Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

CVE-2026-5027: Critical Langflow Path Traversal Flaw Actively Exploited for Remote Code Execution
#CyberSecurity
securebulletin.com/cve-2026-50…
Cybersecurity & cyberwarfare ha ricondiviso questo.

ShinyHunters colpisce le università americane con uno zero-day Oracle PeopleSoft: l’operazione UNC6240 analizzata da Mandiant


Mandiant e GTIG hanno documentato una campagna attiva di compromissione ed estorsione condotta da ShinyHunters (UNC6240) contro Oracle PeopleSoft, sfruttando CVE-2026-35273 come zero-day prima del rilascio della patch Oracle. Il 68% delle vittime sono atenei statunitensi.
The media in this post is not displayed to visitors. To view it, please go to the original post.

Si parla di:
Toggle

Mandiant e Google Threat Intelligence Group (GTIG) hanno pubblicato oggi un rapporto dettagliato su una campagna attiva di compromissione ed estorsione attribuita a UNC6240, meglio noto come ShinyHunters. L’obiettivo: le istituzioni universitarie americane, colpite attraverso uno zero-day critico in Oracle PeopleSoft che ha consentito l’accesso non autenticato a centinaia di sistemi prima ancora che Oracle rilasciasse la patch.

Il vettore d’attacco: CVE-2026-35273, un RCE con CVSS 9.8


Al centro della campagna si trova CVE-2026-35273, una vulnerabilità di remote code execution (RCE) con punteggio CVSS di 9.8 nel componente Environment Management di Oracle PeopleSoft. Il punto di ingresso sfruttato è l’Environment Management Hub (PSEMHUB), un servizio amministrativo spesso esposto direttamente su Internet nelle configurazioni multi-server. L’attività — documentata tra il 27 maggio e il 9 giugno 2026 — ha preceduto l’advisory Oracle del 10 giugno 2026, classificando di fatto l’exploit come zero-day operativo per oltre due settimane.

GTIG ha identificato gli endpoint vulnerabili e avviato notifiche a oltre 100 organizzazioni globali, con una concentrazione geografica negli Stati Uniti. Particolarmente colpito il settore dell’istruzione superiore: il 68% delle organizzazioni notificate sono atenei e college.

Chi sono gli ShinyHunters: da BreachForums a campagne zero-day


ShinyHunters (tracciato da Mandiant come UNC6240) è un gruppo cybercriminale che si è fatto conoscere tra il 2020 e il 2022 per una serie di breach di alto profilo — AT&T, Ticketmaster, Santander, Advance Auto Parts — venduti poi su BreachForums. Il gruppo ha assunto il controllo di BreachForums dopo l’arresto degli amministratori precedenti, consolidando la propria posizione nell’ecosistema del cybercrime anglofono. La campagna attuale segna un’evoluzione tattica: da semplici acquirenti di accesso iniziale a gruppo capace di sviluppare o acquisire exploit zero-day per piattaforme enterprise.

Infrastruttura C2: MeshCentral travestito da Microsoft Azure


L’analisi delle directory aperte sui cinque host di staging (IP sequenziali 142.11.200.186–190) ha rivelato un’infrastruttura C2 basata su MeshCentral, un software open-source di remote management. Gli agenti Windows precompilati erano rinominati per mimare endpoint legittimi di Microsoft Azure:

  • meshagent64-azure-ops.exe
  • meshagent32-azure-ops.exe
  • meshagent64-v2.exe

Tutti gli agenti erano hardcoded per connettersi al server C2 wss://azurenetfiles.net:443/agent.ashx. Il dominio azurenetfiles.net è stato scelto per imitare Microsoft Azure NetApp Files, una tecnica di masquerading volta a confondere i team di sicurezza durante l’analisi dei log di rete. I server di staging eseguivano Python SimpleHTTP sulla porta 8888, inavvertitamente esposti al pubblico — errore OPSEC che ha permesso a Mandiant e ai ricercatori indipendenti di recuperare l’intero corredo di artefatti.

Timeline operativa e reconnaissance


Il file .bash_history — identico su tutti e cinque i server di staging — ha fornito una timeline dettagliata delle operazioni. Il 27 maggio 2026 alle 22:14 UTC gli attaccanti hanno installato MeshCentral (v1.1.59); pochi minuti dopo, alle 22:25 UTC, hanno configurato il client acme-client per l’automazione dei certificati Let’s Encrypt per il dominio di masquerading. La reconnaissance sulle reti interne delle vittime includeva:

  • Lettura del file psappsrv.cfg per estrarre hostname e indirizzi IP interni
  • Analisi dei mount NFS attivi (mount | grep psoft)
  • Lettura del file /etc/hosts per mappare la topologia interna
  • Ispezione delle configurazioni WebLogic (config.xml)


Propagazione laterale e script fanout


Una volta ottenuto l’accesso al primo nodo, gli attaccanti hanno utilizzato MeshCentral per distribuire uno script Bash denominato [victim_abbreviation]_fanout.sh, scritto direttamente in /tmp tramite heredoc. Lo script automatizza il credential spraying SSH verso gli host interni, parsing la lista da /etc/hosts, e — una volta ottenuto l’accesso — copia un file di estorsione nelle directory WebLogic e Process Scheduler:

README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT

L’esfiltrazione dei dati è avvenuta tramite compressione con zstd seguita da una connessione SSH in uscita verso 176.120.22.24, IP che ospita il mirror pubblico del ShinyHunters Data Leak Site (DLS). Il 9 giugno 2026, alcune organizzazioni vittime sono apparse sul DLS confermando la compromissione avvenuta con successo.

Indicatori di compromissione (IoC)

# IP di staging C2
142.11.200.186
142.11.200.187
142.11.200.188
142.11.200.189
142.11.200.190

# DLS mirror
176.120.22.24

# Dominio C2
azurenetfiles.net

# Hash SHA-256 artefatti
.bash_history:              2ab684d93c1553fad87041b4dea97188a97e78589deee2a7bacff905564f3a35
meshagent64-azure-ops.exe:  f02a924c9ff92a8780ce812511341182c6b509d45bc59f3f7b522e37225d24fc
meshagent64-v2.exe:         d83fdb9e53c5ff03c4cb0451ea1bebd79b53f29eadc1e2fa394c7af13a86ce2f
meshagent32-azure-ops.exe:  c7e9332731b06644fc73e0046a2a89eaa59b09f54250e9bd622467187351711f
meshagent (Linux):          68257a6f9ff196179ec03624e849927f26599eb180a7c82e14ef5bc4e93bc309

# Porte
Python SimpleHTTP: porta 8888
WebSocket C2: wss://azurenetfiles.net:443/agent.ashx

Azioni di remediation prioritarie


Per i team di sicurezza che gestiscono ambienti Oracle PeopleSoft, Mandiant raccomanda azioni immediate:

  • Disabilitare EMHub: in configurazioni multi-server, disabilitare il servizio Environment Management Hub; in configurazioni single-server, rimuovere completamente l’applicazione PSEMHUB.
  • Blocco perimetrale: bloccare l’accesso esterno agli endpoint /PSEMHUB/* e /PSIGW/HttpListeningConnector a livello firewall — non affidarsi esclusivamente a regole WAF.
  • Analisi log: verificare nei log WebLogic richieste POST anomale verso /PSEMHUB/hub da IP esterni.
  • Audit filesystem: cercare file .jsp non previsti in PSEMHUB.war/ e directory inattese logs/, persistantstorage/, scratchpad/.
  • Monitoraggio NetFlow: rilevare traffico SMB in uscita (porta 445) da host PeopleSoft verso destinazioni internet esterne (indicatore potenziale di cattura hash NetNTLM).

Fonte primaria: Mandiant / Google Cloud Blog, 11 giugno 2026.

Questa voce è stata modificata (6 giorni fa)
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Patch Tuesday Giugno 2026: record di 208 CVE, 6 zero-day e una falla kernel wormable con CVSS 9.8
#tech
spcnet.it/patch-tuesday-giugno…
@informatica


Patch Tuesday Giugno 2026: record di 208 CVE, 6 zero-day e una falla kernel wormable con CVSS 9.8


Il Patch Tuesday di giugno 2026 ha stabilito un nuovo record assoluto: Microsoft ha rilasciato aggiornamenti di sicurezza per ben 208 CVE, superando il precedente record e portando con sé 6 zero-day, di cui uno attivamente sfruttato in attacchi reali. Per i sistemisti, questo ciclo di patch è tra i più critici dell’anno: ci sono falle wormable nel kernel, bypass multipli di BitLocker, RCE su Hyper-V, AKS e DHCP, e una vulnerabilità Exchange già sfruttata in produzione.

Il quadro generale


Delle 208 vulnerabilità corrette, 33 sono classificate Critical. La distribuzione per tipologia:

  • 65 Elevation of Privilege
  • 55 Remote Code Execution
  • 30 Information Disclosure
  • 27 Spoofing
  • 19 Security Feature Bypass
  • 7 Denial of Service

Il conteggio esclude le 360 CVE ereditate da Chromium/Edge e le falle in servizi cloud come Exchange Online e Microsoft Graph, già patchate in precedenza nel mese.

I sei zero-day

CVE-2026-42897 — Exchange Server Spoofing (attivamente sfruttata)


L’unica zero-day già in uso attivo. Un attaccante invia una email costruita ad hoc: se la vittima la apre in Outlook Web Access, viene eseguito JavaScript arbitrario nel browser. Microsoft ha distribuito mitigazioni tramite il servizio Exchange Emergency Mitigation (EEMS). Verificare che EEMS sia abilitato di default; la patch completa è in lavorazione. Azione immediata richiesta.

CVE-2026-45586 — Windows CTFMON GreenPlasma (EoP)


Divulgata da Nightmare Eclipse, permette di ottenere un shell SYSTEM sfruttando una link following errata nel Windows Collaborative Translation Framework. Prima di una serie di zero-day rilasciate dallo stesso ricercatore in protesta contro il bug bounty Microsoft.

CVE-2026-45585 — BitLocker YellowKey (Security Feature Bypass)


Con accesso fisico al dispositivo, un attaccante inserisce file costruiti su USB o partizione EFI e, avviando in WinRE tenendo CTRL, ottiene accesso illimitato al disco cifrato. Colpisce sistemi con BitLocker in modalità TPM-only. Mitigazione: abilitare TPM+PIN.

CVE-2026-50507 — BitLocker bitskrieg (Security Feature Bypass)


Secondo bypass BitLocker, divulgato da Jonas Lykkegaard. La patch potrebbe causare l’errore “A required file couldn’t be accessed because your BitLocker key wasn’t loaded correctly”. Il fix:

reagentc /disable
reagentc /enable

CVE-2020-17103 — Cloud Files Mini Filter Driver Mini-Plasma (EoP)


CVE originariamente del 2020, segnalata da James Forshaw (Google Project Zero). Sembrava già corretta nel dicembre 2020, ma Nightmare Eclipse ha dimostrato che la vulnerabilità era ancora sfruttabile. L’update di giugno 2026 la chiude definitivamente.

CVE-2026-49160 — HTTP/2 Bomb DoS su HTTP.sys


Abusa della compressione degli header HTTP/2 per forzare il server ad allocare quantità sproporzionate di memoria con pochissimi dati in ingresso. Microsoft ha introdotto la chiave di registro MaxHeadersCount per limitare il numero di header accettati (KB5102602):

; HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters
; DWORD: MaxHeadersCount = 100

Le CVE Critical più rilevanti per l’infrastruttura

CVE-2026-45657 — Windows Kernel RCE (CVSS 9.8, wormable)


È la vulnerabilità che preoccupa di più. Una use-after-free nel kernel legata all’elaborazione del traffico TCP/IP permette a un attaccante non autenticato di eseguire codice da remoto, senza interazione utente. Il vettore CVSS (AV:N/AC:L/PR:N/UI:N) e la classificazione wormable significa che un exploit funzionante potrebbe autopropag arsi tra macchine sulla stessa rete. Sistemi colpiti: Windows 11 (23H2, 24H2, 25H2, 26H1) e Windows Server 2022/2025 incluso Server Core. I ricercatori stimano la finestra per un exploit pubblico in giorni, non settimane. Priorità assoluta.

CVE-2026-32193 — Azure Kubernetes Service Container Escape (Critical)


Path traversal in AKS che permette a un container configurato con hostNetwork: true di evadere il container e ottenere il controllo del worker node. Chi gestisce cluster AKS deve verificare aggiornamenti disponibili:

az aks upgrade --resource-group myRG --name myCluster --kubernetes-version latest

CVE-2026-44815 — DHCP Client Service RCE (Critical)


RCE nel client DHCP di Windows, sfruttabile da un attaccante che controlla un server DHCP malevolo in rete. Rischio elevato in ambienti con BYOD o reti ospiti non segregate.

CVE-2026-45641 / CVE-2026-47652 — Hyper-V RCE (Critical)


Due falle di esecuzione di codice in Hyper-V. Su hypervisor il patching è prioritario: una compromissione può portare all’escape delle VM e alla compromissione dell’host.

CVE-2026-45648 — Active Directory Domain Services RCE (Critical)


RCE nei Domain Controller. Qualunque falla RCE su DC va trattata con la massima urgenza: una compromissione equivale a quella dell’intero dominio.

CVE-2026-47291 — HTTP.sys RCE (Critical)


RCE nel driver HTTP.sys, separata dalla HTTP/2 Bomb. Colpisce tutti i sistemi che espongono servizi HTTP inclusi IIS e applicazioni che usano direttamente HTTP.sys.

Strategia di deployment


Con 208 CVE e sei zero-day, non c’è spazio per ritardi. Alcune linee guida pratiche:

  1. Controllare ADV990001: verificare che il Servicing Stack Update (SSU) sia installato. È il prerequisito per l’installazione corretta di tutti gli altri aggiornamenti.
  2. Exchange prima: CVE-2026-42897 è attivamente sfruttata. Applicare le mitigazioni EEMS immediatamente.
  3. Domain Controller: CVE-2026-45648 su AD DS è Critical. Test in ambiente non-prod, poi deployment rapido su DC.
  4. BitLocker — leggere le release notes: CVE-2026-50507 può richiedere il fix manuale con reagentc. Testare prima del rollout su larga scala.
  5. Hotpatch su Azure VM: Microsoft ha reso generalmente disponibile l’hotpatching per Azure VM (Linux e Windows Server), che applica le patch kernel senza riavvio. Nei workload Azure, è la modalità preferita per ridurre i downtime.


Conclusione


Il Patch Tuesday di giugno 2026 non è un mese da rimandare. La CVE-2026-45657 (kernel wormable CVSS 9.8), la zero-day Exchange in produzione, i doppi bypass BitLocker e la falla AKS compongono un quadro che richiede azione rapida e pianificata. Scaricare gli update, verificare l’SSU, prioritizzare Exchange e DC, e monitorare per eventuali regressioni post-patch, specialmente per il caso BitLocker/reagentc.

Fonte: BleepingComputer — Microsoft June 2026 Patch Tuesday fixes 6 zero-days, 200 flaws | Zero Day Initiative — June 2026 Security Update Review


Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

RoguePlanet mette in ginocchio Microsoft Defender! Ed è LPE per Windows

📌 Link all'articolo : redhotcyber.com/post/rogueplan…

A cura di Luigi Zullo

#redhotcyber #news #cybersecurity #hacking #malware #vulnerabilita #microsoftdefender

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

Google sues Chinese cybercrime network Outsider Enterprise, accusing it of using Gemini AI to create fake websites and scam hundreds of thousands of Americans (Cecilia Kang/New York Times)

nytimes.com/2026/06/12/technol…
techmeme.com/260612/p9#a260612…

Cybersecurity & cyberwarfare ha ricondiviso questo.

‪Claudia‬
‪@signorina37.ransomnews.online‬
· 1h
#nerdystuff in pausa pranzo

Non è il primo, non è il più fico, ma è utile per preparare, con quello che c'è in casa, un piatto divertente.
Che poi sia #FigataOMinkiata ce lo dirà Scarabelli, io penso solo a far colpo su Chef Oldani 😎

🍝 www.supercook.com

Glue-in Hinge Design Tries Something Different


The media in this post is not displayed to visitors. To view it, please log in.

Need a hinge in your 3D printed design and would prefer not to re-invent the wheel? You may find [Alex Krush]’s glue-in filament hinge useful.
This design (shown in this simple box as an example) makes a very close-fitting hinge point.
This design prints half the hinge as a separate piece — the u-shaped one in the picture to the side — that must be glued into the target object after printing. It’s a bit of extra work, but doing it this way has a couple advantages.

One is that printing some of the hinge elements separately means one no longer needs to choose between a print orientation that best suits the object, and a print orientation that works best for the hinge. Also, the length of 1.75 mm filament used as a hinge pin is held captive after assembly so there’s no need to glue the hinge pin itself.

[Alex] helpfully provides the parts in STEP format, which makes CAD tweaks and adjustments easy. While incorporating the design should be doable even if one is just using .stl or .3mf files because boolean subtraction and merging is all that’s needed, having the model in STEP format is so much better.

Should you need some pointers on incorporating either into FreeCAD, we have you covered.


hackaday.com/2026/06/12/glue-i…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

So the Trump Mobile T1 phone is just an off the shelf phone painted gold, and with a malformed American flag on the back.
Who could have predicted? 😂
ifixit.com/News/117789/teardow…

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

The idea is when you go to make the case for ad blockers, you can point to this external, "authoritative" resource and say look, these very serious people said so.

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

#Oracle #PeopleSoft RCE Flaw Used as Zero-Day in Ongoing #ShinyHunters Campaign
securityaffairs.com/193543/cyb…
#securityaffairs #hacking
Cybersecurity & cyberwarfare ha ricondiviso questo.

When the Open Social Web Hybridizes: Raccoon for Friendica is a new app... Mastodon. And it even has a little Lemmy in it! That's why the Free Software + Fediverse duo is such a valuable resource.


@fediverse

Raccoon 1.0 was finally released for Android in recent days, a rather innovative client originally created for #Friendica, but which has now become one of the most innovative apps for the user experience on #Mastodon. The app is available for Android (already on the Play Store and Izzidroid, and will soon be available on F-Droid), but a #Debian package has also been released. An iOS version remains to be seen for its success.

The app introduces some very important innovations to the federated app landscape.

1. Navigate the Fediverse from an app, even without creating an account


Raccoon is the only app that lets you browse the Fediverse even without an account. When you install it, you can select any Friendica or Mastodon instance and "leverage" its local public and federated timelines. This way, users can explore multiple instances before choosing which one to open an account on. Of course, even after adding an account (the app manages multiple accounts), you can browse the timelines of servers other than the one you signed up to.

2. "Browse through" messages: "swipe" navigation


Unlike all other social apps (both those for the Fediverse and those for commercial social networks), #RaccoonForFriendica lets you open a post in your timeline and continue browsing through previous and next posts by simply swiping left and right.
This is a truly interesting ergonomic innovation.

3. Finally a formatting bar in social apps


Since the app was created for Friendica, it features a built-in formatting toolbar reminiscent of Lemmy clients (in fact, the developer @janTeko first experimented with app development with a Lemmy app). The formatting toolbar can also be used for Mastodon instances running the Glitch-soc fork, such as infosec.exchange, tech.lgbt, and my poliversity.it instance, which was the one the developer experimented with.

In addition to being more immediate, writing formatted posts is also made easier by a "preview" function that helps avoid errors in Markdown or BBCode coding.

4. Finally, Mastodon users will be able to enjoy Fediverse groups too.


As you may know, Mastodon doesn't support the display of group posts. Even if you select a group, you'll still see a single timeline where top posts alternate with replies. Searching for a thread on Mastodon is therefore very complicated, but the #Raccoon developer has found a way to enable "topic" viewing across all accounts that are "activitypub groups," be they #Lemmy, #NodeBB, Piefed, Mbin, Peertube, Wordpress, Mobilizon, Flipboard, etc.
This idea also came about thanks to the fact that the developer had previously tried his hand at developing an app for Lemmy and was able to experiment with the formatting bars and display of Lemmy "communities," which are nothing other than "#activitypub groups."

5. Other interesting features


Among other features, you can


6. What's still missing?


The app features all the features found in most other Mastodon apps, except one: the correct handling of Mastodon posts that quote other posts. These are still displayed in a fairly primitive way. The developer is trying to decide whether to adapt to Mastodon specifications or reinterpret the feature in a more personalized way.
It must be said that, unfortunately, the implementation of quoted messages (already present in Friendica for ages) was implemented by Mastodon very late, only in recent months, and in a very "personal" way that many other software developers did not appreciate.

7. Raccoon is an app that will benefit users who already use Mastodon but also those who have never "tried" the Fediverse


This app has been under development for almost two years, and the beta version is just over a year old. However, version 1.0 has resolved all previously encountered issues.
Based on user feedback, the developer will evaluate whether to create an iOS version and even a Windows version.
Anyone who wishes to allow reporting of application errors can enable anonymous crash reports.

8. Links and Resources


This is the developer's profile:
androiddev.social/users/janTek…

This is the app repository: github.com/LiveFastEatTrashRac…

This is the Play Store link:
play.google.com/store/apps/det…

This is the link on IzzyDroid (the app will be released on F-Droid soon, but is currently under review):
apt.izzysoft.de/fdroid/index/a…

Here is the developer's blog:
livefasteattrashraccoon.github…

Finally, from here you can download the .apk or .deb package without using the online stores. line:
github.com/LiveFastEatTrashRac…

One last recommendation


The public's response will be important to enable the further development of this app.
If you want to test it on Mastodon, I recommend using instances running the glitch-soc fork. Among these, I'd recommend the infosec.exchange instance, which is well managed by @jerry. And of course, but only if you communicate in Italian or Esperanto, I'd be happy to host you on my poliversity.it instance.
Regarding Friendica, I recommend two instances: friendica.world, managed by @ruud and featuring a rather lively timeline, and, of course, social.trom.tf, excellently managed by @tio.
If you communicate in Italian, I'd be happy to host you on my poliverso.org instance.

Greetings to all and let me know if you need further information, if you have tried the app and how you found it.
Francesco
You can also interact with me through the Mastodon account @informapirata and the Friendica account @notizie
in reply to macfranc

Mastodon isn’t the entirely of ActivityPub apps. There's also PeerTube, Pixelfed, Loops, Micro.blog, Flipboard (145M users), Misskey, and many many others.

Is there any ActivityPub app that Lemmy is compatible with, or is it broken for all of them? Why pretend that it's part of a big Fediverse, when a vast majority of these instances are broken to us? (I'm not picking on discuss.tchncs.de, but you can plug in any Lemmy server you want and see the same kind of problems.)

The fact that Lemmy adopts solutions that are different from other software, but still more in line with Activitypub, shouldn’t be considered a problem.


You can have this stance, and be a purist about the RFCs and how the protocol is supposed to work. And you can push for these standards on your own platform for Lemmy.

But, at the end of the day, you still have to deal with the warts of other protocols and write the custom code it takes to bridge one app with another app. And then be thankful that you are not trying to bridge together an entirely different standard and are just trying to smooth over some structural differences in implementation.

in reply to P03 Locke

oh, a clarification: I'm still @macfranc@poliversity.it

I'm a fan of Lemmy, though I recognize that some limitations could be considered flaws (piefed.social/comment/11707767).

However, your perspective must take into account some design (and history) issues with the software you mentioned:

Lemmy barely works with PeerTube [discuss.tchncs.de]


It's important to understand a few concepts here:
- Lemmy is based on Activitypub groups
- A group works by "resharing" an initial post and all replies to that post
- With some programs (Mastodon's "socialverse," Misskey, Pleroma, Friendica, or Pixelfed), you can "post inside a group" only by mentioning the "group user"; with others (Lemmy/Piefed/Mbin/NodeBB's forumverse, but also Peertube, Mobilizon, or Flipboard), you simply assign a discussion to a group (you can do this easily from the interface). This second mode doesn't yet have a syntax shared by all the software in the Fediverse.
- Finally, a very important feature of Lemmy is that a post can only be published to one channel at a time. This might seem like a limitation (we'll discuss it later, when talking about Flipboard), but it's actually designed by the developers to prevent synchronous crossposting, which can dramatically increase spam.

Lemmy handles the display of Peertube content very well and correctly assigns it to the correct Peertube channel. What doesn't work well is the update system, which is why Lemmy can't act as a Peertube feed reader. This isn't Lemmy's fault, nor is it Peertube's, as each handles Activitypub groups differently.

Lemmy doesn't work with Pixelfed [discuss.tchncs.de]


That's not true. Lemmy handles Pixelfed very well. Pixelfed users can open threads on Lemmy or reply to Lemmy discussions. However, Pixelfed only shows users retweets made by Pixelfed, not those from other software. Therefore, Pixelfed users cannot access the groups.
Regarding your user, I'd like to point out that feddit.it can see it: feddit.it/u/NotAHopeInHades@pi…

Lemmy doesn't work with Loops [discuss.tchncs.de]


Loops is still a very immature software, with very limited interoperability. I wouldn't consider it a valid test for certifying Lemmy's functionality.
Regarding your user, I'd like to point out that feddit.it can see it: feddit.it/u/spaceotter@loops.v…

Lemmy doesn't work with Micro.blog [discuss.tchncs.de]


I'm not familiar with Microblog, but (regarding your user) I'd like to point out that feddit.it can see it: feddit.it/u/akshay@social.lear…

Lemmy doesn't seem to work with Flipboard


Flipboard uses groups to manage the "magazines" of the "main accounts." Magazines are the thematic sections of the main account. Basically, the main account (for example, @NationalGeographic@flipboard.com) publishes a news item, and depending on the topic, it can be published in the "Science" Activitypub group (@science-NationalGeographic@flipboard.com) or the "Environment" Activitypub group (@environment-NationalGeographic@flipboard.com), OR both.
This design, intended to maximize visibility on the Mastodon audience, is incompatible with Lemmy's logic.
Lemmy, in fact, as I mentioned before, doesn't allow synchronous crossposting of the same content across multiple groups.

The same goes for Misskey.


Lemmy handles Misskey very well. And Misskey handles Lemmy very well. I don't understand the problem.


From what I can see, that is not a back-end restructuring but as far as a new architectural design it will purely affect the front-end UI. Which will begin to look somewhat more similar to PieFed, yet without coming anywhere close to what PieFed offers today, as opposed to what PieFed offered like a year ago. e.g. there will be no ability to hold polls (or to share those custom-built feeds?).

More relevant is that Lemmy 1.0 may take a year or so to become fully deployed across the Threadiverse, if past experience is any judge. The devs say to explicitly expect major breaking bugs and perhaps to avoid deployment in prod as a result. And ofc apps are going to need to catch up as well. This one being a breaking change may lead most older apps unable to connect to an instance that uses the newer software (unless I am misreading that part about the older backwards compatible API).

Lemmy.world in particular, which holds ~50% of Threadiverse users and >90% of the most highly-active communities (unfortunately for the aim of decentralization) is well-known for delaying deployment until the Lemmy code fixes such issues.

So a year from now Lemmy will begin to catch up to some of what PieFed had almost a year ago in the past already, and meanwhile I expect PieFed will not itself be standing still all that time... I am glad to see that Lemmy is still being actively worked on, truly I am, but also I find it hard to actually be excited about that pace, by comparison. Then again, any movement forward still counts, and improves the Fediverse as a whole, so by however much, it is still a good thing! 😀


Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Lo 0day in Oracle PeopleSoft ha permesso ai hacker di svuotare più di cento organizzazioni

📌 Link all'articolo : redhotcyber.com/post/lo-0day-i…

A cura di Redazione RHC

#redhotcyber #news #cybersecurity #hacking #malware #ransomware #zeroday #oracle #peoplesoft

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

-CISA changes federal patching rules
-House Republican hacked by Russia
-US Cyber Force voted out of NDAA
-FCC seeks stronger telco KYC
-ShinyHunters gets an Oracle zero-day
-npm to block auto-run install scripts by default
-Argentina soccer squad passports leak
-Breach at Thailand's health agency exposes 67m
-Coupang gets record $409m fine
-Hackers extort Jamaica
-Philippines Senate website defaced

Newsletter: news.risky.biz/risky-bulletin-…
Podcast: risky.biz/RBNEWS576/

reshared this

in reply to Catalin Cimpanu

The media in this post is not displayed to visitors. To view it, please go to the original post.

-Cyberattack stops sugar mills in Australia
-UK weakens proposed telecom rules
-Poland criminalizes "trash streaming"
-Canada to ban social media for under 16s
-DOJ seizes Chinese recruitment sites
-Canadian hacker who deployed cryptominer on supercomputer to be extradited to US
-Europol seizes AudiA6 laundering service
-Ennetcom CEO gets a reduced sentence on appeal
-Loads of new malware strains
-11 million infected with infostealers last year

Catalin Cimpanu reshared this.

in reply to Catalin Cimpanu

The media in this post is not displayed to visitors. To view it, please go to the original post.

-Laundry Bear member extradited to US
-Reports on the Kremlin's disinformation in Bulgaria and Armenia
-OceanLotus turns to domestic espionage
-JDY botnet doubled in size
-Khmer Shadow APT targets Cambodian government
-OpenAI takes down Chinese info-op
-Microsoft patches Exchange zero-day
-Invanti Sentry RCE exploited in the wild hours after detailed write-up
-phpBB patches decade-old session hijacking bug
-NIST releases ransomware guide
-Criminal AI-as-a-Service offerings are expanding
Cybersecurity & cyberwarfare ha ricondiviso questo.

21,786 Home #Cameras, No Password, No Warning
securityaffairs.com/193536/hac…
#securityaffairs #hacking

reshared this

The Hackaday Communicator Badge, Re-Imagined With New Firmware


The media in this post is not displayed to visitors. To view it, please log in.

Our recently concluded event in Europe saw the return of the Hackaday Communicator badge — a stylish handheld gadget with a QWERTY keyboard, a LoRa radio, and an ESP32. It came complete with a simple messaging app built into it’s MicroPython firmware, and by all accounts it was a great success.

But there was certainly room for improvement, which is where [Giovi321]’s new firmware for the badge comes in. It brings support for Meshtastic proper, as well as longer battery life support for GPS module. To install this firmware you will need to have the ESP-IDF but fortunately there are very comprehensive instructions provided to help you. Under the hood it’s running FreeRTOS.

It’s something which is so often missing with an event badge, any sense of how it might have a life after the event rather than becoming a piece of e-waste. The Communicator badge is such a nice physical design that it obviously has potential, so this firmware unlocks it and gives the badge a use out in the real world. We really like it for this, and we’ll be flashing a few of our badges over to give it a shot shorlty.

If you’re looking to upgrade the hardware on your Communicator, check out the custom RGB keyboard we covered last week.


hackaday.com/2026/06/12/the-ha…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

🔥 AFFRETTATEVI AD ISCRIVERVI! SIAMO GIA' A 9 POSTI SU 14 DISPONIBILI PER L'OTTAVA LIVE CLASS "𝗗𝗔𝗥𝗞 𝗪𝗘𝗕 𝗘 𝗖𝗬𝗕𝗘𝗥 𝗧𝗛𝗥𝗘𝗔𝗧 𝗜𝗡𝗧𝗘𝗟𝗟𝗜𝗚𝗘𝗡𝗖𝗘" – livello intermedio 🚀

Per info e iscrizioni: 📱 💬 379 163 8765 ✉️ formazione@redhotcyber.com

#redhotcyber #formazione #cybersecurity #darkweb #cti

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Sicurezza Informatica: è boom di Assunzioni ma attenzione all’Intelligenza Artificiale

📌 Link all'articolo : redhotcyber.com/post/sicurezza…

A cura di Silvia Felici

#redhotcyber #news #cybersecurity #intelligenzaartificiale #sicurezzainformatica

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

338 – Non sono più fake news. È guerra alla scienza camisanicalzolari.it/338-non-s…

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

RHC Conference 2026 - L’Incrocio tra Domini Cyber e Space: Come Hackerare un Satellite LEO

📍Guarda il video: youtube.com/watch?v=CxeZ9XeSwm…

#redhotcyber #rhcconference #conferenza #informationsecurity #ethicalhacking

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Robert Noyce, la nascita di Intel e quella profezia sui chip che oggi spiega Taiwan

📌 Link all'articolo : redhotcyber.com/post/robert-no…

A cura di Carlo Denza

#redhotcyber #news #storiadiunazienda #aeroportodimilano #ingegnere #ivrea #california

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Ancora LPE su Linux! Basta un solo carattere per scalare a root e l’exploit è online

📌 Link all'articolo : redhotcyber.com/post/ancora-lp…

A cura di Luigi Zullo

#redhotcyber #news #cybersecurity #hacking #linux #vulnerabilitalpe #nf_tables #firewall

reshared this

Amiga 1232 Storm CD Packs Every Upgrade into One Wedge


The media in this post is not displayed to visitors. To view it, please log in.

It's rare to see an A1200 case fuller than this.

You know what they used to say– once you go Commodore, you’ll never leave by any door. Well, they might not have said that, but given the prevalence of projects still using Commodore-branded systems decades after the company’s demise, perhaps someone should have. A case in point is [Jit06] with this writeup on his Ultimate Amiga 1200 — or “Amiga 1232 Storm CD”– which crams just about every upgrade you might think of into the 1990s wedge computer.

Of course it has the PiStorm 32, with a CM4 providing supercomputer performance, at least by A1200 standards. That’s rather old hat, though, and it’s everything else crammed into the old Commodore that takes the score. For one thing, there’s a slot-loading, slim-form DVD drive from an old laptop that’s been incorporated so smoothly it almost looks factory. Ditto for the compact flash card slot, which is also on the IDE bus. The two share a custom IDE cable– yes, kids, we did used to roll our on 44-pin cables back in the day, but you’d better believe no one did it unless they really had to. With the space constraints inside the A1200 case, [Jit06] falls into that category.

The optical and CF cards trigger the drive LED on the Amiga case by default, but [Jit] wanted to see access on the PiStorm’s SD card as well, so he wired a couple of red LEDs to the default lightguide to get a colour-contrasting flash. That SD card is also broken out with an extender for easy access without opening the case– and once again, it looks almost as good as stock. So does the modded-on VGA port, which is stealing space that once belonged to the Amiga’s RF modulator and fed by a ScanPlus AGA board.

The only thing that really stands out as modded is the volume knob on the floppy-drive side of the case; that controls a mixer that sits between the CD audio and Paula, the Amiga’s custom sound chip. This lets him use the A1200 as a CD-32 system, and is very handy to have as CD-32 games used CD audio tracks that apparently were not well mixed with the digital audio in the games.

With all the cutting and soldering, this is not a reversible mod, something people are becoming much more concerned with as these machines slowly increase in rarity. Still, as a quality-of-life improvement, this sort of upgrade might be worth it if can keep the old A1200 relevant for another three decades. For anyone else who never got over the Amiga bug, he’s also published a linux-native SD-card creator called emu68 bootstrap on github to help with making images for the PiStorm.

Thanks to [Jit] for the tip! With the easy OS-swapping he’s enabled with the SD-breakout, there’s no reason not to try the rediscovered Amiga Unix. If you want the same without cutting into a vintage case, the PiStorm can be a sidecar.

youtube.com/embed/LV2FffhXCYo?…


hackaday.com/2026/06/11/amiga-…

So Many Analog to Digital Converters


The media in this post is not displayed to visitors. To view it, please log in.

An old algebra teacher used to say, “You have to take what you know and use it to get what you don’t know.” You might say the same thing about converting analog signals into digital. Computers know how to count and keep time. [Eric Explains] has a video purporting to explain “every type of analog-to-digital converter.” We aren’t sure he got every possible method, but there’s still a lot of information in the video, which you can see below.

From the flash ADC, using a ton of comparators to the successive approximation converter, which essentially plays a game of hi/lo, guessing the answer and figuring out if the real answer is higher or lower.

Those are pretty common, but the video also covers things like the Wilkinson ADC and other more exotic techniques. Each method, of course, has its advantages and disadvantages. For example, the flash ADC is fast, but requires a lot of components and power.

Sometimes, the method you use depends on how you are building. For example, you probably wouldn’t use a charge system on a breadboard since precision capacitors are finicky. But on an integrated circuit, capacitors made with photolithography may not be very precise, but the ratio between capacitors is super precise, making that a common technique in that domain.

Even if you never need to design your own converter, understanding the different architectures will let you make a better selection among alternatives. Then again, you can design your own. We’ve seen most of these architectures in past projects.

youtube.com/embed/mG8td8mqF3Y?…


hackaday.com/2026/06/11/so-man…

Repairing a Pair of Voodoo 2 GPUs for some SLI Action


The media in this post is not displayed to visitors. To view it, please log in.


Well there's your problem. (Credit: Bits und Bolts, YouTube)Well there’s your problem. (Credit: Bits und Bolts, YouTube)
Recently [Bits und Bolts] stumbled over a pair of Dragon 3000 branded 3dfx Voodoo 2 cards in his unfixed cards pile, and decided that the best course of action was to not only fix them, but also run them in SLI for some sweet Unreal Tournament action. Naturally, these cards being in the broken cards pile meant that he first had to figure out why they were broken and fix all issues.

The advantage of having two identical Voodoo 2 cards is of course that any missing components, like some resistors on one card, could be referenced on the other card. Beyond that it was mostly a matter of reflowing clearly corroded pins on the ICs and replacing damaged resistors and resistor arrays before the first tests could be run.

Using the mojo utility it was easy enough to spot that there were still some lingering issues, with clear issues visible in 3D games as well. These were tracked down to a dodgy pin on one of the texture mapping units (TMUs) that needed some more reflowing, and a very sneaky resistor array that was cracked but not obviously so until prodded with a multimeter.

With both cards now making happy noises when individually tested, it was time to go full SLI, fire up the Pentium 2 system and enjoy the glory of 24 MB of VRAM at high resolutions in Unreal Tournament. Considering that the bloke who had sent in these cards had found them while cleaning up a shed, it’s quite amazing how little rework was needed to once again party like it’s 1999.

youtube.com/embed/c7OOJfYCSS0?…


hackaday.com/2026/06/11/repair…

Cybersecurity & cyberwarfare ha ricondiviso questo.

NEW: Oracle is warning customers of an unpatched bug in its PeopleSoft software, which Google says is the flaw that the cybercrime group ShinyHunters is exploiting in its latest mass hacking campaign.

Google said it notified more than 100 organizations worldwide that they had exposed and vulnerable PeopleSoft servers, most of them colleges and universities.

techcrunch.com/2026/06/11/orac…

Evidence for Water Vapor Plumes on Europa Vanishes in Re-Analysis


The media in this post is not displayed to visitors. To view it, please log in.

An image of the surface of Europa. The top half of the sphere is illuminated with the bottom half dark. The surface is traced with lineae, long lines across its surface of various hues of grey, white, and brown. The surface is a brown-grey, somewhat like Earth's Moon with the highest brightness areas appearing white.

Unlike on Mars where for decades we have had dozens of orbital and ground-based platforms zipping and scurrying about to prod at every bit of emitted radiation, rock type and twitch of dust devils in its thin atmosphere, for other planets and their moons we have to do a lot more speculative interpretation of data. Such was the case with the presumed existence of water plumes on Jupiter’s moon Europa. These now appear to have been a statistical fluke, per research by [L. Roth] et al. in Astronomy & Astrophysics.

As succinctly summarized in the article on this by [Javier Barbuzano] of Sky and Telescope, the original 2013 finding of said water plumes by the same team was based on faint UV emissions from Europa’s southern hemisphere as captured by the Hubble Space Telescope. However, in more recent captures these emissions were not detected again, leading them to reexamine their original analysis of the 2013 data.

One of the main flaws was in the assumption of where Europe was located on Hubble’s 1,000 x 1,000 resolution detector, with the re-analysis showing that they were off by a couple of pixels. A second flaw was quite understandable as since 2013 we have learned that Europa has a thin hydrogen exosphere which interacts with the Sun’s UV radiation. The resulting scattering induces a UV glow which could be mistaken for UV radiation emanating from the moon’s surface.

Even with this one intriguing feature turning out to be a mirage, it doesn’t make Europa any less interesting as it’s still assumed to have vast liquid water oceans. Along with Uranus’ moon Miranda this makes it very worth it to experience more of the sights and sounds of these alien worlds, whether in person or via our robotic friends.


hackaday.com/2026/06/11/eviden…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ RoguePlanet: il quinto zero-day di Nightmare Eclipse trasforma Microsoft Defender in un vettore di escalation a SYSTEM
#CyberSecurity
insicurezzadigitale.com/roguep…

@informatica


RoguePlanet: il quinto zero-day di Nightmare Eclipse trasforma Microsoft Defender in un vettore di escalation a SYSTEM


Ore dopo che Microsoft ha distribuito il Patch Tuesday di giugno 2026 — correggendo tra l’altro due zero-day dello stesso ricercatore — Nightmare Eclipse ha rilasciato pubblicamente RoguePlanet, un nuovo exploit che sfrutta una race condition in Microsoft Defender per elevare i privilegi a SYSTEM su sistemi completamente patchati. Il gesto è l’ultimo atto di una guerra a distanza tra il ricercatore e Redmond su pratiche di divulgazione e bug bounty, e solleva interrogativi scomodi sulla gestione delle vulnerabilità da parte della più grande azienda di software al mondo.

La saga Nightmare Eclipse: cinque zero-day, una disputa irrisolta


RoguePlanet è il quinto exploit zero-day pubblicamente rilasciato da Nightmare Eclipse negli ultimi mesi, dopo BlueHammer, RedSun, GreenPlasma e YellowKey. I precedenti exploit hanno colpito Microsoft Defender, BitLocker e componenti core di Windows; GreenPlasma e YellowKey sono stati corretti proprio nel Patch Tuesday del 9 giugno 2026.

Il ricercatore sostiene che Microsoft abbia sistematicamente rimosso i repository GitHub e GitLab che ospitavano i PoC, costringendolo a creare una piattaforma self-hosted (projectnightcrawler.dev). Microsoft ha risposto nel maggio 2026 con un comunicato del MSRC in cui avvertiva che avrebbe collaborato con le autorità in caso di “attività dannose che causano reale danno ai clienti” — una formulazione che la comunità della sicurezza ha ampiamente interpretato come una velata minaccia legale verso il ricercatore. L’effetto è stato controproducente: la tensione si è intensificata, e RoguePlanet ne è la diretta conseguenza.

Meccanica dell’exploit: dalla RCE alla LPE via Defender


RoguePlanet nasce originariamente come vulnerabilità di Remote Code Execution. L’idea iniziale sfruttava il modo in cui Microsoft Defender gestisce file ospitati su share SMB remoti: un attaccante poteva indurre una vittima ad aprire un file .vhd(x) su un server SMB controllato, ottenendo che Defender sovrascrivesse i propri file — con conseguente RCE.

A metà maggio 2026, Microsoft ha effettuato un hardening silenzioso dell’API mpengine!SysIO*, bloccando gli attacchi basati su junction point. Il ricercatore ha dovuto riscrivere l’exploit da zero, riuscendo a preservare solo la componente di Local Privilege Escalation. Nella forma attuale:

  • L’exploit sfrutta una race condition nella logica di processing interno di Defender.
  • Un utente non privilegiato reindirizza un’operazione su file eseguita da Defender (che gira come SYSTEM) verso codice controllato dall’attaccante.
  • Il risultato è l’apertura di un command prompt con privilegi SYSTEM — la shell più privilegiata su Windows.
  • La percentuale di successo è variabile: il ricercatore riporta “100% su alcune macchine, meno su altre”, essendo una race condition dipendente dal timing.

ThreatLocker ha confermato la riproducibilità dell’exploit su Windows 11 con la patch KB5094126 installata. Il CEO Danny Jenkins ha dichiarato a BleepingComputer: “La nostra analisi iniziale conferma che l’exploit RoguePlanet è valido e funziona come descritto. Le organizzazioni che utilizzano application allowlisting possono prevenire l’esecuzione dell’exploit.”

Sistemi affetti e stato attuale


Al momento della pubblicazione di questo articolo, non esiste una patch ufficiale Microsoft per RoguePlanet. I sistemi vulnerabili includono:

  • Windows 11 (build Official e Canary) con gli aggiornamenti di giugno 2026 installati
  • Windows 10 con gli aggiornamenti di giugno 2026 installati

Non sono stati rilevati casi di sfruttamento attivo in the wild al momento della scrittura. Tuttavia, l’exploit è pubblicamente disponibile su un repository self-hosted, il che abbassa significativamente la barriera per attori motivati.

Il paradosso della divulgazione: quando il vendor diventa il problema


La vicenda Nightmare Eclipse tocca un nervo scoperto dell’ecosistema della sicurezza: cosa succede quando un vendor di dimensioni planetarie risponde ai ricercatori indipendenti con minacce legali anziché con correzioni tempestive e riconoscimento equo?

Il modello di coordinated disclosure — già fragile — mostra le sue crepe: il ricercatore ha seguito le procedure inizialmente, ma la risposta di Microsoft (rimozione dei repository, silenzio sul bug bounty, comunicato quasi legalistico) ha spinto verso la full disclosure non coordinata. Il risultato è una serie di zero-day pubblici su uno dei sistemi operativi più diffusi al mondo, senza patch disponibili.

Va notato che la comunità della sicurezza rimane divisa: alcuni vedono Nightmare Eclipse come un ricercatore che agisce nell’interesse pubblico esponendo pratiche scorrette; altri ritengono che rilasciare exploit senza patch metta in pericolo utenti comuni. La verità è che entrambe le posizioni hanno una base legittima — e che il vero problema risiede nel comportamento di Microsoft.

Indicatori e due righe per i difensori


In assenza di patch, le misure di mitigazione disponibili sono:

  • Application allowlisting: come confermato da ThreatLocker, blocca l’esecuzione del payload. Soluzioni come Windows Defender Application Control (WDAC) o AppLocker possono essere efficaci.
  • Principio del minimo privilegio: l’exploit richiede l’esecuzione di codice come utente locale. Ridurre la superficie d’attacco limitando i diritti degli utenti finali.
  • Monitoraggio dei processi sospetti: alert su processi figlio spawned da MsMpEng.exe (il processo principale di Defender) con privilegi elevati.
  • EDR e XDR: monitorare comportamenti anomali legati a race condition sulle operazioni di file di Defender.


# Processo da monitorare
MsMpEng.exe → cmd.exe / powershell.exe (child process con TOKEN SYSTEM)
# Percorsi sensibili coinvolti
C:\ProgramData\Microsoft\Windows Defender\*
mpengine!SysIO* API calls con reindirizzamento anomalo
# Fonti di intelligence
projectnightcrawler.dev (self-hosted repo Nightmare Eclipse)
CVE: non ancora assegnato al momento della pubblicazione

La storia di RoguePlanet non è semplicemente quella di un exploit: è il sintomo di un ecosistema della vulnerability disclosure sotto pressione, in cui le dinamiche di potere tra vendor e ricercatori indipendenti producono rischi reali per tutti gli utenti Windows. Seguiremo gli sviluppi.

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ WhatsApp vs NSO Group: violata l’ingiunzione del tribunale, spearphishing contro gli utenti nonostante il divieto
#CyberSecurity
insicurezzadigitale.com/whatsa…

@informatica


WhatsApp vs NSO Group: violata l’ingiunzione del tribunale, spearphishing contro gli utenti nonostante il divieto


WhatsApp ha presentato una richiesta di contempt order al tribunale federale contro NSO Group, accusando la società israeliana di spyware di aver continuato a colpire gli utenti della piattaforma nonostante un’ingiunzione permanente emessa in ottobre che le vietava esplicitamente di farlo. La vicenda riapre il dibattito sul mercato degli spyware commerciali e sull’efficacia degli strumenti legali contro chi li produce.

Il Contesto: sette anni di battaglia legale


La storia tra WhatsApp e NSO Group inizia nell’ottobre 2019, quando la piattaforma di Meta ha citato in giudizio la società israeliana per aver sfruttato una vulnerabilità del servizio per installare il suo spyware Pegasus su circa 1.400 dispositivi di attivisti per i diritti umani, giornalisti e dissidenti in tutto il mondo attraverso attacchi zero-click. Bastava che il bersaglio ricevesse una chiamata WhatsApp — anche senza risponderla — per compromettere il dispositivo.

Il procedimento giudiziario si è concluso con una vittoria storica per WhatsApp: nel maggio 2026 una giuria ha inizialmente assegnato 167 milioni di dollari di danni punitivi, successivamente ridotti a 4,4 milioni dal giudice federale che presiedeva il caso. A ottobre 2025, lo stesso giudice ha emesso un’ingiunzione permanente che vietava a NSO di utilizzare WhatsApp come vettore d’attacco.

NSO aveva risposto all’ingiunzione dichiarando che avrebbe potuto “mettere a rischio l’intera impresa NSO” e “costringere NSO a chiudere i battenti”, mentre il giudice respingeva le sue richieste di sospensione dell’ordine. La società ha presentato appello a novembre 2025, con un procedimento ancora in corso.

Le nuove violazioni: spearphishing in spregio al tribunale


Nonostante l’ingiunzione, WhatsApp ha rilevato nuova attività malevola attribuita a NSO Group dopo che utenti hanno segnalato comportamenti sospetti. Secondo il blog post pubblicato da Meta l’8 giugno 2026, gli attacchi avrebbero usato tecniche di social engineering per indurre gli utenti a cliccare su link malevoli verso siti web esterni fuori da WhatsApp, una metodologia simile alle campagne di 1-click phishing già in precedenza collegate a NSO.

La tecnica rappresenta un’evoluzione rispetto agli attacchi zero-click del 2019: non sfruttando più una vulnerabilità tecnica della piattaforma (impossibile dopo le patch e l’ingiunzione), NSO avrebbe adottato un approccio di spearphishing che richiede l’interazione dell’utente ma aggira il divieto tecnico di sfruttamento diretto dell’app. NSO avrebbe anche creato account e gruppi test su WhatsApp che la piattaforma ha rimosso.

WhatsApp ha condiviso pubblicamente gli indicatori di compromissione associati alle campagne e incoraggia gli utenti a verificare se siano stati bersaglio di metodi di social engineering collegati a NSO su più piattaforme, inclusi SMS ed email.

Le implicazioni: NSO sotto nuova proprietà, stessa operatività


Un elemento di contesto importante: lo scorso anno un gruppo di investitori americani ha acquisito NSO Group con l’ambizione dichiarata di rientrare nel mercato statunitense, da cui la società era stata di fatto esclusa dopo l’inserimento nella Entity List del Dipartimento del Commercio USA nel novembre 2021. L’acquisizione non sembra aver cambiato le pratiche operative della società.

Il mercato degli spyware commerciali continua a operare in una zona grigia normativa: i produttori si definiscono fornitori di strumenti legittimi per forze dell’ordine e intelligence, mentre le evidenze mostrano sistematicamente usi contro giornalisti, attivisti e dissidenti politici. Casi come quello di NSO Group dimostrano che anche quando una corte impone restrizioni operative esplicite, la compliance può essere ignorata.

La richiesta di contempt: cosa succede adesso


Con la richiesta di contempt of court, WhatsApp chiede al tribunale di sanzionare NSO per aver violato l’ingiunzione permanente di ottobre. Se il giudice dovesse riconoscere la violazione, NSO potrebbe essere soggetta a sanzioni finanziarie aggiuntive e a misure coercitive più severe, con potenziale impatto sull’appello ancora pendente.

Il caso stabilisce un precedente rilevante per l’intero settore dello spyware commerciale: per la prima volta un’azienda tecnologica è riuscita a ottenere non solo una vittoria risarcitoria ma un’ingiunzione permanente di portata operativa contro un vendor di sorveglianza. La risposta del tribunale alla presunta violazione di quell’ingiunzione determinerà se tali strumenti legali abbiano effettiva capacità deterrente.

Indicatori e raccomandazioni


WhatsApp ha pubblicato indicatori di minaccia collegati alle campagne di NSO. Chi ritiene di poter essere un bersaglio ad alto rischio — giornalisti, attivisti, operatori umanitari, funzionari governativi — dovrebbe:

  • Verificare i propri dispositivi con strumenti come Mobile Verification Toolkit (MVT) di Amnesty International, che analizza artefatti forensi associati a Pegasus
  • Trattare con massima sospetto qualsiasi link ricevuto su WhatsApp che rimandi a siti esterni, soprattutto da contatti non verificati o messaggi non attesi
  • Controllare i propri account WhatsApp per rilevare accessi da dispositivi o sessioni non riconosciute
  • Monitorare i threat indicators pubblicati da WhatsApp/Meta per verificare la presenza di domini o IP associati alle campagne negli access log dei propri sistemi

Il caso NSO-WhatsApp non è solo una vicenda legale tra due aziende: è uno dei fronti principali della battaglia globale per definire i limiti dell’industria dello spyware commerciale e la responsabilità legale dei suoi protagonisti.


The media in this post is not displayed to visitors. To view it, please log in.

WhatsApp vs NSO Group: violata l’ingiunzione del tribunale, spearphishing contro gli utenti nonostante il divieto


@Informatica (Italy e non Italy)
Dopo aver vinto la causa contro NSO Group nel 2025, WhatsApp chiede al tribunale federale di sanzionare la società israeliana per aver continuato ad attaccare i propri utenti con campagne di


WhatsApp vs NSO Group: violata l’ingiunzione del tribunale, spearphishing contro gli utenti nonostante il divieto


WhatsApp ha presentato una richiesta di contempt order al tribunale federale contro NSO Group, accusando la società israeliana di spyware di aver continuato a colpire gli utenti della piattaforma nonostante un’ingiunzione permanente emessa in ottobre che le vietava esplicitamente di farlo. La vicenda riapre il dibattito sul mercato degli spyware commerciali e sull’efficacia degli strumenti legali contro chi li produce.

Il Contesto: sette anni di battaglia legale


La storia tra WhatsApp e NSO Group inizia nell’ottobre 2019, quando la piattaforma di Meta ha citato in giudizio la società israeliana per aver sfruttato una vulnerabilità del servizio per installare il suo spyware Pegasus su circa 1.400 dispositivi di attivisti per i diritti umani, giornalisti e dissidenti in tutto il mondo attraverso attacchi zero-click. Bastava che il bersaglio ricevesse una chiamata WhatsApp — anche senza risponderla — per compromettere il dispositivo.

Il procedimento giudiziario si è concluso con una vittoria storica per WhatsApp: nel maggio 2026 una giuria ha inizialmente assegnato 167 milioni di dollari di danni punitivi, successivamente ridotti a 4,4 milioni dal giudice federale che presiedeva il caso. A ottobre 2025, lo stesso giudice ha emesso un’ingiunzione permanente che vietava a NSO di utilizzare WhatsApp come vettore d’attacco.

NSO aveva risposto all’ingiunzione dichiarando che avrebbe potuto “mettere a rischio l’intera impresa NSO” e “costringere NSO a chiudere i battenti”, mentre il giudice respingeva le sue richieste di sospensione dell’ordine. La società ha presentato appello a novembre 2025, con un procedimento ancora in corso.

Le nuove violazioni: spearphishing in spregio al tribunale


Nonostante l’ingiunzione, WhatsApp ha rilevato nuova attività malevola attribuita a NSO Group dopo che utenti hanno segnalato comportamenti sospetti. Secondo il blog post pubblicato da Meta l’8 giugno 2026, gli attacchi avrebbero usato tecniche di social engineering per indurre gli utenti a cliccare su link malevoli verso siti web esterni fuori da WhatsApp, una metodologia simile alle campagne di 1-click phishing già in precedenza collegate a NSO.

La tecnica rappresenta un’evoluzione rispetto agli attacchi zero-click del 2019: non sfruttando più una vulnerabilità tecnica della piattaforma (impossibile dopo le patch e l’ingiunzione), NSO avrebbe adottato un approccio di spearphishing che richiede l’interazione dell’utente ma aggira il divieto tecnico di sfruttamento diretto dell’app. NSO avrebbe anche creato account e gruppi test su WhatsApp che la piattaforma ha rimosso.

WhatsApp ha condiviso pubblicamente gli indicatori di compromissione associati alle campagne e incoraggia gli utenti a verificare se siano stati bersaglio di metodi di social engineering collegati a NSO su più piattaforme, inclusi SMS ed email.

Le implicazioni: NSO sotto nuova proprietà, stessa operatività


Un elemento di contesto importante: lo scorso anno un gruppo di investitori americani ha acquisito NSO Group con l’ambizione dichiarata di rientrare nel mercato statunitense, da cui la società era stata di fatto esclusa dopo l’inserimento nella Entity List del Dipartimento del Commercio USA nel novembre 2021. L’acquisizione non sembra aver cambiato le pratiche operative della società.

Il mercato degli spyware commerciali continua a operare in una zona grigia normativa: i produttori si definiscono fornitori di strumenti legittimi per forze dell’ordine e intelligence, mentre le evidenze mostrano sistematicamente usi contro giornalisti, attivisti e dissidenti politici. Casi come quello di NSO Group dimostrano che anche quando una corte impone restrizioni operative esplicite, la compliance può essere ignorata.

La richiesta di contempt: cosa succede adesso


Con la richiesta di contempt of court, WhatsApp chiede al tribunale di sanzionare NSO per aver violato l’ingiunzione permanente di ottobre. Se il giudice dovesse riconoscere la violazione, NSO potrebbe essere soggetta a sanzioni finanziarie aggiuntive e a misure coercitive più severe, con potenziale impatto sull’appello ancora pendente.

Il caso stabilisce un precedente rilevante per l’intero settore dello spyware commerciale: per la prima volta un’azienda tecnologica è riuscita a ottenere non solo una vittoria risarcitoria ma un’ingiunzione permanente di portata operativa contro un vendor di sorveglianza. La risposta del tribunale alla presunta violazione di quell’ingiunzione determinerà se tali strumenti legali abbiano effettiva capacità deterrente.

Indicatori e raccomandazioni


WhatsApp ha pubblicato indicatori di minaccia collegati alle campagne di NSO. Chi ritiene di poter essere un bersaglio ad alto rischio — giornalisti, attivisti, operatori umanitari, funzionari governativi — dovrebbe:

  • Verificare i propri dispositivi con strumenti come Mobile Verification Toolkit (MVT) di Amnesty International, che analizza artefatti forensi associati a Pegasus
  • Trattare con massima sospetto qualsiasi link ricevuto su WhatsApp che rimandi a siti esterni, soprattutto da contatti non verificati o messaggi non attesi
  • Controllare i propri account WhatsApp per rilevare accessi da dispositivi o sessioni non riconosciute
  • Monitorare i threat indicators pubblicati da WhatsApp/Meta per verificare la presenza di domini o IP associati alle campagne negli access log dei propri sistemi

Il caso NSO-WhatsApp non è solo una vicenda legale tra due aziende: è uno dei fronti principali della battaglia globale per definire i limiti dell’industria dello spyware commerciale e la responsabilità legale dei suoi protagonisti.


The media in this post is not displayed to visitors. To view it, please log in.

RoguePlanet: il quinto zero-day di Nightmare Eclipse trasforma Microsoft Defender in un vettore di escalation a SYSTEM


@Informatica (Italy e non Italy)
Un ricercatore in guerra aperta con Microsoft rilascia 'RoguePlanet', un exploit zero-day che sfrutta una race condition in Microsoft Defender per ottenere privilegi SYSTEM su


RoguePlanet: il quinto zero-day di Nightmare Eclipse trasforma Microsoft Defender in un vettore di escalation a SYSTEM


Ore dopo che Microsoft ha distribuito il Patch Tuesday di giugno 2026 — correggendo tra l’altro due zero-day dello stesso ricercatore — Nightmare Eclipse ha rilasciato pubblicamente RoguePlanet, un nuovo exploit che sfrutta una race condition in Microsoft Defender per elevare i privilegi a SYSTEM su sistemi completamente patchati. Il gesto è l’ultimo atto di una guerra a distanza tra il ricercatore e Redmond su pratiche di divulgazione e bug bounty, e solleva interrogativi scomodi sulla gestione delle vulnerabilità da parte della più grande azienda di software al mondo.

La saga Nightmare Eclipse: cinque zero-day, una disputa irrisolta


RoguePlanet è il quinto exploit zero-day pubblicamente rilasciato da Nightmare Eclipse negli ultimi mesi, dopo BlueHammer, RedSun, GreenPlasma e YellowKey. I precedenti exploit hanno colpito Microsoft Defender, BitLocker e componenti core di Windows; GreenPlasma e YellowKey sono stati corretti proprio nel Patch Tuesday del 9 giugno 2026.

Il ricercatore sostiene che Microsoft abbia sistematicamente rimosso i repository GitHub e GitLab che ospitavano i PoC, costringendolo a creare una piattaforma self-hosted (projectnightcrawler.dev). Microsoft ha risposto nel maggio 2026 con un comunicato del MSRC in cui avvertiva che avrebbe collaborato con le autorità in caso di “attività dannose che causano reale danno ai clienti” — una formulazione che la comunità della sicurezza ha ampiamente interpretato come una velata minaccia legale verso il ricercatore. L’effetto è stato controproducente: la tensione si è intensificata, e RoguePlanet ne è la diretta conseguenza.

Meccanica dell’exploit: dalla RCE alla LPE via Defender


RoguePlanet nasce originariamente come vulnerabilità di Remote Code Execution. L’idea iniziale sfruttava il modo in cui Microsoft Defender gestisce file ospitati su share SMB remoti: un attaccante poteva indurre una vittima ad aprire un file .vhd(x) su un server SMB controllato, ottenendo che Defender sovrascrivesse i propri file — con conseguente RCE.

A metà maggio 2026, Microsoft ha effettuato un hardening silenzioso dell’API mpengine!SysIO*, bloccando gli attacchi basati su junction point. Il ricercatore ha dovuto riscrivere l’exploit da zero, riuscendo a preservare solo la componente di Local Privilege Escalation. Nella forma attuale:

  • L’exploit sfrutta una race condition nella logica di processing interno di Defender.
  • Un utente non privilegiato reindirizza un’operazione su file eseguita da Defender (che gira come SYSTEM) verso codice controllato dall’attaccante.
  • Il risultato è l’apertura di un command prompt con privilegi SYSTEM — la shell più privilegiata su Windows.
  • La percentuale di successo è variabile: il ricercatore riporta “100% su alcune macchine, meno su altre”, essendo una race condition dipendente dal timing.

ThreatLocker ha confermato la riproducibilità dell’exploit su Windows 11 con la patch KB5094126 installata. Il CEO Danny Jenkins ha dichiarato a BleepingComputer: “La nostra analisi iniziale conferma che l’exploit RoguePlanet è valido e funziona come descritto. Le organizzazioni che utilizzano application allowlisting possono prevenire l’esecuzione dell’exploit.”

Sistemi affetti e stato attuale


Al momento della pubblicazione di questo articolo, non esiste una patch ufficiale Microsoft per RoguePlanet. I sistemi vulnerabili includono:

  • Windows 11 (build Official e Canary) con gli aggiornamenti di giugno 2026 installati
  • Windows 10 con gli aggiornamenti di giugno 2026 installati

Non sono stati rilevati casi di sfruttamento attivo in the wild al momento della scrittura. Tuttavia, l’exploit è pubblicamente disponibile su un repository self-hosted, il che abbassa significativamente la barriera per attori motivati.

Il paradosso della divulgazione: quando il vendor diventa il problema


La vicenda Nightmare Eclipse tocca un nervo scoperto dell’ecosistema della sicurezza: cosa succede quando un vendor di dimensioni planetarie risponde ai ricercatori indipendenti con minacce legali anziché con correzioni tempestive e riconoscimento equo?

Il modello di coordinated disclosure — già fragile — mostra le sue crepe: il ricercatore ha seguito le procedure inizialmente, ma la risposta di Microsoft (rimozione dei repository, silenzio sul bug bounty, comunicato quasi legalistico) ha spinto verso la full disclosure non coordinata. Il risultato è una serie di zero-day pubblici su uno dei sistemi operativi più diffusi al mondo, senza patch disponibili.

Va notato che la comunità della sicurezza rimane divisa: alcuni vedono Nightmare Eclipse come un ricercatore che agisce nell’interesse pubblico esponendo pratiche scorrette; altri ritengono che rilasciare exploit senza patch metta in pericolo utenti comuni. La verità è che entrambe le posizioni hanno una base legittima — e che il vero problema risiede nel comportamento di Microsoft.

Indicatori e due righe per i difensori


In assenza di patch, le misure di mitigazione disponibili sono:

  • Application allowlisting: come confermato da ThreatLocker, blocca l’esecuzione del payload. Soluzioni come Windows Defender Application Control (WDAC) o AppLocker possono essere efficaci.
  • Principio del minimo privilegio: l’exploit richiede l’esecuzione di codice come utente locale. Ridurre la superficie d’attacco limitando i diritti degli utenti finali.
  • Monitoraggio dei processi sospetti: alert su processi figlio spawned da MsMpEng.exe (il processo principale di Defender) con privilegi elevati.
  • EDR e XDR: monitorare comportamenti anomali legati a race condition sulle operazioni di file di Defender.


# Processo da monitorare
MsMpEng.exe → cmd.exe / powershell.exe (child process con TOKEN SYSTEM)
# Percorsi sensibili coinvolti
C:\ProgramData\Microsoft\Windows Defender\*
mpengine!SysIO* API calls con reindirizzamento anomalo
# Fonti di intelligence
projectnightcrawler.dev (self-hosted repo Nightmare Eclipse)
CVE: non ancora assegnato al momento della pubblicazione

La storia di RoguePlanet non è semplicemente quella di un exploit: è il sintomo di un ecosistema della vulnerability disclosure sotto pressione, in cui le dinamiche di potere tra vendor e ricercatori indipendenti producono rischi reali per tutti gli utenti Windows. Seguiremo gli sviluppi.

Mechanical Stability For Your Coils


The media in this post is not displayed to visitors. To view it, please log in.

If you work with radio, the chances are that before too long you’ll be winding an inductor. At radio frequencies these won’t be big chunky transformer style chokes, but often air-cored affairs supported by their own rigidity. As grizzled old radio amateurs will tell you though, relying on such a coil for stability is a fool’s errand. It will shift inductance from the slightest movement, thermal expansion, or even sound. Luckily [SolderSmoke] is here to remind us of the trusty fix, in the form of Q-dope, or a polystyrene solution that dries to form a rigid low-dielectric coating.

Where this is being written it wasn’t on the market so it was more usual to use nail lacquer, but reading the piece it seems American hams swore by the stuff. That’s in the past tense because it seems it’s no longer on the market. Even there though help is at hand, because dissolving packaging polystyrene in solvent yields an acceptable substitute. There’s even an 11-year-old how-to video linked from the SolderSmoke post, should you fancy making some of your own. We suggest you proceed with caution though, polymers dissolved in solvents sounds a lot like home-made napalm, and probably puts out fumes you don’t want to breathe.

Meanwhile should you fancy experiments of your own with inductors, we’ve got you covered.


hackaday.com/2026/06/11/mechan…

Cybersecurity & cyberwarfare ha ricondiviso questo.

RoguePlanet: il quinto zero-day di Nightmare Eclipse trasforma Microsoft Defender in un vettore di escalation a SYSTEM


Un ricercatore in guerra aperta con Microsoft rilascia 'RoguePlanet', un exploit zero-day che sfrutta una race condition in Microsoft Defender per ottenere privilegi SYSTEM su Windows 10 e 11 completamente aggiornati. È il quinto exploit della serie, e arriva ore dopo il Patch Tuesday di giugno 2026.
The media in this post is not displayed to visitors. To view it, please go to the original post.

Ore dopo che Microsoft ha distribuito il Patch Tuesday di giugno 2026 — correggendo tra l’altro due zero-day dello stesso ricercatore — Nightmare Eclipse ha rilasciato pubblicamente RoguePlanet, un nuovo exploit che sfrutta una race condition in Microsoft Defender per elevare i privilegi a SYSTEM su sistemi completamente patchati. Il gesto è l’ultimo atto di una guerra a distanza tra il ricercatore e Redmond su pratiche di divulgazione e bug bounty, e solleva interrogativi scomodi sulla gestione delle vulnerabilità da parte della più grande azienda di software al mondo.

La saga Nightmare Eclipse: cinque zero-day, una disputa irrisolta


RoguePlanet è il quinto exploit zero-day pubblicamente rilasciato da Nightmare Eclipse negli ultimi mesi, dopo BlueHammer, RedSun, GreenPlasma e YellowKey. I precedenti exploit hanno colpito Microsoft Defender, BitLocker e componenti core di Windows; GreenPlasma e YellowKey sono stati corretti proprio nel Patch Tuesday del 9 giugno 2026.

Il ricercatore sostiene che Microsoft abbia sistematicamente rimosso i repository GitHub e GitLab che ospitavano i PoC, costringendolo a creare una piattaforma self-hosted (projectnightcrawler.dev). Microsoft ha risposto nel maggio 2026 con un comunicato del MSRC in cui avvertiva che avrebbe collaborato con le autorità in caso di “attività dannose che causano reale danno ai clienti” — una formulazione che la comunità della sicurezza ha ampiamente interpretato come una velata minaccia legale verso il ricercatore. L’effetto è stato controproducente: la tensione si è intensificata, e RoguePlanet ne è la diretta conseguenza.

Meccanica dell’exploit: dalla RCE alla LPE via Defender


RoguePlanet nasce originariamente come vulnerabilità di Remote Code Execution. L’idea iniziale sfruttava il modo in cui Microsoft Defender gestisce file ospitati su share SMB remoti: un attaccante poteva indurre una vittima ad aprire un file .vhd(x) su un server SMB controllato, ottenendo che Defender sovrascrivesse i propri file — con conseguente RCE.

A metà maggio 2026, Microsoft ha effettuato un hardening silenzioso dell’API mpengine!SysIO*, bloccando gli attacchi basati su junction point. Il ricercatore ha dovuto riscrivere l’exploit da zero, riuscendo a preservare solo la componente di Local Privilege Escalation. Nella forma attuale:

  • L’exploit sfrutta una race condition nella logica di processing interno di Defender.
  • Un utente non privilegiato reindirizza un’operazione su file eseguita da Defender (che gira come SYSTEM) verso codice controllato dall’attaccante.
  • Il risultato è l’apertura di un command prompt con privilegi SYSTEM — la shell più privilegiata su Windows.
  • La percentuale di successo è variabile: il ricercatore riporta “100% su alcune macchine, meno su altre”, essendo una race condition dipendente dal timing.

ThreatLocker ha confermato la riproducibilità dell’exploit su Windows 11 con la patch KB5094126 installata. Il CEO Danny Jenkins ha dichiarato a BleepingComputer: “La nostra analisi iniziale conferma che l’exploit RoguePlanet è valido e funziona come descritto. Le organizzazioni che utilizzano application allowlisting possono prevenire l’esecuzione dell’exploit.”

Sistemi affetti e stato attuale


Al momento della pubblicazione di questo articolo, non esiste una patch ufficiale Microsoft per RoguePlanet. I sistemi vulnerabili includono:

  • Windows 11 (build Official e Canary) con gli aggiornamenti di giugno 2026 installati
  • Windows 10 con gli aggiornamenti di giugno 2026 installati

Non sono stati rilevati casi di sfruttamento attivo in the wild al momento della scrittura. Tuttavia, l’exploit è pubblicamente disponibile su un repository self-hosted, il che abbassa significativamente la barriera per attori motivati.

Il paradosso della divulgazione: quando il vendor diventa il problema


La vicenda Nightmare Eclipse tocca un nervo scoperto dell’ecosistema della sicurezza: cosa succede quando un vendor di dimensioni planetarie risponde ai ricercatori indipendenti con minacce legali anziché con correzioni tempestive e riconoscimento equo?

Il modello di coordinated disclosure — già fragile — mostra le sue crepe: il ricercatore ha seguito le procedure inizialmente, ma la risposta di Microsoft (rimozione dei repository, silenzio sul bug bounty, comunicato quasi legalistico) ha spinto verso la full disclosure non coordinata. Il risultato è una serie di zero-day pubblici su uno dei sistemi operativi più diffusi al mondo, senza patch disponibili.

Va notato che la comunità della sicurezza rimane divisa: alcuni vedono Nightmare Eclipse come un ricercatore che agisce nell’interesse pubblico esponendo pratiche scorrette; altri ritengono che rilasciare exploit senza patch metta in pericolo utenti comuni. La verità è che entrambe le posizioni hanno una base legittima — e che il vero problema risiede nel comportamento di Microsoft.

Indicatori e due righe per i difensori


In assenza di patch, le misure di mitigazione disponibili sono:

  • Application allowlisting: come confermato da ThreatLocker, blocca l’esecuzione del payload. Soluzioni come Windows Defender Application Control (WDAC) o AppLocker possono essere efficaci.
  • Principio del minimo privilegio: l’exploit richiede l’esecuzione di codice come utente locale. Ridurre la superficie d’attacco limitando i diritti degli utenti finali.
  • Monitoraggio dei processi sospetti: alert su processi figlio spawned da MsMpEng.exe (il processo principale di Defender) con privilegi elevati.
  • EDR e XDR: monitorare comportamenti anomali legati a race condition sulle operazioni di file di Defender.


# Processo da monitorare
MsMpEng.exe → cmd.exe / powershell.exe (child process con TOKEN SYSTEM)
# Percorsi sensibili coinvolti
C:\ProgramData\Microsoft\Windows Defender\*
mpengine!SysIO* API calls con reindirizzamento anomalo
# Fonti di intelligence
projectnightcrawler.dev (self-hosted repo Nightmare Eclipse)
CVE: non ancora assegnato al momento della pubblicazione

La storia di RoguePlanet non è semplicemente quella di un exploit: è il sintomo di un ecosistema della vulnerability disclosure sotto pressione, in cui le dinamiche di potere tra vendor e ricercatori indipendenti producono rischi reali per tutti gli utenti Windows. Seguiremo gli sviluppi.
Questa voce è stata modificata (1 settimana fa)

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

WhatsApp vs NSO Group: violata l’ingiunzione del tribunale, spearphishing contro gli utenti nonostante il divieto


Dopo aver vinto la causa contro NSO Group nel 2025, WhatsApp chiede al tribunale federale di sanzionare la società israeliana per aver continuato ad attaccare i propri utenti con campagne di spearphishing, violando l'ingiunzione permanente emessa in ottobre. Un caso che ridefinisce i limiti legali del mercato degli spyware commerciali.
The media in this post is not displayed to visitors. To view it, please go to the original post.

WhatsApp ha presentato una richiesta di contempt order al tribunale federale contro NSO Group, accusando la società israeliana di spyware di aver continuato a colpire gli utenti della piattaforma nonostante un’ingiunzione permanente emessa in ottobre che le vietava esplicitamente di farlo. La vicenda riapre il dibattito sul mercato degli spyware commerciali e sull’efficacia degli strumenti legali contro chi li produce.

Il Contesto: sette anni di battaglia legale


La storia tra WhatsApp e NSO Group inizia nell’ottobre 2019, quando la piattaforma di Meta ha citato in giudizio la società israeliana per aver sfruttato una vulnerabilità del servizio per installare il suo spyware Pegasus su circa 1.400 dispositivi di attivisti per i diritti umani, giornalisti e dissidenti in tutto il mondo attraverso attacchi zero-click. Bastava che il bersaglio ricevesse una chiamata WhatsApp — anche senza risponderla — per compromettere il dispositivo.

Il procedimento giudiziario si è concluso con una vittoria storica per WhatsApp: nel maggio 2026 una giuria ha inizialmente assegnato 167 milioni di dollari di danni punitivi, successivamente ridotti a 4,4 milioni dal giudice federale che presiedeva il caso. A ottobre 2025, lo stesso giudice ha emesso un’ingiunzione permanente che vietava a NSO di utilizzare WhatsApp come vettore d’attacco.

NSO aveva risposto all’ingiunzione dichiarando che avrebbe potuto “mettere a rischio l’intera impresa NSO” e “costringere NSO a chiudere i battenti”, mentre il giudice respingeva le sue richieste di sospensione dell’ordine. La società ha presentato appello a novembre 2025, con un procedimento ancora in corso.

Le nuove violazioni: spearphishing in spregio al tribunale


Nonostante l’ingiunzione, WhatsApp ha rilevato nuova attività malevola attribuita a NSO Group dopo che utenti hanno segnalato comportamenti sospetti. Secondo il blog post pubblicato da Meta l’8 giugno 2026, gli attacchi avrebbero usato tecniche di social engineering per indurre gli utenti a cliccare su link malevoli verso siti web esterni fuori da WhatsApp, una metodologia simile alle campagne di 1-click phishing già in precedenza collegate a NSO.

La tecnica rappresenta un’evoluzione rispetto agli attacchi zero-click del 2019: non sfruttando più una vulnerabilità tecnica della piattaforma (impossibile dopo le patch e l’ingiunzione), NSO avrebbe adottato un approccio di spearphishing che richiede l’interazione dell’utente ma aggira il divieto tecnico di sfruttamento diretto dell’app. NSO avrebbe anche creato account e gruppi test su WhatsApp che la piattaforma ha rimosso.

WhatsApp ha condiviso pubblicamente gli indicatori di compromissione associati alle campagne e incoraggia gli utenti a verificare se siano stati bersaglio di metodi di social engineering collegati a NSO su più piattaforme, inclusi SMS ed email.

Le implicazioni: NSO sotto nuova proprietà, stessa operatività


Un elemento di contesto importante: lo scorso anno un gruppo di investitori americani ha acquisito NSO Group con l’ambizione dichiarata di rientrare nel mercato statunitense, da cui la società era stata di fatto esclusa dopo l’inserimento nella Entity List del Dipartimento del Commercio USA nel novembre 2021. L’acquisizione non sembra aver cambiato le pratiche operative della società.

Il mercato degli spyware commerciali continua a operare in una zona grigia normativa: i produttori si definiscono fornitori di strumenti legittimi per forze dell’ordine e intelligence, mentre le evidenze mostrano sistematicamente usi contro giornalisti, attivisti e dissidenti politici. Casi come quello di NSO Group dimostrano che anche quando una corte impone restrizioni operative esplicite, la compliance può essere ignorata.

La richiesta di contempt: cosa succede adesso


Con la richiesta di contempt of court, WhatsApp chiede al tribunale di sanzionare NSO per aver violato l’ingiunzione permanente di ottobre. Se il giudice dovesse riconoscere la violazione, NSO potrebbe essere soggetta a sanzioni finanziarie aggiuntive e a misure coercitive più severe, con potenziale impatto sull’appello ancora pendente.

Il caso stabilisce un precedente rilevante per l’intero settore dello spyware commerciale: per la prima volta un’azienda tecnologica è riuscita a ottenere non solo una vittoria risarcitoria ma un’ingiunzione permanente di portata operativa contro un vendor di sorveglianza. La risposta del tribunale alla presunta violazione di quell’ingiunzione determinerà se tali strumenti legali abbiano effettiva capacità deterrente.

Indicatori e raccomandazioni


WhatsApp ha pubblicato indicatori di minaccia collegati alle campagne di NSO. Chi ritiene di poter essere un bersaglio ad alto rischio — giornalisti, attivisti, operatori umanitari, funzionari governativi — dovrebbe:

  • Verificare i propri dispositivi con strumenti come Mobile Verification Toolkit (MVT) di Amnesty International, che analizza artefatti forensi associati a Pegasus
  • Trattare con massima sospetto qualsiasi link ricevuto su WhatsApp che rimandi a siti esterni, soprattutto da contatti non verificati o messaggi non attesi
  • Controllare i propri account WhatsApp per rilevare accessi da dispositivi o sessioni non riconosciute
  • Monitorare i threat indicators pubblicati da WhatsApp/Meta per verificare la presenza di domini o IP associati alle campagne negli access log dei propri sistemi

Il caso NSO-WhatsApp non è solo una vicenda legale tra due aziende: è uno dei fronti principali della battaglia globale per definire i limiti dell’industria dello spyware commerciale e la responsabilità legale dei suoi protagonisti.

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

CVE-2026-10520 Exploited: Ivanti Sentry Gateways Compromised Shortly After Patch Release
securityaffairs.com/193530/unc…
#securityaffairs #hacking

reshared this

The Merits of Comment-Driven Development as Counterweight to TDD


The media in this post is not displayed to visitors. To view it, please log in.

The world of software has seen many paradigms come and go, all of which were supposed to revolutionize its development. Still, one of the basic tenets in engineering of there being no shortcuts to just doing the work properly also rings true in the field of software engineering: trying to skip ‘nice to haves’ like proper documentation, code formatting, and proper testing inevitably results in developers nervously trying to ignore the looming avalanche of technical and other project debts as they keep piling up.

While Test-Driven Development (TDD) once got praised as the silver bullet, the principle of writing tests before writing code merely postpones the inevitable project collapse. The elephant in the room is that you cannot pass on the basics in engineering and expect to come out fine on the other end. There’s a reason why phrases like “all tests green, successfully failed in production” have become common.

This is where the concept of Comment-Driven Development (CDD) comes into play. What started as a bit of a joke many years ago stuck in my mind and led me to my current approach in software development that tries to effectively mirror solid engineering principles.

Defining Comments


In the field of software engineering, code comments are often regarded as a bit of an unloved stepchild. No developer regards them in the same way, few appreciate them, most neglect them and some outright banish them from their lives. The most extreme response here is probably that of the Clean Code movement, who together with the Self-Documenting Code crowd insist that inline comments in particular are unnecessary, an eyesore and that beautiful, well-written code documents itself.

Then there are those who use comments as a (temporary) crutch, as in what is referred to as ‘comment programming‘. This puts comments in the place where code is supposed to go, for either later replacement or to elucidate a specific aspect. None of this uses comments consistently to provide a parallel flow with the code that explains the what, why and how of said code.

Why this matters is that despite claims to the contrary, reading and understanding code is hard. Grasping architectural decisions and intuitively separating them from quick hacks is hard even if you’re reading back your own code after a few development cycles. This is also basically why writing documentation based on just code with at most spotty inline commentary is a nightmare at best.

After working with a variety of (commercial) codebases over the years that were practically dripping technical debt and regrets – as well as writing comprehensive documentation for some of them – I have become convinced that comments are ultimately the Alpha and Omega of a healthy codebase and up to date documentation.

Software Engineering

Hot-patching the Millennium Tower in 2022. (Credit: ArnoldReinhold, Wikimedia)Hot-patching the Millennium Tower in 2022. (Credit: ArnoldReinhold, Wikimedia)
Although most people see the finished product of engineering and believe that that’s all there’s to it, the truth is that before that bridge, high-rise building or even some fancy electronic widget sees the light of day, most of the work has already happened. Building it is then theoretically as easy as following the provided instructions.

An essential point here is the assumption that said instructions are half-way correct and you don’t end up building your very own Millennium Tower.

Thus the process of engineering begins with the list of requirements. These have to be chiseled into the hardest of stone, as any change here will have potentially massive repercussions. From these requirements you can then begin to work on a design document that details the overall design of the product, from which the desired architecture follows.

While the specific details will differ for each specific field of engineering, it is this condensing from an abstract idea into increasingly more concrete steps that enables for all angles to be considered before committing to a specific decision that can be hard to revert or change later. In the case of the aforementioned Millennium Tower project, those in charge omitted steps like peer review, where an external set of eyes is asked to give their two cents, because this would have ‘taken too long’.

From Design To Code


Even if in general software is easier to change than e.g. the blueprints for a civil engineering project, you still want to avoid having to go back repeatedly to change or modify parts of a codebase. To this end you do not want to write code until you are very confident that said code is proper and correct.

Fortunately, with the detailed design document and architectural planning already in the bag you can then start start the feedback loop of laying out the foundations, with any obvious issues discovered during this phase being used to improve the design and architectural documentation.

Laying out these foundations involves creating the codebase’s basic layout, including details like creating header and source files with appropriate naming. Next, within these files the architectural structure is laid out, such as creating the skeletons of types, classes, functions and methods that establish the APIs.

For each file a heading comment block is added that briefly summarizes the file’s purpose, the features contained therein, as well as a truncated change list with date and name, for accountability.

At this point we are ready to pour in the details of each compile unit’s implementation, starting by taking the design and related documents and turning the details contained therein into comments that describe the overarching design decisions, special considerations, the flow within a section and any interactions with other modules.
Fragment of the C++ port of the <a href="https://github.com/MayaPosch/Sarge"&gt;Sarge&lt;/a&gt; CLI argument library.Fragment of the C++ port of the Sarge CLI argument library.
An example of this can be found in my Sarge command line argument parsing library, which both in its C++ and Ada form would be a very hairy mess of logic to keep track of without having the continuous flow of thought describing what is happening, why it’s happening and relevant implications.

Although it may seem simple and obvious, doing this consistently and in a way that doesn’t leave future you staring dumbfounded at a section of code, or chasing red herrings during a debugging session due to a flawed assumption is somewhat of an art. Here it’s crucial that whenever you find yourself in such a state that the relevant inline comments are updated or new ones added as necessary to prevent future confusion.

It shouldn’t even have to be said that keeping these comments – and related documentation – updated whenever code changes are made is absolutely paramount as well. While it’s ‘boring’ work, you don’t do it for your present self, but your future self and/or fellow developers who’ll otherwise use extremely colorful language related to your person.

Documentation And Tests


Writing the documentation with CDD starts from the first list of requirements, with the design document being the next major part, both providing the higher-level overview of the project before diving into the nitty-gritty of the architecture and implementation.

What the best approach here is largely depends on the project and who might be interested in documentation and to which extent. For a typical commercial project where there never is budget for ‘writing documentation’, simply having the design document and the detailed inline comments in the source might be what one has to settle for.

Here it might also be possible to use said inline comments to generate e.g. API listings from with tools such as Doxygen. My own experiences with such tools are mixed, but in a CDD context such auto-generated documentation could be significantly more useful, not to mention accurate.

Finally, any tests required to test specific functionality would be defined along with the code’s architecture, letting it define the testing scope rather than vice versa. With APIs for modules already settled early on, writing unit- and integration tests tends to be a lot easier and without the nagging and nebulous goal of that mystical ‘100% test coverage’.

Mitigating Circumstances


Of course, not every software project is the same, especially for hobbyist projects where you’re often the sole maintainer. It is here your prerogative to take all the shortcuts you want, as long as it is in the knowledge that you’ll only have yourself to blame.

This is why some of my projects are definitely a bit more loose in their adherence to CDD, while others are a complete stickler. for example, when I created my NyanSD network service discovery protocol, I started by writing out a complete requirements and design document, including the protocol itself. By following the top-down CDD approach here I was able to design and implement the entire protocol in the course of about two days, and have it mostly work first try.

Ultimately, CDD in my eyes is the correct approach to software engineering, as it saves a lot of time while being the only approach that actually follows basic engineering principles. You can change the field, but ultimately both physics and underlying hardware remain just as unimpressed by your personal views on how things ought to work.


hackaday.com/2026/06/11/the-me…

Cybersecurity & cyberwarfare ha ricondiviso questo.

Giovedì, che per gli Spartani è #flamedì, per me è sempre Social Debug.

Numero 18, con grafica rinnovata e citazioni di un certo livello, una per ogni edizione.
E si parla di #AI, scrittura e stampelle. Tutte uguali.

#SocialDebug sempre di giovedì 🦄

👉 open.substack.com/pub/signorin…

reshared this

Cisco Talos, nel 2026 attività sponsorizzate dagli Stati meno rumorose ma più pazienti: ecco come difendersi


@Informatica (Italy e non Italy)
Oggi il rischio non è il ransomware che blocca platealmente i sistemi, ma l'avversario - invisibile per mesi - che sfrutta credenziali legittime e strumenti noti. Se gestiscono servizi