Ground-source heat pump systems are one of the most efficient ways to do climate control, but digging the wells can be prohibitively expensive for the individual citizen. What if you could do it at a larger scale?

Starting with a pilot to serve 37 commercial and residential buildings in Framingham, MA, Eversource is using its experience with natural gas drilling and pipe to serve up a lower carbon way to heat and cool this neighborhood. While district heating via geothermal has precedents elsewhere in the country, Boise is a notable example, it has remained a somewhat niche technology. Once networked, excess heat from one location can be used elsewhere in the system, like data centers or industrial facilities being used to heat homes in the winter.

As gas utilities look to transition away from fossil fuels, their existing knowledge base is a perfect fit for geothermal, but there are some regulatory hurdles. Six states have passed laws allowing natural gas utilities to expand beyond just gas, and bills have been filed in six more. This will likely accelerate with the formation of the Utility Networked Geothermal Collaborative which includes many utilities including giants like Dominion Energy who are looking to expand their energy portfolios.

If you want to dig more into district heating systems or geothermal energy, we’ve covered cogeneration from power plants to serve up the heat instead, doing it with wind, or even using old coal mines for geothermal heat.

hackaday.com/2025/02/26/distri…

[Nicholas LaBonte] shows off a Cyberdeck Handheld that demonstrates just how good something can look when care and attention goes into the design and fabrication. He wanted to make something that blended cyberpunk and nautical aesthetics with a compact and elegant design, and we think he absolutely succeeded.

On the inside is a Raspberry Pi and an RTL-SDR. The back of the unit is machined from hardwood, and sports a bronze heat sink for the Raspberry Pi. The front has a prominent red PSP joystick for mouse input and a custom keyboard. The keyboard is especially interesting. On the inside it’s a custom PCB with tactile switches and a ATmega32U4 running QMK firmware — a popular choice for DIY keyboards — and presents to the host as a regular USB HID device.
The keys are on a single plate of little tabs, one for each key, that sits between the front panel and press on the tact switches inside.
How did he make those slick-looking keys? It’s actually a single plate that sits between the front panel and the switches themselves. [Nicholas] used a sheet of polymer with a faux-aluminum look to it and machined it down, leaving metal-looking keys with engraved symbols as tabs in a single panel. It looks really good, although [Nicholas] already has some ideas about improving it.

On the right side is the power button and charging port, and astute readers may spot that the power button is where a double-stack of USB ports would normally be on a Raspberry Pi 5. [Nicholas] removed the physical connectors, saving some space and connecting the USB ports internally to the keyboard and SDR.

As mentioned, [Nicholas] is already full of ideas for improvements. The bronze heat sink isn’t as effective as he’d like, the SDR could use some extra shielding, and the sounds the keyboard ends up making could use some work. Believe it or not, there’s still room to spare inside the unit and he’d maybe like to figure out a way to add a camera, GPS receiver, or maybe a 4G modem. We can’t wait! Get a good look for yourself in the video, embedded below.

youtube.com/embed/u8kYHgKKhjY?…

hackaday.com/2025/02/27/a-prec…

In the rush to always have the latest and greatest, it’s not uncommon that perfectly serviceable hardware ends up collecting dust in a drawer somewhere. If you’ve got an old Kindle laying around, you may be interested in this write-up from [Hemant] that shows a practical example of how the popular e-reader can be pushed into service as a weather dashboard.

The first step is to jailbreak the Kindle, providing the user with root access to the device. From there the Kindle Unified Application Launcher (KUAL) is installed along with USBNetwork which allows you to connect to the reader over SSH. With root access and a network connection, the real project of converting it to a weather dashboard begins. [Hemant] split the project into two parts here, a Node.js server that scrapes weather data from the internet and converts it into an image, and a client for the Kindle that receives this image for display.

The Kindle has a number of quirks and issues that [Hemant] covers as well, including handling image ghosting on the e-ink display as well as a problem where the device will hang if the Internet connection is lost. For those with jailbroken Kindles that want to put their devices back into useful service, this is an excellent guide for getting started and [Hemant] also provided all of the source code on the project’s GitHub page.

There has been a long tradition of using Kindles for things other than e-readers, and even devices with major hardware problems can still have useful life in them thanks to this project which allows the e-ink display to have a second life on its own.

hackaday.com/2025/02/27/shelve…

QR codes have been with us for a long time now, and after passing through their Gardenesque hype cycle of inappropriate usage, have now settled down to be an important and ubiquitous part of life. If you have ever made a QR code you’ll know all about trying to generate the most compact and easily-scannable one you can, and for that [Terence Eden] is here with an interesting quirk. Upper-case text produces smaller codes than lower-case.

His post takes us on a journey into the encoding of QR codes, not in terms of their optical pattern generation, but instead the bit stream they contain. There are different modes to denote different types of payload, and in his two examples of the same URL in upper- and lower- cases, the modes are different. Upper-case is encoded as alphanumeric, while lower-case, seemingly though also containing alphanumeric information, is encoded as bytes.

To understand why, it’s necessary to consider the QR codes’ need for efficiency, which led its designers to reduce their character set as far as possible and only define uppercase letters in their alphanumeric set. The upper-case payload is thus encoded using less bits per character than the lower-case one, which is encoded as 8-bit bytes. A satisfying explanation for a puzzle in plain sight.

Hungry for more QR hackery? This one contains more than one payload!

hackaday.com/2025/02/26/shout-…

Terence Eden’s Blog

2025-02-23 12:34:37

Why are QR Codes with capital letters smaller than QR codes with lower-case letters?

shkspr.mobi/blog/2025/02/why-a…

Take a look at these two QR codes. Scan them if you like, I promise there's nothing dodgy in them.

---

---

Left is upper-case HTTPS://EDENT.TEL/ and right is lower-case https://edent.tel/

You can clearly see that the one on the left is a "smaller" QR as it has fewer bits of data in it. Both go to the same URl, the only difference is the casing.

What's going on?

Your first thought might be that there's a different level of error-correction. QR codes can have increasing levels of redundancy in order to make sure they can be scanned when damaged. But, in this case, they both have Low error correction.

The smaller code is "Type 1" - it is 21px * 21px. The larger is "Type 2" with 25px * 25px.

The official specification describes the versions in more details. The smaller code should be able to hold 25 alphanumeric character. But https://edent.tel/ is only 18 characters long. So why is it bumped into a larger code?

Using a decoder like ZXING it is possible to see the raw bytes of each code.

UPPER

20 93 1a a6 54 63 dd 28 35 1b 50 e9 3b dc 00 ec11 ec 11
lower:

41 26 87 47 47 07 33 a2 f2 f6 56 46 56 e7 42 e746 56 c2 f0 ec 11 ec 11 ec 11 ec 11 ec 11 ec 11ec 11
You might have noticed that they both end with the same sequence: ec 11 Those are "padding bytes" because the data needs to completely fill the QR code. But - hang on! - not only does the UPPER one safely contain the text, it also has some spare padding?

The answer lies in the first couple of bytes.

Once the raw bytes have been read, a QR scanner needs to know exactly what sort of code it is dealing with. The first four bits tell it the mode. Let's convert the hex to binary and then split after the first four bits:

Type	HEX	BIN	Split
UPPER	20 93	00100000 10010011	0010 000010010011
lower	41 26	01000001 00100110	0100 000100100110

The UPPER code is 0010 which indicates it is Alphanumeric - the standard says the next 9 bits show the length of data.

The lower code is 0100 which indicates it is Byte mode - the standard says the next 8 bits show the length of data.

Type	HEX	BIN	Split
UPPER	20 93	00100000 10010011	0010 0000 10010
lower	41 26	01000001 00100110	0100 000 10010

Look at that! They both have a length of 10010 which, converted to binary, is 18 - the exact length of the text.

Alphanumeric users 11 bits for every two characters, Byte mode uses (you guessed it!) 8 bits per single character.

But why is the lower-case code pushed into Byte mode? Isn't it using letters and number?

Well, yes. But in order to store data efficiently, Alphanumeric mode only has a limited subset of characters available. Upper-case letters, and a handful of punctuation symbols: space $ % * + - . / :

Luckily, that's enough for a protocol, domain, and path. Sadly, no GET parameters.

So, there you have it. If you want the smallest possible physical size for a QR code which contains a URl, make sure the text is all in capital letters.

#qr #QRCodes

Table of Alphanumeric Values

When creating a QR code with alphanumeric mode, you need to know the alphanumeric values of the characters that you are encoding. See this table for reference.

^Thonky.com

Negli ultimi mesi, il gruppo di hacker cinese conosciuto come Salt Typhoon ha continuato a far parlare di sé grazie alle sue tattiche aggressive e persistenti nel settore della cybersicurezza.

Nonostante le sanzioni imposte dagli Stati Uniti e un’attenta sorveglianza governativa, Salt Typhoon ha dimostrato di non rallentare le proprie attività, continuando a lanciare attacchi coordinati contro istituzioni educative e infrastrutture critiche a livello globale.

Salt Typhoon (RedMike): Una Minaccia Globale

Recenti rapporti indicano che il gruppo ha mirato a diversi fornitori di telecomunicazioni e università in vari paesi, principalmente Stati Uniti, Regno Unito, Sudafrica. Queste incursioni hanno permesso agli hacker di compromettere dispositivi cruciali, estraendo informazioni sensibili come dati scientifici e tecnologia proprietaria.

Da quanto viene riportato dalle dashboard della piattaforma di intelligence di Recorded Future (Partner strategico di Red Hot Cyber), gli attacchi hanno iniziato ad aumentare in modo sensibile da febbraio di questo anni con dei picchi nelle date del 13 e del 21 di questo mese.
Trend degli attacchi di Salt Typhoon, informazioni prelevate dalla piattaforma di Recorded Future, partner tecnologico di Red Hot Cyber sulla Cyber Threat Intelligence

Lo sfruttamento delle CVE di CISCO IOS XE

Dall’inizio di dicembre 2024, Salt Typhoon (RedMike) ha tentato di sfruttare oltre 1.000 dispositivi di rete Cisco esposti su Internet in tutto il mondo, principalmente quelli associati ai provider di telecomunicazioni, utilizzando una combinazione di due vulnerabilità di escalation dei privilegi: CVE-2023-20198 e CVE-2023-20273. Una volta compromesso con successo, il gruppo utilizza il nuovo account utente privilegiato per modificare la configurazione del dispositivo e aggiunge un tunnel GRE per l’accesso persistente e l’esfiltrazione dei dati.

La vulnerabilità di escalation dei privilegi CVE-2023-20198 è stata trovata nella funzionalità Web UI del software Cisco IOS XE, versione 16 e precedenti, e pubblicata da Cisco nell’ottobre 2023. Gli aggressori sfruttano questa vulnerabilità per ottenere l’accesso iniziale al dispositivo ed emettono un comando privilege 15 per creare un utente locale e una password. In seguito, l’aggressore utilizza il nuovo account locale per accedere al dispositivo e sfrutta una vulnerabilità di escalation dei privilegi associata, CVE-2023-20273, per ottenere i privilegi di utente root.
Distribuzione geografica dei dispositivi CISCO sfruttati da Red Mike (Salt Typhoone) (Fonte Recorded Future)
Oltre la metà dei dispositivi Cisco presi di mira da RedMike si trovavano negli Stati Uniti, in Sud America e in India. I dispositivi rimanenti si estendevano su oltre 100 altri paesi. Sebbene i dispositivi selezionati siano principalmente associati a provider di telecomunicazioni, tredici erano collegati a università in Argentina, Bangladesh, Indonesia, Malesia, Messico, Paesi Bassi, Thailandia, Stati Uniti e Vietnam.

Tale comportamento mette in evidenza la minaccia continua rappresentata dagli attori sponsorizzati dagli stati e la loro capacità di compromettere la sicurezza nazionale. Particolarmente preoccupante è la strategia di Salt Typhoon di sfruttare vulnerabilità nei dispositivi Cisco.

Gli obiettivi di Salt Typhoon (RedMike)

La Cina ha sviluppato un’ampia rete di operazioni di spionaggio informatico mirate a istituzioni accademiche, aziende e governi stranieri, con l’obiettivo di ottenere vantaggi strategici in settori chiave come l’intelligenza artificiale, la crittografia e la tecnologia quantistica. Gruppi di hacker sponsorizzati dallo Stato, come Brass Typhoon APT41 e Violet Typhoon APT31, sono stati collegati a campagne di attacco sofisticate che sfruttano vulnerabilità nei sistemi informatici di università e centri di ricerca per esfiltrare dati sensibili. Queste operazioni non si limitano al cyberspazio, ma coinvolgono anche il reclutamento di ricercatori e studenti stranieri attraverso programmi di scambio accademico e collaborazioni scientifiche, che spesso fungono da copertura per il trasferimento illecito di conoscenze.

Parallelamente, il governo cinese utilizza società di copertura e joint venture con istituzioni occidentali per acquisire tecnologie emergenti senza destare sospetti. Attraverso iniziative come il programma “Thousand Talents”, Pechino ha incentivato il rientro di scienziati e ingegneri cinesi dall’estero, spesso con informazioni e brevetti ottenuti illegalmente.

Inoltre, le cyber-operazioni cinesi hanno preso di mira fornitori di infrastrutture critiche, tra cui aziende di telecomunicazioni e contractor della difesa, con l’intento di compromettere la sicurezza delle comunicazioni e raccogliere dati di intelligence strategici. Queste attività, sempre più sofisticate, come quelle di Salt Typhoon (RedMike), hanno portato a crescenti tensioni tra la Cina e le potenze occidentali, con sanzioni e misure di ritorsione da parte di Stati Uniti ed Europa per contrastare l’aggressiva espansione dello spionaggio informatico cinese.

Gli attacchi di Febbraio 2025

Il 15 febbraio 2025, Salt Typhoon ha sferrato moltissimi attacchi che hanno colpito 13 università e cinque fornitori di servizi Internet, inclusi quelli in Italia. Queste aggressioni segnano un notevole incremento della campagna di Salt Typhoon, considerata una delle più grandi operazioni di cyber-spionaggio condotte dalla Cina contro gli Stati Uniti. Le conseguenze di questi attacchi non si limitano a violazioni immediate dei dati, ma pongono interrogativi sugli impatti a lungo termine sulla ricerca accademica e sull’innovazione tecnologica.

E’ stata violata con successo un’affiliata statunitense di una società di telecomunicazioni del Regno Unito, vari provider di servizi Internet (ISP) e 13 università, tra cui importanti istituzioni come l’UCLA. Nel corso del mese di febbraio, Cisco ha confermato che questa falla è stata utilizzata per colpire le reti di telecomunicazione statunitensi, dimostrando la persistenza del gruppo nell’utilizzare sia le vulnerabilità consolidate che quelle più recenti per mantenere l’accesso ai sistemi compromessi.

Gli attacchi non si sono limitati agli Stati Uniti, ma si sono estesi anche a entità internazionali, tra cui ISP in Italia, Sudafrica e Thailandia. L’ampiezza di questi attacchi ha destato notevoli preoccupazioni per quanto riguarda la sicurezza dei dati sensibili e l’integrità delle infrastrutture di telecomunicazione su scala globale.

In generale le attività malevole di Salt Typhoon (Red Mike) hanno sfruttato le vulnerabilità identificate come CVE-2023-20198 e CVE-2023-20273, che hanno facilitato l’accesso non autorizzato ai router Cisco IOS XE. Ciò ha permesso agli aggressori di manipolare i dispositivi di rete e potenzialmente di esfiltrare dati sensibili.

Malware utilizzato da Salt Typhoon per compromettere le reti

Salt Typhoon (RedMike) dopo aver avuto accesso e compromesso i router CISCO, impiega una serie di sofisticati malware per infiltrarsi e compromettere le reti in vari settori.

MASOL RAT

Uno degli strumenti principali del loro arsenale è una versione personalizzata del MASOL RAT (Remote Access Trojan),che consente agli aggressori di ottenere il controllo remoto dei sistemi infetti.

Questo malware è particolarmente efficace nell’esfiltrazione di dati sensibili, nel monitoraggio delle attività degli utenti e nell’esecuzione di comandi sulle macchine compromesse. L’uso del MASOL RAT evidenzia l’attenzione strategica di Salt Typhoon per la furtività e la persistenza, che gli consentono di mantenere l’accesso a lungo termine alle reti mirate senza essere individuati.

MASOL RAT, tracciato da TrendMicro dal 2020 può essere utilizzato per prendere di mira entità governative del sud-est asiatico. In base alla stringa PDB della backdoor (E:\Masol_https190228\x64\Release\Masol.pdb), si ritiene che il Remote Access Trojan possa essere stata sviluppato già nel 2019. E’ stata osservata anche una nuova variante Linux in circolazione dopo il 2021.
La configurazione del malware MASOL RAT estratta (Fonte TrendMicro)

JumbledPath

In un rapporto pubblicato da Cisco Talos il 20 febbraio, i ricercatori hanno confermato che Salt Typhoon ha ottenuto l’accesso all’infrastruttura di rete principale tramite dispositivi Cisco e ha poi utilizzato tale infrastruttura per raccogliere una serie di informazioni.
Panoramica sulla gestione dei dati JumbledPath (Fonte Cisco Talos)
L’approccio di Salt Typhoon per ottenere l’accesso iniziale ai dispositivi Cisco è quello di ottenere le credenziali di accesso legittime della vittima utilizzando tecniche LOTL (Living-off-the-Land) sui dispositivi di rete.

Salt Typhoon (RedMike) ha utilizzato un’utilità personalizzata, denominata JumbledPath, che gli ha consentito di eseguire un’acquisizione di pacchetti su un dispositivo Cisco remoto tramite un jump-host definito dall’attore. Questo strumento ha anche tentato di cancellare i log e compromettere la registrazione lungo il jump-path e restituire l’acquisizione compressa e crittografata risultante tramite un’altra serie unica di connessioni o jump definiti dall’attore.

Ciò ha consentito all’attore della minaccia di creare una catena di connessioni ed eseguire l’acquisizione su un dispositivo remoto. L’utilizzo di questa utilità contribuirebbe a offuscare la fonte originale e la destinazione finale della richiesta e consentirebbe inoltre al suo operatore di muoversi attraverso dispositivi o infrastrutture potenzialmente altrimenti non raggiungibili pubblicamente (o instradabili).
Metodo di Salt Typhoon per Bypassare gli elenchi di controllo degli accessi (Fonte Cisco Talos)
Questa utility è stata scritta in GO e compilata come binario ELF usando un’architettura x86-64. La compilazione dell’utility usando questa architettura la rende ampiamente utilizzabile su sistemi operativi Linux, che includono anche una varietà di dispositivi di rete multi-vendor. Questa utility è stata trovata in istanze Guestshell configurate dall’attore su dispositivi Cisco Nexus.

L’autore della minaccia ha modificato ripetutamente l’indirizzo dell’interfaccia loopback su uno switch compromesso e ha utilizzato tale interfaccia come origine di connessioni SSH ad altri dispositivi all’interno dell’ambiente di destinazione, il che gli ha consentito di aggirare di fatto gli elenchi di controllo di accesso (ACL) in vigore su tali dispositivi.

Un tipico attacco di Salt Typhoon

Salt Typhoon (RedMike), spesso prevede un approccio multiforme che sfrutta vulnerabilità note in dispositivi di rete ampiamente utilizzati, in particolare quelli di Cisco.

Un altro comportamento degno di nota mostrato da Salt Typhoon consiste nello sfruttare le tecniche LOTL (Living-off-the-Land) sui dispositivi di rete, abusando dell’infrastruttura affidabile come punto di snodo per passare da una società di telecomunicazioni all’altra. Di seguito viene riportata l’infrastruttura di sfruttamento di Salt Typhoon:
Infrastruttura di sfruttamento del dispositivo di rete Cisco RedMike (Fonte: Recorded Future)

Ricognizione

Salt Typhoon inizia con un’ampia ricognizione per identificare i potenziali obiettivi all’interno delle infrastrutture critiche, come i fornitori di telecomunicazioni e le istituzioni scolastiche. Questa fase può comportare la scansione dei dispositivi vulnerabili, la raccolta di informazioni sulle configurazioni di rete e l’identificazione del personale chiave.
Tecniche, Tattiche e Procedure (TTPs) degli attacchi di Salt Typhoon, informazioni prelevate dalla piattaforma di Recorded Future, partner tecnologico di Red Hot Cyber sulla Cyber Threat Intelligence

Sfruttamento delle vulnerabilità

Il gruppo sfrutta spesso specifiche vulnerabilità nei dispositivi Cisco. Ad esempio, è noto che sfrutta vulnerabilità come CVE-2018-0171 e CVE-2023-20198. Queste vulnerabilità consentono agli aggressori di ottenere l’accesso non autorizzato ai dispositivi di rete inviando messaggi o comandi artigianali, provocando condizioni di denial-of-service o l’esecuzione di codice arbitrario.

Accesso iniziale e furto di credenziali

Una volta ottenuto l’accesso iniziale attraverso lo sfruttamento delle vulnerabilità, Salt Typhoon utilizza spesso malware come il MASOL RAT (come visto in precedenza) o kit di exploit personalizzati. Questi strumenti consentono agli aggressori di stabilire un punto d’appoggio all’interno della rete, di esfiltrare dati sensibili e di raccogliere credenziali legittime per ulteriori accessi. Il furto di credenziali è cruciale perché consente di aumentare il livello di accesso.

Come difendersi dagli attacchi di Salt Typhoon

Salt Typhoon (RedMike) ha tentato di sfruttare più di 1.000 dispositivi Cisco a livello globale. Il gruppo ha probabilmente compilato un elenco di dispositivi target in base alla loro associazione con le reti dei provider di telecomunicazioni. Insikt Group di Recorded Future ha anche osservato che RedMike stava prendendo di mira dispositivi associati a università in Argentina, Bangladesh, Indonesia, Malesia, Messico, Paesi Bassi, Thailandia, Stati Uniti (USA) e Vietnam.

Per proteggersi dagli attacchi di Salt Typhoon (RedMike), le organizzazioni devono implementare una strategia di cybersecurity completa che enfatizzi la gestione delle vulnerabilità, la sicurezza della rete e la formazione dei dipendenti. Ecco alcune misure chiave da considerare:

• Gestione delle patch: Aggiornare e applicare regolarmente le patch a tutto il software, in particolare ai dispositivi di rete come router e switch Cisco. Assicurarsi che le vulnerabilità note, come CVE-2018-0171, CVE-2023-20198 e CVE-2023-20273, vengano affrontate tempestivamente.
• Segmentazione della rete: Implementare la segmentazione della rete per limitare gli spostamenti laterali all’interno della rete. Ciò rende più difficile per gli aggressori accedere ai sistemi critici se riescono a compromettere una parte meno sicura della rete.
• Controlli di accesso: Applicare controlli di accesso rigorosi e il principio del minimo privilegio. Assicurarsi che gli utenti abbiano solo l’accesso necessario per i loro ruoli e rivedere e aggiornare regolarmente queste autorizzazioni.
• Autenticazione a più fattori (MFA): Abilitare l’autenticazione a più fattori per l’accesso a sistemi e applicazioni sensibili per aggiungere un ulteriore livello di sicurezza contro il furto di credenziali.
• Monitoraggio e rilevamento: Implementare solidi sistemi di monitoraggio e di rilevamento delle intrusioni per identificare attività insolite e potenziali violazioni. [Esaminare regolarmente i registri e gli avvisi di sicurezza per individuare eventuali segnali di comportamento sospetto.
• Piano di risposta agli incidenti: Sviluppare e aggiornare regolarmente un piano di risposta agli incidenti che delinei le procedure di risposta agli incidenti di cybersecurity. [6]

Conclusioni

Salt Typhoon è salito alla ribalta a causa della sua recente infiltrazione nell’infrastruttura delle telecomunicazioni commerciali. I senatori statunitensi hanno definito l’attacco “strabiliante”, affermando che dovrebbe fungere da “campanello d’allarme” per le aziende che si ritiene siano state violate, tra cui AT&T, Verizon e Lumen.

RedMike ha probabilmente preso di mira queste università per accedere alla ricerca in aree correlate a telecomunicazioni, ingegneria e tecnologia, in particolare presso istituzioni come UCLA e TU Delft. Oltre a questa attività, a metà dicembre 2024, RedMike ha anche eseguito una ricognizione di più indirizzi IP di proprietà di un provider di telecomunicazioni con sede in Myanmar, Mytel.

La continua esposizione di vulnerabilità nei dispositivi Cisco ha portato a una crescente preoccupazione tra i fornitori di servizi e le istituzioni, costringendoli a rivedere le loro strategie di sicurezza. È diventato evidente che la protezione delle reti e dei dati è di fondamentale importanza per preservare non solo la sicurezza nazionale, ma anche la fiducia del pubblico nei sistemi digitali.

Di fronte a queste minacce in evoluzione, esperti del settore e professionisti della cybersicurezza sottolineano l’importanza di misure di sicurezza robuste e difese proattive. È necessario che le organizzazioni conducano approfondite valutazioni delle loro reti, focalizzandosi in particolare sulle vulnerabilità all’interno dei dispositivi Cisco. La situazione attuale serve da monito sulla necessità di una vigilanza continua contro avversari sofisticati come Salt Typhoon e i suoi affiliati.

Mentre il gruppo continua a lanciare attacchi mirati contro infrastrutture critiche e istituzioni educative, è fondamentale che le organizzazioni di tutto il mondo migliorino le loro posture di sicurezza e collaborino per condividere informazioni, riducendo i rischi posti da tali minacce informatiche. La battaglia contro il cyber spionaggio è tutt’altro che finita, e solo attraverso uno sforzo collettivo la comunità internazionale può sperare di salvaguardare le proprie frontiere digitali.

Questo articolo è stato redatto attraverso l’utilizzo della piattaforma di Recorded Future, partner strategico di Red Hot Cyber e Leader Mondiale nell’intelligence sulle minacce informatiche, che fornisce analisi avanzate per identificare e contrastare le attività malevole nel cyberspazio.

L'articolo Salt Typhoon (RedMike): La Cyber Minaccia Cinese che Sta Scuotendo il Mondo proviene da il blog della sicurezza informatica.

Le funzionalità della nuova soluzione potenziano la gestione proattiva del rischio, il threat modeling, la previsione del percorso di attacco e mettono a disposizione insight concreti e utilizzabili.

Trend Micro, leader globale di cybersecurity trasforma il modo in cui le aziende affrontano il rischio informatico e presenta un rivoluzionario agente AI: Trend Cybertron, il primo modello LLM (Large Language Model) progettato appositamente per la cybersecurity e ideato per ottenere risultati di sicurezza proattivi. Grazie a una valutazione più precisa dei rischi a livello locale e alla intelligence globale sulle minacce più accurata del settore, il nuovo motore di intelligenza artificiale prevede e previene le minacce sull’intera superficie di attacco di un’organizzazione, in qualsiasi ambiente.

“Trend sta creando un agente AI di cybersecurity diverso da qualsiasi altro. Abbiamo raccolto un’enorme quantità di dati ad alta affidabilità da tutto il settore, per potenziare le nostre capacità e rendere più semplice che mai la gestione proattiva del rischio informatico. I nostri clienti e partner stanno già beneficiando della riduzione dei costi operativi e di un miglioramento della postura di sicurezza”. Afferma Eva Chen, CEO di Trend Micro.

Trend Cybertron è più che un semplice LLM autonomo, è un nuovo approccio all’AI per la cybersecurity che sfrutterà tutte le tecnologie principali di Trend Vision One™ – dati sulle minacce, analisi, motori e altro ancora – per fornire una soluzione veramente completa per l’intera sicurezza di un’organizzazione.

In tutto il mondo le organizzazioni affrontano sfide di sicurezza sempre più complesse. Comprendere le superfici di attacco, gestire architetture tecnologiche a silos, rispondere alle minacce, amministrare il sovraccarico di alert e integrare l’intelligenza artificiale sono tutti fattori che opprimono e affaticano i team di cybersecurity.

Trend Cybertron sfrutta sia i dati dai suoi archivi storici sia i dati in tempo reale da tutto il mondo per:

• Accelerare i risultati in termini di sicurezza anticipando le esigenze e prevedendo i rischi
• Ridurre il sovraccarico degli alert, aumentando la precisione nella definizione delle priorità e prevenendo l’affaticamento dei team di security
• Beneficiare di un maggiore valore e di informazioni più approfondite dai sensori di rischio già esistenti

Perfettamente integrata nella piattaforma di punta Trend Vision One™, Trend Cybertron è ora disponibile per i clienti in tutto il mondo.

Questo approccio alla sicurezza proattivo leader del settore consente ai team IT di anticipare e prevedere l’attività di rischio e di minaccia con estrema precisione sull’intera superficie di attacco. Questo permette di anticipare le violazioni e mitigare i rischi prima che abbiano la possibilità di materializzarsi.

“Ammettiamolo. Da qualche tempo ormai la sicurezza informatica è incentrata sul rilevamento, mentre la prevenzione è semplicemente poco alla moda. Trend sta cercando di cambiare la narrativa del mercato: non è necessario rilevare un attacco se non avviene mai. Sfruttando l’intelligenza artificiale e combinandola con la gestione dell’esposizione al rischio informatico, Trend consente alle organizzazioni di vedere le minacce dal punto di vista di un attaccante e contrastarle prima che il rischio diventi realtà. Questo genera un enorme ROI per i team di sicurezza oberati di lavoro. Nel 2025, Trend promette di rendere nuovamente alla moda la prevenzione proattiva”. Dichiara Frank Dickson, Group Vice President, Security & Trust at IDC.

Trend Cybertron sarà addestrato su una base dati senza precedenti di intelligence e competenze AI, che include:

• L’intelligence sulle minacce di Trend, alimentata da oltre 250 milioni di sensori che proteggono più di 82 milioni di risorse presso 500.000 aziende in 175 Paesi. È la più ampia del settore e nel 2023 ha bloccato 160 miliardi di minacce
• Il machine learning, che consente la classificazione dei dati, l’individuazione delle vulnerabilità e il rilevamento di deepfake, tecniche di phishing, malware, movimenti laterali, anomalie degli utenti e truffe
• Decenni di conoscenza di oltre 3.000 esperti di sicurezza, con all’attivo più di 700 brevetti nella cybersecurity
• Oltre 20 anni di ricerca su vulnerabilità avanzate e zero-day della Trend Micro Zero Day Initiative™, che protegge i clienti con una media di 70 giorni di anticipo rispetto ai competitor, nel momento in cui viene scoperta una vulnerabilità

Il risultato è un sistema altamente resiliente e in rapida evoluzione in grado di eseguire in modo indipendente attività di gestione del rischio e prendere decisioni per anticipare, comprendere e mitigare, ogni mese, miliardi di minacce informatiche in tutto il mondo. Questo permette alle aziende di prendere decisioni informate sulla sicurezza e di gestire la propria postura di sicurezza informatica, la privacy dei dati e la conformità.

“Trend Cybertron combina l’intelligenza artificiale avanzata con decenni di intelligenza umana, per questo rappresenta un cambio di paradigma nella sicurezza informatica e fornisce una sicurezza veramente proattiva. Sfruttando la nostra storica intelligence globale e quella in tempo reale, insieme a una visibilità completa su ogni superficie di attacco, consentiamo alle aziende di prevedere e prevenire le minacce, ridurre i rischi e creare un futuro più resiliente”. Commenta Rachel Jin, Chief Enterprise Platform Officer at Trend.

Trend Cybertron ridefinisce gli standard del mercato in aree chiave come:

• AI per la Security: Trend abbatte gli storici silos di sicurezza attraverso la connessione completa di tutte le informazioni disponibili, per creare una visione completa di sicurezza, intelligence e dati.

Grazie alla possibilità di accedere in modo sicuro ai dati da tutti i livelli, i team di sicurezza possono prendere decisioni informate con una profondità di comprensione che supera qualsiasi piattaforma di sicurezza informatica precedente. Il rischio di violazione dei dati è ridotto in media del 17%. Questo permette un risparmio di milioni di euro all’anno in rischi potenziali

• Security per l’AI: La rapida espansione dell’intelligenza artificiale ha sollevato preoccupazioni anche per la sicurezza dei dati. Un numero crescente di imprese e governi in tutto il mondo sta addestrando LLM proprietari per ridurre i rischi associati. Trend rende più sicuro e semplice che mai, per le organizzazioni di ogni dimensione e settore, proteggere i dati per l’addestramento, prevenire il disallineamento e fermare gli attacchi informatici contro i modelli di AI

• Insight concreti e utilizzabili: Grazie a una telemetria completa su endpoint, cloud, reti, e-mail, identità, AI e dati, Trend abilita previsioni in tempo reale e simula l’impatto e la probabilità di migliaia di potenziali percorsi di attacco. La piattaforma, inoltre, apprende e si adatta all’ambiente unico di ogni azienda per individuare e affrontare nuove vulnerabilità e vettori di attacco. La visibilità completa e la definizione automatica delle priorità forniscono alle organizzazioni una mitigazione rapida ed efficace 24 ore su 24, 7 giorni su 7

• Semplificazione dei workflow: Il nuovo modello di intelligenza artificiale è progettato per migliorare la piattaforma di punta di Trend e garantisce che le organizzazioni, in qualsiasi fase del loro percorso di cybersecurity, possano integrare perfettamente questa tecnologia con il loro stack di sicurezza esistente. I team di sicurezza beneficiano di workload ridotti e di una migliore accessibilità a tutti i livelli di competenza

• Rafforzare la leadership: Trend Vision One™ supera le altre piattaforme di sicurezza informatica e consente ai leader di cybersecurity di cambiare ruolo, da difensori reattivi ad abilitatori proattivi di business. Trasformando la sicurezza da un centro di costo a motore di innovazione, Trend consente ai leader di comunicare in modo efficace il rischio informatico in un contesto di business risk, garantendo sia la protezione operativa sia la crescita futura. Una ricerca Trend Micro ha dimostrato che questo è un problema critico per molte organizzazioni in tutto il mondo

La potenza dell’intelligenza artificiale si basa sull’efficacia dei dati su cui è addestrata e sulle capacità degli esperti che la costruiscono. Il team globale di specialisti di sicurezza e di intelligenza artificiale di Trend ha collaborato a Ottawa, in Canada, per perfezionare ogni fase di sviluppo, assicurando che il nuovo agente AI sia in grado di offrire la sicurezza proattiva più efficace.

Gli analisti del settore riconoscono che Trend è leader in categorie critiche di sicurezza, come protezione degli endpoint, gestione delle superfici di attacco, piattaforme per la protezione di applicazioni cloud native, analisi e visibilità della rete, rilevamento e risposta della rete e altro ancora. Trend è anche un pioniere nell’implementazione dell’intelligenza artificiale nell’ambito della cybersecurity, con entrate annuali ricorrenti che provengono da tecnologie di AI che hanno superato i 200 milioni di dollari alla fine del terzo trimestre del 2024.

Trend Cybertron combina le capacità di ragionamento dell’AI agentica con 35 anni di dati, informazioni sulle minacce e competenze umane, per creare un agente di sicurezza informatica estremamente capace.

L'articolo Trend Micro presenta Cybertron: la prima soluzione AI per la sicurezza proattiva proviene da il blog della sicurezza informatica.

Gli hacker cinesi hanno avuto accesso al sistema di posta elettronica del Comitato nazionale repubblicano per mesi prima che l’intrusione venisse scoperta. Il Wall Street Journal ha riferito che all’inizio di luglio 2024 Microsoft aveva avvisato i repubblicani di un attacco informatico avvenuto poco prima della convention nazionale del partito.

Gli esperti ipotizzano che le spie cercassero informazioni su come i repubblicani, una volta tornati al potere, avrebbero gestito la questione di Taiwan. A quanto pare, nei documenti del partito non c’è alcun accenno all’isola, cosa che avrebbe potuto interessare l’intelligence cinese. Nella precedente piattaforma del 2016, il Partito Repubblicano sosteneva un accordo di libero scambio con Taiwan, ma nella nuova versione questo punto mancava.

Secondo il WSJ, i politici hanno saputo dell’attacco solo pochi giorni prima dei tentativi di assassinio di Donald Trump , ma non venne contattata l’FBI a causa delle preoccupazioni circa la fuga di informazioni alla stampa. Nello stesso periodo, il governo degli Stati Uniti ha lanciato l’allarme sui possibili attacchi informatici cinesi alle infrastrutture critiche del Paese. La discussione verteva sull’introduzione di malware nei sistemi di approvvigionamento idrico, energetico e di comunicazione. Gli esperti ritengono che, in caso di conflitto su Taiwan, Pechino potrebbe attivare programmi dannosi, provocando il caos negli Stati Uniti.

Un mese prima, uno simile incidente è accaduto con le e-mail della campagna di Trump: gli hacker iraniani hanno rubato la corrispondenza e l’hanno fatta trapelare ai media.

L’FBI ha rifiutato di commentare la questione e i rappresentanti di Microsoft e del Partito Repubblicano non hanno ancora risposto alle richieste di commento. Non è ancora chiaro se questi attacchi siano collegati al gruppo Salt Typhoon, che precedentemente hackerato Le reti di telecomunicazioni americane avendo accesso a telefonate intercettate, messaggi di testo e altri dati sensibili.

Secondo le informazioni disponibili, tra le vittime dell’attacco potrebbero esserci Donald Trump e il suo vicepresidente J.D. Vance.

L'articolo Gli Hacker Cinesi erano nei Server dei Repubblicani Statunitensi per mesi proviene da il blog della sicurezza informatica.

L’aggregatore di fughe di dati Have I Been Pwned (HIBP) ha aggiunto al suo database più di 284 milioni di account rubati da infostealer e diffusi tramite Telegram. Il fondatore di HIBP, Troy Hunt, ha riferito di aver trovato 284.132.969 account compromessi analizzando 1,5 TB di registri di stealer, apparentemente raccolti da più fonti e pubblicati sul canale Telegram ALIEN TXTBASE.

“Questi registri contengono 23 miliardi di righe e 493 milioni di coppie sito web/email univoche, che interessano 284 milioni di indirizzi email univoci”, ha scritto Hunt in un post sul blog. “Abbiamo anche aggiunto 244 milioni di password mai viste prima al database Pwned Passwords e aggiornato i dati di altre 199 milioni di password che erano già presenti nel nostro database.”

Dato l’elevato numero di account in questo dump, si ritiene che la raccolta possa contenere credenziali vecchie e nuove rubate tramite attacchi di credential stuffing e varie fughe di dati. Prima di aggiungere le informazioni al database HIBP, Hunt ne ha verificato l’autenticità tentando di reimpostare le password di vari servizi utilizzando gli indirizzi e-mail presenti nel dump.

Ora, utilizzando le API appena aggiunte (che consentono di cercare 1.000 indirizzi e-mail al minuto e di cercare nei registri degli stealer), i proprietari di domini e gli operatori di siti che si abbonano a HIBP possono identificare i propri clienti le cui credenziali sono state rubate controllando i registri degli stealer più recenti per dominio e-mail o dominio del sito.

Anche gli utenti stessi potranno scoprire se i loro account sono stati trovati nei registri degli stealer di ALIEN TXTBASE, ma per questo dovranno abbonarsi alle notifiche di HIBP. “Questo mostrerà in quali siti sono state trovate le credenziali, ma solo se l’utente utilizza il servizio di notifica per verificare il proprio indirizzo email. “Non volevo rendere pubblica questa informazione perché avrebbe potuto rendere pubbliche informazioni sull’uso di servizi riservati”, spiega Hunt.

Ricordiamo che non è la prima volta che il database HIBP viene integrato con dati raccolti dai canali Telegram. Ad esempio, l’anno scorso, l’aggregatore di informazioni ha aggiunto un grosso dump al suo database contenente 361 milioni di indirizzi e-mail, nonché credenziali raccolte da numerosi canali Telegram di hacker, dove le informazioni rubate vengono spesso fornite gratuitamente agli abbonati come combo per aumentare la loro reputazione.

L'articolo Hai un account compromesso? 284 milioni di credenziali rubate aggiunte su HIBP! proviene da il blog della sicurezza informatica.

Google ha annunciato che intende eliminare gradualmente l’uso dei messaggi di testo SMS per l’autenticazione a più fattori in favore di metodi più sicuri. L’autenticazione a più fattori (MFA) tramite codici monouso e SMS è stata introdotta in Gmail nel febbraio 2011 e nel 2021 Google ha reso obbligatoria l’autenticazione a più fattori per la maggior parte dei suoi servizi.

Gli SMS nel contesto dell’MFA hanno perso da tempo la loro rilevanza a causa della loro intrinseca insicurezza. Va notato che il National Institute of Standards and Technology (NIST) aveva già lanciato l’allarme sui possibili rischi già dal 2016.

Negli ultimi nove anni la situazione non ha fatto che peggiorare, con un aumento dei casi di frode, scambio di SIM e persino vulnerabilità in SS7. Di conseguenza, lo scorso anno la CISA ha raccomandato ufficialmente di abbandonare l’autenticazione tramite SMS in favore di metodi più sicuri.

Come annunciato ora da Google, l’azienda ha deciso di eliminare gradualmente l’invio di password monouso tramite SMS. “Nei prossimi mesi riconsidereremo il modo in cui verifichiamo i numeri di telefono”, ha dichiarato ai media il portavoce per la privacy di Google, Ross Richendrfer. “In particolare, invece di inserire un numero e ricevere un codice di 6 cifre, sullo schermo verrà visualizzato un codice QR, che dovrà essere scansionato utilizzando l’app della fotocamera del telefono.”

Tuttavia, l’azienda non ha ancora eliminato completamente i messaggi SMS e a volte li utilizza per confermare l’identità. Tuttavia, per effettuare l’accesso, gli utenti dovranno scansionare i codici QR (a meno che non utilizzino chiavi di sicurezza, token e altre soluzioni).

“I codici SMS rappresentano un’area ad alto rischio per gli utenti e siamo entusiasti di presentare un nuovo approccio innovativo per ridurre la superficie di attacco per gli aggressori e proteggere gli utenti da attività dannose”, ha affermato Richendrafer.

L’azienda promette di fornire presto maggiori dettagli sulle modifiche. L’azienda non ha ancora annunciato date specifiche per l’implementazione delle modifiche per i titolari di account Google e gli utenti Gmail.

L'articolo Google dice addio agli SMS per l’MFA! Ecco cosa cambia per la tua sicurezza proviene da il blog della sicurezza informatica.

Un presunto exploit zero-day per VMware ESXi è apparso nei forum underground, offerto da un criminale informatico noto come “Vanger“.

Secondo le informazioni trapelate, l’exploit consentirebbe l’evasione dalla macchina virtuale (VM Escape), una delle minacce più critiche per gli ambienti virtualizzati. Il prezzo? 150.000 dollari. Ma è reale o un ennesimo tentativo di frode?

Il pericolo del VM Escape

Se autentico, questo exploit potrebbe consentire agli attaccanti di bypassare il livello di isolamento garantito dall’hypervisor ESXi, compromettendo il sistema host e le altre VM in esecuzione sullo stesso server. Ciò significa accesso non autorizzato ai dati sensibili, diffusione di malware e possibilità di movimento laterale all’interno della rete aziendale.

Le versioni affette sarebbero comprese tra la 5.5 e la 8.0, inclusi aggiornamenti specifici come ESXi 8.0 Update 3c e versioni precedenti. L’inserzione di Vanger elenca dettagliati numeri di build, suggerendo una conoscenza approfondita dell’ecosistema VMware.

Affare reale o ennesima truffa nei forum underground?

Non è la prima volta che sui marketplace del dark web vengono messi in vendita exploit con promesse da capogiro. Tuttavia, il venditore non vanta una reputazione solida nel settore degli exploit: le sue precedenti attività si limitavano alla vendita di credenziali di accesso aziendali compromesse.

Questo solleva forti dubbi sull’autenticità dell’exploit e sull’affidabilità della fonte. Potrebbe trattarsi di una frode? Assolutamente sì, ma il rischio che sia reale non può essere sottovalutato.

Le contromisure: come proteggersi da un possibile attacco

Indipendentemente dalla veridicità di questa minaccia, il solo fatto che venga pubblicizzata dimostra come le infrastrutture virtualizzate siano nel mirino del cybercrime. Le aziende devono adottare un approccio di sicurezza a più livelli per proteggere i propri ambienti:

• Patch Management: aggiornare regolarmente VMware ESXi e gli strumenti associati per chiudere le vulnerabilità note.
• Isolamento: limitare le funzionalità di condivisione tra VM e host, come clipboard e cartelle condivise.
• Monitoraggio: implementare soluzioni di sicurezza avanzate per rilevare attività sospette sia sulle VM che sull’host.
• Access Control: restringere i privilegi amministrativi e applicare l’autenticazione a più fattori per l’accesso agli hypervisor.

Conclusione

Che sia un inganno o meno, questo presunto exploit zero-day mette in luce una realtà inconfutabile: gli attori delle minacce stanno puntando sempre più aggressivamente alle infrastrutture virtualizzate.

La sicurezza non è un’opzione, ma una necessità. Mantenere i sistemi aggiornati e implementare misure di protezione robuste è l’unica difesa contro un panorama di minacce in continua evoluzione.

L'articolo Exploit Zeroday per VMware ESXi in vendita sul Dark Web per 150.000 dollari proviene da il blog della sicurezza informatica.

Q4 2024 saw fewer published exploits for Windows and Linux compared to the first three quarters. Although the number of registered vulnerabilities continued to rise, the total number of Proof of Concept (PoC) instances decreased compared to 2023. Among notable techniques in Q4, attackers leveraged undocumented RPC interfaces and targeted the Windows authentication mechanism.

Statistics on registered vulnerabilities

This section contains statistics on registered vulnerabilities. Data is sourced from the CVE portal: cve.org.

Total number of registered vulnerabilities and number of critical ones, Q4 2023 vs. Q4 2024 (download)

In Q4 2024, the trend of documenting software flaws that create vulnerabilities continued to gain momentum. The share of vulnerabilities labeled as critical was slightly higher than in Q4 2023. In general, more and more vulnerabilities are being assigned CVE identifiers through Bug Bounty programs and general software security research. Let’s also examine the number of public exploits.

Number of vulnerabilities, the share of critical ones, and those for which exploits exist, 2019–2024 (download)

As shown in the graph, the number of published exploits for vulnerabilities ended up at around 6%, which is 4 p.p. lower than in 2023. This decline may be due to vendors’ requirements not to disclose information about exploitation methods for discovered vulnerabilities and corresponding exploits—we believe researchers are increasingly encountering such requests. Thus, the main trends of 2024 were the growth in the number of registered vulnerabilities, the decrease in the number of PoCs, and the share of critical vulnerabilities remaining at 2023 levels.

Let’s examine the most popular types of vulnerabilities exploited in real attacks in 2023 and 2024.

Number of vulnerabilities by the most prevalent CWEs used in attacks on users in 2023 (download)

Number of vulnerabilities by the most prevalent CWEs used in attacks on users in 2024 (download)

As in 2023, the top three in the list are the following software issues:

• CWE-78—Improper or insufficient neutralization of command-line inputs (OS Command Injection);
• CWE-20—Improper input filtering and validation. This includes most vulnerabilities that allow attackers to take control of applications;
• CWE-787—Memory corruption vulnerabilities (Out-of-bounds Write).

These types of flaws have been known for a long time and remain actively exploited by attackers. The number of associated vulnerabilities has remained at the same level over the past two years.

Next are software flaws that are less common but no less critical. In 2024, some of the most popular CWEs included the following:

• CWE-416—Improper use of dynamic memory resources (Use After Free);
• CWE-22—Improper handling of file system path formats (Path Traversal);
• CWE-94—Improper control of code generation (Code Injection);
• CWE-502—Deserialization of untrusted data;
• CWE-843—Improper handling of data types (Type Confusion);
• CWE-79—Improper neutralization of input during web page generation (Cross-site Scripting);
• CWE-122—Heap-based Buffer Overflow.

Compared to 2023, CWE-119—associated with performing operations outside buffer bounds—was the only one to drop out of the TOP 10. However, it was replaced by a similar type, CWE-122, associated with buffer overflow—so memory corruption vulnerabilities remained on the list. This confirms that the landscape of software flaws leading to exploitable vulnerabilities has remained unchanged over the past two years.

Exploitation statistics

This section contains statistics on the use of exploits in Q4 2024. The data is based on open sources and our telemetry.

Windows and Linux vulnerability exploitation

Among the exploits detected by Kaspersky solutions for Windows, the most popular throughout 2024, including Q4, were vulnerabilities in Microsoft Office applications:

• CVE-2018-0802—Remote code execution vulnerability in the Equation Editor component;
• CVE-2017-11882—Another remote code execution vulnerability also affecting the Equation Editor;
• CVE-2017-0199—A vulnerability in Microsoft Office and WordPad that allows an attacker to take control of the system.

Following these, the most common vulnerabilities in Q4 included those in WinRAR and various Windows subsystems:

• CVE-2023-38831—A vulnerability in WinRAR related to improper handling of objects contained in an archive;
• CVE-2024-38100—A vulnerability known as Leaked Wallpaper, which allows an attacker to obtain a NetNTLM hash used in user authentication protocols;
• CVE-2024-21447—A vulnerability in improper link handling within the file system. It resides in the UserManager service and, if exploited, allows privilege escalation;
• CVE-2024-28916—A vulnerability similar to CVE-2024-21447 in the Xbox Gaming Service.

Each of the above vulnerabilities can be used to compromise the system and gain the highest possible privileges, so we recommend regularly updating the corresponding software.

Dynamics of the number of Windows users encountering exploits, Q1 2023—Q4 2024. The number of users who encountered exploits in Q1 2023 is taken as 100% (download)

Kaspersky products for the Linux operating system triggered on exploits for the following vulnerabilities:

• CVE-2024-1086—Improper resource handling vulnerability in the nf_tables component of the kernel. Exploiting it allows privilege escalation in the system;
• CVE-2024-0582—A memory leak vulnerability in the io_uring component, which can be used to escalate privileges on the vulnerable system;
• CVE-2022-0847—A widespread vulnerability known as Dirty Pipe, allowing privilege escalation and control over running applications;
• CVE-2022-34918—Improper handling of kernel objects related to the netfilter component. Exploiting the vulnerability allows privilege escalation in the system.

Dynamics of the number of Linux users encountering exploits, Q1 2023—Q4 2024. The number of users who encountered exploits in Q1 2023 is taken as 100% (download)

For the Linux operating system, it is critically important to keep kernel components up to date, as well as any software used.

Most common published exploits

The distribution of published exploits for vulnerabilities by platform, Q3 2024 (download)

The distribution of published exploits for vulnerabilities by platform, Q4 2024 (download)

In Q4 2024, operating systems remained the most popular category of software in terms of the number of publicly available working exploits. At the same time, the share of exploits targeting Microsoft Office tools decreased, and no exploits for SharePoint vulnerabilities were published.

The distribution of published exploits for vulnerabilities by platform, 2024 (download)

Data for 2024 shows that the overall trend of attacks on operating systems continues to grow, increasingly displacing other categories of software. Researchers and attackers are finding new operating system components that still contain potentially exploitable vulnerabilities.

Vulnerability exploitation in APT attacks

We analyzed which vulnerabilities were most commonly used in APT attacks in Q4 2024. The ranking below is based on our telemetry, research, and open sources.

TOP 10 vulnerabilities exploited in APT attacks, Q4 2024 (download)

The list of vulnerabilities commonly used in APT attacks shows changes in the software exploited by attackers. Microsoft Office applications, whose vulnerabilities were not used as much in 2023, have returned to the top ten most frequently exploited types of software. In addition, vulnerabilities for PAN-OS appeared on the list for the first time. Moreover, remote access systems and corporate data processing solutions once again appeared among the vulnerable applications. These statistics highlight the issue of delayed patch installation, which attackers quickly exploit. We strongly recommend promptly updating the software listed.

Interesting vulnerabilities

This section contains the most interesting vulnerabilities published in Q4 2024.

CVE-2024-43572—Remote code execution vulnerability in Microsoft Management Console

The Windows operating system has many useful features and mechanisms that allow users to customize it for their convenience. One such feature is the Microsoft Management Console (MMC)—an interface for running applications that contain strictly structured information. These applications are called “snap-ins.” The operating system provides a number of built-in tools for working with MMC, such as
services.msc—an interface for managing services. This is an XML file that interacts with individual COM objects and allows you to set parameters for them in the management console.
According to Microsoft documentation, .msc files can be used for system administration. Attackers exploited this functionality to run commands on user systems: inside the .msc file, they specified the URI
urn:schemas-microsoft-com:xslt and commands in JavaScript and VBScript. These files were distributed as email attachments.

Header of the main .msc file

CVE-2024-43451—NetNTLM hash disclosure vulnerability

This vulnerability is also related to the functionality of the Windows operating system, specifically to the NTLM authentication mechanism with the SSPI interface, which is automatically launched in all versions of the OS up to and including Windows 10. During the transmission of the NetNTLM hash, an attacker can intercept it or redirect it to another service, resulting in the compromise of the victim’s credentials. In common legitimate Windows scenarios, users frequently need to authenticate using the NTLM protocol, which may attract attackers. In 2024, we observed the active use of files of various formats with the .url extension in attacks: these files contained links to resources that triggered authentication using NTLM mechanisms.

CVE-2024-49039—Elevation of privilege vulnerability in Windows Task Scheduler

Our 2024 reports mainly included vulnerabilities that were used either solely for privilege escalation or for initial system access. However, CVE-2024-49039 stands out because it allows stealthy persistence within the system, privilege escalation, and command execution.

This vulnerability exploits an undocumented RPC endpoint on the server side, which contains interfaces with a misconfigured security descriptor, enabling privilege escalation.

In recent versions of Windows, when a scheduled task is registered, applications can run in AppContainer, which generally limits their privileges. To exploit the vulnerability, an attacker needs to create a scheduled task that, upon execution, calls the undocumented RPC endpoint. The Task Scheduler contains a vulnerable application launch algorithm, and as a result of the RPC call, the application will be relaunched without AppContainer with the privileges of a regular or system user.

Conclusion and advice

The total number of vulnerabilities registered in the Q4 2024 continues to grow compared to 2023, but the number of published exploits decreased. This may be due to the fact that software vendors have not yet released patches because of the traditional lull during the holiday period. Notably, attackers continue to invent new methods of privilege escalation, as seen in the Task Scheduler vulnerability.

To stay safe, it is essential to respond promptly to the evolving threat landscape. Also, make sure that you:

• Ensure round-the-clock monitoring of your infrastructure, paying special attention to the perimeter;
• Maintain a patch management process: promptly apply security fixes. To configure and automate vulnerability and patch management, you can use solutions like Vulnerability Assessment and Patch Management and Kaspersky Vulnerability Data Feed;
• Use reliable solutions that can detect and block malware on corporate devices, and comprehensive tools that include incident response scenarios and up-to-date cyberthreat databases.

securelist.com/vulnerabilities…

Camper shells are a time-honored piece of truck gear, but with modern trucks having increasingly vestigial beds, the length of your overnight abode has increasingly shrunk as well. To combat this problem, [Ed’s Garage] built a camper shell that extends once you’ve arrived at your campsite.

[Ed] wanted to keep things relatively low profile while still tall enough to sit up in for convenience, leading to a small bit of the shell peeking over the truck’s roof. To keep the cold Canadian winter out, attention was paid to proper weather sealing around the sliding portion of the shell so that it stays warm and dry inside.

While this would work on any truck, the mains power plugs in the bed of some modern trucks mean that certain glamping conveniences like a heater and projector can be easily powered while you’re in camp. We get to see the camper shell in action at the end of the video where the pros and cons of having your sleeping space also being your storage while en route become apparent.

If you’re looking for something a little less conventional for your camping experience, how about this solar camper or this retro bike camper?

youtube.com/embed/MfxifnxYbPI?…

hackaday.com/2025/02/26/want-a…

Muon tomography (muography) is the practice of using muons generated by cosmic rays interacting with Earth’s atmosphere (or equivalent) to image structures on Earth’s surface, akin to producing an X-ray. In lieu of spending a lot of spending a fair bit of money on dedicated muon detectors, you can also hack such a device together with two Geiger-Müller tubes and related circuitry for about $100 or whatever you can source the components for.

The reason for having two Geiger-Müller tubes is to filter out the countless other (much more prevalent) sources of ionizing radiation that we’re practically bathed in every second. Helped by a sheet of lead between both tubes, only a signal occurring at the same time from both tubes should be a muon. Specially cosmic ray muons, as these have significantly more kinetic energy that allows them to pass through both tubes. As a simple check it’s helpful to know that most of these muons will come from the direction of the sky.

The author of the article tested this cobbled-together detector in an old gold mine. Once there the presence of more rock (and fewer muons) was easily detected, as well as a surge in muons indicating a nearby void (a mine shaft). While not a fast or super-easy way to image structures, it’s hard to beat for the price and the hours of fun you can have while spelunking.

hackaday.com/2025/02/26/buildi…

This week, Jonathan Bennett and Rob Campbell talk with Shimon Schocken about Nand2Tetris, the free course about building a computer from first principles. What was the inspiration for the course? Is there a sequel or prequel in the works? Watch to find out!

• Nand2Tetris

youtube.com/embed/X-CavXZjfGU?…

Did you know you can watch the live recording of the show right on our YouTube Channel? Have someone you’d like us to interview? Let us know, or contact the guest and have them contact us! Take a look at the schedule here.

play.libsyn.com/embed/episode/…

Direct Download in DRM-free MP3.

If you’d rather read along, here’s the transcript for this week’s episode.

Places to follow the FLOSS Weekly Podcast:

• Spotify
• RSS

Theme music: “Newer Wave” Kevin MacLeod (incompetech.com)

Licensed under Creative Commons: By Attribution 4.0 License

hackaday.com/2025/02/26/floss-…

Picture a football (soccer ball) in your head and you probably see the cartoon ideal—a roughly spherical shape made with polygonal patches that are sewn together, usually in a familiar pattern of black and white. A great many balls were made along these lines for a great many decades.

Eventually, though, technology moved on. Footballs got rounder, smoother, and more colorful. This was seen as a good thing, with each new international competition bringing shiny new designs with ever-greater performance. That was, until things went too far, and the new balls changed the game. Thus was borne the “knuckleball” phenomenon.

Smoother Is Better, Right?

An Adidas Telstar from the 1974 World Cup. The original Telstar design actually predates 1974, and the combination of 12 pentagonal and 20 hexagonal panels and black and white patterns had been used before, too. Regardless, the Adidas design was soon globally known, and eventually became the “default” design for a football in media. Credit: shine2010, CC BY 2.0
From the late industrial era onwards, footballs were traditionally made with leather panels wrapped around some form of rubber bladder. As it’s not easy to produce a seamless leather sphere, balls were instead sewn together from individual leather panels in order to create a vaguely spherical whole. Early designs had few panels, and weren’t particularly good at approximating the shape of a sphere. They often had large, wide seams that stretched far across the surface of the ball. Larger seams were by and large undesirable, as they made the ball harder to control. Ridges where the panels met could catch on the foot and lead to unpredictable behavior.
The 32-panel design persisted at the World Cup level until 2002, with the Fevernova ball. Credit: Nicola, CC BY-SA 4.0
Over time, there was a desire to create smoother, rounder balls for professional play. By the 1970s, football designs began to coalesce around a common format. The standard became 12 pentagonal and 20 hexagonal panels, which could be sewn together into a relatively good approximation of a sphere. This also allowed the construction of a ball with very fine seams, creating a more predictable ball which enabled far finer control. The format was perhaps best popularized by the Adidas Telstar as used in the 1970 and 1974 World Cups. Even though it wasn’t the first to use the 12-and-20 design, the layout and the black-and-white pattern has been firmly etched in footballing consciousness ever since. Indeed, starting at the 1970 World Cup, Adidas has made every following World Cup ball since.

For a time, it seemed as if the design of the football was settled science. Adidas stuck with the 32-panel design up until the 2006 World Cup, when it revealed the +Teamgeist design. It used 14 curved panels that were bonded instead of stitched, creating a smoother ball for yet more predictable handling. It was also intended that the design would be more waterproof, to avoid gaining weight in wet matches. The ball was criticised by some for its erratic flight patterns, but by and large was seen as fit for purpose.
The Jabulani proved controversial, with its ultra-smooth design criticised for creating its unpredictability in flight. Credit: Adidas, editorial use
With another successful World Cup under its belt, Adidas innovated further for the 2010 World Cup. It created the Jabulani, which consisted of just eight spherically-moulded panels bonded together into an ultra-smooth and cohesive sphere. If the 2006 World Cup ball was slightly controversial, the Jabulani was outrageous. The ball was referred to as “supernatural” for its tendency to suddenly change direction in flight, which pleased strikers to a degree, but frustrated goalkeepers to no end. Ultimately, though, this tendency wasn’t good for getting balls on target. Just 147 goals were scored in the 2010 World Cup, the fewest since the competition changed its tournament format in 1998.

The problem came down to a phenomenon known as “knuckling.” This happens when the ball is travelling through the air with little to no spin. At a certain speed, the seams on the ball tend to interact with the airflow, channeling it such that it creates sudden and unpredictable movements. The term first developed in baseball, but became relevant to football with the development of the 2006 and 2010 World Cup balls, which suffered this phenomenon more often in play.

The phenomenon became so well known that NASA scientists took the opportunity to throw World Cup balls in a test chamber to demonstrate the effects at play. Knuckling behavior tends to peak at a certain critical speed, with the effect lessened either side of the peak. The problem was that the smoother designs were “knuckling” at higher speeds than balls from previous generations. NASA researchers found that the Jabulani would undergo unpredictable flight due to knuckling at speeds of 50 to 55 mph—right around the speed at which professional strikers can deliver a ball to the net. Meanwhile, more traditional 32-panel balls tend to see a peak in knuckling around 30 mph. Since strikers were typically kicking beyond this speed, knuckling—and thus unpredictable flight—wasn’t such a problem with the older designs.
The Brazuca demonstrated a critical knuckling speed closer to a traditional 32-panel ball in NASA’s tests. “What we are looking for in the smoke patterns is at what speed the smoke patterns suddenly change,” notes Rabi Mehta, NASA’s chief of the Experimental Aero-Physics Branch. “This is when the knuckling effect is greatest.” Credit: NASA
Being well aware of the problem after the 2010 World Cup, Adidas went back to the drawing board and developed the Brazuca for the 2014 competition. The number of panels was reduced yet further to just six. However, Adidas wasn’t intending to just go smoother yet again. Instead, the Brazuca had longer, deeper seams than the Jabulani, and panels covered in textured bumps. Through the company’s careful design efforts, this brought the critical knuckling speed back down to around 30 mph, much more akin to a traditional 32-panel ball.

By and large, the Brazuca proved far less controversial than its two predecessors. Search for articles on the 2014 ball, and you’ll find a little speculation from before the World Cup, before the story died completely once competition began. No more were unpredictable balls confounding the world’s finest footballers. Meanwhile, democratically speaking, where the +Teamgeist and Jabulani each have hundreds of words spilled on Wikipedia over controversy and criticism, the Brazuca has none.
Adidas gave the Brazuca deeper seams and a bumpy finish to improve its stability in flight. Credit: Nicola, CC BY-SA 4.0
The story of the Jabulani is one of unintended consequences. Adidas had intended to improve its product in a predictable and routine manner, only to find an unexpected effect at play which threw a spanner in the works. Once the effect was understood, it could be controlled and refined out with careful design. Football hasn’t suffered a “supernatural” ball since, even as the technology marches ever further into the Smart Ball era. Still, who knows what comes next at the 2026 World Cup?

hackaday.com/2025/02/26/too-sm…

While electric vehicles (EVs) are generally less likely to catch fire than their internal combustion counterparts, it does still happen, and firefighters need to be ready. Accordingly, the UL Research Institute is working with reverse engineering experts Munro & Associates to characterize EV fires and find the best way to fight them.

There is currently some debate in the firefighting community over whether it’s better to try to put an EV battery fire out with water or to just let it burn. Research like this means the decision doesn’t have to fall on only anecdotal evidence. Anyone who’s worked in a lab will recognize the mix of exceedingly expensive equipment next to the borderline sketchy rigged up hacks on display, in this case the super nice thermal imagers and a “turkey burner on steroids.” The video goes through some discussion of the previous results with a Chevy Bolt, Hyundai Kona, Ford Mustang Mach E, and then we get to see them light up a Tesla Model 3. This is definitely one you shouldn’t try at home!

While the massive battery banks in modern EVs can pose unique challenges in the event of an accident, that doesn’t mean they can’t be repurposed to backup your own home.

youtube.com/embed/kOz0ewP5fdM?…

hackaday.com/2025/02/26/ul-inv…

We’re proud to announce the last round of speakers, as well as the two workshops that we’ll be running at 2025 Hackaday Europe in Berlin on March 15th and 16th — and Friday night the 14th, if you’re already in town.

The last two years that we’ve done Hackaday Europe in Berlin have been awesome, and this year promises to keep up the tradition. We can’t wait to get our hands on the crazy selection of SAO badge addons that are going to be in each and every schwag bag.

Tickets for the event itself are going fast, but the workshop tickets that go on sale at 8:00 AM PST sell out even faster. And you need the one to enjoy the other, so get your tickets now!

Giovanni Salinas
Manufacturing the Hackaday Supercon Badge

When the Hackaday community gathers for Supercon, curious makers dig into their swag bag looking for the undisputed most sought-after piece of swag: the Supercon Badge. In this talk we will explore how idealistic manufacturing principles crash face-first with capricious electronic designs and unreasonable deadlines, and how through love, collaboration and ingenuity, the Hackaday community rises to the challenge and saves the day.

Rehana Al-Soltane
Make PCBs Bend Over Backwards for You

PCBs-as-we-know-them are usually flat and rigid, but what if you could create flexible boards in the shape of anything your heart desires? In this talk, I’ll explain how I created a flexible PCB in the shape of a crown while at MIT, using a Javascript- and web-based open-source tool. Discussing code-based techniques and pitfalls, there will be helpful points for you to consider when embarking on your own journey when creating flexible PCBs.

Christel Sanders
HEU1993 to WHY2025: Dutch hacker camps from the past and the future

This history lesson will go in depth in the history of the Dutch Hacker Camps, their culture, influence and the projects through the years.

Francis Stokes
More Than Motors: Decoding the Software Behind Pen Plotters and CNC Devices

When it comes to building CNC-type devices, much of the information out there emphasises the mechanical and electrical assembly; The gears, belts, motors, and wires. But what about the firmware that brings these machines to life? This talk covers the often-overlooked software magic that drives pen plotters, 3D printers, and CNC mills!

Workshops

Matthew Venn
Tiny Tapeout

In this workshop, you will get the opportunity to design and manufacture your own design on an ASIC! You will learn the basics of digital logic, how semiconductors are designed and made, how to use an online digital design tool to build and simulate a simple design, and how to create the GDS files for manufacture on the open-source Sky130 PDK. Participants will have the option to submit their designs to be manufactured on the next shuttle as part of the Tiny Tapeout project.

Satisfying-Senseless-Sonic Add-On (SSSAO)

Want to build a cool noise-making device, leverage the I2C proto-petal badge add-on from your hackaday swag bag AND get to grips with low-cost open-hardware RISC-V microcontrollers? In this workshop we’ll do all three. It goes like this: solder a motor circuit to your proto petal, add your choice of a few sonically-resonating-items to be actuated by the motor, program the onboard microcontroller from one of our pre-configured laptops, then go join the badge-orchestra!

If you still don’t haven’t yet, go get your tickets to Hackaday Europe. We’ll be announcing a keynote speaker next week, and then we’ll see you all in Berlin!

hackaday.com/2025/02/26/hackad…

Holography is about capturing 3D data from a scene, and being able to reconstruct that scene — preferably in high fidelity. Holography is not a new idea, but engaging in it is not exactly a point-and-shoot affair. One needs coherent light for a start, and it generally only gets touchier from there. But now researchers describe a new kind of holographic camera that can capture a scene better and faster than ever. How much better? The camera goes from scene capture to reconstructed output in under 30 milliseconds, and does it using plain old incoherent light.
The camera and liquid lens is tiny. Together with the computation back end, they can make a holographic capture of a scene in under 30 milliseconds.
The new camera is a two-part affair: acquisition, and calculation. Acquisition consists of a camera with a custom electrically-driven liquid lens design that captures a focal stack of a scene within 15 ms. The back end is a deep learning neural network system (FS-Net) which accepts the camera data and computes a high-fidelity RGB hologram of the scene in about 13 ms. How good are the results? They beat other methods, and reconstruction of the scene using the data looks really, really good.

One might wonder what makes this different from, say, a 3D scene captured by a stereoscopic camera, or with an RGB depth camera (like the now-discontinued Intel RealSense). Those methods capture 2D imagery from a single perspective, combined with depth data to give an understanding of a scene’s physical layout.

Holography by contrast captures a scene’s wavefront information, which is to say it captures not just where light is coming from, but how it bends and interferes. This information can be used to optically reconstruct a scene in a way data from other sources cannot; for example allowing one to shift perspective and focus.

Being able to capture holographic data in such a way significantly lowers the bar for development and experimentation in holography — something that’s traditionally been tricky to pull off for the home gamer.

hackaday.com/2025/02/26/new-ca…

Analisti Sentinel LABS hanno scoperto una fuga di dati della società di sicurezza cinese TopSec che rivela dettagli su come i sistemi di monitoraggio dei contenuti web vengono utilizzati per censurare gli interessi sia del governo che di clienti privati.

I documenti dimostrano che la TopSec forniva servizi specialistici a un’impresa statale quando il suo leader fu indagato per corruzione. Ciò conferma la stretta collaborazione tra le autorità cinesi e le società private di sicurezza informatica nella gestione delle crisi informatiche.

La fuga di notizie contiene oltre 7.000 righe di log e codice utilizzati per configurare l’infrastruttura DevOps e i servizi ai clienti. Sono stati trovati script che collegano a domini del governo cinese, istituzioni accademiche e siti di notizie. Ciò indica il possibile utilizzo di TopSec nel sistema di controllo di Internet in Cina.

I documenti menzionano i clienti di TopSec, tra cui la Commissione di ispezione disciplinare di Shanghai, l’Ufficio petizioni del distretto di Gucheng e l’Illegal Information Suppression Center. Sono stati rinvenuti anche documenti relativi alla collaborazione con il Ministero della Pubblica Sicurezza per progetti di monitoraggio a Shanghai e Dandong.

I documenti rivelano anche l’uso del sistema Sparta per identificare le parole “sensibili” da censurare. Se vengono rilevate tali espressioni, vengono inviati segnali di allarme alle chat aziendali di WeChat. Ciò dimostra quanto profondamente TopSec sia integrato nei meccanismi di censura statale di Internet.

È interessante notare che il giorno delle segnalazioni di contenuti sospetti, WeChat ha annunciato un’indagine sul capo della Commissione per la gestione dei beni statali di Shanghai, Bai Tinghui. La notizia venne presto confermata dalle autorità e il suo nome scomparve rapidamente dalla maggior parte delle fonti ufficiali.

Fondata nel 1995, TopSec è specializzata in monitoraggio, sicurezza IT e servizi cloud. L’azienda possiede più di 1.000 brevetti, 87 copyright di software e 12 filiali. TopSec fornisce inoltre alle autorità del Paese vulnerabilità da sfruttare a fini di intelligence civile. Secondo il rapporto annuale dell’azienda, i servizi cloud di TopSec coprono tutte le 31 regioni amministrative del Paese.

Gli esperti sottolineano che, sebbene la cooperazione in materia di sicurezza informatica sia la norma in molti Paesi, il modello cinese prevede un’integrazione molto più profonda. Questo caso evidenzia l’importanza di controllare la registrazione e la gestione delle credenziali nella propria infrastruttura per evitare fughe di dati sensibili.

L'articolo Leak esplosivo: ecco come la Cina censura e sorveglia il web! proviene da il blog della sicurezza informatica.

Google ha lanciato una nuova versione gratuita del suo strumento di assistenza e completamento del codice basato sull’intelligenza artificiale, Gemini Code Assist for Individuals.

Allo stesso tempo, la società ha presentato Assistenza Gemini Code per GitHub — un sistema di analisi automatizzata del codice che identifica gli errori e suggerisce soluzioni direttamente su GitHub.

Gemini Code Assist for Individuals consente agli sviluppatori di interagire con l’intelligenza artificiale tramite chat utilizzando il linguaggio naturale. Lo strumento può correggere errori, integrare il codice e spiegare argomenti complessi. Si basa su una versione speciale del modello Gemini 2.0, ottimizzata per la programmazione. È supportata l’integrazione con VS Code e JetBrains tramite plugin, nonché il funzionamento con diversi linguaggi di programmazione.

Uno dei principali vantaggi dello strumento è il suo generoso limite di utilizzo:

• 180.000 completamenti di codice al mese, ovvero 90 volte in più rispetto al piano gratuito di GitHub Copilot (2.000 completamenti).
• 240 richieste di chat al giorno, ovvero quasi 5 volte il limite di GitHub Copilot.

La finestra di contesto del modello è di 128.000 token, ovvero più di 4 volte maggiore rispetto alle capacità dei concorrenti. Ciò consente all’intelligenza artificiale di analizzare grandi quantità di codice in un’unica query.

Per chi volesse testare il nuovo strumento, il 20 febbraio Google ha reso disponibile l’accesso gratuito al pubblico.

Gemini Code Assist per GitHub, a sua volta, analizza automaticamente le richieste pull, identificando gli errori e suggerendo miglioramenti. Questa mossa dimostra l’aggressiva strategia di Google di competere con Microsoft e GitHub nel settore degli strumenti per sviluppatori.

Sette mesi fa, Google ha incaricato Ryan Salva, che in precedenza aveva guidato il team GitHub Copilot, di occuparsi degli strumenti di intelligenza artificiale per gli sviluppatori. La strategia dell’azienda, ha affermato, è quella di attrarre sviluppatori all’inizio della loro carriera offrendo gratuitamente uno strumento potente, per poi promuoverli verso piani aziendali.

Da un anno Google offre una versione business di Gemini Code Assist, con funzionalità aggiuntive come revisione contabile registri, integrazione con Google Cloud e supporto per repository privati.

L'articolo Google lancia Gemini Code Assist, l’AI per i programmatori proviene da il blog della sicurezza informatica.

Gli esperti di sicurezza hanno collegato il gruppo di hacker nordcoreano Lazarus al furto di quasi 1,5 miliardi di dollari dall’exchange di criptovalute Bybit. Nel frattempo, la società ha annunciato una ricompensa pari al 10% dei fondi rubati (circa 140 milioni di dollari) per qualsiasi informazione che aiuterà a restituire i fondi rubati.

Il furto di 1,5 milardi di dollari in criptovaluta

Ricordiamo che alla fine della scorsa settimana, degli aggressori hanno rubato criptovalute per un valore di oltre 1,46 miliardi di dollari da Bybit, prelevando fondi dall’exchange. L’attacco è stato il più grande attacco hacker di criptovaluta della storia, più che raddoppiando il record precedente.

“Il 21 febbraio 2025, alle ore 12:30 UTC circa, Bybit ha rilevato un’attività non autorizzata in uno dei nostri cold wallet Ethereum (ETH) durante un normale processo di trasferimento. Il trasferimento faceva parte di uno spostamento pianificato di ETH dal nostro portafoglio multisig ETH verso un altro portafoglio” ha affermato Bybit in un rapporto sull’attacco . — Sfortunatamente, la transazione è stata manipolata utilizzando un attacco sofisticato che ha modificato la logica dello smart contract e l’interfaccia della firma, consentendo all’aggressore di ottenere il controllo del cold wallet ETH. Di conseguenza, più di 400.000 ETH e stETH per un valore di oltre 1,5 miliardi di dollari sono stati trasferiti a un indirizzo sconosciuto”.

È opportuno sottolineare che gli esperti di Check Point ritengono che gli aggressori abbiano identificato i responsabili dell’approvazione delle transazioni multisig e poi abbiano hackerato i loro dispositivi utilizzando malware, phishing o un attacco alla supply chain. Ricordiamo che Multisig è una funzionalità di sicurezza che richiede più chiavi per autorizzare una transazione di criptovalute. I portafogli Multi-Sig mirano a fornire una protezione migliorata, in particolare per le aziende o i gruppi che hanno bisogno di salvaguardare i loro asset digitali.

Il CEO di Bybit Ben Zhou ha dichiarato che Bybit è solvibile e sarà in grado di coprire tutte le perdite.

Il coinvolgimento degli hacker nord coreani di Lazarus

Poco dopo l’attacco, l’analista blockchain ZachXBT, che per primo ha scoperto l’incidente, ha riferito che probabilmente dietro l’attacco c’era il gruppo di hacker nordcoreano Lazarus.

Il fatto è che gli aggressori hanno inviato i fondi rubati da Bybit a un indirizzo Ethereum che era già apparso in precedenza negli attacchi a Phemex, BingX e Poloniex.

Il ricercatore ha inoltre affermato che Lazarus ricicla gli ETH rubati utilizzando il mixer eXch e trasferisce i fondi in Bitcoin tramite Chainflip. Le scoperte di ZachXBT sono confermate dagli esperti di TRM Labs , che scrivono anche che dietro l’attacco informatico a Bybit ci sono degli hacker nordcoreani.

Anche gli analisti blockchain di Elliptic attribuiscono questo attacco a Lazarus e notano che i fondi rubati sono già passati attraverso un gran numero di wallet e in questo modo gli hacker stanno cercando di nascondere la vera origine dei beni, rallentando i tentativi di rintracciarli.

“Un particolare exchanger, eXch, sembra aver consapevolmente riciclato decine di milioni di dollari in fondi rubati nonostante gli appelli di Bybit a fermarlo”, ha affermato Elliptic. — I fondi rubati vengono convertiti principalmente in bitcoin. Se i precedenti schemi di riciclaggio di denaro dovessero ripetersi questa volta, possiamo aspettarci che vengano utilizzati mixer di Bitcoin per coprirne le tracce.”

Riciclaggio internazionale e ricompensa per i fondi rubati

Allo stesso tempo, eXch nega tutte le accuse di riciclaggio intenzionale di fondi rubati a Bybit, affermando che “eXch non ricicla denaro per Lazarus e la Corea del Nord”. A quanto pare, solo una piccola parte dei fondi rubati da Bybit è stata ricevuta da eXch, si è trattato di un incidente isolato e la commissione derivante da questa operazione sarà devoluta in beneficenza.

Nel frattempo, i rappresentanti di Bybit hanno annunciato il lancio di un programma di ricompensa che dovrebbe aiutare a restituire i fondi rubati e a identificare gli hacker dietro questo attacco. Bybit ha promesso di pagare il 10% dei fondi recuperati (fino a 140 milioni di dollari) agli esperti di sicurezza che “svolgono un ruolo attivo nella restituzione delle criptovalute rubate”.

L'articolo Lazarus ruba 1,5 miliardi in crypto: Bybit offre 140 milioni per ritrovarli! proviene da il blog della sicurezza informatica.

Le forze dell’ordine svedesi stanno facendo pressioni per una legge che obblighi le app di messaggistica Signal e WhatsApp a creare backdoor tecniche per consentire l’accesso ai messaggi crittografati. Questo è quanto riportato sull’edizione svedese SVT Nyheter.

Meredith Whittaker, presidente della Signal Foundation, ha affermato che l’azienda abbandonerebbe il mercato svedese se tale legge entrasse in vigore. Whittaker ha sottolineato che la creazione di una backdoor indebolirebbe la sicurezza dell’intera rete Signal.

Se il disegno di legge verrà approvato, il parlamento svedese lo esaminerà l’anno prossimo. Tale disegno stabilisce che i messenger sono tenuti a conservare i messaggi e a fornire, su richiesta, alla polizia e al Servizio di sicurezza svedese la cronologia della corrispondenza dei sospettati di reato.

Il Ministero della Giustizia svedese ritiene che l’accesso ai dati sia estremamente importante per il lavoro delle forze dell’ordine. L’iniziativa ha però incontrato l‘opposizione delle forze armate del Paese, che utilizzano attivamente Signal per impedire la sorveglianza.

L’esercito avverte che la presenza di una backdoor potrebbe creare vulnerabilità sfruttabili dagli aggressori. WhatsApp e Signal non hanno rilasciato dichiarazioni ufficiali in merito al possibile disegno di legge.

Nel Regno Unito, il governo ha recentemente richiesto da Apple di fornire l’accesso ai backup crittografati di iCloud. In risposta, l’azienda ha rifiutato l’opzione di crittografia end-to-end per gli utenti del Regno Unito.

L'articolo La Svezia chiede l’accesso Backdoor a Signal e WhatsApp! Signal pronta a lasciare il mercato proviene da il blog della sicurezza informatica.