Cybersecurity & cyberwarfare ha ricondiviso questo.

L’attacco WhatsApp senza link né codici, il tecnico De Bortoli: “Non capiamo come avvenga l’intrusione”

Un attacco “zero click” senza virus o link sembra compromettere decine di account WhatsApp, aggirando persino l’autenticazione a due fattori. Intervistato da Fanpage.it, l’esperto di informatica forense Antonio De Bortoli svela alcuni dettagli della misteriosa minaccia informatica: “Molti punti oscuri, Meta deve intervenire”
fanpage.it/innovazione/tecnolo…

@informatica

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

My sincere congratulations to all the infosec PR people

We now have more than 1K branded vulnerabilities

Go and collect your bonuses!

vulnerability.garden/

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Windows 365 for Agents: Cloud PC per l’automazione AI in azienda
#tech
spcnet.it/windows-365-for-agen…
@informatica


Windows 365 for Agents: Cloud PC per l’automazione AI in azienda


Cosa sono i Windows 365 for Agents?


Microsoft ha annunciato in public preview Windows 365 for Agents, una nuova offerta che estende la piattaforma Cloud PC per supportare l’automazione basata su agenti AI. L’idea di fondo è semplice ma potente: invece di assegnare un Cloud PC a un utente umano, lo si mette a disposizione di un agente AI che ne ha bisogno per completare un’attività che richiede l’interazione con un’interfaccia grafica — un browser, un’applicazione legacy, un portale web senza API.

Il servizio è attualmente disponibile in anteprima pubblica esclusivamente negli Stati Uniti, quindi prima di pianificare un’implementazione conviene verificare la disponibilità del tenant.

Perché un Cloud PC per un agente AI?


La domanda legittima è: perché un agente AI dovrebbe aver bisogno di un Cloud PC? Molti workflow di automazione si completano già tramite API, connettori o strumenti MCP. Ma esistono scenari reali in cui questo non è possibile:

  • Applicazioni legacy che non espongono API
  • Portali web che richiedono interazione manuale con elementi UI
  • Processi che dipendono da software desktop non modernizzato
  • Task che richiedono la gestione di file locali tramite interfaccia grafica

In questi casi, l’agente ha bisogno di un ambiente desktop reale su cui operare — e Windows 365 for Agents fornisce esattamente questo, con un modello di sicurezza, identità e governance pensato per le organizzazioni enterprise.

Architettura: pool e check-out/check-in


Il meccanismo centrale è il Cloud PC agent pool: un insieme condiviso di Cloud PC pre-provisionati con proprietà comuni (piano di billing, regione geografica, numero di istanze, immagine). Gli agenti non hanno un Cloud PC dedicato — usano un modello di check-out/check-in:

  1. L’agente prenota un Cloud PC disponibile nel pool
  2. Esegue il proprio task
  3. Restituisce il Cloud PC al pool
  4. Il Cloud PC viene resettato prima del riutilizzo

Microsoft descrive quattro piani operativi per l’architettura degli agenti:

  • Computer-Create: provisioning e manutenzione dei pool
  • Computer-Get: prenotazione e rilascio dei Cloud PC
  • Computer-Do: invio di azioni (click, digitazione, ecc.)
  • Computer-See / Computer-TakeControl: osservazione e controllo manuale da parte di un operatore umano

La superficie di controllo in-session usa il Model Context Protocol (MCP), lo stesso protocollo che permette agli agenti AI di scoprire e chiamare strumenti esterni in modo standardizzato.

Modello di sicurezza e identità


I Cloud PC for Agents sono Microsoft Entra-joined e Intune-enrolled. Ogni agente opera con una propria identità dedicata in Microsoft Entra — non viene riutilizzata o impersonata l’identità di un utente umano. Questo è un punto importante per la governance: ogni azione dell’agente è tracciabile e attribuibile a un’identità specifica.

Il supporto attuale alle Conditional Access per le identità agente include il controllo Block access, ma Microsoft chiarisce che non è ancora un sostituto completo per tutti i pattern di Conditional Access usati con gli utenti umani. Da tenere in considerazione prima di portare in produzione scenari critici.

Come configurare Windows 365 for Agents


Il processo di configurazione richiede alcuni prerequisiti:

  • Una licenza Windows 365 o Agent 365 nel tenant
  • Un piano di billing Windows 365 for Agents attivo
  • Opzionalmente, utenti agente in Agent 365


Passo 1: creare la Billing Policy


Nel Microsoft 365 admin center, andare su Billing & usage → Billing policies. Selezionare una sottoscrizione Azure, un resource group e una regione, quindi abilitare Windows 365 for Agents sotto Pay-as-you-go services.

Passo 2: creare la Provisioning Policy per agenti


Nel Microsoft Intune admin center, navigare su Devices → Provision Cloud PCs → Provisioning policies (Agents) → Create policy. La procedura guidata richiede:

  • Nome della policy
  • Piano di billing
  • Numero di Cloud PC always-available (da 1 a 200)
  • Area geografica
  • Agenti assegnati
  • Immagine e impostazioni di lingua

Nota: i gruppi utente non sono attualmente supportati per l’assegnazione degli agenti. Il provisioning richiede circa 20-30 minuti.

Monitoraggio e costi


I Cloud PC for Agents sono visibili in Intune admin center sotto Devices → All devices. Si riconoscono dal prefisso CPCA- nel nome, dal modello Cloud PC for Agents e dal profilo di enrollment che riporta il nome della provisioning policy.

Per monitorare la capacità del pool: Devices → Provision Cloud PCs → Provisioning policies (Agents), selezionare una policy e verificare le sessioni attive e disponibili.

Sul fronte dei costi (area US):

  • Pay-as-you-go: $0,40 per ora (arrotondato all’ora intera successiva)
  • Always-available Cloud PC: $5 per Cloud PC al mese, in aggiunta al billing a consumo

I costi sono tracciabili in Azure Cost Management filtrando per il tag Windows365foragents.

Quando usarlo — e quando no


Windows 365 for Agents è utile principalmente quando un agente deve interagire con un’interfaccia utente: workflow basati su browser, applicazioni legacy senza API affidabili, o software desktop non modernizzato. Se invece il workflow può essere completato tramite API o connettori, Microsoft stesso raccomanda di usare Agent 365 direttamente, senza passare per Windows 365 for Agents.

Dato che la documentazione operativa è ancora limitata — soprattutto sui dettagli di troubleshooting avanzato — Microsoft consiglia di trattare le prime implementazioni come controlled pilot piuttosto che come rollout di produzione su larga scala.

Conclusione


Windows 365 for Agents rappresenta un’evoluzione logica della piattaforma Cloud PC verso il mondo dell’automazione agentiva. Per gli amministratori IT che gestiscono ambienti ibridi con applicazioni legacy, offre un percorso strutturato per integrare agenti AI senza sacrificare la governance di identità e sicurezza. Vale la pena monitorarne l’evoluzione, in particolare quando la preview si estenderà alle region europee.

Fonte: Windows 365 for Agents: Cloud PCs for AI automation — 4sysops


Texas Instruments Changes the NE5532 and Others into Incompatible Versions


The media in this post is not displayed to visitors. To view it, please log in.


Kramer Electronics PT-102AN - board - Texas Instruments SA5532ATexas Instruments SA5532A variant of the 5532 op-amp. (Credit: Raimond Spekking, Wikimedia)
First introduced in 1979 by Signetics, the NE5532 was a pretty spiffy dual op-amp for the time with low noise and low distortion. Over the years it has become a standard part that showed up in countless audio products, and has become a so-called jellybean generic component with Texas Instruments (TI) being one of countless manufacturers.

It being such a standard, multi-sourced part makes it thus even more puzzling that TI has now decided to completely overhaul this IC in a way that makes it incompatible with even the original Signetics NE5532. These changes are covered in detail by [Dave] of EEVblog as his mind is pretty much blown at such an incomprehensible change.

The changes entail an entirely different manufacturing process and a big change in specifications, while making no change to the part number. In revision K of the TI datasheet these changes are first seen, with some specifications changed for the better, like a higher unity gain bandwidth by 2 MHz, but a much slower slew rate.

Although the 5532 op-amps are multi-sourced, there are good reasons to just stick with manufacturers like TI, as that means receiving a product change notification (PCN) when anything changes. In the PCN related to this op-amp a change to process node is noted, along with other changes, but no reasoning.

Among the other big changes are a reduction in the supply voltage from 22V to 18V, and a halving of the ESD protection from 2kV to 1kV. Although it might be slightly more efficient on the new process node this way, it clearly comes with a lot of trade-offs that make it an overall worse op-amp, while also being incompatible with the same op-amp from other manufacturers.

In the video [Dave] goes through the datasheets of this jellybean part of other manufacturers, showing that they still have the original 1980s specifications. Only one exception here was the NE5532DR from Shenzhen HuaXuanYang Electronics, whose supply rail voltage is also 18V for some reason, along with a similar internal transistor configuration that reduces the ESD resistance.

In addition to the NE5532 op-amp, it seems that TI also took an ax to the OPA134 op-amp, by removing its offset trim feature and listing the pins as ‘NC’, with a warning to not connect these pins and also worsening other specifications. This makes these similar jellybean parts incompatible, with no change to the part number. Worse is that it continues with the LMH6518, whose changes [Dave] argues might even kill oscilloscopes as they are commonly found in those.

Meanwhile the LM317M also got an overhaul, but here TI opted to give it a new part name, calling it the LM317MQ with at first glance no major degradations in the specifications, but instead some actual improvements. This makes it even more puzzling why TI didn’t give the other ICs a new part number to differentiate them from the jellybean part.

Until there’s some clarification from the side of TI, it might be a good idea to source these jellybean parts from a manufacturer that is not TI, especially when replacing these ICs in older devices.

youtube.com/embed/22ZmmZ67SMY?…


hackaday.com/2026/06/03/texas-…

Cybersecurity & cyberwarfare ha ricondiviso questo.

Andy Boyd, the CEO of Red Lattice (the company that now owns spyware maker Paragon), went on the Risky Business podcast this week.

The host Patrick Gray asked Boyd about the contract that the company signed with ICE.

To me the most interesting part is when Boyd said that Red Lattice/Paragon: "...only sell to countries that adhere to their rule of law ... for conducting legitimate missions that fall under the laws of whatever country that may be in."

Here is the whole exchange. (starts at ~18:00)

youtube.com/watch?v=AOQETNsmTE…

—PATRICK:
Now we're actually on to something that is somewhat relevant to your day job, Andy, because we've got a story here from 404 Media where they are suing the US government, or they're suing ICE to get its spyware contract with Paragon.

I guess this is interesting for a couple reasons, right?

I understand that ICE is extremely unpopular in the United States, and in my opinion, quite reasonably so, given some of the stuff that they've been doing on the streets of the United States. They've earned some scrutiny, in my opinion.

But I think also we've got to remember that Homeland Security Investigations is a division of ICE. So the idea that Homeland Security Investigations might want this sort of software is entirely reasonable.*

So just reading from HSI's website, "It is the principal investigative component of DHS and is responsible for investigating, disrupting and dismantling transnational criminal organizations and terrorist networks that threaten or seek to exploit the customs and immigration laws of the United States."

So if I had to bet, it would be dollars to donuts that that is the sort of use that, you know, HSI is using it for that sort of thing, not just deploying spyware onto the devices of people who are suspected of entering the United States without prior approval.

Now, we have you here. So I figured I wanted to ask you about this report to see if you've got anything to say because we have had your company come out and make statements along the lines of, well, we don't actually have a relationship with ICE because that means, well, maybe a contract expired and then we've had now suspicions from other quarters of the media "Oh, well, perhaps they're accessing this technology through a third party."*

We've got you here. Do you have anything you can share with us on this?

—BOYD
Yes, I guess I'm going to violate my rule of "I'm just a friend of Patrick." So for this one question.

Yes, as the CEO of Red Lattice, I'm not going to comment on specific customers, whether or not we have said specific customers.

But what I will say is that Red Lattice has a very specific policy on evaluating our customers before we sign any contract with them. This is something that is in the public domain.

You Google the HSI writeup, our policies and how we go about evaluating potential customers. We only sell to liberal democracies, we only sell to countries that adhere to their rule of law. We sell to legitimate intelligence, military, and law enforcement authorities for conducting legitimate missions that fall under the laws of whatever country that may be in and that applies to the United States government as well.

—PATRICK
Yeah and I mean we should say too that this is a two million dollar contract which in the context of this industry is tiny. I mean can you say — would you acknowledge that?

—BOYD
I would acknowledge that any one of us, you, me, or James would be happy to have two million dollars at any time of day, but for a large company that may or may not be working with a government as big as the US government, that would be a fairly small contract, yes.

—PATRICK
Yeah, yeah. And I mean, I think we would point out too that there was some controversy around Paragon, the use of Paragon technology in Italy. I think where that ended up is you gave them the old heave-ho, didn't you?

—BOYD
Yeah, I'm not going to, again, that speaks to a very specific customer that is in the public domain. I think, Patrick, your inferences may be correct, but I'm not going to comment anymore on that one.

Questa voce è stata modificata (1 giorno fa)
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

On the left is the actual photo of GOP Rep. Mike Rogers on the campaign trail in Michigan while running for US senate. On the right is the photo posted by one of his consultants.

reshared this

Deltarune’s Tenna Brought to Life


The media in this post is not displayed to visitors. To view it, please log in.

For those who have never played the hit video games Undertale and Deltarune, the games are partially known for their interesting characters, many of which have eerie, surreal, and expressive designs. One of the more memorable characters from Deltarune is Tenna, a game show host of sorts whose distinguishing feature is an old television as a head, as well as a colorful suit. As a result he’s been the subject of a number of recreations by various cosplayers and makers like [BigRig Creates].

This version of the character was actually inspired by a previous build by [BunnyBii] which used an iPad as the interactive screen/face. Inside the television, though, the actual human found this to be front heavy and limiting in the ways that it could be used interactively, especially since the only way to see the outside world in this version was with a small endoscope and screen. [BigRig Creates]’s version builds on this idea but swaps out the iPad for a Raspberry Pi, allowing for much more customization, and uses a pair of Xreal glasses instead of a screen for the view of the outside world from in the television.

To get the whole costume together, the head is 3D printed with all of the electronics inside, and a game controller integrated into a handheld microphone controls the animations shown on the screen. A vibrant, custom-tailored suit with white gloves rounds out the ensemble, along with a pair of 3D-printed shoe covers since actual yellow shoes were a bit pricy. There were some interesting problems to solve along the way, specifically with regards to power management for all the electronics, but in the end it all seems to have come together quite well. [BigRig Creates] is no stranger to builds with unusual displays, though; one of our favorites was the world’s largest Nintendo 3DS.

youtube.com/embed/KR8yb54V-9g?…


hackaday.com/2026/06/03/deltar…

Cybersecurity & cyberwarfare ha ricondiviso questo.

Cyber espionage campaign targeted #stock #exchange executive’s Outlook account
securityaffairs.com/193086/int…
#securityaffairs #hacking
Cybersecurity & cyberwarfare ha ricondiviso questo.

New: Wearable health-tech startup Ultrahuman said hackers gained unauthorized access to customers’ wellness data after stealing an employee’s credentials through malware.

techcrunch.com/2026/06/03/ultr…

reshared this

Linux Fu: Fake Webcams, GUI Edition


The media in this post is not displayed to visitors. To view it, please log in.

Previously, I looked at using the Linux video loopback system from the command line. The basic trick was simple enough: capture video from a real camera, process it with something like ffmpeg, and write the result to a fake camera device via the v4l2loopback device. Then a browser, or any camera-enabled software, sees the fake camera as if it were real. This allows you to manipulate video before sending it to the rest of the world.

That works, and for those of us who like command lines, it’s easy enough to execute. But not everyone loves the command line. In the comments, there was another obvious answer: use OBS Studio.

While OBS is excellent, it is also a bit like using a laser to chop a carrot. If you already use OBS, fine. If you only want to crop a webcam, add an effect, mirror an image, or feed a virtual camera, it can feel like a lot. If you must have a GUI, you can try Webcamoid, which sits somewhere between a simple webcam viewer and a full video production system.

Webcamoid gives you a GUI for selecting a camera, applying effects, and sending the result to a virtual camera. Conceptually, it is much closer to the command-line loopback setup from the previous post than to OBS. You are still building a pipeline from input camera to output camera, but now you can do much of it with buttons and menus instead of shell commands.

That’s in theory, of course. Implementing Webcamoid turned out to be quite the exercise. Granted, this probably varies depending on where you install software. If your distro has a clean working copy of Webcamoid and its dependencies, good for you. For everyone else, keep reading.

The Moving Parts


There are two pieces to understand. Webcamoid is the GUI application. It captures video, previews it, applies effects, and can write to a virtual camera. You also need a driver to produce the fake or virtual camera. AkVCam is one of the virtual camera drivers that Webcamoid can use on Linux. It can also use v4l2loopback, as we discussed last time. Both approaches create fake /dev/videoX devices, but their configuration models are different.

With v4l2loopback, the typical setup is command-line oriented:
sudo modprobe v4l2loopback video_nr=10 card_label="Virtual Camera" exclusive_caps=1
Then some program writes frames to /dev/video10. For example, ffmpeg can read from a real webcam and write to the virtual one. Of course, if you want a permanent virtual camera, you can make an entry in /etc/modprobe.d.

AkVCam is more structured. Instead of simply creating a generic loopback device, it uses a configuration file that defines one or more virtual cameras, their input/output relationship, and the formats they support. That sounds like more work, and in a way it is. But it also gives you tighter control over what formats the virtual camera advertises. This sometimes matters more than you might expect.

Install, Remove, Install…


The hard part of Linux webcam work is often not getting video — it’s getting every piece of the chain to agree on width, height, frame rate, and pixel format, along with matching each other’s API expectations.

I tried three different ways to install Webcamoid. First, I used the normal OpenSUSE Tumbleweed repos to install the program. It couldn’t find any cameras. My next stop was a Flatpak version. That worked well, but it is deliberately crippled and won’t even try to drive a virtual camera, directing you to install the regular version instead. Then I tried an AppImage. This seemed to work OK, but the virtual camera would never display anything but a black screen.

Note that the version on AppImageHub is old, and the source project requires payment for prebuilt binaries. I didn’t try either of those options.

I tried a lot of things to make it work. My final answer was to use the AppImage, but I had to build my own version of AkvCam from GitHub.

Even then, at first, the video output was highly pixelated. The culprit was AkVCam using the 640×480 RGB format. Upscaling created a blocky mess.

You can see what a device is doing with:
v4l2-ctl -d /dev/video3 --all
In my case, the virtual output reported:
Width/Height : 640/480
Pixel Format : 'RGB3'
scaling_mode : Fast
aspect_ratio_mode : Ignore
That explains it. “Fast” scaling usually means “not pretty,” and 640×480 is not a great starting point for modern video calls.

The fix was to simplify the AkVCam configuration. Instead of giving the virtual camera a long list of supported formats, I configured it with essentially one useful format. For example, if the pipeline is meant to be 1280×720 at 30 fps, make that the format. Do not give every program in the chain an opportunity to negotiate itself down to postage-stamp resolution.

A minimal AkVCam setup generally defines a capture device, an output device, a connection between them, and formats. In the generated config I was using, the output camera had several formats:
cameras\2\type=output
cameras\2\videonr=3
cameras\2\formats=19, 20, 21, 22, 23, 24
The problem was that format 19 was 640×480. The high-resolution formats were present, but not preferred. Reordering the list might help, but for reliability, using only the desired format is even better.

Webcamoid As A GUI Pipeline

ASCII filter in action.
Once the virtual camera driver is sane, Webcamoid works well. You select the real camera as the source, apply whatever effects you want, and select the AkVCam virtual camera as the output. The receiving application then sees the virtual camera.

Compared to the command-line approach, Webcamoid makes experimentation easier. Want to flip the image, adjust color, crop, blur, or test silly filters? That is all much easier in a GUI than in an ffmpeg or gstreamer filter chain, although I still don’t mind the command line. There’s not much difference between using Webcamoid as a friendly front end or manipulating the image as we did last time.

However, I would not oversell it. Webcamoid is not OBS. It is not really a scene compositor. If you want multiple live sources — say, a screen capture as the main image and your webcam as picture-in-picture — OBS is the obvious GUI tool. With the command line, you can easily do things like this by calling ffmpeg directly.

That’s a Wrap!


If you want a full production environment, OBS is still the right answer. It handles scenes, multiple sources, transitions, screen capture, overlays, and virtual camera output in a single application. But if you liked the command-line loopback idea and wished it had a friendlier face, Webcamoid plus AkVCam is worth a look. It gives you a GUI for the common case: one camera in, effects applied, one virtual camera out. You just need to fight through the installation and configuration with your specific setup. Hopefully, yours will be easier than mine.

As usual, Linux rewards knowing what is happening under the hood. Webcamoid can make the workflow friendlier, but v4l2-ctl is still your friend, and, at least for some people, you’ll need some Linux Fu to get it all working in harmony.


hackaday.com/2026/06/03/linux-…

Cybersecurity & cyberwarfare ha ricondiviso questo.

Carola Frediani non ha mai fatto sconti alla tecnologia. La sua voce ci mancherà. Il ricordo di @Luke_like

Giornalista, esperta di cybersecurity e diritti digitali, è morta a 51 anni. A Wired la ricordiamo per il suo grande contributo al dibattito critico sulla tecnologia

wired.it/article/carola-fredia…

@informatica

Cybersecurity & cyberwarfare ha ricondiviso questo.

NEW: Instagram is notifying victims of the massive hacking campaign that relied on asking the Meta AI support chatbot to hand over control of accounts.

It appears that the hacks continued on Tuesday, even though an Instagram spokesperson said on Monday that “the issue has already been fixed.”

techcrunch.com/2026/06/03/inst…

in reply to Lorenzo Franceschi-Bicchierai

The media in this post is not displayed to visitors. To view it, please go to the original post.

Worth listening to this 404 Media podcast about this hacking campaign. Really explains well just how crazy this hacking campaign is, and how bad it is in the context of having AI do sensitive stuff.

youtube.com/watch?v=MsAtXST87p…

And this point by Dino Dai Zovi is also very important:

x.com/dinodaizovi/status/20617…

AI sotto controllo federale in USA: cosa cambia davvero con l’ordine esecutivo di Trump


@Informatica (Italy e non Italy)
Il provvedimento segna una svolta rispetto all'approccio finora permissivo che la Casa Bianca aveva adottato fin dal ritorno di Trump alla presidenza. Ma s'inquadra in uno scenario globale in cui il dibattito sulla governance dell'IA si

Cybersecurity & cyberwarfare ha ricondiviso questo.

Digital Omnibus europeo: un indebolimento della protezione dei dati personali?

Una relazione informativa del Senato francese esprime preoccupazione per i rischi che le misure europee di semplificazione (omnibus) presentate nel 2025 comportano per la tutela dei diritti digitali. Mentre sono in corso i negoziati sui nuovi standard, i senatori chiedono di mantenere "un elevato livello di protezione dei dati personali".

vie-publique.fr/en-bref/303272…

@privacypride

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

Lo strumento di archiviazione più potente di Internet è in pericolo

Mentre i principali organi di informazione bloccano la Wayback Machine, giornalisti e gruppi di pressione si stanno mobilitando per proteggere la vasta collezione di pagine web dell'Internet Archive.

wired.com/story/the-internets-…

@eticadigitale

Cybersecurity & cyberwarfare ha ricondiviso questo.

Il leader della maggioranza repubblicana al Senato John Thune viene ormai chiamato "l'uomo che ne ha abbastanza di Trump"

Come Donald Trump affronta quello che sembra essere un calo sostenuto dei sondaggi, il leader della maggioranza al Senato John Thune (R-SD) è emerso come un critico sempre più esplicito del presidente, segnando un notevole cambiamento nella volontà della leadership repubblicana di discostarsi pubblicamente da Trump su questioni chiave.

L'ultimo attrito è emerso martedì quando Thune ha dato un pollice in giù alla nomina di Trump il controverso Bill Pulte per sostituire il direttore uscente dell'intelligence nazionale Tulsi Gabbard. Pulte, che presta servizio come Il direttore della Federal Housing Finance Agency (FHFA) è stato criticato per aver sfruttato la sua posizione per prendere di mira i nemici politici del presidente.

rawstory.com/trump-thune-split…

@Politica interna, europea e internazionale

Cybersecurity & cyberwarfare ha ricondiviso questo.

Citazione del giorno del co-fondatore di Oracle Larry Ellison: "I cittadini si comporteranno al meglio, perché registriamo e segnaliamo costantemente tutto ciò che accade" — un terribile avvertimento sull'erosione della privacy

Il leggendario tecnologo Larry Ellison ha delineato una visione per uno stato di sorveglianza sempre più aggressivo nel 21° secolo

techradar.com/pro/quote-of-the…

@privacypride

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

I legislatori del Regno Unito chiedono al governo di abbandonare il contratto con il servizio sanitario nazionale di Palantir

Il comitato afferma che un piccolo numero di fornitori sta bloccando i piani del governo digitale

@politica

theregister.com/software/2026/…

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Red Hat vittima di attacco alla Suppy Chain: cos’è successo e cosa imparare

📌 Link all'articolo : redhotcyber.com/post/red-hat-v…

A cura di Luigi Zullo

#redhotcyber #news #cybersecurity #hacking #malware #supplychain #attacchinformatici

Cybersecurity & cyberwarfare ha ricondiviso questo.

In memoria di Carola Frediani. Il ricordo di Dyne per la scomparsa della più brava giornalista italiana di temi cybersec

Carola era più di una semplice giornalista tecnologica: la sua voce, sempre precisa e indipendente, illuminava fatti profondi, condividendo con il pubblico le complessità tecniche, politiche e umane delle storie che raccontava.

news.dyne.org/in-memory-of-car…

@informatica

Cybersecurity & cyberwarfare ha ricondiviso questo.

The @EUCommission just released a statement positioning open source as central to #Europe’s #TechSovereignty.

We couldn’t agree more. #OpenSource is critical to a robust and independent society.

Here’s our full statement: blog.joinmastodon.org/2026/06/…

#Mastodon #Fediverse #SocialWeb #OpenWeb #DigitalSovereignty

in reply to Mastodon

However, with the Digital Omnibus (VII), the EU wants to loosen the rules on AI, and the only way to prevent it is to participate in the survey - in the link - provided by the old rules...

digital-strategy.ec.europa.eu/…

Let's make our voice heard! There is only a little time...
@jpl99 @engideer

Cybersecurity & cyberwarfare ha ricondiviso questo.

La Sovranità Digitale Europea è Possibile: Come Fuggire dalle Big Tech con le Alternative Europee Libere


Viviamo in un momento storico cruciale. I dati sono diventati il "nuovo petrolio" dell'economia digitale, e i giganti americani come Google, Apple, Facebook (Meta), Microsoft e Amazon, i cosiddetti GAFAM controllano gran parte della nostra vita online. Dalla ricerca al cloud, dai social media alle email, dalla messaggistica ai dispositivi personali: il nostro presente dipende quasi interamente da piattaforme che estraggono, monetizzano e controllano le nostre informazioni personali.La […]
The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Viviamo in un momento storico cruciale. I dati sono diventati il “nuovo petrolio” dell’economia digitale, e i giganti americani come Google, Apple, Facebook (Meta), Microsoft e Amazon, i cosiddetti GAFAM controllano gran parte della nostra vita online. Dalla ricerca al cloud, dai social media alle email, dalla messaggistica ai dispositivi personali: il nostro presente dipende quasi interamente da piattaforme che estraggono, monetizzano e controllano le nostre informazioni personali.
La dipendenza dagli ecosistemi di Google, Apple, Meta, Microsoft e Amazon (GAFAM) espone cittadini e istituzioni a rischi di sorveglianza, dipendenza tecnologica e spostamento di risorse verso economie extra-UE. Fortunatamente esistono soluzioni libere ed europee: motori di ricerca e browser etici, piattaforme cloud open, social federati e software open source che restituiscono controllo, privacy e valore economico al territorio.

Perché la dipendenza da Big Tech è critica


Le piattaforme GAFAM offrono servizi efficienti ma a costo della nostra libertà. La sovranità digitale serve a “diminuire la dipendenza dalle Big Tech” e garantire a Stato, imprese e cittadini un uso consapevole delle tecnologie. Le Big Tech profittano sui nostri dati: ogni ricerca o e-mail gratis alimenta profilazione sugli utilizzatori. Inoltre impongono ecosistemi chiusi (“giardini recintati”) che rende difficile uscirne. La dipendenza comporta anche rischi di sicurezza e legali: i dati gestiti da server extra-UE possono sfuggire ai controlli giuridici nazionali.
Le Big Tech non sono semplici aziende private. Possiedono il potere di censurare, controllare l’accesso alle informazioni, implementare algoritmi che influenzano il comportamento umano, e dispongono di informazioni sensibilissime su miliardi di persone.

Il problema è triplo:

  1. La perdita di sovranità: L’Europa ospita gran parte dei suoi dati presso server americani, soggetti a leggi permissive come il Cloud Act e l’extraterritorialità americana.
  2. La perdita di privacy: Gli utenti non pagano con denaro, ma con i loro dati. Ogni clic, ogni ricerca, ogni posizione viene tracciata, profilata e venduta ai pubblicitari.
  3. La perdita di autonomia: Siamo intrappolati in “giardini recintati” proprietari, incapaci di controllare i nostri stessi strumenti digitali.

Questo non è più un dibattito teorico, è una questione di sovranità europea e di sicurezza informatica.

Alternative “Made in Europe”


Le piattaforme open source e federate europee offrono già valide alternative. Ecco per ciascuna Big Tech almeno 3 soluzioni con guida all’adozione.

Google

AlternativaServizio sostituitoOrigineFacilità migrazioneGuida primaria
SearXNGMotore di ricercaItalia (instanza devol.it)Facile (browser)Guida Devol: motori di ricerca
EcosiaMotore di ricercaGermaniaMolto facile (browser)Scegli.app: motori di ricerca (cerca Ecosia)
QwantMotore di ricercaFranciaMolto facile (browser)Come sopra
ProtonMailGmail (email)SvizzeraMedia (import mail)Scegli.app: Email (cerca ProtonMail)
TutanotaGmailGermaniaMediaCome sopra
NextcloudGoogle Drive/WorkspaceAustriaMedia (server)Scegli.app: Cloud (cerca Nextcloud)
MapyGoogle MapsPoloniaFacile (app)Scegli.app: Mappe (cerca Mapy)
CoMapsGoogle Maps (mobile e desktop)InternazionaleFacileCome sopra
PeertubeYoutube (video)FranciaFacileDevol: Social/Fediverso
Esempio di migrazione (Google Search → SearXNG):
1) Apri le impostazioni del browser (Chrome/Edge/Firefox).
2) Nella sezione “Motore di ricerca”, aggiungi l’URL di SearXNG.devol.it.
3) Imposta SearXNG come predefinito.
4) Verifica facendo alcune ricerche: non vedrai più pubblicità mirate.


SearXNG, istanza italiana di meta-motore, “rappresenta la migliore alternativa a Google” in quanto aggrega decine di motori senza tracciarci. Allo stesso modo Ecosia e Qwant (rispettivamente tedesco e francese) sono raccomandati. Per email, ProtonMail (CH) e Tutanota (DE) offrono mailbox criptate e caledari in EU. Per lo spazio online basta un Nextcloud italiano (o europeo) per avere Drive/Calendar autonomo (criptato) Oppure Proton Drive.

Apple

AlternativaServizio sostituitoOrigineFacilità migrazioneGuida primaria
e./OS – MurenaiOS (OS smartphone)FranciaAvanzata (flashing)Scegli.app: Sistemi operativi (cerca e.foundation)
LinuxWindows/macOS (OS desktop)ItaliaMedia (installa su PC)FediLUG
VivaldiSafari (browser)NorvegiaFacileRiferimento generale Devol/Scegli
NextcloudiCloud (cloud, mail, contatti)GermaniaMediaScegli.app: Cloud (cerca Nextcloud)
Proton DriveiCloud (cloud, mail, contatti)SvizzeraFacile (account)Le Alternative (recensione Proton Docs)
SatispayApple Pay (pagamenti)ItaliaFacile (app)Satispay Official
Esempio di migrazione (iCloud → Nextcloud):
1) Scegli un provider Nextcloud (ad es. iscrivendoti a fedimedia).
2) Crei un account e installi il client Nextcloud su PC e smartphone.
3) Esporti contatti/calendario da iCloud (file vCard/ICS).
4) Importa i file in Nextcloud e configura la sincronizzazione.
5) Attiva il nuovo account nelle app Mail/Calendario sostituendo iCloud.


Gli utenti Apple possono installare un browser alternativo (Vivaldi) e passare il motore di ricerca a Qwant o Ecosia (privacy-friendly). Esistono smartphone come Murena di e.Foundation che non dipendonodai servizi apple o google. Su desktop,Linux è leggero e pronto all’uso su linux.it è possibile scegliere quale versione usare. Per lo streaming musicale open source si può usare Jamendo , mentre Satispay è un’alternativa al pagamento mobile.

Meta (Facebook, Instagram, WhatsApp)

AlternativaServizio sostituitoOrigineFacilità migrazioneGuida primaria
Mastodon (uno)Facebook (social network)ItaliaMediaDevol: Social/Fediverso
Pixelfed (uno)Instagram (condivisione foto)ItaliaMediaCome sopra
Matrix/ElementWhatsApp/Messenger (chat)UKFacileScegli.app: Messaggi (cerca Element)
PeertubeYouTube (video)FranciaFacileDevol: Social/Fediverso
PoliversoFacebookComunità globaleDifficile– (no guida ufficiale)
Esempio di migrazione (Facebook/X → Mastodon):
1) Visita mastodon.uno e crea un account gratuito.
2) Avvisa periodicamente sul tuo account Facebook o X che da ora sei disponibile su Mastodon
3) Inizia a seguire account italiani di interesse per vedere i post.
4) Condividi i tuoi aggiornamenti più su Mastodon che su Facebook.


Nel Fediverso (rete di social federati) utenti su server differenti si seguono a vicenda. Mastodon (microblog) e Pixelfed (foto) sono i principali progetti. Peertube è l’alternativa decentralizzata a YouTube (video), disponibile in istanze italiane gestite da Devol e altri.. Per la chat in tempo reale, il protocollo Matrix (client Element, server Synapse) è semplice da usare come WhatsApp e garantisce crittografia end-to-end con hosting europeo.

Microsoft

AlternativaServizio sostituitoOrigineFacilità migrazioneGuida primaria
Linux Windows (OS desktop)GermaniaMedia (installare)FediLUG
NextcloudOneDrive/SharePoint (cloud)Austria/ITMediaScegli.app: Cloud (cerca Nextcloud)
libreOfficeMicrosoft Office (suite)GermaniaFacileScegli.app: Office (cerca LibreOffice)
Jitsi MeetTeams/Zoom (videoconf.)GermaniaFacilissimoDevol: Social/Fediverso (vedi Video)
BetterbirdOutlook (mail client)Europa (global)FacilissimoScegli.app: Email (cerca Thunderbird)
Esempio di migrazione (Teams → Jitsi Meet):
1) Richiedi a un collaboratore di creare una stanza Jitsi (es. su calls.disroot.org).
2) Invia il link della riunione al team (funziona senza login).
3) Tutti partecipano da browser (o app mobile) senza installare software Microsoft.


Per la de-Microsoftizzazione prevede l’adozione di Linux al posto di Windows (es. scegliete ladistro su linux.it). Per produttività in cloud si usa Nextcloud con OpenOffice/Collabora (documenti, calendario). E-mail e contatti possono migrare a provider come Tuta o ProtonMail. In alternativa i client Betterbird/ClawsMail sostituiscono Outlook senza funzioni bloccanti.

Amazon

AlternativaServizio sostituitoOrigineFacilità migrazioneGuida primaria
OVHcloudAWS (cloud infra)FranciaMedia (configurare)– (vedi Scegli.app: Cloud – provider europei)
Aruba CloudAWSItaliaMediaManuale Aruba/Cloud
TrovaprezziAmazonItaliaMedia vedi Scegli.app:
IdealoAmazonSpagnaMedia vedi Scegli.app:
BookwyrmGoodreadsItaliaMedia vedi Scegli.app:

Amazon (web retail) non è qui il focus: si parla di Amazon Web Services. Invece di affidarsi a mega-cloud USA, si può scegliere fornitori europei come OVHcloud (FR), Aruba Cloud (IT) ma anche Scaleway (FR), Exoscale (CH). Tali provider offrono macchine virtuali, storage S3-compatibile, database gestiti, ecc. Il codice aperto (OpenStack) riduce il lock-in.
per gli acquisti meglio rivelgersi a comparatori di prezzi come Trovaprezzi e Idealo che reindirizzano allo shop online con l’offerta miglione. Infine se si è soliti usare Goodreads per condividere le proprie letture, esiste la controparte libera e federata su bookwyrm.it

Alternative europee all’AI proprietaria


Con l’avanzare dell’AI generativa, crescono esigenze di sovranità: servono soluzioni europee che garantiscano privacy, hosting UE, controllo legale e trasparenza. In questa sezione presentiamo gli LLM emergenti europei (ad es. Mistral AI, Proton Lumo, Infomaniak Euria, Aleph Alpha), con i loro punti di forza e di debolezza. Per ciascuno forniamo caratteristiche principali, modalità di integrazione e passi pratici di adozione. Infine confrontiamo benefici (controllo dati, latenza bassa, costi sostenibili) e limiti (bias, potenza di calcolo, compliance) per aiutare PA e PMI a scegliere consapevolmente.

Perché alternative europee?


Affidarsi ai big AI statunitensi (ChatGPT, Gemini, Claude) espone a rischi giuridici (es. Cloud Act) e di lock-in. Le soluzioni UE proteggono la privacy (dati in infrastrutture locali, conformità GDPR) e offrono trasparenza (modelli aperti). Inoltre permettono di investire sull’economia locale.

Soluzioni AI europee

NomeTipo modelloOrigineLicenzaHosting UEIntegrazione DevOpsLink guida/ufficiale
Mistral AI (Le Chat)LLM dialogicoFranciaApache 2.0 (open)Cloud/Web (EU)API REST, dockerchat.mistral.ai
Lumo (Proton)Assistente AISvizzeraParziale (?)No-logs cloud (EFTA)Client Proton, APIlumo.proton.me
Euria (Infomaniak)Assistente AISvizzera? (proprietario)Cloud SvizzeraAPI webeuria.infomaniak.com
Aleph AlphaLLM enterpriseGermaniaProprietariaOn-premise (StackIT)SDK & Cloud (DE)aleph-alpha.com
  • Mistral AI (Francia, Le Chat): LLM avanzato (675B parametri, Apache 2.0) competitivo con GPT-4. Offre piano gratuito e API.
  • Lumo (Proton, Svizzera): Assistente AI “privacy-first”: conversatione zero-access encryption, no-logs. Modelli sottostanti ottimizzati ma codebase non completamente open.
  • Euria (Infomaniak, Svizzera): Assistente AI “svizzero-sovrano” con dati in hosting locale. Basato su modelli pre-addestrati .
  • Aleph Alpha (Germania): LLM per applicazioni enterprise (PhariaAI), focalizzato su explainability e on-premise certificato. Non punta alla performance generalista di GPT-4.


Rischi, benefici e suggerimenti


Limiti: I modelli EU restano meno “generalisti” (bias e performance inferiori ai leader USA). Richiedono grandi risorse di calcolo (GPU) per addestramento e inferenza. Alcuni sono closed-source o semi-chiusi (Lumo, Euria). Bisogna vigilare su compliance GDPR: anche se host EU, la provenienza dei dati di training (es. Euria usa modelli cinesi secondo alcuni) può imporre ulteriori verifiche. Infine, attenzione alla sicurezza: come tutti gli LLM, possono divulgare info confidenziali se male configurati.

Benefici: Migrando a soluzioni europee si guadagna controllo sui dati (infrastrutture UE, leggi e policies locali), maggiore privacy (dati trattati con normative GDPR) e trasparenza (alcuni modelli open licence, o accordi sulla governance). Si riduce la latenza per utenti europei e si può definire prezzo/previsione dei costi (evitando abbonamenti USA). A lungo termine si crea resilienza nazionale e si supporta l’innovazione locale.

Suggerimenti: Per PA e PMI, la scelta va basata su: licenza (open preferibile per audit e modifica), possibilità di self-hosting (per pieno controllo giuridico), supporto commerciale (per AI mission-critical) e impatto compute (per costi energetici). Ad esempio, piccoli progetti POC possono partire con Mistral 7B open-source (un 80GB di GPU) e passare a Lumo/Euria in produzione se serve privacy garantita, oppure a PhariaAI per settori regolamentati. È utile condurre un proof-of-concept iniziale, poi un pilota limitato (poco dati sensibili), e infine la produzione con governance dedicata (audit log, responsabilità IA).

VantaggiCriticità
Dati gestiti in UE (GDPR compliance)Modelli ancora meno performanti dei top US
Trasparenza e auditabilità (open source)Necessità di GPU potenti e competenze
Indipendenza tecnologica e strategicaPossibili bias linguistici/locali
Riduzione latenza e costi a lungo termineSoluzioni commerciali emergenti e in evoluzione

Fonti: Soluzioni citate da scegli.app (Mistral, Lumo, Euria) .

Il ruolo di Fedimedia APS in Italia


In Italia il Fediverso cresce grazie all’attivismo: Fedimedia APS (federazione di progetti come Devol, Le Alternative, OpenForFuture, ecc.) funge da catalizzatore. Fondata nel 2025 come associazione no-profit, Fedimedia promuove un ecosistema digitale diverso, basato su software libero, decentralizzazione, trasparenza. Gestisce direttamente molte piattaforme: Mastodon.uno, Pixelfed.uno, Fedimercatino.it (e-commerce etico). Insieme a realtà come Devol, Open For Future, Le Alternative, Fedimedia partecipa ad eventi (Linux Day, Merge-IT, Fossdem) e campagne di sensibilizzazione. Il suo obiettivo è promuovere “servizi open source che possano competere con quelli offerti dalle Big Tech”. In pratica, Fedimedia è un punto di riferimento italiano per chi cerca alternative etiche alle Big Tech, coordinando guide e community (leAlternative.net, Scegli.app) per la migrazione.

Benefici e criticità delle soluzioni aperte


Benefici principali: L’adozione di soluzioni libere e locali garantisce privacy, controllo dei dati, sicurezza e sovranità. I servizi open source non ricorrono a tracciamenti segreti e sono più trasparenti, riducendo il rischio di fughe di dati o censure. Permettono inoltre di rispettare le leggi UE (GDPR) e di mantenere i dati sensibili entro i confini europei. Sostenere software e infrastrutture europee sviluppa un’economia digitale locale: le risorse spese restano nel continente, alimentando PMI e startup del settore tech. Inoltre, la ridondanza del Fediverso (molte istanze) aumenta la resilienza del sistema rispetto a un singolo fornitore.

Tabella comparativa dei vantaggi:

AspettoBig Tech (centralizzate)Soluzioni libere/federateVantaggio
PrivacyRaccolta massiva di dati utenteDati crittografati / decentralizzatiUtente ha controllo sui propri dati
SovranitàDipendenza da provider USAInfrastrutture UE, open sourcePA e cittadini decidono autonomamente
SicurezzaCodice proprietario chiusoCodice auditabile, comunità attivaVulnerabilità più facilmente corrette
EconomiaProfitti finiscono all’esteroRisorse restano in EuropaSostegno a imprese locali (es. Aruba, Infomaniak)

Criticità/Limiti: Alcune alternative open sono meno “rifinite” o diffuse delle controparti commerciali. La transizione può richiedere apprendimento tecnico e tempo per riconfigurare sistemi esistenti. Ad esempio, installare una nuova distribuzione Linux o ricopiare dati richiede un minimo di competenza. Inoltre, in certi casi mancano funzionalità (es. biblioteca di app su Linux rispetto a Windows). Anche il Fediverso ha un’adozione di massa ancora limitata. Tuttavia, questi limiti vanno valutati alla luce dei benefici a lungo termine: la libertà dall’algoritmo pubblicitario, la sicurezza dei dati e l’indipendenza tecnologica.

Suggerimenti pratici e politici


  • Per la Pubblica Amministrazione: Inserire l’open source nelle gare d’appalto e nei piani digitali (come già indicato nella “Dichiarazione UE sulla sovranità digitale”). Investire in progetti condivisi (Gaia-X, cloud europeo) e formare il personale su Linux, Nextcloud, infrastrutture federate. Promuovere l’adozione di Nextcloud, con l’open source la PA può governare le proprie infrastrutture senza dipendere da processi opachi o extraeuropei”.
  • Per i cittadini e le imprese: Scaricare le alternative, seguire le guide di Scegli.app e lealternative.net, supportare i progetti locali (es. devol.it). Piccoli passi quotidiani come cambiare motore di ricerca o client email concorrono a costruire “un futuro digitale più equilibrato”. A livello politico, i cittadini possono chiedere norme che favoriscano software libero.
  • Per le politiche pubbliche UE/IT: Promuovere la “sovranità digitale” come bene comune: finanziare eventi formativi, centro competenza nazionale sul software libero incentivare PMI europee nell’offerta di servizi cloud gestiti, allineare la strategia digitale italiana con l’Agenda Europea (es. supporto a Mistral AI) per non inseguire, ma guidare l’autonomia tecnologica.

In sintesi, esiste un’alternativa: un ecosistema di servizi federati e software open source, promosso anche da realtà italiane come Fedimedia, che consente di abbandonare gradualmente i prodotti dei Big Tech a favore di soluzioni più sicure, trasparenti e solidali. Ogni passaggio da un motore di ricerca libero a una casella email europea è un mattoncino che costruisce la sovranità digitale di domani

L’Urgenza della Libertà Digitale


Il ruolo di FediMediaAPS:

FediMediaAPS non è semplicemente una piattaforma, ma un catalizzatore di movimeni. Riunisce diverse realtà italiane impegnate nel software libero e nel Fediverso creando sinergie che moltiplicano l’impatto e dimostrando come iniziative coordinate ma autonome, possono costituire un’alternativa credibile e scalabile ai giganti centralizzati.

Il modello che FediMedia propone è semplice: i cittadini non devono essere costretti a cedere i propri dati personali alle Big Tech per poter comunicare, ma devono poter tutelare la propria privacy con servizi e canali di comunicazione gestiti in Europae e che garantiscano la protezione dei dati.

Le Tre Iniziative Chiave: Un Ecosistema Coeso


La forza della sovranità digitale italiana risiede in tre piattaforme interconnesse che funzionano in sinergia:

1. Devol.it: La Rete Federata Italiana


Devol è un progetto collettivo noprofit con base a Milano, è dal 2019 fra i pionieri del fediverso e la più grande iniziativa di questo tipo in Italia, gestita da volontari e sostenuta dalla comunità, con oltre 100mila iscritti.

Devol incarna una visione : invece di dipendere da pochi colossi digitali, le persone dovrebbero poter usare strumenti aperti, federati e non basati sulla sorveglianza ed estrazione dei dati degli utenti. Offendo 30 servizi gratuiti e decentralizzati (social network, cloud storage, podcast hosting), Devol dimostra che è possibile offrire un’esperienza digitale completa fuori dall’ecosistema dei Big Tech

2. Scegli.app: La Guida Pratica per la Scelta


Scegli.app è il luogo dove la consapevolezza diventa azione. È una piattaforma che traduce il concetto astratto di “sovranità digitale” in una guida concreta per migrare dai Big Tech e l’obiettivo è chiaro: rendere il cambiamento facile e immediato per chiunque, non è necessario essere tecnici per iniziare. Scegli.app fa esattamente quello che promette: ti aiuta a scegliere e a come farlo senza stress.

3. LeAlternative.net: L’Enciclopedia Della Libertà


LeAlternative.net è l’enciclopedia italiana delle alternative libere. Cataloga, descrive e compara le soluzioni open source per ogni tipo di servizio. È il riferimento dove trovare non solo “che cosa” scegliere, ma anche il “perché” dietro ogni alternativa.


Come Iniziare: Roadmap Pratica per la Migrazione


La sovranità digitale mira a garantire allo Stato, all’economia e alle persone un uso consapevole delle tecnologie e a diminuire la dipendenza dalle Big Tech. Ecco come concretizzarla:

Fase 1: Email (Impatto massimo, Difficoltà minima)


  • Crea account Proton Mail o Tuta gratuito
  • Configura inoltro da Gmail a Proton/Tuta
  • Comunica il nuovo indirizzo a contatti importanti
  • Tempo: 30 minuti


Fase 2: Cloud Storage (Impatto alto, Difficoltà bassa)


  • Iscriviti a Nextcloud o Proton Drive
  • Scarica i tuoi file da Google Drive via Google Takeout
  • Sincronizza i file importanti
  • Tempo: 2 ore


Fase 3: Messaggistica (Impatto alto, Difficoltà minima)


  • Installa Element
  • Condividi il nuovo numero con i contatti più stretti e segui le stanze fedimedia
  • WhatsApp rimane come “ponte” verso chi non migra
  • Tempo: 20 minuti


Fase 4: Social Network (Impatto medio, Difficoltà bassa)



Fase 5: Ricerca (Impatto moderato, Difficoltà minima)


  • Cambia motore di ricerca in SearXNG, DuckDuckGo o Ecosia
  • Un click nel browser, fatto
  • Tempo: 2 minuti


Fase 6: Sistema Operativo (Impatto massimo, Difficoltà media-alta)


  • Valuta se passare a Linux su PC o usare e/OS sul nuovo telefono
  • Questa è la scelta più importante ma anche la più impegnativa
  • Se inizi qui, fallo quando hai tempo
  • Tempo: 3-4 ore per Linux, quanto il primo setup di un PC nuovo

Il Movimento Italiano e la Coalizione


Quello che rende questa transizione possibile non è una singola piattaforma, ma un ecosistema coordinato di iniziative italiane che funzionano in sinergia:

  • FediMedia APS: Catalizzatore e coordinatore del movimento, porta il Fediverso in Italia
  • Devol.it: Fornitore concreto di 30 servizi decentralizzati e federati
  • Scegli.app: Guida pratica per la transizione graduale
  • LeAlternative.net: Enciclopedia comparativa delle soluzioni

Perché Questo è Importante per l’Italia (e l’Europa)


L’UE è all’avanguardia nella regolamentazione digitale con GDPR, DMA e DSA. Le nuove regole impongono ad Apple, Google, Meta e altri gatekeeper di aprire i propri ecosistemi e limitare l’utilizzo dei dati. Mentre l’Europa sta crescendo un ecosistema di alternative europee che danno priorità alla privacy, alla conformità e all’autonomia.


Conclusione: Iniziate Oggi


Non siamo qui per fare profitto, ma per costruire un ecosistema digitale diverso. Non siamo qui per fare profitto, ma per costruire un ecosistema digitale diverso dove tecnologia, diritti e ambiente coesistono in armonia. Questa è la dichiarazione di intenti di FediMediaAPS, e dovrebbe essere anche la nostra.

La sovranità digitale non è per il futuro. È oggi. È ora.

Non dovete fare tutto insieme. Cominciate da una cosa:

  • Cambiate email (30 minuti)
  • Cambiate motore di ricerca (2 minuti)
  • Scaricate Element (5 minuti)
  • Entrate su Mastodon (5 minuti)

Poi, quando siete pronti, migliorate ancora. Il percorso è tracciato. Le guide sono online su scegli.app. Le piattaforme su devol.it. Le spiegazioni approfondite su lealternative.net.

E dietro a tutto questo: FediMedia APS è una comunità italiana di persone che hanno deciso di riprendere il controllo della propria vita digitale a cui potete iscrivervi per supportarla.

Non è una promessa di un mondo perfetto. È una promessa di un mondo dove siete voi a decidere perché questo importa: ogni volta che scegliete un’alternativa libera ed europea, votate per il tipo di futuro che volete. Ogni volta che migliorate la privacy di un amico, rafforzate la sovranità di tutti.

Non rimandare. Inizia oggi, la libertà digitale non è un’idea astratta: è una scelta concreta, a un click di distanza.

Unisciti a Fedimedia e aiutaci a diventare sempre più parte attiva del cambiamento.


Perché è tempo di abbandonare le Big Tech


Quante volte abbiamo sentito la frase: “Ma dai, Google è così comodo da usare, perché complicarsi la vita?” oppure “Instagram funziona benissimo, che male c’è?”. È una domanda legittima, che merita una risposta onesta e concreta.

Perché vale la pena abbandonare le piattaforme delle multinazionali tecnologiche per servizi alternativi che, almeno all’inizio, possono sembrare meno immediati o popolati? La verità è che dietro la comodità di questi servizi si nascondono meccanismi che stanno trasformando il nostro rapporto con la tecnologia, con l’informazione e con gli altri in modi che spesso non percepiamo.

Lasciamo le Big Tech per costruire il Fediverso


Le piattaforme digitali che dominano oggi la comunicazione online non sono strumenti neutrali, sono infrastrutture di potere costruite per estrarre dati, modellare il consenso, concentrare ricchezza e condizionare le elezioni.
I feed tossici, la pubblicità basata sulla sorveglianza e i monopoli globali non sono “effetti collaterali”, sono il cuore del modello di business delle Big Tech.

Il problema non è solo la privacy


Iniziamo da quello che sappiamo tutti ma che spesso sottovalutiamo: i nostri dati sono diventati una merce. Ogni like, ogni ricerca, ogni messaggio viene registrato, analizzato e venduto. Ma il problema va oltre la raccolta dati, le piattaforme delle Big Tech sono progettate per tenerci incollati agli schermi il più a lungo possibile, gli algoritmi non ci mostrano quello che vogliamo vedere, ma quello che ci farà restare collegati con contenuti che ci fanno arrabbiare, che ci spaventano e che ci eccitano. Il risultato? Siamo costantemente bombardati da informazioni progettate per manipolare le nostre emozioni.

C’è poi la questione dipendenza tecnologica: quando tutti i nostri contatti, le nostre foto, i nostri ricordi sono rinchiusi in un ecosistema proprietario diventa difficile andarsene. Avere quasi tutti i vicini, colleghi e amici nello stesso social rende quasi impossibile uscirne.

In Europa esiste da anni un tentativo concreto di arginare questo potere attraverso leggi che difendono la privacy, i diritti digitali e la sicurezza delle persone. Ma queste conquiste sono fragili, le pressioni economiche e geopolitiche spingono costantemente verso l’utilizzo delle soluzioni delle Big Tech che dominano il mercato. Il risultato è meno diritti per le persone e più potere per pochi colossi privati. Affidare la comunicazione pubblica, l’informazione e le relazioni sociali a piattaforme monopolistiche significa accettare che un pugno di aziende abbia in mano tutti i nostri dati e decida cosa vediamo e cosa possiamo fare.

Il Fediverso nasce come risposta a tutto questo.
Non è solo un insieme di piattaforme alternative ma un cambio di paradigma: reti federate invece di silos centralizzati, software open source invece di codice proprietario, comunità e regole condivise invece di algoritmi imposti dall’alto. Qui nessun attore unico può dettare legge, controllare le persone o zittire intere comunità. Abbandonare le Big Tech non è un gesto simbolico: è un atto politico. Scegliere alternative libere e federate significa sottrarre potere ai monopoli, sostenere un ecosistema più giusto e costruire uno spazio digitale compatibile con i valori democratici, la sostenibilità e la sovranità.

Questa guida serve quindi a fornire strumenti, conoscenze e percorsi concreti per uscire dai recinti delle Big Tech e iniziare a vivere i social in modo libero e consapevole.

Scopri il fediverso: una nuova era per i social network


Stanco dei soliti social network e della costante ingerenza dei giganti della tecnologia? La regista Elena Rossini ti apre le porte del Fediverso, un universo digitale dove la tua privacy è rispettata e il potere torna finalmente nelle mani degli utenti.


L’influenza algoritmica sui discorsi pubblici


Gli algoritmi che alimentano i feed dei social network non sono semplici funzioni di ordinamento, ma sistemi di apprendimento automatico progettati per massimizzare l’engagement – cioè la quantità di tempo che gli utenti trascorrono sulla piattaforma e il numero di azioni (like, commenti, condivisioni) che compiono. Per raggiungere questo obiettivo, i modelli analizzano una mole immensa di dati comportamentali: cronologia di navigazione, interazioni precedenti, tempo di permanenza su singoli contenuti, tipologia di dispositivi utilizzati e persino dati di localizzazione. Queste variabili vengono combinate in “punteggi” di rilevanza che determinano quale contenuto viene mostrato in cima al feed. Il risultato è una curvatura della realtà in cui le informazioni più sensazionali, emotivamente cariche o polarizzanti hanno una probabilità significativamente più alta di emergere rispetto a contenuti più equilibrati o di approfondimento.

Questa dinamica crea quello che gli studiosi chiamano “filter bubbles” o “bolle informative”: gli utenti sono costantemente esposti a narrazioni che confermano le loro convinzioni preesistenti, mentre le opinioni discordanti vengono filtrate o relegati a posizioni poco visibili. La conseguenza è una progressiva frammentazione del discorso pubblico, dove il dialogo critico è sostituito da un eco‑chamber effect, una camera dell’eco. In questo contesto, le manipolazioni politiche trovano terreno fertile. Attraverso la micro-targhetizzazione, le campagne elettorali e gli attori di interesse possono costruire profili psicografici estremamente dettagliati (spesso basati su dati raccolti da terze parti) e indirizzare messaggi personalizzati a segmenti specifici della popolazione. Questi messaggi, ottimizzati per suscitare emozioni forti (paura, rabbia, speranza), sono veicolati proprio dagli algoritmi che privilegiano contenuti ad alto potenziale di reazione. Il risultato è una capacità di influenzare l’opinione pubblica con una precisione che supera di gran lunga le tradizionali forme di propaganda di massa, rendendo difficile per gli elettori distinguere tra informazione autentica e manipolazione orchestrata.

Il documentario The Great Hack – Privacy Violata sullo scandalo Cambridge Analitica

Parallelamente, la struttura di ricompensa degli algoritmi – notifiche, like, suggerimenti personalizzati – sfrutta i circuiti di dopamina del cervello, trasformando l’uso dei social in una forma di dipendenza comportamentale. Gli utenti, spinti da gratificazioni intermittenti, tendono a controllare compulsivamente le proprie piattaforme, sacrificando tempo, concentrazione e benessere psicologico. Questa combinazione di persuasione algoritmica e dipendenza crea un circolo vizioso: più tempo trascorso online genera più dati, che a loro volta alimentano algoritmi ancora più efficaci nel catturare l’attenzione. Il risultato è una diminuzione della capacità critica, una maggiore vulnerabilità alle narrazioni manipolative e un impatto tangibile sulla democrazia e sulla salute mentale collettiva. Per mitigare questi effetti è necessario un approccio multilaterale che includa trasparenza algoritmica, regolamentazioni sulla micro‑targeting politico e strumenti di alfabetizzazione digitale capaci di restituire agli utenti il controllo sui propri flussi informativi.

Il documentario The Social Dilemma

Dipendenza cognitiva e impatti sulla salute mentale


Il meccanismo di ricompensa alla base degli algoritmi è strettamente legato ai circuiti dopaminergici del cervello umano. Le notifiche, le etichette per indicare “nuovi contenuti”, i conteggi di like e le raccomandazioni di contenuti “simili a quelli che ti piacciono” generano piccole dosi di gratificazione intermittente, un modello psicologico noto per favorire comportamenti compulsivi. Quando un utente riceve una notifica, il cervello anticipa una ricompensa, rilasciando dopamina; se la ricompensa arriva (un nuovo commento, un like, un video interessante), il circuito di rinforzo si consolida, aumentando la probabilità che l’utente ritorni sulla piattaforma. Questo ciclo di anticipazione‑ricompensa‑rinforzo è alla base di quello che molti ricercatori definiscono “dipendenza da social media”.

Le conseguenze di questa dipendenza si manifestano su più livelli. A livello individuale, gli utenti sperimentano una riduzione della capacità di concentrazione, un aumento dell’ansia da “FOMO” (fear of missing out, paura di essere lasciati fuori da qualcosa) e una tendenza a confrontare costantemente la propria vita con le versioni curate dei profili altrui, con effetti negativi sull’autostima e sul benessere emotivo. A livello collettivo, la costante ricerca di novità e stimoli porta a un consumo rapido e superficiale delle informazioni, indebolendo la capacità di analisi critica e di riflessione approfondita. Inoltre, la saturazione di contenuti emotivamente intensi crea una “fatica informativa” che spinge gli utenti a delegare il filtro delle notizie agli stessi algoritmi, rinunciando così al ruolo di giudice autonomo.


Le nostre istanze: l’alternativa concreta


Ecco perché abbiamo costruito una rete di oltre 15 piattaforme federate che oggi serve oltre 15.000 persone attive mensili. Non sono copie delle piattaforme commerciali, sono qualcosa di diverso e migliore.

Mascotte Mastodon, licenza GNU

Mastodon


Invece di un algoritmo che decide cosa vedere, su Mastodon sei tu a controllare la tua timeline. Segui chi ti interessa, leggi quello che ti interessa, senza pubblicità che ti interrompe ogni tre post. La moderazione è fatta da persone reali della comunità, non da IA che applicano regole incomprensibili.

Mastodon.uno
Poliversity.it
Vivere.uno
Senigallia.one

Applicazioni per Mastodon

App ufficiale Android
App ufficiale iOS
Client web Phanpy


Pixelfed logo - CC BY-SA 4.0

Pixelfed


Condividi foto e video in un ambiente pulito, senza algoritmi che decidono chi deve vedere i tuoi contenuti. Niente pubblicità tra le foto dei tuoi amici, niente profilazione per vendere i tuoi dati. Solo condivisione autentica di momenti e creatività.

Pixelfed.uno

Applicazioni per Pixelfed

App ufficiale Android
App ufficiale iOS


Mascotte PeerTube - David Revoy - CC BY-SA 4.0

PeerTube


Una piattaforma video decentralizzata dove i creatori mantengono il controllo sui propri contenuti. Niente demonetizzazioni misteriose, niente rimozioni automatiche, niente algoritmi che premiano solo chi fa più visualizzazioni.

Peertube.uno

Applicazioni per PeerTube

App ufficiale Android
App ufficiale iOS


Voyager for Lemmy

Lemmy


L’alternativa a Reddit dove le comunità decidono le proprie regole senza interferenze. Upvote, downvote e discussioni autentiche, federate con il resto del Fediverso per non restare isolati.

Feddit.it
Diggita.com

Applicazioni per Lemmy

Voyager per Android
Voyager per iOS


Logo Flohmarkt

Fedimercatino


L’alternativa libera e italiana a eBay e Subito basata sui principi di decentralizzazione. Niente profilazione pubblicitaria, niente commissioni, niente algoritmi che spingono a comprare cose di cui non hai bisogno.

Fedimercatino.it



Mobilizon


Mobilizon è una piattaforma open source e federata che consente di creare e gestire una comunità online senza dipendere da grandi aziende centralizzate. È pensata per organizzare eventi, gruppi e condividere contenuti in modo trasparente, sicuro e rispettoso della privacy.

Mobilizon.it


Logo Friendica

Friendica


Un’alternativa a Facebook che permette di gestire contatti, gruppi, eventi e condivisioni in un ambiente completamente decentralizzato.

Poliverso.org



BookWyrm


Condividi le tue letture, scopri nuovi libri e partecipa a discussioni letterarie senza raccomandazioni falsate da accordi commerciali. I consigli vengono dalla comunità reale, non da algoritmi che spingono certi editori.

Bookwyrm.it



Writefreely


WriteFreely è una piattaforma di blogging federata che consente di creare e condividere contenuti testuali in modo decentralizzato, mantenendo il controllo totale sui propri dati.

Noblogo.org



Castopod


Castopod offre un hosting podcast open source e federato, permettendoti di condividere i tuoi audio senza dipendere da servizi centralizzati.

Castopod.it



Funkwhale


Con Funkwhale puoi creare collezioni audio e condividerle su ActivityPub, garantendo privacy e indipendenza da servizi centralizzati.

Funkwhale.it



NodeBB


Un’alternativa libera ai gruppi Facebook organizzata per luoghi reali e comunità locali. Basata su NodeBB, permette di discutere pubblicamente mantenendo lo stile dei “vecchi forum” ma federata con tutto il Fediverso. Un posto dove riunirsi e chiacchierare senza essere il prodotto di qualche multinazionale.

Citiverse.it



Wanderer


Wanderer è una piattaforma federata di tracciamento e condivisione di percorsi outdoor che permette di caricare, esplorare e interagire con sentieri in modo decentralizzato, mantenendo il pieno controllo sui propri dati.

Wanderer.devol.it



Forgejo


Forgejo è una piattaforma federata di hosting e collaborazione su codice sorgente che permette di gestire repository, issue e pull request, offrendo un’alternativa libera a GitHub con il pieno controllo sulla propria infrastruttura e sui propri progetti.

Forgejo.it



Owncast


Owncast è la piattaforma di live streaming per chi vuole davvero essere libero. È un progetto open-source che ti consente di trasmettere video in diretta da un tuo canale seguibile da tutto il Fediverso, senza dipendere da servizi centralizzati come YouTube Live, Twitch o Facebook Live.

Nostream.mastodon.uno


Perché scegliere le alternative


  • La tua timeline appartiene a te, niente algoritmi che decidono cosa vedere. Niente contenuti sponsorizzati che si mescolano ai post degli amici. Niente influencer spinti artificialmente nelle tue notifiche. Vedi quello che hai scelto di vedere.
  • Zero pubblicità, zero tracciamento, le nostre piattaforme non si finanziano vendendo i tuoi dati agli inserzionisti, quindi non hanno bisogno di raccoglierli. Vivono di donazioni e del lavoro volontario della comunità.
  • I tuoi dati restano tuoi, puoi scaricare tutto quello che hai pubblicato. Puoi migrare da un’istanza all’altra senza perdere contatti o contenuti. Se un giorno deciderai di andartene, non perderai anni di ricordi e connessioni.
  • Moderazione umana e trasparente, le regole sono scritte chiaramente e applicate da persone della comunità che puoi contattare direttamente. Niente sospensioni misteriose o shadow ban incomprensibili.
  • Tecnologia sostenibile, i nostri server consumano molto meno energia delle mega-infrastrutture delle Big Tech. Inoltre, progetti come Ufficio Zero danno nuova vita a hardware che altrimenti finirebbe in discarica.


“Ma ci sono meno persone…”


È vero, almeno per ora. Ma ogni grande cambiamento inizia da piccoli gruppi di persone che decidono di fare diversamente. Il Fediverso sta crescendo rapidamente: Mastodon ha superato i 15 milioni di utenti, Pixelfed compete seriamente con Instagram, PeerTube offre alternative concrete a YouTube.

E poi, preferiresti essere in 1000 in una piazza dove puoi parlare liberamente, o in 100.000 in un centro commerciale dove ogni tua parola viene registrata e venduta?

Come iniziare


Il passaggio non deve essere traumatico. Puoi iniziare affiancando le piattaforme alternative a quelle che già usi, per poi migrare gradualmente quando ti senti pronto.

  1. Crea un account su Mastodon per il social networking
  2. Prova Fedimercatino per comprare e vendere senza essere profilato
  3. Esplora Citiverse per contenuti della tua zona
  4. Iscriviti a PeerTube o Pixelfedper condividere video e immagini reali
  5. Scarica Ufficio Zero se vuoi provare un sistema operativo per desktop completamente libero
  6. Unisciti alla nostra community su Matrix o Telegram per ricevere supporto


Il futuro che vogliamo costruire


Non stiamo combattendo contro la tecnologia, stiamo lottando per una tecnologia migliore. Una tecnologia che serve le persone invece di sfruttarle. Che connette le comunità invece di dividerle. Che preserva la privacy invece di violarla.

Ogni persona che passa a servizi liberi e decentralizzati contribuisce a costruire questo futuro. Non abbiamo la pretesa di cambiare il mondo dall’oggi al domani, ma crediamo fermamente che l’alternativa esista e funzioni.


Questa voce è stata modificata (2 settimane fa)

Hydraulic Drive For Your Lawn Tractor


The media in this post is not displayed to visitors. To view it, please log in.

Most larger ride-around landscaping machinery has a similar transmission, a transaxle containing a gearbox, or in some cases, a continuously variable drive. [Made In Garage] has a Toro lawn tractor with just such a setup, and when the transaxle failed he replaced it with a hydraulic drive.

The video below is a classic bit of workshop porn, as he fabricates both the hubs and the rear frame to fit a pair of hydraulic motors. The throttle pedal is a hydraulic valve with the lever swapped for a pedal, and the hydraulic reservoir, in a nice touch, is an old fire extinguisher.

We’re not so sure about the pipework in such an exposed position under the machine as we think it would inevitably be damaged, but you can’t argue with the results. Having used a rough service mower with a hydraulic drive in the past, we appreciate always being exactly at the right ratio for the engine.

We think perhaps he should complement it with a loader.

youtube.com/embed/K8cFS1Jun9Y?…

Thanks [Keith Olson] for the tip!


hackaday.com/2026/06/03/hydrau…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

CVE-2026-42945 (NGINX Rift): vulnerabilità critica attivamente sfruttata — aggiornare subito
#tech
spcnet.it/cve-2026-42945-nginx…
@informatica


CVE-2026-42945 (NGINX Rift): vulnerabilità critica attivamente sfruttata — aggiornare subito


Il 13 maggio 2026 il team di ricerca di Depthfirst ha reso pubblici i dettagli tecnici di CVE-2026-42945, una vulnerabilità critica nel modulo ngx_http_rewrite_module di NGINX, immediatamente ribattezzata NGINX Rift. Appena tre giorni dopo la divulgazione, i sistemi canary di VulnCheck hanno rilevato tentativi di sfruttamento attivo in the wild. Con oltre 5,7 milioni di istanze NGINX esposte su Internet che eseguono versioni potenzialmente vulnerabili, questo CVE richiede attenzione immediata da parte di tutti gli amministratori di sistema.

Cos’è e come funziona la vulnerabilità


CVE-2026-42945 è una vulnerabilità di memory corruption (heap-based buffer overflow) che risiede nel modulo di riscrittura URL di NGINX. Il problema nasce da un errore nel calcolo del buffer di destinazione quando vengono usate capture non nominati (i riferimenti $1, $2, ecc.) nelle direttive rewrite.

Il bug si manifesta quando sono presenti tutte e tre queste condizioni nella configurazione di NGINX:

  1. Una direttiva rewrite con capture non nominati (es. $1, $2)
  2. Una stringa di sostituzione che contiene un punto interrogativo (parametri GET)
  3. Un’ulteriore direttiva rewrite, if, o set successiva

In questa configurazione, NGINX calcola la dimensione del buffer usando un insieme di assunzioni sull’escape dei caratteri, ma poi scrive nel buffer con assunzioni diverse. Il risultato è una scrittura oltre i limiti del buffer allocato — un classico heap overflow. La cosa particolarmente insidiosa è che i byte scritti oltre il buffer sono determinati dall’URI dell’attaccante, rendendo la corruzione controllabile e quindi molto più pericolosa di un semplice crash casuale.

Esempio di configurazione vulnerabile


Ecco un pattern di configurazione che espone l’istanza NGINX all’exploit:

server {
    listen 80;
    server_name example.com;

    location / {
        # Configurazione VULNERABILE: capture non nominato ($1) + "?" nella sostituzione
        rewrite ^/vecchio/(.*)$ /nuovo/?id=$1 last;
        
        # La presenza di questa seconda direttiva aggrava il problema
        rewrite ^/nuovo/(.*)$ /index.php?path=$1 last;
    }
}

La versione sicura usa capture nominati:
server {
    listen 80;
    server_name example.com;

    location / {
        # Configurazione SICURA: uso di capture nominati
        rewrite ^/vecchio/(?P<slug>.*)$ /nuovo/?id=${slug} last;
        rewrite ^/nuovo/(?P<path>.*)$ /index.php?path=${path} last;
    }
}

Impatto: DoS garantito, RCE possibile


L’impatto della vulnerabilità dipende dalla configurazione del sistema operativo:

  • Denial of Service (DoS): ottenibile su qualsiasi configurazione NGINX vulnerabile. Richieste HTTP ripetute mantengono i worker process in un crash loop, degradando la disponibilità di tutti i virtual host serviti dall’istanza.
  • Remote Code Execution (RCE): teoricamente possibile, ma richiede che l’Address Space Layout Randomization (ASLR) sia disabilitata sul server target. Su sistemi Linux moderni con ASLR abilitata (la configurazione predefinita), il RCE è significativamente più difficile da ottenere.

Il proof-of-concept pubblico rilasciato da Depthfirst dimostra il DoS in modo affidabile e ripetibile.

Versioni affette


La vulnerabilità colpisce:

  • NGINX Open Source: versioni dalla 0.6.27 alla 1.30.0 inclusa
  • NGINX Plus: versioni dalla R32 alla R36
  • Prodotti F5 che incorporano NGINX: NGINX Ingress Controller, F5 WAF for NGINX, F5 DoS for NGINX e altri


Come verificare la propria esposizione


Prima di aggiornare, è utile capire se la propria configurazione è effettivamente sfruttabile. Non basta avere una versione vulnerabile: è necessario che sia presente il pattern di configurazione critico.

Cerca nelle tue configurazioni il pattern problematico:

# Cerca direttive rewrite con $1, $2, ecc. seguite da "?"
grep -rn 'rewrite.*\$[0-9].*?' /etc/nginx/

# Verifica la versione installata
nginx -v

Su sistemi Debian/Ubuntu puoi controllare se il pacchetto è già stato aggiornato:
apt-cache policy nginx
apt-cache policy nginx-full

Patch e mitigazioni disponibili


F5 ha già rilasciato le versioni corrette:

  • NGINX Open Source 1.31.0 (versione mainline) e 1.30.1 (versione stable)
  • NGINX Plus R36 P4 e R32 P6
  • F5 WAF for NGINX v5.13.0
  • F5 DoS for NGINX v4.9.0

Le principali distribuzioni Linux stanno rilasciando pacchetti aggiornati:

# Debian/Ubuntu
sudo apt update && sudo apt upgrade nginx

# AlmaLinux/RHEL/CentOS
sudo dnf update nginx

# Verifica la versione dopo l'aggiornamento
nginx -v && nginx -t

Se non è possibile aggiornare immediatamente, la mitigazione ufficiale di F5 consiste nel convertire tutti i capture non nominati in capture nominati nelle direttive rewrite, come mostrato nell’esempio di configurazione sicura sopra.

Considerazioni operative


Alcuni aspetti pratici da tenere a mente durante la risposta a questo incidente:

L’aggiornamento di NGINX su sistemi in produzione richiede tipicamente un graceful reload (nginx -s reload) che non interrompe le connessioni esistenti. Tuttavia, se si installa una nuova versione del pacchetto, potrebbe essere necessario un riavvio del processo:

# Reload della configurazione (zero-downtime)
nginx -s reload

# Oppure tramite systemd
systemctl reload nginx

# Riavvio completo (se necessario dopo aggiornamento del binario)
systemctl restart nginx

Per ambienti containerizzati con NGINX come base image, è necessario ricostruire e ridistribuire i container aggiornando la versione base dell’immagine. Se si usa NGINX Ingress Controller su Kubernetes, aggiornare il deployment del controller.

Conclusione


CVE-2026-42945 è una vulnerabilità seria che merita risposta rapida. Sebbene non tutte le istanze NGINX siano sfruttabili (dipende dalla configurazione delle direttive rewrite), il DoS è ottenibile su qualsiasi sistema vulnerabile con il pattern critico e lo sfruttamento attivo è già confermato. La patch è disponibile, la migrazione alla versione 1.30.1 o 1.31.0 è il percorso consigliato. In alternativa, la conversione ai capture nominati nelle configurazioni rewrite offre una mitigazione efficace nell’immediato.

Fonti: Help Net Security, Depthfirst Security Research, F5 Security Advisory K000161019, VulnCheck


Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

A subreddit that pairs people with tangled up balls of string with people who love detangling balls of string, and it is all very wholesome
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Linux Network Bonding: configurare la ridondanza e il bilanciamento del carico delle interfacce di rete
#tech
spcnet.it/linux-network-bondin…
@informatica


Linux Network Bonding: configurare la ridondanza e il bilanciamento del carico delle interfacce di rete


Cos’è il Network Bonding su Linux?


Il network bonding (detto anche NIC bonding, link aggregation o NIC teaming) è una tecnica che consente di unire due o più interfacce di rete fisiche in un’unica interfaccia logica. Il risultato? Maggiore larghezza di banda, ridondanza contro i guasti, o entrambi — a seconda della modalità scelta.

Il kernel Linux gestisce tutto questo tramite il modulo bonding, disponibile di default in quasi tutte le distribuzioni moderne. L’interfaccia bond appare al sistema operativo e alle applicazioni come una singola NIC: tutto il traffico la attraversa in modo trasparente.

Importante: il bonding non è la stessa cosa del bridging. Un bridge connette segmenti di rete separati; il bonding aggrega più interfacce in una sola. Scopo diverso, configurazione diversa. Inoltre, le interfacce Wi-Fi generalmente non sono compatibili con il bonding — i driver wireless non supportano la modalità promiscua e la manipolazione dei MAC address che il bonding richiede. Usate esclusivamente NIC Ethernet cablate.

Le 7 modalità di bonding


La scelta della modalità è la decisione più importante nell’intera configurazione. Ecco una panoramica pratica:

Mode 0 — Round-Robin (balance-rr)


I pacchetti vengono trasmessi in sequenza su tutte le interfacce. Offre bilanciamento del carico e tolleranza ai guasti, ma richiede una configurazione di static link aggregation sullo switch. Senza di essa si verificano pacchetti fuori sequenza e prestazioni scadenti.

Mode 1 — Active-Backup


Una sola interfaccia è attiva alla volta. Se quella attiva cade, subentra immediatamente una di riserva. Non richiede configurazione sullo switch: è la modalità più sicura e compatibile. Usatela se il vostro obiettivo è la pura ridondanza.

Mode 4 — 802.3ad (LACP)


Link Aggregation dinamica secondo lo standard IEEE 802.3ad. Richiede uno switch gestito con LACP abilitato. È la modalità più usata in ambienti enterprise: se il vostro switch lo supporta, questa è la scelta per la produzione.

Mode 6 — Balance-ALB


Bilancia sia il traffico in uscita sia quello in entrata tramite negoziazione ARP. Non richiede configurazione sullo switch: ottima scelta per home lab o server senza switch gestiti.

Per home lab senza switch gestito: Mode 1 (failover) o Mode 6 (load balancing). Per server di produzione con switch gestito: Mode 4 (LACP).

Prerequisiti


Prima di iniziare, verificate di avere:

  • Due o più NIC fisiche (o virtuali, in una VM)
  • Accesso root o sudo
  • Il modulo bonding del kernel (incluso nella maggior parte delle distribuzioni)

Verificate che il modulo sia disponibile:

modinfo bonding

Caricatelo immediatamente se necessario:
sudo modprobe bonding

Identificate le vostre interfacce prima di toccare qualsiasi configurazione:
ip link show

Sui sistemi moderni vedrete nomi come enp3s0, enp4s0 oppure eth0, eth1. Annotateli.

Metodo 1: NetworkManager con nmcli (desktop e server moderni)


Se usate Ubuntu, Fedora, Debian con NetworkManager o qualsiasi distribuzione desktop, questo è l’approccio più diretto. NetworkManager supporta il bonding in modo nativo da anni.

Creare prima l’interfaccia bond:

sudo nmcli con add type bond con-name bond0 ifname bond0 bond.options "mode=active-backup,miimon=100"

Aggiungere le interfacce fisiche come slave del bond:
sudo nmcli con add type ethernet slave-type bond con-name bond0-slave1 ifname enp3s0 master bond0
sudo nmcli con add type ethernet slave-type bond con-name bond0-slave2 ifname enp4s0 master bond0

Assegnare un indirizzo IP statico al bond:
sudo nmcli con modify bond0 ipv4.addresses 192.168.1.100/24 ipv4.gateway 192.168.1.1 ipv4.dns 1.1.1.1 ipv4.method manual

Oppure usare DHCP:
sudo nmcli con modify bond0 ipv4.method auto

Attivare la connessione:
sudo nmcli con up bond0

Verificare che il bond funzioni:
cat /proc/net/bonding/bond0

L’output mostrerà l’interfaccia slave attiva, lo stato MII, velocità e duplex di ogni NIC. Questo file è il vostro migliore alleato per il troubleshooting.

Metodo 2: systemd-networkd (server e installazioni minimali)


Per server senza NetworkManager, systemd-networkd gestisce il bonding in modo pulito. Adatto a Ubuntu Server, Debian minimale e configurazioni snelle.

Creare il file netdev per il bond:

sudo nano /etc/systemd/network/10-bond0.netdev
[NetDev]
Name=bond0
Kind=bond

[Bond]
Mode=active-backup
MIIMonitorSec=100ms
UpDelaySec=200ms
DownDelaySec=200ms

Configurare la rete per l’interfaccia bond:
sudo nano /etc/systemd/network/20-bond0.network
[Match]
Name=bond0

[Network]
DHCP=yes

Creare un file per ogni interfaccia slave (uno per NIC):
sudo nano /etc/systemd/network/30-bond0-slave1.network
[Match]
Name=enp3s0

[Network]
Bond=bond0

Riavviare il servizio e verificare:
sudo systemctl restart systemd-networkd
cat /proc/net/bonding/bond0

Metodo 3: Netplan (Ubuntu Server 18.04+)


Ubuntu Server usa Netplan come layer di configurazione di rete predefinito. Modificate il file di configurazione (di solito /etc/netplan/01-netcfg.yaml):

network:
  version: 2
  renderer: networkd
  ethernets:
    enp3s0:
      dhcp4: no
    enp4s0:
      dhcp4: no
  bonds:
    bond0:
      interfaces:
        - enp3s0
        - enp4s0
      addresses:
        - 192.168.1.100/24
      routes:
        - to: default
          via: 192.168.1.1
      nameservers:
        addresses:
          - 1.1.1.1
      parameters:
        mode: active-backup
        mii-monitor-interval: 100
        primary: enp3s0

Applicare la configurazione:
sudo netplan apply

Consiglio: su macchine remote, usate sudo netplan try prima di applicare definitivamente. Il comando applica la configurazione temporaneamente e la ripristina automaticamente dopo 120 secondi se non viene confermata — una rete di sicurezza preziosa.

Test del failover


Una volta configurato il bond, testate che il failover funzioni davvero. Con il bond attivo, simulate il guasto di una NIC scollegando fisicamente il cavo o disabilitando l’interfaccia via software:

sudo ip link set enp3s0 down

Il traffico dovrebbe continuare a fluire sull’interfaccia secondaria senza interruzioni percepibili. Verificate:
cat /proc/net/bonding/bond0

Il campo Currently Active Slave mostrerà la NIC di backup ora attiva.

Comandi utili per il monitoraggio

# Stato dettagliato del bond
cat /proc/net/bonding/bond0

# Statistiche di traffico per interfaccia
ip -s link show bond0

# Link failure count per slave
grep -A2 "Slave Interface" /proc/net/bonding/bond0

Problemi comuni e soluzioni


L’interfaccia bond non ha IP dopo il reboot: verificate che le connessioni NetworkManager siano impostate su autoconnect, oppure che i file systemd-networkd siano nel percorso corretto (/etc/systemd/network/).

Un solo slave risulta attivo anche in modalità round-robin o LACP: lo switch non è configurato correttamente per il LAG. Controllate la configurazione delle porte sullo switch.

I ping drop durano più del previsto durante il failover: aumentate il valore di UpDelaySec/DownDelaySec — un valore troppo basso può causare flapping. Valori tipici: 200ms per il down, 0ms per l’up.

Conclusione


Il network bonding su Linux è una soluzione matura, stabile e sorprendentemente semplice da configurare su distribuzioni moderne. Che vogliate ridondanza per un server critico o maggiore throughput per trasferimenti locali, i tre metodi descritti — nmcli, systemd-networkd e Netplan — coprono la quasi totalità degli scenari reali. Iniziate con Mode 1 (active-backup) se siete alle prime armi: non richiede switch gestito ed entra in produzione in pochi minuti.

Fonte: Linux Network Bonding: Combine Network Interfaces — LinuxBlog.io


The media in this post is not displayed to visitors. To view it, please log in.

Ciao Carola


@Informatica (Italy e non Italy)
Ci sono notizie che arrivano come un pugno nello stomaco. Quella della morte di Carola Frediani è una di quelle. Per chi vive e lavora nel mondo della cybersecurity italiana, Carola non era semplicemente una giornalista. Era una presenza costante. Una delle poche persone capaci di osservare il nostro settore con lucidità, spirito critico e […]
L'articolo Ciao Carola proviene da


Ciao Carola


Ci sono notizie che arrivano come un pugno nello stomaco.

Quella della morte di Carola Frediani è una di quelle.

Per chi vive e lavora nel mondo della cybersecurity italiana, Carola non era semplicemente una giornalista. Era una presenza costante. Una delle poche persone capaci di osservare il nostro settore con lucidità, spirito critico e una rara capacità di distinguere il rumore dai fatti.

In un’epoca in cui tutto deve essere urgente, allarmistico e spettacolare, Carola aveva scelto una strada diversa: quella della comprensione.

Leggevo con attenzione la sua newsletter, seguivo i suoi articoli, i suoi approfondimenti, il suo modo di raccontare la tecnologia e la sicurezza informatica senza mai cedere alla superficialità. Riusciva a parlare tanto agli addetti ai lavori quanto a chi si avvicinava per la prima volta a questi temi, senza mai banalizzare la complessità.

Ricordo ancora con orgoglio una circostanza che mi aveva particolarmente colpito: quando citò un articolo pubblicato sul mio blog all’interno di uno dei suoi approfondimenti (la newsletter Guerre di rete sul caso SIAE) dedicati a un caso nazionale. Un gesto probabilmente normale per chi fa giornalismo con serietà, ma che per me rappresentò un riconoscimento importante. Non tanto perché proveniva da una figura autorevole del settore, quanto perché arrivava da una persona che aveva costruito la propria credibilità sulla competenza e sull’onestà intellettuale.

Negli anni, Carola è stata una delle voci che hanno contribuito a definire il dibattito italiano sulla sorveglianza digitale, sul cybercrime, sulla sicurezza delle infrastrutture, sui diritti digitali e sulle implicazioni sociali delle tecnologie che utilizziamo ogni giorno.

Ha insegnato a molti di noi che la cybersecurity non riguarda soltanto malware, ransomware e vulnerabilità. Riguarda soprattutto persone. Riguarda libertà, informazione, potere e responsabilità.

Forse è proprio questo che rende oggi così difficile accettare questa notizia.

Perché quando scompare una persona come Carola, non perdiamo soltanto una professionista. Perdiamo una voce autorevole, indipendente e profondamente necessaria.

In un settore che spesso premia chi urla più forte, lei ha dimostrato che si può lasciare un segno anche parlando con calma, documentandosi con rigore e mantenendo sempre uno sguardo umano sulle storie che raccontava.

Oggi la comunità italiana della cybersecurity è un po’ più povera.

E molti di noi si sentono improvvisamente più soli.

Grazie, Carola, per tutto quello che hai scritto, spiegato e raccontato.

Grazie per aver contribuito a costruire una cultura della sicurezza informatica più matura, più consapevole e più umana.

Ci mancherai.


reshared this

Aggiornamenti Android giugno 2026: corretta una zero-day già sfruttata in attacchi mirati


@Informatica (Italy e non Italy)
Google rilascia il bollettino di sicurezza Android per il mese di giugno 2026 con patch per 124 vulnerabilità, tra cui la zero-day CVE-2025-48595 già attivamente sfruttata. Ecco l'analisi tecnica e le contromisure per aziende e

ChatGPhish, così una pagina web malevola trasforma l’AI in strumento di phishing


@Informatica (Italy e non Italy)
La nuova tecnica di attacco ribattezzata ChatGPhish dimostra che, nell’era dell’intelligenza artificiale, anche la semplice consultazione di una pagina web può trasformarsi in un’opportunità per gli attaccanti di manipolare la percezione degli utenti

Cybersecurity & cyberwarfare ha ricondiviso questo.

I tossicodipendenti da #SALAMI #AI sono già tra noi (come da programma di cui sotto). Mi sta capitando abbastanza spesso che, quando dico cose tutto sommato banali - che i LLM sono statistiche automatizzate e che a scuola dovrebbero essere solo oggetti di studio e non strumenti per lo studio a surrogazione dell'insegnante - ci sia sempre qualcuno che reagisce come se gli avessi sacrificato il primogenito. Cosa che, stranamente, non avviene quando parlo semplicemente male della Microsoft in generale.

blog.quintarelli.it/2026/06/mi…

Cybersecurity & cyberwarfare ha ricondiviso questo.

Carola Frediani, an Italian infosec journalist and member of Amnesty and Human Rights Watch, has unexpectedly passed away this week

ansa.it/canale_tecnologia/noti…

But Just What is This ‘Artificial Intelligence’?


The media in this post is not displayed to visitors. To view it, please log in.

In the world of buzzwords, the acronym ‘AI’ has absolutely been the buzziest of buzzing buzzwords for at least a few years now. Where previously terms like ‘smart’ and ‘intelligent’ sufficed to promote a product, we are now being told that we are living in an age where this supposedly newfangled ‘artificial intelligence’ is doing literally everything faster and better while also curing cancer on the side. Yet, as a wise man once said: “You keep using that word. I do not think it means what you think it means.”

The obvious implication of using a term like ‘artificial intelligence’ in this manner is that it brings to mind a modern version of early last century’s ‘electronic brain’ vernacular alongside the rise of digital computers. Yet rather than electrons in vacuum tubes and semiconductors propelling us into a brave new world of super-intelligence, we now just use said devices to doom scroll and to engage in passive-aggressive online communications like the typical primate groups in a virtual jungle defending their turf.

Similarly, the term AI is massively oversold today, least of all in the inherent presupposition that we somehow have finally cracked the mystery of the brain and have created an intelligence that can go toe-to-toe with humans and even our corvid dinosaur friends. Perhaps the worst part is that there is a veritable mountain of fascinating algorithms and other constructs that help us automate many tasks today, making it somewhat rude to just give up and call everything ‘AI’ like we learned nothing from the 1980s AI craze.

So what is exactly being smoothed over by the glossy marketing of ‘everything is AI’?

Cognition Versus Intelligence


Recently I covered the topic of intelligence, both in the sense of its definition and the empirical evidence. Within that definition it is already quite obvious that animals like birds are pretty intelligent, and can compete with the average human on a number of metrics. Of the different types of intelligence, fluid intelligence (Gf) is perhaps the most crucial since it pertains to what might be the clearest sign of intelligence in the form of reasoning.
Current and expanded CHC theory of cognitive abilities. Source: Flanagan & McGrew (1997).Current and expanded CHC theory of cognitive abilities. Source: Flanagan & McGrew (1997).
Add to this memory (knowledge and recall) as well as acquired skills and you got the basics of general intelligence. One could absolutely make the point that this is all that intelligence is about, as in the acquisition of data, processing it and using reasoning to come to new conclusions. Yet as can be seen in the referenced article, the basic CHC intelligence model can, and has been, expanded to include sensory, motor and efficiency metrics, which are very species-centric.

Of course, it is true that within cognitive processes it’s hard to exclude sensory input and output via actuators like muscles to perform some kind of physical action. After all, no type of intelligence is of much use if there are no in- and output, such as how we need at least one of our five senses to be aware of the world around us along with some way to interact. Whether intelligence could develop without both is also a valid question.

The resulting disagreements in the academic community on where to draw the line between intelligence and cognition do not help with narrowing the scope of ‘intelligence’, as it makes it possible to assign the label to something like machine vision. Even when this is a system that merely replicates parts of the visual cognitive process without the underlying reasoning and understanding that accompanies this cognitive process in us animals.

What we can conclude from this, however, is that what we call ‘smart’ or ‘AI’ are merely systems that attempt to replicate such a fragment of the human cognitive process.

Machine Vision


Perhaps the biggest strength of machine vision (MV) is that it allows for a cognitive task to be off-loaded to a computer system that will never suffer fatigue or become distracted. This is essential in tasks like quality assurance, such as on production lines. Rather than having a human check each item that zips past for certain properties, alignments, etc. a machine vision system can take over this cognitive task while being inarguably far more efficient.

MV encompasses a wide range of implementations, all targeting a specific task that can use different sensors and outputs to accomplish a goal. For e.g. PCB assembly lines and food production you got many MV systems that use visible light as well as near-infrared and other camera and sensor types to detect flaws, spoilage and other issues. This data is then passed through the rest of the system, where some kind of programming allows for the detection of any issues.
Manual inspection of a PCB failed by automation. (Credit: Gamers Nexus, YouTube)Manual inspection of a PCB failed by automation. (Credit: Gamers Nexus, YouTube)
At the board house, suspect PCBs are identified and then taken off the conveyor and handed over to a human who can then either confirm the issue and address or bin it, or mark it as a false positive by the system and put it back on the conveyor. The main advantage here is that it reduces the cognitive load on the humans, who are notoriously terrible at long stretches of boring work.

Another area where MV is essential is that of self-driving vehicles, which is where sensor blending and interpretation of features in a scene using e.g. edge detection and recognition using a convolutional neural network (CNN) is paramount. This replicates the human cognitive process of navigation and steering, though it should be noted that these systems require significant more sensors, including radar and Lidar, to do their job somewhat effectively.

Here it should be noted that MV doesn’t replace human cognition. Rather, it serves to complement it from a general automation perspective. This is why purely self-driving vehicles (Level 5) are still fictional and sometimes comically obvious PCB assembly flaws can make it through automated QA, even if overall it is a net win for the human workers.

Pattern Recognition


Much of the medical profession is about pattern recognition and differential diagnostics, as symptoms and test results have to be categorized and analyzed. Within this field there has been a push towards computer-aided diagnosis (CAD) for decades now, here also to try and reduce the cognitive workload on medical staff. The start of this was with expert systems implemented in e.g. Lisp, which use a knowledge base and an inference system in order to reach a conclusion or solve a problem.

An issue here is of course that this knowledge base has to be constantly maintained, which is why artificial neural network designs have become more popular, with large language models one particular example of these. Such models can be updated more easily, with the slight gotcha that by not having the expert system maintained by human beings any more and instead relying on what are essentially statistical models, you’re abandoning the ‘expert’ part.

This is why LLMs have been increasingly pushed to the side by things like retrieval augmented generation (RAG), which ‘grounds’ the provided facts in more factual reality such as human-written documents, leaving the LLM to help provide a friendly natural language interface.

When it comes to analyzing test results such as of MRI scans and X-rays, this covers much of the same ground as with full MV systems, with the same gotcha that although it can save time, it can also make incredibly dumb mistakes and thus cannot be left unsupervised.

Natural Language


Perhaps the biggest advancement of the past years has been in creating better chatbots that can keep up a conversation on a level that would put ELIZA to shame. Of course, this is at least as much smoke-and-mirrors as ELIZA, in that there is no actual intelligence or concerned therapist behind the friendly interaction, just a complex human-written chat interface that creates the query and handles all other details of using an LLM for generating the semblance of a human-level interaction.

The term ‘emotional intelligence‘ refers to the ability to perceive and feel emotions, something that is impossible for an entity that is incapable of feeling and reasoning, meaning that it is a fairly complex cognitive process that is also heavily susceptible to projection of one’s own feelings onto another person or even an inanimate object. Although the chatbot is literally incapable of learning and requires external session information to be stored within the context window, these can be very convincing near-facsimile under the right conditions.

Faking Cognition


The increased use of machine vision and similar systems has been an absolute boon in automating industries and other fields, making life better for everyone involved due to the reduced cognitive load and freeing up humans to do more creative tasks where one isn’t asked to mindlessly perform the same task over and over.

There are many fields where such increased cognitive offloading is a good thing and quite feasible, but always with a full understanding of the limitations and potential pitfalls, especially when it comes to risks like cognitive atrophy caused by cognitive surrender. This has been identified as a hazard in an increasing number of studies, highlighting the importance of maintaining one’s critical thinking skills.

Even if actual artificial intelligence happened next year, it’s still paramount that we treasure human intelligence, as it is the only one we will always have, as well as the sole reason why humankind has come this far.


hackaday.com/2026/06/03/but-ju…

Cybersecurity & cyberwarfare ha ricondiviso questo.

Ciao Carola


Ci sono notizie che arrivano come un pugno nello stomaco. Quella della morte di Carola Frediani è una di quelle. Per chi vive e lavora nel mondo della cybersecurity italiana, Carola non era semplicemente una giornalista. Era una presenza costante. Una delle poche persone capaci di osservare il nostro settore con lucidità, spirito critico e una rara capacità di distinguere il rumore dai fatti. In un'epoca in cui tutto deve essere urgente, allarmistico e spettacolare, Carola aveva scelto […]
The media in this post is not displayed to visitors. To view it, please go to the original post.

Ci sono notizie che arrivano come un pugno nello stomaco.

Quella della morte di Carola Frediani è una di quelle.

Per chi vive e lavora nel mondo della cybersecurity italiana, Carola non era semplicemente una giornalista. Era una presenza costante. Una delle poche persone capaci di osservare il nostro settore con lucidità, spirito critico e una rara capacità di distinguere il rumore dai fatti.

In un’epoca in cui tutto deve essere urgente, allarmistico e spettacolare, Carola aveva scelto una strada diversa: quella della comprensione.

Leggevo con attenzione la sua newsletter, seguivo i suoi articoli, i suoi approfondimenti, il suo modo di raccontare la tecnologia e la sicurezza informatica senza mai cedere alla superficialità. Riusciva a parlare tanto agli addetti ai lavori quanto a chi si avvicinava per la prima volta a questi temi, senza mai banalizzare la complessità.

Ricordo ancora con orgoglio una circostanza che mi aveva particolarmente colpito: quando citò un articolo pubblicato sul mio blog all’interno di uno dei suoi approfondimenti (la newsletter Guerre di rete sul caso SIAE) dedicati a un caso nazionale. Un gesto probabilmente normale per chi fa giornalismo con serietà, ma che per me rappresentò un riconoscimento importante. Non tanto perché proveniva da una figura autorevole del settore, quanto perché arrivava da una persona che aveva costruito la propria credibilità sulla competenza e sull’onestà intellettuale.

Negli anni, Carola è stata una delle voci che hanno contribuito a definire il dibattito italiano sulla sorveglianza digitale, sul cybercrime, sulla sicurezza delle infrastrutture, sui diritti digitali e sulle implicazioni sociali delle tecnologie che utilizziamo ogni giorno.

Ha insegnato a molti di noi che la cybersecurity non riguarda soltanto malware, ransomware e vulnerabilità. Riguarda soprattutto persone. Riguarda libertà, informazione, potere e responsabilità.

Forse è proprio questo che rende oggi così difficile accettare questa notizia.

Perché quando scompare una persona come Carola, non perdiamo soltanto una professionista. Perdiamo una voce autorevole, indipendente e profondamente necessaria.

In un settore che spesso premia chi urla più forte, lei ha dimostrato che si può lasciare un segno anche parlando con calma, documentandosi con rigore e mantenendo sempre uno sguardo umano sulle storie che raccontava.

Oggi la comunità italiana della cybersecurity è un po’ più povera.

E molti di noi si sentono improvvisamente più soli.

Grazie, Carola, per tutto quello che hai scritto, spiegato e raccontato.

Grazie per aver contribuito a costruire una cultura della sicurezza informatica più matura, più consapevole e più umana.

Ci mancherai.

Cybersecurity & cyberwarfare ha ricondiviso questo.

#Russia's #FSB Says Foreign Spies Infected Officials' Phones With #Malware
securityaffairs.com/193076/sec…
#securityaffairs #hacking
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ DriveSurge e il sistema zTDS: migliaia di siti dirottati per distribuire ClickFix e FakeUpdates su Windows e macOS
#CyberSecurity
insicurezzadigitale.com/drives…

@informatica


DriveSurge e il sistema zTDS: migliaia di siti dirottati per distribuire ClickFix e FakeUpdates su Windows e macOS


Si parla di:
Toggle

Un gruppo di cybercriminali tracciato come DriveSurge ha costruito un’infrastruttura di distribuzione malware su scala industriale, dirottando migliaia di siti web legittimi per veicolare campagne ClickFix e FakeUpdates. Dietro l’operazione si cela il sistema di distribuzione del traffico zTDS, che seleziona dinamicamente la trappola più efficace per ciascuna vittima. Il target: qualunque utente Windows o macOS che visiti un sito compromesso.

Chi è DriveSurge e cosa fa zTDS


DriveSurge è un threat actor di tipo malware-as-a-service specializzato nella distribuzione massiva di payload attraverso siti web compromessi. La sua infrastruttura operativa si regge sul Traffic Distribution System zTDS, un sistema sofisticato che analizza i visitatori in tempo reale — sistema operativo, geolocalizzazione, browser, orario di accesso — e li reindirizza verso la trappola ottimale, scelta tra due filoni principali: ClickFix o FakeUpdates.

I ricercatori di SilentPush hanno documentato la campagna, rilevando che DriveSurge gestisce attivamente una rete di traffic broker che monetizzano il traffico dai siti compromessi indirizzandolo verso le campagne di distribuzione. Si tratta di un modello di business criminale consolidato: chi compromette i siti raccoglie il traffico e lo vende; DriveSurge compra quel traffico e lo converte in infezioni.

ClickFix: il trucco psicologico che bypassa l’antivirus


La tecnica ClickFix si basa su un principio di social engineering brutalmente efficace: mostrare all’utente un messaggio di errore fasullo — tipicamente un avviso del browser o di un’applicazione — che invita a “risolvere il problema” incollando ed eseguendo manualmente un comando nella console PowerShell o nel terminale.

Il vantaggio per gli attaccanti è che l’utente diventa il vettore di infezione: non serve exploit, non serve privilege escalation — è la vittima stessa a lanciare il payload con i propri privilegi. Il comando incollato è solitamente una lunga stringa offuscata che scarica ed esegue il malware direttamente dalla memoria, senza scrivere file su disco che possano essere rilevati dall’antivirus.

Nella versione DriveSurge, i lure ClickFix impersonano avvisi di Google Chrome, Microsoft Edge o applicazioni enterprise, con messaggi localizzati nella lingua del visitatore. Il comando finale tipicamente esegue uno script PowerShell che:

  • Scarica un payload cifrato da un dominio compromesso o da un CDN legittimo abusato
  • Lo decifra in memoria ed esegue il dropper
  • Installa un infostealer (Lumma Stealer, Vidar, o varianti custom) o un RAT
  • Aggiunge persistenza tramite scheduled task o chiavi di registro


FakeUpdates: il classico che non tramonta


Il secondo filone, FakeUpdates (noto anche come SocGholish), simula un prompt di aggiornamento del browser: una pagina sovrapposta al sito legittimo mostra un finto avviso di aggiornamento critico per Chrome, Firefox o Edge, invitando a scaricare un file .zip o .js che contiene il dropper.

La novità documentata da SilentPush nella campagna DriveSurge è l’estensione a macOS: oltre ai target Windows classici, il sistema zTDS identifica i visitatori Apple e li reindirizza verso una variante della campagna che distribuisce script JavaScript malevoli ottimizzati per l’ecosistema macOS, scaricando payload .dmg o .pkg firmati con certificati sviluppatore ottenuti fraudolentemente.

Infrastruttura e scala dell’operazione


La campagna sfrutta migliaia di siti web WordPress, Joomla e Magento compromessi come stager di primo livello: il codice iniettato nel sito vittima è minimo e difficile da rilevare — spesso poche righe di JavaScript offuscato aggiunte a file tema o plugin — che si limita a interrogare l’infrastruttura zTDS per decidere se mostrare o meno il lure al visitatore.

Questa architettura “many-to-one” offre a DriveSurge una resilienza elevata: anche se decine di siti vengono ripuliti, l’infrastruttura centrale rimane intatta e la campagna continua su altri domini. Il sistema zTDS applica anche un meccanismo di frequency capping: lo stesso indirizzo IP non riceve il lure più di una volta in una finestra temporale definita, riducendo il rischio che ricercatori di sicurezza o sistemi automatizzati di crawling identifichino i siti compromessi.

Implicazioni per i difensori


La campagna DriveSurge richiede un approccio difensivo stratificato, poiché aggira molti controlli tradizionali:

  • Blocco delle esecuzioni PowerShell da clipboard: configurare Windows Defender Application Control (WDAC) o AppLocker per limitare l’esecuzione di PowerShell non firmato lanciato interattivamente riduce drasticamente l’efficacia di ClickFix.
  • Proxy DNS con blocco dei redirect sospetti: i sistemi zTDS usano catene di redirect multi-hop; una soluzione DNS filtering (Cisco Umbrella, Cloudflare Gateway) che blocchi i redirect a dominio nuovo può interrompere la catena prima che la vittima veda il lure.
  • Awareness degli utenti: il vettore ClickFix è efficace perché convincente — investire in training specifico su “nessun sito legittimo ti chiede mai di aprire PowerShell e incollare comandi” ha un ROI alto.
  • Monitoraggio dei processi figli di browser: un browser che lancia powershell.exe, cmd.exe o wscript.exe come processo figlio è un segnale forte di ClickFix in esecuzione — aggiungere questa detection nelle regole EDR.
  • Hardening dei CMS: verificare regolarmente l’integrità dei file JavaScript dei propri siti WordPress/Joomla/Magento — i propri siti potrebbero essere già usati come stager di DriveSurge a insaputa degli amministratori.

DriveSurge dimostra che ClickFix e FakeUpdates non sono tecniche in declino: l’adozione di un TDS sofisticato come zTDS e l’espansione a macOS segnalano un investimento operativo continuo e una struttura criminale in crescita. La semplicità del vettore — fare in modo che sia l’utente a eseguire il malware — lo rende uno degli attacchi più difficili da bloccare con soli controlli tecnici.


Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ Gamaredon sfrutta CVE-2025-8088 in WinRAR per distribuire GammaWorm e GammaSteel contro l’Ucraina
#CyberSecurity
insicurezzadigitale.com/gamare…

@informatica


Gamaredon sfrutta CVE-2025-8088 in WinRAR per distribuire GammaWorm e GammaSteel contro l’Ucraina


Si parla di:
Toggle

Il gruppo russo Gamaredon, legato all’FSB (Federalnaya Sluzhba Bezopasnosti), ha intensificato le sue operazioni contro l’Ucraina sfruttando una vulnerabilità recentemente scoperta in WinRAR per distribuire una sofisticata catena di malware multi-stadio. La campagna, osservata dai ricercatori di Sekoia nel gennaio 2026, utilizza una sequenza di payload denominati GammaPhish, GammaLoad, GammaWorm e GammaSteel — strumenti progettati per persistenza a lungo termine, propagazione laterale e esfiltrazione massiva di dati sensibili.

La vulnerabilità sfruttata: CVE-2025-8088


Il vettore iniziale di compromissione è la CVE-2025-8088, un path traversal flaw in WinRAR che consente l’estrazione di file in percorsi arbitrari del filesystem, incluse directory di avvio e cartelle di sistema. L’exploit si concretizza attraverso archivi RAR appositamente costruiti che, all’apertura, rilasciano silenziosamente un file HTA (HTML Application) denominato GammaPhish. La scelta di WinRAR come vettore non è casuale: il software è praticamente onnipresente negli ambienti governativi e militari ucraini, e Gamaredon ha già in passato sfruttato archivi RAR malevoli come vettore principale delle proprie campagne di spear-phishing.

La catena d’infezione: da GammaPhish a GammaSteel


Una volta eseguito, GammaPhish lancia GammaLoad, un downloader scritto in VBScript con tre funzioni primarie: fingerprinting del sistema host, aggiornamento della configurazione di rete nel registro di Windows tramite dead drop resolver (DDR), e recupero ed esecuzione di payload VBScript aggiuntivi dai server C2 dell’attaccante.

Da GammaLoad si biforcano i principali payload operativi. Il primo è GammaWorm, un worm VBScript progettato per garantire persistenza e propagazione laterale: stabilisce scheduled task come meccanismo di persistenza, poi individua le condivisioni di rete e i drive USB connessi al sistema infetto, ne nasconde le directory legittime e le sostituisce con file LNK (Windows Shortcut) malevoli. Quando una vittima nella rete clicca su uno di questi shortcut, viene scaricato ed eseguito codice arbitrario dal C2. Per risolvere l’indirizzo del server di comando, GammaWorm effettua una GET request tramite curl verso un canale Telegram pubblico hard-coded, sfruttando la legittimità della piattaforma per evadere i controlli di rete. I moduli core del worm vengono nascosti tramite NTFS Alternate Data Streams (ADS), rendendoli invisibili ai tool standard di ispezione del filesystem.

Il secondo payload principale è GammaSteel, un infostealer modulare che cattura file corrispondenti a specifiche estensioni (documenti Office, PDF, archivi, configurazioni) ed esfiltrate verso un bucket Amazon Web Services S3 controllato dagli attaccanti, con un server di fallback alternativo. La flessibilità dell’architettura permette anche la distribuzione di GammaWipe (GamaWiper), un componente distruttivo attivabile selettivamente a seconda degli obiettivi operativi.

Chi è Gamaredon e perché rappresenta una minaccia persistente


Gamaredon (noto anche come Primitive Bear, ACTINIUM, Armageddon, UAC-0010) è un APT attribuito ufficialmente all’FSB russo, specificamente al suo Centro 18 operante dalla Crimea. Attivo dal 2013, il gruppo si concentra quasi esclusivamente su target ucraini — enti governativi, militari, forze dell’ordine, organizzazioni del settore energetico — con campagne quasi ininterrotte che combinano spear-phishing tramite allegati RAR malevoli, malware custom VBScript e PowerShell, e tecniche di living-off-the-land. A differenza di gruppi più furtivi come APT29 o Turla, Gamaredon privilegia volume e persistenza, aggiornando costantemente i propri tool per sfuggire al rilevamento. L’analisi di Sekoia descrive questa architettura come “resiliente, massiva e altamente offuscata”: la capacità di aggiornare le configurazioni on the fly tramite Telegram DDR rende estremamente difficile bloccare le comunicazioni C2.

Campagne parallele: il fronte ucraino sotto attacco multiplo


La campagna Gamaredon si inserisce in un panorama di minacce concorrenti. UAC-0184 continua a colpire obiettivi militari ucraini con lure LNK che distribuiscono PassMark BurnInTest come carrier per payload malevoli. UAC-0247 (ex UAC-0244) ha preso di mira gli operatori di droni FPV, distribuendo dropper HTA via archivi ZIP con backdoor a reverse shell. Separatamente, ricercatori di ExaTrack hanno documentato l’evoluzione di PixyNetLoader, attribuito ad APT28, che sfrutta CVE-2026-21509 su Microsoft Office per rilasciare un implant COVENANT Grunt — varianti rilevate fino al 15 aprile 2026.

Due righe per i difensori


  • Patching immediato di WinRAR all’ultima versione disponibile (CVE-2025-8088 è patchata)
  • Blocco esecuzione HTA tramite Group Policy Object (GPO) e regole AppLocker
  • Restrizione VBScript: disabilitare wscript.exe e cscript.exe dove non necessario
  • Monitoraggio NTFS ADS su endpoint critici con Sysmon EventID 15
  • Regole SIEM/YARA per curl verso endpoint Telegram in contesti non aziendali
  • Blocco in uscita verso bucket AWS S3 sconosciuti e monitoraggio DNS per endpoint Telegram anomali
  • Segmentazione USB: policy di blocco o controllo accessi ai supporti rimovibili


Indicatori di compromissione (IoC)

## Tecniche MITRE ATT&CK
T1566.001 – Spearphishing Attachment (archivi RAR malevoli)
T1204.002 – User Execution: Malicious File (GammaPhish HTA)
T1059.005 – Command and Scripting Interpreter: VBScript (GammaLoad/GammaWorm)
T1053.005 – Scheduled Task/Job (GammaWorm persistence)
T1091    – Replication Through Removable Media (GammaWorm USB spread)
T1027    – Obfuscated Files/Information: NTFS Alternate Data Streams
T1102.001 – Web Service: Dead Drop Resolver (Telegram per risoluzione C2)
T1041    – Exfiltration Over C2 Channel (GammaSteel → AWS S3)
T1485    – Data Destruction (GammaWipe, attivato selettivamente)

## Vulnerabilità sfruttata
CVE-2025-8088 – WinRAR path traversal
Soluzione: aggiornare WinRAR all'ultima versione

## Infrastruttura C2
- Canali Telegram pubblici (hard-coded nei sample GammaWorm per DDR)
- Bucket AWS S3 attaccante-controllati (esfiltrazione GammaSteel)
- Server fallback attaccante-controllati

## Fonte primaria della ricerca
Sekoia – FSBS Matryoshka 1.3:
https://blog.sekoia.io/fsbs-matryoshka-1-3-gamaredons-gifts-that-keeps-unpacking-gammaphish-and-gammaworm/

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ Ciao Carola
#CyberSecurity
insicurezzadigitale.com/ciao-c…

@informatica


Ciao Carola


Ci sono notizie che arrivano come un pugno nello stomaco.

Quella della morte di Carola Frediani è una di quelle.

Per chi vive e lavora nel mondo della cybersecurity italiana, Carola non era semplicemente una giornalista. Era una presenza costante. Una delle poche persone capaci di osservare il nostro settore con lucidità, spirito critico e una rara capacità di distinguere il rumore dai fatti.

In un’epoca in cui tutto deve essere urgente, allarmistico e spettacolare, Carola aveva scelto una strada diversa: quella della comprensione.

Leggevo con attenzione la sua newsletter, seguivo i suoi articoli, i suoi approfondimenti, il suo modo di raccontare la tecnologia e la sicurezza informatica senza mai cedere alla superficialità. Riusciva a parlare tanto agli addetti ai lavori quanto a chi si avvicinava per la prima volta a questi temi, senza mai banalizzare la complessità.

Ricordo ancora con orgoglio una circostanza che mi aveva particolarmente colpito: quando citò un articolo pubblicato sul mio blog all’interno di uno dei suoi approfondimenti (la newsletter Guerre di rete sul caso SIAE) dedicati a un caso nazionale. Un gesto probabilmente normale per chi fa giornalismo con serietà, ma che per me rappresentò un riconoscimento importante. Non tanto perché proveniva da una figura autorevole del settore, quanto perché arrivava da una persona che aveva costruito la propria credibilità sulla competenza e sull’onestà intellettuale.

Negli anni, Carola è stata una delle voci che hanno contribuito a definire il dibattito italiano sulla sorveglianza digitale, sul cybercrime, sulla sicurezza delle infrastrutture, sui diritti digitali e sulle implicazioni sociali delle tecnologie che utilizziamo ogni giorno.

Ha insegnato a molti di noi che la cybersecurity non riguarda soltanto malware, ransomware e vulnerabilità. Riguarda soprattutto persone. Riguarda libertà, informazione, potere e responsabilità.

Forse è proprio questo che rende oggi così difficile accettare questa notizia.

Perché quando scompare una persona come Carola, non perdiamo soltanto una professionista. Perdiamo una voce autorevole, indipendente e profondamente necessaria.

In un settore che spesso premia chi urla più forte, lei ha dimostrato che si può lasciare un segno anche parlando con calma, documentandosi con rigore e mantenendo sempre uno sguardo umano sulle storie che raccontava.

Oggi la comunità italiana della cybersecurity è un po’ più povera.

E molti di noi si sentono improvvisamente più soli.

Grazie, Carola, per tutto quello che hai scritto, spiegato e raccontato.

Grazie per aver contribuito a costruire una cultura della sicurezza informatica più matura, più consapevole e più umana.

Ci mancherai.


The media in this post is not displayed to visitors. To view it, please log in.

DriveSurge e il sistema zTDS: migliaia di siti dirottati per distribuire ClickFix e FakeUpdates su Windows e macOS


@Informatica (Italy e non Italy)
Il gruppo DriveSurge usa il Traffic Distribution System zTDS per selezionare dinamicamente le vittime sui siti web compromessi e veicolare campagne ClickFix e FakeUpdates. L'operazione


DriveSurge e il sistema zTDS: migliaia di siti dirottati per distribuire ClickFix e FakeUpdates su Windows e macOS


Si parla di:
Toggle

Un gruppo di cybercriminali tracciato come DriveSurge ha costruito un’infrastruttura di distribuzione malware su scala industriale, dirottando migliaia di siti web legittimi per veicolare campagne ClickFix e FakeUpdates. Dietro l’operazione si cela il sistema di distribuzione del traffico zTDS, che seleziona dinamicamente la trappola più efficace per ciascuna vittima. Il target: qualunque utente Windows o macOS che visiti un sito compromesso.

Chi è DriveSurge e cosa fa zTDS


DriveSurge è un threat actor di tipo malware-as-a-service specializzato nella distribuzione massiva di payload attraverso siti web compromessi. La sua infrastruttura operativa si regge sul Traffic Distribution System zTDS, un sistema sofisticato che analizza i visitatori in tempo reale — sistema operativo, geolocalizzazione, browser, orario di accesso — e li reindirizza verso la trappola ottimale, scelta tra due filoni principali: ClickFix o FakeUpdates.

I ricercatori di SilentPush hanno documentato la campagna, rilevando che DriveSurge gestisce attivamente una rete di traffic broker che monetizzano il traffico dai siti compromessi indirizzandolo verso le campagne di distribuzione. Si tratta di un modello di business criminale consolidato: chi compromette i siti raccoglie il traffico e lo vende; DriveSurge compra quel traffico e lo converte in infezioni.

ClickFix: il trucco psicologico che bypassa l’antivirus


La tecnica ClickFix si basa su un principio di social engineering brutalmente efficace: mostrare all’utente un messaggio di errore fasullo — tipicamente un avviso del browser o di un’applicazione — che invita a “risolvere il problema” incollando ed eseguendo manualmente un comando nella console PowerShell o nel terminale.

Il vantaggio per gli attaccanti è che l’utente diventa il vettore di infezione: non serve exploit, non serve privilege escalation — è la vittima stessa a lanciare il payload con i propri privilegi. Il comando incollato è solitamente una lunga stringa offuscata che scarica ed esegue il malware direttamente dalla memoria, senza scrivere file su disco che possano essere rilevati dall’antivirus.

Nella versione DriveSurge, i lure ClickFix impersonano avvisi di Google Chrome, Microsoft Edge o applicazioni enterprise, con messaggi localizzati nella lingua del visitatore. Il comando finale tipicamente esegue uno script PowerShell che:

  • Scarica un payload cifrato da un dominio compromesso o da un CDN legittimo abusato
  • Lo decifra in memoria ed esegue il dropper
  • Installa un infostealer (Lumma Stealer, Vidar, o varianti custom) o un RAT
  • Aggiunge persistenza tramite scheduled task o chiavi di registro


FakeUpdates: il classico che non tramonta


Il secondo filone, FakeUpdates (noto anche come SocGholish), simula un prompt di aggiornamento del browser: una pagina sovrapposta al sito legittimo mostra un finto avviso di aggiornamento critico per Chrome, Firefox o Edge, invitando a scaricare un file .zip o .js che contiene il dropper.

La novità documentata da SilentPush nella campagna DriveSurge è l’estensione a macOS: oltre ai target Windows classici, il sistema zTDS identifica i visitatori Apple e li reindirizza verso una variante della campagna che distribuisce script JavaScript malevoli ottimizzati per l’ecosistema macOS, scaricando payload .dmg o .pkg firmati con certificati sviluppatore ottenuti fraudolentemente.

Infrastruttura e scala dell’operazione


La campagna sfrutta migliaia di siti web WordPress, Joomla e Magento compromessi come stager di primo livello: il codice iniettato nel sito vittima è minimo e difficile da rilevare — spesso poche righe di JavaScript offuscato aggiunte a file tema o plugin — che si limita a interrogare l’infrastruttura zTDS per decidere se mostrare o meno il lure al visitatore.

Questa architettura “many-to-one” offre a DriveSurge una resilienza elevata: anche se decine di siti vengono ripuliti, l’infrastruttura centrale rimane intatta e la campagna continua su altri domini. Il sistema zTDS applica anche un meccanismo di frequency capping: lo stesso indirizzo IP non riceve il lure più di una volta in una finestra temporale definita, riducendo il rischio che ricercatori di sicurezza o sistemi automatizzati di crawling identifichino i siti compromessi.

Implicazioni per i difensori


La campagna DriveSurge richiede un approccio difensivo stratificato, poiché aggira molti controlli tradizionali:

  • Blocco delle esecuzioni PowerShell da clipboard: configurare Windows Defender Application Control (WDAC) o AppLocker per limitare l’esecuzione di PowerShell non firmato lanciato interattivamente riduce drasticamente l’efficacia di ClickFix.
  • Proxy DNS con blocco dei redirect sospetti: i sistemi zTDS usano catene di redirect multi-hop; una soluzione DNS filtering (Cisco Umbrella, Cloudflare Gateway) che blocchi i redirect a dominio nuovo può interrompere la catena prima che la vittima veda il lure.
  • Awareness degli utenti: il vettore ClickFix è efficace perché convincente — investire in training specifico su “nessun sito legittimo ti chiede mai di aprire PowerShell e incollare comandi” ha un ROI alto.
  • Monitoraggio dei processi figli di browser: un browser che lancia powershell.exe, cmd.exe o wscript.exe come processo figlio è un segnale forte di ClickFix in esecuzione — aggiungere questa detection nelle regole EDR.
  • Hardening dei CMS: verificare regolarmente l’integrità dei file JavaScript dei propri siti WordPress/Joomla/Magento — i propri siti potrebbero essere già usati come stager di DriveSurge a insaputa degli amministratori.

DriveSurge dimostra che ClickFix e FakeUpdates non sono tecniche in declino: l’adozione di un TDS sofisticato come zTDS e l’espansione a macOS segnalano un investimento operativo continuo e una struttura criminale in crescita. La semplicità del vettore — fare in modo che sia l’utente a eseguire il malware — lo rende uno degli attacchi più difficili da bloccare con soli controlli tecnici.


The media in this post is not displayed to visitors. To view it, please log in.

Gamaredon sfrutta CVE-2025-8088 in WinRAR per distribuire GammaWorm e GammaSteel contro l’Ucraina


@Informatica (Italy e non Italy)
Sekoia documenta una campagna di gennaio 2026 del gruppo APT russo Gamaredon: sfruttando CVE-2025-8088 in WinRAR, gli operatori dell'FSB distribuiscono GammaPhish, GammaLoad, GammaWorm e GammaSteel contro target


Gamaredon sfrutta CVE-2025-8088 in WinRAR per distribuire GammaWorm e GammaSteel contro l’Ucraina


Si parla di:
Toggle

Il gruppo russo Gamaredon, legato all’FSB (Federalnaya Sluzhba Bezopasnosti), ha intensificato le sue operazioni contro l’Ucraina sfruttando una vulnerabilità recentemente scoperta in WinRAR per distribuire una sofisticata catena di malware multi-stadio. La campagna, osservata dai ricercatori di Sekoia nel gennaio 2026, utilizza una sequenza di payload denominati GammaPhish, GammaLoad, GammaWorm e GammaSteel — strumenti progettati per persistenza a lungo termine, propagazione laterale e esfiltrazione massiva di dati sensibili.

La vulnerabilità sfruttata: CVE-2025-8088


Il vettore iniziale di compromissione è la CVE-2025-8088, un path traversal flaw in WinRAR che consente l’estrazione di file in percorsi arbitrari del filesystem, incluse directory di avvio e cartelle di sistema. L’exploit si concretizza attraverso archivi RAR appositamente costruiti che, all’apertura, rilasciano silenziosamente un file HTA (HTML Application) denominato GammaPhish. La scelta di WinRAR come vettore non è casuale: il software è praticamente onnipresente negli ambienti governativi e militari ucraini, e Gamaredon ha già in passato sfruttato archivi RAR malevoli come vettore principale delle proprie campagne di spear-phishing.

La catena d’infezione: da GammaPhish a GammaSteel


Una volta eseguito, GammaPhish lancia GammaLoad, un downloader scritto in VBScript con tre funzioni primarie: fingerprinting del sistema host, aggiornamento della configurazione di rete nel registro di Windows tramite dead drop resolver (DDR), e recupero ed esecuzione di payload VBScript aggiuntivi dai server C2 dell’attaccante.

Da GammaLoad si biforcano i principali payload operativi. Il primo è GammaWorm, un worm VBScript progettato per garantire persistenza e propagazione laterale: stabilisce scheduled task come meccanismo di persistenza, poi individua le condivisioni di rete e i drive USB connessi al sistema infetto, ne nasconde le directory legittime e le sostituisce con file LNK (Windows Shortcut) malevoli. Quando una vittima nella rete clicca su uno di questi shortcut, viene scaricato ed eseguito codice arbitrario dal C2. Per risolvere l’indirizzo del server di comando, GammaWorm effettua una GET request tramite curl verso un canale Telegram pubblico hard-coded, sfruttando la legittimità della piattaforma per evadere i controlli di rete. I moduli core del worm vengono nascosti tramite NTFS Alternate Data Streams (ADS), rendendoli invisibili ai tool standard di ispezione del filesystem.

Il secondo payload principale è GammaSteel, un infostealer modulare che cattura file corrispondenti a specifiche estensioni (documenti Office, PDF, archivi, configurazioni) ed esfiltrate verso un bucket Amazon Web Services S3 controllato dagli attaccanti, con un server di fallback alternativo. La flessibilità dell’architettura permette anche la distribuzione di GammaWipe (GamaWiper), un componente distruttivo attivabile selettivamente a seconda degli obiettivi operativi.

Chi è Gamaredon e perché rappresenta una minaccia persistente


Gamaredon (noto anche come Primitive Bear, ACTINIUM, Armageddon, UAC-0010) è un APT attribuito ufficialmente all’FSB russo, specificamente al suo Centro 18 operante dalla Crimea. Attivo dal 2013, il gruppo si concentra quasi esclusivamente su target ucraini — enti governativi, militari, forze dell’ordine, organizzazioni del settore energetico — con campagne quasi ininterrotte che combinano spear-phishing tramite allegati RAR malevoli, malware custom VBScript e PowerShell, e tecniche di living-off-the-land. A differenza di gruppi più furtivi come APT29 o Turla, Gamaredon privilegia volume e persistenza, aggiornando costantemente i propri tool per sfuggire al rilevamento. L’analisi di Sekoia descrive questa architettura come “resiliente, massiva e altamente offuscata”: la capacità di aggiornare le configurazioni on the fly tramite Telegram DDR rende estremamente difficile bloccare le comunicazioni C2.

Campagne parallele: il fronte ucraino sotto attacco multiplo


La campagna Gamaredon si inserisce in un panorama di minacce concorrenti. UAC-0184 continua a colpire obiettivi militari ucraini con lure LNK che distribuiscono PassMark BurnInTest come carrier per payload malevoli. UAC-0247 (ex UAC-0244) ha preso di mira gli operatori di droni FPV, distribuendo dropper HTA via archivi ZIP con backdoor a reverse shell. Separatamente, ricercatori di ExaTrack hanno documentato l’evoluzione di PixyNetLoader, attribuito ad APT28, che sfrutta CVE-2026-21509 su Microsoft Office per rilasciare un implant COVENANT Grunt — varianti rilevate fino al 15 aprile 2026.

Due righe per i difensori


  • Patching immediato di WinRAR all’ultima versione disponibile (CVE-2025-8088 è patchata)
  • Blocco esecuzione HTA tramite Group Policy Object (GPO) e regole AppLocker
  • Restrizione VBScript: disabilitare wscript.exe e cscript.exe dove non necessario
  • Monitoraggio NTFS ADS su endpoint critici con Sysmon EventID 15
  • Regole SIEM/YARA per curl verso endpoint Telegram in contesti non aziendali
  • Blocco in uscita verso bucket AWS S3 sconosciuti e monitoraggio DNS per endpoint Telegram anomali
  • Segmentazione USB: policy di blocco o controllo accessi ai supporti rimovibili


Indicatori di compromissione (IoC)

## Tecniche MITRE ATT&CK
T1566.001 – Spearphishing Attachment (archivi RAR malevoli)
T1204.002 – User Execution: Malicious File (GammaPhish HTA)
T1059.005 – Command and Scripting Interpreter: VBScript (GammaLoad/GammaWorm)
T1053.005 – Scheduled Task/Job (GammaWorm persistence)
T1091    – Replication Through Removable Media (GammaWorm USB spread)
T1027    – Obfuscated Files/Information: NTFS Alternate Data Streams
T1102.001 – Web Service: Dead Drop Resolver (Telegram per risoluzione C2)
T1041    – Exfiltration Over C2 Channel (GammaSteel → AWS S3)
T1485    – Data Destruction (GammaWipe, attivato selettivamente)

## Vulnerabilità sfruttata
CVE-2025-8088 – WinRAR path traversal
Soluzione: aggiornare WinRAR all'ultima versione

## Infrastruttura C2
- Canali Telegram pubblici (hard-coded nei sample GammaWorm per DDR)
- Bucket AWS S3 attaccante-controllati (esfiltrazione GammaSteel)
- Server fallback attaccante-controllati

## Fonte primaria della ricerca
Sekoia – FSBS Matryoshka 1.3:
https://blog.sekoia.io/fsbs-matryoshka-1-3-gamaredons-gifts-that-keeps-unpacking-gammaphish-and-gammaworm/