Manca pochissimo alla presentazione ufficiale di Nothing Ear (3a), ma il nuovo auricolare true wireless dell’azienda britannica è già stato completamente svelato da un leak che ne mostra immagini ad alta risoluzione e specifiche tecniche dettagliate. Il lancio ufficiale è atteso per il 7 luglio, ma a questo punto le sorprese sembrano ridotte al minimo.

Quattro colori e case trasparente

Le immagini trapelate confermano quattro varianti cromatiche: bianco, nero, rosa e giallo, quest’ultimo particolarmente in linea con l’identità cromatica del brand. Il design riprende l’impostazione del modello precedente, Nothing Ear (a), con una custodia di ricarica dal coperchio trasparente che permette di vedere a colpo d’occhio se gli auricolari sono presenti all’interno, senza doverla aprire. Anche gli auricolari stessi mantengono alcune componenti trasparenti, in perfetto stile Nothing.

Supporto LDAC e driver da 12mm per l’audio in alta risoluzione

Sul fronte audio, la novità più interessante riguarda il supporto al codec Bluetooth ad alta risoluzione LDAC di Sony, con trasmissione fino a 32 bit/96 kHz e un bitrate massimo di 990 kbps. A questo si affianca un driver dinamico da 12 millimetri, una dimensione relativamente generosa per auricolari true wireless compatti, pensata per garantire una qualità sonora superiore rispetto alla media della categoria.

Un posizionamento intermedio nella gamma Ear

Il Nothing Ear (3a) si inserisce nella fascia intermedia della gamma dell’azienda, puntando a offrire gran parte delle funzionalità premium dei modelli di punta a un prezzo più accessibile. Con il supporto LDAC e un driver di dimensioni maggiorate, il nuovo modello sembra pensato per attrarre chi cerca una qualità audio superiore senza dover necessariamente investire sul top di gamma Ear (3).

• Quattro colori: bianco, nero, rosa e giallo
• Case di ricarica con coperchio trasparente
• Supporto al codec LDAC fino a 990 kbps
• Driver dinamico da 12mm
• Presentazione ufficiale attesa il 7 luglio

Le speranze di vedere una batteria da record sul Galaxy S27 Ultra si stanno progressivamente ridimensionando. Dopo mesi di rumor che parlavano addirittura di capacità vicine ai 6.000 o 7.000 mAh, le indiscrezioni più recenti riportano la discussione su cifre decisamente più contenute e realistiche.

In test batterie da 5.600 e 5.800 mAh

Secondo un leaker attivo su X, Samsung starebbe attualmente testando due possibili capacità per la batteria del Galaxy S27 Ultra: 5.600 mAh oppure 5.800 mAh. Si tratta di numeri comunque in crescita rispetto alle generazioni precedenti, ma ben lontani dalle cifre più estreme circolate nei mesi scorsi, che ipotizzavano un salto ben oltre i 6.000 mAh.

Ice Universe getta acqua sul fuoco

A complicare ulteriormente il quadro è intervenuto il noto leaker Ice Universe, che si è mostrato scettico anche sulle cifre più moderate circolate finora. Secondo il suo commento diretto, non esisterebbe “alcuna prova attendibile” di una batteria superiore ai 5.500 mAh per il prossimo Ultra, riportando di fatto le attese su un livello ancora più contenuto rispetto alle ultime indiscrezioni.

Un ridimensionamento delle aspettative

Il quadro che emerge conferma una tendenza già vista in passato: le prime voci più ottimistiche sulle capacità delle batterie dei futuri flagship tendono spesso a ridimensionarsi con l’avvicinarsi della fase di produzione. Se le stime più caute dovessero essere confermate, il Galaxy S27 Ultra offrirebbe comunque un incremento di autonomia rispetto al modello attuale, pur senza il balzo eclatante che una parte della community si aspettava.

• Rumor iniziali: batteria fino a 6.000-7.000 mAh
• Ultime indiscrezioni: test su capacità da 5.600 o 5.800 mAh
• Ice Universe: nessuna prova attendibile oltre i 5.500 mAh
• Presentazione della gamma Galaxy S27 attesa a inizio 2027

Come sempre in questi casi, si tratta di informazioni non ufficiali e soggette a possibili variazioni nelle prossime settimane, man mano che il dispositivo si avvicinerà alla fase finale di sviluppo.

Non arrivano buone notizie per i possessori di Xperia 1 V: dopo l’installazione dell’ultimo aggiornamento software, contrassegnato dalla build 67.2.A.3.178, un numero crescente di utenti sta segnalando problemi di connettività 5G. L’aggiornamento, basato su Android 15, era stato indicato come probabilmente l’ultimo importante per questo modello, ma il suo rilascio sta invece portando con sé nuovi grattacapi.

Distribuzione già avviata su più operatori

La build incriminata è stata distribuita in Giappone anche sulla variante per NTT Docomo, denominata Xperia 1 V SO-51D, dopo essere già arrivata in precedenza sulle versioni per SoftBank e au. Al momento la versione SIM-free del dispositivo non risulta ancora aver ricevuto l’aggiornamento, il che potrebbe limitare temporaneamente la diffusione del problema, mano a mano che il rollout prosegue su scala più ampia.

Segnalazioni anche su Xperia 1 V e Xperia 5 V

Le lamentele raccolte su Reddit descrivono uno scenario preciso: dopo l’aggiornamento, il dispositivo perde la capacità di agganciare reti 5G, restando bloccato in 4G oppure, nei casi più gravi, non riuscendo più a connettersi affatto alla rete mobile. Alcuni utenti riferiscono lo stesso comportamento anche su Xperia 5 V, suggerendo che il problema non sia isolato a un singolo modello ma legato più in generale al pacchetto software distribuito.

Cosa fare in attesa di una correzione

Sony non ha ancora rilasciato una dichiarazione ufficiale sul problema. In attesa di eventuali chiarimenti o di una patch correttiva, chi utilizza Xperia 1 V o Xperia 5 V e non ha ancora installato l’aggiornamento potrebbe valutare di posticiparne il download, mentre chi ha già riscontrato il problema può provare, come soluzione temporanea, a riavviare il dispositivo o a reimpostare le impostazioni di rete dal menu apposito.

• Aggiornamento 67.2.A.3.178, basato su Android 15
• Segnalazioni di perdita di connettività 5G dopo l’installazione
• Già distribuito su varianti SoftBank, au e ora Docomo
• Problemi riportati anche su Xperia 5 V

Un nuovo indizio suggerisce che Xiaomi si prepara a portare il Redmi Note 17 Pro anche sul mercato giapponese tramite l’operatore SoftBank. Il codice modello A601XM, riconducibile a Xiaomi, è stato individuato nel database del sito MVNO internazionale “TRAVEL SIM”, una fonte che in passato si è già rivelata attendibile per anticipare device destinati al mercato nipponico.

Il precedente A501XM era il Redmi Note 15 Pro

A rendere plausibile questa ipotesi è un precedente diretto: lo scorso anno, il codice “A501XM” destinato a SoftBank corrispondeva esattamente al Redmi Note 15 Pro. Seguendo la stessa logica di nomenclatura, molti osservatori ritengono che il nuovo “A601XM” rappresenti l’evoluzione naturale di quel modello, ovvero il prossimo Redmi Note 17 Pro pensato per il mercato giapponese.

La gamma Redmi Note 17 punterebbe su tre modelli

Al momento, le indiscrezioni indicano che la serie Redmi Note 17 sarà composta da tre modelli distinti: il Redmi Note 17 base, il Redmi Note 17 Pro di fascia intermedia e il Redmi Note 17 Pro Max come top di gamma. Il modello legato al codice A601XM corrisponderebbe proprio al Redmi Note 17 Pro, pensato per bilanciare prestazioni e prezzo, e sarebbe equipaggiato secondo i rumor con un chip Snapdragon 6 Gen 5.

Cosa aspettarsi ora

Va precisato che, al momento, non è stato confermato ufficialmente alcun nome commerciale per il dispositivo con codice A601XM: si tratta per ora di una deduzione basata su precedenti analoghi. Se le previsioni si rivelassero corrette, il lancio della versione SoftBank del Redmi Note 17 Pro potrebbe avvenire nei prossimi mesi, in linea con la tempistica di presentazione della serie a livello globale, attesa entro l’anno.

• Codice A601XM individuato nel database di un sito MVNO
• Possibile corrispondenza con il Redmi Note 17 Pro per SoftBank
• Precedente diretto: A501XM = Redmi Note 15 Pro
• Serie Redmi Note 17 attesa in tre varianti: base, Pro e Pro Max

Il nuovo flagship di Sony, Xperia 1 VIII, sta facendo parlare di sé non solo per le specifiche tecniche ma anche per un problema di disponibilità che riguarda la sua variante di punta. Diverse segnalazioni raccolte dalla community internazionale, in particolare su Reddit, indicano che il modello da 1TB di memoria interna rischia di diventare una vera e propria rarità, con scorte che si esauriscono rapidamente e senza garanzie di reintegro.

Preordini esauriti e nessun riassortimento a Singapore

Secondo quanto riportato, lo store ufficiale Sony di Singapore avrebbe esaurito il modello da 1TB già in fase di preordine, senza alcuna indicazione su un possibile ripristino delle scorte. Diversi utenti ritengono che Sony, a livello locale, abbia scelto di non produrre ulteriori unità del taglio di memoria più capiente, lasciando la variante come una sorta di edizione limitata di fatto.

In Europa la colorazione oro sparisce in un giorno

Anche il mercato europeo racconta una storia simile: la variante da 1TB in colorazione oro sarebbe andata esaurita pochi giorni dopo l’apertura dei preordini, per poi tornare disponibile una sola volta e sparire nuovamente nel giro di 24 ore. In quel momento la consegna era indicata per ottobre, ma il prodotto ha rapidamente assunto lo status di “esaurito” o “edizione limitata” nella percezione degli acquirenti.

Disponibilità a macchia di leopardo tra i mercati asiatici

I commenti raccolti su Reddit segnalano differenze significative anche tra Malesia, Taiwan e Hong Kong, dove le configurazioni disponibili e i tempi di lancio non sempre coincidono, pur trattandosi sostanzialmente dello stesso hardware. Un utente ha fatto notare che questi modelli regionali sono “praticamente identici”, ma con tempistiche di rilascio degli aggiornamenti software e di commercializzazione differenti da un paese all’altro.

• Modello da 1TB dell’Xperia 1 VIII segnalato come introvabile in più regioni
• Store Sony Singapore: preordini esauriti, nessun riassortimento previsto
• Variante oro europea esaurita due volte in pochi giorni
• Disponibilità disomogenea tra i mercati asiatici

Sony non ha ancora commentato ufficialmente la situazione. Chi è interessato al modello da 1TB dell’Xperia 1 VIII farebbe bene a monitorare con attenzione gli store ufficiali, considerando le scorte estremamente limitate segnalate finora in diversi paesi.

POCO amplia la gamma cromatica del suo smartphone di punta di fascia media: è stata annunciata una nuova colorazione gialla per il POCO X8 Pro, lanciata in concomitanza con le promozioni legate al Prime Day di Amazon. Il nuovo colore arriva accompagnato da uno sconto del 17% circa rispetto al prezzo di listino.

Un giallo acceso per distinguersi

La nuova variante cromatica punta su una tonalità di giallo brillante, pensata per differenziarsi nettamente dalle colorazioni più sobrie già disponibili sul mercato. Il design del pannello posteriore rimane fedele allo stile riconoscibile della linea POCO, con un’estetica che l’azienda stessa ha definito scherzosamente “pienamente POCO” nella comunicazione ufficiale condivisa sui social.

Sconto del 17% per il lancio

Il debutto della nuova colorazione coincide con una finestra promozionale legata al Prime Day, durante la quale il prezzo scende da circa 60.000 a circa 50.000 yen, un ribasso di circa il 17%. Si tratta di una mossa comune per i produttori che lanciano nuove varianti estetiche di modelli già presenti sul mercato: abbinare l’uscita a un evento di vendite aiuta a generare visibilità immediata attorno al prodotto.

Più scelta per chi punta al POCO X8 Pro

Con l’arrivo del giallo, il POCO X8 Pro amplia ulteriormente le opzioni disponibili per chi è alla ricerca di uno smartphone di fascia media con un design più personale rispetto alla concorrenza. Il modello resta comunque lo stesso a livello hardware: cambia solo l’estetica, un aspetto su cui POCO ha sempre puntato molto per differenziarsi da Xiaomi e Redmi, gli altri due marchi del gruppo.

• Nuova colorazione gialla per il POCO X8 Pro
• Sconto del 17% circa legato alle promozioni Prime Day
• Design posteriore distintivo, in linea con l’identità del brand
• Specifiche tecniche invariate rispetto alle altre varianti cromatiche

Non è ancora chiaro se e quando la nuova colorazione gialla arriverà anche sui mercati europei, ma la mossa conferma comunque l’attenzione di POCO verso strategie di lancio scaglionate per tenere alta l’attenzione sui propri modelli anche mesi dopo il debutto originale.

Sono partite su Amazon le offerte anticipate legate al Prime Day, e tra i protagonisti di questa tornata di sconti c’è Nothing, il marchio britannico noto per il design distintivo e semi-trasparente dei suoi prodotti. Tutta la gamma di auricolari true wireless Ear è protagonista di ribassi importanti, con sconti che in un caso arrivano fino al 38% rispetto al prezzo di listino.

Tre modelli in offerta, dal top di gamma all’entry level

Le promozioni riguardano tre modelli della gamma Nothing Ear, pensati per fasce di prezzo e utenza diverse. Il più recente Nothing Ear (3), top di gamma dell’azienda con cancellazione attiva del rumore da 45 dB, supporto Bluetooth 5.4 e audio ad alta risoluzione, riceve uno sconto del 23%. Il modello Nothing Ear standard, che punta tutto sulla qualità audio con oltre 40 ore di autonomia complessiva, scende fino al 38% rispetto al prezzo precedente. Chiude il terzetto il più economico Nothing Ear (a), apprezzato per le colorazioni vivaci e il buon rapporto qualità-prezzo, in sconto del 31%.

Un’anteprima del Prime Day

Le offerte, lanciate in via anticipata rispetto al Prime Day vero e proprio, rientrano nella consueta strategia di Amazon di distribuire promozioni nei giorni precedenti all’evento principale per invogliare gli utenti a monitorare i prezzi in anticipo. Per chi segue da tempo il mercato degli auricolari true wireless, si tratta di alcuni dei ribassi più consistenti mai visti sulla gamma Ear, complice probabilmente anche l’avvicinarsi del lancio del nuovo Nothing Ear (3a), atteso a breve.

Cosa considerare prima dell’acquisto

Chi è indeciso su quale modello scegliere dovrebbe valutare l’uso che intende farne: il Nothing Ear (3) resta la scelta più completa per chi cerca la miglior qualità audio e la cancellazione del rumore più efficace, mentre il Nothing Ear (a) rimane l’opzione più accessibile per chi vuole comunque un prodotto dal design riconoscibile senza spendere cifre elevate. Come sempre in questi casi, si consiglia di verificare la disponibilità e i prezzi aggiornati direttamente sulle pagine prodotto, poiché le offerte a tempo possono variare rapidamente o esaurirsi in fretta.

In vista del Galaxy Unpacked del 22 luglio, Samsung si è tradita da sola: un aggiornamento dell’app ufficiale Galaxy Wearable ha rivelato in anticipo il nome di uno dei prodotti che verranno presentati durante l’evento. Si tratta di Galaxy Able, il primo auricolare open-ear a clip del marchio, che segna anche un cambio di strategia sul fronte del naming.

Niente Galaxy Buds: nasce un marchio a parte

Fino a poco tempo fa circolava l’ipotesi che il nuovo prodotto si sarebbe chiamato “Galaxy Buds Able”, in continuità con la gamma esistente. I riferimenti trovati nell’app rivelano invece che Samsung ha scelto il nome “Galaxy Able” senza il prefisso Buds, segnale che l’azienda intende trattarlo come una linea a sé stante rispetto agli auricolari in-ear tradizionali.

Un design a clip, non in-ear

A differenza dei Galaxy Buds classici, pensati per essere inseriti nel condotto uditivo, Galaxy Able adotterebbe una forma a clip da agganciare esternamente all’orecchio. Si tratta di un formato open-ear sempre più diffuso nel settore, apprezzato da chi vuole ascoltare musica o rispondere a chiamate senza isolarsi completamente dall’ambiente circostante, ad esempio durante lo sport o gli spostamenti in città.

Confermati anche Galaxy Watch 9 e Watch Ultra 2

Lo stesso aggiornamento dell’app Galaxy Wearable ha confermato, sempre in anteprima, i nomi di Galaxy Watch 9 e Galaxy Watch Ultra 2, i prossimi smartwatch di Samsung. Tutto lascia quindi presagire un Unpacked ricco di novità per l’ecosistema wearable dell’azienda coreana, con almeno tre nuovi prodotti attesi sul palco tra dieci giorni.

• Galaxy Able: primo auricolare open-ear a clip di Samsung
• Nome confermato da un refuso nell’app Galaxy Wearable
• Galaxy Watch 9 e Galaxy Watch Ultra 2 anch’essi confermati
• Presentazione ufficiale attesa il 22 luglio al Galaxy Unpacked

Samsung non ha ancora rilasciato commenti ufficiali sull’accaduto, ma con l’evento ormai vicino è probabile che l’azienda scelga di non modificare più i dettagli trapelati. Non resta che attendere il 22 luglio per scoprire specifiche tecniche, prezzo e disponibilità di Galaxy Able.

Nuovi rumor sulla gamma Galaxy S27 confermano una svolta importante nella strategia dei chip di Samsung: il produttore coreano punta a espandere in modo massiccio l’uso dei propri processori Exynos, a partire dal nuovo modello “Pro” che dovrebbe affiancare la line-up del prossimo anno. Secondo le ultime indiscrezioni, il misterioso Galaxy S27 Pro monterebbe il non ancora annunciato Exynos 2700, e lo stesso chip finirebbe anche sotto la scocca dei modelli standard e Plus in gran parte del mondo.

Exynos quasi ovunque, Snapdragon solo per il Nord America

Secondo fonti sudcoreane, Samsung starebbe accelerando il piano per aumentare la quota di dispositivi equipaggiati con chip proprietari. Il debutto dell’Exynos 2700 sul Galaxy S27 Pro rappresenterebbe il primo passo di questa strategia, ma il chip non si fermerebbe qui: sarebbe destinato anche ai modelli Galaxy S27 e Galaxy S27+ venduti in Asia (Corea del Sud, India), Europa, Regno Unito, Australia, Africa e America Latina. Le varianti con Snapdragon, al contrario, verrebbero riservate quasi esclusivamente al mercato di Stati Uniti, Canada e Messico.

Anche il Giappone potrebbe perdere Snapdragon (tranne su Ultra)

Un dettaglio che sta facendo discutere riguarda il mercato giapponese, storicamente attento alle specifiche premium: secondo le stesse fonti, anche i modelli venduti in Giappone monterebbero Exynos su tutta la gamma, con l’unica eccezione del Galaxy S27 Ultra, che continuerebbe a utilizzare Snapdragon per garantire le massime prestazioni sul modello di punta. Se confermato, si tratterebbe di un cambio di rotta significativo rispetto alle generazioni precedenti, dove i chip Qualcomm erano la scelta prevalente in molti mercati asiatici.

Cosa significa per gli utenti Android

La scelta di Samsung non è priva di conseguenze pratiche. In passato le versioni Exynos dei Galaxy S sono state spesso oggetto di critiche per prestazioni ed efficienza energetica inferiori rispetto alle controparti Snapdragon vendute negli Stati Uniti. Un’espansione così ampia dell’Exynos 2700 solleva quindi interrogativi sulla reale competitività del chip, ma suggerisce anche che Samsung abbia lavorato duramente per colmare il divario con Qualcomm.

• Galaxy S27 Pro: nuovo modello, debutterebbe con Exynos 2700
• Galaxy S27 e S27+: Exynos in Asia, Europa, UK, Australia, Africa e Sud America
• Snapdragon: riservato a USA, Canada e Messico
• Galaxy S27 Ultra: unico modello a mantenere Snapdragon anche in Giappone

Per ora si tratta di indiscrezioni non confermate ufficialmente da Samsung, ma la fonte coreana ha un buon track record su temi legati ai chipset Exynos. Ulteriori dettagli sono attesi nei prossimi mesi, man mano che ci si avvicina alla presentazione della gamma Galaxy S27, prevista come da tradizione a inizio 2027.

Samsung potrebbe estendere a tutta la famiglia Galaxy S27 una funzione finora riservata al solo modello Ultra: la Privacy Display, la tecnologia che protegge lo schermo dagli sguardi indiscreti. Secondo indiscrezioni provenienti dalla Corea del Sud, la nuova generazione della flagship coreana adotterebbe questa soluzione su Galaxy S27, S27 Pro e S27 Ultra, rendendola un tratto distintivo dell’intera serie.

Da esclusiva Ultra a caratteristica di serie

L’indiscrezione arriva dal sito coreano TheElec, fonte spesso affidabile su ciò che bolle in pentola nella filiera dei display. Con la generazione Galaxy S26, la Privacy Display era stata riservata esclusivamente al modello Ultra, lasciando S26 e S26 Pro privi di questa protezione. Le informazioni raccolte finora indicano che Samsung intenda cambiare strategia con la prossima serie, portando la funzione su tutti e tre i modelli.

• Galaxy S27
• Galaxy S27 Pro
• Galaxy S27 Ultra

Se confermata, si tratterebbe di una delle novità più rilevanti dell’intera gamma, capace di differenziare i futuri top di gamma Samsung dalla concorrenza Android.

Come funziona la protezione dagli sguardi laterali

La Privacy Display è una funzione integrata direttamente nel pannello dello smartphone, attivabile e disattivabile a seconda delle esigenze. Una volta accesa, riduce drasticamente l’angolo di visione dello schermo: chi guarda il telefono frontalmente continua a vedere il contenuto in modo perfettamente nitido, mentre chi prova a sbirciare da un lato vede lo schermo scurirsi fino a rendere illeggibile ciò che viene mostrato.

Si tratta di una soluzione particolarmente utile in contesti affollati come treni, metropolitane, uffici open space o bar, dove digitare password, leggere messaggi privati o consultare l’home banking espone spesso a occhi indiscreti.

Una seconda generazione più matura

La prima versione della tecnologia, debuttata su Galaxy S26 Ultra, non era priva di compromessi: attivando la modalità privacy si registrava un calo della luminosità massima del pannello e una resa cromatica leggermente meno accurata. Per la versione che dovrebbe equipaggiare i Galaxy S27, i fornitori starebbero lavorando proprio su questi due fronti, con l’obiettivo di limitare al minimo le perdite in termini di luminosità e fedeltà dei colori quando la funzione è attiva.

Al momento si tratta di indiscrezioni non confermate ufficialmente da Samsung, e i dettagli tecnici definitivi potrebbero cambiare in fase di sviluppo. La linea Galaxy S27 è attesa al debutto nei primi mesi del 2027, e nelle prossime settimane sono probabili ulteriori conferme su questa e altre novità della gamma.

GNOME Papers arriva anche su Windows grazie a un porting nativo che mantiene le funzionalità del visualizzatore di documenti GNOME
L'articolo GNOME Papers arriva su Windows con un porting nativo proviene da Linux Easy.
E' vietato riprodurre questo articolo senza autorizzazione.
Questo feed RSS è destinato ai lettori, non agli scraper o aggregatori.
Linux Easy viene rilasciato con Licenza CC BY-N...

🔗 Leggi il post completo

GPaint è un semplice programma di disegno per Linux con GTK4 e Libadwaita, ideale per creare e modificare immagini con un'interfaccia moderna.
L'articolo GPaint il programma di disegno GTK4 che porta uno stile moderno su Linux proviene da Linux Easy.
E' vietato riprodurre questo articolo senza autorizzazione.
Questo feed RSS è destinato ai lettori, non agli scraper o aggregatori.
Linux Easy vien...

🔗 Leggi il post completo

Niente di drammatico, ma per la prossima release transitoria di Ubuntu, ossia Stonking Stingray, il comando cp rimarrà quello scritto in C, poiché la versione Rust è al momento incompatibile con altre componenti del sistema.
Tutto normale, ma meno banale di quanto si possa pensare.

🔗 Leggi il post completo

Si parla di:
Toggle

Sei pacchetti npm, un nome quasi identico a un progetto scaricato oltre un milione di volte al mese, e in fondo alla catena un impianto capace di aprire sessioni SSH, leggere la clipboard e rovistare tra i wallet crypto della vittima. È l’ultima campagna di supply chain attribuita a gruppi legati alla Corea del Nord, documentata da JFrog Security Research il 30 giugno e ancora attiva nei repository pubblici a inizio luglio. Non è un incidente isolato: è l’ennesima iterazione di una macchina offensiva, quella riconducibile all’ecosistema Lazarus/Contagious Interview, che negli ultimi anni ha trasformato l’npm registry in un vettore di spionaggio e furto di criptovalute su scala industriale.

Un travestimento quasi perfetto

I ricercatori di JFrog hanno individuato due pacchetti “entry point”, rollup-packages-polyfill-core e rollup-runtime-polyfill-core, costruiti per somigliare in tutto e per tutto al legittimo rollup-plugin-polyfill-node: stesso tipo di README (“A modern Node.js polyfill for your Rollup bundle”), stesso link a repository e homepage puntati al progetto originale su GitHub, persino porzioni di codice del plugin reale copiate all’interno del pacchetto malevolo prima della logica dannosa. Il progetto legittimo conta circa 295.000 download settimanali e oltre 1,2 milioni nell’ultimo mese: un bersaglio ideale per un attacco che punta sulla somiglianza superficiale, non sul typosquatting grossolano.

Il dettaglio tecnico più rilevante è che solo l’entry point CommonJS (dist/index.js) contiene la backdoor: le versioni ESM restano pulite, un accorgimento che complica le analisi automatiche basate su un singolo file di ingresso.

La catena d’infezione, passo dopo passo

All’importazione del pacchetto, una funzione dal nome innocuo (ValidateSvgModule) decodifica una stringa base64 che nasconde il comando npm install swift-parse-stream --no-save --silent --no-audit --no-fund, eseguito in silenzio tramite child_process.spawn. Il secondo pacchetto, quirky-token, viene installato allo stesso modo dal gemello rollup-runtime-polyfill-core.

Questi pacchetti di secondo stadio si presentano come utility di sanitizzazione SVG, e in gran parte lo sono davvero: rimuovono tag <script>, minificano il markup. Ma in coda al file, una funzione getPlugin() effettua una richiesta verso un endpoint su jsonkeeper.com, estrae un campo JSON chiamato model e lo passa direttamente a eval(). Il codice malevolo, quindi, non risiede mai nei file pubblicati sul registry: vive su un servizio di hosting JSON esterno, invisibile a qualunque analisi statica del pacchetto.

Il payload recuperato da JSONKeeper effettua per primo un controllo ambientale, uscendo silenziosamente se rileva variabili tipiche di Codespaces, CodeSandbox, Vercel, AWS Lambda, Google Cloud, Azure Functions, Docker, Render o sandbox di analisi — un chiaro tentativo di colpire solo workstation di sviluppatori reali ed evitare l’esposizione in ambienti di test automatizzati. Superato il controllo, installa axios e socket.io-client e scarica da un IP grezzo (216.126.236.244) un blob cifrato in AES-256-CBC (chiave derivata via scryptSync), lo decifra, lo scrive in una directory temporanea come file pack e lo esegue con node pack.

Controllo remoto, furto wallet e sorveglianza della clipboard

Il modulo pack altro non è che un loader per almeno quattro componenti distinti, ricostruiti da JFrog in ambiente sandbox: scdata.js, un modulo di accesso remoto che installa ssh2, node-pty e librerie di cattura schermo/input, offrendo all’operatore sessioni terminali interattive (PowerShell su Windows, zsh altrove), sessioni SSH, screenshot, movimento del mouse e digitazione simulata tramite @nut-tree-fork/nut-js; ldata.js, dedicato al furto di dati da browser e wallet crypto, che tenta l’esfiltrazione di file come Login Data, Web Data e lo storage delle estensioni di wallet noti (incluso MetaMask, identificato tramite i suoi ID di estensione); un file collector che scandaglia il filesystem alla ricerca di chiavi SSH, file .env, cronologia di editor come VS Code, Cursor e Windsurf, e directory di configurazione di strumenti AI (.claude, .gemini, .cursor); infine un modulo di monitoraggio della clipboard, che invia ogni nuovo contenuto copiato — password, seed phrase, token — a un endpoint dedicato.

La combinazione di queste capacità va ben oltre il semplice furto di credenziali una tantum: garantisce all’attaccante un accesso interattivo e persistente alla macchina compromessa, tipico degli impianti usati da attori state-sponsored per operazioni di raccolta informativa prolungata, non solo per il cash-out rapido tipico del cybercrime finanziario puro.

Il contesto: non è la prima volta

Questa campagna si inserisce in un pattern già documentato. Ad aprile 2026 la società Panther aveva descritto una campagna sostenuta con 108 pacchetti npm malevoli distribuiti in 261 versioni, veicolo dei malware BeaverTail e OtterCookie, entrambi associati al cluster Contagious Interview — l’insieme di operazioni nordcoreane che si finge selezione del personale per convincere sviluppatori a clonare repository infetti come parte di un finto colloquio tecnico. Nello stesso periodo, Google aveva collegato attori nordcoreani anche a un dirottamento di un progetto open source molto diffuso, portato a termine dopo settimane di lavoro di ingegneria sociale ai danni del maintainer. Il filo conduttore è sempre lo stesso: colpire la fiducia implicita che sviluppatori e pipeline CI/CD ripongono nelle dipendenze open source.

Due righe per i difensori

Per i team di sicurezza e gli sviluppatori, la lezione operativa è chiara: la somiglianza del nome non è un indicatore affidabile di legittimità, e i controlli automatici basati su pattern di typosquotting classico (distanza di edit, caratteri sostituiti) non intercettano questo tipo di masquerading semantico. Chi ha installato uno dei pacchetti elencati dovrebbe considerare la macchina compromessa, ruotare tutte le credenziali (npm, GitHub, cloud, SSH, wallet) e verificare la presenza di processi o file residui nelle directory temporanee. Vale la pena ricordare che gran parte della logica dannosa non è mai stata pubblicata sul registry npm: bloccare gli indicatori di rete elencati sotto è quindi essenziale quanto rimuovere i pacchetti stessi.

Indicatori di compromissione

Pacchetti npm malevoli:
rollup-packages-polyfill-core
rollup-runtime-polyfill-core
swift-parse-stream
quirky-token
react-icon-svgs
rollup-plugin-polyfill-connect
Indicatori di rete:
hxxps[:]//www[.]jsonkeeper[.]com/b/3P9BF
hxxp[:]//216[.]126[.]236[.]244/api/service/98cb54c0b4ac259d30c9c1ca1ae87c68
hxxp[:]//216[.]126[.]236[.]244/api/service/makelog
hxxp[:]//216[.]126[.]236[.]244/api/service/process/
hxxp[:]//216[.]126[.]236[.]244:4801
hxxp[:]//216[.]126[.]236[.]244:4806/upload
hxxp[:]//216[.]126[.]236[.]244:4809/upload
hxxp[:]//216[.]126[.]236[.]244:4809/cldbs
Indicatori host:
/pack
/scdata
/ldata
vhost.ctl
Comandi/comportamenti sospetti:
npm install swift-parse-stream --no-save --silent --no-audit --no-fund
npm install quirky-token --no-save --silent --no-audit --no-fund
node pack
node scdata
node ldata

Gli editor Markdown su Linux oscillano spesso tra soluzioni elettroniche basate su Electron e strumenti da terminale privi di interfaccia grafica. MarkPad occupa uno spazio intermedio: un’applicazione GTK 3 scritta in C puro che offre visualizzazione e modifica di documenti Markdown senza ricorrere a webview o stack tecnologici pesanti. Architettura e interfaccia Il progetto deriva […]...

🔗 Leggi il post completo

Waywallen è un gestore di sfondi dinamici per Linux con supporto a immagini, video, plugin e configurazione indipendente per ogni monitor.
L'articolo Waywallen il gestore di sfondi dinamici per Linux proviene da Linux Easy.
E' vietato riprodurre questo articolo senza autorizzazione.
Questo feed RSS è destinato ai lettori, non agli scraper o aggregatori.
Linux Easy viene rilasciato con Licenza CC...

🔗 Leggi il post completo

The Lounge è un client IRC moderno per il self-hosting con notifiche push, sincronizzazione tra dispositivi e connessione sempre attiva
L'articolo The Lounge il client web IRC moderno per il self-hosting proviene da Linux Easy.
E' vietato riprodurre questo articolo senza autorizzazione.
Questo feed RSS è destinato ai lettori, non agli scraper o aggregatori.
Linux Easy viene rilasciato con Licenz...

🔗 Leggi il post completo

Degoog, l'aggregatore di motori di ricerca open source che unisce risultati da più fonti con plugin, personalizzazione e supporto Docker
L'articolo Degoog l’aggregatore self-hosted che unisce i risultati di più motori di ricerca proviene da Linux Easy.
E' vietato riprodurre questo articolo senza autorizzazione.
Questo feed RSS è destinato ai lettori, non agli scraper o aggregatori.
Linux...

🔗 Leggi il post completo

GitHub e altri colossi tech si oppongono alla legge californiana sulla trasparenza dell'IA (SB 1000) sostenendo - ipocritamente, secondo la Software Freedom Conservancy - che danneggerebbe le licenze FOSS.
E il discorso ritorna a quanto sono liberi i modelli che usiamo quotidianamente e quanto, volutamente, vogliamo ignorare questo aspetto a favore della comodità.

🔗 Leggi il post completo

Ubuntu 25.10 raggiunge la fine del supporto il 9 luglio 2026. Scopri cosa cambia, quali rischi comporta e perché conviene passare a Ubuntu 26.04 LTS.
L'articolo Ubuntu 25.10 termina il supporto: è il momento di aggiornare a Ubuntu 26.04 LTS proviene da Linux Easy.
E' vietato riprodurre questo articolo senza autorizzazione.
Questo feed RSS è destinato ai lettori, non agli scraper o aggregatori.
...

🔗 Leggi il post completo

Hannah Montana Linux è una distribuzione GNU/Linux tematica che, dopo quasi vent’anni dalla sua prima apparizione, ritorna in una versione moderna e completamente aggiornata. Nata originariamente come una curiosità basata su Kubuntu, questa distribuzione...

🔗 Leggi il post completo

Il prossimo smartphone di fascia media di Sony, l’Xperia 10 VIII, potrebbe essere più vicino al debutto di quanto si pensasse. Sul sito della catena giapponese di elettronica Edion è infatti comparsa una categoria dedicata alle cover per “Xperia 10 VIII”, nonostante il dispositivo non sia ancora stato presentato ufficialmente da Sony.

Una pagina prodotto per un modello ancora inesistente

La scoperta riguarda la sezione dedicata alle cover Xperia sul sito ufficiale di Edion, uno dei principali rivenditori di elettronica in Giappone. Tra le voci relative ai modelli attualmente in commercio, come Xperia 1 VIII e Xperia 10 VII, è comparsa una nuova categoria denominata semplicemente “Cover Xperia 10 VIII”.

Aprendo la pagina, però, non si trova ancora alcun prodotto in vendita: la sezione risulta vuota, con solo l’impalcatura della categoria già predisposta in attesa dei relativi accessori.

Un indizio sui tempi di lancio

Anche se non si tratta di una conferma ufficiale, la comparsa di una categoria dedicata a un modello non ancora annunciato è un segnale che i preparativi per il lancio starebbero procedendo. I rivenditori, infatti, tendono a predisporre le pagine dei prodotti con un certo anticipo rispetto alla loro effettiva disponibilità, in previsione dell’arrivo di accessori e cover ufficiali.

Cosa sappiamo finora sulla nuova Xperia di fascia media

Sony non ha ancora fornito alcuna informazione ufficiale su specifiche, design o data di presentazione dell’Xperia 10 VIII. Il modello dovrebbe però proseguire la linea della serie 10, storicamente pensata come alternativa più accessibile rispetto ai top di gamma Xperia 1, mantenendo comunque caratteristiche di qualità tipiche del brand giapponese.

Nei prossimi mesi si attendono ulteriori indizi che potrebbero confermare tempistiche e caratteristiche del dispositivo. Per ora, l’unico dato certo è che i preparativi commerciali sembrano essere già in fase avanzata, almeno sul fronte degli accessori.

Samsung potrebbe estendere a tutta la futura serie Galaxy S27 una delle funzioni più apprezzate finora riservata al solo modello Ultra: il Privacy Display, il sistema che riduce l’angolo di visione dello schermo per proteggere i contenuti da occhi indiscreti. Secondo un report del media coreano TheElec, la nuova generazione della tecnologia sarebbe pronta per debuttare su Galaxy S27, Galaxy S27 Pro e Galaxy S27 Ultra.

Da funzione esclusiva a caratteristica di serie

Sulla generazione precedente, il Privacy Display era stato riservato esclusivamente a Galaxy S26 Ultra, il modello di punta della gamma. Se le indiscrezioni si confermeranno, con Galaxy S27 la situazione cambierebbe radicalmente: la funzione diventerebbe una caratteristica comune a tutta la famiglia, incluso il modello base e la variante Pro, rendendo l’intera gamma più uniforme sul fronte della privacy visiva.

Come funziona la protezione dagli sguardi laterali

Il Privacy Display è una soluzione integrata direttamente nel pannello dello smartphone. Quando viene attivato, riduce l’angolo di visione dello schermo: chi guarda il telefono frontalmente continua a vedere il contenuto normalmente, mentre chi tenta di sbirciare da un lato vede lo schermo scurirsi, rendendo illeggibili le informazioni visualizzate. È una funzione particolarmente utile in contesti pubblici come treni, metropolitane o bar, dove la privacy dello schermo può essere facilmente violata da sguardi curiosi.

I limiti della prima generazione e le migliorie in arrivo

La prima versione della tecnologia non era priva di difetti: attivare la modalità privacy comportava una riduzione della luminosità massima del display e una perdita di fedeltà nella resa cromatica. Con la seconda generazione, attesa sui Galaxy S27, Samsung punterebbe a correggere proprio questi limiti, offrendo un’esperienza che riduca al minimo l’impatto su luminosità e colori mentre la protezione è attiva.

Cosa aspettarsi in vista della presentazione

Va sottolineato che, al momento, si tratta di informazioni provenienti da fonti di settore e non di dettagli confermati ufficialmente da Samsung. La serie Galaxy S27 sarebbe comunque protagonista di diversi aggiornamenti oltre al display, incluse voci su una nuova fotocamera frontale. Non resta che attendere ulteriori indiscrezioni nei prossimi mesi, in vista di una presentazione ufficiale che si preannuncia ricca di novità per gli appassionati Samsung.

Xiaomi Japan ha annunciato l’arrivo dello “Xiaomi Hyper Prime Day”, una promozione a tempo limitato che dal 7 al 13 luglio proporrà sconti importanti su smartphone e tablet del brand cinese. L’iniziativa sarà attiva sullo store ufficiale Xiaomi e sugli store partner, con riduzioni di prezzo fino al 30% sugli smartphone e al 21% sui tablet.

REDMI 15 5G, lo sconto più aggressivo tra gli smartphone

Il protagonista assoluto della promozione è il REDMI 15 5G, modello entry-level che passa dal prezzo di listino a un taglio del 30%, il più consistente tra tutti i dispositivi in offerta. Sconti significativi interessano anche la fascia media, con REDMI Note 15 Pro 5G scontato del 23% e POCO X8 Pro al 17% di sconto. Anche il modello Xiaomi 17T beneficia di una riduzione del 14%, mentre il top di gamma Xiaomi 17T Pro, dotato di sistema fotografico sviluppato con Leica, si ferma a uno sconto più contenuto del 5%, offrendo comunque l’occasione di acquistare un flagship recente a un prezzo inferiore al lancio.

Anche i tablet in promozione

Sul fronte tablet, il modello più conveniente è il REDMI Pad 2 9.7, che grazie a uno sconto del 21% scende sotto la soglia psicologica di 20.000 yen. Seguono REDMI Pad 2 Pro con il 18% di sconto, Xiaomi Pad Mini al 14% e Xiaomi Pad 8 Pro con una riduzione dell’11%, offrendo una gamma di opzioni per ogni fascia di prezzo.

• REDMI 15 5G: sconto del 30%
• REDMI Note 15 Pro 5G: sconto del 23%
• POCO X8 Pro: sconto del 17%
• Xiaomi 17T: sconto del 14%
• Xiaomi 17T Pro: sconto del 5%
• REDMI Pad 2 9.7: sconto del 21%
• REDMI Pad 2 Pro: sconto del 18%
• Xiaomi Pad Mini: sconto del 14%
• Xiaomi Pad 8 Pro: sconto dell’11%

Il momento giusto per chi vuole cambiare telefono

La promozione appare particolarmente vantaggiosa per chi cerca un dispositivo entry-level o di fascia media a un prezzo ridotto, ma anche gli utenti interessati ai modelli più recenti della gamma Xiaomi possono approfittare di sconti minori su prodotti lanciati da poco sul mercato. L’iniziativa partirà il 7 luglio e resterà attiva fino al 13 luglio, con alcune anticipazioni di vendita già disponibili sugli store partner.

La corsa all’intelligenza artificiale sta mettendo sotto pressione il mercato della memoria a livello globale, con conseguenze che rischiano di ripercuotersi pesantemente sugli smartphone economici. Secondo fonti del settore, entro il 2027 gli smartphone di fascia bassa potrebbero ridursi drasticamente o addirittura scomparire dal mercato, vittime della crescente scarsità di DRAM assorbita in gran parte dai data center dedicati all’IA.

L’IA assorbirà oltre il 60% della domanda di DRAM

Le stime di settore indicano che, entro la fine del 2026, la domanda di DRAM per il calcolo IA supererà già la metà dell’offerta complessiva, per poi superare il 60% nel 2027. La rapida espansione dei data center dedicati all’intelligenza artificiale continua ad alimentare una domanda crescente di memoria ad alte prestazioni, lasciando sempre meno margine per i prodotti di consumo come smartphone e PC, con i produttori costretti a una vera e propria corsa all’accaparramento delle scorte disponibili.

Anche i grandi produttori di smartphone, incluso Apple, starebbero dando priorità alla sicurezza dell’approvvigionamento piuttosto che alla trattativa sui prezzi, pur di garantirsi le quantità di memoria necessarie.

Prezzi della DRAM in forte aumento dal 2022

Dal 2022 a oggi, alcune stime parlano di un aumento dei prezzi della DRAM fino al 700%. Il mercato mondiale è attualmente concentrato per circa il 90% nelle mani di tre soli produttori, Samsung, SK hynix e Micron, mentre le aziende cinesi come CXMT e YMTC stanno ampliando la propria capacità produttiva senza però riuscire, per ora, a risolvere la carenza globale, anche a causa delle difficoltà geopolitiche che ne limitano l’adozione al di fuori della Cina.

Verso la fine degli smartphone da 1500 yuan

Il settore stima che entro il 2027 gli smartphone economici, con un prezzo indicativo di circa 1500 yuan (intorno ai 33.000 yen), diventeranno difficilmente sostenibili dal punto di vista economico. I componenti legati a memoria e storage potrebbero arrivare a rappresentare fino al 60% del costo di produzione in questa fascia di prezzo, rendendo di fatto antieconomico continuare a produrre questi modelli, che potrebbero quindi sparire dal mercato o subire forti rincari.

Secondo le previsioni della società di ricerca IDC, questo scenario potrebbe contribuire a un calo delle spedizioni globali di smartphone fino ai livelli più bassi dal 2013, con un impatto negativo anche sul mercato PC.

Una “nuova normalità” per i prezzi della memoria

Gli smartphone moderni richiedono quantità di RAM sempre maggiori per gestire le funzioni IA più avanzate, con i modelli di punta che si avvicinano ormai stabilmente a 12 o 16 GB di memoria. Con la domanda lato server destinata a crescere ulteriormente, diversi analisti considerano gli attuali livelli di prezzo della memoria come una “nuova normalità” difficile da invertire nel breve periodo. Se questa tendenza dovesse confermarsi, il 2027 potrebbe segnare un punto di svolta per l’intero mercato smartphone, con rincari che coinvolgerebbero anche i modelli di fascia media, storicamente più accessibili.

Un tablet Motorola ancora inedito è comparso nei database di certificazione di UL Solutions e Bluetooth SIG, fornendo alcuni indizi importanti sulle sue caratteristiche tecniche. Dai documenti emerge il supporto alla ricarica rapida da 45W e una probabile commercializzazione anche sul mercato giapponese, oltre che in numerosi altri paesi.

Ricarica rapida a 45W e diffusione globale

I modelli coinvolti nella certificazione portano le sigle “XT2673-1” e “XT2673-2”. Secondo la documentazione di UL Solutions, il dispositivo supporterà una ricarica rapida fino a 45W (10V/4,5A). Tra le aree geografiche indicate per la commercializzazione figurano Giappone, Australia, Canada, Cina, diversi paesi europei, Nuova Zelanda, Arabia Saudita e Stati Uniti, a conferma di un lancio pensato per un pubblico internazionale. Lo stesso numero di modello risulta registrato anche presso il Bluetooth SIG, sebbene le specifiche dettagliate non siano ancora state rese note.

Il nome in codice fa pensare al “Moto Pad 70”

Pur non comparendo alcun nome commerciale nei documenti di certificazione, diversi forum specializzati nel monitoraggio dei prodotti Lenovo e Motorola ipotizzano che il tablet possa essere lanciato con il nome “Moto Pad 70”. Il nome in codice interno risulterebbe essere “Cava”, lo stesso già associato ad altri modelli già in commercio come Lenovo Tab K12, Lenovo Idea Tab Plus Matte Edition e Lenovo Idea Tab Plus.

Questo elemento suggerisce che il nuovo Moto Pad 70 potrebbe essere, di fatto, una versione rimarchiata di uno di questi tablet Lenovo, una pratica comune considerando che Motorola fa parte del gruppo Lenovo.

Un modello più accessibile rispetto al Pad 70 Pro

Se l’ipotesi della rimarchiatura fosse confermata, il Moto Pad 70 si posizionerebbe presumibilmente come alternativa più economica rispetto all’eventuale Moto Pad 70 Pro, offrendo agli utenti Android un’opzione tablet accessibile all’interno del catalogo Motorola. Non sono ancora note informazioni su display, processore o prezzo di vendita.

In attesa dell’annuncio ufficiale

Il passaggio attraverso le certificazioni internazionali è generalmente considerato un segnale che il lancio commerciale è ormai prossimo. Non resta che attendere una comunicazione ufficiale da parte di Motorola per conoscere il nome definitivo, le specifiche complete e la data di disponibilità sul mercato, incluso quello giapponese.

Opera One introduce Paste Protect, la funzione nativa che blocca i codici malevoli ClickFix prima che finiscano negli appunti di sistema.
L'articolo Opera presenta Paste Protect proviene da Linux Easy.
E' vietato riprodurre questo articolo senza autorizzazione.
Questo feed RSS è destinato ai lettori, non agli scraper o aggregatori.
Linux Easy viene rilasciato con Licenza CC BY-NC 4.0

🔗 Leggi il post completo

Paper Clip è un'app open source che modifica titoli, autori e metadati PDF con un’interfaccia GNOME intuitiva.
L'articolo Paper Clip l’app open per gestire metadati dei PDF su Linux proviene da Linux Easy.
E' vietato riprodurre questo articolo senza autorizzazione.
Questo feed RSS è destinato ai lettori, non agli scraper o aggregatori.
Linux Easy viene rilasciato con Licenza CC BY-NC 4....

🔗 Leggi il post completo

Ogni settimana, il mondo del software libero e open source ci offre una moltitudine di aggiornamenti e nuove versioni di software. Anche se non tutti sono di grande rilevanza, molti di questi possono risultare...

🔗 Leggi il post completo

Un attore APT mai documentato prima, battezzato Armored Likho, sta colpendo agenzie governative e il settore elettrico in Russia, Brasile e Kazakistan con un nuovo infostealer Python chiamato BusySnake. Kaspersky, che ha pubblicato l’analisi tecnica il 3 luglio, descrive un toolkit modulare, offuscato con PyArmor Pro e in parte generato con l’assistenza di strumenti di intelligenza artificiale: un caso di scuola di come lo spionaggio informatico stia adottando l’AI-assisted malware development anche nelle campagne di fascia media.

Chi è Armored Likho

Armored Likho non è un gruppo esordiente: secondo Kaspersky, il suo profilo operativo mescola campagne a sfondo finanziario contro privati con operazioni di cyberspionaggio mirate contro organizzazioni pubbliche e infrastrutture critiche. È proprio questa doppia natura — cybercrime opportunistico e intelligence gathering mirato — a rendere l’attribuzione complessa e la minaccia particolarmente insidiosa: la stessa toolchain può colpire un privato cittadino per rubare credenziali bancarie o un ministero per sottrarre documenti riservati.

I ricercatori segnalano possibili sovrapposizioni con un cluster tracciato da BI.ZONE con il nome Eagle Werewolf, attivo almeno dal maggio 2023 e storicamente focalizzato su enti governativi e della difesa, in particolare organizzazioni coinvolte nello sviluppo e nella produzione di droni (UAV). Nel febbraio 2026 Eagle Werewolf era già stato osservato compromettere un canale Telegram dedicato al mondo dei droni per distribuire il RAT AquilaRAT tramite un dropper Rust travestito da checklist per l’attivazione di dispositivi Starlink. Le sovrapposizioni tecniche tra AquilaRAT e BusySnake — stessi schemi di ricezione dei task dal C2, stessa modalità di persistenza tramite scheduled task, endpoint di comunicazione simili — rafforzano l’ipotesi che si tratti dello stesso ecosistema di sviluppo, se non dello stesso gruppo.

La catena d’attacco

Il vettore d’ingresso resta il più classico: email di spear-phishing con esche legate a comunicazioni governative ufficiali o programmi sociali, che distribuiscono un archivio RAR contenente eseguibili droppati da un repository GitHub. Il dropper crea due file VBScript, uno dei quali cancella le tracce dell’esecuzione iniziale mentre l’altro registra un’attività pianificata (scheduled task) per lanciare lo stealer ogni cinque minuti, mascherata da un innocuo processo di sistema chiamato WindowsHelper — la stessa convenzione di naming usata da AquilaRAT con MicrosoftOfficeUpdate.

Una catena alternativa sfrutta invece file di collegamento Windows (LNK) che abusano di CVE-2025-9491 (nota anche come ZDI-CAN-25373), la vulnerabilità nella gestione degli shortcut corretta da Microsoft nel Patch Tuesday di novembre 2025 ma già sfruttata in passato da una dozzina di gruppi APT dal 2017. In questo scenario, il file LNK innesca un comando PowerShell offuscato che avvia un loader: quest’ultimo mostra un documento esca alla vittima mentre in background prepara l’ambiente per l’esecuzione del vero payload, scaricando un interprete Python 3.12 portatile, lo script get-pip.py per installare le dipendenze e un archivio contenente il payload finale module.pyw.

BusySnake Stealer: un infostealer Python pensato per l’evasione

Il cuore della campagna è BusySnake, un infostealer scritto in Python e mai documentato prima. Il codice è offuscato e cifrato con PyArmor Pro 9.2.0: il malware decripta il proprio bytecode solo nell’istante esatto in cui una funzione viene invocata, per poi ricifrarlo immediatamente dopo l’esecuzione, complicando enormemente l’analisi statica e dinamica. L’estensione .pyw gli permette inoltre di girare in background senza mai aprire una finestra di console visibile.

Dopo l’inizializzazione, che legge da un file di configurazione l’indirizzo del C2, i percorsi delle directory, gli intervalli per gli screenshot e uno user-agent dedicato, BusySnake si mette in ascolto di comandi tramite una funzione poll_task che interroga costantemente il server. Tra le capacità operative documentate da Kaspersky:

• Furto di dati dagli appunti di sistema (clipboard)
• Enumerazione dei file sul disco con logging dei metadati in un database locale
• Ricerca di chiavi esadecimali a 64 caratteri nei file — un pattern tipico dei wallet di criptovalute — e relativa esfiltrazione
• Cattura periodica di screenshot, archiviazione e invio al C2
• Keylogging con invio ed eliminazione periodica del log
• Furto di cookie e password da browser Chromium e Firefox, tramite lettura diretta dei file Cookies/cookies.sqlite e della master key in Login State
• Furto di sessioni e credenziali Telegram dalla cartella tdata, previa terminazione forzata del processo telegram.exe
• Apertura di un tunnel SSH inverso riutilizzando una chiave privata fornita dal C2 (funzionalità ereditata dal tool standalone Go2Tunnel, ora integrata nativamente nello stealer)
• Installazione o riavvio di RustDesk per ottenere il controllo remoto, con cattura dello screenshot delle credenziali inserite dalla vittima al momento del login

Kaspersky ha inoltre individuato una versione più recente dello stealer che introduce un vero e proprio framework di gestione dei task: ogni comando ricevuto dal C2 viene assegnato a un identificativo univoco e transita attraverso quattro stati operativi — SCHEDULED, IN_PROGRESS, SUCCEEDED, FAILED — per un reporting più granulare verso l’infrastruttura d’attacco. Un dettaglio che segnala una maturazione ingegneristica non banale per un tool di questa fascia.

L’ombra dell’AI nel malware development

Un elemento che merita attenzione da parte degli analisti: secondo Kaspersky, i payload di primo stadio (loader e stager) mostrano segni di essere stati generati, almeno in parte, con l’assistenza di strumenti di intelligenza artificiale, a giudicare dalla presenza di commenti ridondanti e blocchi di codice ripetitivi tipici dell’output di modelli linguistici. Non è un caso isolato nel panorama 2026, ma conferma una tendenza: gruppi di livello medio stanno abbassando i tempi di sviluppo del malware affidandosi a copiloti AI, con tutte le implicazioni che questo comporta in termini di volume e velocità di iterazione delle campagne.

Due righe per i difensori

Per i team di detection, il caso Armored Likho offre alcuni punti di leva concreti. Il monitoraggio di scheduled task con nomi che imitano processi Microsoft legittimi (WindowsHelper, ma anche varianti simili) dovrebbe essere prioritario in ambienti governativi e OT/ICS del settore energetico. Vale la pena bloccare o ispezionare il download di interpreti Python portatili e script get-pip.py da endpoint non di sviluppo, un comportamento anomalo per la maggior parte delle postazioni impiegatizie. È inoltre opportuno verificare che la patch per CVE-2025-9491 sia stata applicata su tutta la flotta Windows, dato che il bug LNK continua a essere riciclato da attori eterogenei quasi un decennio dopo la sua prima comparsa. Infine, il traffico verso servizi di tunneling SSH inverso avviato da processi non amministrativi è un segnale da allarme immediato, così come i tentativi di reinstallazione o riavvio non richiesti di RustDesk.

Kaspersky segnala di continuare a monitorare attivamente l’evoluzione della campagna e dell’infrastruttura di rete associata: è ragionevole aspettarsi nuove varianti di BusySnake nei prossimi mesi, considerato il ritmo di sviluppo osservato finora.

Indicatori di compromissione (IoC)

# Hash MD5 (selezione)
5D5C3E483C5E544260CE98FC29FBF192  - PS1 stager
0041FD1B2358CD08DBCBC28EA8FC3D20  - EXE dropper
894332174F536C2E1EFEDA05CBA79F8B  - DLL loader
CF74AC018D158EA2C2CFA1B1D71D95BC  - LNK malevolo
C7622A1EFFA27BBFEE6D6E03D6474343  - BusySnake Stealer (PYW)
80B7700053E115D65365CE7330383320  - BusySnake Stealer (nuova versione, PYW)
6B45DDB39A6E86229348DCBBA3857E7C  - Archivio RAR con BusySnake
006887732CA4A4A46A97989CF4DEEEF6  - Archivio RAR con BusySnake
732C31ACF971A81C7E51B2A3DAE82020  - Archivio RAR con BusySnake
# Domini C2
winupdate[.]live
arvax[.]xyz
varenie[.]live
lvl99[.]store
onetoken[.]ink
winupdate[.]ink
# CVE sfruttata
CVE-2025-9491 (ZDI-CAN-25373) - Windows LNK RCE, patchata Nov 2025
# Scheduled task sospetto
WindowsHelper (persistenza BusySnake)
MicrosoftOfficeUpdate (persistenza AquilaRAT)

Il ransomware ha sempre avuto un umano dietro la tastiera, o quantomeno dietro lo script. Il Threat Research Team di Sysdig sostiene di aver documentato per la prima volta il contrario: un’estorsione digitale condotta interamente, dalla ricognizione iniziale alla distruzione dei dati, da un modello linguistico di grandi dimensioni senza intervento umano diretto. L’hanno battezzata JADEPUFFER, e i log che ha lasciato dietro di sé si leggono come il diario di bordo — auto-narrato, letteralmente — di un operatore che ragiona, sbaglia, si corregge e ripiega su un piano B in 31 secondi.

Il punto d’ingresso: un server Langflow esposto

JADEPUFFER ha ottenuto l’accesso iniziale sfruttando CVE-2025-3248, una falla di mancata autenticazione nell’endpoint di validazione del codice di Langflow, popolare framework open source per costruire applicazioni e workflow di agenti basati su LLM. Il difetto permette a chiunque raggiunga il servizio di eseguire codice Python arbitrario senza credenziali. Langflow resta un bersaglio ricorrente proprio perché le sue istanze, spesso esposte in fretta e senza controlli di rete, custodiscono tipicamente chiavi API di provider AI e credenziali cloud nell’ambiente circostante — un aperitivo perfetto per chi cerca un punto d’appoggio.

Tutti i payload sono stati consegnati come Python codificato in Base64 attraverso l’endpoint RCE, e da lì l’agente ha iniziato a muoversi da solo.

Fase 1: ricognizione e razzia sull’host compromesso

Subito dopo l’esecuzione, l’LLM ha enumerato l’host (id, uname -a, hostname, interfacce di rete, processi attivi) e ha setacciato in parallelo l’ambiente per categorie di segreti: chiavi API di provider AI (OpenAI, Anthropic, DeepSeek, Gemini e altri), credenziali cloud — con una copertura esplicita dei provider cinesi (Alibaba, Aliyun, Tencent, Huawei) oltre ad AWS, GCP e Azure — wallet di criptovalute e seed phrase, credenziali e file di configurazione di database.

Ha poi scaricato il database Postgres di backend dello stesso Langflow, sondato lo spazio di indirizzi interno alla ricerca di servizi raggiungibili e, trovato un endpoint MinIO (l’archivio oggetti compatibile S3 usato per dati applicativi, backup e modelli ML) protetto solo dalle credenziali di default minioadmin:minioadmin, ha eseguito l’intero playbook di enumerazione: elenco dei bucket — incluso uno dedicato allo stato Terraform — e recupero mirato di file .env e credentials.json. Quando un tentativo iniziale con ?format=json ha restituito XML invece del JSON atteso, l’agente ha adattato all’istante il proprio parser allo schema di risposta S3 e ha rilanciato la richiesta: un dettaglio piccolo ma rivelatore, perché è esattamente il tipo di correzione che un toolkit fisso non farebbe mai da solo.

Prima di spostarsi sul bersaglio vero, ha installato una persistenza banale ma efficace: un cron job che ogni 30 minuti invia un beacon all’infrastruttura d’attacco.

Fase 2: il vero obiettivo — un server Nacos/MySQL di produzione

Gli artefatti catturati mostrano che il bersaglio reale dell’operazione non era Langflow, ma un server di produzione separato che eseguiva MySQL e Alibaba Nacos, la piattaforma di service discovery e configurazione dinamica molto diffusa nelle architetture a microservizi. Nacos porta con sé una storia documentata di bypass di autenticazione (CVE-2021-29441 e varianti correlate) e una chiave di firma JWT di default nota pubblicamente dal 2020, che in molte installazioni non viene mai cambiata, rendendo banale la falsificazione dei token.

Con accesso root al database — le cui credenziali non risultano raccolte nell’ambiente della vittima, e la cui origine resta ignota — l’agente ha inserito direttamente un amministratore backdoor nel database di Nacos. Ed è qui che emerge la sequenza più interessante dell’intera analisi Sysdig: il primo tentativo di login con l’account appena creato fallisce; 12 secondi dopo l’LLM prova contemporaneamente le credenziali di default nacos:nacos e genera un nuovo hash per una password più semplice; 19 secondi più tardi emette un payload correttivo che passa da una chiamata subprocess a un import diretto della libreria bcrypt, cancella la riga corrotta e la ricrea con l’hash generato correttamente. Il login riesce. Dal fallimento alla correzione funzionante: 31 secondi, quindici righe di codice coordinato — cancellare, diagnosticare, ricostruire, reinserire.

Segue una fase di ricognizione per un possibile container escape — scritture di test su file MySQL, tentativi di lettura di docker.sock e /proc/1/cgroup, verifica dei permessi su /proc/1/mountinfo — condotta con precisione chirurgica in circa otto minuti e chiusa da un marcatore di completamento esplicito scritto su disco. Non è il comportamento di uno script fisso: è un agente strutturato che segnala da solo di essere pronto per la fase successiva.

Cifratura, estorsione e distruzione — con un colpo di scena

L’agente ha cifrato 1.342 elementi di configurazione del servizio Nacos usando la funzione AES_ENCRYPT() di MySQL, eliminato le tabelle originali config_info e la relativa cronologia, e creato una tabella di estorsione, README_RANSOM, con la richiesta di riscatto, un indirizzo Bitcoin e un contatto ProtonMail. La nota rivendica AES-256, ma AES_ENCRYPT() di default usa AES-128-ECB salvo riconfigurazione: un dettaglio che forse esagera l’algoritmo ma non cambia l’impatto pratico.

Il colpo di scena è nella chiave: generata come base64(uuid4().bytes + uuid4().bytes), quindi sostanzialmente casuale, stampata una sola volta a schermo e mai salvata né trasmessa altrove. Anche pagando, la vittima non potrebbe recuperare nulla — l’estorsione, in questo caso, è tecnicamente impossibile da onorare. Nella fase finale, l’agente è passato dalla cancellazione di singole righe all’eliminazione di schemi di database interi, commentando nel proprio stesso codice la logica di scelta dei bersagli (“database ad alto ROI da eliminare”) come farebbe un operatore che spiega a sé stesso perché sta agendo così.

Come si fa a dire che è stata davvero un’IA

Sysdig basa la propria valutazione su quattro elementi: codice auto-narrante saturo di commenti in linguaggio naturale che spiegano il “perché” di ogni azione; diagnosi e correzione degli errori a velocità di macchina, con timestamp che mostrano una finestra di 31 secondi tra un fallimento e una correzione multi-step accurata; comprensione dimostrata di testo libero incontrato durante l’operazione, non un semplice pattern-matching; e oltre 600 payload distinti ed efficaci eseguiti in una finestra temporale compressa. Anche l’indirizzo Bitcoin usato nella nota di riscatto è curioso: è l’esempio canonico di formato Pay-to-Script-Hash che compare in tutta la documentazione per sviluppatori Bitcoin — un caso da manuale di possibile “allucinazione” di un modello che ha semplicemente riprodotto un esempio della sua base di addestramento, oppure, alternativamente, un wallet reale scelto deliberatamente dall’operatore. Sysdig non è in grado di distinguere le due ipotesi senza visibilità sul system prompt dell’agente.

Cosa cambia per chi difende

Nessuna delle tecniche usate da JADEPUFFER è nuova: è la loro concatenazione autonoma, end-to-end, contro infrastrutture esposte e trascurate, a segnare un punto di svolta. La soglia di competenza per condurre un’estorsione digitale completa si sta abbassando a quanto costa far girare un agente — e se quell’agente gira su credenziali cloud rubate (LLMjacking), il costo per l’attaccante si avvicina allo zero.

• Applicare la patch per CVE-2025-3248 su ogni istanza Langflow e non esporre mai endpoint di validazione/esecuzione codice a Internet
• Non fare girare server di orchestrazione AI con chiavi API di provider o credenziali cloud nell’ambiente: isolarle in un secret manager lontano da processi raggiungibili dal web
• Cambiare la chiave di firma token di default in Nacos, non esporlo mai a Internet e impedirgli di connettersi al database di backend come root
• Non esporre mai account amministrativi di database su Internet; applicare credenziali forti e restrizioni per IP sorgente sulle porte di gestione
• Applicare controlli di egress così che un host applicativo compromesso non possa contattare liberamente destinazioni esterne o database di staging
• Monitorare cron job che invocano chiamate di rete in uscita e anomalie nello User-Agent, oltre agli IoC indicati sotto

Sysdig prevede che il volume e la varietà di queste campagne aumenteranno man mano che il tooling agentico matura. Il consiglio è trattare server applicativi esposti, config store non irrobustiti e account admin di database raggiungibili da Internet come le prime superfici che verranno colpite — non più da un operatore umano con uno script, ma da un agente che scrive da solo il proprio piano d’attacco, verificandolo passo dopo passo.

Indicatori di compromissione

Nome campagna: JADEPUFFER (agentic threat actor)
Vulnerabilità d'ingresso: CVE-2025-3248 (Langflow, RCE non autenticato)
C2 / accesso iniziale: 45.131.66[.]106
Beacon di persistenza: hxxp://45.131.66[.]106:4444/beacon (cron ogni 30 minuti)
Server di staging/exfil dichiarato: 64.20.53[.]230 (InterServer, AS19318)
Bersaglio secondario: server MySQL + Alibaba Nacos esposto
Vulnerabilità sfruttata sul bersaglio: CVE-2021-29441 (Nacos auth bypass) + chiave JWT di default
Credenziali MinIO sfruttate: minioadmin:minioadmin
Tabella di estorsione: README_RANSOM
Indirizzo Bitcoin: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
Contatto: e78393397[@]proton[.]me
Dati distrutti: 1.342 elementi di configurazione Nacos + tabelle config_info/his_config_info
Chiave di cifratura: generata casualmente, mai salvata né trasmessa (dati non recuperabili)

Google starebbe lavorando a un miglioramento dei widget dedicati alla funzione ‘Collections’ del Play Store, che permette di raggruppare le app per categorie tematiche come giochi, shopping o musica. Al momento i widget disponibili mostrano più categorie contemporaneamente, ma in futuro potrebbe essere possibile scegliere un’unica categoria preferita da visualizzare singolarmente in home.

La funzione Collections diventa ancora più personalizzabile

Introdotta circa due anni fa, la funzione Collections del Play Store raggruppa le applicazioni in categorie tematiche come giochi, shopping, musica e viaggi, permettendo di raggiungere più velocemente le app desiderate. Successivamente Google ha aggiunto anche dei widget dedicati per la home, ma finora ne esistono solo due tipi: uno compatto con le categorie mostrate a icone, e uno più grande che elenca più categorie in un’unica schermata. Entrambi, però, mostrano sempre più categorie insieme, e a seconda delle dimensioni del widget alcune di esse possono restare tagliate fuori.

Widget individuali per ogni categoria, in arrivo?

Secondo quanto riportato dalla testata Android Authority, che ha analizzato la versione 52.1.26-31 dell’app Play Store, Google starebbe sviluppando dei widget dedicati a singole categorie. Se la funzione verrà completata, gli utenti potranno posizionare in home solo la categoria che utilizzano davvero, senza dover convivere con un widget che mostra anche sezioni di scarso interesse.

Le categorie individuate finora nel codice dell’app sono otto:

• Food
• Game
• Listen
• Read
• Shop
• Social
• Travel
• Watch

Chi utilizza soprattutto app di gioco potrebbe quindi scegliere di mostrare solo il widget ‘Game’, mentre chi guarda molti contenuti video potrebbe optare per il widget ‘Watch’, personalizzando la home a seconda delle proprie abitudini.

Funzione ancora in sviluppo

Va precisato che la funzionalità è ancora in fase di sviluppo e al momento non è possibile aggiungerla realmente alla schermata home. Non sono inoltre ancora chiari i dettagli su ridimensionamento e design finale dei nuovi widget, che potrebbero cambiare prima del rilascio definitivo. Collections resta comunque una delle funzioni del Play Store più soggette a piccoli, continui miglioramenti, e questi nuovi widget individuali, se confermati, renderebbero la home ancora più su misura per ogni utente Android.

Redmi starebbe lavorando a un nuovo smartphone dotato di un display extra-large da circa 7 pollici, secondo indiscrezioni diffuse dal noto leaker Digital Chat Station. Il produttore cinese, controllato da Xiaomi, avrebbe in cantiere due nuovi modelli, di cui uno orientato a display generoso e prestazioni elevate.

Due modelli in sviluppo: 6,59 e 7 pollici

Secondo le informazioni trapelate, i due dispositivi in lavorazione sarebbero:

• un modello Pro di fascia medio-alta con display da 6,59 pollici
• un modello ad alte prestazioni con display extra-large da circa 7 pollici

Il leaker non ha indicato direttamente il nome del produttore, ma dato che gran parte delle sue precedenti anticipazioni si sono poi rivelate riferite a prodotti Redmi, anche in questo caso l’ipotesi più accreditata punta al marchio cinese.

Un’indiscrezione che conferma voci precedenti

Non è la prima volta che si parla di uno smartphone Redmi da 7 pollici. Già a febbraio lo stesso leaker aveva anticipato che ‘due aziende’ stavano testando dispositivi con display da 7 pollici, mentre ad aprile erano emerse informazioni su un modello Redmi con schermo da 7 pollici abbinato a una batteria da 10.000 mAh. Sempre ad aprile, altre voci avevano parlato di risoluzione 2K e refresh rate elevato, caratteristiche che coinciderebbero con precedenti indiscrezioni su un ipotetico Redmi K100 con display 2K da 7 pollici.

Gli smartphone si fanno sempre più grandi?

Redmi non sarebbe l’unico produttore a puntare su display extra-large: sempre secondo Digital Chat Station, anche Honor starebbe sviluppando un modello con schermo da 7 pollici e refresh rate a 185Hz, oltre a un altro dispositivo da 6,89 pollici abbinato a un processore a 2nm. Attualmente i flagship più diffusi, come Xiaomi 17 Ultra, Huawei Mate 80 Pro Max e iPhone 17 Pro Max, restano ancorati attorno ai 6,9 pollici di diagonale. Se le indiscrezioni si confermeranno, tra il 2026 e il 2027 potremmo assistere a una vera e propria corsa ai display extra-large da parte dei principali produttori Android.

Per ora si tratta comunque solo di voci di corridoio: nome del prodotto e specifiche definitive restano ancora tutti da confermare.