Il segmento degli smartphone ultra-premium Android è sotto pressione. L’aumento del costo della memoria DRAM, unito a dinamiche di mercato sempre più competitive, sta mettendo in discussione la sostenibilità dei modelli Ultra di punta. Secondo diversi leaker affidabili, il futuro di Xiaomi 18 Ultra potrebbe essere accompagnato da un sensibile aumento di prezzo — o addirittura da una revisione della lineup.

I modelli Ultra: eccellenza a caro prezzo

Negli ultimi anni, i flagship Ultra — da Xiaomi 17 Ultra a OPPO Find X9 Ultra, passando per vivo X300 Ultra — hanno conquistato gli appassionati grazie a partnership con brand fotografici prestigiosi come Leica, Hasselblad e Zeiss. Ma questa corsa all’eccellenza ha un costo: in Europa, i prezzi hanno già superato i 1.400 euro, e alcune indiscrezioni parlano di possibili rincari fino a 2.000 euro per i prossimi modelli.

Il problema: la memoria costa sempre di più

Alla base dei potenziali aumenti c’è l’impennata dei prezzi dei componenti di memoria, in particolare DRAM e HBM. Il leaker Ice Universe ha evidenziato come l’incremento dei costi stia erodendo i margini di profitto sui modelli Ultra, rendendo la loro produzione sempre meno conveniente per i costruttori.

In Cina, la situazione è ancora più delicata: esiste una soglia psicologica di circa 10.000 yuan oltre la quale le vendite calano bruscamente, perché gli utenti iniziano a confrontarsi con iPhone e altri brand con forte riconoscimento di marca. Superare quella soglia significherebbe perdere competitività su uno dei mercati più importanti al mondo.

I produttori davanti a scelte difficili

Di fronte a questo scenario, le aziende hanno essenzialmente due opzioni: ridimensionare le specifiche per contenere i costi, oppure sospendere temporaneamente lo sviluppo dei modelli Ultra. Yogesh Brar, leaker indiano ben informato, ha confermato che diversi produttori stanno valutando attentamente la redditività dei loro prossimi flagship.

Xiaomi 18 Ultra: lo sviluppo continua, ma i prezzi saliranno

Per ora, Xiaomi 18 Ultra è ancora in fase di sviluppo e non sembra a rischio cancellazione. Tuttavia, la decisione finale potrebbe arrivare solo nella seconda metà del 2026, lasciando un alone di incertezza. Fonti vicine alla questione indicano che, anche nell’ipotesi migliore, un ulteriore aumento dei prezzi a partire dal 2027 sembra inevitabile.

Per gli appassionati di fotografia mobile Android, la domanda è: fin dove si è disposti a spingersi pur di avere il meglio? Se i prezzi dovessero avvicinarsi ai 2.000 euro, il mercato degli Ultra potrebbe ridimensionarsi drasticamente, cambiando per sempre il volto del segmento premium Android.

Trisquel GNU/Linux è una distribuzione GNU/Linux completamente libera, progettata per offrire un sistema operativo che rispetti in modo rigoroso le libertà digitali dell’utente. Il suo obiettivo è garantire un ambiente informatico privo di software...

🔗 Leggi il post completo

Ogni settimana, il mondo del software libero e open source ci offre una moltitudine di aggiornamenti e nuove versioni di software. Anche se non tutti sono di grande rilevanza, molti di questi possono risultare...

🔗 Leggi il post completo

Per tre ore e diciannove minuti, tra la mezzanotte e le 03:20 UTC del 31 marzo 2026, chi ha eseguito npm install axios ha involontariamente invitato un RAT nordcoreano nei propri sistemi. L’attacco alla supply chain del pacchetto Axios — 70 milioni di download settimanali, il client HTTP più usato dell’ecosistema JavaScript — porta la firma di UNC1069, un cluster APT legato alla Corea del Nord e motivato finanziariamente che da anni prende di mira sviluppatori e infrastrutture crypto. L’operazione dimostra ancora una volta che il vettore più efficace per infiltrarsi in ambienti protetti non è un exploit zero-day: è la fiducia umana.

L’ingegneria sociale che ha aperto la porta

Tutto comincia mesi prima della compromissione vera e propria. Gli operatori di UNC1069 si sono avvicinati a Jason Saayman, maintainer principale di Axios su npm, fingendosi il fondatore di una società legittima e ben nota nel settore tech. Non si sono limitati a creare un profilo falso: hanno clonato digitalmente l’identità della persona reale, creando una replica convincente sia del soggetto sia dell’azienda. “Hanno calibrato ogni dettaglio specificamente su di me”, ha scritto Saayman nel post-mortem dell’incidente.

Il contatto si è trasformato in una chiamata video su Microsoft Teams. Durante il meeting, gli attaccanti hanno simulato un problema audio e hanno convinto Saayman a installare un componente “mancante” per risolvere l’incompatibilità. Il file che il maintainer ha eseguito non era una patch per Teams: era WAVESHAPER.V2, il RAT cross-platform del gruppo. Da quel momento UNC1069 disponeva delle credenziali npm di Saayman e del controllo sul suo ambiente di sviluppo.

La catena di attacco: da npm al C2 in tre passi

Una volta ottenuto l’accesso all’account npm, gli attaccanti hanno pubblicato due release backdoorate: axios@1.14.1 e axios@0.30.4. Entrambe iniettavano una dipendenza malevola — plain-crypto-js@4.2.1 — che non esiste nel registro legittimo npm. Il pacchetto conteneva SILKBELL, un dropper offuscato che si attivava automaticamente tramite un hook postinstall nello script setup.js, senza alcuna interazione da parte dell’utente o dello sviluppatore.

SILKBELL stabiliva una connessione con l’infrastruttura C2 di UNC1069 e scaricava WAVESHAPER.V2, adattando il payload al sistema operativo rilevato. Il comportamento variava per piattaforma:

• Windows: copia di powershell.exe in %PROGRAMDATA%\wt.exe, persistenza via chiave di registro HKCU\Software\Microsoft\Windows\CurrentVersion\Run con nome “MicrosoftUpdate” e batch nascosto system.bat.
• macOS: binario Mach-O installato in /Library/Caches/com.apple.act.mond, eseguito tramite zsh.
• Linux: backdoor Python scaricato in /tmp/ld.py ed eseguito con nohup.

WAVESHAPER.V2: capacità operative e firma anomala

La versione V2 del backdoor introduce comunicazione via JSON, raccolta estesa di informazioni di sistema e un set ampliato di comandi rispetto alla versione precedente documentata da Mandiant. Le principali funzionalità includono: peinject per l’iniezione in memoria di shellcode e PE, rundir per la ricognizione del filesystem con raccolta di metadati, esecuzione di script arbitrari e terminazione di processi. Il beaconing avviene via HTTP ogni 60 secondi verso la porta 8000 del server C2.

L’anomalia più curiosa — e paradossalmente più utile per i difensori — è la stringa User-Agent hardcodata in tutte e tre le varianti di piattaforma: mozilla/4.0 (compatible; msie 8.0; windows nt 5.1; trident/4.0). Un fingerprint da Internet Explorer 8 su Windows XP è immediatamente anomalo su qualsiasi macchina moderna, e ancor più su host macOS o Linux. Sebbene garantisca un routing coerente lato server C2, è un indicatore di compromissione banalmente rilevabile su qualunque proxy o SIEM moderno.

Attribuzione: UNC1069 e la rete finanziaria di Pyongyang

L’attribuzione a UNC1069 è stata effettuata in modo indipendente da Google Threat Intelligence Group (GTIG), Microsoft Threat Intelligence e Mandiant. Il cluster è tracciato sotto diversi alias: Sapphire Sleet, STARDUST CHOLLIMA, Alluring Pisces, BlueNoroff, CageyChameleon e CryptoCore. Attivo almeno dal 2018, UNC1069 è motivato finanziariamente e ha storicamente preso di mira istituzioni finanziarie, exchange di criptovalute e maintainer di pacchetti open source ad alta diffusione, nella logica di massimizzare il potenziale di accesso a valle.

Il collegamento tecnico più solido emerso dall’analisi è l’infrastruttura C2: il dominio sfrclak[.]com risolve sull’IP 142.11.206[.]73, e le connessioni da questo server sono state tracciate verso un nodo AstrillVPN precedentemente attribuito a UNC1069 in campagne separate. Il binario macOS presenta poi sovrapposizioni significative con WAVESHAPER nella versione originale documentata da Mandiant, rendendo la catena di attribuzione robusta e multi-vendor.

Impatto e analisi del blast radius

La finestra di esposizione — circa tre ore — ha limitato il numero diretto di compromissioni. eSentire ha identificato 19 organizzazioni clienti colpite, principalmente nel settore dello sviluppo software in Nord America ed EMEA. Tuttavia la nuova analisi pubblicata il 12 aprile 2026 sottolinea come il “blast radius” reale vada ben oltre queste cifre dirette: pipeline CI/CD, container Docker, ambienti serverless e toolchain di build che eseguono automaticamente npm ci potrebbero aver scaricato le versioni malevole senza che gli sviluppatori ne fossero consapevoli, specialmente in organizzazioni prive di monitoraggio sui log di installazione npm.

Indicatori di Compromissione (IoC)

# Pacchetti npm malevoli
axios@1.14.1
axios@0.30.4
plain-crypto-js@4.2.1

# Hash file
SILKBELL (setup.js): e10b1fa84f1d6481625f741b69892780140d4e0e7769e7491e5f4d894c2e0e09
Windows RAT:         617b67a8e1210e4fc87c92d1d1da45a2f311c08d26e89b12307cf583c900d101

# Infrastruttura C2
IP:       142.11.206[.]73
Domini:   sfrclak[.]com
          callnrwise[.]com
Endpoint: hxxp://sfrclak[.]com:8000/6202033
Porta:    8000 (beaconing HTTP, intervallo 60s)

# User-Agent anomalo (presente su Windows, macOS e Linux)
"mozilla/4.0 (compatible; msie 8.0; windows nt 5.1; trident/4.0)"

# Persistenza Windows
Chiave registro: HKCU\Software\Microsoft\Windows\CurrentVersion\Run -> "MicrosoftUpdate"
File: %PROGRAMDATA%\wt.exe (copia mascherata di powershell.exe)
File: system.bat (nascosto)

# Persistenza macOS
/Library/Caches/com.apple.act.mond

# Persistenza Linux
/tmp/ld.py (eseguito con nohup)

Raccomandazioni per i difensori

Chi ha eseguito npm install o npm ci il 31 marzo 2026 tra le 00:21 e le 03:20 UTC deve considerare i propri ambienti compromessi fino a prova contraria. Le azioni prioritarie: verificare i log di installazione npm per la presenza di axios@1.14.1, axios@0.30.4 o plain-crypto-js; controllare il traffico di rete in uscita verso 142.11.206.73 su porta 8000 con il caratteristico User-Agent IE8; cercare la chiave di registro “MicrosoftUpdate” nel percorso Run e il file wt.exe in %PROGRAMDATA% su sistemi Windows.

Sul piano preventivo, le pratiche raccomandate includono: pinning esplicito delle versioni nei file lock, disabilitazione degli aggiornamenti automatici delle dipendenze, implementazione di policy di “release cooldown” supportate dai principali package manager, monitoraggio continuo dell’esecuzione degli hook postinstall, e adozione di soluzioni di Software Composition Analysis (SCA) che alertino su nuove dipendenze transitive non attese. L’incidente Axios dimostra che anche i pacchetti più fidati e consolidati possono diventare vettori di attacco: la fiducia cieca nell’ecosistema open source è un lusso che le organizzazioni non possono più permettersi.

Pensa a un opera artistica o un collage creato con varie pile di carta con della carta tagliata in modo che la carta sotto sia visibile mentre altre nascondono cosa si trova al di sotto. Se vuoi sostituire un elemento dell’opera, sostituisci quel pezzo di carta anziché ridisegnare interamente la cosa. In Krita al posto della carta si usano i Livelli. I livelli sono parti del documento che posso...

🔗 Leggi il post completo

Hyprland, uno dei compositor Wayland più apprezzati per la sua versatilità e per le sue funzionalità avanzate, è finalmente disponibile per gli utenti di Debian 13 tramite i backports ufficiali. Si tratta di un...

🔗 Leggi il post completo

La Francia ha annunciato una delle più grandi trasformazioni digitali mai avviate da un Paese europeo: l’abbandono progressivo di Microsoft Windows a favore di sistemi operativi GNU/Linux su tutte le postazioni della Pubblica Amministrazione....

🔗 Leggi il post completo

KDE Frameworks è una raccolta di oltre 70 librerie software libere (attualmente 72) basate su Qt, il noto toolkit multipiattaforma per lo sviluppo di interfacce grafiche. Queste librerie forniscono API stabili e coerenti (le API sono insiemi di funzioni e componenti pronti...

🔗 Leggi il post completo

Google sta lavorando a una nuova funzionalità per Android che promette di rivoluzionare il modo in cui gli utenti gestiscono i backup: foto, video e file audio potranno essere salvati automaticamente sul proprio PC tramite Wi-Fi, senza passare per il cloud. Una soluzione pensata per chi ha esaurito lo spazio online o semplicemente preferisce tenere i propri dati in locale.

Come funziona il backup diretto su PC

Il meccanismo alla base della nuova funzione è semplice ma efficace: quando lo smartphone è connesso alla rete Wi-Fi di casa, avvia automaticamente la sincronizzazione dei contenuti multimediali verso il PC designato. Nessun passaggio per server remoti, nessun abbonamento aggiuntivo: tutto avviene all’interno della rete domestica, in modo rapido e privato.

Nelle schermate emerse finora, la funzione viene descritta come “backup delle foto su dispositivi di casa”, con la possibilità di selezionare il PC di destinazione direttamente dalle impostazioni del telefono.

Cosa puoi scegliere di salvare

La nuova funzionalità offrirà un buon livello di personalizzazione. Gli utenti potranno decidere quali tipologie di file includere nel backup — foto scattate con la fotocamera, video, registrazioni audio — e potranno escludere specifici dispositivi PC dalla sincronizzazione. È prevista anche la possibilità di avviare manualmente un backup immediato, utile ad esempio prima di resettare il telefono.

Un’alternativa concreta al cloud a pagamento

Il vantaggio principale di questa soluzione è economico: il backup locale su PC è completamente gratuito, indipendentemente dalla quantità di dati. Google offre 15 GB gratuiti su Google One, uno spazio che si esaurisce in fretta per chi scatta molte foto o registra video in alta risoluzione. Con il backup su PC, quegli stessi utenti avranno un’alternativa valida senza dover pagare per un piano in abbonamento.

Per chi riceve continuamente avvisi di “spazio di archiviazione in esaurimento”, questa funzione potrebbe diventare un alleato indispensabile nella gestione quotidiana del dispositivo.

Un aiuto anche per i Pixel con 128 GB base

Non è un caso che questa novità arrivi proprio mentre circolano indiscrezioni secondo cui Google potrebbe mantenere 128 GB come storage base anche nei prossimi modelli Pixel. Mentre la concorrenza punta sempre di più su configurazioni da 256 GB o superiori, Google sembra voler compensare con soluzioni software intelligenti come questa.

Non sono ancora stati comunicati data di rilascio ufficiale né i dispositivi supportati, ma la funzione è già visibile nelle versioni di sviluppo di Android. Quando arriverà, rappresenterà un passo avanti significativo nella gestione dei dati su smartphone Android.

Meta ha finalmente introdotto su Instagram una delle funzioni più richieste dagli utenti: la possibilità di modificare i propri commenti dopo la pubblicazione. L’aggiornamento è già disponibile sia su Android che su iOS e consente di correggere errori o riformulare un testo entro 15 minuti dall’invio.

Fino a 15 minuti per correggere il commento

Il funzionamento è intuitivo: dopo aver pubblicato un commento, gli utenti avranno una finestra di 15 minuti per tornare indietro e modificarne il contenuto. Non ci sono limiti al numero di modifiche effettuabili in questo lasso di tempo, il che rende la funzione particolarmente flessibile per chi vuole rifinire la propria scrittura o correggere un errore di battitura sfuggito al primo colpo d’occhio.

Tuttavia, è importante sapere che la modifica riguarda solo il testo del commento: nel caso di commenti con immagini allegate, la parte visiva non può essere sostituita, ma solo il testo che l’accompagna.

Gli altri utenti vedranno che il commento è stato modificato

Per garantire trasparenza, Instagram indica visivamente che un commento è stato modificato, con un’apposita etichetta visibile agli altri utenti. Il contenuto originale, però, non viene mostrato: chi legge saprà solo che è avvenuta una modifica, non cosa è stato cambiato.

Questo approccio bilancia la libertà di correzione con la necessità di mantenere un certo grado di responsabilità nella comunicazione online.

Una funzione attesa da tempo

Fino ad ora, Instagram permetteva di modificare le proprie storie e i post, ma i commenti erano immutabili una volta inviati. L’unica alternativa era eliminarli e riscriverli da zero, con il rischio di perdere eventuali risposte ricevute nel frattempo. Con questa novità, il flusso di conversazione risulta molto più gestibile e meno frustrante.

Come abilitare la funzione su Android

La modifica dei commenti è disponibile nell’app Instagram aggiornata all’ultima versione disponibile su Google Play Store. Se non si vede ancora l’opzione, è sufficiente controllare se ci sono aggiornamenti pendenti e installarli. La funzione non richiede alcuna configurazione aggiuntiva: sarà automaticamente accessibile su ogni commento pubblicato entro il limite di tempo.

Si tratta di un miglioramento tutto sommato piccolo ma molto apprezzato, in linea con la strategia recente di Meta di affinare l’esperienza d’uso di Instagram con aggiornamenti mirati alla qualità delle interazioni social.

Un’estensione contraffatta nel marketplace OpenVSX installa silenziosamente un dropper compilato in Zig che individua e infetta tutti gli IDE compatibili con VS Code presenti sulla macchina, per poi deployare un RAT con C2 su blockchain Solana e un’estensione Chrome per rubare sessioni e keystroke. La campagna GlassWorm è attiva da oltre un anno e ha appena compiuto il suo salto evolutivo più sofisticato.

Una campagna che cresce da un anno

GlassWorm non è una minaccia nuova: Aikido Security ne traccia l’evoluzione dal marzo 2025, quando fu individuata la prima variante nascosta in pacchetti npm attraverso caratteri Unicode invisibili per offuscare il payload. Da allora, la campagna ha iterato costantemente le proprie tecniche, arrivando oggi a una versione che colpisce non un singolo editor, ma l’intero ecosistema degli ambienti di sviluppo installati su una macchina — con una catena di infezione a più stadi difficile da individuare con le sole difese tradizionali.

Il vettore iniziale: un’estensione che finge di essere WakaTime

Il punto di ingresso è un’estensione pubblicata sul marketplace OpenVSX sotto il nome specstudio/code-wakatime-activity-tracker. L’estensione si spaccia per WakaTime, uno strumento molto diffuso tra gli sviluppatori che tiene traccia del tempo trascorso nel codice. Una volta installata, esegue immediatamente un codice di installazione minimale — dove un modulo punta a binari nativi Node.js compilati per la piattaforma target.

Il dropper Zig: fuori dalla sandbox JavaScript

Il vero cuore della tecnica è l’uso di binari nativi Node.js (file .node) compilati con Zig — un linguaggio di sistema relativamente giovane e poco presidiato dai motori antivirus. Questi addon vengono caricati direttamente nel runtime di Node con accesso completo al sistema operativo, bypassando completamente la sandbox JavaScript di VS Code. Il comportamento è fondamentalmente diverso da quello di un’estensione normale: non è codice JS interpretato con permessi limitati, ma una libreria nativa con diritti equivalenti al processo padre. I binari identificati sono specifici per piattaforma: su Windows viene deployato win.node (PE32+ DLL), mentre su macOS viene utilizzato mac.node (Universal Mach-O). Quest’ultimo conteneva simboli di debug rivelatori, con un percorso che ha permesso ai ricercatori di identificare il developer environment dell’autore.

Autopropagazione: infettare ogni IDE sulla macchina

Una volta eseguito, il dropper Zig non si limita a compromettere l’IDE corrente: scansiona il filesystem alla ricerca di tutti gli ambienti di sviluppo compatibili con le estensioni VS Code. Su Windows controlla le directory %LOCALAPPDATA%\Programs\ e %ProgramFiles%; su macOS la cartella /Applications/. Gli IDE target includono Microsoft VS Code e VS Code Insiders, ma anche i fork come Cursor (AI-first IDE in rapida adozione), Windsurf, VSCodium e Positron. Ogni editor trovato viene infettato con una seconda estensione malevola, installata silenziosamente tramite CLI usando il parametro –install-extension. Il secondo stadio si maschera da una estensione di auto-import con milioni di installazioni, scaricato da un repository GitHub sotto controllo degli attaccanti.

Il payload finale: Solana come C2, RAT e furto di sessioni Chrome

La seconda estensione malevola implementa le capacità di spionaggio vere e proprie. Il meccanismo di C2 è particolarmente innovativo: invece di puntare a un server fisso, il malware interroga la blockchain Solana per recuperare l’indirizzo del server di comando — una tecnica che rende il blocco dell’infrastruttura C2 praticamente impossibile senza bloccare l’intera blockchain. Tra le funzionalità documentate ci sono: geofencing contro sistemi con impostazioni locali russe (l’esecuzione viene saltata), esfiltrazione di segreti, token di sessione e chiavi API dal workspace dello sviluppatore, installazione di un RAT persistente con comunicazione cifrata, e deploy di un’estensione Chrome malevola per il furto di cookie di sessione e keystroke logging.

Indicatori di compromissione

## Estensioni malevole OpenVSX
specstudio/code-wakatime-activity-tracker  (1° stadio)
floktokbok.autoimport                       (2° stadio)

## Hash SHA-256 dei binari nativi Zig
win.node (Windows PE32+ DLL):
  2819ea44e22b9c47049e86894e544f3fd0de1d8afc7b545314bd3bc718bf2e02

mac.node (macOS Universal Mach-O):
  112d1b33dd9b0244525f51e59e6a79ac5ae452bf6e98c310e7b4fa7902e4db44

## Repository GitHub per distribuzione stage-2
ColossusQuailPray/oiegjqde

## Debug artifact (attributione autore)
/Users/davidioasd/Downloads/vsx_installer_zig

## IDE target confermati
VS Code, VS Code Insiders, Cursor, Windsurf, VSCodium, Positron

Perché questa campagna è un segnale d’allarme per i team di sicurezza

GlassWorm dimostra come il marketplace delle estensioni IDE sia diventato una superficie d’attacco matura e sfruttata attivamente. La compromissione di un singolo sviluppatore può propagarsi a tutta l’organizzazione attraverso repository git, ambienti CI/CD e pipeline di build condivisi — con un impatto potenziale molto superiore a quello di un malware che colpisce un endpoint generico. Il fatto che il dropper salti deliberatamente i sistemi russi suggerisce un attore state-sponsored o comunque con motivazioni geograficamente definite, probabilmente orientato verso organizzazioni di sviluppo software in occidente e in Asia.

Consigli per i difensori

I team di sicurezza dovrebbero esaminare l’elenco delle estensioni installate su tutti gli IDE degli sviluppatori, con particolare attenzione a estensioni non presenti nel Visual Studio Marketplace ufficiale ma solo su OpenVSX. L’introduzione di policy di allowlist per le estensioni VS Code, già supportata dalla funzionalità di Policy Management di VS Code, è oggi una misura consigliata in ambienti corporate. A livello di EDR, alert sulla creazione di file .node in directory di estensioni IDE e sull’esecuzione di processi IDE con parametri –install-extension da processi non interattivi sono indicatori ad alta fedeltà. L’analisi dei log di rete alla ricerca di chiamate RPC verso nodi Solana da processi Node.js può aiutare a rilevare la fase di C2 in modo precoce.

Dal gennaio 2026, il gruppo iraniano MuddyWater conduce una campagna di spionaggio sofisticata contro organizzazioni governative, energetiche e infrastrutturali del Medio Oriente e Nord Africa. L’Operazione Olalampo segna un salto qualitativo nelle capacità offensive del gruppo: malware scritto in Rust, sviluppo assistito da intelligenza artificiale e un canale di comando-e-controllo nascosto nei bot di Telegram.

Chi è MuddyWater e perché è pericoloso

MuddyWater — conosciuto anche come Seedworm, TA450, Mango Sandstorm ed Earth Vetala — è un gruppo APT ritenuto collegato al Ministero dell’Intelligence e Sicurezza iraniano (MOIS). Attivo da almeno il 2017, il gruppo ha nel tempo ampliato il proprio arsenale tecnico passando da strumenti commerciali come AnyDesk e SimpleHelp a malware completamente custom. L’Operazione Olalampo rappresenta la più recente e sofisticata evoluzione di questa traiettoria.

La catena d’attacco: da una macro Excel al controllo totale

L’infezione inizia con una campagna di spear-phishing mirata: le vittime ricevono email con allegati Microsoft Office (principalmente Excel) contenenti macro VBA malevole. Una volta attivata la macro, il codice decodifica ed esegue il payload iniziale in memoria, avviando una catena a più stadi progettata per massimizzare la furtività.

• Stadio 1 — GhostFetch: downloader di prima fase con funzioni di profilazione del sistema, controlli anti-debug e anti-VM, ed esecuzione in memoria del payload successivo.
• Stadio 2 — GhostBackDoor: backdoor completa con supporto per remote shell, operazioni sui file, esecuzione di comandi arbitrari e meccanismi di persistenza.
• HTTP_VIP: downloader alternativo che effettua ricognizione del sistema, si autentica al C2 e può distribuire AnyDesk per l’accesso remoto diretto, oltre a monitorare gli appunti di sistema.
• CHAR: backdoor scritta interamente in Rust, capace di esecuzione di comandi, accesso a PowerShell, operazioni di reverse proxy e deploy di proxy SOCKS5.

Il cuore dell’operazione: Telegram come infrastruttura C2

L’elemento più interessante di questa campagna è l’uso di un bot Telegram come canale di comando-e-controllo per la backdoor CHAR. Il bot — con display name “Olalampo” e username stager_51_bot — consente agli operatori di inviare comandi ai sistemi compromessi attraverso l’infrastruttura legittima di Telegram, rendendo il traffico indistinguibile da quello normale. Questo approccio offre tre vantaggi tattici significativi: il traffico viene cifrato end-to-end, si mimetizza nel traffico legittimo di messaggistica aziendale, e Telegram è molto difficile da bloccare completamente nei contesti aziendali.

Il monitoraggio del bot C2 ha permesso ai ricercatori di Group-IB di osservare direttamente le attività post-exploitation: comandi eseguiti, strumenti distribuiti e tecniche di raccolta dati utilizzate dagli operatori.

Sviluppo assistito da IA: una nuova frontiera per gli APT

Un dettaglio rivelatore nell’analisi del malware è la presenza di stringhe di debug contenenti emoji — un pattern tipico del codice generato o rifinito con l’assistenza di grandi modelli linguistici (LLM). Questo suggerisce che MuddyWater stia integrando strumenti di intelligenza artificiale nel proprio ciclo di sviluppo malware, potenzialmente accelerando la creazione di nuove varianti e riducendo gli errori. La scelta di Rust per CHAR va nella stessa direzione: Rust è un linguaggio relativamente giovane, ma molto popolare nei progetti LLM, cross-platform per definizione e che produce binari difficili da analizzare con i tradizionali strumenti di reverse engineering.

Infrastruttura e indicatori di compromissione

L’analisi DNS condotta da ricercatori indipendenti ha portato all’identificazione di quattro domini malevoli, tutti registrati tramite Namecheap con indirizzi di registrazione in Islanda — una tecnica di anonimizzazione comune tra gli attori state-sponsored. I domini risultano relativamente recenti, creati tra ottobre 2025 e febbraio 2026, confermando un’attiva preparazione dell’infrastruttura nelle settimane precedenti la campagna.

## Domini C2 identificati
jerusalemsolutions[.]com
miniquest[.]org
codefusiontech[.]org

## Indirizzi IP
162[.]0[.]230[.]185
209[.]74[.]87[.]100

## Telegram C2
Bot username: stager_51_bot
Bot display name: Olalampo

## Note infrastruttura
Registrar: Namecheap
Posizione registrazione: Islanda
Periodo creazione domini: 10/2025 – 02/2026
Comunicazioni victim-IoC osservate: 10 IP unici su 3 ASN (01/25–02/25/2026)

Settori e geografie colpite

I target primari dell’Operazione Olalampo includono agenzie governative, operatori di infrastrutture critiche, aziende del settore energetico, operatori di telecomunicazioni e professionisti di alto profilo nelle regioni MENA (Medio Oriente e Nord Africa). La scelta dei target è coerente con gli obiettivi di intelligence strategica del MOIS: raccolta di informazioni su politica estera, accordi energetici e comunicazioni riservate di governi nella sfera di influenza dell’Iran.

Consigli per i difensori

La natura dell’Operazione Olalampo richiede un approccio difensivo su più livelli. Limitare o monitorare il traffico verso i server Telegram (t.me, api.telegram.org) nei perimetri aziendali può bloccare il canale C2 principale, anche se ciò richiede un’analisi del rischio rispetto all’uso legittimo della piattaforma. A livello email, rafforzare i controlli sugli allegati Office con macro e abilitare Protected View/AMSI per documenti provenienti da fonti esterne è un primo scudo efficace. Sul fronte EDR, è fondamentale cercare attività anomale di PowerShell, processi figlio di applicazioni Office, e l’esecuzione di binari Rust non firmati. Infine, la presenza di processi AnyDesk o SimpleHelp avviati da percorsi inusuali dovrebbe costituire un alert ad alta priorità.

Deepin è una distribuzione GNU/Linux di origine cinese, sviluppata dalla società Deepin Technology, che negli anni si è affermata come una delle proposte desktop più curate e riconoscibili nel panorama open source. Il progetto...

🔗 Leggi il post completo

Calibre è un’applicazione per la gestione completa degli e‑book, progettata per organizzare, convertire e sincronizzare libri digitali all’interno della propria distribuzione GNU/Linux o su altri sistemi operativi. La crescente diffusione dei libri digitali, leggibili...

🔗 Leggi il post completo

Diversi utenti stanno segnalando un problema preoccupante che riguarda il Samsung Galaxy S22 Ultra: dopo aver eseguito un ripristino alle impostazioni di fabbrica, lo smartphone si comporta come se fosse gestito da un’organizzazione aziendale sconosciuta, risultando di fatto inutilizzabile per l’utente legittimo. Il fenomeno, che coinvolge dispositivi acquistati regolarmente, sta destando grande preoccupazione nella community.

Cosa succede dopo il ripristino

Il problema si manifesta nella fase di configurazione iniziale successiva al reset. Anziché procedere normalmente, lo smartphone mostra un messaggio che avvisa l’utente che il dispositivo “non è privato” e risulta sotto la gestione di un amministratore esterno. Si tratta di schermate tipiche dei dispositivi aziendali distribuiti ai dipendenti tramite sistemi MDM (Mobile Device Management), del tutto inattese su uno smartphone di uso personale.

Un amministratore misterioso: chi è “Numero LLC”?

In alcuni casi, sullo schermo compare addirittura il nome di un presunto amministratore: Numero LLC. Si tratta di una società che non risulta registrata nei principali database statunitensi, rendendo ancora più inquietante la situazione. Tra le app di gestione rilevate sui dispositivi colpiti figura anche “FRP Unlock Samsung“, un riferimento che fa pensare all’utilizzo pregresso di strumenti non ufficiali per aggirare il Factory Reset Protection, una funzione di sicurezza pensata proprio per scoraggiare i furti.

Il ruolo di Samsung Knox

Gli esperti ipotizzano che all’origine del problema ci possa essere un uso improprio di Samsung Knox, la piattaforma di sicurezza aziendale integrata nei dispositivi Galaxy. Se le informazioni identificative del dispositivo fossero finite nelle mani di terzi malintenzionati, questi potrebbero aver registrato il telefono su un sistema di gestione remota, prendendone di fatto il controllo in modo fraudolento. Al momento, tuttavia, la causa esatta non è stata definitivamente accertata.

Nessuna soluzione semplice disponibile

Per chi si trova in questa situazione, le opzioni sono purtroppo molto limitate. Accettare la gestione da parte dell’amministratore sconosciuto esporrebbe l’utente a rischi di sicurezza inaccettabili, poiché significherebbe concedere accesso remoto completo al dispositivo. In molti casi, gli utenti colpiti si sono trovati costretti a rinunciare all’uso dello smartphone.

Samsung non ha ancora rilasciato una dichiarazione ufficiale in merito. Nel frattempo, il caso evidenzia i rischi legati all’utilizzo di software non ufficiali per modificare le funzioni di sicurezza degli smartphone. È sempre consigliabile affidarsi esclusivamente a strumenti e canali ufficiali, evitando qualsiasi applicazione di terze parti che prometta di sbloccare o modificare le protezioni integrate del dispositivo.

Il Google Pixel 10 Pro si conferma ancora una volta lo smartphone più sicuro del mondo. Secondo il report Mobile Device Security Scorecard 2025, il flagship di Google ha conquistato la vetta della classifica per il quinto anno consecutivo, distanziando nettamente la concorrenza di Apple e Samsung. In un’epoca in cui le minacce informatiche crescono per complessità e frequenza, il Pixel si riafferma come il punto di riferimento assoluto per chi fa della sicurezza una priorità.

Un punteggio da record: 97% su 100

Il Pixel 10 Pro ha ottenuto un punteggio complessivo del 97%, un risultato straordinario che lascia ben poco spazio ai rivali. Al secondo posto si trovano Samsung Galaxy S25 e Motorola Moto Edge 60 Pro, entrambi fermi all’88%, quasi dieci punti percentuali in meno. Il merito di questo risultato è la quasi perfezione raggiunta in 11 delle 12 categorie valutate, con l’unica lacuna riscontrata nel campo delle contromisure al phishing.

iPhone e Galaxy: i punti deboli dei rivali

Il confronto con i principali competitor è impietoso. L’iPhone 17 Pro Max di Apple si è fermato a un punteggio del 70%, penalizzato soprattutto dall’approccio rigido alla privacy che, paradossalmente, ne limita le capacità di rilevamento delle truffe: non analizzando i contenuti dei messaggi, l’iPhone risulta meno efficace nell’identificare email o SMS di phishing. A ciò si aggiunge l’assenza di funzionalità di protezione fisica in caso di furto, come lo “snatch protection”.

Il Galaxy S25 di Samsung, pur collocandosi al secondo posto, presenta margini di miglioramento nella crittografia end-to-end del backup predefinito e nella gestione delle notifiche durante la condivisione dello schermo.

I punti di forza del Pixel 10 Pro

Alla base del primato del Pixel 10 Pro ci sono diversi elementi distintivi. Innanzitutto, 7 anni di aggiornamenti mensili di sicurezza garantiti, un record nel panorama Android che assicura protezione continuativa contro le minacce più recenti. Il chip di sicurezza dedicato Titan M2 isola fisicamente le credenziali e le chiavi crittografiche, rendendo praticamente impossibile un accesso non autorizzato ai dati sensibili.

Da non sottovalutare anche la funzione di rilevamento delle truffe telefoniche in tempo reale, alimentata dall’intelligenza artificiale: durante una chiamata sospetta, il dispositivo è in grado di avvisare l’utente nell’immediato grazie all’elaborazione del linguaggio naturale. Infine, grazie all’integrazione profonda con i Google Play Services, Google può distribuire aggiornamenti di sicurezza critici senza dover attendere un aggiornamento di sistema completo.

Per chi cerca uno smartphone che metta la sicurezza al primo posto, il Pixel 10 Pro rimane, dati alla mano, la scelta migliore disponibile sul mercato.

Samsung sta ampliando in modo significativo la compatibilità della sua funzione Quick Share con AirDrop di Apple, rendendo possibile la condivisione di file tra smartphone Galaxy e iPhone in modo ancora più semplice e diretto. L’aggiornamento, disponibile attraverso la beta di One UI 8.5, estende la funzionalità a un numero maggiore di dispositivi rispetto alla fase iniziale.

Quali dispositivi Galaxy ora supportano AirDrop

In precedenza la compatibilità con AirDrop era riservata soltanto a una ristretta selezione di modelli di ultima generazione. Con il nuovo aggiornamento, Samsung ha incluso sia i flagship del 2024 che quelli del 2025. I dispositivi attualmente supportati, a patto di partecipare al programma beta di One UI 8.5, sono:

• Galaxy S25, S25+ e S25 Ultra
• Galaxy Z Fold 7 e Z Flip 7
• Galaxy S24, S24+ e S24 Ultra
• Galaxy Z Fold 6 e Z Flip 6

Restano invece ancora esclusi i modelli della serie Galaxy S23 e i pieghevoli Z Fold 5 e Z Flip 5, nonostante anch’essi possano partecipare al programma beta. Samsung ha però lasciato intendere che ulteriori dispositivi potrebbero essere aggiunti nel corso del mese.

La condivisione cross-platform diventa realtà

L’aspetto più rilevante di questo aggiornamento è la possibilità concreta di abbattere le barriere tra ecosistemi diversi. Fino ad oggi, condividere file tra un Galaxy e un iPhone era un’operazione macchinosa, spesso legata all’utilizzo di app di terze parti o al trasferimento via cloud. Con Quick Share e AirDrop che lavorano in sinergia, questo processo diventa fluido e immediato, simile a quanto già avviene all’interno dei rispettivi ecosistemi.

Come accedere alla funzione e disponibilità geografica

Per provare la nuova funzionalità è necessario iscriversi al programma beta di One UI 8.5 tramite l’app Samsung Members, dove la registrazione avviene tramite un banner o una notifica dedicata. La distribuzione è attualmente in corso in modo graduale in diversi Paesi, tra cui Stati Uniti, Regno Unito, India e Corea del Sud. Non è ancora chiaro quando arriverà anche in Italia, ma la progressiva espansione fa ben sperare per un rilascio a breve termine.

L’evoluzione di Quick Share verso una piena interoperabilità con iOS rappresenta un passo importante nella direzione di un ecosistema mobile più aperto, in linea con le tendenze normative globali che spingono sempre più per la compatibilità tra piattaforme diverse.

Si parla di:
Toggle

• L’esca: la finta azienda e il finto recruiter
• La catena d’attacco: tre stadi per un RAT
• L’obiettivo reale: i wallet di criptovaluta
• I marcatori di attribuzione a Lazarus Group
• Timeline della campagna
• Indicatori di compromissione (IoC)
• Come proteggersi

Da maggio 2025, un gruppo di minaccia attribuito con alta confidenza a Lazarus Group — il collettivo di hacker sponsorizzato dallo Stato nordcoreano — conduce un’operazione silenziosa e metodica contro sviluppatori JavaScript e Python specializzati in criptovalute e blockchain. La campagna, battezzata Graphalgo dai ricercatori di ReversingLabs, ha prodotto 192 pacchetti malevoli su npm e PyPI e ha preso di mira centinaia di professionisti attraverso uno strumento di social engineering particolarmente subdolo: un colloquio di lavoro tecnico.

L’esca: la finta azienda e il finto recruiter

Tutto inizia con un messaggio su LinkedIn, Facebook o un forum come Reddit. Un recruiter — cortese, professionale, apparentemente legittimo — si presenta come rappresentante di Veltrix Capital, società nel settore blockchain-fintech con un sito web dall’aspetto curato (veltrixcap.org, registrato il 4 aprile 2025). La posizione è appetibile: sviluppatore per una piattaforma di exchange crypto. Il processo di selezione è familiare: un task tecnico, un repository GitHub da clonare, del codice da eseguire.

Il repository appartiene all’organizzazione GitHub della finta azienda e appare legittimo in tutto e per tutto. La dipendenza richiesta si chiama graphnetworkx — un nome studiato per assomigliare alla ben nota libreria networkx. Oppure graphalgo, con varianti che seguono schemi di naming come graph-* o big-* su PyPI. In totale, i ricercatori hanno identificato 106 pacchetti malevoli su npm e 86 su PyPI — 192 in tutto.

La pazienza è un tratto distintivo dell’operazione: alcuni pacchetti sono rimasti benigni per settimane dopo la pubblicazione, accumulando fino a 10.000 download prima di essere attivati con il payload malevolo — una tattica che massimizza la probabilità di infettare sistemi reali prima che i controlli automatici possano rilevare la minaccia.

La catena d’attacco: tre stadi per un RAT

Il meccanismo di infezione è sofisticato quanto discreto e si articola in tre stadi.

Primo stadio: il pacchetto malevolo

Al momento dell’installazione o dell’import, il pacchetto scarica silenziosamente un secondo stadio da GitHub — non da fork anonimi, ma da repository apparentemente innocui come un banale blog_app con un file .env.example contenente payload cifrati. Nelle varianti più recenti, la raffinatezza aumenta ulteriormente: la chiave di decifrazione non è hard-coded nel pacchetto, ma viene costruita dinamicamente dagli argomenti passati al costruttore del grafo. Ad esempio, istanziare new Graph({weighted:true, directed:true}) genera la chiave "weighted-directed-graph". Il payload rimane cifrato e inerte finché il codice legittimo del candidato non lo attiva con i parametri corretti — una tecnica progettata specificamente per eludere l’analisi automatica da parte di sandbox e scanner.

Secondo stadio: il downloader adattivo

Il secondo stadio, ospitato su GitHub, funge da downloader che utilizza l’hash SHA256 del payload stesso, concatenato con l’hostname della macchina vittima, per derivare dinamicamente l’URL del server C2. Questo rende l’infrastruttura di comando e controllo unica per ogni vittima, complicando significativamente il monitoraggio e il blocco a livello di rete.

Terzo stadio: il RAT

Il Remote Access Trojan finale esiste in tre varianti — JavaScript, Python e Visual Basic Script — e comunica periodicamente con i server C2 (codepool[.]cloud, aurevian[.]cloud) per ricevere ed eseguire comandi arbitrari. Le comunicazioni sono protette da token di autenticazione, una caratteristica già osservata in precedenti campagne nordcoreane documentate, che impedisce a terze parti di interrogare l’infrastruttura C2 anche conoscendone l’indirizzo.

L’obiettivo reale: i wallet di criptovaluta

Un dettaglio rilevatore emerge dall’analisi del RAT: il malware verifica attivamente la presenza dell’estensione browser MetaMask. Non si tratta di un tentativo generico di accesso remoto: l’obiettivo primario è il furto di asset in criptovaluta, potenzialmente con accesso alle chiavi private dei wallet o alle seed phrase. Questo allinea Graphalgo con la lunga e documentata storia di Lazarus Group nel finanziamento delle operazioni di stato nordcoreane attraverso il furto di valuta digitale — una fonte di entrate stimata in miliardi di dollari negli ultimi anni.

I marcatori di attribuzione a Lazarus Group

L’attribuzione alla cellula nordcoreana non si basa su un singolo indizio, ma su una convergenza di evidenze tecniche e operative:

• Fuso orario: i commit Git mostrano attività nel fuso GMT+9 — il fuso orario standard della Corea del Nord.
• Tecnica d’approccio: le fake recruiter campaign sono una firma operativa consolidata del gruppo, documentata in campagne precedenti come “Contagious Interview” e “DEV-0139”.
• Focus crypto: in linea con decine di operazioni precedenti finalizzate al furto di valuta digitale per finanziare il regime di Pyongyang.
• C2 token-protected: tecnica osservata in precedenti campagne DPRK e mai diventata uno standard nel cybercrime comune.
• Pazienza operativa e sviluppo attivo: la campagna è attiva da maggio 2025, con nuove varianti introdotte regolarmente; l’introduzione del naming big-* a novembre 2025 dimostra sviluppo continuativo.
• RAT multi-linguaggio: la disponibilità di tre versioni del RAT (JS, Python, VBS) indica un’organizzazione con risorse, non un singolo attore.

Timeline della campagna

• 2 maggio 2025: primo pacchetto npm pubblicato (graphalgo@2.2.6)
• 13 giugno 2025: prima variante PyPI
• 17 novembre 2025: introdotta la variante di naming big-* su npm
• 9 dicembre 2025: variante big-* appare su PyPI
• 4 febbraio 2026: identificata variante VBS del RAT (SHA1: dbb4031e9bb8f8821a5758a6c308932b88599f18)
• Aprile 2026: campagna ancora attiva con nuovi package pubblicati settimanalmente

Indicatori di compromissione (IoC)

Domini C2

codepool[.]cloud
aurevian[.]cloud

Organizzazione GitHub malevola

johns92/blog_app (secondo stadio)
raw.githubusercontent.com/johns92/blog_app/refs/heads/main/server/.env.example

File sospetti

graph-settings.min.js
graph-alg.min.js
graph_config.py
load_libraries.py
/Scripts/startup.js  (directory Chrome)

Hash (variante VBS del RAT)

SHA1: dbb4031e9bb8f8821a5758a6c308932b88599f18

Come proteggersi

• Verificare sempre l’identità del recruiter e dell’azienda prima di clonare ed eseguire qualsiasi codice proveniente da task tecnici
• Controllare la presenza nei propri progetti di dipendenze con nomi graph-* o big-* non riconducibili a librerie standard
• Ispezionare i processi in esecuzione per connessioni verso codepool[.]cloud e aurevian[.]cloud
• Verificare l’integrità delle estensioni browser, in particolare MetaMask
• Se si ha un wallet crypto sull’host potenzialmente compromesso: considerarlo esposto e ruotare immediatamente le chiavi/generare un nuovo wallet
• Segnalare offerte di lavoro sospette che richiedono l’esecuzione di codice a npm security (npm.community) e PyPI (security@pypi.org)

Fonti primarie: ReversingLabs – Inside Graphalgo | ReversingLabs – Fake Recruiter Campaign | GBHackers

Si parla di:
Toggle

• La catena del veleno: come funziona una supply chain attack
• Il punto di partenza: Trivy e le credenziali rubate
• L’effetto domino: npm, Checkmarx, LiteLLM, Telnyx
• L’anatomia del payload: sei fasi per compromettere tutto
• Il colpo più clamoroso: la Commissione Europea
• Indicatori di compromissione (IoC)
• Cosa fare se si è stati esposti

Tra marzo e aprile 2026, un gruppo criminale noto come TeamPCP ha orchestrato uno degli attacchi alla supply chain del software più devastanti degli ultimi anni: in meno di dieci giorni ha compromesso strumenti di sicurezza usati da milioni di sviluppatori, rubato credenziali da oltre 500.000 sistemi e — grazie a una chiave AWS sottratta — ha violato le infrastrutture cloud della Commissione Europea, esfiltrando 340 GB di dati da 71 enti dell’Unione.

La catena del veleno: come funziona una supply chain attack

Attaccare uno strumento usato da migliaia di organizzazioni significa colpire migliaia di bersagli con una singola operazione. TeamPCP ha applicato questa filosofia in modo sistematico, con una raffinatezza tecnica che ha sorpreso persino i ricercatori più esperti. Il punto critico sfruttato è quello che in gergo si chiama trusted build pipeline: le pipeline CI/CD che automaticamente scaricano dipendenze, eseguono scanner di sicurezza e pubblicano package su registri pubblici come npm e PyPI. Una volta compromessa questa infrastruttura, il codice malevolo si propaga silenziosamente a tutti gli utilizzatori del pacchetto.

Il punto di partenza: Trivy e le credenziali rubate

Il 19 marzo 2026, TeamPCP ha sfruttato credenziali CI/CD parzialmente ruotate dopo un incidente minore avvenuto a fine febbraio nel repository GitHub di Aqua Security Trivy — uno degli scanner di vulnerabilità open-source più utilizzati al mondo. Con queste credenziali, il gruppo ha pubblicato una versione malevola (v0.69.4) del tool ed eseguito il force-push di 76 dei 77 tag della GitHub Action aquasecurity/trivy-action, sostituendo i tag legittimi con commit malevoli.

In parallelo, il gruppo ha deturpato l’organizzazione GitHub di Aqua Security, rinominando 44 repository con il prefisso “tpcp-docs-” — un messaggio esplicito: “TeamPCP Owns Aqua Security.”

L’effetto domino: npm, Checkmarx, LiteLLM, Telnyx

A partire dal 20 marzo, TeamPCP ha sfruttato le credenziali sottratte per propagarsi orizzontalmente su altri ecosistemi:

• npm (20–22 marzo): Compromessi più di 45 pacchetti, inclusi scope @emilgroup e @opengov, con deployment di un worm auto-replicante focalizzato su payload Kubernetes.
• Checkmarx (23 marzo): Le GitHub Actions KICS e AST sono state backdoorate; compromesse anche due estensioni OpenVSX.
• LiteLLM (24 marzo): Due versioni del popolare AI gateway PyPI (1.82.7 e 1.82.8) pubblicate con payload malevoli. Particolarmente insidiosa la 1.82.8: il malware è stato iniettato in un file .pth denominato litellm_init.pth. L’interprete Python processa automaticamente i file .pth all’avvio, il che significa che il malware si eseguiva ad ogni avvio di qualsiasi processo Python, indipendentemente dal fatto che LiteLLM fosse mai importato.
• Telnyx (27 marzo): Versioni 4.87.1 e 4.87.2 avvelenate con un payload particolarmente creativo: il malware veniva scaricato da un file WAV (ringtone.wav) — un secondo stadio XOR-cifrato nascosto steganograficamente nei frame audio del file.

L’anatomia del payload: sei fasi per compromettere tutto

Il payload di LiteLLM operava in sei fasi distinte:

1. Raccolta credenziali: variabili d’ambiente, chiavi SSH, credenziali cloud (AWS, GCP, Azure), token Kubernetes, configurazioni Docker, cronologia shell, credenziali database, wallet file, segreti CI/CD.
2. Cifratura: chiave di sessione AES-256 con wrapping RSA-4096.
3. Esfiltrazione: dati inviati a models.litellm[.]cloud con header HTTP X-Filename: tpcp.tar.gz.
4. Persistenza: creazione di ~/.config/sysmon/sysmon.py e unità systemd sysmon.service.
5. Payload secondario: polling di https://checkmarx[.]zone/raw per eseguire codice controllato dagli attaccanti.
6. Propagazione Kubernetes: se disponibili token di service account, creazione di pod privilegiati node-setup-* per espandersi nel cluster.

Vale la pena sottolineare un dettaglio agghiacciante sul deploy Kubernetes: sui sistemi ritenuti non iraniani, veniva creato un DaemonSet host-provisioner-std; sui sistemi con caratteristiche riconducibili all’Iran, veniva invece lanciato un container denominato kamikaze che cancellava il filesystem dell’host e forzava il reboot del nodo — un payload distruttivo deliberatamente riservato a un target geopolitico specifico.

Il colpo più clamoroso: la Commissione Europea

Il 19 marzo, il payload Trivy aveva silenziosamente sottratto le chiavi API AWS della piattaforma Europa di hosting web dell’Unione Europea — chiavi che, come si è scoperto, funzionavano come master key sull’intera infrastruttura cloud della Commissione. Passano cinque giorni prima che l’accesso venga rilevato.

La timeline della crisi istituzionale:

• 19 marzo: accesso iniziale, chiavi AWS sottratte tramite Trivy
• 24 marzo: rilevamento dell’accesso anomalo (5 giorni di dwell time)
• 25 marzo: CERT-EU viene notificato
• 28 marzo: le credenziali compaiono sul dark web, pubblicate da ShinyHunters
• 2 aprile: la Commissione Europea divulga ufficialmente l’incidente

Il bilancio: 340 GB esfiltrando (91,7 GB compressi) da 71 enti clienti della piattaforma EU — 42 dipartimenti interni della Commissione più 29 altri enti UE. Inclusi circa 52.000 file email (2,22 GB di comunicazioni in uscita). Almeno 30 entità dell’Unione potenzialmente impattate, rendendo questo uno dei breach più significativi nella storia delle istituzioni europee.

La comparsa dei dati su ShinyHunters apre ulteriori interrogativi: il gruppo criminale opera indipendentemente da TeamPCP, suggerendo che le credenziali siano state cedute o vendute, complicando ulteriormente il quadro di attribuzione.

Indicatori di compromissione (IoC)

Rete

models.litellm[.]cloud
checkmarx[.]zone
83.142.209[.]203 / 83.142.209[.]11
46.151.182[.]203
championships-peoples-point-cassette.trycloudflare.com
investigation-launches-hearings-copying.trycloudflare.com
aquasecurtiy[.]org  (typosquat)

Filesystem

litellm_init.pth
~/.config/sysmon/sysmon.py
~/.config/systemd/user/sysmon.service
/tmp/pglog
/tmp/.pg_state

Kubernetes

Pod names: node-setup-*
DaemonSets: host-provisioner-std, host-provisioner-iran
Container names: kamikaze, provisioner

Cosa fare se si è stati esposti

• Aggiornare immediatamente i package colpiti alle versioni sicure (verificare i changelog ufficiali dei maintainer)
• Ruotare tutte le credenziali presenti sull’host: AWS, GCP, SSH, database, token CI/CD
• Verificare la presenza del file litellm_init.pth e del servizio sysmon.service
• Analizzare i log di rete per traffico verso i domini e IP indicati negli IoC
• Se si opera Kubernetes, ispezionare pod e DaemonSet per anomalie
• Se si trovano tracce di compromissione, considerare l’host come completamente compromesso e procedere a re-imaging

Fonti primarie: Datadog Security Labs | Palo Alto Unit42 | SANS ISC

È deciso: da oggi non si parlerà più di anno del desktop Linux, bensì del… Mese! Già perché ormai è davvero difficile orientarsi: non sappiamo infatti se, come scritto all’inizio di marzo, anche il 2026 non sarà l’anno del desktop Linux, ma nuovi (e contraddittori) numeri ribaltano totalmente la prospettiva di quell’articolo. Pare infatti che...

🔗 Leggi il post completo

Su iniziativa del Primo Ministro, del Ministro dell’Azione Pubblica e dei Conti e del Ministro Delegato per l’Intelligenza Artificiale e gli Affari Digitali, la Direzione Interministeriale per gli Affari Digitali (DINUM), in collaborazione con la Direzione Generale per le Imprese (DGE), l’Agenzia Nazionale Francese per la Cibersicurezza (ANSSI) e la Direzione Generale degli Appal...

🔗 Leggi il post completo

Il 22 marzo 2025 ho presentato con entusiasmo l’articolo “Arch Linux: Un Piccolo Aiuto“, che annunciava il mio nuovo progetto software nato per rendere più accessibile l’utilizzo di Arch Linux ai nuovi utenti. Ad aprile 2025,...

🔗 Leggi il post completo

Miracle-WM è un compositor per Wayland che integra come elemento centrale un gestore di finestre affiancate, offrendo così un ambiente di lavoro basato sul tiling capace di organizzare automaticamente le finestre senza sovrapposizioni. Questa...

🔗 Leggi il post completo

A poche settimane dal lancio ufficiale, previsto per il 15 aprile 2026, il Nothing Phone (4a) Pro si trova al centro di alcune polemiche legate alla qualità costruttiva. Su Reddit sono apparse diverse segnalazioni di utenti che riportano la comparsa di bolle sul pannello posteriore del dispositivo.

Cosa sta succedendo?

Tutto è partito da un post su Reddit in cui un utente descriveva la comparsa di piccole bolle nella zona della fotocamera posteriore — più precisamente nell’area dell’interfaccia Glyph — apparse pochi giorni dopo l’acquisto. L’utente ha specificato che le bolle non scomparivano nemmeno strofinando il pannello.

Il post ha attirato l’attenzione di altri utenti che hanno riportato lo stesso problema, portando la discussione a diffondersi progressivamente all’interno della community.

Diffusione del problema

Nei commenti al thread originale sono emersi diversi pattern ricorrenti:

• Alcune bolle compaiono e scompaiono in base alla temperatura del dispositivo
• In certi casi, il surriscaldamento durante l’uso influisce sulla loro visibilità
• Le segnalazioni sono aumentate nel tempo, sebbene sia difficile quantificarne l’entità reale

C’è chi ritiene si tratti di un problema isolato e chi invece sta adottando un atteggiamento prudente in attesa di avere dati più chiari.

Le cause ipotizzate

Il pannello posteriore e la sezione Glyph del Nothing Phone (4a) Pro sono in materiale plastico. Le ipotesi più accreditate dalla community riguardano:

• Bolle d’aria rimaste intrappolate durante la produzione
• Problemi con il collante utilizzato durante l’assemblaggio
• Piccole imperfezioni strutturali che si evidenziano con l’uso e le variazioni di temperatura

Come si è comportata Nothing?

Alcuni utenti hanno portato il dispositivo al centro assistenza e riportano di aver ottenuto la sostituzione dell’unità senza troppe difficoltà, con il problema classificato come “difetto di produzione”. Tuttavia, è stato segnalato che superati i 7 giorni dall’acquisto il percorso diventa più complicato, passando dalla sostituzione alla riparazione.

Un ulteriore motivo di preoccupazione riguarda la certificazione IP: una riparazione del pannello posteriore potrebbe comprometterla, un aspetto che non è passato inosservato tra gli utenti più attenti.

Impatto sulle intenzioni d’acquisto

La notizia ha già avuto un effetto su parte della community:

• Alcuni utenti hanno cancellato la prenotazione
• Altri hanno deciso di aspettare le unità della seconda produzione prima di acquistare
• Si discute di possibili ripercussioni sul valore di rivendita del dispositivo

Nothing Technology dovrebbe fare chiarezza in occasione dell’annuncio ufficiale del 15 aprile. Al momento l’azienda non ha rilasciato dichiarazioni pubbliche sul problema. Seguiremo gli sviluppi.

Arrivano nuovi dettagli sul prossimo flagship di Xiaomi. Il futuro Xiaomi 18 Pro — e il modello Pro Max — dovrebbe portare un importante cambiamento nella sezione fotografica: un sensore periscopico da ben 200 megapixel, ma con una lunghezza focale ridotta rispetto al modello attuale.

200MP per il teleobiettivo periscopico

Secondo le ultime indiscrezioni, Xiaomi 18 Pro e 18 Pro Max adotteranno entrambi un sensore periscopico da 200 megapixel per il teleobiettivo. Si tratta di un notevole salto rispetto ai 50MP dell’attuale Xiaomi 17 Pro Max, ma la vera novità — e il punto più discusso — riguarda la lunghezza focale.

Zoom ottico ridotto: da 5x a circa 3,5x

La lunghezza focale scenderà da circa 115mm (equivalente 5x) a circa 85mm (equivalente 3–3,5x). In termini pratici, questo significa che lo zoom ottico sarà inferiore rispetto ai modelli precedenti, una scelta che potrebbe sorprendere chi si aspettava un’evoluzione lineare delle prestazioni fotografiche.

La strategia: puntare sull’AI zoom

La ragione di questa scelta sembra essere una precisa scommessa sul zoom ibrido e sull’intelligenza artificiale. Con 200 megapixel a disposizione, Xiaomi potrebbe offrire uno zoom digitale “lossless” (senza perdita visibile di qualità) fino a 6x–7x o oltre, sfruttando il ritaglio sull’enorme sensore. In sostanza, la qualità percepita allo zoom potrebbe rimanere eccellente — o addirittura migliorare — nonostante il ridotto zoom ottico.

Snapdragon 8 Elite Gen 6 Pro e altre specifiche

Per quanto riguarda il resto della scheda tecnica, i leak riportano:

• Processore Snapdragon 8 Elite Gen 6 Pro
• Display da 6,3" per lo Xiaomi 18 Pro e 6,9" per il Pro Max
• Batteria da oltre 7.000 mAh
• Cornici sempre più sottili grazie a un display a bordi ridotti ulteriormente

Quando arriva?

La presentazione è attesa per settembre 2026, quindi c’è ancora tempo prima di avere conferme ufficiali. Tuttavia, la direzione intrapresa da Xiaomi sul fronte fotografico è già al centro del dibattito tra gli appassionati: abbandonare l’alto zoom ottico in favore di un sistema ibrido AI è una scelta coraggiosa, che verrà giudicata solo dai test sul campo.

Google sta lavorando a una nuova funzionalità per Google Foto che potrebbe trasformare l’app in un vero e proprio gestore del guardaroba digitale. La funzione, chiamata Wardrobe, è stata scoperta analizzando il codice interno dell’applicazione ed è ancora in fase sperimentale.

Cosè la funzione Wardrobe?

Wardrobe è una nuova funzione che riconosce automaticamente i vestiti presenti nelle foto salvate nell’app e li organizza in un’apposita collezione. In pratica, Google Foto potrebbe diventare un “armadio digitale” dove ritrovare facilmente tutti i tuoi outfit catturati nel tempo.

La funzione non si limiterebbe alle sole foto scattate dall’utente: anche le immagini salvate da altre fonti potrebbero essere incluse nel riconoscimento, permettendo di archiviare look scoperti online insieme a quelli personali.

Personalizzazione e controllo

Stando alle informazioni emerse dall’analisi del codice, Wardrobe includerà opzioni di personalizzazione: sarà possibile escludere determinate foto dalla raccolta o modificare la visualizzazione degli outfit. È previsto anche un interruttore per disattivare la funzione, pensato per chi non è interessato a questo tipo di organizzazione.

Combinare outfit da foto diverse

Uno degli aspetti più interessanti riguarda la possibilità di combinare capi di abbigliamento provenienti da foto diverse per creare nuovi outfit virtuali. Nelle animazioni interne all’app sono stati individuati elementi che suggeriscono la combinazione di capi singoli in un’unica visualizzazione, aprendo la strada a un utilizzo creativo della propria raccolta fotografica.

Integrazione con il Try On di Google

Google ha già sviluppato una funzione di prova virtuale dei vestiti per il suo motore di ricerca Shopping. La nuova funzione Wardrobe potrebbe integrarsi con questa tecnologia, consentendo di visualizzare come starebbero addosso i capi salvati nelle proprie foto, direttamente dall’app.

Quando arriva?

Non è ancora noto quando — e se — questa funzione verrà rilasciata ufficialmente. Al momento è considerata una funzionalità sperimentale in sviluppo. Tuttavia, rappresenta un segnale chiaro della direzione che Google vuole dare a Google Foto: non più solo un album fotografico, ma uno strumento sempre più integrato con l’intelligenza artificiale per gestire la vita quotidiana.

GNU nano è uno degli editor di testo a riga di comando più utilizzati nei sistemi operativi di tipo Unix, grazie alla sua combinazione di semplicità, intuitività e potenza. Nato nel 1999 come alternativa...

🔗 Leggi il post completo

Se siete tra quanti seguono sempre con attenzione le notizie inerenti all’evoluzione delle soluzioni office open-source avrete notato come, nelle ultime settimane, si sia abbattuto un vero e proprio terremoto che ha coinvolto tutti gli attori protagonisti. Partiamo dalla The Document Foundation, la quale mediante una recente serie di commit ha escluso alcuni dei contributori...

🔗 Leggi il post completo

Immich è una piattaforma open source per la gestione self‑hosted, ovvero su di un proprio server, di foto e video, progettata per offrire controllo totale sui contenuti multimediali senza dipendere da servizi cloud proprietari. Il progetto nasce...

🔗 Leggi il post completo

APT (Advanced Package Tool) è il gestore di pacchetti software predefinito per le distribuzioni basate su Debian, progettato per semplificare l’installazione, l’aggiornamento e la rimozione di software. Nato nel 1998 come parte del progetto...

🔗 Leggi il post completo

Alacritty è un emulatore di terminale moderno, open source e multi piattaforma, sviluppato in linguaggio Rust e progettato per offrire prestazioni elevate grazie all’accelerazione tramite GPU (Unità di Elaborazione Grafica). Si tratta in particolare...

🔗 Leggi il post completo

Hardware. Non ce n’è mai abbastanza. L’acquisto di potere computazionale, sia esso CPU, GPU o RAM è oggi roba da ricchi, ed è più che logico quando si sceglie un sistema operativo, interrogarsi su quali siano le richieste minime. In questo senso Linux si è sempre distinto come soluzione cheap oltre che in termini di...

🔗 Leggi il post completo

Cosa vuol dire avere una conoscenza consistente? È una domanda che molte persone dovrebbero porsi all’interno di questo nuovo mondo informatico artificiale, dove chi fino a ieri avrebbe dovuto maturare esperienza per produrre applicazioni, oggi inserisce un prompt per ottenere un prodotto finito nel giro di qualche secondo. Questa abilità sbloccata ha mandato in visibilio...

🔗 Leggi il post completo