Securelist disegnano il profilo di una campagna di cyberspionaggio pensata apposta per resistere all’analisi forense.

Un bersaglio, una chiave


Da gennaio 2025 il gruppo, non ancora attribuito a un cluster APT noto, ha colpito enti governativi e organizzazioni critiche in Afghanistan, Kirghizistan, Tagikistan, Uzbekistan, Kazakistan e, fuori dall’area, in Siria. La vittimologia comprende ministeri degli Esteri, forze dell’ordine, sanità, ricerca, logistica, pianificazione urbana e persino istituti scolastici pubblici — un ventaglio tipico delle operazioni di raccolta informativa a lungo termine piuttosto che del cybercrimine opportunistico.

Il tratto distintivo della campagna è la codifica “victim-specific”: entrambi i backdoor lasciano sul disco solo un minuscolo loader, mentre il payload vero e proprio resta cifrato finché non viene eseguito sulla macchina giusta. OctLurk usa il numero seriale del disco fisso come chiave di decifratura, SilkLurk il nome del computer. Se un analista prova a eseguire il campione in sandbox o su un sistema diverso da quello infettato, il payload semplicemente non si apre. È una tecnica che complica enormemente sia il rilevamento automatico sia il reverse engineering, perché toglie ai difensori la possibilità di “detonare” il malware in un ambiente controllato per osservarne il comportamento.

OctLurk: ricognizione e movimento laterale in memoria


OctLurk viene iniettato interamente in memoria tramite un loader dedicato. Prima di eseguire il payload principale, gli attaccanti verificano la connettività verso il dominio dns.ssentialserv[.]xyz, poi lanciano uno script batch che avvia LurkProxy, l’utility di proxying che stabilisce il contatto con il server di comando e controllo (C2) all’indirizzo 154.196.162[.]76.

Una volta operativo, OctLurk raccoglie le informazioni di sistema, le cifra e le invia via socket a un secondo C2 hard-coded, dns.multitoconference[.]com. Da quel momento il backdoor può caricare in memoria plugin aggiuntivi per l’esecuzione di comandi, operazioni sul filesystem, raccolta e manipolazione degli appunti, cattura di screenshot ed emulazione di mouse e tastiera. Gli operatori hanno sfruttato in particolare il plugin “command shell” per una sequenza di azioni molto concreta:

  • fingerprinting completo dell’host e raccolta di informazioni estese sul sistema compromesso;
  • esportazione e query degli eventi di logon interattivo remoto per individuare utenti specifici;
  • dump degli hash delle password dai domain controller tramite secretsdump.py di Impacket;
  • installazione di un keylogger travestito da AnyDesk per evitare il rilevamento;
  • decifratura ed estrazione delle password salvate in Google Chrome e Mozilla Firefox;
  • accesso remoto persistente tramite l’agente Pandora RC;
  • scansione di reti interne e pubbliche con Fscan, alla ricerca di servizi SSH (porta 22) e MySQL (porta 3306), con tentativi di accesso usando credenziali da un file chiamato pp.txt;
  • connessione a server di posta per raccogliere o manipolare messaggi email.

LurkProxy, il terzo strumento del set, può operare come proxy SOCKS5 o come proxy trasparente — una modalità alla volta — per instradare il traffico verso un indirizzo target, un accorgimento che aiuta gli attaccanti a mascherare l’origine delle connessioni C2 dentro il traffico di rete della vittima.

SilkLurk e il salto verso l’esfiltrazione


SilkLurk viene avviato tramite una DLL caricata con una sequenza di DLL side-loading, tecnica ormai marchio di fabbrica di diversi gruppi sinofoni. Dopo aver creato un socket TCP verso il proprio C2, invia le informazioni sulla vittima e attende istruzioni: sincronizzazione dell’orologio di sistema, impostazione dell’intervallo di polling, aggiornamento della configurazione o iniezione di ulteriori plugin in memoria.

L’attività post-compromissione osservata è quella di un’operazione di furto documentale mirato: tramite cmd.exe e PowerShell gli operatori si connettono a risorse di rete condivise usando credenziali amministrative, cercano e mettono da parte documenti riservati, si disconnettono dalle condivisioni e infine comprimono i dati rubati con WinRAR o 7-Zip. In alcuni casi la stessa catena di side-loading viene riutilizzata per distribuire PlugX, backdoor storicamente associata a gruppi di hacking cinesi.

Le tracce di un ecosistema più ampio


Kaspersky ha individuato sovrapposizioni infrastrutturali tra questa campagna e un impianto C++ precedentemente documentato, SilentRaid (noto anche come MystRodX o TrustFall), collegato a sua volta a un cluster di attività denominato UAT-7290 attivo contro operatori telco. I ricercatori restano cauti sull’attribuzione — non è chiaro se le due campagne siano state condotte in parallelo dallo stesso gruppo o se semplicemente condividano fornitori di infrastruttura — ma il quadro complessivo conferma quanto gli ecosistemi di cyberspionaggio sinofono continuino a riciclare toolkit, loader e provider tra operazioni distinte, rendendo la clusterizzazione un esercizio sempre più complesso per i difensori.

Cosa devono fare i difensori


Il vettore di accesso iniziale resta sconosciuto, il che rende la telemetria di rete l’unica difesa realmente efficace contro un impianto che vive quasi esclusivamente in memoria. Per le organizzazioni governative e critiche nell’area centroasiatica e per chiunque abbia rapporti con enti di quella regione, ha senso monitorare le connessioni verso i domini e l’IP indicati più sotto, verificare la presenza di keylogger mascherati da eseguibili legittimi come AnyDesk, controllare i log di logon interattivo remoto per pattern anomali di query mirate e, soprattutto, dare priorità a EDR capaci di ispezionare l’esecuzione in memoria piuttosto che il solo file scanning su disco, dato che il loader lasciato sul filesystem è deliberatamente minimale e poco significativo per il rilevamento signature-based.

Indicatori di compromissione

Domini C2:
dns.ssentialserv[.]xyz
dns.multitoconference[.]com

Indirizzo IP C2:
154.196.162[.]76

Strumenti abusati:
Impacket secretsdump.py
Fscan (github.com/shadow1ng/fscan)
Pandora RC agent
Keylogger camuffato da AnyDesk
WinRAR / 7-Zip per l'archiviazione dei dati esfiltrati
File di credenziali: pp.txt

Malware correlato:
PlugX (via DLL side-loading)
SilentRaid / MystRodX / TrustFall (overlap infrastrutturale)
Questa voce è stata modificata (1 giorno fa)
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Unity abbandona Mono per CoreCLR: cosa cambia con .NET 10 e C# 14
#tech
spcnet.it/unity-abbandona-mono…
@informatica


Unity abbandona Mono per CoreCLR: cosa cambia con .NET 10 e C# 14


Da Mono a CoreCLR: la fine di un’era per Unity


Se sviluppate in C# ma non toccate Unity, la notizia potrebbe sembrarvi di nicchia. Non lo è. Con la release di Unity 6.8, prevista entro la fine del 2026, il motore di gioco più diffuso al mondo abbandona definitivamente il proprio fork custom di Mono in favore di CoreCLR, il runtime “vero” del .NET moderno, con supporto a .NET 10 e C# 14. Per anni Unity è rimasto ostaggio di un’architettura di scripting congelata a metà del decennio scorso, mentre il resto dell’ecosistema .NET correva avanti tra top-level statements, pattern matching avanzato, source generator e miglioramenti di performance del JIT. Il cambio di runtime non è solo un aggiornamento di versione: è un caso di studio interessante per chiunque lavori con .NET, anche fuori dal game dev, perché racconta come si affronta la migrazione di un’applicazione legacy da AppDomain a un modello di isolamento moderno.

Domain Reload: il problema che ogni sviluppatore Unity conosce a memoria


Chi lavora su progetti Unity di dimensioni consistenti conosce fin troppo bene il Domain Reload: si salva uno script, si torna nell’editor, e parte una barra di progresso che su progetti grandi può durare decine di secondi. Il motivo è architetturale: ogni ricompilazione degli script comporta lo scaricamento completo dell’AppDomain e il suo ricaricamento da zero in memoria, un’operazione “a tappeto” pensata per un modello di isolamento vecchio di vent’anni.

Con CoreCLR, Unity abbandona il concetto di AppDomain in favore degli AssemblyLoadContext (ALC), il meccanismo di isolamento e caricamento assembly introdotto nel .NET moderno fin dai tempi di .NET Core. Invece di ricaricare tutto lo stato applicativo, il runtime può scaricare e ricaricare selettivamente solo gli assembly effettivamente modificati.

AssemblyLoadContext: un concetto utile ben oltre Unity


Per chi non l’avesse mai usato fuori da un contesto plugin-system, un AssemblyLoadContext è essenzialmente un contenitore isolato in cui caricare assembly .NET, che può essere scaricato indipendentemente dal resto dell’applicazione. È lo stesso meccanismo che sta dietro a scenari come plugin dinamici, hot reload di parti di un’applicazione server, o sandboxing di codice di terze parti. Un esempio minimale, applicabile a qualunque applicazione .NET moderna:

using System.Reflection;
using System.Runtime.Loader;

var alc = new AssemblyLoadContext("PluginContext", isCollectible: true);

Assembly plugin = alc.LoadFromAssemblyPath(@"C:\plugins\MyPlugin.dll");
// ... usa il plugin tramite reflection o interfacce condivise ...

alc.Unload(); // richiede la garbage collection per liberare davvero la memoria
GC.Collect();
GC.WaitForPendingFinalizers();

Il dettaglio da tenere presente, sia in Unity sia in un’applicazione .NET qualsiasi, è che uno scaricamento “leaked” è possibile: se un riferimento a un tipo caricato nell’ALC sopravvive fuori dal suo scope (una closure, un evento sottoscritto, un campo statico), l’assembly non può essere effettivamente liberato dal garbage collector. Non a caso, nel forum ufficiale Unity gli sviluppatori hanno confermato che il motore segnalerà esplicitamente all’utente quando un AssemblyLoadContext non riesce a essere scaricato correttamente, un problema di leak molto simile a quello che chi scrive plugin system in .NET conosce già.

Cosa cambia in pratica, oltre al Domain Reload


La migrazione a CoreCLR porta con sé una serie di conseguenze pratiche per chi sviluppa con Unity:

  • ECS più integrato: gli Instance ID passano da 32 a 64 bit, permettendo a GameObject “classici” ed entità ECS (Data-Oriented Technology Stack) di condividere lo stesso spazio di identificatori. Un nuovo metodo GetEntityId() collega direttamente gli oggetti di scena al mondo ECS, riducendo la frizione tra i due paradigmi.
  • Serializzazione nativa dei dizionari: Dictionary<TKey, TValue> sarà finalmente serializzabile nativamente dall’Inspector, eliminando i workaround basati su liste parallele di chiavi e valori o su ISerializationCallbackReceiver. In parallelo, Unity rimuove il datato e insicuro BinaryFormatter.
  • IL2CPP resta, ma diventa opzionale: per le piattaforme non coperte da NativeAOT (che CoreCLR usa per la compilazione ahead-of-time), IL2CPP continuerà a essere il backend di scripting necessario. Su piattaforme compatibili, però, sarà possibile scegliere CoreCLR come backend alternativo già a partire da una preview tecnica prevista intorno a Unity 6.7.
  • MiMalloc come allocatore di memoria: l’integrazione dell’allocatore ad alte prestazioni di Microsoft riduce i problemi di lock contention nei carichi multithread, con benefici diretti per chi usa il C# Job System in scenari data-oriented.


Perché la cosa interessa anche chi non fa game dev


Il percorso di Unity da Mono a CoreCLR è, in piccolo, lo stesso tipo di migrazione che molte software house con applicazioni .NET Framework legacy dovranno affrontare prima o poi: passare da un modello di isolamento basato su AppDomain (o peggio, da un fork custom del runtime) a un’architettura moderna basata su ALC, con tutti i vantaggi in termini di performance, ma anche le insidie legate alla gestione del ciclo di vita degli assembly caricati dinamicamente. Se lavorate su plugin system, hosting di codice di terze parti o architetture a moduli scaricabili a runtime, vale la pena studiare da vicino come Unity gestisce concretamente i leak di ALC: è un problema che, presto o tardi, si incontra in qualunque applicazione .NET che provi a fare hot-reload o isolamento dinamico.

Conclusione


Con Unity 6.8, il motore smette di essere un’isola separata dall’ecosistema .NET e si allinea finalmente al runtime moderno, portando in dote C# 14, prestazioni migliori e un developer loop molto più rapido. Per chi sviluppa giochi è una notizia enorme; per chi sviluppa in .NET in generale è un promemoria utile su come affrontare, con gli strumenti giusti, la migrazione da architetture di isolamento legacy a AssemblyLoadContext.

Fonte: DZone, con dettagli tecnici dal thread ufficiale Path to CoreCLR, 2026: Upgrade Guide su Unity Discussions.


Cybersecurity & cyberwarfare ha ricondiviso questo.

You matter. You aren't alone. You are worth getting help.

mentalhealthhackers.org/

reshared this

CNC’d, CNC-inspired Adjustable Wrench Won’t Round Your Bolts


The media in this post is not displayed to visitors. To view it, please log in.

We’ve probably all got one item in our toolboxes or chests that we really, really don’t like, but find too handy to toss. For [Someone Should Make That], that item was the bolt-rounding adjustable wrench. Rather than continuing to gripe about it, or alter his habits to make greater use of the full wrench set he also owns, he decided to build a better mousetrap. By mousetrap, we mean adjustable wrench.

It took a couple of iterations on-screen before he hits on a solution that seems to work quite well indeed. The problem [Someone] had with his adjustable wrench was one of physical slop: once adjusted, there’s just too much play in the mechanism, which results in rounded-off bolt heads. [Someone]’s CNC’d solution takes inspiration from the CNC machine that manufactures it: he’s using spring-loading in the adjustment screw akin to what you find in the anti-backlash nut on your CNC mill or 3D printer’s ball threads. The tension from the springs keeps the wrench tight to the bolt, and that keeps [Someone] from rounding them off. Speaking of 3D printers, he prototyped in plastic before machining, and the screw in the end product stayed that way. It would be interesting to see how well that holds up.

Not only do we appreciate that it’s solved a common problem many of us have, the ethos of “this angers me, so I shall hack it” is one we support 100%, so do give a watch unless you’re one of those people who absolutely can’t stand videos, even when they’re spring-loaded to have no slop. There’s some good tips for beginner CNC operators in there, too.

This isn’t the first time someone’s tried to reinvent this particular wheel, though the last version we liked was a ratchet.

youtube.com/embed/PcGUp5VhOB8?…


hackaday.com/2026/08/06/cncd-c…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Cryptocurrency owners have lost more than $30 million this year to wrench attacks

According to blockchain analysis firm Chainalysis, at this pace, 2026 is set to become the single-worst year for wrench attacks on record

chainalysis.com/blog/violent-c…

reshared this

in reply to Catalin Cimpanu

There is no telling how much is lost to "wrench attacks." These are probably most frequently conducted against criminal elements who can't go to the police afterwards. I think we have no idea of the scale of kidnapping's, home invasions and other violent methods used to extort money. People who brag about their crypto wealth and their sophisticated cold wallets are idiots.

Calculus-Free PID (Almost) in a Spreadsheet


The media in this post is not displayed to visitors. To view it, please log in.

PID controllers are everywhere. They regulate temperature, motor speed, power supplies, positioning systems, process equipment, and probably a dozen things within arm’s reach of you right now.

They’re also frequently explained with enough calculus to make them seem more mysterious than they really are. Granted, the I and D in PID stand for calculus terms, but they are easy enough to build into a spreadsheet. Grab a copy and keep it open while you read this post.

The Google Sheet implements a simple simulated PID controller along with a simulated process — the thing we’re trying to control. You can change the controller gains, alter the process, introduce disturbances, and watch what happens without compiling anything or wiring up a heater that might accidentally become a toaster.

The three letters in PID stand for Proportional, Integral, and Derivative. If your calculus is rusty, integral is just how much is building up over time, and the derivative is how much changed just now. Each operates on the error:
error = setpoint - process value
The setpoint is where we’d like the system to be, the process value (PV) is where it actually is, and we would obviously like the error to be zero. Proportional is the most obvious method of control. The more we are off, the more we adjust. The closer we are to the setpoint, the less proportional output we need.

Integral, on the other hand, looks at a running tally of errors. Finally, derivative measures how much things have changed from the last time we looked. The basic cycle time for the spreadsheet is set by dt, which, by default, is 0.1 seconds. Therefore, it takes ten spreadsheet rows to cover an entire second.

Suppose we’re controlling temperature and want it to be 20 degrees. If the temperature is 15, the error is +5. If it’s 22, the error is -2. Our controller’s job is to turn that error into an output. That output affects something — a heater or a motor speed or whatever — that can change the process value. So for a temperature example, the output might drive a heating resistor, and the process value is measured by a thermistor.

The PID tries to drive the heater so that the process value is as close as possible to the setpoint. To the PID algorithm, the actual units of the output and the process values are immaterial. The spreadsheet limits output from 0 to 100 and, presumably, that would be a percentage of voltage or a PWM duty cycle. The setpoint and process value might be in degrees C or F. But the algorithm doesn’t really care.

First, Just P


Make sure the Model drop-down is set to DEFAULT. We’ll begin by setting:
Kp = 4
Ki = 0
Kd = 0
Set the initial process value to 0, the setpoint to 20, the process gain to 1, and the time constant to 2 seconds. With only the proportional term operating, the controller is particularly easy to understand:
output = Kp × error
At the beginning, the error is 20, so the controller asks for an output of 80 (that is, 4 times 20). However, the process doesn’t instantly jump to 80. Our simulated plant is a first-order system implemented essentially as:
PVnew = PVold + dt/tau × (Kprocess × output - PVold)
The actual spreadsheet has extra terms for a bias and disturbance, but you’ll usually leave those at zero. That’s a useful generic model for a surprising number of real things. Turn up a heater, and the temperature approaches a new value gradually. Apply voltage to a motor and its speed doesn’t change instantaneously. Charge a capacitor through a resistor, and you’ve seen exactly this sort of exponential behavior before.

As the process value rises, the error gets smaller. Because the error gets smaller, the proportional controller reduces its output. This works. At least, mostly.
Proportional can’t quite get there.
Watch where it eventually settles. With the suggested values, the process value winds up around 16 even though our setpoint is 20. Why? At a process value of 20, the error would be zero. A proportional controller presented with zero error produces zero output. But this particular process needs an output of 20 to remain at 20. Therefore, it can’t ever quite get there.

This is the classic steady-state error of proportional-only control. We could crank Kp upward. Try Kp=8. The process gets much closer to the setpoint. But continually increasing proportional gain isn’t a universal solution. Eventually real systems start overshooting, oscillating, amplifying noise, or otherwise expressing their displeasure. We need another term.

Remember the Error


Set Kp back to 4 and try:
Ki = 0.5
The integral term looks at not just the error right now, but the error accumulated over time. In the spreadsheet there’s an Integral State column. Each row does approximately this:
integral = previous_integral + error × dt
and the I contribution becomes:
I = Ki × integral
Now consider our P controller sitting stubbornly below the desired value. As long as some positive error remains, the integral keeps growing.

That gradually increases the controller output until the remaining error disappears. Instead of settling around 16, the process now creeps all the way toward 20. This demonstrates one of the major reasons integral control exists: it eliminates persistent offset. It also gives us a good excuse to disturb the system.

Select the user process model and set User Model # to 1. This will let you disturb the process value by entering numbers into the User1 column. Leave the first bit of the User1 column at 0. But somewhere farther down the simulation, put a disturbance into that column — perhaps -5. If you are feeling especially salty, try a sequence like: 0.5, 0.75, 1, 1.5, 2, 1.5, 0.75, 0.5, -1, -1, -0.5. That sequence should already be in the template’s User1 column.
You can imagine that as opening a refrigerator door, suddenly putting a mechanical load on a motor, or connecting another load to a regulated power supply.

A proportional-only controller reacts immediately, but once things settle, it again tolerates a permanent error.

The integral controller doesn’t. If the process remains below the setpoint, integral action continues increasing until the disturbance has been compensated. That’s a powerful trick. Unfortunately, integral control has tricks of its own.

Too Much of a Good Thing


Integral action remembers errors, but memories aren’t always helpful. The derivative term responds to how rapidly the error is changing:
D = Kd × (error - previous_error) / dt
If proportional control asks, “How far away are we?”, derivative control asks, “How fast are we approaching?” Or, more precisely in this case, “How fast is the error changing?”

Make the simulated process faster by changing its time constant from 2 to about 0.8 seconds. Then try something deliberately more aggressive:
Kp = 8
Ki = 1
Kd = 0Overshoot in user model #1
The response now gets to the setpoint quickly, but it overshoots it. The problem is easy to see in the spreadsheet. While the process is racing upward, it remains below the setpoint, so the integral continues accumulating positive error. By the time we arrive at the destination, the integral term is still pushing. Depending on the process and gains, the result may be a little overshoot, a lot of overshoot, or sustained oscillation.

Since the default plant is only first-order, derivative action doesn’t have much to work with. User Model 2 adds another lag, using the USER2 column as an intermediate process state. That produces more phase lag and makes aggressive PI tuning more prone to overshoot.
Overshoot observed in model 2.
Switch to User Model 2 and start with Kd=0. Then note the peak process value. Then try Kd=0.2, 0.5, and perhaps 1.0. Try some negative values. You will find that there is a range where the peak overshoot is reduced slightly, but keep going and the response starts to ring. Push Kd far enough, and the derivative term becomes part of the problem rather than part of the cure. The graphs autoscale, so sometimes what looks like a peak the same size (or even bigger) is really smaller than the previous result. Be sure to read the numbers.

That’s the basic PID balancing act. P reacts to the error that exists now. I reacts to error that has existed for a while. D reacts to where the error appears to be heading. Put all three together, and you have a controller that may respond strongly, eliminate steady-state error, and anticipate rapid changes. However, sometimes you are better off with, for example, just PI or even just pure proportional control. Having the algorithm in a spreadsheet form is a nice way to experiment, especially if you can model the system’s behavior.

It’s Only a Spreadsheet


You can add your own models by modifying USR_PROCESS to call your function or just modify one of the existing ones. DEF_PROCESS is just a simple lag model. USR_PROCESS0 has some random noise, while USR_PROCESS1 lets you inject a disturbance in the USER1 column. USR_PROCESS2 is like USR_PROCESS1 but has a second-order process in the USER2 column as well. Of course, real control systems are messier than these nice models.

The output may have hard limits. In fact, the spreadsheet includes minimum and maximum output clamps. This exposes another classic PID problem: integral windup. If the controller desperately requests an output of 150 but the actuator can only deliver 100, the integral can continue accumulating error even though the actuator cannot respond. When the error finally reverses, all of that stored integral has to unwind. Practical controllers frequently include anti-windup schemes to deal with this. In practical terms, imagine a thermistor gets unplugged, and the system suddenly thinks there is a giant temperature error. It will try to correct it, but it can’t. Then someone plugs the sensor back in. All the accumulated error in the integral term now has to be backed off.

Derivative action causes its own problems. The spreadsheet calculates derivative from the error, which means suddenly changing the setpoint produces a large derivative pulse — the notorious derivative kick. Real controllers often calculate derivative from the process value instead.

Of course, real measurements also contain noise. Differentiation is very good at making high-frequency noise more prominent, so the D term is commonly filtered. We aren’t doing any of those sophisticated things here, and that’s intentional. The point of the sheet is that every number is visible and to make it easy to experiment.

Change a setpoint in the middle of the Setpoint column, and you’ve generated a step input. Change one of the User columns, and you can inject a disturbance. Adjust Kp, Ki, or Kd, and you can immediately see which portions of the controller output changed and why.

To add your own models, modify USR_PROCESS and add a custom function to the SWITCH statement. Then create your custom function. If you need to grab data from the spreadsheet, you’ll see examples of using ROW() and INDIRECT() to get the right numbers. It is fairly straightforward to add motors, thermal systems, second-order plants, dead time, nonlinearities, or whatever other pathological system you’d like to inflict on your controller.

The most important lesson about PID control? There isn’t a magic set of Kp, Ki, and Kd values. A set of gains that works beautifully on one plant may be terrible on another. Change the mass, thermal capacity, load, delay, sample rate, actuator limits, or sensor characteristics and the optimum controller changes with it. Not every control job needs all three terms.

The equations fit comfortably into a few spreadsheet cells. The interesting part is figuring out what numbers to put in them.

Most of our spreadsheet hijinks center around DSP. Except for the ones that simulate computers.


hackaday.com/2026/08/06/calcul…

#1
Cybersecurity & cyberwarfare ha ricondiviso questo.

NEW: Connor Moucka, 26-year-old Canadian, pleaded guilty to hacking more than 165 companies, most of them customers of cloud provider giant Snowflake, including AT&T and Ticketmaster.

DOJ said Moucka made around $3 million from ransom payments and from selling personal data on hacking forums.

techcrunch.com/2026/08/06/hack…

Cybersecurity & cyberwarfare ha ricondiviso questo.

Exposed SISVISA Database Leaks 102,000 Brazilian Health Surveillance Records
securityaffairs.com/196766/dat…
#securityaffairs #hacking

Presentazione di Guerra Profonda a Lanciano


The media in this post is not displayed to visitors. To view it, please log in.

Il 14 settembre 2026, dalle ore 17:00, a Lanciano, si terrà la presentazione del libro di Arturo Di Corinto, “Guerra Profonda. Hacker, bugie e l’architettura segreta dei nuovi conflitti”.

Il libro Guerra Profonda, edito da Luiss University Press, sarà presentato e discusso dall’autore, Arturo Di Corinto con la partecipazione di relatori d’eccezione, tutti originari della cittadina teatina:

Arturo Di Corinto, giornalista

Nicola Grandis, Ceo ASC27, creatore dell’AI Vitruvian

Antonio Teti, Università di Chieti

introduce il Sindaco di Lanciano, Filippo Paolini

presenta la giornalista Mila Fiordalisi


dicorinto.it/tipologia/present…

Cybersecurity & cyberwarfare ha ricondiviso questo.

🚨 🏥 Hospital breach impacts 150.810 people

Attackers stole personal, financial and medical data from Madera Community Hospital during a two-day intrusion.
🔗 read more: www.securityweek.com...

#ransomNews #cybersecurity

150,000 Impacted by Madera Com...

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Partiamo dalla mia TL, che come sempre mette prima il Signor Baci e poi il lavoro e poi tutto il resto.

Casualità vuole che si parli di tanti dati su una singola app/wallet e il breach di un ospedale americano.

Dal punto di vista della cybersecurity, #ITWallet non è necessariamente meno sicuro dei documenti fisici: se implementato _correttamente_ (aspetta, fammelo riscrivere: CORRETTAMENTE) può addirittura offrire maggiori garanzie di autenticità.

Tuttavia... la concentrazione di un numero così elevato di credenziali e documenti digitali rende il sistema un'infrastruttura critica nazionale. La sicurezza non dipenderà tanto dall'app IO in sé, quanto dalla resilienza dell'intero ecosistema (infrastruttura, identità digitale, dispositivi degli utenti e procedure operative), perché UN singolo incidente potrebbe avere un impatto molto più esteso rispetto alla perdita di un singolo documento cartaceo.

I vantaggi, da un lato squisitamente #cybersecurity:

- riduzione delle frodi documentali: i documenti vengono verificati direttamente presso la fonte ufficiale, limitando copie false o documenti alterati
- minor circolazione di copie cartacee: diminuisce il rischio di smarrimento, duplicazione e utilizzo improprio dei documenti
- controllo crittografico dell'identità: il sistema si integra con l'ecosistema nazionale dell'identità digitale (CIE, App IO ed eIDAS 2) e introduce meccanismi di autenticazione più robusti rispetto alla semplice esibizione di un documento cartaceo (e qui, ecco la corsa all'invalidazione delle CIC - #siclife)

Vediamo ora le criticità:

- single Point of Failure: centralizzare centinaia di documenti in un'unica piattaforma significa che una compromissione potrebbe esporre contemporaneamente dati anagrafici, sanitari, scolastici, fiscali e lavorativi
- superficie d'attacco più ampia: ogni nuovo ente integrato e ogni nuova API rappresentano un possibile punto di ingresso per attaccanti
- attacchi agli account: il rischio principale potrebbe non essere l'infrastruttura centrale ma il furto delle credenziali dell'utente tramite phishing, malware o SIM swapping
- compromissione dello smartphone: se il dispositivo viene infettato o sbloccato da un attaccante, diventa il principale vettore di accesso ai documenti digitali
- privacy e profilazione (l'incubo di ): concentrando così tanti attributi digitali in un unico ecosistema, diventa fondamentale applicare il principio della minimizzazione dei dati e garantire che ogni servizio possa vedere solo le informazioni strettamente necessarie

Che l'idea sia bella, siamo d'accordo.
Che sia sicura un po' meno.
Che sia un successo in Italia.. per me è un NO. E nemmeno per la diffusione e l'impegno, proprio per la competenza ad minchiam che spesso svolazza intorno a progetti che hanno un senso all'inizio e che si perdono per strada, tra portafogli gonfi e braccialetti di Cartier.

reshared this

Guerra Profonda al Centro Studi Americani di Roma


The media in this post is not displayed to visitors. To view it, please log in.

Il 16 settembre 2026, dalle ore 17:00, si terrà la presentazione del libro di Arturo Di Corinto, “Guerra Profonda. Hacker, bugie e l’architettura segreta dei nuovi conflitti”.

Il libro Guerra Profonda, edito da Luiss University Press, sarà presentato e discusso con l’autore, Arturo Di Corinto in un panel di relatori d’eccezione:

Barbara Carfagna, giornalista Rai

Giampiero Massolo, Direttore esecutivo Mundy’s

Marco Ramilli, CEO identify

Luca Tagliaretti, direttore esecutivo ECCC


dicorinto.it/tipologia/present…

Cybersecurity & cyberwarfare ha ricondiviso questo.

Infoblox has entered an agreement to acquire Kentik

infoblox.com/blog/company/welc…

kentik.com/blog/kentik-is-join…

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

🧪 L'estrazione di terre rare in Myanmar è una scia di morte e distruzione

Acque avvelenate, foreste prive di fauna e terreni così tossici da non poter usufruire del raccolto: questo è il paesaggio lasciato dalle trivellazioni in Myanmar per l'estrazione delle terre rare pesanti - risorse sempre più richieste dal mercato tecnologico, da quello delle armi e dalle rinnovabili.

Il Myanmar è il primo fornitore mondiale di terre rare pesanti. Con una guerra civile che si potrae da 80 anni, una costellazione di gruppi armati e alti livelli di corruzione, il mercato rientra in un'ampia zona grigia dove non esistono registri pubblici e dove i siti di estrazione sono così protetti che in 10 anni solo una manciata di giornalistɜ è riuscita a scrivere qualcosa.

L'estrazione a livello industriale è iniziata attorno al 2017, con il coinvolgimento di aziende cinesi che estraggono le risorse per poi importarle nel proprio Paese e processarle. Fino al 2012 le estrazioni avvenivano direttamente in Cina; tuttavia, resasi conto dei gravi danni per l'ecosistema, ha altamente regolato l'industria, esternalizzando il lavoro in una nazione pressoché priva di regolamentazioni - il Myanmar, appunto. Realtà locali hanno accusato la Cina di usare prigionierɜ e vittime di tratte umane come schiavɜ, mentre chi lavora denuncia incidenti frequenti.

Si stima che 2/3 delle terre rare cinesi vengano dal Myanmar, seppur la fase di processazione rende impossibile tracciare esattamente da quali luoghi la materia prima è stata prelevata (e quindi un sollevamento dalle responsabilità). Nel frattempo il Myanmar, il quale mercato di terre rare permette di gudagnare miliardi di dollari l'anno, ha iniziato a strizzare l'occhio anche agli Stati Uniti, complicando ulteriormente l'equilibrio geopolitico di una regione già precaria.

A rimetterci, ancora una volta, è la popolazione. I miliardi finanziano ulteriori conflitti armati, il benessere e i diritti delle comunità locali sono ignorati, i casi di infertilità e disturbi dello sviluppo sono in aumento, i territori una volta prosciugati vengono lasciati così come sono e l'inquinamento è così elevato che l'analisi delle acque fluviali nella vicina Tailandia ha riportato contaminazione tossica da estrazione di terre rare.

restofworld.org/2026/myanmar-c…

#notizia #ecologia

@eticadigitale@feddit.it

Questa voce è stata modificata (2 giorni fa)
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Fake VS Code Extensions Quietly Siphoned Git and CI Secrets From Developers
#CyberSecurity
securebulletin.com/fake-vs-cod…
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Greatness Phishing Service Lets Attackers Slide Past MFA Into Microsoft 365 Inboxes
#CyberSecurity
securebulletin.com/greatness-p…
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

How Attackers Spent July Turning Microsoft, Zoom, and Government Sites Against Their Own Users
#CyberSecurity
securebulletin.com/how-attacke…
Cybersecurity & cyberwarfare ha ricondiviso questo.

The FBI has allegedly forged new cooperation partnerships with law enforcement agencies from China and Russia

-involved personnel exchanges with China
-joint US-China op in Dubai against scam compounds
-Patel will visit Russia in October to discuss more

reuters.com/world/china/under-…

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Cisco Rushes Fixes for Near-Maximum-Severity Flaws in Catalyst SD-WAN
#CyberSecurity
securebulletin.com/cisco-rushe…

Going Full Fruity with Apple’s 1999 High-End Power Mac G3


The media in this post is not displayed to visitors. To view it, please log in.

Back in the late 90s, Apple was definitely a pretty fruity company, with its aggressively translucent shades of colored plastic that often got described in terms of such fruit variants. Although the iMac steals a lot of the glory here, the Power Mac series and associated hardware deserves that spot in the limelight as well. Recently [Dan Wood] put together a full Power Mac G3-based setup, including the appropriate LCD monitor and other peripherals as someone with some serious disposable income back in 1999 might have owned.
Why Macs are better than PCs. (Credit: Dan Wood, YouTube)Why Macs are better than PCs. (Credit: Dan Wood, YouTube)
Part of Steve Jobs’ return to Apple, the Power Macintosh G3 debuted first in basically recycled beige enclosures from previous Macintosh systems before its second generation introduced the Blue and White version, as it was officially called. This dazzling style was carried through in the peripherals, with pin stripes, translucent plastic and a distinct absence of sharp corners or edges.

As for what you get in these colorful Power Mac G3s, a 300 to 450 MHz CPU, an official memory limit of 192 MB and perhaps the most user-friendly way to access the logic board to upgrade and install components with the folding lid. Something which had PC users with sharp edged cases and plentiful blood sacrifices to the PC gods somewhat steaming in jealousy.

For the time these Power Mac G3s didn’t just look fetching, they also were quite powerful. Something which came at a pretty hefty price tag, of course. The 400 MHz model that [Dan] got his paws on would have cost around $2,000 back in 1999, or closer to $4,000 clams today. The active-matrix TFT LCD screen would have been cutting edge as well, with a similar cutting edge price tag.

Released before OS X this system runs Mac OS 8.6, though it can run OS X 10.4 (Tiger) which unlocks more software options and of course the transition a proper multi-tasking OS. This particular system was apparently used for graphics design until 2010 based on the files on the HDD. As demonstrated in the video, the system is still quite usable, even in 2026, thanks to all the software available online.

youtube.com/embed/DS0IF1PxchM?…


hackaday.com/2026/08/06/going-…

Cybersecurity & cyberwarfare ha ricondiviso questo.

#Ransom #Cartel Leader Sentenced to 16 Years in U.S.
securityaffairs.com/196746/cyb…
#securityaffairs #hacking
Cybersecurity & cyberwarfare ha ricondiviso questo.

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

6/8/2026 - versione 0.8.12

Su about.openb.app/getting-starte… è disponibile l'installer rapido per la ver 0.8.12 di Openbook appena rilasciata.

Grazie a @skeyby ci sono una marea di FIX importanti e alcune novità introdotte, ovviamente su Github si trova il CHANGELOG.md completo, qui riporto le novità di versione:CHANGELOG.md completo, qui riporto le novità di versione:

  • Pulsante + in header/FAB: fuori dalla home apre un dialog con lo stesso
    composer della home (layout e opzioni identici); alla pubblicazione si
    va al dettaglio del post. In home resta lo scroll/focus sul composer
    inline.
  • Voce Copia link nel menu di ogni post: copia l'URL locale del post
    negli appunti.
  • Impostazione admin Mostra amministrazione sulla home: rende
    visibile o nasconde il blocco guest con amministratori e moderatori
    dell'istanza (default: visibile).
  • Pannello admin Database (/admin/database): dimensioni e righe
    eliminabili per tabelle operative (inbox grezzo, job falliti, cache,
    sessioni, token reset); pulizia singola o totale con retention di 24 ore
    (le voci inbox pending non vengono mai eliminate).
  • Pulizia database automatica in openbook:cron (openbook:purge-database):
    al massimo una volta ogni 24 ore, stessa retention del pannello admin.
Cybersecurity & cyberwarfare ha ricondiviso questo.

Dio perché...


The media in this post is not displayed to visitors. To view it, please log in.

Mi hanno mandato questa immagine che condivido, pur non conoscendone la fonte.

..intanto conto i minuti che mancano (-45') per poter andare a casa e chiamare mia mamma, che ci ha insegnato e spiegato Guccini già da bòcia, educandoci così ad essere piccoli eroi contro le ingiustizie.

Perché qui è tutto un: "ma chi era? Un cantante?" - "mica è quello dei comunisti?" - "va beh, 86 anni era vecchio.. Chissene..."


Non ce la posso fare!

in reply to Daniela

non è necessario "commentare", purtroppo c'è una parte di utenti dove l'ignoranza prevale.
Perché una sua canzone "Auschwitz" va ascoltata senza pregiudizi.
E non conoscono gli "Area" con l'album "Arbeit macht frei" che, pur riprendendo la famosa frase scritta all'ingresso del campo di concentramento di Auschwitz l'intero album non riguarda l'Olocausto ma varie tematiche diciamo sociali del periodo.

FitzRoy’s Glass: Victorian Weather Marvel or Glorified Thermometer?


The media in this post is not displayed to visitors. To view it, please log in.

Everyone talks about the weather. This is doubly true for sailors, where bad weather could mean a very bad day. So it isn’t surprising that navies around the world have had a keen interest in weather forecasting. But how did you predict the weather before modern instruments, radar, and satellite images? Vice Admiral Robert FitzRoy had great faith in “storm glasses,” a glass chamber containing some chemicals that he didn’t invent, but did document and promote heavily during the 1860s.

Did it work? Apparently not, but the device is still interesting in its own right. FitzRoy was a pioneer of meteorology, replacing folklore with actual observations and attempts at scientific rigor. While he did arm observation stations with conventional things like thermometers and barometers, he was also a proponent of the weather glass.

What is it?

A storm glass in action. Yep! It is cloudy.
The glass itself was a sealed glass vessel, often a tube, that contained a mixture of alcohol and water. In that mixture were camphor, saltpeter, and sal ammoniac.

The camphor will precipitate out or dissolve into the solvent, forming amazing crystal patterns. According to FitzRoy, the liquid will be clear if the weather is clear, and cloudy if it is cloudy outside. Different sizes of particulates indicate rain, snow, and other weather phenomena. FitzRoy thought the wind had “electrical tension” and that was responsible for the device’s ability to predict weather.

Scientific studies showed little correlation between the state of the glass and the weather. However, it is still a great conversation piece.

Despite the salts in the recipe, the spectacular crystals in a storm glass are primarily camphor. Camphor dissolves readily in alcohol but poorly in water, while potassium nitrate (saltpeter) and ammonium chloride (sal ammoniac) have roughly the opposite preference. The mixed alcohol-water solvent accommodates all three, but the camphor sits close enough to its solubility limit that temperature changes cause it to crystallize and redissolve. The salts appear to affect the form of the growing crystals, helping produce the elaborate dendritic structures that make the glass look so dramatic.

Maybe it Works?


FitzRoy was convinced the glass was effective. However, in 1863, Charles Tomlinson wrote in The Philosophical Magazine that the instrument was little more than a crude thermometer. This was later suggested in a 2008 article, as well.
Up close with the storm glass crystals.
Proponents of the glass will tell you that they need to be placed very carefully, out of climate-controlled areas. They also, apparently, say you have to initially heat the liquid until the crystals are totally dissolved. After a few weeks to adapt, they swear the Storm Glass is a perfectly good weather prediction system.

Despite their unreliable nature, the storm glass was a popular item, and you can even find them today, more as decor. But in 1863, you could find a variety of choices with and without thermometers attached, as you can see in the James J. Hicks catalog page.

Before the Glass

This 1863 catalog had a number of storm glasses available.
Of course, people were interested in the weather well before the late 19th century. Even FitzRoy admitted that the storm glass was at least 100 years old by his day. The game changer was the electric telegraph.

The telegraph allowed for widespread real-time observations. FitzRoy was a pioneer in that game, as was his mentor Sir Francis Beaufort, famous for developing the Wind Force Scale, sometimes known as the Beaufort scale. If you read his writings, he was, for the most part, on the right track for weather observations. But the storm glass that is most closely associated with his name wasn’t really the thing you wanted to be remembered for.

You can make your own storm glass, as you can see in [NightHawkInLight’s] video below. Maybe you can determine whether it really works. Or take your weather station into the modern era.

youtube.com/embed/3cWpo5BoahA?…

Featured image: Baromètre de Fitroy ou ou verre-de-tempêtes by [Anja]


hackaday.com/2026/08/06/fitzro…

Cybersecurity & cyberwarfare ha ricondiviso questo.

A cyberattack has disrupted operations at three ports in the US state of North Carolina

-Wilmington
-Morehead City
-Charlotte

wect.com/2026/08/05/cyberattac…

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Circuito di pagamento e carte: le differenze che nessuno conosce

📌 Link all'articolo : redhotcyber.com/post/circuito-…

Giovanni Pollola

#redhotcyber #cybersecurity #cybercrime #hacking #cti #ai #privacy #news #technology

reshared this