Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Hier wird die mobile App von Friendica super gut aufbereitet. Was viele nicht wissen: Raccoon kann auch mit Mastodon und weiteren Anwendungen im Fediverse genutzt werden. Deren Nutzer erhalten damit Funktionen, die üblicherweise Friendica-Benutzern vorbehalten sind.

Probiert sie einfach aus.
#Raccoon #Friendica #Fediverse #MobileApp


When the Open Social Web Hybridizes: Raccoon for Friendica is a new app... Mastodon. And it even has a little Lemmy in it! That's why the Free Software + Fediverse duo is such a valuable resource.


@fediverse

Raccoon 1.0 was finally released for Android in recent days, a rather innovative client originally created for #Friendica, but which has now become one of the most innovative apps for the user experience on #Mastodon. The app is available for Android (already on the Play Store and Izzidroid, and will soon be available on F-Droid), but a #Debian package has also been released. An iOS version remains to be seen for its success.

The app introduces some very important innovations to the federated app landscape.

1. Navigate the Fediverse from an app, even without creating an account


Raccoon is the only app that lets you browse the Fediverse even without an account. When you install it, you can select any Friendica or Mastodon instance and "leverage" its local public and federated timelines. This way, users can explore multiple instances before choosing which one to open an account on. Of course, even after adding an account (the app manages multiple accounts), you can browse the timelines of servers other than the one you signed up to.

2. "Browse through" messages: "swipe" navigation


Unlike all other social apps (both those for the Fediverse and those for commercial social networks), #RaccoonForFriendica lets you open a post in your timeline and continue browsing through previous and next posts by simply swiping left and right.
This is a truly interesting ergonomic innovation.

3. Finally a formatting bar in social apps


Since the app was created for Friendica, it features a built-in formatting toolbar reminiscent of Lemmy clients (in fact, the developer @janTeko first experimented with app development with a Lemmy app). The formatting toolbar can also be used for Mastodon instances running the Glitch-soc fork, such as infosec.exchange, tech.lgbt, and my poliversity.it instance, which was the one the developer experimented with.

In addition to being more immediate, writing formatted posts is also made easier by a "preview" function that helps avoid errors in Markdown or BBCode coding.

4. Finally, Mastodon users will be able to enjoy Fediverse groups too.


As you may know, Mastodon doesn't support the display of group posts. Even if you select a group, you'll still see a single timeline where top posts alternate with replies. Searching for a thread on Mastodon is therefore very complicated, but the #Raccoon developer has found a way to enable "topic" viewing across all accounts that are "activitypub groups," be they #Lemmy, #NodeBB, Piefed, Mbin, Peertube, Wordpress, Mobilizon, Flipboard, etc.
This idea also came about thanks to the fact that the developer had previously tried his hand at developing an app for Lemmy and was able to experiment with the formatting bars and display of Lemmy "communities," which are nothing other than "#activitypub groups."

5. Other interesting features


Among other features, you can


6. What's still missing?


The app features all the features found in most other Mastodon apps, except one: the correct handling of Mastodon posts that quote other posts. These are still displayed in a fairly primitive way. The developer is trying to decide whether to adapt to Mastodon specifications or reinterpret the feature in a more personalized way.
It must be said that, unfortunately, the implementation of quoted messages (already present in Friendica for ages) was implemented by Mastodon very late, only in recent months, and in a very "personal" way that many other software developers did not appreciate.

7. Raccoon is an app that will benefit users who already use Mastodon but also those who have never "tried" the Fediverse


This app has been under development for almost two years, and the beta version is just over a year old. However, version 1.0 has resolved all previously encountered issues.
Based on user feedback, the developer will evaluate whether to create an iOS version and even a Windows version.
Anyone who wishes to allow reporting of application errors can enable anonymous crash reports.

8. Links and Resources


This is the developer's profile:
androiddev.social/users/janTek…

This is the app repository: github.com/LiveFastEatTrashRac…

This is the Play Store link:
play.google.com/store/apps/det…

This is the link on IzzyDroid (the app will be released on F-Droid soon, but is currently under review):
apt.izzysoft.de/fdroid/index/a…

Here is the developer's blog:
livefasteattrashraccoon.github…

Finally, from here you can download the .apk or .deb package without using the online stores. line:
github.com/LiveFastEatTrashRac…

One last recommendation


The public's response will be important to enable the further development of this app.
If you want to test it on Mastodon, I recommend using instances running the glitch-soc fork. Among these, I'd recommend the infosec.exchange instance, which is well managed by @jerry. And of course, but only if you communicate in Italian or Esperanto, I'd be happy to host you on my poliversity.it instance.
Regarding Friendica, I recommend two instances: friendica.world, managed by @ruud and featuring a rather lively timeline, and, of course, social.trom.tf, excellently managed by @tio.
If you communicate in Italian, I'd be happy to host you on my poliverso.org instance.

Greetings to all and let me know if you need further information, if you have tried the app and how you found it.
Francesco
You can also interact with me through the Mastodon account @informapirata and the Friendica account @notizie



in reply to Barbara Elers

@Barbara Elers
Jetzt verstehe ich erst ;) Wir haben die Registrierung geschlossen. Daher werden wir nicht mehr in der Liste der Instanzen angezeigt.

Um dich mit dem bestehenden Account zu verbinden, klickst du die Auswahl "Sonstiges" an. Jetzt hast du ein frei beschreibbares Feld. Dort gibst du loma.ml ein. Anschließend noch Login und Passwort eingeben und du bist mit der App verbunden.

in reply to Matthias

@Matthias @macfranc
Quite strange experience! With Fedilab on my tablet I get exactly the same public network timeline I see with the desktop browser frontend. Raccoon shows me a different one. Other order and posts, I do not see on my desktop. I block two instances on my desktop but this cannot make such a difference.
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Il nuovo post di universita-it: TOLC-SPS: cos’è, struttura del test e come prepararsi

Qui il post completo: universita.it/tolc-sps/

@universitaly

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

When the Open Social Web Hybridizes: Raccoon for Friendica is a new app... Mastodon. And it even has a little Lemmy in it! That's why the Free Software + Fediverse duo is such a valuable resource.


@fediverse

Raccoon 1.0 was finally released for Android in recent days, a rather innovative client originally created for #Friendica, but which has now become one of the most innovative apps for the user experience on #Mastodon. The app is available for Android (already on the Play Store and Izzidroid, and will soon be available on F-Droid), but a #Debian package has also been released. An iOS version remains to be seen for its success.

The app introduces some very important innovations to the federated app landscape.

1. Navigate the Fediverse from an app, even without creating an account


Raccoon is the only app that lets you browse the Fediverse even without an account. When you install it, you can select any Friendica or Mastodon instance and "leverage" its local public and federated timelines. This way, users can explore multiple instances before choosing which one to open an account on. Of course, even after adding an account (the app manages multiple accounts), you can browse the timelines of servers other than the one you signed up to.

2. "Browse through" messages: "swipe" navigation


Unlike all other social apps (both those for the Fediverse and those for commercial social networks), #RaccoonForFriendica lets you open a post in your timeline and continue browsing through previous and next posts by simply swiping left and right.
This is a truly interesting ergonomic innovation.

3. Finally a formatting bar in social apps


Since the app was created for Friendica, it features a built-in formatting toolbar reminiscent of Lemmy clients (in fact, the developer @janTeko first experimented with app development with a Lemmy app). The formatting toolbar can also be used for Mastodon instances running the Glitch-soc fork, such as infosec.exchange, tech.lgbt, and my poliversity.it instance, which was the one the developer experimented with.

In addition to being more immediate, writing formatted posts is also made easier by a "preview" function that helps avoid errors in Markdown or BBCode coding.

4. Finally, Mastodon users will be able to enjoy Fediverse groups too.


As you may know, Mastodon doesn't support the display of group posts. Even if you select a group, you'll still see a single timeline where top posts alternate with replies. Searching for a thread on Mastodon is therefore very complicated, but the #Raccoon developer has found a way to enable "topic" viewing across all accounts that are "activitypub groups," be they #Lemmy, #NodeBB, Piefed, Mbin, Peertube, Wordpress, Mobilizon, Flipboard, etc.
This idea also came about thanks to the fact that the developer had previously tried his hand at developing an app for Lemmy and was able to experiment with the formatting bars and display of Lemmy "communities," which are nothing other than "#activitypub groups."

5. Other interesting features


Among other features, you can


6. What's still missing?


The app features all the features found in most other Mastodon apps, except one: the correct handling of Mastodon posts that quote other posts. These are still displayed in a fairly primitive way. The developer is trying to decide whether to adapt to Mastodon specifications or reinterpret the feature in a more personalized way.
It must be said that, unfortunately, the implementation of quoted messages (already present in Friendica for ages) was implemented by Mastodon very late, only in recent months, and in a very "personal" way that many other software developers did not appreciate.

7. Raccoon is an app that will benefit users who already use Mastodon but also those who have never "tried" the Fediverse


This app has been under development for almost two years, and the beta version is just over a year old. However, version 1.0 has resolved all previously encountered issues.
Based on user feedback, the developer will evaluate whether to create an iOS version and even a Windows version.
Anyone who wishes to allow reporting of application errors can enable anonymous crash reports.

8. Links and Resources


This is the developer's profile:
androiddev.social/users/janTek…

This is the app repository: github.com/LiveFastEatTrashRac…

This is the Play Store link:
play.google.com/store/apps/det…

This is the link on IzzyDroid (the app will be released on F-Droid soon, but is currently under review):
apt.izzysoft.de/fdroid/index/a…

Here is the developer's blog:
livefasteattrashraccoon.github…

Finally, from here you can download the .apk or .deb package without using the online stores. line:
github.com/LiveFastEatTrashRac…

One last recommendation


The public's response will be important to enable the further development of this app.
If you want to test it on Mastodon, I recommend using instances running the glitch-soc fork. Among these, I'd recommend the infosec.exchange instance, which is well managed by @jerry. And of course, but only if you communicate in Italian or Esperanto, I'd be happy to host you on my poliversity.it instance.
Regarding Friendica, I recommend two instances: friendica.world, managed by @ruud and featuring a rather lively timeline, and, of course, social.trom.tf, excellently managed by @tio.
If you communicate in Italian, I'd be happy to host you on my poliverso.org instance.

Greetings to all and let me know if you need further information, if you have tried the app and how you found it.
Francesco
You can also interact with me through the Mastodon account @informapirata and the Friendica account @notizie
in reply to macfranc

Mastodon isn’t the entirely of ActivityPub apps. There's also PeerTube, Pixelfed, Loops, Micro.blog, Flipboard (145M users), Misskey, and many many others.

Is there any ActivityPub app that Lemmy is compatible with, or is it broken for all of them? Why pretend that it's part of a big Fediverse, when a vast majority of these instances are broken to us? (I'm not picking on discuss.tchncs.de, but you can plug in any Lemmy server you want and see the same kind of problems.)

The fact that Lemmy adopts solutions that are different from other software, but still more in line with Activitypub, shouldn’t be considered a problem.


You can have this stance, and be a purist about the RFCs and how the protocol is supposed to work. And you can push for these standards on your own platform for Lemmy.

But, at the end of the day, you still have to deal with the warts of other protocols and write the custom code it takes to bridge one app with another app. And then be thankful that you are not trying to bridge together an entirely different standard and are just trying to smooth over some structural differences in implementation.

in reply to P03 Locke

oh, a clarification: I'm still @macfranc@poliversity.it

I'm a fan of Lemmy, though I recognize that some limitations could be considered flaws (piefed.social/comment/11707767).

However, your perspective must take into account some design (and history) issues with the software you mentioned:

Lemmy barely works with PeerTube [discuss.tchncs.de]


It's important to understand a few concepts here:
- Lemmy is based on Activitypub groups
- A group works by "resharing" an initial post and all replies to that post
- With some programs (Mastodon's "socialverse," Misskey, Pleroma, Friendica, or Pixelfed), you can "post inside a group" only by mentioning the "group user"; with others (Lemmy/Piefed/Mbin/NodeBB's forumverse, but also Peertube, Mobilizon, or Flipboard), you simply assign a discussion to a group (you can do this easily from the interface). This second mode doesn't yet have a syntax shared by all the software in the Fediverse.
- Finally, a very important feature of Lemmy is that a post can only be published to one channel at a time. This might seem like a limitation (we'll discuss it later, when talking about Flipboard), but it's actually designed by the developers to prevent synchronous crossposting, which can dramatically increase spam.

Lemmy handles the display of Peertube content very well and correctly assigns it to the correct Peertube channel. What doesn't work well is the update system, which is why Lemmy can't act as a Peertube feed reader. This isn't Lemmy's fault, nor is it Peertube's, as each handles Activitypub groups differently.

Lemmy doesn't work with Pixelfed [discuss.tchncs.de]


That's not true. Lemmy handles Pixelfed very well. Pixelfed users can open threads on Lemmy or reply to Lemmy discussions. However, Pixelfed only shows users retweets made by Pixelfed, not those from other software. Therefore, Pixelfed users cannot access the groups.
Regarding your user, I'd like to point out that feddit.it can see it: feddit.it/u/NotAHopeInHades@pi…

Lemmy doesn't work with Loops [discuss.tchncs.de]


Loops is still a very immature software, with very limited interoperability. I wouldn't consider it a valid test for certifying Lemmy's functionality.
Regarding your user, I'd like to point out that feddit.it can see it: feddit.it/u/spaceotter@loops.v…

Lemmy doesn't work with Micro.blog [discuss.tchncs.de]


I'm not familiar with Microblog, but (regarding your user) I'd like to point out that feddit.it can see it: feddit.it/u/akshay@social.lear…

Lemmy doesn't seem to work with Flipboard


Flipboard uses groups to manage the "magazines" of the "main accounts." Magazines are the thematic sections of the main account. Basically, the main account (for example, @NationalGeographic@flipboard.com) publishes a news item, and depending on the topic, it can be published in the "Science" Activitypub group (@science-NationalGeographic@flipboard.com) or the "Environment" Activitypub group (@environment-NationalGeographic@flipboard.com), OR both.
This design, intended to maximize visibility on the Mastodon audience, is incompatible with Lemmy's logic.
Lemmy, in fact, as I mentioned before, doesn't allow synchronous crossposting of the same content across multiple groups.

The same goes for Misskey.


Lemmy handles Misskey very well. And Misskey handles Lemmy very well. I don't understand the problem.


From what I can see, that is not a back-end restructuring but as far as a new architectural design it will purely affect the front-end UI. Which will begin to look somewhat more similar to PieFed, yet without coming anywhere close to what PieFed offers today, as opposed to what PieFed offered like a year ago. e.g. there will be no ability to hold polls (or to share those custom-built feeds?).

More relevant is that Lemmy 1.0 may take a year or so to become fully deployed across the Threadiverse, if past experience is any judge. The devs say to explicitly expect major breaking bugs and perhaps to avoid deployment in prod as a result. And ofc apps are going to need to catch up as well. This one being a breaking change may lead most older apps unable to connect to an instance that uses the newer software (unless I am misreading that part about the older backwards compatible API).

Lemmy.world in particular, which holds ~50% of Threadiverse users and >90% of the most highly-active communities (unfortunately for the aim of decentralization) is well-known for delaying deployment until the Lemmy code fixes such issues.

So a year from now Lemmy will begin to catch up to some of what PieFed had almost a year ago in the past already, and meanwhile I expect PieFed will not itself be standing still all that time... I am glad to see that Lemmy is still being actively worked on, truly I am, but also I find it hard to actually be excited about that pace, by comparison. Then again, any movement forward still counts, and improves the Fediverse as a whole, so by however much, it is still a good thing! 😀


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

I would like to inform @fedizen about the presence of a brand-new reality on Fediverse, in very early public access. It's called @bizzfed and it's created by a German-speaking developer @rene and it proposes to create a federated platform inspired by Linkedin. Something related to professionals.
I'm very glad to notice that this dev seems very skilled, the platform is inspired by Linkedin concept and its goal is to provide a non-algorithmic, non-advertisement guided, point where professionals can meet.
in reply to hrast

On the contrary, that would put everything in its place, a serious and trustable Fedisoftware on one hand, and on the other hand, #LinkedIn getting even more closer to what it really is: the most putrid trashy limelight sink of a certain professional "elite", so the perfect mirror of #Microsoft .

@elettrona @fedizen @bizzfed @rene

in reply to Nelfaneor 🇪🇺 🇧🇪 🫏​✒️​♏​〽️​🟤​

@nelfan @hrast I'm on Linkedin because at work they ask me to. But let me say that I don't find anything useful there. I get lost with plenty of ads and people claiming what they aren't.
Think that some months ago I joined a database of "women working in tech" and guess what the social network they asked me to provide? Linkedin. And I warned them that Linkedin was the place where I'm less active. I post once a month when lucky, but I have no discussion there. However, for some companies or even associations, you're not a professional if you haven't linkedin.
in reply to Nelfaneor 🇪🇺 🇧🇪 🫏​✒️​♏​〽️​🟤​

I have got it: bizzfed.de/

Everything's in German. It isn't a problem for me since I can read and understand it but it would be wise to translate it into English as soon as possible to ensure its attractiveness outside the German speaking world.

@bizzfed @hrast @fedizen @rene

in reply to Nelfaneor 🇪🇺 🇧🇪 🫏​✒️​♏​〽️​🟤​

@nelfan @hrast In fact it's just in German language (I use it with automated translator), but the dev said English translation is in the roadmap. That's why I find it important to know it internationally; this way the dev is clearly motivated to push it further, to internationalize it more. Given that (want it or not) English speaking platforms are more attractive for professional, while if you speak just one non-english language, the niche is very restricted.
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

LE OFFERTE SPECIALI DI VANNACCI MARCHI

@news
Non spaventa il signor generale Vannacci che avanza trionfale con la sua “sporca dozzina”, orgoglioso dei suoi reclutati e loro del condottiero.
L'articolo LE OFFERTE SPECIALI DI VANNACCI MARCHI proviene da GIANO NEWS.

#EDITORIALI

reshared this

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

#12giugno

Per la #GiornataMondiale contro il #lavorominorile riproponiamo un contributo della rivista Italian Review of Legal History - #IRLH - nel quale si analizza il primo intervento dello Stato italiano nella contrattazione privata e nella pratica dei rapporti tra datori di lavoro ed operai a tutela del lavoro e dello #sfruttamento minorile.

⬇️Leggi l’articolo in #OpenAccess qui: riviste.unimi.it/index.php/irl…

@cultura

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

oggi, 12 giugno, a pisa, presentazione di “exit poetry”: lello voce, con autrici e autori, in dialogo con francesco brancati


presentazione di 'exit poetry' a pisa, 12 giu 2026
cliccare per ingrandire

_

#AntonioFrancescoPerozzi #ChiaraSerani #ExitPoetry #FrancescoBrancati #LaNaveDiTeseo #LauraGiuliberti #LelloVoce #libreriaTraLeRighe #MarkoMiladinovic #poesia #presentazione #reading

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

L'impresa storica di Venera 7


Gennaio 1966. Con la morte improvvisa del “costruttore capo” Sergej Korolev, l’Unione Sovietica è costretta a rifondare il programma spaziale. Il settore dell’esplorazione di Venere viene assegnato a Georgij Babakin, un esperto ingegnere elettrotecnico che aveva iniziato la carriera negli anni Trenta con gli apparati radio e radar prima di passare alla missilistica.

Gli scienziati sovietici vogliono studiare l'atmosfera, la superficie e le caratteristiche geografiche di Venere: si aspettano un mondo ricco di sorprese sotto le fitte nubi che ne ostacolano l'osservazione. Ma i primi tentativi si rivelano una lunga serie di delusioni. Venera 1 e Venera 2 non riescono a completare la missione: la prima perde i contatti durante il viaggio, la seconda smette di funzionare poco prima di raggiungere il pianeta. Le missioni successive, sotto la guida di Babakin, riescono a entrare nell’atmosfera venusiana, ma vengono schiacciate dalla pressione e dal calore prima di raggiungere il suolo: la pressione è pari a quella degli oceani terrestri, mentre la temperatura è quella della fumarola di un vulcano.

Con Venera 7 il gruppo guidato da Babakin cambia approccio e materiali e punta tutto sulla robustezza: il nuovo modulo di atterraggio è una sfera corazzata in titanio, anziché in lega di alluminio e magnesio, progettata per resistere a una pressione di 180 atmosfere e a una temperatura di 540 gradi. Lo spessore delle pareti varia dai 9 ai 25 millimetri, molto di più che su un’auto blindata. La capacità della batteria viene aumentata e per guadagnare minuti preziosi il lander verrà raffreddato fino all’ultimo secondo prima del distacco dal veicolo di crociera. Il paracadute, un multistrato di fibra di vetro e acrilico, viene deliberatamente rimpicciolito per accelerare la discesa e evitare che la sonda si “cuocia” prima ancora di arrivare al suolo. Una scommessa rischiosa ma inevitabile.

Dato che il modulo di atterraggio è diventato più pesante, viene alleggerito al massimo quello interplanetario, eliminando tutti gli strumenti scientifici tranne un contatore di particelle. Non basta ancora. Anche così il carico supera la portata del lanciatore Molniya-M, che viene quindi potenziato aggiungendo 140 chili di propellente.

Per rispettare le scadenze dopo aver rivoluzionato il progetto, Babakin e i suoi collaboratori lavorano a ritmi estenuanti, spesso fino a quattordici ore al giorno. Venera 7 viene lanciata il 17 agosto del 1970 e arriva a destinazione il 15 dicembre.

Il giorno dell’atterraggio la tensione è alle stelle. Dopo il frenaggio aerodinamico, si apre il paracadute che in un primo tempo regge bene, ma durante la discesa un guasto fa precipitare a terra la sfera di titanio a sessanta chilometri all’ora. La stazione di controllo in Crimera riceve soltanto rumore di fondo.

Sembra un altro fallimento. Tuttavia i nastri della stazione di terra continuano a registrare e dopo una settimana il radioastronomo Oleg Rzhiga li analizza di nuovo e con sua sorpresa scopre 23 minuti di trasmissioni debolissime, a meno dell’un per cento dell’intensità prevista, ma ancora decifrabili. Gli specialisti deducono che il lander è rimbalzato al suolo ed è caduto su un fianco con l’antenna puntata lontano dalla Terra. È la prima volta che una sonda fa un atterraggio (più o meno) morbido sulla superficie un altro pianeta e trasmette dati alla Terra.

Il piccolo lander ha superato nuvole di acido solforico, un urto che ucciderebbe sul colpo i passeggeri di un’automobile, temperature che fonderebbero il piombo e perfino lo zinco, e pressioni a cui non resisterebbe un sottomarino. Ma non si è rotto.

I pochi dati ricevuti confermano le peggiori aspettative. La temperatura è di circa 475 gradi e la pressione di 92 atmosfere, con venti di dieci chilometri l’ora. L’ambiente venusiano è un inferno dantesco, ma Venera 7 dimostra che può essere studiato. Le missioni successive approfondiranno la conoscenza del pianeta misurando i livelli di illuminazione, analizzando la composizione del suolo e, a partire da Venera 9, inviando le prime fotografie mai scattate dalla superficie di un altro pianeta.

Ma Babakin non le vedrà. Morirà l’anno successivo, a soli cinquantasei anni, anche lui prematuramente come Korolev e il suo maestro Semën Lavochkin. I frutti del suo lavoro saranno raccolti da altri, ma il suo contributo all’esplorazione di Venere non sarà dimenticato.

@astronomia


reshared this

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

oggi, 12 giugno, a roma: elisa montessori @ monitor (con interventi di giuseppe garrera)


.

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ RoguePlanet: il quinto zero-day di Nightmare Eclipse trasforma Microsoft Defender in un vettore di escalation a SYSTEM
#CyberSecurity
insicurezzadigitale.com/roguep…

@informatica


RoguePlanet: il quinto zero-day di Nightmare Eclipse trasforma Microsoft Defender in un vettore di escalation a SYSTEM


Ore dopo che Microsoft ha distribuito il Patch Tuesday di giugno 2026 — correggendo tra l’altro due zero-day dello stesso ricercatore — Nightmare Eclipse ha rilasciato pubblicamente RoguePlanet, un nuovo exploit che sfrutta una race condition in Microsoft Defender per elevare i privilegi a SYSTEM su sistemi completamente patchati. Il gesto è l’ultimo atto di una guerra a distanza tra il ricercatore e Redmond su pratiche di divulgazione e bug bounty, e solleva interrogativi scomodi sulla gestione delle vulnerabilità da parte della più grande azienda di software al mondo.

La saga Nightmare Eclipse: cinque zero-day, una disputa irrisolta


RoguePlanet è il quinto exploit zero-day pubblicamente rilasciato da Nightmare Eclipse negli ultimi mesi, dopo BlueHammer, RedSun, GreenPlasma e YellowKey. I precedenti exploit hanno colpito Microsoft Defender, BitLocker e componenti core di Windows; GreenPlasma e YellowKey sono stati corretti proprio nel Patch Tuesday del 9 giugno 2026.

Il ricercatore sostiene che Microsoft abbia sistematicamente rimosso i repository GitHub e GitLab che ospitavano i PoC, costringendolo a creare una piattaforma self-hosted (projectnightcrawler.dev). Microsoft ha risposto nel maggio 2026 con un comunicato del MSRC in cui avvertiva che avrebbe collaborato con le autorità in caso di “attività dannose che causano reale danno ai clienti” — una formulazione che la comunità della sicurezza ha ampiamente interpretato come una velata minaccia legale verso il ricercatore. L’effetto è stato controproducente: la tensione si è intensificata, e RoguePlanet ne è la diretta conseguenza.

Meccanica dell’exploit: dalla RCE alla LPE via Defender


RoguePlanet nasce originariamente come vulnerabilità di Remote Code Execution. L’idea iniziale sfruttava il modo in cui Microsoft Defender gestisce file ospitati su share SMB remoti: un attaccante poteva indurre una vittima ad aprire un file .vhd(x) su un server SMB controllato, ottenendo che Defender sovrascrivesse i propri file — con conseguente RCE.

A metà maggio 2026, Microsoft ha effettuato un hardening silenzioso dell’API mpengine!SysIO*, bloccando gli attacchi basati su junction point. Il ricercatore ha dovuto riscrivere l’exploit da zero, riuscendo a preservare solo la componente di Local Privilege Escalation. Nella forma attuale:

  • L’exploit sfrutta una race condition nella logica di processing interno di Defender.
  • Un utente non privilegiato reindirizza un’operazione su file eseguita da Defender (che gira come SYSTEM) verso codice controllato dall’attaccante.
  • Il risultato è l’apertura di un command prompt con privilegi SYSTEM — la shell più privilegiata su Windows.
  • La percentuale di successo è variabile: il ricercatore riporta “100% su alcune macchine, meno su altre”, essendo una race condition dipendente dal timing.

ThreatLocker ha confermato la riproducibilità dell’exploit su Windows 11 con la patch KB5094126 installata. Il CEO Danny Jenkins ha dichiarato a BleepingComputer: “La nostra analisi iniziale conferma che l’exploit RoguePlanet è valido e funziona come descritto. Le organizzazioni che utilizzano application allowlisting possono prevenire l’esecuzione dell’exploit.”

Sistemi affetti e stato attuale


Al momento della pubblicazione di questo articolo, non esiste una patch ufficiale Microsoft per RoguePlanet. I sistemi vulnerabili includono:

  • Windows 11 (build Official e Canary) con gli aggiornamenti di giugno 2026 installati
  • Windows 10 con gli aggiornamenti di giugno 2026 installati

Non sono stati rilevati casi di sfruttamento attivo in the wild al momento della scrittura. Tuttavia, l’exploit è pubblicamente disponibile su un repository self-hosted, il che abbassa significativamente la barriera per attori motivati.

Il paradosso della divulgazione: quando il vendor diventa il problema


La vicenda Nightmare Eclipse tocca un nervo scoperto dell’ecosistema della sicurezza: cosa succede quando un vendor di dimensioni planetarie risponde ai ricercatori indipendenti con minacce legali anziché con correzioni tempestive e riconoscimento equo?

Il modello di coordinated disclosure — già fragile — mostra le sue crepe: il ricercatore ha seguito le procedure inizialmente, ma la risposta di Microsoft (rimozione dei repository, silenzio sul bug bounty, comunicato quasi legalistico) ha spinto verso la full disclosure non coordinata. Il risultato è una serie di zero-day pubblici su uno dei sistemi operativi più diffusi al mondo, senza patch disponibili.

Va notato che la comunità della sicurezza rimane divisa: alcuni vedono Nightmare Eclipse come un ricercatore che agisce nell’interesse pubblico esponendo pratiche scorrette; altri ritengono che rilasciare exploit senza patch metta in pericolo utenti comuni. La verità è che entrambe le posizioni hanno una base legittima — e che il vero problema risiede nel comportamento di Microsoft.

Indicatori e due righe per i difensori


In assenza di patch, le misure di mitigazione disponibili sono:

  • Application allowlisting: come confermato da ThreatLocker, blocca l’esecuzione del payload. Soluzioni come Windows Defender Application Control (WDAC) o AppLocker possono essere efficaci.
  • Principio del minimo privilegio: l’exploit richiede l’esecuzione di codice come utente locale. Ridurre la superficie d’attacco limitando i diritti degli utenti finali.
  • Monitoraggio dei processi sospetti: alert su processi figlio spawned da MsMpEng.exe (il processo principale di Defender) con privilegi elevati.
  • EDR e XDR: monitorare comportamenti anomali legati a race condition sulle operazioni di file di Defender.


# Processo da monitorare
MsMpEng.exe → cmd.exe / powershell.exe (child process con TOKEN SYSTEM)
# Percorsi sensibili coinvolti
C:\ProgramData\Microsoft\Windows Defender\*
mpengine!SysIO* API calls con reindirizzamento anomalo
# Fonti di intelligence
projectnightcrawler.dev (self-hosted repo Nightmare Eclipse)
CVE: non ancora assegnato al momento della pubblicazione

La storia di RoguePlanet non è semplicemente quella di un exploit: è il sintomo di un ecosistema della vulnerability disclosure sotto pressione, in cui le dinamiche di potere tra vendor e ricercatori indipendenti producono rischi reali per tutti gli utenti Windows. Seguiremo gli sviluppi.

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ WhatsApp vs NSO Group: violata l’ingiunzione del tribunale, spearphishing contro gli utenti nonostante il divieto
#CyberSecurity
insicurezzadigitale.com/whatsa…

@informatica


WhatsApp vs NSO Group: violata l’ingiunzione del tribunale, spearphishing contro gli utenti nonostante il divieto


WhatsApp ha presentato una richiesta di contempt order al tribunale federale contro NSO Group, accusando la società israeliana di spyware di aver continuato a colpire gli utenti della piattaforma nonostante un’ingiunzione permanente emessa in ottobre che le vietava esplicitamente di farlo. La vicenda riapre il dibattito sul mercato degli spyware commerciali e sull’efficacia degli strumenti legali contro chi li produce.

Il Contesto: sette anni di battaglia legale


La storia tra WhatsApp e NSO Group inizia nell’ottobre 2019, quando la piattaforma di Meta ha citato in giudizio la società israeliana per aver sfruttato una vulnerabilità del servizio per installare il suo spyware Pegasus su circa 1.400 dispositivi di attivisti per i diritti umani, giornalisti e dissidenti in tutto il mondo attraverso attacchi zero-click. Bastava che il bersaglio ricevesse una chiamata WhatsApp — anche senza risponderla — per compromettere il dispositivo.

Il procedimento giudiziario si è concluso con una vittoria storica per WhatsApp: nel maggio 2026 una giuria ha inizialmente assegnato 167 milioni di dollari di danni punitivi, successivamente ridotti a 4,4 milioni dal giudice federale che presiedeva il caso. A ottobre 2025, lo stesso giudice ha emesso un’ingiunzione permanente che vietava a NSO di utilizzare WhatsApp come vettore d’attacco.

NSO aveva risposto all’ingiunzione dichiarando che avrebbe potuto “mettere a rischio l’intera impresa NSO” e “costringere NSO a chiudere i battenti”, mentre il giudice respingeva le sue richieste di sospensione dell’ordine. La società ha presentato appello a novembre 2025, con un procedimento ancora in corso.

Le nuove violazioni: spearphishing in spregio al tribunale


Nonostante l’ingiunzione, WhatsApp ha rilevato nuova attività malevola attribuita a NSO Group dopo che utenti hanno segnalato comportamenti sospetti. Secondo il blog post pubblicato da Meta l’8 giugno 2026, gli attacchi avrebbero usato tecniche di social engineering per indurre gli utenti a cliccare su link malevoli verso siti web esterni fuori da WhatsApp, una metodologia simile alle campagne di 1-click phishing già in precedenza collegate a NSO.

La tecnica rappresenta un’evoluzione rispetto agli attacchi zero-click del 2019: non sfruttando più una vulnerabilità tecnica della piattaforma (impossibile dopo le patch e l’ingiunzione), NSO avrebbe adottato un approccio di spearphishing che richiede l’interazione dell’utente ma aggira il divieto tecnico di sfruttamento diretto dell’app. NSO avrebbe anche creato account e gruppi test su WhatsApp che la piattaforma ha rimosso.

WhatsApp ha condiviso pubblicamente gli indicatori di compromissione associati alle campagne e incoraggia gli utenti a verificare se siano stati bersaglio di metodi di social engineering collegati a NSO su più piattaforme, inclusi SMS ed email.

Le implicazioni: NSO sotto nuova proprietà, stessa operatività


Un elemento di contesto importante: lo scorso anno un gruppo di investitori americani ha acquisito NSO Group con l’ambizione dichiarata di rientrare nel mercato statunitense, da cui la società era stata di fatto esclusa dopo l’inserimento nella Entity List del Dipartimento del Commercio USA nel novembre 2021. L’acquisizione non sembra aver cambiato le pratiche operative della società.

Il mercato degli spyware commerciali continua a operare in una zona grigia normativa: i produttori si definiscono fornitori di strumenti legittimi per forze dell’ordine e intelligence, mentre le evidenze mostrano sistematicamente usi contro giornalisti, attivisti e dissidenti politici. Casi come quello di NSO Group dimostrano che anche quando una corte impone restrizioni operative esplicite, la compliance può essere ignorata.

La richiesta di contempt: cosa succede adesso


Con la richiesta di contempt of court, WhatsApp chiede al tribunale di sanzionare NSO per aver violato l’ingiunzione permanente di ottobre. Se il giudice dovesse riconoscere la violazione, NSO potrebbe essere soggetta a sanzioni finanziarie aggiuntive e a misure coercitive più severe, con potenziale impatto sull’appello ancora pendente.

Il caso stabilisce un precedente rilevante per l’intero settore dello spyware commerciale: per la prima volta un’azienda tecnologica è riuscita a ottenere non solo una vittoria risarcitoria ma un’ingiunzione permanente di portata operativa contro un vendor di sorveglianza. La risposta del tribunale alla presunta violazione di quell’ingiunzione determinerà se tali strumenti legali abbiano effettiva capacità deterrente.

Indicatori e raccomandazioni


WhatsApp ha pubblicato indicatori di minaccia collegati alle campagne di NSO. Chi ritiene di poter essere un bersaglio ad alto rischio — giornalisti, attivisti, operatori umanitari, funzionari governativi — dovrebbe:

  • Verificare i propri dispositivi con strumenti come Mobile Verification Toolkit (MVT) di Amnesty International, che analizza artefatti forensi associati a Pegasus
  • Trattare con massima sospetto qualsiasi link ricevuto su WhatsApp che rimandi a siti esterni, soprattutto da contatti non verificati o messaggi non attesi
  • Controllare i propri account WhatsApp per rilevare accessi da dispositivi o sessioni non riconosciute
  • Monitorare i threat indicators pubblicati da WhatsApp/Meta per verificare la presenza di domini o IP associati alle campagne negli access log dei propri sistemi

Il caso NSO-WhatsApp non è solo una vicenda legale tra due aziende: è uno dei fronti principali della battaglia globale per definire i limiti dell’industria dello spyware commerciale e la responsabilità legale dei suoi protagonisti.


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

This is who they are...

Solidarity to #TritaParsi

middleeasteye.net/news/us-admi…

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

when will #EU start banning #IDFWarCriminals?
As my colleagues and I have revealed in several investigations for my newspaper #IlFattoQuotidiano,#IDFSoldiers have been touring #Italy disguised as tourists protected by the Italian police for over a year now

theguardian.com/world/2026/jun…

in reply to stefania maurizi

The media in this post is not displayed to visitors. To view it, please go to the original post.

This is one of our investigations about #IDFSoldiers touring Italy in 2025 disguised as tourists and protected by the Italian police unit #DIGOS.

Where are the #EU institutions when it comes to #IDFWarCriminals?

reshared this

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Critical npm Supply Chain Attack: Malicious ‘dbmux’ Package Gives Hackers Full System Control
#CyberSecurity
securebulletin.com/critical-np…
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Operation TaxShadow: Fileless Malware Campaign Uses Fake Tax Emails to Evade Detection on Windows
#CyberSecurity
securebulletin.com/operation-t…
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Docker Desktop 4.77.0: export dei log, estensioni sicure con digest pinning e nuovi comandi docker pass
#tech
spcnet.it/docker-desktop-4-77-…
@informatica


Docker Desktop 4.77.0: export dei log, estensioni sicure con digest pinning e nuovi comandi docker pass


Docker ha rilasciato Docker Desktop 4.77.0 l’8 giugno 2026, portando funzionalità attese da chi lavora quotidianamente con container in ambienti di sviluppo su Windows, Mac e Linux. Il punto di forza di questa release è il miglioramento della gestione dei log, la sicurezza nella distribuzione delle estensioni Marketplace e nuovi comandi per la gestione sicura dei segreti con docker pass.

Novità principali

Export dei log dalla Logs view


È ora possibile esportare i dati di log direttamente dalla Logs view di Docker Desktop. Fino a questa release, visualizzare e copiare manualmente i log di un container era l’unica opzione nell’interfaccia grafica; ora è possibile esportarli in modo strutturato, utile per condividere output di debug o alimentare strumenti di analisi esterni.

Insieme all’export, è stato aggiunto un toggle per la sensibilità alle maiuscole nella barra di ricerca dei log: la ricerca è case-insensitive per default, ma può essere commutata in case-sensitive per trovare identificatori o messaggi di errore specifici.

Estensioni Marketplace installate tramite digest OCI fisso


Un miglioramento significativo per la sicurezza della supply chain: le estensioni del Marketplace di Docker Desktop vengono ora installate e aggiornate usando il digest del manifest OCI (hash crittografico SHA256), invece del tag. Questo protegge contro attacchi di tipo tag mutation, in cui un’immagine pubblicata con un determinato tag viene successivamente sostituita con una versione malevola dopo la pubblicazione.

Il principio è lo stesso già consigliato in produzione per i Dockerfile:

# Più sicuro: riferimento per digest immutabile
FROM mcr.microsoft.com/dotnet/aspnet@sha256:a1b2c3d4...

# Meno sicuro: il tag può cambiare dopo la pubblicazione
FROM mcr.microsoft.com/dotnet/aspnet:10.0

Nuovi comandi docker pass


docker pass è lo strumento di Docker Desktop per la gestione dei segreti. Con questa release riceve due nuovi comandi:

  • docker pass run — inietta i segreti salvati come variabili d’ambiente in comandi eseguiti sull’host, eliminando la necessità di esporre segreti permanentemente nella shell
  • docker pass plugins — permette la gestione dinamica dei plugin di docker pass

Esempio d’uso:

# Senza docker pass: segreto esposto nella shell
export DATABASE_URL="postgres://utente:password@host/db"
./myapp

# Con docker pass run: segreto iniettato solo durante l'esecuzione
docker pass run -- ./myapp

Supporto OAuth per MCP server in Gordon


Gordon, l’assistente AI integrato in Docker Desktop, riceve i pulsanti Authenticate e Cancel per i flussi OAuth dei server MCP. I team che usano MCP server con autenticazione OAuth possono ora completare o rifiutare il flusso direttamente dalla chat bubble di Gordon.

Componenti aggiornati


  • Docker Engine v29.5.3
  • containerd v2.2.4
  • Docker Buildx v0.34.1
  • Docker Offload v0.6.3
  • Docker Agent v1.70.0
  • Docker MCP gateway v0.42.2
  • docker pass v0.1.2
  • DHI CLI (dhictl) v0.0.4


Bug fix rilevanti


  • Windows/WSL: risolto un blocco su “Starting the Docker Engine…” dopo una registrazione WSL fallita che lasciava un VHDX orfano su disco
  • Windows Containers mode: risolto un hang allo shutdown che causava uscite lente o incomplete
  • ECI (Enhanced Container Isolation): corretta una regressione per cui docker cp con ECI abilitato impostava erroneamente la proprietà dei file a nobody:nogroup
  • Shutdown: corretto il codice di uscita 150 su shutdown via SIGINT/SIGTERM, che generava falsi segnali di errore nei sistemi di supervisione


Come aggiornare


Docker Desktop si aggiorna automaticamente nella maggior parte delle configurazioni. Per aggiornare manualmente:

# Linux (.deb)
sudo apt-get update && sudo apt-get install --only-upgrade docker-desktop

In alternativa, usate Docker menu → Check for Updates oppure scaricate direttamente dalla pagina delle release notes ufficiali.

Fonte: Docker Desktop Release Notes — docs.docker.com


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

ServiceNow Confirms Unauthorized Access Vulnerability Exposing Enterprise Customer Data
#CyberSecurity
securebulletin.com/servicenow-…
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Ottimizzare TLS e HTTPS su Nginx: ridurre TTFB e latenza
#tech
spcnet.it/ottimizzare-tls-e-ht…
@informatica


Ottimizzare TLS e HTTPS su Nginx: ridurre TTFB e latenza


TLS su Nginx: perché il tuning fa la differenza su HTTPS


Quando si parla di prestazioni web, l’ottimizzazione del TLS è spesso trascurata in favore di interventi più vistosi come la cache applicativa o l’indicizzazione del database. Eppure, su un server Nginx esposto in HTTPS, ogni handshake TLS non ottimizzato aggiunge latenza misurabile a ogni connessione nuova. Questa guida raccoglie le configurazioni che un sistemista esperto dovrebbe avere presenti per tenere basso il TTFB (Time To First Byte) e ridurre l’overhead delle connessioni sicure.

Una premessa importante: il tuning TLS non salva un’applicazione lenta. Se la generazione della pagina richiede 800ms, ottimizzare il TLS porterà al massimo qualche decina di millisecondi in meno. Il vero valore di queste configurazioni emerge su backend già veloci, dove l’overhead del protocollo diventa la variabile dominante.

TLS 1.2 o TLS 1.3: quale usare?


Dal 30 giugno 2018 il PCI Security Standards Council richiede la disabilitazione di SSL 3.0, TLS 1.0 e TLS 1.1. Ad oggi, la configurazione raccomandata è supportare esclusivamente TLS 1.2 e TLS 1.3:

ssl_protocols TLSv1.2 TLSv1.3;

TLS 1.3 è decisamente preferibile: riduce il numero di round-trip necessari per il handshake (da 2 a 1) e rimuove algoritmi di cifratura obsoleti. Se il target è esclusivamente moderno (browser aggiornati, client API recenti), si può anche forzare solo TLS 1.3:
ssl_protocols TLSv1.3;

Tuttavia, TLS 1.2 rimane necessario per compatibilità con client enterprise, dispositivi embedded e alcune librerie legacy. Per la maggior parte dei server in produzione, supportare entrambi è la scelta più pragmatica.

Abilitare HTTP/2 e HTTP/3 (QUIC)


HTTP/2 è diventato lo standard de facto e Nginx lo supporta nativamente. Dalla versione 1.25.1, la direttiva è cambiata: non va più in listen ma come direttiva separata nel blocco server:

listen 443 ssl;
http2 on;

Per chi vuole spingersi a HTTP/3 con QUIC (disponibile nei pacchetti Nginx mainline compilati con BoringSSL o quic-go), la configurazione si estende così:
server {
    listen 443 ssl;
    listen [::]:443 ssl;
    listen 443 quic reuseport;
    listen [::]:443 quic reuseport;

    http2 on;

    ssl_certificate     /path/to/your/certificate.pem;
    ssl_certificate_key /path/to/your/key.pem;

    # Comunica al client il supporto HTTP/3
    add_header Alt-Svc 'h3=":443"; ma=86400';
}

Per verificare quale protocollo viene negoziato dal lato command-line:
# Verifica HTTP/2
curl --http2 -I https://tuo-dominio.com/

# Verifica HTTP/3
curl --http3 -I https://tuo-dominio.com/

Session cache e session tickets: differenze chiave


La session cache lato server permette di riutilizzare i parametri crittografici di una sessione TLS precedente, evitando il full handshake per connessioni successive dello stesso client. In Nginx si configura così:

ssl_session_cache shared:SSL:10m;  # ~40.000 sessioni per MB
ssl_session_timeout 1d;

I session tickets sono un meccanismo alternativo: invece di conservare lo stato sul server, il server cifra i parametri della sessione e li invia al client, che li ripresenta alla connessione successiva. Questo elimina lo stato server-side ma introduce rischi se la chiave di cifratura dei ticket viene compromessa (forward secrecy ridotta). La raccomandazione per ambienti ad alta sicurezza è disabilitarli:
ssl_session_tickets off;

Nella pratica, su infrastrutture con bilanciamento del carico senza sticky sessions, i ticket sono spesso l’unico modo per ottenere session resumption tra istanze diverse. Valutare caso per caso.

OCSP Stapling: eliminare la latenza di validazione del certificato


Senza OCSP Stapling, ogni nuovo client deve contattare la CA (Certificate Authority) per verificare che il certificato non sia stato revocato. Questo aggiunge una richiesta di rete esterna al percorso critico dell’handshake. Con lo stapling, è Nginx stesso a interrogare periodicamente la CA e a includere la risposta firmata direttamente nell’handshake TLS:

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/full_chain.pem;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

Il parametro ssl_trusted_certificate deve puntare alla catena completa (root CA inclusa), non solo al certificato del server. Il resolver è necessario perché Nginx deve risolvere l’hostname della CA tramite DNS.

Ridurre ssl_buffer_size


Il valore predefinito di ssl_buffer_size in Nginx è 16KB, dimensionato per throughput massimo. Questo significa però che il primo byte del payload arriva al client solo dopo che il primo chunk da 16KB è stato riempito e cifrato. Per siti dove il TTFB è critico (landing page, API), ridurre il buffer abbassa la latenza percepita:

ssl_buffer_size 4k;

Sul throughput per file di grandi dimensioni (video, download) questo valore è subottimale; per contenuto testuale e API è quasi sempre vantaggioso.

Configurazione completa raccomandata


Di seguito la configurazione consolidata che integra tutti i punti trattati, da inserire nel blocco http o nel blocco server di Nginx:

http2 on;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_session_tickets off;
ssl_buffer_size 4k;
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/full_chain.pem;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

Dopo ogni modifica, verificare la sintassi e ricaricare:
nginx -t
nginx -s reload

HSTS: forzare HTTPS a livello di browser


HTTP Strict Transport Security istruisce i browser a non tentare mai connessioni HTTP plain verso il dominio, riducendo anche la superficie d’attacco da downgrade. L’intestazione si aggiunge così:

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Il valore max-age è in secondi: 63072000 corrisponde a due anni, il minimo richiesto per l’inserimento nel preload list di Chrome. Prima di abilitare includeSubDomains, verificare che tutti i sottodomini siano effettivamente raggiungibili in HTTPS.

Conclusione


Il tuning TLS su Nginx non è un’operazione una tantum ma una configurazione che vale la pena standardizzare nei propri template di deployment. HTTP/2 abilitato, session cache attiva, OCSP Stapling e buffer ridotto sono quattro interventi a costo zero che si traducono in un’esperienza più reattiva per l’utente finale e in una postura di sicurezza più moderna. Per ambienti con requisiti di latenza estrema o traffico prevalentemente mobile, HTTP/3 con QUIC rappresenta il passo successivo logico, anche se richiede una build di Nginx con supporto esplicito.

Fonte originale: Nginx tuning tips: HTTPS/TLS – Turbocharge TTFB/Latency – linuxblog.io


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Windows CTFMON Zero-Day CVE-2026-45586 Lets Low-Privilege Users Escalate to SYSTEM
#CyberSecurity
securebulletin.com/windows-ctf…
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Union Types in C# 15: insiemi chiusi di tipi con pattern matching esaustivo
#tech
spcnet.it/union-types-in-c-15-…
@informatica


Union Types in C# 15: insiemi chiusi di tipi con pattern matching esaustivo


Le union types sono finalmente arrivate in C#. Disponibili in anteprima a partire da .NET 11 Preview 2, C# 15 introduce la parola chiave union che consente di dichiarare un tipo che può contenere esattamente uno tra un insieme fisso di tipi, con conversioni implicite e pattern matching esaustivo garantito dal compilatore.

È una delle funzionalità più richieste dalla community da anni, e capire come funziona — e soprattutto perché è stata progettata in questo modo — fa la differenza tra usarla correttamente o incappare negli stessi antipattern che esistevano prima.

Il problema che le union types risolvono


Prima di C# 15, quando un metodo doveva restituire uno tra diversi tipi possibili, le opzioni disponibili erano tutte imperfette:

  • object: nessun vincolo sui tipi effettivamente memorizzati; il chiamante doveva gestire logica difensiva per valori inattesi.
  • Interfacce marcatore o classi base astratte: più sicure, ma non “chiuse” — chiunque poteva implementare l’interfaccia o derivare dalla classe base, quindi il compilatore non poteva mai considerare l’insieme completo dei tipi possibili.
  • Librerie di terze parti come OneOf: funzionali, ma senza supporto diretto del compilatore per l’esaustività.

Un caso tipico è il risultato di un’operazione che può restituire un valore di successo oppure un errore: si potrebbe usare object, un’eccezione, oppure un tipo result wrapper. Nessuna di queste opzioni è soddisfacente perché manca la garanzia statale che tutti i casi siano gestiti.

Le union types risolvono questi problemi dichiarando un insieme chiuso di “case types”: non devono essere correlati tra loro, nessun altro tipo può essere aggiunto, e il compilatore garantisce che le espressioni switch che gestiscono la union siano esaustive — senza aver bisogno di un ramo _ o default.

Sintassi di base


La dichiarazione è minimalista:

public record class Cat(string Name);
public record class Dog(string Name);
public record class Bird(string Name);

public union Pet(Cat, Dog, Bird);

Una sola riga dichiara Pet come un nuovo tipo le cui variabili possono contenere un Cat, un Dog o un Bird. Il compilatore fornisce conversioni implicite da ciascun case type:
Pet pet = new Dog("Rex");
Console.WriteLine(pet.Value); // Dog { Name = Rex }

Pet pet2 = new Cat("Whiskers");
Console.WriteLine(pet2.Value); // Cat { Name = Whiskers }

Il compilatore emette un errore se si cerca di assegnare un tipo che non fa parte dei case types. Questa è la garanzia fondamentale: l’insieme è veramente chiuso a livello di compilazione.

Pattern matching esaustivo


Quando si usa un’istanza di un tipo union non nulla, il compilatore conosce l’insieme completo dei case types, quindi un’espressione switch che li copre tutti è esaustiva — senza bisogno del _ finale:

string name = pet switch
{
    Dog d => d.Name,
    Cat c => c.Name,
    Bird b => b.Name,
};

Questo è il vantaggio principale: se in futuro si aggiunge un quarto case type a Pet, ogni espressione switch che non lo gestisce produce un avviso del compilatore. I casi mancanti vengono rilevati in fase di compilazione, non a runtime.

I pattern si applicano alla proprietà Value della union, non alla union struct stessa. Questo “unwrapping” è automatico — si scrive Dog d e il compilatore verifica Value internamente. Le eccezioni sono var e _, che si applicano al valore della union stessa.

Per gestire il valore di default (null):

Pet pet = default;

var description = pet switch
{
    Dog d => d.Name,
    Cat c => c.Name,
    Bird b => b.Name,
    null => "nessun animale",
};
// description è "nessun animale"

Union con corpo e metodi helper


È possibile aggiungere membri helper alla union tramite un corpo, proprio come per qualsiasi altra dichiarazione di tipo. Un esempio pratico è OneOrMore<T>, utile per API che accettano sia un singolo elemento che una collezione:

public union OneOrMore<T>(T, IEnumerable<T>)
{
    public IEnumerable<T> AsEnumerable() => Value switch
    {
        T single => [single],
        IEnumerable<T> multiple => multiple,
        null => []
    };
}

I chiamanti passano la forma che preferiscono, e AsEnumerable() normalizza il risultato:
OneOrMore<string> tags = "dotnet";
OneOrMore<string> moreTags = new[] { "csharp", "unions", "preview" };

foreach (var tag in tags.AsEnumerable())
    Console.Write($"[{tag}] ");
// [dotnet]

foreach (var tag in moreTags.AsEnumerable())
    Console.Write($"[{tag}] ");
// [csharp] [unions] [preview]

Si noti che AsEnumerable gestisce esplicitamente il caso null: lo stato null predefinito della proprietà Value è maybe-null, quindi il compilatore richiede la gestione di questo caso per garantire la correttezza.

Compatibilità con librerie esistenti e scenari avanzati


Per le librerie che già forniscono tipi union-like con proprie strategie di storage (come quelle basate su OneOf), C# 15 prevede un meccanismo di compatibilità: qualsiasi classe o struct con l’attributo [System.Runtime.CompilerServices.Union] viene riconosciuta come tipo union dal compilatore, purché segua il pattern base — costruttori pubblici a parametro singolo e proprietà Value pubblica.

Per scenari ad alte prestazioni dove i case types includono tipi valore, le librerie possono implementare il pattern di accesso non-boxing aggiungendo una proprietà HasValue e metodi TryGetValue. Il tipo union generato dal compilatore usa object? internamente e quindi fa boxing dei tipi valore — per hot path critici conviene valutare i custom union types.

Come provare le union types oggi


Le union types sono disponibili a partire da .NET 11 Preview 2. I passaggi per iniziare sono:

  1. Installare il .NET 11 Preview SDK
  2. Creare o aggiornare un progetto che punta a net11.0
  3. Impostare <LangVersion>preview</LangVersion> nel file di progetto

Poiché UnionAttribute e IUnion non sono ancora inclusi nel runtime nel Preview 2, vanno dichiarati manualmente nel progetto:

namespace System.Runtime.CompilerServices
{
    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Struct,
        AllowMultiple = false)]
    public sealed class UnionAttribute : Attribute;

    public interface IUnion
    {
        object? Value { get; }
    }
}

Una volta aggiunti questi tipi, si possono dichiarare e usare normalmente le union types. Il supporto IDE in Visual Studio sarà disponibile nella prossima build Insiders; il C# DevKit Insiders lo include già.

Il quadro più ampio: la roadmap dell’esaustività


Le union types fanno parte di una strategia più ampia del team C# per portare la verifica dell’esaustività direttamente nel compilatore. Le proposte correlate attualmente in discussione sono:

  • Closed hierarchies: il modificatore closed su una classe impedisce la dichiarazione di classi derivate al di fuori dell’assembly di definizione, consentendo al compilatore di considerare esaustive le espressioni switch sulla gerarchia.
  • Closed enums: un closed enum impedisce la creazione di valori diversi dai membri dichiarati, risolvendo il problema dei valori enum “numerici” inattesi.

Insieme, questi tre meccanismi danno a C# un percorso completo verso la verifica statica dell’esaustività: union types per insiemi chiusi di tipi, closed hierarchies per gerarchie sigillate, closed enums per insiemi fissi di valori.

Conclusione


Le union types in C# 15 non sono un semplice porting delle discriminated union di F#: sono state progettate come aggiunta nativa all’ecosistema C#, composte da tipi esistenti, integrate con il sistema di pattern matching già consolidato, e compatibili con le librerie union-like già diffuse. La garanzia di esaustività del compilatore è il beneficio più concreto: i casi mancanti diventano avvisi a tempo di compilazione, non bug a runtime.

La feature è in preview e il team accetta feedback attivamente su GitHub. Vale la pena esplorarla ora per contribuire alla forma definitiva della feature, prevista per la release di novembre 2026 con .NET 11.

Fonte: Explore union types in C# 15 – .NET Blog


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ OP-512: il nuovo cluster cinese di cyberspionaggio che sfida il rilevamento con web shell crittograficamente uniche
#CyberSecurity
insicurezzadigitale.com/op-512…

@informatica


OP-512: il nuovo cluster cinese di cyberspionaggio che sfida il rilevamento con web shell crittograficamente uniche


Si parla di:
Toggle

Un server IIS abbandonato con .NET Framework obsoleto da un decennio, settantacinque giorni di paziente ricognizione e poi un’offensiva fulminea: questo è il modus operandi di OP-512, un nuovo cluster di cyberspionaggio di presunta origine cinese scoperto da ReliaQuest grazie alla propria piattaforma di AI agentiva. La scoperta aggiunge un quarto attore al già affollato panorama degli APT cinesi che prendono di mira i server IIS aziendali, ma con un livello di sofisticazione che supera significativamente i gruppi precedentemente documentati.

La scoperta: quando l’AI vede ciò che l’analista non riesce a collegare


Il 5 giugno 2026, ReliaQuest ha pubblicato un’analisi dettagliata di un’intrusione rilevata nell’ambiente di un cliente. L’elemento distintivo non è stato solo l’attacco in sé, ma il modo in cui è stato scoperto: la piattaforma GreyMatter Agentic AI ha correlato automaticamente decine di eventi apparentemente scollegati — creazione di web shell, query DNS anomale, caricamento riflessivo di assembly .NET, esecuzione di comandi da processi del web server — ricostruendo in pochi minuti l’intera catena d’attacco che un analista umano avrebbe impiegato ore o giorni a ricostituire manualmente.

Il cluster, denominato “OP-512”, è stato attribuito con moderata-alta confidenza alla Cina, sulla base di indicatori tattici, tecnici e procedurali (TTP) che si sovrappongono parzialmente ad altri gruppi noti come CL-STA-0048, GhostRedirector e DragonRank. Tuttavia, OP-512 presenta caratteristiche uniche che ne fanno un’entità distinta: un framework di web shell costruito su misura, con crittografia per-deployment, che rende inefficace qualsiasi rilevamento basato su firme.

Il bersaglio: infrastruttura legacy come porta d’ingresso


Il server compromesso eseguiva Windows Server 2016 con .NET Framework 4.0, una versione priva di aggiornamenti di sicurezza dal 2016. I server IIS in zona demilitarizzata (DMZ) rappresentano un bersaglio prediletto per gli operatori di cyberspionaggio: si trovano al confine tra la rete esposta a Internet e la rete interna, ricevono meno monitoraggio rispetto all’infrastruttura core e fungono da pivot point ideale per muoversi lateralmente.

La telemetria EDR mostrava attività sospetta sullo stesso host già 75 giorni prima dell’attacco principale, con query DNS verso il dominio ashx.lhlsjcb[.]com. Questa prima fase — probabilmente ricognizione e test delle capacità di accesso — è tipica degli cluster di spionaggio state-sponsored, che non hanno fretta e possono permettersi di aspettare il momento più opportuno.

La fase offensiva: pochi minuti per stabilire il controllo


Quando OP-512 ha deciso di agire, ha operato con velocità e metodo. In un arco temporale di pochi minuti, il processo worker di IIS (w3wp.exe) ha scritto nella directory di upload dell’applicazione tre web shell, ciascuna con una funzione specifica:

  • File manager .aspx con canale C2 self-reporting: alla prima visita, la shell codifica il proprio URL in esadecimale e lo trasmette come query DNS verso il dominio controllato dagli attaccanti (hcgos[.]com, con pattern a.<hex>.c.hcgos[.]com). Se la query DNS fallisce, attiva un canale di fallback HTTP verso un server C2 separato. Il server di fallback è stato collegato da ricercatori indipendenti a infrastrutture Meterpreter.
  • Due command handler .ashx con autenticazione crittografica: ciascuno gated da autenticazione RSA+RC4 con chiavi diverse tra i due handler. Il processo di esecuzione segue quattro fasi sequenziali: decodifica Base64 del corpo della richiesta HTTP, decifratura RC4 del payload, verifica della firma RSA contro la chiave pubblica embedded, esecuzione del comando solo se la verifica ha successo.

L’elemento più sofisticato è la generazione crittograficamente unica per ogni deployment: un builder automatizzato produce istanze dal medesimo template, randomizzando i nomi di variabili e metodi e iniettando variabili morte e commenti spazzatura. Il risultato sono file che eseguono la stessa operazione ma producono hash completamente diversi, rendendo inutile il rilevamento basato su firme.

Privilege Escalation: la suite “Potato” caricata direttamente in memoria


Con le web shell operative, OP-512 ha caricato direttamente nella memoria del processo w3wp.exe quattro toolkit di post-exploitation, senza scrivere nulla su disco:

  • BadPotato, SweetPotato, EfsPotato: la “Potato Suite”, una raccolta documentata di exploit Windows che abusano di servizi integrati per elevare i privilegi da un account di servizio limitato a SYSTEM. La presenza di questi strumenti in OP-512 aggiunge un dato di attribuzione, poiché compaiono anche in CL-STA-0048 e GhostRedirector.
  • GhostKit: un toolkit non documentato pubblicamente, probabilmente un’etichetta vendor-specifica della telemetria EDR piuttosto che un tool consolidato.

I comandi di verifica post-escalation (whoami e whoami /priv) sono stati eseguiti come stringhe base64-encoded — una codifica identica carattere per carattere a quella documentata nel compromesso ArcGIS di Flax Typhoon, suggerendo tooling o playbook condivisi nell’ecosistema degli APT cinesi.

Il problema del loop: quando la prevenzione non basta


Un aspetto particolarmente istruttivo dell’incidente è ciò che è accaduto dopo l’intervento dell’endpoint protection: il sistema ha terminato il processo malevolo, ma IIS riavvia automaticamente i worker process dopo un crash o una terminazione forzata. Il risultato è stato un loop in cui la protezione si attivava ripetutamente mentre l’attività malevola continuava. Bloccare un processo senza isolare l’host crea esattamente questa finestra di vulnerabilità che gli attaccanti sfruttano intenzionalmente.

Un ulteriore problema per i responder è la persistenza delle DLL compilate da ASP.NET: quando le web shell vengono eseguite per la prima volta, il runtime .NET le compila in librerie DLL e le salva in una directory temporanea. Queste DLL sopravvivono alla cancellazione dei file originali e possono essere riattivate. La risposta all’incidente deve quindi includere la pulizia delle directory di compilazione temporanea di ASP.NET.

Timestomping: nascondersi nel passato


OP-512 implementa una tecnica di timestomping automatizzato particolarmente raffinata: le web shell analizzano ogni file e sottodirectory circostante, calcolano il timestamp mediano di ultima modifica e sovrascrivono i propri timestamp di creazione e modifica per allinearsi. Una web shell scritta nel 2026 tra file del 2022 sembrerebbe vecchia di anni. La funzione accetta anche un timestamp esplicito come input, permettendo all’operatore di retrodatare un file a uno specifico evento o finestra di patch.

OP-512 nel panorama degli APT cinesi su IIS


ReliaQuest posiziona OP-512 come quarto cluster cinese documentato nell’ultimo anno a colpire server IIS, ma con caratteristiche che lo distinguono dagli altri tre:

  • CL-STA-0048 (l’overlap più significativo): usa query DNS con subdomain esadecimali per esfiltrare dati — OP-512 usa lo stesso encoding ma per segnalare la propria posizione, non per esfiltrare. Dipende da tool commodity come PlugX e Cobalt Strike, diversamente dal framework custom di OP-512.
  • GhostRedirector e DragonRank: motivati da frodi SEO, non da spionaggio. Usano alcune delle stesse tecniche di privilege escalation ma con obiettivi completamente diversi.


IOC e Indicatori comportamentali


ReliaQuest enfatizza che gli IOC specifici di questa intrusione non saranno necessariamente presenti nelle future operazioni OP-512, data la natura generata proceduralmente del framework. I rilevamenti comportamentali sono la strada maestra:

# IOC specifici dell'intrusione
Dominio C2 primario:     ashx.lhlsjcb[.]com (attività precedente, ~75 giorni prima)
Dominio C2 secondario:   hcgos[.]com
Pattern DNS:             a.<hex>.c.hcgos[.]com
Server Meterpreter C2:   43.160.202[.]246:8053
Connessione outbound:    140.206.161[.]227:443
Source IP interazione:   124.156.129[.]151 (User-Agent: python-requests/2.33.0)

# Pattern comportamentali da monitorare
- w3wp.exe che genera query DNS con subdomain esadecimali lunghi
- Caricamento riflessivo di componenti crittografici in w3wp.exe
- Creazione di DLL in directory temporanee ASP.NET fuori dai cicli di deployment
- Risposte HTTP cifrate da endpoint .ashx che dovrebbero restituire contenuto standard

Due righe per i difensori


Per i team di sicurezza che gestiscono ambienti con server IIS legacy, le priorità immediate sono: ritirare o isolare i server con .NET Framework end-of-life esposti a Internet; disabilitare l’esecuzione di script nelle directory di upload via handler IIS per estensioni .aspx, .ashx, .asp e .asmx; monitorare le directory di compilazione temporanea ASP.NET per creazione di DLL fuori dai cicli di deployment normali; e — fondamentalmente — non chiudere un incidente senza aver identificato e rimediato la vulnerabilità di accesso iniziale. OP-512 dimostra che gli operatori di spionaggio contano esattamente su questa superficialità per tornare dopo che l’allerta è rientrata.


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ Supply chain attack su npm: 11 pacchetti malevoli con C2 blockchain colpiscono 2,7 milioni di download crypto
#CyberSecurity
insicurezzadigitale.com/supply…

@informatica


Supply chain attack su npm: 11 pacchetti malevoli con C2 blockchain colpiscono 2,7 milioni di download crypto


Si parla di:
Toggle

Undici pacchetti npm malevoli, un singolo package con oltre 2,7 milioni di download, un’infrastruttura di comando e controllo ancorata alla blockchain Ethereum: questa è la mappa di una campagna di supply chain attack che i ricercatori di Cyfirma hanno identificato e documentato nel dettaglio, prendendo di mira sviluppatori blockchain, progetti Web3 e operatori di wallet crypto.

La trappola nel registro npm


Il registro npm — il più grande ecosistema di pacchetti JavaScript con oltre due milioni di moduli disponibili — si conferma ancora una volta un bersaglio privilegiato per gli attori malevoli. Questa campagna ha sfruttato una combinazione di tecniche consolidate e innovazioni notevoli, a partire dal typosquatting: i pacchetti malevoli mimicavano fedelmente nomi di librerie legittime e ampiamente utilizzate nell’ecosistema blockchain, come ethers.js, le SDK di Moralis, le utility Coinbase e i tool di sviluppo Stellar.

Il pacchetto più distribuito, moralis-sdk, ha raggiunto la cifra di 2,7 milioni di download prima della rimozione — un numero che rende l’entità potenziale della compromissione difficile da quantificare con precisione. Gli altri dieci pacchetti identificati includono ethers-jss, coinbase-wallet-utils, Ganach (typosquatting di Ganache), Solidty (typosquatting di Solidity), Stelar-sdk, oltre a hardhat-deploy-utils, web3-deploy-helper, defi-sdk-core, ethers-compat ed ethereum-dev-utils.

Meccanismo di esecuzione: lifecycle hooks come vettore d’attacco


Il vettore di infezione primario si basa sull’abuso degli script di ciclo di vita npm (postinstall e preinstall). Quando uno sviluppatore esegue npm install, il codice malevolo viene attivato automaticamente, senza alcuna interazione ulteriore. Questo approccio è particolarmente insidioso perché sfrutta funzionalità native del gestore di pacchetti, difficili da bloccare senza compromettere la funzionalità legittima.

Il pacchetto moralis-sdk fungeva da downloader multi-stadio: recuperava payload aggiuntivi da servizi di hosting remoto come Pastefy e GitHub, realizzando un’architettura di distribuzione del malware altamente resiliente. I pacchetti coinbase-wallet-utils e ethers-jss erano invece dedicati principalmente alle fasi di ricognizione ed esfiltrazione, con focus specifico sul furto di wallet crypto.

Blockchain come infrastruttura C2: l’innovazione più significativa


L’elemento tecnico più rilevante della campagna è l’utilizzo della blockchain Ethereum come meccanismo di command and control. Gli attori malevoli hanno impiegato smart contract Ethereum e transazioni on-chain sia per il recupero della configurazione dell’infrastruttura sia per l’esfiltrazione di credenziali. Questo approccio rende il C2 estremamente difficile da bloccare: non esistono domini da eliminare, non esistono IP da inserire in blacklist, e le transazioni on-chain sono immutabili e pseudoanonime.

Gli indirizzi Ethereum identificati nella campagna come target per la configurazione e l’esfiltrazione includono 0xa1b40044EBc2794f207D45143Bd82a1B86156c6b, 0x52221c293a21D8CA7AFD01Ac6bFAC7175D590A84 e 0xCBbecC5E5Eb88582e6305cF6ab688f03e02Ce16f.

Tipologia di dati rubati


L’obiettivo principale era la raccolta di segreti ad alto valore economico e operativo dagli ambienti di sviluppo compromessi. Il malware prendeva di mira: chiavi private di wallet crypto e frasi mnemoniche (seed phrase), chiavi SSH, credenziali cloud (AWS, Azure, GCP), token di autenticazione API (NPM_TOKEN, GITHUB_TOKEN), chiavi di servizi blockchain come Infura e Alchemy, oltre a file di configurazione di ambienti di sviluppo specifici come secrets.json, hardhat.config.js e foundry.toml.

Mappatura MITRE ATT&CK


La campagna copre un ampio spettro di tecniche MITRE, tra cui T1195.002 (Supply Chain Compromise), T1204.002 (Malicious File Execution), T1036.005 (Masquerading), T1552 (Unsecured Credentials), T1528 (Steal Application Access Token) e T1583.006 (Acquire Infrastructure via Web Services).

Indicatori di Compromissione (IoC)

# Pacchetti npm malevoli
moralis-sdk, ethers-jss, coinbase-wallet-utils
Ganach, Solidty, Stelar-sdk
hardhat-deploy-utils, web3-deploy-helper, defi-sdk-core, ethers-compat, ethereum-dev-utils

# Hash SHA256
d94a2444268b339dfda2615f7800322fb318e0a484414bb17016cfcd5eb07c44
6585ca0d3e26c20ced638f46f4a89eea924d411b8753d3fcf434663593c7cf0b
17bad5ae5b2ac262f5f18854853869840245c344105aa38c7f550ef51d2e5f26

# Hash SHA1
53b91117db931d3acbbfd15aa8400bb6691e023d
63154cd9c79f9d14eb9be6c4efc2a778d31646ec
74d3d5ab6d0fa4c6a5860598231728a6a893ecf7

# URL infrastruttura
pastefy.app/RhPBKGli/raw
http://193.233.201.21:3001

# Indirizzi Ethereum (C2 on-chain)
0xa1b40044EBc2794f207D45143Bd82a1B86156c6b
0x52221c293a21D8CA7AFD01Ac6bFAC7175D590A84
0xCBbecC5E5Eb88582e6305cF6ab688f03e02Ce16f

Due righe per i difensori


Questa campagna evidenzia come i supply chain attack sul registro npm stiano diventando sempre più sofisticati. I difensori e i team di sicurezza DevOps dovrebbero implementare: verifica sistematica dell’integrità dei pacchetti prima dell’installazione; utilizzo di strumenti come npm audit e analizzatori comportamentali di pacchetti (Socket.dev, Snyk, Phylum); monitoraggio delle connessioni di rete generate durante npm install in ambienti di build CI/CD isolati; blocco preventivo dei lifecycle hook di terze parti nelle pipeline di produzione; audit periodico delle dipendenze con specifico focus su pacchetti con nomi simili a librerie popolari. L’uso della blockchain come infrastruttura C2 rappresenta una frontiera che richiede approcci di difesa diversi dal tradizionale blocco DNS/IP: è necessario monitorare le chiamate RPC verso nodi Ethereum non autorizzati nelle reti aziendali.

La ricerca completa di Cyfirma è disponibile su: cyfirma.com


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

✨ Il worm Miasma disabilita 73 repository Microsoft su GitHub in 105 secondi: supply chain attack prende di mira gli AI coding agent
#CyberSecurity
insicurezzadigitale.com/il-wor…

@informatica


Il worm Miasma disabilita 73 repository Microsoft su GitHub in 105 secondi: supply chain attack prende di mira gli AI coding agent


Si parla di:
Toggle

Il 5 giugno 2026, il worm Miasma — variante della famiglia Shai-Hulud attribuita al gruppo TeamPCP — ha raggiunto le organizzazioni GitHub di Microsoft. In 105 secondi, il sistema automatico di enforcement di GitHub ha disabilitato 73 repository tra Azure, Azure-Samples, microsoft e MicrosoftDocs. L’attacco introduce un cambio di paradigma nei supply chain attack: il trigger non è più l’installazione di un pacchetto, ma l’apertura di una cartella nel proprio editor o AI coding agent.

La catena di infezione: dal PyPI al repository injection


Per comprendere l’incidente del 5 giugno è necessario risalire al 19 maggio 2026, quando la stessa campagna Miasma aveva compromesso il pacchetto PyPI durabletask di Microsoft. In quell’occasione, un attaccante aveva caricato tre versioni malevole del pacchetto in una finestra di 35 minuti, usando un token di publishing compromesso, bypassando completamente la pipeline CI/CD. Il payload — un file rope.pyz da 28KB — rubava credenziali da AWS, Azure, GCP, Kubernetes e oltre 90 configurazioni di developer tool.

Il 5 giugno, lo stesso account contributor compromesso è stato usato per iniettare un commit direttamente nel repository GitHub Azure/durabletask. Il commit (5f456b8) riportava il messaggio “Switched DataConverter to OrchestrationContext [skip ci]” — ma non modificava alcun file sorgente. Aggiungeva invece 5 file di configurazione, con un timestamp retrodatato al 2020 per eludere il rilevamento, e il flag [skip ci] per sopprimere l’esecuzione della pipeline.

Quattro vettori, un payload: come Miasma abusa degli AI coding agent


L’attacco è notevole per la sua copertura trasversale degli strumenti di sviluppo più diffusi. I cinque file iniettati puntano tutti allo stesso payload (.github/setup.js, un file JavaScript da 4,6 MB altamente offuscato), attivandolo con meccanismi diversi:

  • .claude/settings.json: hook SessionStart per Claude Code — esegue il payload all’avvio di qualsiasi sessione Claude nel repository.
  • .gemini/settings.json: hook identico per Gemini CLI.
  • .cursor/rules/setup.mdc: prompt injection per Cursor AI — istruisce l’agente a eseguire il payload spacciandolo per “inizializzazione obbligatoria del progetto”. Il flag alwaysApply: true garantisce l’attivazione indipendentemente dal file su cui si sta lavorando.
  • .vscode/tasks.json: task con runOptions.runOn: "folderOpen" — eseguito automaticamente da VS Code all’apertura della cartella, senza alcun coinvolgimento di AI agent.

Il punto critico: clonare il repository è sicuro, aprirlo nell’editor non lo è. Questo inverte l’assunzione di sicurezza su cui si basano la maggior parte dei workflow di sviluppo.

73 repository in 105 secondi: l’automazione di GitHub come ultima linea di difesa


Ore dopo il commit malevolo, il sistema automatico di abuse detection di GitHub ha disabilitato 73 repository in due ondate distinte, separate da un gap di 56 secondi:

  • Wave 1 (16:00:50 → 16:01:28 UTC): 39 repository in 38 secondi
  • Wave 2 (16:02:24 → 16:02:35 UTC): 34 repository in 11 secondi

Tutti i repository restituiscono HTTP 403 con "reason": "tos". Tra quelli colpiti figurano repository critici come azure-functions-host, azure-functions-core-tools, l’intera famiglia dei worker (.NET, Node.js, Python, Java, PowerShell, Go) e — con conseguenze immediate — Azure/functions-action, la GitHub Action ufficiale per il deployment di Azure Functions.

La disabilitazione di functions-action ha rotto immediatamente ogni pipeline CI/CD che referenziava Azure/functions-action@v1. Un thread su Microsoft Learn ha raccolto oltre 20 segnalazioni di pipeline bloccate in poche ore. Microsoft ha inizialmente classificato l’evento come “violazione delle policy GitHub”, salvo poi ricaratterizzarlo come “internal management issue under investigation”.

Attributione: TeamPCP e il nexus Shai-Hulud/Miasma


L’incidente si inserisce nella campagna più ampia del gruppo TeamPCP, attivo da almeno la primavera 2026. Il payload del 19 maggio conteneva un C2 secondario (t.m-kosche[.]com) già noto come infrastruttura TeamPCP. Il gruppo ha una storia di attacchi supply chain di ampia portata: TanStack (42 pacchetti npm, CVE-2026-45321, CVSS 9.6), Mistral AI, l’ecosistema @[url=https://stream.antv.abyaya.la/video-channels/antv]antv[/url] (639 versioni su 323 pacchetti npm), @redhat-cloud-services (32 pacchetti), LiteLLM, Telnyx e Checkmarx.

Miasma è valutata come una variante evoluta del worm Mini Shai-Hulud: Wave 1 (giugno 1) usava hook preinstall npm; Wave 2 (giugno 3) ha introdotto la tecnica Phantom Gyp — file binding.gyp malevoli che eludono le difese supply chain tradizionali; Wave 3 (giugno 5) ha abbandonato il package manager del tutto, puntando direttamente al repository e all’editor.

Indicatori di compromissione

# Domini C2
check.git-service[.]com      # C2 primario payload maggio
t.m-kosche[.]com             # Infrastruttura TeamPCP (C2 secondario)

# Hash commit malevolo
5f456b8  (Azure/durabletask, 2026-06-05)

# File sospetti da cercare nei repository
.claude/settings.json        # Hook SessionStart
.gemini/settings.json        # Hook SessionStart
.cursor/rules/setup.mdc      # Prompt injection alwaysApply
.vscode/tasks.json           # runOn: folderOpen
.github/setup.js             # Payload principale (4.6 MB offuscato)

Due righe per i difensori


Chi ha clonato repository Azure/microsoft dopo il 2 giugno 2026 e li ha aperti in un editor deve considerare il sistema compromesso e ruotare immediatamente tutte le credenziali accessibili: GitHub token, npm token, AWS keys, Azure service principal, GCP service account, SSH key, Kubernetes secrets, Docker config, variabili d’ambiente e shell history.

Per prevenire incidenti analoghi: ispezionare i repository clonati per i file sopra elencati prima di aprirli; pinnare le GitHub Actions a commit SHA specifici invece di tag mutabili; abilitare branch protection con revisione obbligatoria dei PR; usare PyPI Trusted Publishing (OIDC) al posto di token long-lived; monitorare le connessioni outbound dai runner CI/CD verso domini sconosciuti.

L’attacco Miasma su Microsoft rappresenta un salto qualitativo nella minaccia supply chain: non bastano più le difese sul package manager se gli attaccanti possono iniettare hook direttamente nell’editor dello sviluppatore. La superficie d’attacco si è spostata dall’installazione all’apertura — e le difese devono adeguarsi di conseguenza.


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Almalaurea, nel 2025 oltre la metà delle persone laureate sono donne

@scuola

corriereuniv.it/almalaurea-nel…

La maggior parte delle persone laureate nel 2025 sono donne: rappresentano il 59,6% del totale, quota tendenzialmente stabile negli ultimi dieci anni. È quanto emerge dal XXVIII Rapporto Almalaurea su Laurea

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Il nuovo post di universita-it: Sostenibilità e Brand Activism: come i comunicatori di domani costruiscono la fiducia

Qui il post completo: universita.it/sostenibilita-br…

@universitaly

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Maturità 2026, la marcia del maturando: come arrivare all’esame senza stressarsi

@scuola

corriereuniv.it/maturita-2026-…

La maturità non è soltanto un esame scolastico. Per molti studenti rappresenta un passaggio simbolico, il momento in cui finiscono davvero gli anni delle superiori e iniziano nuove domande sul futuro. È anche per questo che, nelle settimane precedenti alle

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

Da non perdere l'editoriale di #MarcoTravaglio di oggi:

ilfattoquotidiano.it/in-edicol…

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

riparlare di coordinamento fra soggetti antagonisti


Ho fatto questo post oggi: differx.noblogs.org/2026/06/11… e qui vorrei legarlo alle osservazioni che trovo nel video peertube.uno/w/oZvEctNNJPSCirU…, in cui si parla del passaggio dall’economia dell’attenzione a quella dell’intenzione, che direi a sua volta strettamente connesso a quanto scrive Franco Oriolo nell’articolo uscito ieri su ahida: ahidaonline.com/post/selfie-da…) e all’allarme (relativo al ricatto imminente di google) di cui si parla qui: keepandroidopen.org/it/

Siamo immessi in (e contribuenti in gran parte involontari di) un’economia di guerra permanente, da anni ma – recentemente – con pazzeschi “scatti di crescita”. Fino al genocidio: di cui Palestina e Libano sono laboratorio. E questa faccenda mostruosa, generale e ampia, comprende come elemento di fondo, di base, il controllo d​igitale (e l’IA).

In un simile orizzonte, che in realtà non è un orizzonte ma una scatola in cui ci stanno chiudendo anzi siamo già sigillati, le ipotesi di alternative in rete non sono solo fantasia, esistono in concreto: effimera.org/il-fediverso-per-… (e cfr. anche differx.noblogs.org/2026/06/08…).

Fra tante cose centrali, nel contesto di emergenze che ci impacchetta ben bene, credo sia assolutamente indispensabile un coordinamento fra gruppi e soggetti antagonisti. Ne vogliamo (ri)parlare?
#ahida #AI #alternative #bigTech #controllo #controlloDigitale #coordinamento #differx #economiaDellAttenzione #economiaDellIntenzione #economiaDiGuerra #effimera #FEDIVERSO #FrancoOriolo #genocidio #google #guerraPermanente #IA #intelligenzaArtificiale #internetFederata #internetFederato #Libano #Palestina #peertube #rete #ricattoDiGoogle #societàDelControllo #soggettiAntagonisti


Perché ti danno l’AI gratis? La verità da 725 miliardi, l'economia dell'intenzione


Perché Google, Microsoft e OpenAI stanno bruciando 725 miliardi di dollari in infrastrutture AI per darti tutto “gratis”?

La risposta non è solo la tua attenzione. È qualcosa di più profondo: la tua intenzione.

Stiamo passando dall’economia dell’attenzione a quella dell’attaccamento.

Non si tratta più solo di prevedere cosa cliccherai, ma di anticipare cosa desidererai prima ancora che tu lo sappia. Un sistema che usa i tuoi dati comportamentali per modellare la realtà che vedi — e quella che vuoi.

Nel frattempo, mentre usi ChatGPT, Claude e altri strumenti “gratuiti”, le Big Tech stanno costruendo un filtro invisibile tra te e il mondo.

Dentro troviamo i numeri enormi degli investimenti, il “capitalismo della sorveglianza” di Shoshana Zuboff e una direzione chiara: l’AI non vuole solo il tuo tempo. Vuole il tuo legame.

Capire questo non è teoria: è il primo passo per non diventare solo un dato dentro il sistema.


Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

ANNIENTATO

Nella sua prima apparizione pubblica dopo mesi di detenzione, una fotografia trapelata dal palazzo dell’Alta Corte israeliana di Gerusalemme mostra il dottor Hussam Abu Safiya profondamente segnato dalla prigionia.

Sul medico palestinese sono evidenti i segni di un grave deterioramento fisico. Il volto scavato, lo sguardo affaticato, che racconta notti senza riposo, isolamento, privazioni.

Secondo i suoi difensori e le organizzazioni per i diritti umani che seguono il caso, Abu Safiya sarebbe stato sottoposto a ripetuti maltrattamenti e a condizioni detentive feroci. In queste settimane è stato posto in isolamento in una cella 1×1 metro.

Hussam Abu Safiya - pediatra e direttore dell’ospedale Kamal Adwan nel nord di Gaza/ è stato arrestato il 27 dicembre 2024. Finora nessuna accusa circostanziata è stata mai presentata contro di lui. È detenuto come “combattente illegale”, una categoria giuridica generica utilizzata da Israele per detenere palestinesi senza riconoscere loro lo status di prigioniero di guerra previsto dalla Terza Convenzione di Ginevra.

In via teorica potrà essere liberato solo al termine del “conflitto”. Israele usa questa categoria per negare protezioni internazionali e detenere indefinitamente senza processo persone che non sono membri della Resistenza, come nel caso di un medico civile.

Un medico civile arrestato senza accuse pubbliche, rinchiuso in isolamento, privato delle garanzie minime del diritto internazionale e sospeso in un limbo senza scadenza. Non condannato. Non processato. Semplicemente annientato.

La fotografia uscita dall’Alta Corte di Gerusalemme mostra non solo un uomo devastato, ma un sistema in cui la detenzione senza processo non è l’eccezione, ma il metodo.

Tutti zitti.

Alfredo Facchini
#AlfredoFacchini

#Hussamabusafiya #israeleterrorista

@politica

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

𝗤𝘂𝗮𝗻𝗱𝗼 𝗶𝗹 𝗦𝗼𝗹𝗲 𝗱𝗶𝘀𝘁𝘂𝗿𝗯𝗮 𝗹𝗮 𝗧𝗲𝗿𝗿𝗮: 𝗰𝗼𝘀𝗮 𝗰𝗶 𝗿𝗮𝗰𝗰𝗼𝗻𝘁𝗮 𝗹’𝗔𝗻𝘁𝗮𝗿𝘁𝗶𝗱𝗲

Tra il 10 e il 12 maggio 2024 la Terra è stata colpita dalla più intensa tempesta geomagnetica degli ultimi vent’anni. L’evento, generato da una serie di espulsioni di materia dal Sole, ha provocato aurore visibili anche a latitudini insolite e forti perturbazioni del campo magnetico terrestre.

Leggi l'articolo scientifico buff.ly/LE3v4Wu

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

[2] Lo scorso anno una collega ha sporto denuncia per aggressioni verbali e fisiche. Io stesso posso testimoniare, di anno in anno, di colloqui allucinanti finiti a volte ad insulti nei miei confronti, per cui avrei dovuto avanzare denuncia.

Insegno da 10 anni e non nascondo che una parte di me vorrebbe tanto cambiare mestiere.

#scuola

Questa voce è stata modificata (1 settimana fa)
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

[1] Quest'anno scolastico è finito con tre minacce di ricorso e denunce non meglio precisate da parte dei genitori, di cui una accompagnata da vaghe promesse di "ritorsioni" basate su registrazioni dei colloqui a insaputa dei docenti. Uno di questi genitori, già noto per averci stalkerizzato con email scritte con l'AI per far promuovere il figlio, ha fatto irruzione durante gli scrutini e la Dirigente ha dovuto chiamare i Carabinieri per allontanarlo.

#scuola

Questa voce è stata modificata (1 settimana fa)
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Gennaio 1966. Con la morte improvvisa del “costruttore capo” Sergej Korolev, l’Unione Sovietica è costretta a rifondare il programma spaziale. Il settore dell’esplorazione di Venere viene assegnato a Georgij Babakin, un esperto ingegnere elettrotecnico che aveva iniziato la carriera negli anni Trenta con gli apparati radio e radar prima di passare alla missilistica.

Gli scienziati sovietici vogliono studiare l'atmosfera, la superficie e le caratteristiche geografiche di Venere: si aspettano un mondo ricco di sorprese sotto le fitte nubi che ne ostacolano l'osservazione. Ma i primi tentativi si rivelano una lunga serie di delusioni. Venera 1 e Venera 2 non riescono a completare la missione: la prima perde i contatti durante il viaggio, la seconda smette di funzionare poco prima di raggiungere il pianeta. Le missioni successive, sotto la guida di Babakin, riescono a entrare nell’atmosfera venusiana, ma vengono schiacciate dalla pressione e dal calore prima di raggiungere il suolo: la pressione è pari a quella degli oceani terrestri, mentre la temperatura è quella della fumarola di un vulcano.

Con Venera 7 il gruppo guidato da Babakin cambia approccio e materiali e punta tutto sulla robustezza: il nuovo modulo di atterraggio è una sfera corazzata in titanio, anziché in lega di alluminio e magnesio, progettata per resistere a una pressione di 180 atmosfere e a una temperatura di 540 gradi. Lo spessore delle pareti varia dai 9 ai 25 millimetri, molto di più che su un’auto blindata. La capacità della batteria viene aumentata e per guadagnare minuti preziosi il lander verrà raffreddato fino all’ultimo secondo prima del distacco dal veicolo di crociera. Il paracadute, un multistrato di fibra di vetro e acrilico, viene deliberatamente rimpicciolito per accelerare la discesa e evitare che la sonda si “cuocia” prima ancora di arrivare al suolo. Una scommessa rischiosa ma inevitabile.

Dato che il modulo di atterraggio è diventato più pesante, viene alleggerito al massimo quello interplanetario, eliminando tutti gli strumenti scientifici tranne un contatore di particelle. Non basta ancora. Anche così il carico supera la portata del lanciatore Molniya-M, che viene quindi potenziato aggiungendo 140 chili di propellente.

Per rispettare le scadenze dopo aver rivoluzionato il progetto, Babakin e i suoi collaboratori lavorano a ritmi estenuanti, spesso fino a quattordici ore al giorno. Venera 7 viene lanciata il 17 agosto del 1970 e arriva a destinazione il 15 dicembre.

Il giorno dell’atterraggio la tensione è alle stelle. Dopo il frenaggio aerodinamico, si apre il paracadute che in un primo tempo regge bene, ma durante la discesa un guasto fa precipitare a terra la sfera di titanio a sessanta chilometri all’ora. La stazione di controllo in Crimera riceve soltanto rumore di fondo.

Sembra un altro fallimento. Tuttavia i nastri della stazione di terra continuano a registrare e dopo una settimana il radioastronomo Oleg Rzhiga li analizza di nuovo e con sua sorpresa scopre 23 minuti di trasmissioni debolissime, a meno dell’un per cento dell’intensità prevista, ma ancora decifrabili. Gli specialisti deducono che il lander è rimbalzato al suolo ed è caduto su un fianco con l’antenna puntata lontano dalla Terra. È la prima volta che una sonda fa un atterraggio (più o meno) morbido sulla superficie un altro pianeta e trasmette dati alla Terra.

Il piccolo lander ha superato nuvole di acido solforico, un urto che ucciderebbe sul colpo i passeggeri di un’automobile, temperature che fonderebbero il piombo e perfino lo zinco, e pressioni a cui non resisterebbe un sottomarino. Ma non si è rotto.

I pochi dati ricevuti confermano le peggiori aspettative. La temperatura è di circa 475 gradi e la pressione di 92 atmosfere, con venti di dieci chilometri l’ora. L’ambiente venusiano è un inferno dantesco, ma Venera 7 dimostra che può essere studiato. Le missioni successive approfondiranno la conoscenza del pianeta misurando i livelli di illuminazione, analizzando la composizione del suolo e, a partire da Venera 9, inviando le prime fotografie mai scattate dalla superficie di un altro pianeta.

Ma Babakin non le vedrà. Morirà l’anno successivo, a soli cinquantasei anni, anche lui prematuramente come Korolev e il suo maestro Semën Lavochkin. I frutti del suo lavoro saranno raccolti da altri, ma il suo contributo all’esplorazione di Venere non sarà dimenticato.

@astronomia

Questa voce è stata modificata (1 settimana fa)
in reply to Destinazione Stelle

fantastica storia, fa sperare che si possa fare ricerca scientifica a livelli incredibili non solo (magari per nulla) a scopo bellico; a questo punto anche il campanilismo sarebbe preferibile all’odio, alla paura e all’avidità che invece alimentano oggi la maggior parte degli avanzamenti scientifici che, probabilmente a causa di questi motivi, sono spesso molto meno rivoluzionari di quelli di inizio-metà ‘900
Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please log in.

Davanti la sede Fifa di Zurigo arriva la ‘Coppa della morte’. Il murales di Laika contro Trump e Infantino: "È il Mondiale delle bombe"

A un giorno dall’inizio dei Mondiali di calcio 2026, la ‘Death cup’ e una seconda opera sono comparse a Zurigo, in Svizzera: la prima davanti al quartier generale della Fifa in Fifa Strasse, la seconda nel centro città e intitolata ‘FIFA Crime Cup 2026’, raffigurante un tifoso messicano con la faccia al muro e le mani alzate, perquisito e arrestato da due agenti dell’Ice, la polizia statunitense per l’anti-immigrazione, al centro di polemiche e accuse di deportazioni, arresti arbitrari e violenze.

Il presidente degli Stati Uniti Donald Trump e il presidente della Fifa Gianni Infantino stringono, sorridenti, la ‘Death Cup’, “la coppa della morte”, ossia la coppa dei mondiali di calcio che la posto del pallone presenta un teschio: è l’ultima denuncia della street artist Laika1954, tra le più impegnate in materia di diritti umani e denunce sociali.


un tifoso messicano con la faccia al muro e le mani alzate, perquisito e arrestato da due agenti dell’Ice


dire.it/10-06-2026/1247053-dav…

@Politica interna, europea e internazionale

Poliversity - Università ricerca e giornalismo ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

oggi, 11 giugno, personale di robert filliou alla fondazione mudima (milano)


11 maggio, robert filliou alla fondazione mudima, milano_
cliccare per ingrandire

comunicato stampa e informazioni complete:
Robert Filliou alla Fondazione Mudima, 11 giu 2026_ a cura di Gino Di Maggio
#art #arte #fluxus #FondazioneMudima #GinoDiMaggio #Mudima #robertFilliou #vispo