netzpolitik.org

2026-07-18 06:39:41

Das Grundgesetz gewährt Meinungsfreiheit, auch für beunruhigende Meinungen. Die Geistesfreiheit ist inhaltlich unbeschränkt und gerichtlich durchsetzbar. Doch Meinungsstreit schützt nicht vor Widerspruch, Protest und Empörung. Wir brauchen klare Regeln gegen Hass und Hetze – gerade im Netz. Gastbeitrag von Johannes Masing:

netzpolitik.org/2026/meinungsf…

Wie wir Hass bekämpfen, ohne die Freiheit des Wortes zu verlieren

^{Gastbeitrag (netzpolitik.org)}

Spcnet.it

2026-07-17 20:19:01

La VPN che hai pagato finanzia davvero i valori in cui credi? Il caso Mullvad e la crisi dell’etica digitale

Per molti anni il mondo della privacy digitale ha goduto di una sorta di immunità morale. Mentre i grandi colossi della tecnologia venivano criticati per il capitalismo della sorveglianza, per la raccolta indiscriminata di dati personali e per modelli di business fondati sulla profilazione degli utenti, una parte dell’ecosistema open source è riuscita a costruirsi un’immagine quasi opposta. Scegliere una VPN indipendente, utilizzare software libero o affidarsi a servizi come Proton e Mullvad è diventato, per molti utenti, molto più di una decisione tecnica: è stata una scelta culturale e, in alcuni casi, persino politica.

Non è difficile comprenderne le ragioni. La comunità che ruota attorno al software libero ha spesso condiviso valori come la trasparenza, il diritto alla riservatezza, la decentralizzazione del potere tecnologico e la difesa delle libertà civili. Sebbene nessuno abbia mai sostenuto ufficialmente che queste realtà appartenessero a una precisa area politica, nell’immaginario collettivo si è consolidata l’idea che rappresentassero un’alternativa etica alle grandi multinazionali del digitale. In altre parole, pagando un abbonamento a questi servizi si aveva la sensazione non soltanto di acquistare un prodotto migliore, ma anche di sostenere un diverso modo di concepire Internet.

È proprio questa percezione che negli ultimi giorni è stata improvvisamente messa in discussione.

Secondo quanto riportato dal quotidiano svedese Flamman, Daniel Berntsson, fondatore e comproprietario di Mullvad VPN, ha effettuato una donazione di cinque milioni di corone svedesi a Örebropartiet, un partito locale che negli ultimi mesi ha attirato l’attenzione della stampa per posizioni considerate vicine al concetto di “remigrazione”, tema frequentemente associato alla nuova destra identitaria europea. Berntsson ha confermato la donazione, precisando che si tratta di una scelta esclusivamente personale e non riconducibile all’azienda.

Dal punto di vista giuridico la questione potrebbe anche chiudersi qui. In una democrazia liberale ogni cittadino ha il diritto di sostenere economicamente il partito che ritiene più vicino alle proprie convinzioni, e sarebbe profondamente sbagliato mettere in discussione questo principio.

La questione, tuttavia, cambia radicalmente se la si osserva da una prospettiva etica.

Mullvad non vende soltanto una VPN. Da anni vende fiducia. Vende l’idea di essere un soggetto indipendente, rispettoso della privacy, lontano dalle logiche speculative delle grandi corporation e profondamente radicato in una cultura della trasparenza che ha contribuito a renderla uno dei nomi più rispettati dell’intero settore. Quando un’azienda costruisce il proprio patrimonio economico su un capitale reputazionale così forte, è inevitabile che anche i comportamenti pubblici dei suoi proprietari assumano un significato diverso rispetto a quelli di un qualsiasi cittadino.

Sostenere che la donazione sia “personale” è corretto dal punto di vista formale, ma rischia di essere insufficiente dal punto di vista sostanziale. I dividendi distribuiti da una società entrano nel patrimonio personale dei soci e, una volta disponibili, possono essere destinati a qualsiasi finalità, comprese iniziative politiche. Chi sceglie di acquistare un servizio proprio perché ritiene di sostenere un certo sistema di valori potrebbe quindi legittimamente chiedersi se quella fiducia non stia indirettamente contribuendo anche ad alimentare progetti politici che non condivide.

Naturalmente nessuno può pretendere di controllare le convinzioni personali di un imprenditore. Sarebbe una deriva tanto pericolosa quanto incompatibile con i principi di una società libera. Esiste però una differenza sostanziale tra il diritto di avere idee politiche e la pretesa che tali idee rimangano irrilevanti rispetto all’immagine pubblica dell’azienda di cui si è fondatori.

Un imprenditore non smette di rappresentare la propria impresa quando esce dall’ufficio. Questo principio vale quotidianamente per amministratori delegati, dirigenti e figure pubbliche di qualsiasi settore. Una dichiarazione controversa, una presa di posizione politica o un comportamento ritenuto incompatibile con i valori dell’azienda producono inevitabilmente conseguenze reputazionali che ricadono sull’intera organizzazione e, spesso, anche sugli altri soci che condividono quel progetto imprenditoriale.

Per questo motivo appare difficile sostenere che la vicenda riguardi esclusivamente la sfera privata di Berntsson. Non perché Mullvad abbia finanziato direttamente un partito politico — affermazione che non troverebbe riscontro nei fatti — ma perché la reputazione dell’azienda è ormai inscindibile da quella delle persone che l’hanno costruita. Quando il prodotto venduto è la fiducia, anche la credibilità personale dei fondatori diventa parte integrante di quel prodotto.

Una riflessione analoga è emersa anche all’interno della comunità di Proton. Negli ultimi giorni numerosi utenti hanno chiesto chiarimenti riguardo ad alcune scelte comunicative dell’azienda e ai rapporti con figure considerate politicamente divisive. Anche in questo caso il dibattito non nasce da dubbi sulla qualità tecnica dei servizi offerti, che continua a essere ampiamente riconosciuta, bensì dalla crescente consapevolezza che chi acquista strumenti per la tutela della privacy non sta semplicemente scegliendo un software, ma spesso decide di sostenere economicamente una determinata organizzazione.

Questo aspetto merita una riflessione più ampia, soprattutto all’interno della comunità open source. Per anni si è diffusa l’idea, spesso implicita, che il software libero fosse quasi naturalmente associato a una cultura progressista, libertaria o comunque orientata alla difesa dei diritti civili. È stata una semplificazione che oggi mostra tutti i suoi limiti. Gli sviluppatori, gli imprenditori e gli investitori che operano in questo settore appartengono alle più diverse sensibilità politiche, esattamente come accade in qualsiasi altro ambito economico. L’apertura del codice non implica automaticamente una determinata visione della società.

Eppure proprio questa consapevolezza rende ancora più importante il tema della trasparenza. Se un’azienda decide di costruire la propria identità commerciale attorno a concetti come etica, fiducia, indipendenza e libertà, deve accettare che il pubblico valuti anche la coerenza tra quei principi e i comportamenti delle persone che la guidano. Non si tratta di pretendere un’impossibile neutralità politica, ma di riconoscere che, nel momento in cui un’impresa vende valori oltre che servizi, i suoi fondatori non possono realisticamente rivendicare una netta separazione tra la dimensione privata e quella pubblica.

Forse la vera lezione di questa vicenda non riguarda soltanto Mullvad. Riguarda tutti noi. Per anni abbiamo creduto che bastasse scegliere un servizio open source o una VPN rispettosa della privacy per sentirci automaticamente partecipi di un ecosistema eticamente migliore rispetto a quello delle Big Tech. Oggi scopriamo che la realtà è molto più complessa. Le aziende possono sviluppare ottimi prodotti, sottoporli ad audit indipendenti e difendere concretamente la privacy degli utenti, senza che questo dica nulla sulle convinzioni personali di chi ne possiede le quote.

La domanda è se, nell’economia digitale contemporanea, sia ancora possibile separare completamente il valore tecnico di un servizio dal destino economico e politico delle persone che, grazie a quel servizio, costruiscono il proprio patrimonio. È una domanda scomoda, destinata probabilmente a dividere la comunità della privacy. Ma proprio per questo merita di essere posta.

Techprofil ger miljoner till Örebropartiet

It-bolaget Mullvads grundare donerade fem miljoner – till parti som vill se ”storskalig återvandring”

^{Jacob Lundberg (Flamman)}

(in)sicurezza digitale

2026-07-17 14:32:52

OkoBot: il framework che si inietta in Ledger Live e Trezor Suite per rubare le seed phrase

Immaginate di collegare il vostro Ledger o Trezor per una transazione di routine, digitare il PIN, e vedere comparire sullo schermo del wallet una richiesta di “recovery” della seed phrase — identica, pixel per pixel, a quella che l’app mostrerebbe in caso di reale malfunzionamento. Solo che non è l’app a parlare: è OkoBot, un framework modulare scoperto dal team GReAT di Kaspersky, che si inietta direttamente nel processo Electron di Ledger Live e Trezor Suite per mostrare pagine di phishing hard-coded e rubare la frase di recupero da dentro l’applicazione legittima.

Un framework, non un semplice trojan

Attivo almeno da aprile 2025 e ancora operativo, OkoBot non è un singolo malware ma un’infrastruttura modulare che conta oltre venti payload e impianti diversi, orchestrati tramite un tunnel SSH verso un server controllato dagli attaccanti. Tra le funzioni disponibili: raccolta di file locali, esecuzione di comandi remoti, download di estensioni browser arbitrarie, furto di wallet crypto, keylogging, registrazione video della finestra attiva e, ovviamente, furto di seed phrase. Kaspersky rileva i vari componenti con firme distinte — Trojan-Downloader.Win32.TookPS, Trojan.Win64.BypassUAC, Trojan-Banker.Script.Agent.gen, Backdoor.Win32.TeviRat, Trojan-PSW.Win64.Stealer, Trojan-Spy.Win64.Keylogger — segno che si tratta di un ecosistema criminale maturo e in continua evoluzione, non di un singolo eseguibile.

La catena di infezione: da TookPS al tunnel SSH

Tutto parte da TookPS, un downloader PowerShell che i ricercatori Kaspersky avevano già documentato in campagne precedenti mascherato da software popolare (UltraViewer, AutoCAD, Ableton). TookPS installa un client SSH sulla macchina della vittima, apre una connessione verso un server controllato dagli attaccanti e inoltra la porta del demone SSH locale. Dopo un intervallo di attesa, un bot SSH automatizzato si collega alla porta inoltrata, raccoglie informazioni di base sul sistema — nome utente, antivirus installato, indirizzo IP, versione del sistema operativo — e in base al profilo della vittima decide quali dei venti moduli successivi distribuire. È una catena a quattro stadi pensata per essere modulare e selettiva: non tutte le vittime ricevono lo stesso payload, riducendo il rumore e la superficie di rilevamento generica.

SeedHunter e OkoSpyware: il cuore del furto

Il modulo più insidioso per chi possiede crypto è SeedHunter. Monitora costantemente i processi attivi in cerca di Trezor Suite, Ledger Wallet o Ledger Live; quando li trova, si inietta nel processo e aggancia (“hook”) le funzioni interne Electron dell’applicazione. Alla connessione di un wallet hardware Trezor o Ledger, SeedHunter attiva le funzioni agganciate per mostrare una pagina di phishing hard-coded per il “recupero” della seed phrase — con un layout diverso e specifico per ciascun tipo di wallet, per massimizzare la credibilità. La vittima crede di interagire con la propria app di sempre; in realtà sta digitando le 12 o 24 parole della propria frase di recupero direttamente nelle mani degli attaccanti.

Accanto a SeedHunter opera OkoSpyware, un modulo più recente che cattura keystroke e stream video della finestra dell’applicazione target — utile sia per rubare credenziali digitate manualmente sia per raccogliere materiale di intelligence sulla vittima (abitudini, saldi, altre app finanziarie in uso).

I vettori: ClickFix e repository GitHub trojanizzati

L’infezione iniziale avviene per due strade parallele. La prima è un classico attacco ClickFix: la vittima trova un sito o un annuncio che simula un errore di sistema e la invita a “risolverlo” copiando e incollando un comando in una finestra di esecuzione (di solito PowerShell aperto tramite il prompt “Esegui” di Windows) — un pattern di social engineering che sta esplodendo in popolarità perché elude molti controlli antivirus basati su file, dato che non c’è alcun eseguibile scaricato in un primo momento.

La seconda strada è più insidiosa per un pubblico tecnico: repository GitHub che spacciano software legittimo. In un caso documentato da Kaspersky, un repository pubblicizzato come “SQL Server Management Studio” distribuiva in realtà una copia ricompilata di Audacity, il noto editor audio open source, con un impianto malevolo incorporato in una delle sue librerie. Il repository è rimasto attivo da fine marzo 2025 a giugno, tempo sufficiente per infettare sviluppatori e power user che scaricano software direttamente da GitHub confidando (a torto) nella reputazione della piattaforma come garanzia di autenticità del codice.

I numeri della campagna

Ad oggi OkoBot ha colpito centinaia di vittime in oltre 25 paesi, con la concentrazione più alta in Brasile, Vietnam, Canada, Messico e Turchia — una geografia coerente con altre campagne di crimeware finanziario che privilegiano mercati con adozione crypto retail elevata e risposta delle forze dell’ordine relativamente più lenta rispetto a USA ed Europa occidentale. La campagna, secondo Kaspersky, è tuttora attiva al momento della pubblicazione della ricerca.

Due righe per i difensori

• Diffidare sistematicamente da qualsiasi istruzione che chieda di copiare e incollare comandi in PowerShell o nel prompt “Esegui” per “risolvere un errore”: è la firma comportamentale di ClickFix, indipendentemente dal sito che la propone.
• Scaricare software critico (wallet manager, tool di sviluppo) esclusivamente dai domini ufficiali dei vendor, verificando hash e firme digitali dei pacchetti anche quando la fonte sembra GitHub o un repository con molte stelle.
• Trattare qualunque richiesta di inserimento della seed phrase come un evento anomalo per definizione: né Ledger né Trezor la richiedono mai via software per operazioni di routine. La seed phrase va scritta solo su supporto fisico, mai digitata su un computer connesso.
• Monitorare, lato endpoint, connessioni SSH in uscita non autorizzate e port-forwarding anomali verso IP esterni, dato che l’intera catena OkoBot dipende da un tunnel SSH stabilito dal downloader iniziale.
• Applicare application allow-listing sugli endpoint che gestiscono wallet crypto, impedendo l’iniezione di codice in processi Electron non firmati o modificati rispetto al binario ufficiale.

Indicatori di compromissione

# Firme di rilevamento Kaspersky associate alla campagna OkoBot
Trojan-Downloader.Win32.TookPS.*
Trojan.Win64.BypassUAC.*
Trojan-Banker.Script.Agent.gen
Trojan.Win32.Dllhijack.*
Backdoor.Win32.TeviRat.*
Trojan-PSW.Win64.Stealer.*
Trojan-Spy.Win64.Keylogger.*
Trojan-Spy.Win64.Agent.*
Trojan.Win64.Agent.*
# Comportamenti da monitorare (EDR/SOC)
- Esecuzione PowerShell innescata da clipboard / dialogo "Esegui" (pattern ClickFix)
- Installazione non richiesta di client SSH (es. OpenSSH) seguita da
  port-forwarding verso host esterno sconosciuto
- Iniezione di codice in processi Ledger Live / Trezor Suite (Electron)
- Hook di funzioni Electron in processi di wallet manager
- Traffico SSH persistente in uscita su porte non standard verso
  infrastruttura non aziendale
# Vettori di distribuzione noti
- Repository GitHub che spacciano software legittimo (es. build
  trojanizzate di Audacity presentate come "SQL Server Management Studio")
- Siti/annunci ClickFix che simulano errori di sistema o CAPTCHA falliti
Fonte tecnica completa e IoC estesi: Securelist (Kaspersky GReAT)

Il caso OkoBot conferma una tendenza che i team di threat intelligence osservano da tempo: i criminali informatici stanno spostando lo sforzo ingegneristico dal furto di credenziali generiche all’attacco mirato ai flussi applicativi di prodotti di sicurezza specifici — in questo caso i wallet hardware, pensati proprio per essere “air-gapped” e immuni al malware sul computer host. Iniettarsi nell’app companion anziché nel dispositivo fisico è un modo elegante per aggirare quella barriera senza doverla rompere davvero.

(in)sicurezza digitale

2026-07-17 14:31:16

GoSerpent: la backdoor Go che spia governi e diplomazie del Sud-Est asiatico

Un backdoor scritto in Go, un catalogo di tool integrati con precisione chirurgica e un bersaglio che non lascia dubbi sulle intenzioni: enti governativi e diplomatici del Sud-Est asiatico. Il gruppo GReAT di Kaspersky ha appena pubblicato l’analisi di una campagna di cyberspionaggio che si distingue non tanto per la novità delle tecniche, quanto per la disciplina operativa con cui sono state orchestrate: raccolta dati silenziosa per settimane, poi un secondo strumento, mesi dopo, che arriva a prelevare esattamente ciò che il primo aveva già impacchettato e nascosto.

Una campagna che dura da anni, ma si è affinata nel 2026

Il ricercatore Noushin Shabab di Kaspersky racconta di aver individuato, a febbraio 2026, un insieme di attività malevole in corso almeno dalla fine del 2025 contro enti governativi e diplomatici del Sud-Est asiatico. Al centro dell’operazione c’è GoSerpent, un RAT scritto in Go con capacità di proxying, in circolazione — in versioni via via più semplici — almeno dal 2021. È la firma di un attore che non si limita a colpire e sparire, ma torna, aggiorna il proprio arsenale e lo integra in una catena di attacco sempre più coerente.

Il dettaglio più interessante non è il singolo malware, ma l’architettura in due fasi con cui il gruppo ha condotto l’operazione più recente. Nella prima fase, tra la fine del 2025 e i primi mesi del 2026, gli attaccanti hanno usato GoSerpent per distribuire strumenti di raccolta dati e furto di credenziali, lasciandoli lavorare in silenzio per settimane. Solo a maggio 2026 sono tornati con un secondo set di strumenti — Stowaway e la coppia TmcLoader/TmcPayload — dedicato esclusivamente all’esfiltrazione di ciò che era stato accumulato nei mesi precedenti.

Come funziona GoSerpent

GoSerpent riceve argomenti a riga di comando cifrati e codificati in base64, contenenti l’indirizzo del server C2 e una password di comunicazione. La decifratura avviene in AES-CBC con IV fisso, mentre le comunicazioni verso il C2 sono protette con ChaCha20, usando come chiave l’hash SHA256 della password stessa. Il backdoor supporta un set di comandi identificati da codici esadecimali (ad esempio 9BA8 per avviare un proxy SOCKS5, 6BA5 per aprire una shell remota, 7BA6/8BA7 per upload e download di file) e può incatenare più nodi compromessi in una catena di proxy, mascherando l’origine reale del traffico.

Accanto a GoSerpent, gli analisti hanno trovato McMx, una variante più semplice dello stesso strumento — probabilmente compilata da un repository GitHub diverso — che riceve i parametri da file di testo in chiaro invece che da argomenti cifrati. La configurazione viene generata tramite file batch manipolati con comandi echo, una tecnica rudimentale ma efficace per evitare di lasciare tracce dirette nei parametri di esecuzione.

Raccolta dati e furto di credenziali

Il vero motore della raccolta dati è ThumbcacheService, una DLL malevola registrata come servizio Windows. Usa una XOR a singolo byte (0x13) per offuscare le stringhe e crea un database, thumbcache_605a.db, nella cartella C:\Users\Public\, dove archivia documenti con estensione .doc, .docx, .pdf, .xls e .xlsx — compresi quelli cancellati e ancora presenti nel Cestino. I file raccolti vengono compressi con 7-Zip, protetti da una password fissa e limitati a 20MB per archivio, evidentemente per restare sotto la soglia di allerta di eventuali sistemi di monitoraggio del traffico.

In parallelo, GoSerpent distribuisce Mimikatz per il dump della memoria LSASS e QuarksDumpLocalHash per l’estrazione degli hash delle password locali dalla SAM, garantendo agli attaccanti le credenziali necessarie per il passaggio successivo: l’esfiltrazione via share di rete.

La seconda fase: Stowaway e TmcLoader

A maggio 2026 il gruppo è tornato con Stowaway, un tool di proxy e accesso remoto basato su un framework open source personalizzato, capace di tunneling SSH, proxy SOCKS5, reverse tunneling e comunicazioni su TCP, HTTP o WebSocket cifrate con AES-256-GCM o TLS. Stowaway consegna alla macchina compromessa due file: TmcLoader, con un payload incorporato, e un file di configurazione cifrato.

TmcLoader è un loader in C++ registrato come servizio Windows che decifra ed esegue TmcPayload direttamente nello spazio di memoria del processo svchost.exe, per persistenza e occultamento. Usa risoluzione dinamica delle API tramite XOR circolare combinata con Base64 per nascondere i nomi delle funzioni chiamate. TmcPayload, una volta attivo, cerca il file di configurazione in C:\Users\Public\Libraries\, legge le credenziali di rete cifrate al suo interno e trasferisce — via share condivisa — esattamente il database thumbcache_605a.db creato da ThumbcacheService mesi prima. È questa integrazione a orario differito, tra raccolta ed esfiltrazione, il tratto distintivo dell’intera operazione.

Infrastruttura e possibile attribuzione

Gli operatori si appoggiano a provider di hosting legittimi, tra cui Alibaba Cloud e UCLOUD HK, per il proprio C2 — una scelta che complica il rilevamento basato su reputazione IP. Curiosamente, sia GoSerpent sia Stowaway usano nomi di dominio legittimi come “chiavi segrete” operative: www.microsoft.com e www.spacex.com per il primo, github.code per il secondo — un dettaglio che suggerisce una metodologia operativa standardizzata all’interno del gruppo.

Kaspersky non attribuisce con certezza la campagna, ma segnala somiglianze nel targeting, nelle capacità tecniche e nella metodologia operativa con TetrisPhantom, un threat actor già noto per operazioni contro entità governative nella regione. Il collegamento resta da confermare con ulteriori indagini.

Due righe per i difensori

Per i team di sicurezza di enti governativi e diplomatici, GoSerpent è un promemoria di quanto sia difficile distinguere la raccolta silenziosa dall’esfiltrazione quando i due momenti sono separati da settimane o mesi. Alcune raccomandazioni pratiche:

• Monitorare la creazione di file .db anomali in C:\Users\Public\ e sottocartelle, specialmente se seguiti da compressione 7-Zip con password.
• Allertare su servizi Windows di nuova registrazione con nomi che imitano processi di sistema (es. varianti di “lsass.exe” o “updates.exe”).
• Monitorare l’injection di codice nello spazio di memoria di svchost.exe e l’uso non autorizzato di condivisioni di rete per trasferimenti di dati verso host esterni.
• Bloccare o ispezionare traffico SOCKS5 non autorizzato originato da endpoint interni.
• Cercare l’uso di Mimikatz e QuarksDumpLocalHash nei log EDR, anche in assenza di alert di esecuzione diretta.

Indicatori di compromissione

File hashes (formato originale Kaspersky)
GoSerpent: EBFFD5A76AAA690BCDB922F82E0BACC, 5DC506FF7BB72735444FB3703A6BEE6D8
McMx: D6E86BF8A90E9B632ADD5FA495F97FBC
ThumbcacheService: CB6C4C70A3B171FA3404B8E1A338211, 664E9D1950E42BC98486DFD9919463D1C
Stowaway: CBBB6D483737EA3566726E51752DFF40, 7F223EE0716CE2AD56F55D3744419449, 19F8BEFCB035F52BF70094E6B4F5779A, 846EF7C1C7323849B2A778C5E4CDA162
TmcLoader: D08A059E8B815E3B891505BC8777FC28, 93A1569D5D5AB2C4761FEDF84F83709E
C2 IP addresses:
152.32.160[.]239
8.220.194[.]108
8.220.214[.]132
8.220.209[.]155
8.220.193[.]189
101.36.104[.]87
144.48.6[.]46
103.138.13[.]30
47.80.22[.]58
152.32.222[.]113
43.106.30[.]226
File/servizi correlati:
C:\Users\Public\thumbcache_605a.db
C:\Users\Public\Libraries\{BBF061R2-BE25-4F6D-8B2D-1A6A39C3FSA2}.db

Fonte primaria: Kaspersky GReAT — Securelist.

GoSerpent backdoor attacks in Southeast Asia

Two-phase attacks with the GoSerpent backdoor, Stowaway RAT, ThumbcacheService and other tools aim to steal data from government entities in Southeast Asia.

^{Noushin Shabab (Securelist)}