The media in this post is not displayed to visitors. To view it, please go to the original post.
No.
reshared this
Injection Molding Your Own Rubik’s Cubes Takes Work
The media in this post is not displayed to visitors. To view it, please log in.
If you just want to play with a Rubik’s Cube, you can simply buy one from a local toy store. If you want to build one, you could 3D print something and put it together yourself. But what if you want to make lots of Rubik’s Cubes? Then, you might go down the road that [EngBroken] just walked.
What started as a fun reverse-engineering project would lead to an 8-month journey to reproduce Rubik’s Cubes from scratch using injection molding. [EngBroken] started by identifying the basic pieces that make up the cheap cube they bought, including the center core, the edge pieces, and the corner pieces. Parts were then recreated in CAD, and [EngBroken] then set about designing and milling injection molds out of 6061 aluminium to make the parts.
Amusingly, to get the correct colors for the separate parts of the cube, [EngBroken] made the curious decision to mix cut-up pieces of 3D printer filament with clear ABS pellets to tint it as needed. Parts were then assembled with UV-curing glue, and [EngBroken] had a Rubik’s cube built from scratch. Well he actually had several, since he had a stack of parts since injection molding is great at producing things in quantity.
This isn’t a great way to go if you want a Rubik’s cube on the cheap. [EngBroken] estimates the labor put in to this exercise came out to $56,000 alone, to say nothing of what it took to produce all those aluminium molds and source all that plastic. Still, a great deal was learned in the process. We’ve looked at the challenges of injection molding before, too.
youtube.com/embed/7u5S42VUU38?…
[Thanks to Sailor Looking Meme for the tip!]
The media in this post is not displayed to visitors. To view it, please go to the original post.
Dal 1° giugno 2026, GitHub Copilot passa dal modello a "richieste premium" a un sistema basato su crediti di utilizzo.
Ho fatto una simulazione con il mio utilizzo molto leggero e il risultato è chiaro: costi raddoppiati (10$/mese -> 20$/mese).
Per chi usa Copilot più intensivamente, si profilano vere e proprie impennate.
Suggerimento: Monitorate attentamente l'utilizzo nei prossimi mesi e valutate se il nuovo modello vi conviene realmente.
reshared this
Una riunione urgente su Teams e il conto svuotato: la nuova truffa che sfrutta il panico da videocall
The media in this post is not displayed to visitors. To view it, please go to the original post.
C’è un dettaglio interessante nelle nuove campagne cyber che stanno circolando nelle ultime ore: non cercano più di sembrare sofisticate. Cercano di sembrare normali.
Una notifica su Microsoft Teams.
Un collega che chiede supporto.
Una call urgente prima di una riunione.
E pochi minuti dopo, credenziali rubate, malware installato o conti aziendali compromessi.
Tra le notizie emerse nelle ultime ore nel panorama cybersecurity internazionale, una delle più interessanti riguarda proprio una nuova ondata di attacchi che sfruttano Microsoft Teams come leva di social engineering. Il punto centrale non è tanto la tecnica utilizzata dai criminali, quanto il modo in cui stanno cambiando le abitudini delle vittime.
Per anni il phishing è stato associato a email sospette, allegati strani e messaggi scritti male. Oggi invece gli attaccanti stanno puntando sempre di più sugli strumenti di lavoro quotidiani: Teams, Zoom, Slack, Google Meet.
Perché funzionano.
E soprattutto perché in molte aziende le persone vivono ormai in uno stato costante di urgenza digitale.
La dinamica osservata nelle campagne più recenti è piuttosto semplice. La vittima riceve un messaggio Teams apparentemente legittimo, spesso collegato a un meeting imminente o a un problema tecnico. In alcuni casi viene chiesto di aprire un file condiviso, installare un aggiornamento, autenticarsi nuovamente oppure partecipare rapidamente a una videocall.
Tutto appare plausibile.
È proprio questo il punto.
I criminali non stanno cercando di violare firewall o bypassare vulnerabilità sofisticate. Stanno sfruttando la pressione psicologica tipica dell’ambiente lavorativo moderno.
Una notifica improvvisa durante una giornata piena di call.
Una richiesta urgente del reparto IT.
Un manager che scrive “mi serve subito”.
Nel contesto giusto, il cervello smette di analizzare e inizia semplicemente a reagire.
È questa la vera evoluzione del social engineering nel 2026: attacchi costruiti attorno ai comportamenti umani più che attorno alle vulnerabilità tecniche.
Le piattaforme collaborative sono diventate perfette per questo tipo di operazioni. A differenza delle email tradizionali, gli strumenti di messaggistica aziendale trasmettono automaticamente un senso di fiducia maggiore. Se un messaggio arriva su Teams, molti utenti tendono inconsciamente a considerarlo “interno”, quindi sicuro.
Ed è qui che i criminali stanno trovando spazio.
In diversi scenari osservati negli ultimi mesi, gli attaccanti utilizzano account compromessi reali per avviare conversazioni credibili con dipendenti dell’azienda. In altri casi sfruttano tenant esterni, nickname aziendali o identità molto simili a quelle originali.
L’obiettivo può cambiare.
A volte si tratta di furto credenziali.
Altre volte di installare malware.
In alcuni casi ancora più critici, gli attacchi servono come porta iniziale per intrusioni ransomware.
Ed è qui che il problema smette di essere “solo IT”.
Perché queste campagne funzionano esattamente come funzionano le truffe telefoniche contro gli anziani o le frodi sentimentali online: sfruttano fiducia, fretta e manipolazione emotiva.
La tecnologia cambia.
La psicologia umana molto meno.
Negli ambienti enterprise moderni esiste ormai una pressione costante alla reperibilità immediata. Rispondere velocemente è diventato quasi un obbligo culturale. Ed è proprio questa dinamica che rende strumenti come Teams particolarmente pericolosi dal punto di vista del social engineering.
Un’email può essere ignorata.
Una notifica Teams durante l’orario lavorativo no.
Anche perché spesso compare direttamente sul desktop, interrompe altre attività e arriva mentre l’utente sta già gestendo decine di conversazioni contemporaneamente.
In pratica il cybercrime sta imparando a inserirsi perfettamente nei micro-momenti di distrazione.
Ed è probabilmente questa la parte più inquietante.
Non serve più creare una finta pagina perfetta o un malware invisibile. Basta convincere una persona stanca, stressata o distratta a cliccare nel momento giusto.
Per questo motivo le aziende stanno iniziando a rivedere anche la formazione interna. Le classiche campagne anti-phishing basate solo sulle email non bastano più. Oggi il social engineering passa attraverso chat aziendali, videochiamate, sistemi di collaborazione e perfino notifiche push.
La vera sfida della cybersecurity moderna non è soltanto proteggere le infrastrutture.
È proteggere l’attenzione umana.
E in un mondo dove lavoriamo continuamente dentro piattaforme collaborative, distinguere una richiesta autentica da una manipolazione sta diventando sempre più difficile.
Fake Microsoft Teams Campaign Delivers ValleyRAT via NSIS Installer and DLL Sideloading
We came across fake Microsoft Teams distribution sites, shared on X platform back in mid April. The websites closely mimic […]Srinivasan E (K7 Labs)
reshared this
I ricercatori statunitensi dovranno affrontare nuove restrizioni sulla pubblicazione di lavori realizzati in collaborazione con paesi stranieri.
I beneficiari dei finanziamenti del NIH e della NASA sono confusi e preoccupati a causa della comunicazione frammentaria tra le agenzie.
Nessuna delle due agenzie ha pubblicato nuove linee guida formali che descrivano questi requisiti. Al contrario, i funzionari stanno informando i beneficiari individualmente, generando confusione e preoccupazione tra i ricercatori. In diversi casi, i beneficiari dei finanziamenti del NIH affermano di essere stati invitati a rimuovere articoli pubblicati con coautori stranieri dalle relazioni annuali sullo stato di avanzamento dei lavori presentate all'agenzia. Secondo gli osservatori, questa politica crea un incentivo a rimuovere preventivamente i coautori stranieri dagli articoli di prossima pubblicazione.
reshared this
Trump Mobile conferma di aver esposto i dati personali dei clienti, inclusi numeri di telefono e indirizzi di casa 🤡🤡🤡
Il fornitore di servizi telefonici Trump Mobile ha confermato di aver esposto su internet i nomi, gli indirizzi email, gli indirizzi postali, i numeri di cellulare e gli identificativi degli ordini dei propri clienti.
techcrunch.com/2026/05/22/trum…
Trump Mobile confirms it exposed customers' personal data, including phone numbers and home addresses | TechCrunch
President Trump’s branded cell phone maker and cell provider said the exposure was linked to a third-party platform, and was evaluating whether it needs to notify customers.Lorenzo Franceschi-Bicchierai (TechCrunch)
adhocfungus likes this.
reshared this
la gente deve sapere che il Trump Phone oltre ad esporre dati personali, non è nemmeno così tanto buono, con meno soldi si può prendere di meglio.
reshared this
Hackaday Podcast Episode 370: Softer Cyberdecks, a Simulated Clutch, and an Overstuffed Mailbox
The media in this post is not displayed to visitors. To view it, please log in.
With Elliot back from Hackaday Europe, he and Al Williams had a lot to talk about with two weeks of Hackaday posts to catch up on. Not to mention the mailbag was overflowing.
This week, the guys look at girlie cyberdecks, a 3D printed circuit board, and talk electric motorcycles. Is 3D printing safe? Want an accurate moon on your desk? How about modern punch cards? All of that and much more were on the menu this week.
For the can’t miss articles, Zoe Skyforest weighs in on file sharing via LAN while Al Williams talks about the surprising state-of-the-art in vacuum tube tech right before their end.
What do you think? Leave us a comment or record something and send it to our mailbag.
html5-player.libsyn.com/embed/…
Download a copy of the podcast with an MP3 this week in glorious pink and purple.
Where to Follow Hackaday Podcast
Places to follow Hackaday podcasts:
News:
Mailbag
- BirdNET-PI :: BirdWeather
- Environmental Monitoring On The Cheap
- A Merciless Environmental Monitoring System
- A Web Connected Seismometer
- Building The DIY HP41C: A Field Report
- Got something to share for the Mailbag? Drop us a line. Already sent something in? Maybe send it again as we were… ahem… experiencing technical difficulties.
What’s that Sound?
- No one guessed the sound, so by random draw, [Jeeef] wins the T-shirt. Tune in next week for your chance to guess What’s That Sound?
Interesting Hacks of the Week:
- Mermaid Clutch-Purse Cyberdeck Is Unapologetically Girly
- VTech Toy Becomes PinkPad, The DIY Linux Laptop
- Using 3D Printers To Make Circuit Boards
- Prototyping Circuits: Easy Cheap Fast Reliable Techniques
- wd5gnr.com/shoexmit.jpg
- Retro Gadgets: The 1974 Breadboard Project
- Honda Wants To Complicate Your E-Motorcycle
- Digital Organizer Given Modern Upgrade
- Investigating The Health Impacts Of UFPs And VOCs From FDM Printers
- Electroplating 3D Prints Without Requiring A Big Vat
Quick Hacks:
- Elliot’s Picks:
- Remembering The Tech We Lost With A Virtual Graveyard
- Put The Moon On Your Desk
- A DIY 3D Printing Filament Dryer
- Extract 3D Video Game Content By Firing Up Photo Mode
- PreFlight Slicer Brings Added Part Strength Feature, And Many More
- Al’s Picks:
- Turning A Junk Laptop Screen Into A Portable Monitor
- 21st Century Punch Cards Are 3D Printed And Read By OpenCV
- Prolog Via Pokémon
Can’t-Miss Articles:
- Between-Device Sharing Still Sucks
- KDE Connect | KDE Connect: A project that enables all your devices to communicate with each other.
- Snapdrop???? : r/software
- The Vacuum Tube’s Last Stand(s)
NEW: Bad week for MAGA's business ventures.
The website of Kash Patel's clothing brand was taken offline after reports that it had been hijacked and was serving malware to visitors.
techcrunch.com/2026/05/22/kash…
Kash Patel's clothing brand website shut down after reports it was hacked | TechCrunch
According to users on X, the website was hijacked by hackers in an attempt to trick visitors into installing malware.Lorenzo Franceschi-Bicchierai (TechCrunch)
reshared this
The media in this post is not displayed to visitors. To view it, please go to the original post.
Needs crazy eyes, but...
How the Banana Pi BPI-R4 Pro Violates the First Rule of OpenWRT Club
The media in this post is not displayed to visitors. To view it, please log in.
As fun as ARM and RISC-V single-board computers (SBCs) are, all too often getting the most out of the hardware requires the use of an unofficial firmware image. So too with the Banana Pi BPI-R4 Pro router SBC that has been out for a while, as OpenWRT support for it still very much unofficial. This is where [Interfacing Linux] goes on a bit of a rant while assembling one of these puppies into a sleek metal enclosure.
The first rule of OpenWRT Club is of course that you never run an unofficial image on any hardware that’s part of any network you care about. This is somewhat upsetting, as the testing shown in the video below reveals that performance is great when running it.
Currently OpenWRT support is painfully working its way through development, per the OpenWRT PR thread, so there’s hope that official support will appear at some point. As with all of such SBCs the question is always whether official support appears before the hardware has been rendered firmly obsolete. Until then the community Debian 13 image might actually be safer.
youtube.com/embed/x6f_sJP-0ZE?…
The media in this post is not displayed to visitors. To view it, please go to the original post.
Cyberspionaggio: nuova campagna cinese contro enti governativi. Colpito anche un Paese NATO
📌 Link all'articolo : redhotcyber.com/post/cyberspio…
A cura di Carolina Vivianti
#redhotcyber #news #cyberspionaggio #sicurezzainformatica #hacking #malware #minacceinformatiche
Cyberspionaggio: nuova campagna cinese contro enti governativi. Colpito anche un Paese NATO
Scopri di più sulla campagna di cyberspionaggio cinese che colpisce enti governativi e aziende attraverso vulnerabilità di Microsoft Exchange e IISCarolina Vivianti (Red Hot Cyber)
Cybersecurity & cyberwarfare reshared this.
NEW: Trump Mobile finally confirms that it was exposing customers' names, email addresses, mailing addresses, and cellphone numbers.
The company blamed a third-party provider and said it found no evidence that credit card numbers, SSNs, or other financial information spilled online.
techcrunch.com/2026/05/22/trum…
Trump Mobile confirms it exposed customers' personal data, including phone numbers and home addresses | TechCrunch
President Trump’s branded cell phone maker and cell provider said the exposure was linked to a third-party platform, and was evaluating whether it needs to notify customers.Lorenzo Franceschi-Bicchierai (TechCrunch)
reshared this
I'm always suspicious of the phrase "found no evidence" reminds me of "I see no ships"
This Week in Security: AI Generated Reports, More AI Generated Reports, GitHub Chaos, and More Linux Vulnerabilities
The media in this post is not displayed to visitors. To view it, please log in.
Google’s Project Zero demonstrates a new zero-click exploit for the Pixel 10 phones, showing a full escalation from remote to kernel without user interaction. During the investigation Project Zero found unprotected memory access from userspace in the Tensor G5 video processing chip driver, which allows direct write access to kernel memory.
Using previously discovered flaws in media decoding components — in this case CVE-2025-54957 in the Dolby digital audio decoder — Project Zero modified a Pixel 9 attack to work on the Pixel 10, despite newer protections built into the hardware to harden the system against memory corruption.
The author’s takeaway is mixed. Once the bug on Pixel 9 was reported, one could hope that the Android team would look into similar bugs in their newer systems. On the positive side, though, Project Zero reported the vulnerabilities to the Android team in November 2025 and they were patched in February of 2026, 71 days later. That’s 19 days short of the 90-day timeline.
Linus on AI and Security
Linus Torvalds clarified opinions on AI detected security vulnerabilities in the Linux kernel in a recent mailing list post about the Linux 7.1 kernel development cycle.
In typically succinct phrasing, Torvalds supports the use of AI tools in general, but considers any AI reported bug to be, by definition, public. Linus also requests that submitters of AI generated reports verify the report is accurate and engage with fixing the issue instead of doing an unverified drive-by report. It’s difficult to summarize his comments without being longer than his initial post, so for more full information, head over to the Linux kernel mailing list!
GitHub on AI and Bug Bounties
Similar to comments from Linus above, GitHub is detailing how AI generated reports will be handled in an attempt to generate higher-quality bug reports in the bug bounty program.
While slightly ironic that a platform which has gone deep down the AI rabbit hole is now facing issues of scope when AI-generated reports flood its own security program, the problem is certainly real. GitHub lays out what seems to be a fair list of requirements for a good bug report. One must provide a working example of the vulnerability in action, adhere to the scope of the bounty, and of course, the report must be valid.
All three of the requests directly target things AI has been historically terrible at, especially at scale when deployed by users with limited security background and experience. AI models have often been guilty of completely fabricating code, fixes, and data. Completely false security reports waste time.
GitHub further clarifies their position that malicious repositories are not, themselves, in scope for the bug bounty program, stating that users are responsible for what repositories they clone, fork, or otherwise interact with. This makes sense in the scope of a bug bounty program where a submitter can create an arbitrarily malicious repository and file a bug on it, but seems short-sighted given recent rampant exploitation of the GitHub actions build process. Expecting every user to understand the implications of the GitHub actions workflow before forking a public repository seems unlikely to work in the long term.
GitHub Internal Breach
Speaking of which, GitHub has posted to their security blog about a breach of internal repositories.
There are not a lot of details about the breach, but GitHub says a compromised VSCode extension on a developers system was used to gain the credentials for internal systems. If that sounds familiar, it should – many of the current worms targeting NPM and PyPi include code to infect VSCode extensions as well.
GitHub says that only internal company repositories were impacted, and that if any customer repositories are found to be affected the users will be notified.
If you find it amusing that a developer at GitHub, owned by Microsoft, was compromised by a Microsoft VSCode extension, hosted on the Microsoft’s extension repository, I’d say you’re right.
Zero-Copy Removed from AF_ALG
The Linux kernel is removing the zero-copy code from AF_ALG. The AF_ALG code is part of of the kernel-level encryption libraries, and has been used in the CopyFail exploits.
The patch notes that the zero-copy functionality was originally intended to accelerate performance with hardware encryption accelerators, but is rarely used for that purpose and has almost no dependencies in userspace tools. By removing the seldom used, but very complex, zero-copy API, the kernel developers hope to eliminate future bugs in the CopyFail class which manipulate the page table cache.
CISA Self-Doxes
A contractor for the US government cybersecurity watchdog agency CISA left a public GitHub repo – hilariously named “Private-CISA” – available, with credentials for CISA cloud services, authentication tokens, plaintext passwords, and internal credentials.
Brian Krebs reports on the full details. Credentials included access to the CISA AWS GovCloud systems, the internal CISA build system for tools, and plain-text logins to the repository of internal libraries. GitHub itself has protections to prevent accidentally publishing authentication tokens and credentials in repositories, but they were explicitly disabled.
The GitHub repository had been active since November of 2025, and even after being taken down, leaked credentials to access AWS GovCloud remained active for an additional 48 hours.
NGINX 0-Day
The NGINX web server is used on millions of systemsm approximately 30% to 40% of web servers, as both a traditional web server and as a proxy system for internal web services.
Last month the “nginx-rift” vulnerability allowed for arbitrary code execution via the NGINX rewrite engine. Now, the “nginx-poolslip” vulnerability has been found causing denial of service and in some cases remote code execution even on the latest NGINX versions.
Currently there are no official patches for the NGINX service, though there likely will be shortly. In the mean time, the primary suggestion for mitigating the bug is to ensure no “rewrite”, “if”, or “set” rules in the NGINX config use unnamed PCRE capture groups.
Pid-fd Linux Bug Gets Official
The “pid-fd” bug mentioned last week now has an official patch and CVE.
Not to be confused with CopyFail or DirtyFrag bugs which allow root access via corrupting the page cache of file data in RAM, this bug, also called “ssh-keysign-pwn”, enables reading any file regardless of file permissions, exposing important files like the system password file in /etc/shadow or the SSH private keys of the server or users, and executing commands as root via other common utilities including ssh-keysign, pkexec, and accounts-daemon.
RDS-Pintheft Linux bug
Seemingly not getting too much attention the V12 group released proof-of-concept code for another Linux kernel bug, naming it “RDS-pintheft”.
The bug lies in the Linux RDS network code, an alternate communications method for high-speed communications within clusters. It functions similarly to CopyFail and DirtyFrag: mis-handling memory buffers allows reliable overwriting of the page cache and replacing the perceived contents of a suid-root binary, granting instant root.
This exploit does require the RDS and RDS TCP kernel modules to be loaded, which may not be present on all distributions. If the module is already loaded or the attacker can cause it to be automatically loaded, and has the ability to execute code locally, it appears to be game over.
Patches are available and will likely be integrated into distribution kernel patches soon.
Google Self-Doxes Chromium
Bleeping Computer reports that Google has accidentally exposed the details of an un-patched Chromium exploit that enables JavaScript based botnets in all Chromium based browsers. Chromium is the open source browser engine which lies underneath Google Chrome, but also Microsoft Edge, Vivaldi, Opera, Arc, and Brave.
The JavaScript bug allows service workers to remain running in the background, even when the original page has been closed, or even when the browser itself has been closed. This would allow malicious websites, or ads carrying JavaScript injected into benign websites, to continue issuing requests without the user knowing, fueling a botnet for click fraud or denial of service attacks.
The bug was first reported in 2022, but ignored until 2024 when it was flagged as requiring attention. In February of 2026, the bug was marked as fixed, though no patches had been shipped yet. On May 20, details of the bug were automatically released because the bug had been closed for more than 14 weeks and marked as fixed.
But in fact the bug was not fixed, and the researcher noted that previous alerts that may have given the user a hint that something was occurring are now gone, making the attack even simpler.
Additional fixes will likely arrive shortly, given the publicity and severity of the bug.
The media in this post is not displayed to visitors. To view it, please go to the original post.
Google Patches Two Critical Chrome RCE Flaws in Urgent Update — Update to 148.0.7778.178 Now
#CyberSecurity
securebulletin.com/google-patc…
Google Patches Two Critical Chrome RCE Flaws in Urgent Update — Update to 148.0.7778.178 Now - Secure Bulletin
Google has released an emergency Chrome security update addressing 16 vulnerabilities including two Critical-rated remote code execution flaws in WebRTC and Chrome's UI layer. Users should update to version 148.0.7778.dark6 (Secure Bulletin)
reshared this
The media in this post is not displayed to visitors. To view it, please go to the original post.
Dark Web Brokers Flood Forums With Recycled Breach Data Disguised as Fresh Corporate Leaks
#CyberSecurity
securebulletin.com/dark-web-br…
Dark Web Brokers Flood Forums With Recycled Breach Data Disguised as Fresh Corporate Leaks - Secure Bulletin
Cybercriminals operating in Chinese-language dark web ecosystems are repackaging data from old breaches and selling it as fresh corporate intelligence, according to new research from Group-IB.dark6 (Secure Bulletin)
reshared this
Authorities arrest 23-year-old accused of running the #Kimwolf #botnet
securityaffairs.com/192533/cyb…
#securityaffairs #hacking #Android #malware
securityaffairs.com/192533/cyb…
#securityaffairs #hacking #Android #malware
Authorities arrest 23-year-old accused of running the Kimwolf botnet
Canadian authorities arrested a 23-year-old Ottawa man accused of running the Kimwolf DDoS botnet. The US is now seeking extradition.Pierluigi Paganini (Security Affairs)
Cybersecurity & cyberwarfare reshared this.
The media in this post is not displayed to visitors. To view it, please go to the original post.
Operation Saffron: International Authorities Dismantle ‘First VPN’ Criminal Network Linked to Global Ransomware Attacks
#CyberSecurity
securebulletin.com/operation-s…
Operation Saffron: International Authorities Dismantle 'First VPN' Criminal Network Linked to Global Ransomware Attacks - Secure Bulletin
A coordinated international law enforcement operation led by France, the Netherlands, Europol, and Eurojust has dismantled First VPN — a criminal VPN service explicitly marketed to cybercriminals and used in ransomware attacks and hacking campaigns w…dark6 (Secure Bulletin)
reshared this
The media in this post is not displayed to visitors. To view it, please go to the original post.
Azure Linux 4.0: Microsoft adotta Fedora come upstream e lancia Azure Container Linux in GA
#tech
spcnet.it/azure-linux-4-0-micr…
@informatica
Azure Linux 4.0: Microsoft adotta Fedora come upstream e lancia Azure Container Linux in GA
Microsoft ha annunciato ufficialmente Azure Linux 4.0 all’Open Source Summit North America, tenutosi a Minneapolis il 18 maggio 2026. Con questa release, la distribuzione Linux di Microsoft — precedentemente nota come CBL-Mariner — compie un salto architetturale significativo: abbandona il proprio sistema di packaging indipendente e adotta Fedora Linux come upstream base, mantenendo il formato RPM e le personalizzazioni specifiche per Azure.In parallelo, Microsoft ha annunciato la disponibilità generale di Azure Container Linux, un sistema operativo immutabile ottimizzato per workload containerizzati su Azure.
Dalla CBL-Mariner ad Azure Linux: una breve storia
CBL-Mariner (Common Base Linux Mariner) è nata internamente in Microsoft come distribuzione Linux leggera per supportare i propri servizi cloud e dispositivi. Nel 2022 è stata rinominata Azure Linux e resa open source, diventando la base di alcune immagini ufficiali per Azure Virtual Machines e Azure Kubernetes Service (AKS).Azure Linux 3 è ancora la versione stabile consigliata per la produzione. Azure Linux 4.0 è attualmente in public preview su Azure Virtual Machines.
Il cambio fondamentale: Fedora come upstream
Il cambiamento più rilevante di Azure Linux 4 riguarda il modello di sviluppo del packaging. Microsoft ha scelto di derivare i propri pacchetti direttamente dalle sorgenti Fedora, invece di mantenere spec RPM scritti internamente da zero.Dal README del repository GitHub ufficiale:
“Azure Linux is an open-source Linux distribution built and optimized for Azure, with sources derived from Fedora Linux.”
In pratica, il sistema è definito tramite file di configurazione TOML e overlay mirati applicati sopra i sorgenti di packaging di Fedora. Microsoft ha dichiarato che questi overlay sono volutamente limitati per evitare una divergenza eccessiva dall’upstream.Struttura tecnica del repository
Il repository di Azure Linux 4 include spec RPM generati automaticamente, prodotti applicando gli overlay di Azure Linux ai sorgenti upstream di Fedora. Questi file sono inclusi nel repository per garantire trasparenza e auditabilità della supply chain.Per la build vengono usati gli strumenti RPM standard dell’ecosistema Fedora/RHEL:
# Build di un pacchetto con mock (ambiente isolato) mock -r azurelinux-4-x86_64 --rebuild pacchetto.src.rpm # Build diretta con rpmbuild rpmbuild -ba SPECS/pacchetto.spec # Build con Koji (sistema di build distribuito) koji build azurelinux4 pacchetto.src.rpm
L’uso di tooling standard come mock, rpmbuild e Koji è una scelta deliberata: chi conosce già l’ecosistema Fedora o RHEL può contribuire ad Azure Linux senza dover imparare strumenti proprietari.Vantaggi del modello Fedora-based
Adottare Fedora come upstream porta vantaggi concreti su più fronti:
- Sicurezza e patch veloci: le vulnerabilità risolte upstream in Fedora possono essere incorporate rapidamente, senza dover riapplicare patch su spec mantenuti separatamente
- Ecosistema di pacchetti più ampio: Fedora ha un repository di pacchetti molto più vasto di quello che Microsoft poteva mantenere autonomamente in CBL-Mariner
- Toolchain familiare: dnf, rpm, mock, Koji — strumenti già noti a migliaia di amministratori di sistema
- Audit della supply chain: gli spec generati automaticamente e committati nel repo rendono verificabile ogni dipendenza
Azure Container Linux: l’alternativa immutabile
Annunciato in GA insieme ad Azure Linux 4.0 Preview, Azure Container Linux è una distribuzione separata, progettata specificamente per workload containerizzati. Le caratteristiche principali:
- Sistema operativo immutabile: il filesystem di sistema è read-only; gli aggiornamenti avvengono per sostituzione dell’intera immagine, non pacchetto per pacchetto
- Ottimizzato per AKS: superficie di attacco ridotta, nessun package manager esposto, avvio rapido
- Aggiornamenti atomici: simile all’approccio di Flatcar Linux o CoreOS, con rollback automatico in caso di failure
I due prodotti si rivolgono a use case diversi: Azure Linux 4 per VM general purpose, Azure Container Linux per nodi Kubernetes e workload container-native.
Come provare Azure Linux 4.0 su Azure
Azure Linux 4.0 è disponibile in public preview su Azure Virtual Machines. Per creare una VM con questa immagine tramite Azure CLI:# Cerca l'immagine Azure Linux 4 disponibile az vm image list --publisher MicrosoftCBLMariner --offer azure-linux-4 --all --output table # Crea una VM in anteprima az vm create --resource-group myResourceGroup --name myAzureLinux4VM --image MicrosoftCBLMariner:azure-linux-4:azure-linux-4-gen2:latest --size Standard_D2s_v5 --admin-username azureuser --generate-ssh-keys
Per chi vuole esplorare il codice sorgente o contribuire, il repository è disponibile su GitHub nel branch4.0:git clone https://github.com/microsoft/azurelinux.git cd azurelinux git checkout 4.0Cosa rimane invariato
Nonostante il cambio di upstream, Microsoft mantiene le caratteristiche distintive di Azure Linux:
- Ottimizzazioni kernel specifiche per Azure (driver paravirtualizzati, supporto RDMA, ecc.)
- Integrazione nativa con Azure Monitor, Azure Arc e gli altri servizi della piattaforma
- Conformità agli standard di sicurezza Microsoft (FIPS 140-3, CIS Benchmark)
- Ciclo di supporto allineato alle esigenze enterprise
Considerazioni per i sysadmin
Per chi gestisce infrastrutture su Azure, Azure Linux 4 rappresenta un’evoluzione interessante. L’allineamento con Fedora significa che le competenze RPM già acquisite su RHEL o CentOS Stream sono direttamente applicabili. La toolchain di build è quella standard, la documentazione upstream è più ricca, e le patch di sicurezza arriveranno più velocemente.Il consiglio di Microsoft di restare su Azure Linux 3 per i workload in produzione è ragionevole: la versione 4 è ancora in preview attiva. Tuttavia, per chi gestisce ambienti di test o vuole prepararsi alla migrazione, vale la pena esplorare il repository e familiarizzare con la nuova struttura già adesso.
Fonte: Linuxiac — Microsoft Azure Linux 4 Moves to a Fedora-Based Foundation | Microsoft Open Source Blog
From open source to agentic systems: Microsoft at Open Source Summit North America 2026 | Microsoft Open Source Blog
Discover how Azure Linux 4.0 and Azure Container Linux deliver a secure, scalable Linux foundation for cloud native apps, containers, and AI workloads.Brendan Burns (Microsoft Open Source Blog)
reshared this
The media in this post is not displayed to visitors. To view it, please go to the original post.
WantToCry Ransomware Encrypts Files Remotely Over SMB — No Malware Required
#CyberSecurity
securebulletin.com/wanttocry-r…
WantToCry Ransomware Encrypts Files Remotely Over SMB — No Malware Required - Secure Bulletin
A ransomware operation called WantToCry is exploiting exposed SMB file-sharing services to encrypt business data without ever installing malware on victim machines. SophosLabs researchers warn that over 1.dark6 (Secure Bulletin)
reshared this
The media in this post is not displayed to visitors. To view it, please go to the original post.
Guida ai file di log su Linux: leggere, cercare e gestire i log con tail, grep e journalctl
#tech
spcnet.it/guida-ai-file-di-log…
@informatica
Guida ai file di log su Linux: leggere, cercare e gestire i log con tail, grep e journalctl
Perché i log sono il primo posto dove guardare
Quando qualcosa si rompe su un sistema Linux, i log sono quasi sempre la prima risposta. Eppure molti amministratori li consultano solo come ultima risorsa, quando ormai il danno è fatto. I log raccontano cosa sta facendo il sistema adesso, cosa ha fatto ieri notte, e cosa esattamente è andato storto alle 3:00 di questa mattina. Imparare a leggerli, cercarli e gestirli è una delle competenze fondamentali di ogni sysadmin.Questa guida copre i file di log che ogni amministratore Linux dovrebbe conoscere, gli strumenti per cercarli in modo efficiente, e come evitare che crescano fino a riempire il disco.
Dove vivono i log su Linux
La maggior parte dei file di log si trova sotto/var/log/. Alcuni sono testo semplice, altri sono binari e richiedono strumenti dedicati per essere letti. Ecco i più importanti:
/var/log/syslog(Debian/Ubuntu) o/var/log/messages(RHEL/CentOS/Fedora) — messaggi generali di sistema da kernel e servizi./var/log/auth.log(Debian/Ubuntu) o/var/log/secure(RHEL/CentOS/Fedora) — tentativi di autenticazione, uso di sudo, accessi SSH./var/log/kern.log— messaggi specifici del kernel. Utile per problemi hardware e driver./var/log/dmesg— output del kernel ring buffer dal boot. Accessibile anche tramite il comandodmesg./var/log/dpkg.log— cronologia di installazione, rimozione e aggiornamento pacchetti su sistemi Debian./var/log/dnf.logo/var/log/yum.log— equivalente per Fedora/RHEL./var/log/apache2/o/var/log/httpd/— log di accesso ed errore di Apache./var/log/nginx/— log di accesso ed errore di Nginx./var/log/mysql/— log degli errori MySQL./var/log/crono/var/log/cron.log— cronologia di esecuzione dei cron job.Sui sistemi moderni basati su systemd, molti di questi log tradizionali sono affiancati o sostituiti dal journal di systemd. Ne parliamo nella sezione dedicata a
journalctl.Lettura di base: tail, less e cat
Per i file di testo semplice, gli strumenti classici funzionano benissimo.Visualizzare la coda del log
tail /var/log/syslogSeguire un log in tempo reale
tail -f /var/log/syslog
Utile quando si sta riproducendo un problema in diretta. Per seguire più file contemporaneamente:tail -f /var/log/syslog /var/log/auth.logSfogliare il log completo con paginazione
less /var/log/syslog
All’interno diless:Gsalta alla fine,gtorna all’inizio,/patterncerca un termine. Molto più veloce di quanto sembri.Ricerca nei log con grep
Quando un log cresce oltre qualche MB, scorrere manualmente diventa inutile.grepè lo strumento principale per filtrare le righe rilevanti.Trovare tutti i fallimenti di autenticazione SSH
grep "Failed password" /var/log/auth.logRicerca case-insensitive
grep -i "error" /var/log/syslogMostrare il contesto intorno a ogni match (3 righe prima e dopo)
grep -C 3 "Out of memory" /var/log/syslogRicerca ricorsiva in una directory
grep -r "connection refused" /var/log/nginx/Contare quante volte appare un pattern
grep -c "Failed password" /var/log/auth.logFiltrare per una data specifica
grep "^May 21" /var/log/syslogCombinare tail e grep per cercare solo nelle righe recenti
tail -n 500 /var/log/syslog | grep "error"Il journal di systemd: journalctl
Su qualsiasi distro moderna basata su systemd,journalctlè spesso più potente dei file di log tradizionali. Il journal raccoglie output da tutti i servizi, dal kernel e dal processo di boot in un formato binario strutturato e interrogabile.Comandi essenziali di journalctl
# Tutte le voci del journal (dalla più vecchia) journalctl # Dal più recente al più vecchio journalctl -r # Seguire il journal in tempo reale (come tail -f) journalctl -f # Solo i messaggi del kernel journalctl -k # Log di un servizio specifico journalctl -u nginx journalctl -u sshd # Solo dal boot corrente journalctl -b # Dal boot precedente (utile dopo un crash o riavvio imprevisto) journalctl -b -1 # Solo errori e livelli superiori (emergency, alert, critical, error) journalctl -p err # Filtro per intervallo di tempo journalctl --since "2026-05-21 08:00:00" --until "2026-05-21 09:00:00" # Oppure con tempo relativo journalctl --since "1 hour ago" # Output compatto senza pager, utile per piping journalctl -u sshd -o short --no-pager | tail -50
Il flag--no-pagerdisabilita l’apertura automatica dilesse restituisce l’output direttamente al terminale. Indispensabile quando si vuole fare pipe versogrepo altri strumenti.Analisi dei log di autenticazione SSH
Il log di autenticazione è uno dei più importanti su qualsiasi server esposto a internet. Se il server ha un IP pubblico, ci saranno tentativi di brute-force costanti. Ecco come analizzarli.Vedere i fallimenti SSH recenti
# Su Debian/Ubuntu grep "Failed password" /var/log/auth.log | tail -20 # Su RHEL/CentOS/Fedora grep "Failed password" /var/log/secure | tail -20 # Su qualsiasi sistema systemd journalctl -u sshd | grep "Failed password" | tail -20Trovare gli IP che attaccano di più
grep "Failed password" /var/log/auth.log \ | grep -oP 'from \K[0-9.]+' \ | sort | uniq -c | sort -rn | head -10
Questo one-liner estrae l’IP sorgente da ogni riga di login fallito, conta le occorrenze e le ordina per frequenza decrescente. L’anchor sulla parolafrommantiene il match corretto indipendentemente dal formato esatto della riga (con o senza “invalid user”). L’output di questo comando è spesso sufficiente a motivare l’installazione immediata difail2ban.Log del kernel e del boot con dmesg
Il comandodmesglegge dal kernel ring buffer ed è particolarmente utile per diagnosticare problemi hardware, driver e dischi.# Tutti i messaggi kernel dmesg # Con timestamp leggibili dmesg -T # Solo errori e warning dmesg -T --level=err,warn # Cercare errori disco dmesg -T | grep -i "error\|fail\|reset"
Se un disco sta cedendo, si vedranno righe che menzionano il nome del device (sda,nvme0, ecc.) con parole comeI/O errorohard resetting link. Non vanno ignorate.Gestione della rotazione: logrotate
I log mangiano disco se non vengono gestiti. Su quasi tutti i sistemi Linux,logrotatesi occupa di questo automaticamente: comprime e ruota i file di log secondo una schedulazione configurabile.Il file di configurazione principale è
/etc/logrotate.conf, mentre le configurazioni per singola applicazione si trovano sotto/etc/logrotate.d/.Un esempio tipico per Nginx:
/var/log/nginx/*.log { daily missingok rotate 14 compress delaycompress notifempty create 0640 www-data adm sharedscripts postrotate [ -f /var/run/nginx.pid ] && kill -USR1 `cat /var/run/nginx.pid` endscript }
Le direttive principali da conoscere:
daily / weekly / monthly— frequenza di rotazione.rotate 14— quanti file vecchi conservare prima di cancellare.compress— comprime i log ruotati con gzip.delaycompress— non comprime il log ruotato più di recente (utile per applicazioni che tengono il file aperto brevemente dopo la rotazione).missingok— non genera errore se il file di log non esiste.postrotate— esegue un comando dopo la rotazione, tipicamente per segnalare all’applicazione di riaprire il file di log.
Test e debug di logrotate
# Simulare la rotazione senza eseguirla davvero sudo logrotate --debug /etc/logrotate.conf # Forzare la rotazione immediatamente (utile per test) sudo logrotate --force /etc/logrotate.d/nginxGestione della dimensione del journal systemd
Anche il journal di systemd può crescere molto se non monitorato. Verificare l’utilizzo disco e limitarlo:# Verificare lo spazio occupato dal journal journalctl --disk-usage # Ridurre il journal a un massimo di 500 MB sudo journalctl --vacuum-size=500M # Mantenere solo le voci degli ultimi 30 giorni sudo journalctl --vacuum-time=30d
Per impostare un limite permanente, modificare/etc/systemd/journald.conf:[Journal] SystemMaxUse=500M MaxRetentionSec=1month
Dopo la modifica, riavviare il servizio:sudo systemctl restart systemd-journald.Un workflow pratico per il troubleshooting
Quando si affronta un problema su un server Linux, un approccio sistematico ai log risparmia tempo. Partire dajournalctl -p err -bper vedere tutti gli errori del boot corrente, poi restringere conjournalctl -u nome-servizio --since "30 min ago"per il servizio specifico. Se il problema è comparso dopo un riavvio,journalctl -b -1mostra i log del boot precedente. Per problemi hardware,dmesg -T --level=err,warnè spesso la risposta più rapida.I log su Linux non sono una last resort: sono la prima e più affidabile fonte di verità su cosa sta succedendo nel sistema.
Fonte originale: LinuxBlog.io — Linux Log Files: Guide to Reading, Searching, and Managing Logs di Hayden James.
Linux Log Files: Guide to Reading, Searching, and Managing Logs | LinuxBlog.io
A practical guide to Linux log files: where they live, how to read and search them with tail, grep, and journalctl, how to manage log rotation, and a real-world troubleshooting workflow.Hayden James (LinuxBlog.io)
reshared this
The media in this post is not displayed to visitors. To view it, please go to the original post.
The media in this post is not displayed to visitors. To view it, please go to the original post.
“Patchato” non significa protetto: attaccanti bypassano l’MFA sui VPN SonicWall Gen6 e raggiungono i file server in 30 minuti
#CyberSecurity
insicurezzadigitale.com/patcha…
“Patchato” non significa protetto: attaccanti bypassano l’MFA sui VPN SonicWall Gen6 e raggiungono i file server in 30 minuti
Si parla di:
ToggleC’è una categoria di vulnerabilità particolarmente insidiosa: quella delle patch che non funzionano perché nessuno ha seguito tutte le istruzioni. È esattamente quello che sta accadendo con i dispositivi SonicWall Gen6 SSL-VPN e CVE-2024-12802, con intrusioni ransomware già documentate in ambienti multipli tra febbraio e maggio 2026.
Il problema: patch firmware vs. rimedio reale
CVE-2024-12802 è una vulnerabilità di authentication bypass nelle appliance SonicWall SSL-VPN. La radice del problema sta in come SonicWall gestisce due diversi formati di login Active Directory: UPN (User Principal Name, il formato simile a un indirizzo email) e SAM (Security Account Manager, il formato legacy). L’enforcement dell’MFA è applicato indipendentemente a ciascun formato di login, non all’identità utente sottostante.Un attaccante che conosce credenziali valide può autenticarsi usando il percorso UPN anche quando l’MFA è configurata, perché l’enforcement specifico per quel percorso è assente. L’aggiornamento firmware corregge la gestione delle sessioni, ma non rimuove la configurazione LDAP preesistente che consente il bypass. Come spiega ReliaQuest nel loro report: “Patching the firmware doesn’t remove the existing LDAP configuration that allows the bypass; the vulnerable configuration remains in place.”
La rimediazione completa richiede sei passaggi manuali aggiuntivi documentati nel security advisory SNWLID-2025-0001 di SonicWall: cancellare completamente la configurazione LDAP esistente e ricrearla senza il formato userPrincipalName su cui fa leva l’exploit. I workflow standard di patch management non sono progettati per verificare passi di riconfigurazione manuale — la versione firmware viene aggiornata, il controllo versione passa, il dispositivo sembra protetto. Non lo è.
L’exploitation osservata: dalla VPN al file server in 30 minuti
Tra febbraio e marzo 2026, i ricercatori di ReliaQuest hanno documentato quella che valutano come la prima exploitation in-the-wild di CVE-2024-12802 in ambienti multipli. Il pattern di intrusione osservato è stato consistente tra gli incidenti: gli attaccanti eseguono brute force delle credenziali VPN, bypassano l’MFA usando il percorso UPN vulnerabile, e si muovono rapidamente all’interno delle reti.In alcuni casi, bastano 13 tentativi di brute force per ottenere credenziali valide. In un incidente specifico documentato da ReliaQuest, l’attaccante è passato dall’accesso VPN iniziale a un file server domain-joined, stabilendo una connessione RDP con una password locale condivisa di amministratore, in meno di trenta minuti.
Il comportamento post-compromissione è rivelatorio: dopo aver stabilito il foothold iniziale, l’attaccante ha tentato di distribuire un Cobalt Strike beacon per command-and-control e ha cercato di caricare un driver vulnerabile — probabilmente tramite la tecnica Bring Your Own Vulnerable Driver (BYOVD) per neutralizzare la protezione endpoint. L’EDR presente ha bloccato entrambi i tentativi. Ma l’attaccante si è disconnesso deliberatamente, è tornato giorni dopo usando account diversi, e ha ripetuto il pattern — comportamento più coerente con un initial access broker che valuta il valore della vittima che con un gruppo ransomware in fase di esecuzione immediata.
Il problema dei log: l’MFA sembra funzionare quando non funziona
Una delle caratteristiche più pericolose di questo attacco è il modo in cui appare nei log. Come riportano i ricercatori di ReliaQuest: “The rogue login attempts observed in the investigated incidents still appeared as a normal MFA flow in logs, leading defenders to believe that MFA worked even when it failed.”Il segnale chiave da cercare nei log di autenticazione VPN è il valore
sess="CLI", che indica autenticazione VPN scriptata o automatizzata. La maggior parte delle organizzazioni non monitora attivamente questo campo. I numeri di evento 238 e 1080 sono ulteriori indicatori da inserire nelle regole di alerting.Dispositivi affetti e stato di fine vita
La vulnerabilità è specifica all’hardware Gen6, che include i modelli NSa 2700, NSa 3700, NSa 4700, NSa 5700 e NSa 6700 con firmware SonicOS 7.0 attraverso 7.1.1. Questo rappresenta un ulteriore problema: i dispositivi Gen6 hanno raggiunto il fine vita il 16 aprile 2026 e non ricevono più aggiornamenti di sicurezza.Per i dispositivi Gen7 e Gen8, la situazione è diversa: gli aggiornamenti firmware alle versioni 7.2.0-7015 e 8.0.1-8017 incorporano già i passi di rimediazione descritti nell’advisory, e dopo l’upgrade è nuovamente supportato l’uso di userPrincipalName nelle configurazioni LDAP. Il problema è esclusivo al parco installato Gen6.
I settori più colpiti nei casi documentati includono servizi finanziari, sanità e manifatturiero, suggerendo un threat actor con conoscenza specifica del settore e obiettivi di alto valore economico.
Indicatori di compromissione e detection
# LOG INDICATORS (SonicWall SSL-VPN authentication logs) sess="CLI" # Autenticazione VPN automatizzata/scriptata - indicatore chiave Event ID 238 # Evento da monitorare in correlazione con sess=CLI Event ID 1080 # Evento da monitorare in correlazione con sess=CLI # BEHAVIORAL INDICATORS - Accessi VPN da IP appartenenti a VPS o infrastruttura VPN - Autenticazioni UPN riuscite per account con MFA configurata - Brute force con numero basso di tentativi (anche solo 13) - RDP da sistemi interni verso file server entro 30 minuti dall'accesso VPN - Installazione di Cobalt Strike beacon post-compromissione - Tentativi di caricamento driver vulnerabili (BYOVD) # CVE CVE-2024-12802 - SonicWall SSL-VPN Authentication Bypass (MFA bypass via UPN path) Advisory: SNWLID-2025-0001Due righe per i difensori
- Verifica rimediazione completa: Non basta che il firmware sia aggiornato. Seguire tutti e sei i passaggi manuali dell’advisory SNWLID-2025-0001 di SonicWall — questo include cancellare e ricreare la configurazione LDAP senza userPrincipalName.
- Caccia retroattiva nei log: Cercare
sess="CLI"nei log di autenticazione VPN degli ultimi mesi. Se presente insieme ad autenticazioni “riuscite” per account con MFA attiva, la protezione potrebbe essere stata bypassata in precedenza.- Migrazione Gen6: Considerare la migrazione urgente da Gen6 a Gen7/Gen8, dato il fine vita raggiunto ad aprile 2026. Non ci saranno patch per vulnerabilità future su questo hardware.
- Monitoraggio accessi VPN da range anomali: Alerting su login VPN originati da IP di VPS provider o range VPN, specialmente per account con MFA configurata.
- Correlazione eventi 238 e 1080: Aggiungere questi event ID alle regole SIEM in correlazione con il campo sess=”CLI”.
- Revisione LDAP: Verificare che la configurazione LDAP attiva non contenga userPrincipalName come formato di lookup.
Il takeaway più importante di questa vicenda non è tecnico, ma procedurale: i workflow di patch management standard non sono progettati per verificare passi di riconfigurazione manuale. Una patch applicata non è necessariamente una vulnerabilità chiusa. In contesti di sicurezza perimetrale, questo principio va internalizzato nei processi di verifica post-patch.
reshared this
The media in this post is not displayed to visitors. To view it, please go to the original post.
The media in this post is not displayed to visitors. To view it, please go to the original post.
Una riunione urgente su Teams e il conto svuotato: la nuova truffa che sfrutta il panico da videocall
#CyberSecurity
insicurezzadigitale.com/una-ri…
Una riunione urgente su Teams e il conto svuotato: la nuova truffa che sfrutta il panico da videocall
C’è un dettaglio interessante nelle nuove campagne cyber che stanno circolando nelle ultime ore: non cercano più di sembrare sofisticate. Cercano di sembrare normali.Una notifica su Microsoft Teams.
Un collega che chiede supporto.
Una call urgente prima di una riunione.
E pochi minuti dopo, credenziali rubate, malware installato o conti aziendali compromessi.
Tra le notizie emerse nelle ultime ore nel panorama cybersecurity internazionale, una delle più interessanti riguarda proprio una nuova ondata di attacchi che sfruttano Microsoft Teams come leva di social engineering. Il punto centrale non è tanto la tecnica utilizzata dai criminali, quanto il modo in cui stanno cambiando le abitudini delle vittime.
Per anni il phishing è stato associato a email sospette, allegati strani e messaggi scritti male. Oggi invece gli attaccanti stanno puntando sempre di più sugli strumenti di lavoro quotidiani: Teams, Zoom, Slack, Google Meet.
Perché funzionano.
E soprattutto perché in molte aziende le persone vivono ormai in uno stato costante di urgenza digitale.
La dinamica osservata nelle campagne più recenti è piuttosto semplice. La vittima riceve un messaggio Teams apparentemente legittimo, spesso collegato a un meeting imminente o a un problema tecnico. In alcuni casi viene chiesto di aprire un file condiviso, installare un aggiornamento, autenticarsi nuovamente oppure partecipare rapidamente a una videocall.
Tutto appare plausibile.
È proprio questo il punto.
I criminali non stanno cercando di violare firewall o bypassare vulnerabilità sofisticate. Stanno sfruttando la pressione psicologica tipica dell’ambiente lavorativo moderno.
Una notifica improvvisa durante una giornata piena di call.
Una richiesta urgente del reparto IT.
Un manager che scrive “mi serve subito”.
Nel contesto giusto, il cervello smette di analizzare e inizia semplicemente a reagire.
È questa la vera evoluzione del social engineering nel 2026: attacchi costruiti attorno ai comportamenti umani più che attorno alle vulnerabilità tecniche.
Le piattaforme collaborative sono diventate perfette per questo tipo di operazioni. A differenza delle email tradizionali, gli strumenti di messaggistica aziendale trasmettono automaticamente un senso di fiducia maggiore. Se un messaggio arriva su Teams, molti utenti tendono inconsciamente a considerarlo “interno”, quindi sicuro.
Ed è qui che i criminali stanno trovando spazio.
In diversi scenari osservati negli ultimi mesi, gli attaccanti utilizzano account compromessi reali per avviare conversazioni credibili con dipendenti dell’azienda. In altri casi sfruttano tenant esterni, nickname aziendali o identità molto simili a quelle originali.
L’obiettivo può cambiare.
A volte si tratta di furto credenziali.
Altre volte di installare malware.
In alcuni casi ancora più critici, gli attacchi servono come porta iniziale per intrusioni ransomware.
Ed è qui che il problema smette di essere “solo IT”.
Perché queste campagne funzionano esattamente come funzionano le truffe telefoniche contro gli anziani o le frodi sentimentali online: sfruttano fiducia, fretta e manipolazione emotiva.
La tecnologia cambia.
La psicologia umana molto meno.
Negli ambienti enterprise moderni esiste ormai una pressione costante alla reperibilità immediata. Rispondere velocemente è diventato quasi un obbligo culturale. Ed è proprio questa dinamica che rende strumenti come Teams particolarmente pericolosi dal punto di vista del social engineering.
Un’email può essere ignorata.
Una notifica Teams durante l’orario lavorativo no.
Anche perché spesso compare direttamente sul desktop, interrompe altre attività e arriva mentre l’utente sta già gestendo decine di conversazioni contemporaneamente.
In pratica il cybercrime sta imparando a inserirsi perfettamente nei micro-momenti di distrazione.
Ed è probabilmente questa la parte più inquietante.
Non serve più creare una finta pagina perfetta o un malware invisibile. Basta convincere una persona stanca, stressata o distratta a cliccare nel momento giusto.
Per questo motivo le aziende stanno iniziando a rivedere anche la formazione interna. Le classiche campagne anti-phishing basate solo sulle email non bastano più. Oggi il social engineering passa attraverso chat aziendali, videochiamate, sistemi di collaborazione e perfino notifiche push.
La vera sfida della cybersecurity moderna non è soltanto proteggere le infrastrutture.
È proteggere l’attenzione umana.
E in un mondo dove lavoriamo continuamente dentro piattaforme collaborative, distinguere una richiesta autentica da una manipolazione sta diventando sempre più difficile.
Fake Microsoft Teams Campaign Delivers ValleyRAT via NSIS Installer and DLL Sideloading
We came across fake Microsoft Teams distribution sites, shared on X platform back in mid April. The websites closely mimic […]Srinivasan E (K7 Labs)
reshared this
Approvato il progetto dell'arco trionfale di Trump a Washington
La Commissione delle Belle Arti di Washington ha approvato il progetto dell'arco trionfale alto 76 metri voluto dal presidente Donald Trump, nonostante l'opposizione quasi unanime del pubblico e diversi ricorsi giudiziari in corso. Il monumento sorgerà tra il Lincoln Memorial e il cimitero nazionale di Arlington.
Il via libera è arrivato giovedì 21 maggio dalla Commission of Fine Arts, l'agenzia federale che consiglia presidente e Congresso sui progetti di monumenti, memoriali, monete ed edifici federali. I commissari, tutti nominati da Trump, hanno votato a favore del progetto rivisto rispetto alla versione presentata ad aprile. Quattro membri su sette si sono espressi favorevolmente, mentre tre erano assenti. Si tratta del primo dei due passaggi necessari: il 4 giugno il progetto sarà esaminato dalla National Capital Planning Commission, un'altra commissione federale anch'essa composta da fedelissimi del presidente.
L'arco avrà un'altezza di 250 piedi, circa 76 metri, ma il monumento complessivo sarà più basso rispetto alla proposta iniziale. È stata eliminata una base alta otto piedi inclusa nella versione precedente, portando l'altezza totale da oltre 280 piedi a poco più di 270. Sono stati rimossi anche i quattro leoni dorati che dovevano ornare la base, una modifica chiesta dalla commissione perché i leoni "non sono originari degli Stati Uniti". Il granito sostituirà il marmo, materiale preferito da Trump ma scartato per ragioni di resistenza e durabilità. La profondità dell'arco è stata invece ampliata. In cima resterà una figura alata simile alla Statua della Libertà che regge una torcia, affiancata da due aquile dorate. Sui due lati saranno incise in lettere d'oro le frasi "One Nation Under God" e "Liberty and Justice for All". Una piattaforma panoramica offrirà una vista a 360 gradi.
Il vicepresidente della commissione, l'architetto James McCrery, aveva proposto di eliminare le statue in cima, una modifica che avrebbe ridotto l'altezza di circa 80 piedi. L'amministrazione, rappresentata da un funzionario del dipartimento degli Interni, ha fatto sapere che il presidente ha valutato la richiesta ma "ha scelto di non perseguire tale opzione". McCrery aveva chiesto anche la rimozione dei leoni e si era opposto al tunnel pedonale sotterraneo previsto per raggiungere l'arco, costruito su una rotatoria stradale: entrambi gli elementi sono stati eliminati. Una commissaria, Mary Anne Carter, ha apprezzato la rimozione degli ornamenti perché avvicina l'estetica dell'arco a quella sobria del cimitero di Arlington.
Il consenso pubblico al progetto è stato pressoché nullo. La commissione ha ricevuto circa mille commenti dal pubblico. Il segretario Thomas Luebke ha riferito che il 100% era contrario, leggendone uno che criticava le dimensioni del monumento definito un elemento verticale dominante in uno skyline che ha sempre resistito a simili intrusioni. Tra l'ultima raccolta di commenti e l'attuale, la CFA ha registrato 600 nuovi pareri, di cui il 99,5% negativi. Durante l'audizione pubblica, conservatori professionisti, storici e gruppi civici hanno espresso giudizi durissimi su posizione, altezza, design e assenza di un adeguato processo di approvazione.
L'arco, ispirato all'Arco di Trionfo di Parigi che misura 50 metri, sarà alto significativamente più del Lincoln Memorial, che raggiunge i 99 piedi, mentre il Washington Monument resta a 555 piedi. Sorgerà nella Memorial Circle, la rotatoria tra l'ingresso del cimitero di Arlington e il Lincoln Memorial, e dovrebbe celebrare il 250esimo anniversario degli Stati Uniti, previsto per luglio. Trump, informato dell'approvazione durante un incontro con la stampa nello Studio Ovale, ha detto ai giornalisti che il monumento è "bellissimo" e ha sostenuto che gli archi trionfali "di solito si fanno per le vittorie e per le guerre", aggiungendo che ne esistono 59 al mondo e Washington è "l'unica città importante e principale che non ne ha uno". Il presidente e il segretario degli Interni Doug Burgum hanno argomentato che Washington è l'unica capitale del mondo occidentale priva di un'arcata del genere. Il dipartimento degli Interni include il National Park Service, che gestisce il terreno scelto per la costruzione.
Il progetto è oggetto di un ricorso giudiziario federale presentato da un gruppo di veterani della guerra del Vietnam e da uno storico dell'architettura, rappresentati dall'organizzazione Public Citizen. I ricorrenti sostengono che l'arco ostruirebbe la vista tra il cimitero di Arlington e il Lincoln Memorial, una prospettiva "concepita per simboleggiare l'unificazione del Paese dopo la guerra civile e la forza di una nazione unita". Argomentano inoltre che il Congresso non ha autorizzato la costruzione di un arco commemorativo sul terreno federale gestito dal National Park Service, un passaggio che la legge richiede prima di procedere. Per ora il giudice non è intervenuto.
Trump ha respinto questa interpretazione, affermando di non avere bisogno del Congresso perché il terreno è di proprietà del dipartimento degli Interni. L'amministrazione conta di utilizzare un'autorizzazione poco nota risalente a un secolo fa per aggirare il passaggio parlamentare. La stessa strategia è stata adottata per la sala da ballo della Casa Bianca, anch'essa contestata in tribunale.
Sono già iniziati alcuni lavori preliminari sul sito. La CNN ha osservato la scorsa settimana squadre di operai con una trivella perforare il terreno. Il dipartimento degli Interni ha spiegato a CNN che si tratta di rilievi geotecnici "richiesti dalla legge", una pratica standard prima della proposta finale.
Restano i timori per la sicurezza del traffico aereo, dato che l'arco sorgerà a meno di tre chilometri dall'aeroporto Ronald Reagan, uno dei più trafficati del Paese, in uno spazio aereo già congestionato. Il dipartimento degli Interni ha chiesto uno studio aeronautico formale alla Federal Aviation Administration per stabilire se la struttura rappresenti un pericolo per i voli.
L'arco si inserisce in una serie di interventi voluti dal presidente per ridisegnare l'immagine della capitale: la sala da ballo nell'ala est della Casa Bianca, un giardino di sculture dedicato agli eroi americani lungo il fiume Potomac, la ridenominazione del Kennedy Center per includere il proprio nome, la costruzione di un campo da golf e la modifica del colore della vasca riflettente del Lincoln Memorial. Quest'ultimo progetto è oggetto di un altro ricorso, presentato dalla Cultural Landscape Foundation, che accusa l'amministrazione di voler dipingere di blu il fondo della vasca senza rispettare le leggi federali sulla tutela dei siti storici. Nel ricorso di 26 pagine gli avvocati dell'organizzazione parlano di un modello di comportamento "esemplificato dalla fretta di demolire l'ala est della Casa Bianca", in cui l'amministrazione "ignora deliberatamente i limiti legali stabiliti dal Congresso".
Questa voce è stata modificata (1 giorno fa)
reshared this
Autonomous Submarine Relies On Color Detection
The media in this post is not displayed to visitors. To view it, please log in.
We talk about all kinds of autonomous vehicles here at Hackaday, from aerial drones to rugged rovers. A little less common are the submarine builds, likely due to their technical complexity. That said, though they perhaps benefit most from autonomy given they’re so hard to talk to while underwater. In any case, [Ayman] has built an impressive sub that uses some rudimentary techniques to navigate around while under the surface.
The build uses typical construction techniques for DIY subs of this size, with a clear acrylic tube serving as the body of the craft. It’s carefully sealed to ensure water ingress doesn’t send it to the bottom, using nifty tricks like a magnetic coupling for the prop. Inside, there’s a Raspberry Pi 4, kitted out with an Arducam IMX708 camera with a wide angle lens. It’s joined by a BNO085 inertial measurement unit, along with two BMP280 pressure sensors for keeping track of motion and the sub’s vital signs, while a DRV8833 motor controller runs the main drive motor.
There’s also an ESP32 which helps out with motor and servo control for steering, and ballast control. Sinking and floating the sub is handled with a pair of two ballast tanks constructed out of 5 mL syringes that are driven in and out with high-torque output gear motors. The build uses an antenna buoy so that communication can be maintained with the sub when it’s within a certain range of the surface.
A neat addition to the sub is its autonomous navigation code. [Ayman] whipped up some simple object avoidance routines, which rely on the Raspberry Pi’s camera. The code uses HSV values to track specific colored objects and avoid them, which proves more reliable than RGB as it allows tracking color in a largely brightness-independent manner.
Although we’ve featured other builds that use similar construction techniques, seeing a transparent submarine gliding through the water will always make us think of the incredible Open Source Underwater Glider that won the 2017 Hackaday Prize.
youtube.com/embed/_M3SRvy68w8?…
La Russia sta hackerando la piattaforma di social media Bluesky per diffondere disinformazione, afferma l'azienda.
Secondo un nuovo rapporto, ben 2.000 post sono stati rimossi da quando hanno iniziato a comparire a ondate ad aprile.
Hacker russi hanno violato centinaia di account online sulla piattaforma di social media Bluesky e li hanno utilizzati per pubblicare notizie false con l'obiettivo di minare il sostegno pubblico all'Ucraina nel contesto della guerra in corso da parte della Russia, che dura ormai da quattro anni.
independent.co.uk/tech/russia-…
Fake news on social media will be catastrophic – trust me, I worked for Twitter
With billions of people around the world going to the polls this year, making sure voters have access to verfied, true information is critical.Marc Burrows (The Independent)
Anomaly doesn't like this.
reshared this
The media in this post is not displayed to visitors. To view it, please go to the original post.
Nel giorno dedicato alla santa delle cause impossibili, tre curiosità sulla chiesa nel cuore del quartiere savonese di Santa Rita. 🌹
🌹 La prima pietra dell'edificio di culto (che verrà...
facebook.com/tizianocaviglia/p…
#liguria #iloveliguria #visitriviera #savona #santarita @liguria
Tiziano Caviglia
Nel giorno dedicato alla santa delle cause impossibili, tre curiosità sulla chiesa nel cuore del quartiere savonese di Santa Rita. 🌹 🌹 La prima pietra dell'edificio di culto (che verrà intitolato a...www.facebook.com
macfranc likes this.
reshared this
The media in this post is not displayed to visitors. To view it, please log in.
“Patchato” non significa protetto: attaccanti bypassano l’MFA sui VPN SonicWall Gen6 e raggiungono i file server in 30 minuti
@Informatica (Italy e non Italy)
CVE-2024-12802 sulle appliance SonicWall Gen6 SSL-VPN viene sfruttata attivamente nonostante la patch disponibile. Il motivo: il fix firmware non basta — richiede sei
“Patchato” non significa protetto: attaccanti bypassano l’MFA sui VPN SonicWall Gen6 e raggiungono i file server in 30 minuti
Si parla di:
ToggleC’è una categoria di vulnerabilità particolarmente insidiosa: quella delle patch che non funzionano perché nessuno ha seguito tutte le istruzioni. È esattamente quello che sta accadendo con i dispositivi SonicWall Gen6 SSL-VPN e CVE-2024-12802, con intrusioni ransomware già documentate in ambienti multipli tra febbraio e maggio 2026.
Il problema: patch firmware vs. rimedio reale
CVE-2024-12802 è una vulnerabilità di authentication bypass nelle appliance SonicWall SSL-VPN. La radice del problema sta in come SonicWall gestisce due diversi formati di login Active Directory: UPN (User Principal Name, il formato simile a un indirizzo email) e SAM (Security Account Manager, il formato legacy). L’enforcement dell’MFA è applicato indipendentemente a ciascun formato di login, non all’identità utente sottostante.Un attaccante che conosce credenziali valide può autenticarsi usando il percorso UPN anche quando l’MFA è configurata, perché l’enforcement specifico per quel percorso è assente. L’aggiornamento firmware corregge la gestione delle sessioni, ma non rimuove la configurazione LDAP preesistente che consente il bypass. Come spiega ReliaQuest nel loro report: “Patching the firmware doesn’t remove the existing LDAP configuration that allows the bypass; the vulnerable configuration remains in place.”
La rimediazione completa richiede sei passaggi manuali aggiuntivi documentati nel security advisory SNWLID-2025-0001 di SonicWall: cancellare completamente la configurazione LDAP esistente e ricrearla senza il formato userPrincipalName su cui fa leva l’exploit. I workflow standard di patch management non sono progettati per verificare passi di riconfigurazione manuale — la versione firmware viene aggiornata, il controllo versione passa, il dispositivo sembra protetto. Non lo è.
L’exploitation osservata: dalla VPN al file server in 30 minuti
Tra febbraio e marzo 2026, i ricercatori di ReliaQuest hanno documentato quella che valutano come la prima exploitation in-the-wild di CVE-2024-12802 in ambienti multipli. Il pattern di intrusione osservato è stato consistente tra gli incidenti: gli attaccanti eseguono brute force delle credenziali VPN, bypassano l’MFA usando il percorso UPN vulnerabile, e si muovono rapidamente all’interno delle reti.In alcuni casi, bastano 13 tentativi di brute force per ottenere credenziali valide. In un incidente specifico documentato da ReliaQuest, l’attaccante è passato dall’accesso VPN iniziale a un file server domain-joined, stabilendo una connessione RDP con una password locale condivisa di amministratore, in meno di trenta minuti.
Il comportamento post-compromissione è rivelatorio: dopo aver stabilito il foothold iniziale, l’attaccante ha tentato di distribuire un Cobalt Strike beacon per command-and-control e ha cercato di caricare un driver vulnerabile — probabilmente tramite la tecnica Bring Your Own Vulnerable Driver (BYOVD) per neutralizzare la protezione endpoint. L’EDR presente ha bloccato entrambi i tentativi. Ma l’attaccante si è disconnesso deliberatamente, è tornato giorni dopo usando account diversi, e ha ripetuto il pattern — comportamento più coerente con un initial access broker che valuta il valore della vittima che con un gruppo ransomware in fase di esecuzione immediata.
Il problema dei log: l’MFA sembra funzionare quando non funziona
Una delle caratteristiche più pericolose di questo attacco è il modo in cui appare nei log. Come riportano i ricercatori di ReliaQuest: “The rogue login attempts observed in the investigated incidents still appeared as a normal MFA flow in logs, leading defenders to believe that MFA worked even when it failed.”Il segnale chiave da cercare nei log di autenticazione VPN è il valore
sess="CLI", che indica autenticazione VPN scriptata o automatizzata. La maggior parte delle organizzazioni non monitora attivamente questo campo. I numeri di evento 238 e 1080 sono ulteriori indicatori da inserire nelle regole di alerting.Dispositivi affetti e stato di fine vita
La vulnerabilità è specifica all’hardware Gen6, che include i modelli NSa 2700, NSa 3700, NSa 4700, NSa 5700 e NSa 6700 con firmware SonicOS 7.0 attraverso 7.1.1. Questo rappresenta un ulteriore problema: i dispositivi Gen6 hanno raggiunto il fine vita il 16 aprile 2026 e non ricevono più aggiornamenti di sicurezza.Per i dispositivi Gen7 e Gen8, la situazione è diversa: gli aggiornamenti firmware alle versioni 7.2.0-7015 e 8.0.1-8017 incorporano già i passi di rimediazione descritti nell’advisory, e dopo l’upgrade è nuovamente supportato l’uso di userPrincipalName nelle configurazioni LDAP. Il problema è esclusivo al parco installato Gen6.
I settori più colpiti nei casi documentati includono servizi finanziari, sanità e manifatturiero, suggerendo un threat actor con conoscenza specifica del settore e obiettivi di alto valore economico.
Indicatori di compromissione e detection
# LOG INDICATORS (SonicWall SSL-VPN authentication logs) sess="CLI" # Autenticazione VPN automatizzata/scriptata - indicatore chiave Event ID 238 # Evento da monitorare in correlazione con sess=CLI Event ID 1080 # Evento da monitorare in correlazione con sess=CLI # BEHAVIORAL INDICATORS - Accessi VPN da IP appartenenti a VPS o infrastruttura VPN - Autenticazioni UPN riuscite per account con MFA configurata - Brute force con numero basso di tentativi (anche solo 13) - RDP da sistemi interni verso file server entro 30 minuti dall'accesso VPN - Installazione di Cobalt Strike beacon post-compromissione - Tentativi di caricamento driver vulnerabili (BYOVD) # CVE CVE-2024-12802 - SonicWall SSL-VPN Authentication Bypass (MFA bypass via UPN path) Advisory: SNWLID-2025-0001Due righe per i difensori
- Verifica rimediazione completa: Non basta che il firmware sia aggiornato. Seguire tutti e sei i passaggi manuali dell’advisory SNWLID-2025-0001 di SonicWall — questo include cancellare e ricreare la configurazione LDAP senza userPrincipalName.
- Caccia retroattiva nei log: Cercare
sess="CLI"nei log di autenticazione VPN degli ultimi mesi. Se presente insieme ad autenticazioni “riuscite” per account con MFA attiva, la protezione potrebbe essere stata bypassata in precedenza.- Migrazione Gen6: Considerare la migrazione urgente da Gen6 a Gen7/Gen8, dato il fine vita raggiunto ad aprile 2026. Non ci saranno patch per vulnerabilità future su questo hardware.
- Monitoraggio accessi VPN da range anomali: Alerting su login VPN originati da IP di VPS provider o range VPN, specialmente per account con MFA configurata.
- Correlazione eventi 238 e 1080: Aggiungere questi event ID alle regole SIEM in correlazione con il campo sess=”CLI”.
- Revisione LDAP: Verificare che la configurazione LDAP attiva non contenga userPrincipalName come formato di lookup.
Il takeaway più importante di questa vicenda non è tecnico, ma procedurale: i workflow di patch management standard non sono progettati per verificare passi di riconfigurazione manuale. Una patch applicata non è necessariamente una vulnerabilità chiusa. In contesti di sicurezza perimetrale, questo principio va internalizzato nei processi di verifica post-patch.
The media in this post is not displayed to visitors. To view it, please log in.
Una riunione urgente su Teams e il conto svuotato: la nuova truffa che sfrutta il panico da videocall
@Informatica (Italy e non Italy)
C’è un dettaglio interessante nelle nuove campagne cyber che stanno circolando nelle ultime ore: non cercano più di sembrare sofisticate. Cercano di sembrare normali. Una notifica su Microsoft Teams. Un collega
Una riunione urgente su Teams e il conto svuotato: la nuova truffa che sfrutta il panico da videocall
C’è un dettaglio interessante nelle nuove campagne cyber che stanno circolando nelle ultime ore: non cercano più di sembrare sofisticate. Cercano di sembrare normali.Una notifica su Microsoft Teams.
Un collega che chiede supporto.
Una call urgente prima di una riunione.
E pochi minuti dopo, credenziali rubate, malware installato o conti aziendali compromessi.
Tra le notizie emerse nelle ultime ore nel panorama cybersecurity internazionale, una delle più interessanti riguarda proprio una nuova ondata di attacchi che sfruttano Microsoft Teams come leva di social engineering. Il punto centrale non è tanto la tecnica utilizzata dai criminali, quanto il modo in cui stanno cambiando le abitudini delle vittime.
Per anni il phishing è stato associato a email sospette, allegati strani e messaggi scritti male. Oggi invece gli attaccanti stanno puntando sempre di più sugli strumenti di lavoro quotidiani: Teams, Zoom, Slack, Google Meet.
Perché funzionano.
E soprattutto perché in molte aziende le persone vivono ormai in uno stato costante di urgenza digitale.
La dinamica osservata nelle campagne più recenti è piuttosto semplice. La vittima riceve un messaggio Teams apparentemente legittimo, spesso collegato a un meeting imminente o a un problema tecnico. In alcuni casi viene chiesto di aprire un file condiviso, installare un aggiornamento, autenticarsi nuovamente oppure partecipare rapidamente a una videocall.
Tutto appare plausibile.
È proprio questo il punto.
I criminali non stanno cercando di violare firewall o bypassare vulnerabilità sofisticate. Stanno sfruttando la pressione psicologica tipica dell’ambiente lavorativo moderno.
Una notifica improvvisa durante una giornata piena di call.
Una richiesta urgente del reparto IT.
Un manager che scrive “mi serve subito”.
Nel contesto giusto, il cervello smette di analizzare e inizia semplicemente a reagire.
È questa la vera evoluzione del social engineering nel 2026: attacchi costruiti attorno ai comportamenti umani più che attorno alle vulnerabilità tecniche.
Le piattaforme collaborative sono diventate perfette per questo tipo di operazioni. A differenza delle email tradizionali, gli strumenti di messaggistica aziendale trasmettono automaticamente un senso di fiducia maggiore. Se un messaggio arriva su Teams, molti utenti tendono inconsciamente a considerarlo “interno”, quindi sicuro.
Ed è qui che i criminali stanno trovando spazio.
In diversi scenari osservati negli ultimi mesi, gli attaccanti utilizzano account compromessi reali per avviare conversazioni credibili con dipendenti dell’azienda. In altri casi sfruttano tenant esterni, nickname aziendali o identità molto simili a quelle originali.
L’obiettivo può cambiare.
A volte si tratta di furto credenziali.
Altre volte di installare malware.
In alcuni casi ancora più critici, gli attacchi servono come porta iniziale per intrusioni ransomware.
Ed è qui che il problema smette di essere “solo IT”.
Perché queste campagne funzionano esattamente come funzionano le truffe telefoniche contro gli anziani o le frodi sentimentali online: sfruttano fiducia, fretta e manipolazione emotiva.
La tecnologia cambia.
La psicologia umana molto meno.
Negli ambienti enterprise moderni esiste ormai una pressione costante alla reperibilità immediata. Rispondere velocemente è diventato quasi un obbligo culturale. Ed è proprio questa dinamica che rende strumenti come Teams particolarmente pericolosi dal punto di vista del social engineering.
Un’email può essere ignorata.
Una notifica Teams durante l’orario lavorativo no.
Anche perché spesso compare direttamente sul desktop, interrompe altre attività e arriva mentre l’utente sta già gestendo decine di conversazioni contemporaneamente.
In pratica il cybercrime sta imparando a inserirsi perfettamente nei micro-momenti di distrazione.
Ed è probabilmente questa la parte più inquietante.
Non serve più creare una finta pagina perfetta o un malware invisibile. Basta convincere una persona stanca, stressata o distratta a cliccare nel momento giusto.
Per questo motivo le aziende stanno iniziando a rivedere anche la formazione interna. Le classiche campagne anti-phishing basate solo sulle email non bastano più. Oggi il social engineering passa attraverso chat aziendali, videochiamate, sistemi di collaborazione e perfino notifiche push.
La vera sfida della cybersecurity moderna non è soltanto proteggere le infrastrutture.
È proteggere l’attenzione umana.
E in un mondo dove lavoriamo continuamente dentro piattaforme collaborative, distinguere una richiesta autentica da una manipolazione sta diventando sempre più difficile.
Fake Microsoft Teams Campaign Delivers ValleyRAT via NSIS Installer and DLL Sideloading
We came across fake Microsoft Teams distribution sites, shared on X platform back in mid April. The websites closely mimic […]Srinivasan E (K7 Labs)
The media in this post is not displayed to visitors. To view it, please go to the original post.
Flipper One: il dispositivo rivoluzionario per il networking e l’open source quando uscirà?
📌 Link all'articolo : redhotcyber.com/post/flipper-o…
A cura di Luigi Zullo
#redhotcyber #news #linux #networking #sdR #faiDaTe #progettopenvolo #dispositivolinux
Flipper One: il dispositivo rivoluzionario per il networking e l'open source quando uscirà?
Esplora Flipper One, un dispositivo Linux completo per il networking, l'SDR e l'open source, con un design modulare e una filosofia di apertura e trasparenzaLuigi Zullo (Red Hot Cyber)
Cybersecurity & cyberwarfare reshared this.
Cloud Atlas activity in the second half of 2025 and early 2026: new tools and a new payload
The media in this post is not displayed to visitors. To view it, please log in.
In 2025, we observed pervasive SSH tunnel activity, which has remained active into 2026, affecting many government organizations and commercial companies in Russia and Belarus. Behind some of this activity is Cloud Atlas, a group we have known since 2014. During our investigation, we identified new tools used by this group, as well as indicators of compromise.
The group is back to sending out archives containing malicious shortcuts that launch PowerShell scripts. This technique is employed in addition to the previously described use of malicious documents, which exploit an old vulnerability in the Microsoft Office Equation Editor process (CVE-2018-0802) to download and execute malicious code. We have observed the use of third-party public utilities (Tor/SSH/RevSocks) to gain a foothold in infected systems and create additional backup control channels.
Technical details
Initial infection
As for the primary compromise, Cloud Atlas remains consistent in using phishing. In the observed campaigns, the attackers emailed a ZIP archive containing an LNK file as an attachment.
Malware execution flow
Attackers use LNK shortcuts to covertly execute PowerShell scripts hosted on external resources. The command line of the shortcut:
Example of the PowerShell script downloaded and executed by the shortcut:
Example of the PowerShell script downloaded by the shortcut
Actions performed by the downloaded PowerShell:
| Step | Action | Description |
| 1 | Drops “$temp\fixed.ps1” | Pre-staging: places the main payload locally in advance to ensure an execution capability independent of subsequent network connectivity or C2 availability. |
| 2 | Creates “Run” registry key “YandexBrowser_setup” for “$temp\fixed.ps1” startup | Early persistence: guarantees execution upon the next logon or reboot. If the script is interrupted during later stages, the payload will still activate automatically. |
| 3 | Downloads and drops “$temp\rar.zip” Extracts “*.pdf” from the downloaded “$temp\rar.zip” | Payload delivery: retrieves the decoy archive from the remote server to prepare user-facing content for the distraction phase. |
| 4 | Extracts “*.pdf” from the downloaded “$temp\rar.zip” | Decoy preparation: unpacks the legitimate-looking document so it can be executed silently without requiring user interaction. |
| 6 | Opens extracted decoy document “*.pdf” with user’s default software | User distraction: opens a convincing document to maintain user engagement and creates a legitimate workflow appearance to buy additional 30–120 seconds for background operations. |
| 6 | Executes “taskkill.exe /F /Im winrar.exe” | Process concealment: terminates the archive extractor to prevent the user from seeing the archive contents or noticing unexpected file extraction activity. |
| 7 | Searches and deletes “rar.zip”, “*.pdf.zip” and “*.pdf.lnk” | Anti-forensic cleanup: removes the initial infection artifacts before activating the main payload, reducing the number of disk traces available for incident response or EDR correlation. |
| 8 | Executes “$temp\fixed.ps1” | Controlled execution: launches the main payload only after persistence is secured, the user is distracted, and access traces are cleaned up. |
Fixed.ps1 (loader)
The primary purpose of the Fixed.ps1 script is to deliver and install subsequent malware onto the compromised system, specifically VBCloud and PowerShower. Fixed.ps1 establishes persistence (by adding itself to registry Run keys), creates a decoy for the user (by opening a PDF document), and executes the next stages of the attack.
Fixed.ps1::Payload (VBCloud dropper)
Example of the fixed.ps1::Payload (VBCloud dropper)
This module functions as a dropper for the VBCloud backdoor. It drops two files onto the infected machine:
- video.vbs: the loader of the backdoor,VBCloud::Launcher. This is a VBScript that decrypts the contents of video.mds (typically using RC4 with a hardcoded key) and executes it in memory.
- video.mds: the encrypted body of the backdoor, VBCloud::Backdoor. This is the main module that connects to a C2 server to receive additional scripts or execute built-in commands. This backdoor is designed to function as a stealer, specifically targeting files with extensions of interest (such as DOC, PDF, XLS) and exfiltrating them.
Fixed.ps1::Payload (PowerShower)
This module installs a second backdoor called PowerShower on the system. We don’t have the specific script that performs this installation, but we assume it’s performed by a script similar to fixed.ps1::Payload (VBCloud dropper).
Unlike VBCloud, which focuses on file theft, PowerShower is primarily used for network reconnaissance and lateral movement within the victim’s infrastructure. PowerShower can perform the following tasks:
- Collect information about running processes, administrator groups, and domain controllers.
- Download and execute PowerShell scripts from the C2 server.
- Conduct “Kerberoasting” attacks (stealing password hashes of Active Directory accounts).
PowerShower is dropped onto the system via the path ‘C:\Users\[username]\Pictures\googleearth.ps1’.
Contents of the googleearth.ps1(PowerShower)
PowerShower::Payload (credential grabber)
PowerShower downloads an additional script for stealing credentials. It performs the following actions:
- Creates a Volume Shadow Copy of the C:\ drive.
- Copies the SAM (stores local user password hashes) and SECURITY system files from this shadow copy to C:\Users\Public\Documents\, disguising them as PDF files.
- The script is launched in several stages. To execute with high privileges, the script uses a UAC bypass technique via fodhelper.exe (a built-in Windows utility). This allows PowerShell to run as an administrator without directly prompting the user, which could otherwise raise suspicion.
The full launch chain looks like this:
The full Base64-decoded script is given below.
Multi-user RDP by patching termsrv.dll
Moving laterally across the victim’s network, the attackers executed a suspicious PowerShell script named rdp_new.ps1 (MD5 1A11B26DD0261EF27A112CE8B361C247):
The script is designed to allow multiple RDP sessions in Windows 10 by patching the termsrv.dll file. Termsrv.dll is the core Windows library that enforces Remote Desktop Services rules.
By default, Windows limits the number of simultaneous RDP sessions. Removing this restriction allows attackers to operate on the machine in the background without disconnecting the legitimate user, thereby reducing the likelihood of detection.
At first, the script enables RDP on the firewall and downgrades the RDP security settings:
Before modifying termsrv.dll, the script takes ownership and assigns itself full permissions. Then the script finds the sequence of bytes 39 81 3C 06 00 00 ?? ?? ?? ?? ?? ?? and replaces it with B8 00 01 00 00 89 81 38 06 00 00 90. After these manipulations, the script restarts the RDP service.
Example of script
The patched version allows multiple concurrent logins so attackers can stay connected without disrupting the legitimate user, thereby reducing suspicion.
Reverse SSH tunneling
As mentioned above, during this wave of attacks, the adversaries widely deployed reverse SSH tunnels to many hosts of interest. The compromised machine initiates an SSH connection to an attacker-controlled server, which allows attackers to bypass standard firewall rules via establishing outbound connections.
That way, even if the primary backdoor is discovered, the attackers can maintain control through the SSH tunnel.
To install a reverse SSH tunnel on a victim’s host, the attackers run VBS scripts via PAExec or PsExec.
We’ve seen three types of scripts:
- Gen.vbs (WriteToSchedulerGenerateKey.vbs) generates key for SSH tunnel.
- Run.vbs (WriteToSchedulerRunSSH.vbs) runs reverse SSH tunnel.
- Kill.vbs (WriteToSchedulerKillSSH.vbs) stops reverse SSH tunnel via taskkill.exe.
To achieve persistence, the attackers added a new scheduled task in Windows:
In some cases, before establishing a reverse SSH tunnel, attackers set new access permissions to the folder containing the private key to prevent the legitimate user or system administrators from easily accessing or modifying it:
Patched OpenSSH
Some OpenSSH binaries used by the attackers had their imports modified. Instead of libcrypto.dll, the SSH executable imports syruntime.dll, which was placed in the same folder as the binary. This was likely done to evade detection and ensure stealth.
In addition, we found a portable version of OpenSSH, presumably compiled by the adversaries:
RevSocks
In addition to Reverse SSH tunnels, the attackers installed RevSocks using the same infrastructure. RevSocks is an alternative tool to SSH for establishing tunnels and proxy connections, written in Golang. This tool allows direct connection to workstations on the local network. It also allows attackers to gain access to other segments of the victim’s network by using the machine as a gateway. In some cases, C2 addresses were hardcoded into the binary; in other cases, the C2 was passed in command line arguments.
There were also reverse SOCKS samples with hardcoded C2 addresses:
Tor tunneling
To maintain control over the compromised host, the Tor network was used in some cases. A minimal set of a Tor executable and configuration files, necessary for launching HiddenService, was copied to the system directories of infected devices. The name of the Tor Browser executable file was modified. As a result, the infected machine was accessible via RDP from the Tor network when accessing the generated .onion domain.
Below is an example of a configuration file for routing connections from Tor to RDP ports on the local network, as well as example command lines for logging into Tor.
Example of TOR configuration file
PowerCloud
We analyzed a new Cloud Atlas tool, PowerCloud. It collects user data with administrator privileges and writes this information to Google Sheets in Base64 format.
The tool represents an obfuscated PowerShell script. In most cases, it is packaged into an executable file using the PS2EXE utility, but we have also encountered variants in the form of a separate PowerShell script.
To find administrators on the victim host, the tool executes the following command:
This information is appended with the computer name and current date, the data is encoded in base64, and then the collected data is added to an existing Google Sheet.
PowerCloud script
Browser checker
Additionally, the attackers used another PowerShell script (MD5 5329F7BFF9D0D5DB28821B86C26D628F), compiled into an executable file via PS2EXE, which checks whether browser processes (Chrome, Edge, Firefox, and other) are running. This helps detect when the user is working on the computer. This can be used to choose the optimal time for conducting attacks (for example, when the user is away but their browser is still open) or simply to gather information about the victim’s habits.
The information about running browsers is written to a log file on the local host.
Fragment of the deobfuscated script
Victims
According to our telemetry, in late 2025 and early 2026, the identified targets of the described malicious activities are located in Russia and Belarus. The targeted industries mostly include government agencies and diplomatic entities.
We attribute the activity described in this report to the Cloud Atlas APT group with a high degree of confidence. The group used techniques and tools described previously, such as the initial access vector, the Python script for information gathering, and the Tor application for forwarding ports to the Tor network. The victim profile and geography also matches the Cloud Atlas targets.
We couldn’t help but notice some parallels with recent Head Mare activity. The PhantomHeart backdoor (available in Russian only), attributed to Head Mare and used to create an SSH tunnel, was placed in directories actively used by Cloud Atlas:
- C:\Windows\ime
- C:\Windows\System32\ime
- C:\Windows\pla
- C:\Windows\inf
- C:\Windows\migration
- C:\Windows\System32\timecontrolsvc
- C:\Windows\SKB
However, TTPs are still differentiated.
Conclusion
For more than ten years, the Cloud Atlas group has continued its activities and expanded its arsenal. Over the course of last year, many targeted campaigns in general were found to employ ReverseSocks, SSH and Tor, and the use of these utilities was no exception for Cloud Atlas. Creating such backup control channels using publicly available utilities significantly complicates the complete disruption of attackers’ actions on compromised systems. We will continue to closely monitor the group’s activity and describe their new tools and techniques.
Indicators of compromise
PowerCloud
7A95360B7E0EB5B107A3D231ABBC541A C:\Windows\wininet.exe
C0D1EAA15A2CEFBAB9735787575C8D8E C:\Windows\LiveKernelReports\update.exe
D5B38B252CF212A4A32763DE36732D40 C:\Windows\ime\imejp\dicts\i39884.exe
3C75CEDB1196DF5EAB91F31411ED4B33 C:\pla\reports.exe
42AC350BFBC5B4EB0FEDBA16C81919C7 C:\ProgramData\update_[redacted].exe
493B901D1B33EB577DB64AADD948F9CE C:\Windows\migration\wtr\MicrosoftBrowser.exe
2CABB721681455DAE1B6A26709DEF453 C:\Windows\pla\reports\winlog.exe
1B39E86EB772A0E40060B672B7F574F1 C:\Windows\System32\timecontrolsvc\vmnetdrv64.exe
1D401D6E6FC0B00AAA2C65A0AC0CFD6B C:\Windows\setup\scripts\install\software\activation\aact\dfsvc.exe
40A562B8600F843B717BC5951B2E3C29 C:\Windows\branding\scat.exe
F721A76DEB28FD0B80D27FCE6B8F5016 C:\Windows\ime\imekr\dicts\dfsvc.exe
D3C8AFD22BAA306FF659DB1FAC28574A C:\ProgramData\update_[redacted].exe
6D7B2D1172BBDB7340972D844F6F0717 C:\Users\[redacted]\AppData\Local\1c\1cv8\1cv8ud.exe
C:\Users\[redacted]\AppData\Local\1c\1cv8\svc.exe
9769F43B9DE8D19E803263267FA6D62E C:\Users\[redacted]\AppData\Local\1c\1cv8\1cv8ud.exe
63B6BE9AE8D8024A40B200CCCB438F1D C:\Windows\notepad.exe
6AA586BCC45CA2E92A4F0EF47E086FA1 C:\Windows\splwow32.exe
EBA3BCDB19A7E256BF8E2CC5B9C1CCA9 C:\Users\[redacted]\Desktop\soc\stant.exe
B4E183627B7399006C1BC47B3711E419 C:\WINDOWS\ime\service.exe
F56B31A4B47AD3365B18A7E922FBA1A8 dfsvc.exe
F6F62456FB0FCC396FB654CBED339BC3 –
25C8ED0511375DCA57EF136AC3FA0CCA C:\branding\dwmw.exe
Browser checker
5329F7BFF9D0D5DB28821B86C26D628F C:\ProgramData\checker_[redacted].exe
ReverseSocks
2B4BA4FACF8C299749771A3A4369782E C:\Windows\PLA\System\bounce.exe
C:\Windows\pla\print_status.exe
BA9CE06641067742F2AFC9691FAFF1DC C:\ProgramData\hp\client.exe
FB0F8027ACF1B1E47E07A63D8812ED50 C:\Windows\System32\timecontrolsvc\vmnetdrv64.exe
BBF1FA694122E07635DEEAC11AD712F8 C:\Windows\System32\HostManagement.exe
F301AA3D62B5095EEC4D8E34201A4769 C:\Windows\ime\imejp\msfu.exe
F9C3BBE108566D1A6B070F9C5FB03160 C:\Windows\ime\imetc\help\IMTCEN14.exe
Malicious MS Office documents
369B75BDCDED16469EDE7AB8BEDCFAE1
9EAAE9491F6A50D6DF0BE393734A44CB
3E6E9DF00A764B348EC611EE8504ACA0
9BD788F285E32A05E6591D1EB36EBFFC
F42085522EC2EBB16EDCF814E7C330AD
2042EB5D52F0B535A1CE6B6F954C8C2B
2AA1E9765EF6B00B94A9B6BE0041436A
36120F5E9411BCBAC7104EF3FA964ED2
5000A353399500BC78381DC95B6ED2DC
579A9952D31CAD801A3988DBE7914CE7
867B634588C0FD6B26684D502C15AB03
38FA4306FA4406BA31CF171AF4D36E34
83EDDE9F7EEEFAC0363413972F35572B
CC751619BFEC0DC4607C17112B9E3B2C
A632858F14B36F03D0F213F5F5D6BFF2
097CA205AD9E3B72018750280904718C
69121C36EB8BF77962DCA825FCFFD873
C5702EB250F855C8C872FFFB9BB656ED
ED34F5A136FBA4FDEA976570FAA33ED7
0577DB70844E88B32B954906E2F20798
28ECF8FB6719E14231B94B4D37629B0E
0857C84B62289A1A9F29E19244E9A499
0C514E137860F489E3801213460EF938
50568B1F9335A7E3BA4E5DF035A8FB86
7F776AD200287D6DE14A29158C457179
51F7F794ED43FB90D0F8EBBB5EFFE628
B8C753DD254509FBA5077FFD5067EAB0
BC3739DEC8CD8F54F3F60A85F3ED600E
EC076CD21C483A40156F4E40D08DADED
216CB7F31D383C0DD892B284DF05A495
116F59E70A9DF97F4ADAEA71EECB1E9A
7242AC065B50BCDE9308756B49DBADCB
8158552950D2E13B075001CE0C52AA97
A75DBED984963B9AB21309C5B2F8FD9B
0320DD389FDBAB25D46792BD2817675E
5339D1A666F3E40FE756505CF1D87D4B
67D7E3AEEB673BF60C59361C12A4ED81
89572F0ED20791A5AC9FC4267D67CCB0
B6AAE073E7BFEBF4D643C2BBEB5C02E1
344CA9EA07CD4AC90EF27F8890D4EC05
Domains and IPs
Reverse SSH/Socks domains
tenkoff[.]org
cloudguide[.]in
goverru[.]com
kufar[.]org
ultimatecore[.]net
spbnews[.]net
onedrivesupport[.]net
Malicious and compromised domains used in MS Office documents
amerikastaj[.]com
bigbang[.]me
paleturquoise-dragonfly-364512.hostingersite[.]com
wizzifi[.]com
totallegacy[.]org
mamurjor[.]com
landscapeuganda[.]com
lafortunaitalian.co[.]uk
kommando[.]live
internationalcommoditiesllc[.]com
humanitas[.]si
fishingflytackle[.]com
firsai.tipshub[.]net
alnakhlah.com[.]sa
allgoodsdirect.com[.]au
agenciakharis.com[.]br
Powershell payload staging
istochnik[.]org
znews[.]neti
investika-club[.]com
194.102.104[.]207
46.17.45[.]56
46.17.45[.]49
46.17.44[.]125
46.17.44[.]212
185.22.154[.]73
194.87.196[.]163
195.58.49[.]9
93.125.114[.]193
93.125.114[.]57
45.87.219[.]116
37.228.129[.]224
185.53.179[.]136
185.126.239[.]77
5.181.21[.]75
146.70.53[.]171
45.15.65[.]134
185.250.181[.]207
81.30.105[.]71
File paths
VBS scripts
WriteToSchedulerKillSSH.vbs
Create_task_day.vbs
WriteToSchedulerGenerateKey.vbs
C:\Windows\INF\Run.vbs
c:\Windows\INF\install.vbs
Update.vbs
c:\Windows\PLA\System\Gen.vbs
C:\Windows\INF\GenK.vbs
c:\Windows\PLA\System\Kill.vbs
c:\Windows\PLA\System\Run.vbs
ssh.exe
c:\Windows\ime\imejp\Asset.exe
c:\Windows\PLA\System\conhosts.exe
c:\Windows\INF\BITS\esentprf.exe
c:\Windows\INF\MSDTC\RuntimeBrokers.exe
c:\Windows\inf\diagnostic.exe
ReverseSocks
C:\Windows\PLA\System\bounce.exe
C:\ProgramData\hp\client.exe
C:\Windows\System32\timecontrolsvc\vmnetdrv64.exe
Tor client
C:\Windows\Resources\Update\Intel.exe
C:\Windows\INF\package.exe
Sovranità digitale, quest'ultima sconosciuta.
📢 Ufficio Zero Linux OS sottoscrive la Lettera Aperta promossa da Suse per la Sovranità Digitale e lo fa con immenso orgoglio e l'auspicio che il 27 Maggio la Commissione Europea prenderà decisioni ponderate per il Tech Sovereignty Package.
ufficiozero.org/index.php?alia…
#sovranitadigitale #sovranitadigitaleeuropea #libertadigitale #opensource #freesoftware #ufficiozero
Ufficio Zero Linux OS sottoscrive la Lettera Aperta di Suse
per una reale Sovranità Digitale, fatta non solo di parolewww.ufficiozero.org
Ricardo Antonio Piana likes this.
reshared this
U.S. CISA adds Trend Micro Apex One and Langflow to its Known Exploited Vulnerabilities catalog
securityaffairs.com/192529/hac…
#securityaffairs #hacking
securityaffairs.com/192529/hac…
#securityaffairs #hacking
U.S. CISA adds Trend Micro Apex One and Langflow to its Known Exploited Vulnerabilities catalog
U.S. CISA adds Trend Micro Apex One and Langflow vulnerabilities to its Known Exploited Vulnerabilities catalog.Pierluigi Paganini (Security Affairs)
Cybersecurity & cyberwarfare reshared this.
The media in this post is not displayed to visitors. To view it, please go to the original post.
Ciao ciao, Commissario Basettoni! Agenzia per la cybersicurezza nazionale, si è dimesso il direttore Bruno Frattasi
Come il suo predecessore, il veramente esperto Roberto Baldoni, giustifica le proprie dimissioni con "motivi personali", ma la gestione dell'ex prefetto di Roma è stata patetica. Al suo posto arriverà Andrea Quacivi, ex AD della Sogei.
tg24.sky.it/politica/2026/05/2…
Agenzia per la cybersicurezza nazionale, si dimette direttore Frattasi
Leggi su Sky TG24 l'articolo Agenzia per la cybersicurezza nazionale, si è dimesso il direttore Bruno FrattasiRedazione Sky TG24 (Sky TG24)
Andrea Rizzi likes this.
reshared this
The media in this post is not displayed to visitors. To view it, please go to the original post.
Per commemorare l'evento, ci teniamo a ricordare le origini:
mastodon.uno/@informapirata/10…
«Augello non c'è?»#Frattasi #Cybersecurity #Montalbano #Catarella
The media in this post is not displayed to visitors. To view it, please go to the original post.
@DataKnightmare ovviamente la citazione è da qui
Jacket Turned Cyberpunk Wearable OLED Display
The media in this post is not displayed to visitors. To view it, please log in.
If you’ve played Cyberpunk 2077, you might have seen the rad jacket that has a screen in the collar. Once upon a time, such a thing would be solely the preserve of science fiction—you certainly wouldn’t be achieving that look with cathode ray tubes, that much is for sure. However, technology has advanced to the point where [Zibartas] was able to produce just such a jacket in real life.
The key to the build is the advent of the flexible OLED screen. [Zibartas] was able to source four such panels in a smartphone-like aspect ratio, which came in at the hefty price of $300 each. Two Raspberry Pi 4s were enlisted to drive two screens each. The older model Pi was chosen as it was capable of achieving a neat hack to better play smooth video across two displays. A rudimentary sync system was whipped up using GPIO pins to keep video from both Pis playing together. From there, it was simply a matter of figuring out how to create a structure to hold the screens within the large collar of the scratch built cyberpunk-styled jacket. As it turns out they don’t actually flex much in the final install, as they’re held in a 3D printed structure to keep them safe from damage.
The final result is quite something, very accurately recreating the jacket from the game itself. While technically a simple build, actually pulling it off required some delicate work and smart design decisions to make it practical to wear. We’ve featured some other fun jackets over the years, too.
youtube.com/embed/5UXCVEk83kE?…
The media in this post is not displayed to visitors. To view it, please go to the original post.
317 – Un’AI aggiunge gli errori alle email per farci sembrare umani camisanicalzolari.it/317-unai-…
317 - Un'AI aggiunge gli errori alle email per farci sembrare umani - Marco Camisani Calzolari
Un'AI aggiunge gli errori alle email per farci sembrare umani Abbiamo passato anni a insegnare alle macchine a scrivere bene. Adesso paghiamo un'altra macchina per peggiorare quello che hanno scritto. Si chiama Sinceerly.Marco Camisani Calzolari
reshared this
The media in this post is not displayed to visitors. To view it, please go to the original post.
Microsoft spiega come difendersi da YellowKey mentre scrive la patch per lo zero-day su BitLocker
📌 Link all'articolo : redhotcyber.com/post/microsoft…
A cura di Carolina Vivianti
#redhotcyber #news #cybersecurity #hacking #bitlocker #vulnerabilita #zeroday #microsoft
Microsoft spiega come difendersi da YellowKey mentre scrive la patch per lo zero-day su BitLocker
Scopri di più sulla vulnerabilità zero-day di BitLocker, YellowKey, e come proteggere i tuoi dati. Leggi le misure di mitigazione temporanee consigliate da MicrosoftCarolina Vivianti (Red Hot Cyber)
Cybersecurity & cyberwarfare reshared this.
The media in this post is not displayed to visitors. To view it, please go to the original post.
128 GPU in un solo rack. Alibaba vuole superare NVIDIA con la GPU Zhenwu M890
📌 Link all'articolo : redhotcyber.com/post/128-gpu-i…
A cura di Luigi Zullo
#redhotcyber #news #intelligenzaartificiale #hardware #chip #alibaba #sistemiautonomi
128 GPU in un solo rack. Alibaba vuole superare NVIDIA con la GPU Zhenwu M890
Alibaba presenta il processore Zhenwu M890, tre volte più veloce del precedente, per ridurre la dipendenza dai chip americani. Scopri di più sul nuovo hardware per intelligenza artificialeLuigi Zullo (Red Hot Cyber)
Cybersecurity & cyberwarfare reshared this.
The media in this post is not displayed to visitors. To view it, please go to the original post.
Abbandono scolastico: 8,2% in meno tra spaccio e darkweb
📌 Link all'articolo : redhotcyber.com/post/abbandono…
A cura di Roberto Villani
#redhotcyber #news #istruzione #capitaleumano #scuoleitaliane #abbandonoscolastico
Abbandono scolastico: 8,2% in meno tra spaccio e darkweb
L'abbandono scolastico in Italia è sceso al 8,2% nel 2025, ma la dispersione colpisce più i maschi e gli studenti con cittadinanza straniera. Scopri di piùRoberto Villani (Red Hot Cyber)
Cybersecurity & cyberwarfare reshared this.
Making a PCB The Old-Fashioned Way
The media in this post is not displayed to visitors. To view it, please log in.
Nearly all modern PCBs are designed with the help of EDA software, but not all of them. [ALTco] shows us the process of plotting out a board the old-fashioned way — by hand.
Back in the day, drawing out the traces on a PCB lead to beautiful, smooth lines that [ALTco] wanted to imitate. But first, he needed to figure out how the rest of the fabrication process worked. He starts by just experimenting, both with the “resist” markers and paint, and the etching compound. Things rarely work first-try, and neither did his home-made etchant. So then it was time to buy some ferric chloride, the standard copper etchant for PBCs. A few more tests sorted out which permanent marker worked best.
[ALTco] starts by thoroughly cleaning a raw copper-clad board so the marker sticks properly, then draws the circuit for a little analog fan controller. The board is then laid in a bath of the etchant for several minutes while gently rocking it to keep the reaction going. Finally the board is taken out, etchant stored for re-use, and the board washed with water and then presumably IPA to remove the remaining marker. Some assembly of the newly-printed circuit board later and you have a cute little smoke absorber for your soldering projects.
youtube.com/embed/iJwyHakxCe4?…
Get That Windows 7 Feel In An OS That Still Gets Updates
The media in this post is not displayed to visitors. To view it, please log in.
Do you want to go back to an era when Windows was… simpler? Back when things worked, before the AI and the bloat took over your hard drive and RAM space in equal measure? You might like to give Classic 7 a spin (via The Register).
From the drop, we should state that Classic 7 is not Windows 7 at all. Instead, it’s a reskin of Windows 10, specifically, the IoT Enterprise LTSC version. This is a particularly attractive version of Windows 10, as Microsoft has promised long-term support in terms of security updates until 2032. It also strips out annoying consumer-focused bloat like the Xbox gaming overlay and Cortana, and it eliminates forced feature updates that have become the norm in modern Windows installs. Combine all those niceties with the clean and simple feel of the recreated Windows 7 interface, and you have a beautiful operating system that has everything you need and nothing you don’t.
There are, of course, some hurdles to jump over; you’d need to find an appropriate license for this version of Windows and all that jazz. But if you long for the days before Microsoft so cruelly eviscerated the Start Menu and started making everything worse, you might find that Classic 7 is for you.
[Thanks to Stephen Walters for the tip!]
Perderai il lavoro nel 2027: il tuo attuale incarico è prossimo alla scadenza
«anche se mantieni il tuo posto, il tuo lavoro effettivo cambierà. E parecchio. Le responsabilità, le aspettative, gli strumenti, la portata di ciò che sei in grado di realizzare, gli standard di ciò che viene considerato "buono" e il numero di persone necessarie per svolgere il lavoro vengono riscritti ogni giorno.»
elenaverna.com/p/youll-lose-yo…
You’ll lose your job in 2027.
Assume that your current role is close to its expiration date.Elena Verna (Elena's Growth Scoop)
reshared this
articolo parte bene, ma poi diventa una pubblicità su come usare gli LLM...
Questa voce è stata modificata (1 mese fa)
informapirata ⁂ reshared this.
@hackzag
Quello che si dice un colpo al cerchio ed uno alla botte (anche detto cerchiobottismo).
Quello che si dice un colpo al cerchio ed uno alla botte (anche detto cerchiobottismo).
informapirata ⁂ reshared this.
Zeno
in reply to Infrogmation • • •@Infrogmation
Bradley
in reply to Infrogmation • • •Vee
in reply to Infrogmation • • •Leo
in reply to Infrogmation • • •reek.github.io/anti-adblock-ki…
Anti-Adblock Killer
reek.github.ioJeff Grigg
in reply to Infrogmation • • •"Turn off your ad blocker" is always a good reason for me to close the tab.
Same with "Sign up for a free account here."
Veronica Olsen 🏳️🌈
in reply to Jeff Grigg • • •Jeff Grigg
in reply to Veronica Olsen 🏳️🌈 • • •Likewise!
There is *no way* I am going to "sign up for their newsletter" when I'm *in the middle* of reading the first article. I *will not decide* if I want to read more of their content or not until I *finish* reading the current article. Making it more difficult to continue and finish reading an article makes me really want to avoid their further annoyance.
disorderlyf
in reply to Infrogmation • • •Oneironaut
in reply to Infrogmation • • •Caroline Bell
in reply to Oneironaut • • •Too bad this doesn't work on link shorteners. No download link for you. 🙁
Stoneface Vimes
in reply to Infrogmation • • •Frang
in reply to Infrogmation • • •HerrHerrmann
in reply to Frang • • •nLupo
in reply to Infrogmation • • •Jack Graham
in reply to Infrogmation • • •Chairman Steve
in reply to Jack Graham • • •It's ok. I just won't read their content. Therefore I have no moral obligatin to them. I'm fine with that.
mjc0961
in reply to Jack Graham • • •LovesTha🥧
in reply to Jack Graham • • •clouderst has beef with apache
in reply to Jack Graham • • •it's not that simple. Usually when someone puts and ad link, they don't put an *ad* link they put an adservice link. Adblockers block adservices over which anyway the creators don't have control. And they may show nasty stuff (think of google ads) good faith ads always get through adblockers because most of them are hardcoded into the website so it is permanent ad put there by the creator. It is noninvasive, compared tp google ads.
So no, by using an adblocker you don't block revenue for small creators. This and the fact that patreon kofi liberapay exist
C++ Wage Slave
in reply to Jack Graham • • •@jack
Even then, the content creator is asking me to disable my Pi-Hole for everyone and every device in the house. I'm not going to do that.
#AdBlockingIsInfosec
@Infrogmation
𝘋𝘪𝘳𝘬
in reply to Jack Graham • • •Patrick
in reply to Infrogmation • • •z3r0
in reply to Infrogmation • • •Flipper 🐬🏳️🌈
in reply to Infrogmation • • •mjc0961
in reply to Flipper 🐬🏳️🌈 • • •Critical Angle
in reply to Infrogmation • • •Sorro
in reply to Infrogmation • • •the computer the teacher has to use at university doesnt have any ad blocker extension installed
today, the history teacher wanted to show something because it would add to the explanation, and there was a huge ad that said "click here for FREE ROBUX"
internet ads feel less like ads and more like scams
Ari [APz] Sovijärvi
in reply to Infrogmation • • •kirih
in reply to Infrogmation • • •technomancy
in reply to Infrogmation • • •clonedhuman
in reply to Infrogmation • • •masyukun
in reply to Infrogmation • • •Anthropy
in reply to Infrogmation • • •SirWumpus 👾🍁
in reply to Infrogmation • • •Cincin Masuk Mangkok
in reply to Infrogmation • • •John Carlsen 🇺🇸🇳🇱🇪🇺
in reply to Infrogmation • • •matthew - retroedge.tech likes this.
DrBones
in reply to Infrogmation • • •Tonya Marie 🏳️⚧️
in reply to Infrogmation • • •Christopher Snowhill
in reply to Infrogmation • • •skedarwarrior
in reply to Infrogmation • • •Yeah, agreed. the whole reason I enable adblockers is to block trackers not the ads themselves.
Ublock origin doesn't just block ads nor do adblockers in general.
This is why i refuse and will go on another website for the same info.
jablkoziemne
in reply to Infrogmation • • •This is Hell
in reply to Infrogmation • • •Δestiny Μ
in reply to Infrogmation • • •Petr Blažíček
in reply to Infrogmation • • •Gauff 🇪🇺
in reply to Infrogmation • • •and one of the most hilarious one, making people feel like they did something wrong, is #reddit
"OMG, I've been spotted by network security!" 😂
Ｐｅｎｇｏｕｉｎ.ＢＳＤ
in reply to Infrogmation • • •Whenever I come across this, I always leave the site; the same action goes for articles where only half (or minus) the content is visible and the rest is hidden behind a paywall!
I said: Bye and not good bye…
François C
in reply to Infrogmation • • •Stomata
in reply to Infrogmation • • •World Basement Classic
in reply to Infrogmation • • •