Cybersecurity & cyberwarfare

2024-08-22 09:14:14

Tempeste, naufragi e cyberspionaggio: gli ingredienti del complotto

Uno yacht di lusso, il Bayesian, che si inabissa il 19 agosto a poche centinaia di metri dal porto di Palermo. Fin qui non ci sarebbe nulla di eccezionale. Le cose cambiano non appena si conosce l’identità delle persone a bordo e, purtroppo, delle vittime. Tra queste, la più illustre è senz’altro il magnate britannico […]
Continua a leggere

The post Tempeste, naufragi e cyberspionaggio: gli ingredienti del complotto appeared first on InsideOver.

Cybersecurity & cyberwarfare

2024-08-22 15:30:11

Citizen Scientists Spot Super Fast Moving Object in NASA Data

When you were five, you probably spotted your best friend running at “a million miles an hour” when they beat everybody at the local athletics meet. You probably haven’t seen anything that fast snice. According to NASA, though, a group of citizen scientists spotted a celestial object doing just that!

The group of citizen scientists were involved in a NASA program called Backyard Worlds: Planet 9. They were working on images from NASA’s Wide-field Infrared Explorer mission. Scanning through stored images, Martin Kabatnik, Thomas P. Bickle, and Dan Caselden identified a curiously speedy object termed CWISE J124909.08+362116.0. There are lots of fast-moving objects out in space, but few quite as fast as this one. It’s quite literally zooming through the Milky Way at about 1 million miles per hour.

It’s unclear exactly what the object is. It appears light enough to be a low-mass star, or potentially a brown dwarf—somewhere in between the classification of gas giant and star. It also has suspiciously low iron and metallic content. The leading hypothesis is that CWISE J1249 might have been ejected from a supernova, or that it got flung around a pair of black holes.

For now, it remains a mystery. It’s a grand discovery that really highlights the value of citizen science. If you’ve been doing your own rigorous scientific work—on NASA’s data or your own—do let us know!

Cybersecurity & cyberwarfare

2024-08-22 13:42:15

McDonald’s vittima di un attacco hacker su Instagram: sottratti 700.000 $ attraverso una truffa in cripto

L’account Instagram ufficiale di McDonald’s è stato compromesso da hacker che hanno utilizzato la piattaforma per promuovere una criptovaluta, riuscendo a sottrarre oltre 700.000 dollari. Questo evento mette nuovamente in luce i pericoli delle truffe digitali nel settore delle criptovalute e la vulnerabilità anche dei marchi più noti quando si tratta di sicurezza sui social media.

Dettagli dell’attacco

Gli hacker, che si sono identificati come “India_X_Kr3w”, hanno modificato la biografia del profilo Instagram di McDonald’s, visibile ai suoi oltre 5 milioni di follower. La nuova biografia promuoveva un token fasullo chiamato “GRIMACE”, presentato come un esperimento legato alla rete blockchain Solana, nota per l’alta velocità delle sue transazioni. In meno di mezz’ora, il valore del token è balzato a 25 milioni di dollari, per poi crollare bruscamente quando gli hacker hanno liquidato i fondi accumulati.

Il messaggio inserito dai truffatori recitava: “Sorry mah n**ga, you have just been rug pulled by India_X_Kr3w, thank you for the $700,000 in Solana.”

Immagine che mostra la biografia modificata dagli attaccanti

L’attacco non si è fermato al solo account ufficiale di McDonald’s, ma ha colpito anche il profilo di Guillaume Huin, Senior Marketing Director dell’azienda.

Gli hacker hanno sfruttato i suoi account social per conferire maggiore credibilità alla truffa, pubblicando messaggi che facevano credere che McDonald’s fosse coinvolto in un presunto esperimento sulla blockchain di Solana. Questa mossa astuta ha tratto in inganno numerosi investitori, che hanno visto svanire i loro fondi nel giro di pochi minuti, convinti di partecipare a un’iniziativa legittima del colosso del fast food.

Trend Token GRIMAGRACE

Rug pull

Questo tipo di truffa, noto nel mondo delle criptovalute come “rug pull”, si basa sulla creazione e promozione di una valuta digitale fittizia. Gli autori accumulano investimenti significativi grazie a una campagna promozionale aggressiva, per poi ritirare rapidamente i fondi raccolti, lasciando gli investitori con token privi di valore. In questo caso, gli hacker sono riusciti a sottrarre 700.000 dollari, suddividendo i fondi in circa 100 portafogli diversi per complicare il tracciamento del denaro.

Le conseguenze per McDonald’s

McDonald’s ha rapidamente ripreso il controllo del suo account Instagram e ha rimosso tutti i contenuti compromessi. In una dichiarazione ufficiale, la società ha definito l’accaduto un “episodio isolato“, scusandosi con i suoi fan per eventuali offese derivanti dai messaggi pubblicati durante l’attacco. L’azienda ha inoltre ribadito il suo impegno a rafforzare le misure di sicurezza per prevenire futuri incidenti simili.

Questo attacco evidenzia i rischi crescenti associati alle criptovalute e sottolinea l’importanza della sicurezza informatica, anche per le aziende più grandi e consolidate. Con il numero di truffe in aumento nel settore delle criptovalute, è essenziale che utenti e aziende rimangano vigili e adottino misure preventive per proteggere i propri investimenti e la propria reputazione online.

L'articolo McDonald’s vittima di un attacco hacker su Instagram: sottratti 700.000 $ attraverso una truffa in cripto proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-22 14:00:29

Tech in Plain Sight: Speedometers

In a modern car, your speedometer might look analog, but it is almost certainly digital and driven by the computer that has to monitor all sorts of things anyway. But how did they work before your car was a rolling computer complex? The electronic speedometer has been around for well over a century and, when you think about it, qualifies as a technlogical marvel.

If you already know how they work, this isn’t a fair question. But if you don’t, think about this. Your dashboard has a cable running into it. The inner part of the cable spins at some rate, which is related to either the car’s transmission or a wheel sensor. How do you make a needle deflect based on the speed?

Mechanical Solutions

Early versions of the speedometer used a governor pulling against a spring. The faster it rotates, the more the two weights of the governor pull out against the spring, and the needle moves with the weights.

As an aside, this sort of centrifugal governor is also known as a fly-ball governor, and similar devices were commonly used to regulate the maximum throttle on steam engines. The arms of the governor would be fully extended once the engine reached its top speed, which lead to the term “balls-out” becoming used to describe a machine operating at its upper limits.

Another type of mechanical speedometer had an escapement like a watch. The time mechanism would move the needle back, and the rotation of the wheels would move it forward. The net result was a needle position that would increase with speed.

The Magnetic Approach

However, most cars use a magnetic type speedometer — although it doesn’t work in the way you might imagine. There’s no reed relay or Hall effect sensing the magnetic field. Instead, there is an aluminum cup attached to the speedometer needle and, nearby, a magnet that spins on a shaft moving at some ratio of the car’s speed. There’s no direct connection between the two.

Being a non-ferrous metal, aluminum is not generally something we think of being affected by magnets. Under normal circumstances that might be true, but a moving magnetic field will induce eddy currents in aluminum. This forms a field in the aluminum, too, and the spinning magnet tends to drag the cup, thereby deflecting the pointer.

A spring similar to one you might find in a mechanical clock or watch pulls back the pointer so the needle hovers at the point where the force of the magnet pulls against the spring. The pull on the spring has to account for the gear ratios and the size of the tires to accurately reflect the vehicle’s speed.

If you want to see an entertaining teardown of an old speedometer, [Tubalcain/Mr Pete] has you covered in the video below. He also shows how the odometer part worked, too.

youtube.com/embed/DssASTqXqK8?…

Modern Times

Of course, these days you are more likely to pick up a pulse using a Hall effect or some other part of the vehicle and just count the pulses in the car’s computer. In fact, the pulses might be encoded at the source and travel over something like a CAN bus to get to the computer.

It is also possible to pick up speed from other tracking information like GPS, although that might not be as accurate. But if you have, for example, a mobile phone app that shows your speed, that’s probably what it is doing. The obvious way to do that is to take position measurements periodically and then do the math. However, more sophisticated systems can actually measure Doppler shift to get a more accurate reading.

We see a lot of bicycle speedometers for some reason. Eddy currents make induction cooktops work, too. Even tiny ones.

Cybersecurity & cyberwarfare

2024-08-22 13:11:04

Civil society criticises Commissioner Breton’s approach to EU digital rulebook

Civil society groups and academics have criticised European Commissioner Thierry Breton's recent letter to Elon Musk, the owner of the social media platform X, arguing that it misinterprets the Digital Services Act and threatens free expression.

---

euractiv.com/section/platforms…

Cybersecurity & cyberwarfare

2024-08-22 07:58:45

Un bug 0day colpisce Google Chrome e mette a rischio milioni di utenti

Google ha rilasciato aggiornamenti di sicurezza per il suo browser Chrome per risolvere una grave vulnerabilità zeroday che viene attualmente utilizzata attivamente dai criminali informatici in attacchi reali.

Il problema, identificato come CVE-2024-7971, è un bug di type confusion nel motore JavaScript V8 e WebAssembly.

Secondo il National Vulnerability Database del NIST, il problema consente a un utente malintenzionato remoto di provocare il danneggiamento della memoria tramite una pagina HTML appositamente predisposta. L’identificazione del problema e delle sue caratteristiche è stata segnalata dalla divisione Microsoft specializzata in rilevamento delle minacce informatiche il 19 agosto 2024.

Google non ha ancora rivelato dettagli sulla natura degli attacchi o sulle identità di coloro che potrebbero sfruttare questa vulnerabilità.

Questo viene fatto per garantire che la maggior parte degli utenti abbia il tempo di aggiornare il proprio browser prima che le informazioni diventino disponibili pubblicamente. Tuttavia, la dichiarazione dell’azienda conferma che la vulnerabilità viene già sfruttata attivamente.

Il CVE-2024-7971 è stata la terza vulnerabilità di Type Confusion nella versione V8 corretta da Google nel 2024, dopo il CVE-2024-4947 e il CVE-2024-5274. In totale, dall’inizio dell’anno, l’azienda ha risolto nove vulnerabilità zero-day in Chrome, alcune delle quali sono state rilevate durante la competizione di hacking Pwn2Own 2024.

Gli utenti di Chrome su Windows, Linux e macOS sono fortemente incoraggiati ad aggiornare i propri browser alla versione 128.0.6613.84 per proteggersi da potenziali minacce. Anche i proprietari di browser basati su Chromium come Microsoft Edge, Brave, Opera e Vivaldi dovrebbero installare gli aggiornamenti disponibili non appena diventano disponibili.

Di norma, gli aggiornamenti del browser vengono installati automaticamente, ma è una buona idea controllare manualmente la versione corrente del software che stai utilizzando.

Queste misure aiuteranno a ridurre al minimo i rischi associati alla vulnerabilità e a proteggersi da possibili attacchi.

L'articolo Un bug 0day colpisce Google Chrome e mette a rischio milioni di utenti proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-22 10:00:34

Memory corruption vulnerabilities in Suricata and FreeRDP

As a cybersecurity company, before we release our products, we perform penetration tests on them to make sure they are secure. Recently, new versions of KasperskyOS-based products were released, namely Kaspersky Thin Client (KTC) and Kaspersky IoT Secure Gateway (KISG). As part of the pre-release penetration testing, we analyzed two open-source components used in these products, namely Suricata and FreeRDP projects, and discovered several vulnerabilities, which we reported to the developers of the corresponding libraries, as well as sharing the fuzzing tests we used to test FreeRDP.

The community confirmed the reported issues and registered the following CVEs:

• FreeRDP: CVE-2024-32041, CVE-2024-32039, CVE-2024-32040, CVE-2024-32458, CVE-2024-32459, CVE-2024-32460
• Suricata: CVE-2024-32664

Later, using our fuzzing tests, the community found about 10 more vulnerabilities in FreeRDP. All issues were fixed in both open-source projects and in our products prior to the new version releases.

Open-source components in KasperskyOS-based products

KasperskyOS is a microkernel operating system designed to be Cyber Immune. The attack surface is minimized by the built-in security mechanisms, the small size of the microkernel and domain (component) isolation. The latter allows secure implementation of open-source components: even if a particular component contains vulnerabilities, the isolation prevents most of the damage that could be caused by their exploitation.

The KasperskyOS-based products in question are complex, support various protocols and applications and include open-source components that implement some of their functions. As its name suggests, FreeRDP is an open-source implementation of Remote Desktop Protocol. It is used in Kaspersky Thin Client, where it is responsible for remote connection capabilities.

Suricata is a network monitoring, intrusion detection and prevention system developed by the Open Information Security Foundation and the Suricata community. It is widely used and implemented by most public and private organizations. When it comes to KasperskyOS-based products, Suricata is used in KISG, where it is responsible for detecting network attacks. It receives a copy of network traffic, analyzes it according to a set of rules and issues alerts if an attack is detected.

Although component isolation in KasperskyOS ensures the security of our products even if an open-source component contains vulnerabilities, when assessing the security of our products we follow the defense-in-depth approach. The OS design minimizes the attack surface, but it can’t stop cybercriminals and high-profile actors from trying to find a way to penetrate the system. That’s why we test (and, if necessary, fix) all components of our products, including the open-source projects we use.

Penetration testing begins by describing the entire attack surface, which includes all components and all known attack vectors against them.

CVE-2024-32664: out-of-bounds write in Suricata

During our penetration testing activities we found three issues in Suricata. Two of them were considered bad practice, and one was registered as CVE-2024-32664. The vulnerability affects all Suricata versions from 6.0.0 to 6.0.18 and from 7.0.0 to 7.0.4, and is fixed in versions 6.0.19 and 7.0.5. It was initially assessed as being a medium severity issue (CVSS 5.3). However, in the tickets on the Open Information Security Foundation website, the severity was changed to high for versions 7.0.x and to critical for 6.0.x.

The vulnerability resides in Suricata’s base64 decoding function, DecodeBase64, and belongs to the out-of-bounds write type. In a situation where the buffer is full, it is possible to use specially crafted input to trick the function into thinking that there is some space left and writing three more bytes to the buffer. In base64, if the size of the unencoded data is not a multiple of three, a padding is added to the encoded output. It typically equals one or two. The decoding function accepts encoded data as input, which means that the padding is controlled by the attacker. If they provide an encoded string where the padding equals three or four, a memory corruption occurs, leading to a limited buffer overflow, which may result in remote code execution.

Vulnerable code in Suricata:
line 45 – if ‘padding’ is equal to B64_BLOCK(4) or ASCII_BLOCK(3), ‘numDecoded_blk’ will be set to 0;
line 46 – we will pass this check, as ‘dest_size’ is equal to ‘*decoded_bytes’;
line 53 – 3 bytes will be written past the end of buffer ‘dptr’;
line 72 – similar issue.

The issue was patched in Suricata versions 6.0.19 and 7.0.5. For those, who are unable to install these updates, the following recommendations to mitigate the threat were provided by the community:

• Do not load untrusted datasets
• Do not use rules with a ‘base64_decode’ keyword with a ‘bytes’ option with a value of 1, 2 or 5

For the software versions 7.0.x you can also set ‘app-layer.protocols.smtp.mime.body-md5’ to false.

FreeRDP vulnerabilities

The vulnerabilities in FreeRDP were found using a simple FreeRDP fuzzer. They affect all FreeRDP 3.x.x versions prior to 3.5.0 and all FreeRDP 2.x.x versions prior to 2.11.6, where they were fixed.

CVE-2024-32041

This vulnerability resides in the zgfx_decompress_segment function of the ZGFX decoder and is an out-of-bounds read vulnerability. The absence of a necessary check may lead to a situation where a certain number of bytes of data are accessed that shouldn’t be.

This vulnerability may be exploited by a malicious server to gain access to a portion of the client memory. It may be used to bypass address space layout randomization (ASLR) to get the address space layout for a particular process and perform an attack against that process.

Vulnerable code in the ‘zgfx_decompress_segment’ function:
line 48 – the variable ‘count’ is checked to make sure it is not greater than the size of allocated space in the output buffer;
lines 54-55 – the variable ‘count’ is not checked against the size of the decoded array. Hence the out-of-bounds read.

As a workaround for users who cannot install the fixed version of FreeRDP, the community recommends deactivating the “/gfx” connection method, which is on by default, and set “/bpp” or “/rfx” instead.

CVE-2024-32039

This is an integer overflow and out-of-bounds write vulnerability in the clear_decompress_residual_data function in the Clear codec component. The ‘runLengthFactor’ variable is read from the stream, which can be controlled by the attacker. The code performs a sanity check to make sure it is not bigger than the size of the array to be written to. This sanity check contains an error that allows the attacker to bypass it via unsigned integer overflow and write outside the allocated buffer. Exploitation of this vulnerability could lead to remote code execution on the client.

Vulnerable code in the ‘clear_decompress_residual_data’ function:
line 23 – the variable ‘runLengthFactor’ is an unsigned integer (uint32);
line 42 – the variable ‘runLengthFactor’ is read from the stream;
line 47 – due to an unsigned integer overflow, if the ‘runLengthFactor’ value is large enough, the ‘pixelIndex+runLengthFactor’ value approaches zero, and the check is passed;
lines 56-60 – the ‘for’ cycle uses the original ‘runLengthFactor’ value and is written outside ‘dstBuffer’.

As a workaround for the unpatched versions, it is recommended to use “/bpp:32” or “/rfx” instead of the “/gfx” codec that is enabled by default.

CVE-2024-32040

This integer underflow vulnerability affects FreeRDP connections that use the NSC codec responsible for bitmap compression. It resides in the nsc_rle_decode function of this component. The absence of a necessary check may lead to a situation when the size of unprocessed input data is less than 0. As it is an unsigned integer variable, it will become a large positive value in this case. This may lead to an out-of-bounds read of a large amount of data.

Vulnerable code in the nsc_rle_decode function:
lines 45-48 – the variable ‘len’ is read from the attacker-controlled stream;
line 51 – suppose ‘len’ is a large integer and it is less than ‘outSize’, thus we can pass this check;
line 57 – there is no check to ensure that ‘left’ is greater than ‘len’, which may result in an unsigned integer underflow, and the big value of the ‘left’ variable;
line 6 – the big value of the ‘left’ variable passes the check, and the next iteration starts reading outside the memory bounds.

As a workaround in a situation where installing the patched version is impossible, it is recommended not to use the codec in question.

CVE-2024-32458

This is an out-of-bounds read vulnerability in the planar_skip_plane_rle function in the Planar codec component. No checks are implemented for the planes array elements in the function code. As a result, the SrcSize variable may exceed the amount of available data, which may result in an out-of-bounds read. An attacker may attempt to bypass ASLR using this vulnerability.

Vulnerable code in the planar_skip_plane_rle function:
line 13 – no check is performed to ensure the size is no less than the offset to plane. If it is small enough, an unsigned integer underflow occurs;
line 45 – as a result, SrcSize can exceed the amount of available data;
line 52 – out-of-bounds read on this line.

You can find the fix for the vulnerability here. As a workaround for unpatched systems, it is recommended to use “/gfx” or “/rfx” connection methods. Note that the “/gfx” method is enabled by default and it is recommended to disable it to mitigate other vulnerabilities in this list.

CVE-2024-32459

This is an out-of-bounds read vulnerability in ncrush_decompress function of the ncrush codec. If the source data size is small, up to four extra bytes could be read, which could be used to bypass ASLR.

Vulnerable code in the ‘ncrush_decompress’ function:
Line 18 – Out-of-bounds read if SrcSize is less than 4.

There are no workarounds for the unpatched versions of the FreeRDP client.

CVE-2024-32460

This is an out-of-bounds read vulnerability in ExtractRunLengthLiteFgBg function in the Interleaved codec component. It affects FreeRDP clients that use the legacy “GDI” drawing path for transmitting graphics from the remote desktop. This function accepts the pointer to the first element after the allocated buffer and incorrectly handles the ‘buffer_within_range’ helper, causing it to read one byte outside the buffer.

Vulnerable code in the ExtractRunLengthLiteFgBg function:
line 11 – ‘pbEnd’ points to the first byte after the end of buffer;
line 26 – the ‘ExtractRunLength’ function is called with ‘pbEnd’ as the third parameter;
line 51 – the ‘ExtractRunLengthLiteFgBg’ function is called with ‘pbEnd’ as a second parameter;
line 77 – the ‘ExtractRunLengthLiteFgBg’ function checks that there is one byte before the end of the buffer;
line 82 – the code reads one byte outside of the allocated buffer.

You can find the fix for the vulnerability here. The workaround for unpatched systems could be to use more recent settings such as “/gfx” or “/rfx” if the server supports them. Note that some of the other vulnerabilities in this list affect FreeRDP clients that use “/gfx” as the drawing path.

We shared our fuzzing tests with the FreeRDP community, along with information about the vulnerabilities that were found. They ran them against various codecs used in the software and found 10 more vulnerabilities in the following components:

• Clear codec
• Color codec
• Interleaved codec
• NSC codec
• ZGFX codec

Most of these vulnerabilities are out-of-bounds reads that can be used to bypass the ASLR security measure. All of them were fixed in versions 3.5.1 and 2.11.7.

Disclosure timeline

• 28.03.2024 – We shared information about the vulnerabilities with the Suricata community.
• 15.04.2024 – We reported the discovered vulnerabilities to the FreeRDP community.
• 16.04.2024 – FreeRDP fixes issued.
• 20.04.2024 – Fixes issued for the vulnerabilities discovered by the community using our fuzzer.
• 23.04.2024 – Patched Suricata versions issued.

Conclusion

The concept of secure by design applies not only to system architecture, but also to the development process itself. Moreover, by testing and trying all the system components prior to release, we were able to help the community fix a range of issues in two widely used open-source projects. We would like to thank the Suricata and FreeRDP maintainers for their quick response to our reports and prompt release of the patches.

If you use this software, we encourage you to update to the latest versions as soon as possible. At the time of publication, the most up-to-date versions are:

• 6.0.20 and 7.0.6 for Suricata;
• 2.11.7 and 3.7.0 for FreeRDP.

---

securelist.com/suricata-freerd…

Cybersecurity & cyberwarfare

2024-08-22 10:30:18

Digital rights NGO files complaints against European Parliament for data breach

Following a major breach of the European Parliament's recruitment system in April 2024, when sensitive personal information was exposed, Nyob filed two legal complaints for alleged data protection law violations on Thursday (22 August), against the EU institute.

---

euractiv.com/section/cybersecu…

Cybersecurity & cyberwarfare

2024-08-22 07:18:08

L’avvelenamento dei motori di ricerca: Una minaccia sottovalutata e sempre più sofisticata

Nel vasto ecosistema digitale, i motori di ricerca fungono da porte d’accesso principali per miliardi di utenti che cercano informazioni. Tuttavia, dietro la loro apparente neutralità, si cela una minaccia crescente e sempre più sofisticata: il Search Engine Poisoning (SEP).

Questa tecnica consente agli attaccanti di manipolare i risultati dei motori di ricerca, portando contenuti dannosi, come siti di phishing o malware, ai primi posti delle ricerche, con il rischio di compromettere gravemente la sicurezza degli utenti.

Meccanismi di avvelenamento

Gli attori malintenzionati utilizzano diverse tecniche per manipolare gli algoritmi di ranking e sfruttare le tecniche di ottimizzazione dei motori di ricerca (SEO) a proprio vantaggio. Ecco i principali:

• Keyword Stuffing: Gli attaccanti inseriscono in modo eccessivo e innaturale parole chiave rilevanti all’interno di un contenuto, manipolando l’algoritmo per ottenere un miglior posizionamento. Spesso, dietro a queste parole chiave si nascondono collegamenti a siti dannosi. Nonostante le contromisure adottate dai motori di ricerca, come Google, gli attori malevoli continuano a innovare, ad esempio mascherando il keyword stuffing con testo nascosto o l’uso di sinonimi.
• Link Farming: Questa tecnica prevede la creazione di una rete di siti interconnessi, progettati esclusivamente per aumentare l’autorità percepita di un sito malevolo. Anche se i motori di ricerca hanno sviluppato algoritmi per identificare e penalizzare i link farm, gli attaccanti continuano a creare reti più complesse e sofisticate, rendendole sempre più difficili da rilevare.
• Cloaking: Una delle tecniche più insidiose, il cloaking, consiste nel presentare una versione “pulita” della pagina web agli spider dei motori di ricerca, mentre gli utenti vengono reindirizzati a una pagina malevola. Questo sfrutta la fiducia implicita nei risultati di ricerca e può essere estremamente difficile da individuare, poiché la pagina malevola è visibile solo a un segmento selezionato di utenti.
• Compromissione di siti legittimi: Gli attaccanti sfruttano vulnerabilità nei sistemi di gestione dei contenuti (CMS) o in altre infrastrutture di sicurezza per iniettare codice dannoso in siti web già ben posizionati. Questo tipo di attacco è particolarmente pericoloso, poiché sfrutta la fiducia costruita nel tempo dal sito compromesso per ingannare sia gli utenti che i motori di ricerca.

Evoluzione delle tecniche di attacco

Negli ultimi anni, gli attacchi di avvelenamento dei motori di ricerca hanno subito un’evoluzione significativa. Ad esempio, il malware BatLoader rappresenta un caso recente in cui tecniche avanzate di SEO poisoning vengono utilizzate per infiltrarsi nei sistemi aziendali.

Creando siti compromessi che appaiono tra i primi risultati di ricerca per software popolari, gli attaccanti riescono a indurre gli utenti a scaricare malware sotto mentite spoglie di programmi legittimi come Zoom o TeamViewer.

Da quando sono emersi i primi segnali di questa tecnica, i criminali hanno continuamente affinato le loro strategie, rendendo gli attacchi più efficaci e furtivi.

Le campagne del 2023 e del 2024 hanno dimostrato come questi attacchi non siano più confinati a settori specifici, ma possano colpire un’ampia gamma di industrie, evidenziando l’adattabilità e la pericolosità crescente di queste minacce.

Implicazioni per la sicurezza

Le conseguenze dell’avvelenamento dei motori di ricerca sono devastanti e includono:

• Phishing e Truffe: Gli utenti possono essere indotti a fornire informazioni sensibili su siti malevoli apparsi tra i primi risultati di ricerca.
• Diffusione di Malware: I siti compromessi possono diffondere malware, compromettendo la sicurezza dei dispositivi e dei dati sensibili degli utenti.
• Disinformazione: Il SEP può anche essere sfruttato per diffondere informazioni false, manipolando così l’opinione pubblica.
• Danno alla reputazione: Le aziende potrebbero vedere il proprio nome associato a contenuti malevoli, con gravi ripercussioni sulla loro reputazione.

Difendersi dall’avvelenamento dei motori di ricerca

Per proteggersi da queste minacce è necessario adottare una strategia preventiva:

• Educazione e Consapevolezza: È fondamentale formare gli utenti a riconoscere i segnali di un sito sospetto e a verificare sempre l’URL prima di inserire informazioni sensibili.
• Monitoraggio continuo: Le aziende devono monitorare costantemente il loro posizionamento nei motori di ricerca e reagire rapidamente a eventuali anomalie.
• Collaborazione con i motori di ricerca: Segnalare prontamente contenuti dannosi e richiedere la rimozione di risultati manipolati è essenziale per mantenere un ambiente sicuro.
• Sicurezza SEO: Implementare pratiche SEO sicure può aiutare a prevenire la compromissione del sito e a mantenere un posizionamento affidabile e sicuro.
• Software Anti-Malware: L’installazione di software anti-malware è una difesa indispensabile per prevenire l’accesso a siti malevoli.

Conclusione

L’avvelenamento dei motori di ricerca rappresenta una minaccia sempre più sofisticata che sfrutta la fiducia degli utenti nei risultati di ricerca per diffondere contenuti malevoli. Nel contesto attuale, con l’evoluzione costante delle tecniche utilizzate dagli attaccanti, è cruciale che sia le aziende che gli utenti finali adottino misure preventive per proteggersi e mantenere l’integrità del mondo digitale. Restare aggiornati sulle nuove minacce e implementare una sicurezza multilivello sono passi essenziali per difendersi efficacemente da questi attacchi insidiosi.

Il futuro della sicurezza digitale richiede una vigilanza costante e una collaborazione attiva tra utenti, aziende e provider di motori di ricerca per contrastare queste minacce sempre più pervasive.

L'articolo L’avvelenamento dei motori di ricerca: Una minaccia sottovalutata e sempre più sofisticata proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-22 11:35:13

Cisco Contraria alla Convenzione Internazionale sul Cybercrime dell’ONU

Cisco ha espresso preoccupazione per la bozza della convenzione internazionale sulla criminalità informatica delle Nazioni Unite, affermando che il documento deve essere migliorato prima di essere messo ai voti.

Il Trattato Globale sulla criminalità informatica è stato proposto dalla Russia nel 2017, il suo obiettivo principale è quello di sviluppare standard globali relativi al problema dei crimini informatici transnazionali.

Da quando sono iniziati i lavori sul trattato nel 2019, la comunità internazionale non ha raggiunto un consenso sulle sue necessità e sui suoi obiettivi. Nonostante tutti i dubbi, l’accordo è stato adottato dopo 3 anni di negoziati, conclusisi con una sessione di due settimane.

Tuttavia, organizzazioni per i diritti umani come Human Rights Watch (HRW) e Electronic Frontier Foundation ( EFF ) hanno criticato il Trattato per essere eccessivamente ampio nel linguaggio e potrebbe essere utilizzato per perseguitare i cittadini che esprimono opinioni discutibili.

Preoccupante è anche la clausola sulla privacy, che consente agli Stati di richiedere dati ai fornitori senza informare i cittadini.

Anche l’organizzazione britannica per i diritti umani Article 19 teme che un linguaggio così vago possa ostacolare la ricerca legittima sulla sicurezza informatica, poiché i professionisti potrebbero temere di essere perseguiti.

Eric Wenger, direttore senior delle politiche tecnologiche di Cisco, ha fatto eco a queste preoccupazioni, affermando che la convenzione, piuttosto che concentrarsi su specifici crimini informatici, mira a frenare in modo più ampio l’uso delle reti di computer per diffondere informazioni indesiderate. Secondo Wenger ciò è contrario ai principi della libertà di parola e richiede modifiche.

Cisco non è contraria alla creazione di una convenzione internazionale sulla criminalità informatica, ma ritiene che dovrebbe proteggere i diritti umani e lo stato di diritto. Nella sua forma attuale, il documento, secondo la società, non fornisce una tutela sufficiente a tali principi.

L'articolo Cisco Contraria alla Convenzione Internazionale sul Cybercrime dell’ONU proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-22 11:00:50

Running Stock MS-DOS on a Modern ThinkPad

It might seem like the days of MS-DOS were a lifetime ago because…well, they basically were. Version 6.22 of the venerable operating system, the last standalone release, came out back in 1994. That makes even the most recent version officially 30 years old. A lot has changed in the computing world since that time, so naturally trying to run such an ancient OS on even a half-way modern machine would be a waste of time. Right?

As it turns out, getting MS-DOS 6.22 running on a modern computer isn’t nearly as hard as you’d think. In fact, it works pretty much perfectly. Assuming, that is, you pick the right machine. [Yeo Kheng Meng] recently wrote in to share his experiments with running the final DOS release on his Intel-powered ThinkPad X13 from 2020, and the results are surprising to say the least.

To be clear, we’re not talking about some patched version of DOS here. There’s no emulator at work either. Granted [Yeo] did embrace a few modern conveniences, such as using a USB floppy drive emulator to load the disk images instead of fiddling with actual floppies, and installing DOS onto an external drive so as not to clobber his actual OS on the internal NVME drive. But other than that, the installation of DOS on the ThinkPad went along just as it would have in the 1990s.

IBM’s 1984 luggable running the same OS as a modern ThinkPad
It’s impressive enough that MS-DOS can still be installed on such a modern machine. But what’s really surprising is how well it all works. [Yeo] reports that the bulk of the ThinkPad’s hardware worked as expected, although he did have to pull in some modern open source drivers such as SBEMU, which makes DOS think the laptop’s Intel HD audio chip is an old school Sound Blaster card. He was even able to get several different Thunderbolt-connected Gigabit Ethernet adapters working.

Not all of the DOS benchmark tools [Yeo] tried on the machine would actually run, but as you might imagine, the ones that did reported some fairly spectacular results. After all, a machine with specs like this would have been the stuff of science fiction when those tools were written.

So how is this all possible? [Yeo] notes that this is one of the final Lenovo laptops to support “Legacy BIOS” mode, as everything after this point is pure UEFI. This particular machine also features a “Thunderbolt BIOS Assist Mode” which makes connected devices seem like standard PCI cards.

In the end, the experiment shows that Intel and Lenovo have done an incredible job of maintaining backwards compatibility with their respective hardware. While it seems like this is the end of the road for your average consumer computer due to issues such as the UEFI switch over, don’t worry. You’ll still be able to scratch that retro itch with the right hardware.

youtube.com/embed/-mTmZqoNeFA?…

Cybersecurity & cyberwarfare

2024-08-22 07:30:27

Quilin colpisce Promises2Kids. La Noprofit a sostegno dei bambini Abusati e Abbandonati

Recentemente Promises2Kids, un’organizzazione no-profit che si occupa di sostegno ai bambini a San Diego, California, USA, è stata vittima di un attacco da parte del gruppo di hacker Qilin.

Gli hacker hanno affermato di aver ottenuto l’accesso alle informazioni riservate dell’organizzazione minacciando di renderle pubbliche a meno che non fosse stato pagato un riscatto.

Il gruppo Qilin, è noto per i suoi attacchi a varie organizzazioni, tra cui istituzioni mediche e grandi aziende. In questo caso è stata utilizzata una doppia strategia di estorsione, in cui oltre a crittografare i dati, gli hacker minacciano di pubblicare le informazioni rubate, il che aumenta notevolmente la pressione sulla vittima.

Qilin opera secondo un modello ransomware-as-a-service ( RaaS ), assumendo terze parti per distribuire malware e condividendo con loro il riscatto.

Gli aggressori probabilmente hanno utilizzato tecniche di phishing per compromettere inizialmente il sistema, quindi hanno utilizzato spyware per monitorare e controllare i dispositivi infetti.

L’attacco a Promises2Kids è particolarmente cinico dato che l’organizzazione è impegnata ad aiutare i bambini che hanno subito abusi e abbandono. Ciò provoca indignazione pubblica e mette in luce l’immoralità dei criminali informatici che prendono di mira obiettivi così vulnerabili.

La direzione di Promises2Kids ha già cercato l’assistenza di specialisti di sicurezza informatica e sta collaborando con le forze dell’ordine per indagare sull’incidente. Allo stesso tempo l’organizzazione ha cercato di minimizzare le conseguenze dell’attacco, ma non è ancora chiaro se sia riuscita a impedire una fuga di dati.

Oltre all’attacco a Promises2Kids, i rappresentanti di Qilin hanno annunciato l’attacco ad altre quattro organizzazioni. Tra loro:

• Hiesmayr Haustechnik è un’azienda austriaca di ingegneria e idraulica che fornisce soluzioni complete per la costruzione e la ristrutturazione di edifici.
• Il Central College Jounieh è un istituto scolastico in Libano che offre una vasta gamma di programmi educativi per studenti di varie età.
• ON365 Ltd è una società britannica specializzata nella fornitura di servizi IT, inclusa la gestione e il supporto delle infrastrutture dei data center.
• Il comune di Jaboatao dos Guararapes è un comune del Brasile che gestisce i servizi pubblici e amministrativi locali per i residenti della regione.

Questi attacchi indicano le azioni mirate di Qilin contro organizzazioni di vario profilo in tutto il mondo, il che conferma le loro ambizioni globali e gli attacchi indiscriminati.

L'articolo Quilin colpisce Promises2Kids. La Noprofit a sostegno dei bambini Abusati e Abbandonati proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-22 10:14:11

Alibaba presenta mPLUG-Owl3. Il modello che può analizzare 400 immagini al secondo su una sola A100

Gli ingegneri dell’azienda cinese Alibaba hanno presentato un nuovo modello di apprendimento automatico multimodale chiamato mPLUG-Owl3. Questo modello è in grado di analizzare in modo efficiente testo, immagini e video.

Gli sviluppatori prestano particolare attenzione alla velocità della rete neurale, sostenendo che bastano solo quattro secondi per elaborare un video di due ore.

mPLUG-Owl3 si basa sul modello Qwen2, che è stato notevolmente migliorato e ottimizzato. Grazie a queste modifiche, il tempo di attesa per il primo token è stato ridotto di sei volte e una singola scheda grafica A100 ora può elaborare fino a 400 immagini al secondo.

Il modello utilizza anche uno speciale blocco HATB (Hyper Attention Transformer), che integra funzionalità visive e testuali, consentendo, ad esempio, di cercare immagini visive in base a query testuali.

Il codice del progetto è aperto e pubblicato su GitHub. Inoltre, gli sviluppatori hanno fornito tutto il materiale necessario per lavorare sulle piattaforme Hugging Face e sull’analogo cinese Model Scope.

Il testo completo dello studio descrive in dettaglio lo sviluppo e il funzionamento del modello mPLUG-Owl3.

L'articolo Alibaba presenta mPLUG-Owl3. Il modello che può analizzare 400 immagini al secondo su una sola A100 proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-22 08:00:27

Happy Birthday to Dad, Retrocomputer Style

For those of us who lived through the early 8-bit computing revolution — the tail end, in our case — it’s hard to believe that there’s a second wave of retrocomputing nostalgia underway. But as this bit-banged TRS-80 birthday bonus pack shows, the first generation did a pretty good job passing the retro torch.

With his father’s 70th birthday coming up and full of “borrowed nostalgia” for the good old days, [Josh Sucher] scored a TRS-80 off eBay and experimented with what could be possible. After 50-odd years, the machine needed a bit of TLC, including a new power supply, some keyboard repairs, and the usual recapping. He also had to soup the machine up a bit, given that its original capabilities were so limited.

Chief among these mods was a rudimentary IP stack thanks to a TRS-IO card, which emulates a lot of functionality of the original TRS-80 Expansion Module and adds an ESP-32 for WiFi capability. This allowed [Josh] to get a neat “Dadbot” chatbot going on the machine, using years of his dad’s text messages to train the model. There’s also a game of Go, an RPG based on his parents’ lives, and a local news and weather app. Most impressive, though, is the bit-banged audio app that uses the TRS-80’s cassette interface to play a passable rendition of “Happy Birthday to You.” The video below has the full demo.

It’s clear that this lengthy project was a labor of love, and we approve of the results. It’s been a long, long time since we first caught wind of the TRS-80 through the Radio Shack catalog, and projects like this make us feel like scratching up one for ourselves to play with.

youtube.com/embed/6Zfq0jq078Y?…

[via Hacker News]

Cybersecurity & cyberwarfare

2024-08-22 05:00:56

Tiny ’90s Laptop Gets Modern Power

The laptop to have here in the 2020s varies depending on who you ask, perhaps a Framework, or maybe a ThinkPad. Back in the 1990s the answer might have included a now-forgotten contender, because in that decade Toshiba made a range of legendarily tough chunky grey machines. Of these the smallest was the Libretto, a paperback book sized clamshell design which was an object of desire. It’s one of these that [Robert’s Retro] has upgraded to use USB-C power instead of the original power brick.

The full video is below the break, and while it first deals with replacing a defective screen, the power part starts just before 22 minutes in. As you’d expect it involves a USP-C PD trigger board, this time at 15 volts. It’s mounted in a small 3D printed adapter to fill the space of the original jack, and requires a tiny notch be removed from the corner of its PCB to fit round the motherboard. The rest of the video deals with reassembling the machine and tending to mishaps with the ageing plastic, but the result is a Libretto with a modern charging port.

Naturally a machine with a Pentium CPU and 32 megabytes of RAM is in of limited use in modern terms, but these Librettos remain very well-designed tiny PCs to this day. It’s great to see them still being modified and upgraded, even if perhaps there’s a limit to how far you can push their computing power. We’ve encountered the Libretto before a few times, such as when one was used to retrieve data from an old Flash card.

youtube.com/embed/gvtn3RK98DY?…

Cybersecurity & cyberwarfare

2024-08-22 02:00:52

The First Mass Produced DRAM of the Soviet Union

KE565RU1A (1985) in comparison with the analogue from AMD (1980)
Although the benefits of semiconductor technology were undeniable during the second half the 20th century, there was a clear divide between the two sides of the Iron Curtain. Whilst the First World had access to top-of-the-line semiconductor foundries and engineers, the Second World was having to get by with scraps. Unable to keep up with the frantic pace of the USA’s developments in particular, the USSR saw itself reduced to copying Western designs and smuggling in machinery where possible. A good example of this is the USSR’s first mass-produced dynamic RAM (DRAM), the 565RU1, as detailed by [The CPUShack Museum].

While the West’s first commercially mass-produced DRAM began in 1970 with the Intel 1103 (1024 x 1) with its three-transistor design, the 565RU1 was developed in 1975, with engineering samples produced until the autumn of 1977. This DRAM chip featured a three-transistor design, with a 4096 x 1 layout and characteristics reminiscent of Western DRAM ICs like the Ti TMS4060. It was produced at a range of microelectronics enterprises in the USSR. These included Angstrem, Mezon (Moldova), Alpha (Latvia) and Exciton (Moscow).

Of course, by the second half of the 1970s the West had already moved on to single-transistor, more efficient DRAM designs. Although the 565RU1 was never known for being that great, it was nevertheless used throughout the USSR and Second World. One example of this is a 1985 article (page 2) by [V. Ye. Beloshevskiy], the Electronics Department Chief of the Belorussian Railroad Computer Center in which the unreliability of the 565RU1 ICs are described, and ways to add redundancy to the (YeS1035) computing systems.

Top image: 565RU1 die manufactured in 1981.

Cybersecurity & cyberwarfare

2024-08-22 05:00:04

Navigating Compliance: How innovation can thrive under the AI Act [Promoted content]

The AI Act’s entry into force ignites a conversation on its compliance costs. The Act promotes trustworthy AI adoption while tackling low uptake. Initiatives as EDIHs, TEFs, and sandboxes can help, however, a coordinated, sustainable, and future-proof strategy is needed.

---

euractiv.com/section/digital/o…

Cybersecurity & cyberwarfare

2024-08-21 23:00:44

Farewell Magnetic Stripe

For decades, the magnetic stripe has been ubiquitous on everything from credit cards to tickets to ID badges. But the BBC reports — unsurprisingly — that the mag stripe’s days are numbered. Between smartphones, QR codes, and RFID, there’s just less demand for the venerable technology.

IBM invented the stripe back in the early 1960s. The engineer responsible, [Forrest Parry], was also involved in developing the UPC code. While working on a secure ID for the CIA, his wife suggested using an iron to melt a strip of magnetic tape onto the card. The rest is history.

The new technology rapidly took over, and by 1969, in the United States, there was a standard that has remained largely unchanged. The BBC post notes that a card reader in 1970 could read a credit card out of your pocket today if it still had a magnetic stripe. Infamously, IBM’s CEO at the time was not a fan, reportedly because “Mom doesn’t like credit cards.”

So, while you’ll still find mag stripes on a few cards here and there, in a few years, they’ll probably vanish completely. Don’t worry! You can still make your own. Don’t have a reader? Grab a flatbed scanner.

Cybersecurity & cyberwarfare

2024-08-21 20:00:20

Atari Announces the Atari 7800+ Nostalgia Console

Following the trend of re-releasing every single game console as some kind of modern re-imagining or merely an ARM-SBC-with-emulator slapped into a nice looking enclosure, we now got the announcement from Atari that they will soon be releasing the Atari 7800+.

It’s now up for pre-order for a cool $130 USD or a mega bundle with wired controllers for $170 and shipping by Winter 2024. Rather than it being a cute-but-non-functional facsimile like recent miniature Nintendo and Commodore-themed releases, this particular console is 80% of the size of the original 7800 console, and accepts 2600 and 7800 cartridges, including a range of newly released cartridges.

On the outside you find the cartridge slot, an HDMI video/audio output, a USB-C port (for power) and DE-9 (incorrectly listed as DB-9) controller ports, with wireless controllers also being an option. Inside you find a (2014-vintage) Rockchip RK3128 SoC with a quad core Cortex-A7 that runs presumably some flavor of Linux with the Stella 2600 emulator and ProSystem 7800 emulator. This very likely means that compatibility with 2600 and 7800 titles is the same as for these emulators.

Bundled with the console is a new 7800 cartridge for the game Bentley Bear’s Crystal Quest, and a number of other new games are also up for pre-order at the Atari site. These games are claimed to be compatible with original Atari consoles, which might make it the biggest game release year for the 7800 since its launch, as it only had 59 official games released for it.

Given the backwards compatibility of this new system, you have to wonder how folks who purchased the 2600+ last year are feeling right about now. Then again, the iconic faux-wood trim of the earlier console might be worth the price of admission alone.

Cybersecurity & cyberwarfare

2024-08-21 20:22:00

Xeon Sender: uno strumento Cloud per SMS Bombing disponibile a tutti

Negli ultimi mesi, i ricercatori di sicurezza informatica hanno scoperto l’uso attivo di un nuovo strumento di attacco cloud chiamato Xeon Sender. Questo strumento viene utilizzato dagli aggressori per condurre campagne di phishing e spam tramite SMS, sfruttando servizi legittimi.

Secondo il ricercatore di SentinelOne Alex Delamotte, Xeon Sender consente di inviare messaggi attraverso vari servizi SaaS (software-as-a-service) utilizzando credenziali valide. Tra questi servizi ci sono Amazon SNS, Nexmo, Plivo, Twilio e altri.

Un aspetto importante è che Xeon Sender non sfrutta le vulnerabilità dei provider stessi. Gli aggressori utilizzano invece API legittime per inviare messaggi di spam in blocco. Tali strumenti sono recentemente diventati sempre più popolari tra i criminali informatici per l’invio di messaggi di phishing al fine di rubare informazioni riservate.

Xeon Sender è distribuito tramite Telegram e vari forum dedicati all’hacking del software. L’ultima versione dello strumento, disponibile per il download come archivio ZIP, si collega al canale Telegram “Orion Toolxhub“, creato nel febbraio 2023. Questo canale distribuisce attivamente anche altri malware, come strumenti per attacchi di forza bruta e scansione di siti Web.

Xeon Sender, noto anche come XeonV5 e SVG Sender, è stato scoperto per la prima volta nel 2022. Da allora, le sue funzionalità sono state costantemente ampliate e sono state utilizzate da diversi gruppi di aggressori. È interessante notare che una versione di questo strumento è ospitata su un server web con un’interfaccia grafica, che lo rende accessibile anche agli utenti con competenze tecniche minime.

Nel database, lo strumento fornisce una riga di comando per interagire con l’API dei servizi selezionati, che consente di organizzare massicci attacchi SMS. Ciò presuppone che gli aggressori dispongano già delle chiavi API necessarie per accedere ai servizi. Le richieste includono l’ID del mittente, il contenuto del messaggio e i numeri di telefono presi da un elenco impostato.

Inoltre, Xeon Sender include funzioni per la verifica delle credenziali per i servizi Nexmo e Twilio, la generazione di numeri di telefono in base ai codici paese e regione specificati e il controllo della validità dei numeri specificati.

Sebbene il codice del programma contenga molte variabili ambigue che rendono difficile il debug, i ricercatori notano che l’utilizzo di librerie specifiche per creare query crea ulteriori difficoltà nel rilevarle.

Per proteggersi da tali minacce, gli esperti raccomandano alle organizzazioni di monitorare l’attività relativa ai cambiamenti nelle impostazioni di invio degli SMS e ai cambiamenti anomali negli elenchi dei destinatari, come i caricamenti collettivi di nuovi numeri.

L'articolo Xeon Sender: uno strumento Cloud per SMS Bombing disponibile a tutti proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-21 18:30:52

FLOSS Weekly Episode 797: Coreutils — Don’t rm -r Up the Tree

This week Jonathan Bennett and Dan Lynch chat with Pádraig Brady about Coreutils! It’s been around since the 90s, and is still a healthy project under active development. You’ve almost certainly used these tools whether you realize it or not! What’s the relationship with the other coreutils implementations? And why is GNU Coreutils the most cautious of them all?

• pixelbeat.org/contact.html
• pixelbeat.org/docs/coreutils-t…
• pixelbeat.org/docs/coreutils-g…
• pixelbeat.org/programming/avoi…
• gnu.org/software/coreutils/rej…
• gnu.org/software/coreutils/quo…
• pixelbeat.org/docs/coreutils_i…

youtube.com/embed/IK4OgiFQut8?…

Did you know you can watch the live recording of the show Right on our YouTube Channel? Have someone you’d like us to interview? Let us know, or contact the guest and have them contact us! Take a look at the schedule here.

play.libsyn.com/embed/episode/…

Direct Download in DRM-free MP3.

If you’d rather read along, here’s the transcript for this week’s episode.

Places to follow the FLOSS Weekly Podcast:

• Spotify
• RSS

Cybersecurity & cyberwarfare

2024-08-21 19:14:41

WhatsApp sempre più simile a Telegram. Nickname e PIN in arrivo

WhatsApp continua a migliorare la sua applicazione, aggiungendo nuove funzionalità che rendono la comunicazione più comoda e sicura. Nell’ultimo aggiornamento beta per Android (versione 2.24.18.2), reso disponibile tramite il programma Beta di Google Play, l’azienda ha annunciato lo sviluppo di una funzionalità per la creazione di un nome utente univoco con supporto per codice PIN.

Il nome utente ti consentirà di scegliere un soprannome univoco per i tuoi account WhatsApp. L’utilizzo di un nickname anziché di un numero di telefono offrirà agli utenti un maggiore controllo sulla propria privacy e la possibilità di nascondere il proprio numero ai nuovi contatti.

Anche in questa build c’è la possibilità di impostare un codice PIN per un nickname. Servirà come ulteriore livello di protezione: prima di iniziare un dialogo, gli utenti non familiari dovranno inserire questo codice. Tuttavia, per i contatti con cui hai già corrispondenza, non sarà necessario utilizzare un codice PIN.

La pagina di configurazione del codice PIN verrà visualizzata dopo che l’utente ha selezionato un nickname. Il codice deve essere lungo almeno 4 cifre e non può essere uguale al codice di autenticazione a due fattori.

Vale la pena notare che le funzioni nickname e codice PIN sono ancora in fase di sviluppo e non sono disponibili per i beta tester. Non è noto quando appariranno nella versione ufficiale del messenger.

Presumibilmente WhatsApp sta lavorando anche ad un’opzione per bloccare i messaggi provenienti da contatti sconosciuti. Ma i dettagli su queste funzioni non sono ancora stati resi noti.

L'articolo WhatsApp sempre più simile a Telegram. Nickname e PIN in arrivo proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-21 17:30:31

Supercon 2023: Soft Actuators as Assistive Tech

When we think of assistive prostheses or braces, we often think of hard and rigid contraptions. After all, it wasn’t that long ago that prosthetic limbs were still being made out of wood. Even devices made of more modern materials tend to have a robotic quality that inevitably limits their dexterity. However, advancements in soft robotics could allow for assistive devices that more closely mimic their organic counterparts.

At Supercon 2023, Benedetta Lia Mandelli and Emilio Sordi presented their work in developing soft actuator orthosis — specifically, a brace that can help tetraplegics with limited finger and thumb control. Individuals with certain spinal cord injuries can move their arms and wrists but are unable to grasp objects.
A traditional flexor hinge brace
Existing braces can help restore this ability, but they are heavy and limited by the fact that the wearer needs to hold their wrist in a specific position to keep pressure on the mechanism. By replacing the rigid linkage used in the traditional orthosis, the experience of using the device is improved in many ways.

Not only is it lighter and more comfortable to wear, but the grip strength can also be more easily adjusted. The most important advancement however is how the user operates the device.

Like the more traditional designs, the wearer controls the grip through the position of their wrist. But the key difference with the soft actuator version is that the user doesn’t need to maintain that wrist position to keep the grip engaged. Once the inertial measurement units (IMUs) have detected the user has put their wrist into the proper position, the electronics maintain the pressure inside the actuator until commanded otherwise. This means that the user can freely move their wrist after gripping an object without inadvertently dropping it.

From Concept to Production

While much of the talk covers the advantages of their brace, the team also goes over how their design was improved from their original proof of concept work — which featured an earlier version of the soft actuator literally zip tied to the wearer’s fingers.

While the brace itself was modified, the biggest changes came to the actuator itself. The first version used two chambers, but this was eventually simplified to just one. In addition, they switched from using a pneumatic system to hydraulic. Originally, an air pump was used to pressurize the actuator, but they found a syringe pushing liquid into the actuator provided better control.

Soft Actuator Design

Perhaps one of the most interesting aspects of their talk was the discussion of the soft actuator itself. In a series of slides, they described not only how the mechanism works, but how they produce them in-house using a surprisingly simple process.

Essentially, the actuator is a strip of silicone with a series of hollow chambers molded into it. When the actuator is pressurized with air or liquid, these chambers expand. Normally, this would just make the structure blow up like a balloon, but by integrating a non-elastic layer onto the bottom of the actuator, it instead causes it to curve around. Once the system releases pressure, the silicone naturally returns to its original size and shape.

Creating the actuator is as simple as pouring silicone into a custom-made mold, and then attaching a strip of cotton to one side with a bit more liquid silicone. Once cured, they cut cotton to size and the actuator is ready to go. While the team tested several shapes for the actuator, the final version is a simple rectangle, as this was determined to be the easiest to produce.

Looking Ahead

While the design is already impressive, it’s still essentially a prototype. The electronics still live on scraps of protoboard, and the team continues to research potential improvements to their actuator design — from changes to the silicone mold to different motor and gearbox options for driving the syringe. Benedetta and Emilio also want to look into different ways of controlling the actuator outside of their current IMU solution.

Ultimately, they hope to put the brace into production as a semi-assembled kit that can be put together and fitted to the wearer by a medical professional in the field. The hope is that by bringing the cost of the brace down and making it easy to customize for the individual, they can bring this assistive technology to traditionally underserved areas.

youtube.com/embed/QJnr44dz-Dc?…

Cybersecurity & cyberwarfare

2024-08-21 15:30:57

Jangle Box Plucks Strings At the Press of a Button

There are some that enjoy the human element of a musical performance, delighting in the unique way an artist teases the desired sound from their instruments. Then there are those of us who listen to random bleeps, bloops, and buzzes tortured out of some crusty sound chip pulled from an 8-bit computer. It’s all very subjective.

It seems to us that the Jangle Box, created by [Rich Bernett], lands somewhere in the middle. A human is still playing the instrument, but they aren’t directly touching the strings. Instead, buttons and a potentiometer on the front of the device are used to control four small hobby motors that slap their respective strings with what appears to be the remnants of plastic propellers — we’d guess these motors were pulled from cheap personal fans. Standard guitar tuner knobs can be used to adjust the tension of each string, providing further control over the sounds produced by the device.

In the video below, [Rich] briefly explains the operation of the Jangle Box, and then launches into a performance of sorts. The goal here really isn’t to “play” the instrument in the traditional sense. Rather, he records the various noises it produces, normalizes them, and sorts them into a full octave of notes so he can use them in future compositions. The last few minutes of the video contain some electronic beats made up of the samples created from the Jangle Box.

If you’re one of his Patreon supporters you can download the sample pack yourself, otherwise, you’ll have to make your own version of the instrument to get your hands on that electro-tangy sound.

This isn’t the first original [Rich Bernett] musical creation to grace these pages, back in 2020 we covered his Cassettone synth.

youtube.com/embed/UT9AWUC7G40?…

Thanks to [Stephen] for the tip.

Cybersecurity & cyberwarfare

2024-08-21 11:01:59

Controllo e manipolo, quindi sono. La svolta della Francia sulla infowar

La svolta della Francia su cyber e infowar prosegue e ha al centro Corexalys, un'azienda strategica e decisamente da osservare.

The post Controllo e manipolo, quindi sono. La svolta della Francia sulla infowar appeared first on InsideOver.

Cybersecurity & cyberwarfare

2024-08-21 14:02:51

L’Evoluzione del Malware Iraniano: APT42 Passa dal Modulare al Monolitico

Negli ultimi anni, il panorama delle minacce informatiche è stato dominato dall’uso di malware modulari, apprezzati per la loro flessibilità e adattabilità. Tuttavia, una recente scoperta ha rivelato un cambio di paradigma nella strategia di APT42, un gruppo di hacker iraniani legato al Corpo delle Guardie Rivoluzionarie Islamiche (IRGC). In una delle loro ultime campagne, gli hacker hanno sviluppato un Trojan monolitico, consolidando diversi moduli di malware in un unico script PowerShell. Questa scelta rappresenta un ritorno a una tecnica più tradizionale, ma con implicazioni significative per la sicurezza informatica globale, suggerendo un continuo adattamento delle tattiche di guerra cibernetica iraniana alle sfide attuali. Nell’articolo che segue, esploreremo le motivazioni dietro questa mossa e le sue potenziali conseguenze.

L’Analisi del Malware Monolitico: Un Ritorno al Passato?
Tradizionalmente, i gruppi di hacker come APT42 hanno fatto largo uso di malware modulari, che permettono una configurazione flessibile delle funzionalità in base all’obiettivo. Questo approccio ha offerto un vantaggio notevole, consentendo di aggiungere o rimuovere componenti anche dopo che l’infezione era già avvenuta, adattandosi dinamicamente alle esigenze operative. Tuttavia, la recente scoperta di un Trojan monolitico, in cui tutti i moduli sono consolidati in un unico file, segna una svolta interessante nelle tattiche di APT42.

L’impiego di un Trojan monolitico presenta diversi vantaggi, come la riduzione della probabilità che il malware venga rilevato durante la sua trasmissione. Inoltre, un singolo file è più facile da distribuire e può essere meno vulnerabile a tecniche di difesa che mirano a individuare e bloccare specifici moduli del malware. Questo Trojan monolitico, scritto in PowerShell, è stato utilizzato in attacchi recenti contro obiettivi israeliani, evidenziando la portata internazionale delle operazioni di APT42​ (IFMAT)​ (OODA Loop).

Tattiche di Attacco e Impersonificazione
APT42 non si limita a sviluppare malware sofisticato; il gruppo è anche noto per le sue avanzate tecniche di phishing, che spesso coinvolgono l’impersonificazione di figure autorevoli o organizzazioni di rilievo. In diverse operazioni, i membri di APT42 si sono finti giornalisti di testate internazionali, organizzatori di eventi o rappresentanti di ONG per guadagnare la fiducia delle loro vittime. Questo tipo di inganno è stato utilizzato per distribuire malware a obiettivi situati principalmente in Medio Oriente, Stati Uniti ed Europa, con l’obiettivo di raccogliere informazioni sensibili e supportare gli interessi strategici iraniani​ (TechRadar).

Conclusione:
Il passaggio di APT42 a un Trojan monolitico rappresenta una mossa strategica che evidenzia l’adattabilità e l’evoluzione delle tattiche di attacco utilizzate dai gruppi di hacker sponsorizzati dallo Stato iraniano. Questo cambiamento, sebbene possa sembrare un ritorno a metodologie più tradizionali, potrebbe effettivamente rappresentare una risposta alle contromisure moderne adottate dalle difese informatiche globali. Per le organizzazioni e i professionisti della sicurezza informatica, questa evoluzione sottolinea l’importanza di rimanere vigili e di aggiornare continuamente le proprie strategie di difesa. In un contesto in cui le minacce sono in costante evoluzione, l’approccio proattivo e l’innovazione nella sicurezza sono fondamentali per contrastare efficacemente attacchi sempre più sofisticati.

L'articolo L’Evoluzione del Malware Iraniano: APT42 Passa dal Modulare al Monolitico proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-21 15:03:15

UK regulator closes app store probe, but new rules could lead to renewed scrutiny of big tech

The UK's Competition and Markets Authority closed its investigation into Google and Apple app stores on Wednesday (21 August), but new laws that would give it more power to control the dominance of big tech companies could ensure that scrutiny continues.

---

euractiv.com/section/competiti…

Cybersecurity & cyberwarfare

2024-08-21 13:42:17

Frode oltre la tomba: un hacker si dichiara morto per non pagare il mantenimento dei propri figli

Il 20 agosto, nella città americana di London, Kentucky, Jesse Kipf, 39 anni, residente nel Somerset, è stato condannato a 81 mesi (6,75 anni) di prigione per frode informatica e furto d’identità.

Kipf si è dichiarato colpevole di aver avuto accesso illegalmente al sistema informatico di registrazione dei decessi dello stato delle Hawaii nel gennaio 2023.

Utilizzando le credenziali di un medico straniero, l’imputato ha creato un caso fittizio riguardante la sua morte. Kipf ha quindi compilato un modulo per un certificato di morte e lo ha addirittura fatto firmare digitalmente dallo stesso medico per essere registrato come deceduto in vari database governativi. Uno dei motivi delle sue azioni è stata l’evasione dei pagamenti per il mantenimento dei figli.

Inoltre, Kipf ha violato i sistemi di registrazione dei decessi in altri stati ed è penetrato anche nelle reti di aziende private e organizzazioni governative. Utilizzando i dati rubati ha cercato di vendere nelle darknet l’accesso a queste reti, spesso associato a beni e servizi illegali.

Il procuratore degli Stati Uniti per il distretto orientale del Kentucky, Carlton Shier IV, ha definito il suo progetto insensibile e cinico, sottolineando che tali crimini evidenziano l’importanza della sicurezza informatica. Ha anche aggiunto che questo caso servirà da monito ad altri criminali informatici.

Michael E. Stansbury, agente speciale incaricato dell’FBI a Louisville, ha sottolineato che le vittime del furto d’identità possono affrontare conseguenze per tutta la vita e che l’FBI perseguirà coloro che commettono tali crimini.

Secondo la legge federale, Kipf è tenuto a scontare almeno l’85% della sua pena in prigione. Dopo il suo rilascio sarà monitorato attentamente per altri tre anni. I danni ai sistemi informatici governativi e aziendali, nonché il mantenimento non pagato dei figli, ammontano a quasi 196.000 dollari.

Questo caso dimostra chiaramente che i tentativi di sottrarsi alle responsabilità ricorrendo alla criminalità informatica possono portare a conseguenze molto più gravi di quelle che gli utenti di computer tecnicamente esperti di solito cercano di evitare. Le tecnologie utilizzate dagli aggressori per ingannare si rivoltano inevitabilmente contro di loro, evidenziando l’importanza della sicurezza digitale e la necessità di misure rigorose per proteggere i dati personali.

L'articolo Frode oltre la tomba: un hacker si dichiara morto per non pagare il mantenimento dei propri figli proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-21 14:00:56

Ask Hackaday: How Can We Leverage Tech for Education?

If you’re like us, you’ve studied the mathematician [Euler], but all you really remember is that you pronounce his name like “oiler” and not much else. [Welch Labs], on the other hand, not only remembers what he learned about logarithms and imaginary numbers but also has a beautiful video with helpful 3D graphics to explain the concepts.

This post, however, isn’t about that video. If you are interested in math, definitely watch it. It’s great. But it also got us thinking. What would it be like to be a high school math student today? In our day, we were lucky to have some simple 2D graph to explain concepts. Then it hit us: it probably is exactly the same.

Changing the Subject

Well, maybe not exactly, but the problem is, we are guessing that your math teacher — no offense to him or her — wasn’t the same kind of person [Welch Labs] is. To be fair, we couldn’t have produced that video either. So, the way we see it, you have a few choices.

First, maybe you get lucky and you happen to get a teacher (about math or any other subject) who is just awesome. We are lucky enough to know a few of these people, but you have to admit world-class teachers are rare, and even rarer outside of colleges and universities.

Second, maybe you have a teacher who is greatly engaged and goes out and finds material like this to share. We suspect that goes on a lot, but maybe not as much as it could. There is a whole industry, too, set up to provide teachers with materials for profit, but it often isn’t at the same quality level as something like this. That’s unsurprising. If you are a movie studio, not every movie wins the Oscar.

Third, if a student is motivated, you have an extraordinary research library at your fingertips. Individuals create amazing articles, videos, and even courses. Major universities have their course material online for anyone to use, in many cases. You just have to find it.

A Mixed Bag

This, too, is a mixed bag. While you have access to more information, you have to critically evaluate if it is correct or not. You could presume anything you found in a traditional library was probably not patently false. Not that everything in a library is true, but, statistically, the way books used to be produced and library collections created, it was far less likely than finding false information on the Internet. On the other hand, how motivated were you as a kid to do things like that? Well, being a Hackaday reader, you probably were. Maybe a better question is how many of your classmates were in the library while you were reading about computers?

In a way, it is like tech support. Sure, AI might not be the best of all possible tech support. But it might be better than what you probably will get. Realistically, every teacher can’t be the greatest, and even if they were, they probably don’t have the time to produce huge amounts of high-quality material for their classes.

The Answer? (Or, at Least, the Question)

So what’s the answer? That’s where you come in. How could we make sure that all students get access to high quality resources from everywhere? I frequently hear of kids using Khan Academy, for example, to explain things they aren’t getting from their teachers. But that’s just one resource. Are there curated lists of resources for each subject out there somewhere? If not, why not? What other ways could we get the serious educational material produced on the Web every day into the classroom? I’m sure there are lists, but we’re thinking about something with the go-to recognition of, say Wikipedia. Not just a random blog posting. Let us know what you think and what’s already out there.

Maybe the best scenario is when great teachers share their materials with the world. We just need to get the word out. Another good scenario is when great teachers let their students take the lead. If you want to see how not to produce educational videos, have a look at this series of parodies of 1970-era science videos.

youtube.com/embed/f8CXG7dS-D0?…

Cybersecurity & cyberwarfare

2024-08-21 11:00:00

How Jurassic Park’s Dinosaur Input Device Bridged the Stop-Motion and CGI Worlds

In a double-blast from the past, [Ian Failes]’ 2018 interview with [Phil Tippett] and others who worked on Jurassic Park is a great look at how the dinosaurs in this 1993 blockbuster movie came to be. Originally conceived as stop-motion animatronics with some motion blurring applied using a method called go-motion, a large team of puppeteers was actively working to make turning the book into a movie when [Steven Spielberg] decided to go in a different direction after seeing a computer-generated Tyrannosaurus rex test made by Industrial Light and Magic (ILM).

Naturally, this left [Phil Tippett] and his crew rather flabbergasted, leading to a range of puppeteering-related extinction jokes. Of course, it was the early 90s, with computer-generated imagery (CGI) animators being still very scarce. This led to an interesting hybrid solution where [Tippett]’s team were put in charge of the dinosaur motion using a custom gadget called the Dinosaur Input Device (DID). This effectively was like a stop-motion puppet, but tricked out with motion capture sensors.

This way the puppeteers could provide motion data for the CG dinosaur using their stop-motion skills, albeit with the computer handling a lot of interpolation. Meanwhile ILM could handle the integration and sprucing up of the final result using their existing pool of artists. As a bridge between the old and new, DIDs provided the means for both puppeteers and CGI artists to cooperate, creating the first major CGI production that holds up to today.

Even if DIDs went the way of the non-avian dinosaurs, their legacy will forever leave their dino-sized footprints on the movie industry.

Thanks to [Aaron] for the tip.

---

Top image: Raptor DID. Photo by Matt Mechtley.

Cybersecurity & cyberwarfare

2024-08-21 10:00:10

Exploits and vulnerabilities in Q2 2024

Q2 2024 was eventful in terms of new interesting vulnerabilities and exploitation techniques for applications and operating systems. Attacks through vulnerable drivers have become prevalent as a general means of privilege escalation in the operating system. Such attacks are notable in that the vulnerability does not have to be fresh, since attackers themselves deliver unpatched drivers to the system. This report considers the statistics of research publications that can be used by cybercriminals to attack target systems, and provides statistical snapshots of vulnerabilities.

Statistics on registered vulnerabilities

In this section, we look at statistics on registered vulnerabilities based on data from the cve.org portal.

In Q2 2024, the number of registered vulnerabilities exceeded last year’s figure for the same period, and is likely to grow further, as some vulnerabilities are not added to the CVE list immediately after registration. This trend is in line with the general uptick in the number of registered vulnerabilities that we noted in our Q1 report.

Total number of registered vulnerabilities and number of critical ones, Q2 2023 and Q2 2024 (download)

Comparing the data for the period 2019–2024 we see that in H1 2024 the total number of registered vulnerabilities was slightly less than half of the figure for the whole of 2023. Worth noting is the quarter-on-quarter rise in the number of registered vulnerabilities, for which reason we cannot say for sure that it won’t exceed the 2023 figure by year’s end.

Number of vulnerabilities and the share of critical ones and of those for which exploits exist, 2019–2024 (download)

The chart also shows the share among all registered vulnerabilities of ones that are critical and of ones for which there is a public description or Proof of Concept. The drop in the latter’s share in Q2 illustrates that the number of registered vulnerabilities is growing faster than the number of published exploits for them.

The share of critical vulnerabilities also decreased slightly relative to 2023. But it is critical vulnerabilities that pose the greatest risk. To understand the risks that organizations may face, and how these risks change over time, let’s look at the types of vulnerabilities that make up the total number of critical CVEs registered in Q2 2023 and Q2 2024.

Vulnerability types that critical CVEs registered in Q2 2023 fall under (download)

Vulnerability types that critical CVEs registered in Q2 2024 fall under (download)

As we see from the charts, even with a CVE entry, most issues remain unclassified and require further investigation to obtain details, which can seriously hamper efforts to protect systems where these vulnerabilities may arise. Besides unclassified critical vulnerabilities, other common issues in Q2 2023 were:

• CWE-89: Improper Neutralization of Special Elements used in an SQL Command (SQL Injection)
• CWE-78: Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)
• CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component (Injection)

Other types of vulnerabilities came to the fore in Q2 2024:

• CWE-434: Unrestricted Upload of File with Dangerous Type
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command (SQL Injection)
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory (Path Traversal)

Both lists of the most common types indicate that the vast majority of classified critical vulnerabilities get registered for web applications. According to open-source information, vulnerabilities in web applications are indeed the most critical, since web applications include software that can access sensitive data, such as file-sharing systems, consoles controlling VPN access and cloud and IoT systems.

Vulnerability exploitation statistics

This section presents exploit statistics for Q2 2024 obtained from open sources and our in-house telemetry.

Exploits are quite expensive software. Their shelf life can be counted in days, even hours. Conversely, creating them is a lengthy process, which varies depending on the type of exploit. Below are statistics on the most popular platforms where users were attacked with exploits.

Windows and Linux vulnerability exploitation

Since the start of the year, we have seen growth in the number of triggerings of Kaspersky solutions by exploits for Windows, driven primarily by phishing emails and attempts to gain initial access to user systems through vulnerability exploitation. Among the most popular are exploits for vulnerabilities in the Microsoft Office suite:

• CVE-2018-0802 – remote code execution vulnerability in the Equation Editor component
• CVE-2017-11882 – another remote code execution vulnerability in Equation Editor
• CVE-2017-0199 – remote code execution vulnerability in Microsoft Office and WordPad
• CVE-2021-40444 – remote code execution vulnerability in the MSHTML component

Dynamics of the number of Windows users who encountered exploits, Q1 2023 — Q2 2024. The number of users who encountered exploits in Q1 2023 is taken as 100% (download)

Note that due to similar detection patterns, exploits classified as CVE-2018-0802 and CVE-2021-40444 may include ones for the vulnerabilities CVE-2022-30190 (remote code execution in the Microsoft Support Diagnostic Tool (MSDT)) and CVE-2023-36884 (remote code execution in the Windows Search component), which also remain a live threat.

As Linux grows in the corporate segment, it also shows growth in terms of exploits; in contrast to Windows, however, the main exploits for Linux target the kernel:

• CVE-2022-0847 – privilege escalation vulnerability in the Linux kernel
• CVE-2023-2640 – privilege escalation vulnerability in the Ubuntu kernel
• CVE-2021-4034 – privilege escalation vulnerability in the pkexec utility used to execute commands as another user

Dynamics of the number of Linux users who encountered exploits in Q1 2023 — Q2 2024. The number of users who encountered exploits in Q1 2023 is taken as 100% (download)

Most exploits for Linux pertain to privilege escalation and can be used to gain persistence and run malicious code in the system. This may be because attackers often target Linux servers for which high privileges are needed to gain control.

Most common exploits

Q2 saw a shift in the distribution of critical vulnerabilities for which there are public exploits. See the charts below for a visual comparison of Q1 and Q2.

Distribution of exploits for critical vulnerabilities by platform, Q1 2024 (download)

Distribution of exploits for critical vulnerabilities by platform, Q2 2024 (download)

The share of exploits for vulnerabilities in operating systems increased in Q2 against Q1. This is because researchers tend to publish PoCs ahead of the summer season of cybersecurity conferences. Consequently, a great many OS exploits were published in Q2. In addition, the share of exploits for vulnerabilities in Microsoft Sharepoint increased during the reporting period, with almost no new exploits for browsers.

Vulnerability exploitation in APT attacks

We analyzed which vulnerabilities are most often used in advanced persistent threats (APTs). The ranking below is based on our telemetry, research and open sources.

Top 10 vulnerabilities exploited in APT attacks, Q2 2024

Although the list of vulnerabilities common in APT attacks is radically different compared to Q1, attackers most often exploited the same types of software/hardware solutions to gain access to organizations’ internal networks: remote access services, access control mechanisms and office applications. Note that the vulnerabilities of 2024 in this ranking were already being exploited at the time of discovery, that is, they were zero-day vulnerabilities.

Exploiting vulnerable drivers to attack operating systems

This section examines public exploits that use vulnerable drivers to attack the Windows operating system and software for it. According to open sources and our own data, there are hundreds of such vulnerable drivers, and new ones are appearing all the time.

Threat actors use vulnerable drivers as part of the Bring You Own Vulnerable Driver (BYOVD) technique. This involves installing an unpatched driver on the targeted system to ensure the vulnerability is exploited for privilege escalation in the OS or other cybercriminal activity. This method was first used by creators of game cheats, but was later adopted by cybercriminals.

Since 2023, we have noticed an upward trend in the use of vulnerable drivers to attack Windows with a view to escalating privileges and bypassing security mechanisms. In response, we are systematically adding and improving the mechanisms for detecting and blocking malicious operations through vulnerable drivers in our solutions.

BYOVD attack tools

Vulnerable drivers themselves are a serious enough problem for OS security, but truly destructive activity requires a client application to pass malicious instructions to the driver.

Since 2021, we have seen the appearance of 24 online tools for controlling vulnerable drivers in the context of privilege escalation and attacks on privileged processes, such as built-in and third-party security solutions. See below for a year-by-year distribution.

Number of tools published online for controlling vulnerable drivers, 2021–2024 (download)

As we can see, 2023 was the most abundant year for BYOVD attack tools. And more were published in H1 2024 than in 2021 and 2022 combined. We evaluated the trends of using such software in real attacks, as illustrated by blocked attacks on Kaspersky products in Q1 and Q2 2024:

Dynamics of the number of users who encountered attacks using vulnerable drivers on Kaspersky products, Q1 and Q2 2024; data for Q1 2024 is taken as 100% (download)

With the rise in the number of BYOVD attacks, developers of tools exploiting vulnerable drivers began to sell them, so we see a downturn in the number of published tools for attacks using vulnerable drivers. However, as mentioned, they continue to be made publicly available.

Interesting vulnerabilities

This section presents information about vulnerabilities of interest that were registered in Q2 2024.

CVE-2024-26169 (WerKernel.sys)

Werkernel.sys is a driver for the Windows Error Reporting (WER) subsystem, which handles the sending of error messages. CVE-2024-26169 is a zero-day vulnerability discovered during the investigation of an incident related to a ransomware attack. It is caused by werkernel.sys using the null security descriptor, which handles the access level. This allows any user to interact with the driver, for example, to rewrite the value of the registry key HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WerFault.exe. This key stores data about the application that is responsible for error handling for applications in Windows.

An examination of the exploitation algorithm reveals the following events:

List of events generated by the exploit

The exploit tries to perform preparatory actions to create special registry keys that allow the executable file specified in the registry to be restarted with SYSTEM user privileges. The exploit itself is based on a race condition vulnerability, so its success depends on the system where it is launched.

CVE-2024-26229 (csc.sys)

Csc.sys is another driver in Windows, this time related to the Windows Client-Side Caching (CSC) service, which handles data caching on the client side. CVE-2024-26229 is a privilege escalation vulnerability, one that clearly illustrates the problem of insecure code in operating system drivers. Just a few days after the information about this vulnerability was posted on the Microsoft portal, a PoC was released that spread online and was rewritten for various formats and frameworks for penetration testing.

The exploit is very easy to use and comprises a “classic” combination of the Write primitive (writing to an arbitrary kernel location) and the kernel object address leak primitive.

The vulnerability is triggered using IOCTL, meaning that the method of communication with the vulnerable driver is in many ways similar to the BYOVD attack method.

The main algorithm of the exploit aims to modify the PRIMARY_TOKEN structure of the user-run process. This is achieved through the capabilities of the vulnerable driver.

CVE-2024-4577 (PHP CGI)

CVE-2024-4577 stems from bypassing the validation of parameters passed to the web application. Essentially, the vulnerability exists because PHP in CGI mode may not fully validate dangerous characters for pages in some languages. Cybercriminals can use this feature to carry out a standard OS command injection attack.

The validation problem arises in systems using the following language settings:

• Traditional Chinese (code page 950)
• Simplified Chinese (code page 936)
• Japanese (code page 932)

Note that CGI mode is not very popular today, but can be found in products such as XAMPP web servers.

Exploitation of the vulnerability is made possible by the fact that to bypass the filter parameter, it is enough to replace a normal dash with the equivalent of the Unicode symbol “–” (soft hyphen) in writing systems based on Chinese characters. As a result, the query is supplemented with data that can run additional commands. In the process tree, the full exploitation will look as follows:

Tree of processes in the victim system during exploitation of CVE-2024-4577

Takeaways and recommendations

In terms of quality and quantity, vulnerabilities and working exploits for them continue to grow each quarter, and threat actors are finding ways to bring already patched vulnerabilities back to life. One of the main tricks for exploiting closed vulnerabilities is the BYOVD technique, whereby attackers load a vulnerable driver into the system themselves. The wide variety of examples and toolkits in the public domain allow cybercriminals to quickly adapt vulnerable drivers to their needs. Going forward, we will likely only see more active use of this technique in attacks.

To stay safe, you need to react promptly to the changing threatscape, as well as:

• Understand and monitor your infrastructure thoroughly, paying particular attention to the perimeter; knowing your way around your own infrastructure is vital to keeping it secure.
• Introduce effective patch management to promptly detect and eliminate infrastructure vulnerabilities, including vulnerable drivers slipped into your network by attackers. Our Vulnerability Assessment and Patch Management and Kaspersky Vulnerability Data Feed solutions could help you with this.
• Use comprehensive security solutions that deliver robust protection of workstations, as well as early detection and prevention of attacks of any complexity, collection of live cyberattack data from around the globe, and basic digital literacy skills for employees. Our Kaspersky NEXT line of solutions ticks all these boxes and more.

---

securelist.com/vulnerability-e…

Cybersecurity & cyberwarfare

2024-08-21 08:00:05

Pulling Apart a Premium WebCam

Over at EDN, [Brian Dipert] has been tearing down web cameras. A few months ago, he broke into a bargain basement camera. This time, he’s looking into a premium unit. Although we have to admit from some of what he reports, we are a little surprised at some of the corners cut. For example, it’s a 4K camera that doesn’t quite provide a 4K image. Despite a Sony CMOS sensor, [Brian] found the low-light performance to be poor. However, it does carry a much larger price tag than the previous camera examined.

The interesting part is about half way down the page when he tries to open the unit up. It seems like it is getting harder and harder to get into things and this camera was no exception. The device finally gives up. Inside is a relatively unremarkable board with a host of unknown ICs. One interesting item is a gyro chip that determines if the camera is upside down.

[Brian] managed to get the camera back together with no harm. It is interesting to compare it to the $15 camera he took apart earlier.

If you want maximum cred, do your video calls with a Game Boy camera. Or, at least, add your own lens to a webcam.

Cybersecurity & cyberwarfare

2024-08-21 08:35:53

Cosa sono i Rootkit? Alla scoperta di una delle minacce più insidiose

I rootkit sono una delle minacce informatiche più insidiose e complesse nel panorama della sicurezza digitale. Il termine “rootkit” deriva dall’unione di due parole: “root”, che in sistemi Unix e Linux si riferisce all’utente con i massimi privilegi, e “kit”, che indica un insieme di strumenti software. Un rootkit, quindi, è un insieme di strumenti progettati per garantire l’accesso privilegiato a un sistema informatico, rimanendo al contempo nascosto agli occhi dell’utente e dei software di sicurezza.

Come Funzionano i Rootkit?

I rootkit operano infiltrandosi nel sistema operativo o in altre componenti fondamentali del software, mascherando la loro presenza e consentendo a un attaccante di mantenere il controllo del sistema per un periodo prolungato. Questa capacità di operare nell’ombra è ciò che rende i rootkit particolarmente pericolosi. Possono essere utilizzati per:

1. Sottrarre dati sensibili: come informazioni personali, credenziali di accesso e dati finanziari.
2. Installare altri tipi di malware: fungendo da “porta d’ingresso” per altri software dannosi come trojan, virus e spyware.
3. Compromettere l’integrità del sistema: manipolando file di sistema, processi e registri in modo che le attività del rootkit non vengano rilevate.

Livelli di Infiltrazione

I rootkit possono operare a diversi livelli del sistema:

• Livello utente: Interagiscono con le applicazioni e i processi dell’utente, sono più facili da individuare e rimuovere rispetto agli altri tipi.
• Livello kernel: Operano a livello del kernel del sistema operativo, cioè il nucleo centrale che gestisce le risorse del computer. Questi rootkit sono particolarmente pericolosi perché hanno il controllo totale del sistema.
• Livello boot: Attaccano il sistema durante la fase di avvio, prima ancora che il sistema operativo venga caricato. Sono tra i più difficili da rilevare e rimuovere.

Differenza tra Rootkit e Altri Tipi di Malware

Per comprendere appieno cosa distingue i rootkit dagli altri malware, è utile confrontarli con altre tipologie di software dannosi:

• Virus: I virus si diffondono replicandosi in altri programmi o file. Possono danneggiare i dati, rallentare le prestazioni del sistema o causare malfunzionamenti, ma generalmente non cercano di nascondere la loro presenza come fanno i rootkit.
• Trojan: I trojan (o trojan horse) si presentano come software legittimi, ma nascondono funzionalità malevole. Come i rootkit, possono fornire accesso remoto al sistema, ma non necessariamente cercano di mantenere questo accesso nascosto nel tempo.
• Worm: I worm sono malware che si diffondono autonomamente attraverso reti informatiche, senza bisogno di attaccare file specifici. Anche se possono compromettere la sicurezza del sistema, non sono progettati per nascondere la loro attività a livello di sistema come fanno i rootkit.
• Spyware: Questo tipo di malware è progettato per spiare l’attività dell’utente, raccogliendo dati senza il suo consenso. Anche se spesso opera in modo nascosto, la sua finalità principale è la raccolta di informazioni piuttosto che il controllo persistente del sistema.

La principale differenza tra un rootkit e gli altri tipi di malware risiede quindi nella sua capacità di nascondere la propria presenza e di garantire un accesso continuato e invisibile al sistema, spesso a livello di kernel o boot. Questo lo rende estremamente difficile da rilevare e rimuovere rispetto agli altri tipi di malware, che possono essere più facilmente identificati attraverso scansioni antivirus o rilevamento di anomalie nel comportamento del sistema.

Conclusioni

I rootkit rappresentano una delle minacce più avanzate e subdole nel campo della sicurezza informatica. La loro capacità di rimanere nascosti mentre garantiscono l’accesso privilegiato al sistema li rende particolarmente pericolosi. La difesa contro i rootkit richiede strumenti avanzati di rilevamento e una conoscenza approfondita delle dinamiche del sistema operativo. Per questo motivo, è essenziale che le organizzazioni e gli utenti privati adottino pratiche di sicurezza rigorose, mantenendo i propri sistemi aggiornati e utilizzando software di protezione avanzati per minimizzare il rischio di infezione.

L'articolo Cosa sono i Rootkit? Alla scoperta di una delle minacce più insidiose proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-21 10:24:17

Mollicone (FdI): “Tuteliamo con ACN la Cultura da attacchi cyber”. Italia unica in Ue a inserire il settore in NIS2

@Informatica (Italy e non Italy 😁)
L’Italia è l’unico Paese dell’Ue ad aver inserito il settore della Cultura nella NIS2, perché un settore strategico, critico, essenziale per noi e per questo occorre aumentare le difese

Cybersecurity & cyberwarfare

2024-08-21 07:41:10

Un Bug Bounty di Stato proposto nella Federazione Russa. Grandi opportunità e nuovi rischi

Il Consiglio della Federazione Russa, l’FSB, il Ministero degli Affari Interni e le società di sicurezza informatica (IS) stanno discutendo la possibilità di creare un registro degli hacker etici e della loro certificazione. Vedomosti ne è stato informato da tre fonti vicine a diverse società di sicurezza informatica. Secondo le loro informazioni, la questione è stata discussa in una riunione a porte chiuse dei rappresentanti del dipartimento all’inizio di agosto.

Artem Sheikin, membro del Comitato per la legislazione costituzionale e la costruzione dello Stato del Consiglio della Federazione, ha confermato che la questione viene considerata come parte del disegno di legge sugli hacker white hat. Nel mese di settembre dovrebbe essere firmata una decisione su questo tema da parte della sezione del Consiglio per lo sviluppo dell’economia digitale della Federazione.

Dall’estate del 2022 si discute della legalizzazione delle attività degli hacker etici che verificano l’affidabilità della protezione della sicurezza delle informazioni dei sistemi IT aziendali e governativi. Poi il Ministero dello Sviluppo Digitale ha iniziato a esplorare la possibilità di introdurre in ambito legale il concetto di bug bounty. Avrebbe dovuto apportare modifiche alla legge “Sulle informazioni, sulle tecnologie dell’informazione e sulla protezione delle informazioni” e all’articolo 272 del codice penale della Federazione Russa “Accesso illegale alle informazioni informatiche”.

Tuttavia, nel 2023, diverse forze dell’ordine si sono opposte alla legalizzazione dell’hacking white hat. Le forze dell’ordine temevano che, se le modifiche fossero state adottate, gli hacker malintenzionati avrebbero iniziato a presentare documenti che confermassero la conclusione di un accordo per testare il sistema informativo per dimostrare la loro innocenza. In questo caso, sarebbe stato più difficile punirli.

Nel dicembre 2023, una versione del disegno di legge elaborata da un gruppo di deputati è stata presentata alla Duma di Stato. Il progetto ha modificato il Codice Civile della Federazione Russa, introducendo i concetti di “white hat hacker” e bug bounty, e ha inoltre stabilito il termine ultimo per notificare all’azienda se viene scoperta una vulnerabilità. Tuttavia il disegno di legge non è ancora arrivato nemmeno in prima lettura alla Duma di Stato.

Attualmente i test di vulnerabilità dell’infrastruttura vengono effettuati in base ad un accordo con il cliente o nell’ambito di un programma bug bounty, le cui regole sono specificate nell’offerta al pubblico. Numerose grandi aziende IT e di sicurezza informatica dispongono di tali programmi. Ad esempio, nel 2023 sono stati effettuati test sui servizi statali, durante i quali sono state scoperte 34 vulnerabilità, la maggior parte delle quali di livello di criticità medio e basso. Il pagamento massimo per un errore riscontrato è stato di 350.000 rubli.

La fonte di Vedomosti in una delle grandi società di sicurezza informatica osserva che le misure proposte per creare un registro e una certificazione dovrebbero garantire il lavoro di bug bounty con infrastrutture significative inclusa l’infrastruttura informatica critica (CII). A suo avviso, ciò legalizzerà molte aree legate alla sicurezza offensiva e preventiva, oltre ad eliminare le aree grigie in cui si trovano attualmente gli hacker etici.

L’interlocutore sottolinea però i punti deboli dell’iniziativa. Nell’attuale situazione geopolitica, un registro accessibile al pubblico degli hacker white hat può diventare un’importante fonte di informazioni per un avversario. Inoltre, i severi requisiti burocratici per entrare a far parte dei ranghi degli hacker white hat per partecipare ai programmi bug bounty possono scoraggiare i potenziali partecipanti. C’è il timore che in questo caso gli hacker vendano le vulnerabilità trovate non alle aziende dietro compenso, ma agli aggressori.

Gli esperti notano inoltre che lo Stato non dispone ancora di strumenti sufficienti per monitorare il rispetto delle norme di certificazione. Secondo loro, è qui che entrano in vigore gli strumenti di mercato. Gli esperti presumono che la comunità sarà contraria alla proposta di regolamento, ma chi vuole lavorare legalmente sarà certificato. La presenza di un certificato può diventare la base affinché aziende e privati ​​accettino la competenza di tali hacker.

Altri esperti dicono che l’idea è mal concepita. Secondo loro, questo porterà al fatto che nessuno vorrà analizzare seriamente la sicurezza del CII e di altri sistemi se ciò richiede l’iscrizione nel registro. Esprimono inoltre preoccupazione per il fatto che i registri in Russia siano spesso soggetti a fughe di informazioni, il che può rappresentare un serio pericolo per i loro iscritti. Si teme che tali specialisti possano essere soggetti a sanzioni personali da parte degli Stati Uniti e di altri paesi e che le loro vite possano essere in pericolo.

L'articolo Un Bug Bounty di Stato proposto nella Federazione Russa. Grandi opportunità e nuovi rischi proviene da il blog della sicurezza informatica.

Cybersecurity & cyberwarfare

2024-08-21 08:16:56

Italia sotto Attacco! Sono 33,5 gli Attacchi Cyber al giorno. Occorre iniziare a ripensare all’infrastruttura IT del paese?

Il Ministero dell’Interno ha recentemente rilasciato il consueto dossier di Ferragosto, che fornisce un’analisi approfondita delle attività ministeriali condotte negli ultimi 19 mesi. Questo documento spazia su molteplici temi, tra cui la violenza di genere, le questioni migratorie, la sicurezza e i crimini informatici.

Una delle novità più rilevanti del dossier riguarda gli attacchi informatici, con dati raccolti tra il 1 gennaio 2023 e il 31 luglio 2024. In questo periodo, il Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche (CNAIPIC) e il Nucleo Operativo per la Sicurezza Cibernetica (NOSC) hanno registrato ben 19.364 attacchi informatici, una media di circa 33,5 al giorno.

Questo dato sottolinea l’aumento della vulnerabilità delle infrastrutture digitali e l’urgenza di rafforzare le difese cibernetiche per prevenire danni significativi.

Oltre agli attacchi informatici, il dossier rivela anche una crescita allarmante dei crimini legati al mondo digitale. Complessivamente, sono stati registrati 88.797 reati informatici, tra cui spiccano 4.252 casi di pedopornografia e adescamento online, che hanno portato all’indagine di 1.972 persone. Le frodi informatiche e le truffe online rappresentano altre aree critiche, con rispettivamente 16.077 e 28.001 casi rilevati, e un numero significativo di indagati.

Il dossier mette in evidenza il ruolo chiave del Servizio Polizia Postale, supportato da una rete capillare di strutture regionali e provinciali. Tra queste, il Centro Nazionale per il Contrasto alla Pedopornografia Online (CNCPO) e il Commissariato di Pubblica Sicurezza Online che svolgono un lavoro fondamentale. Inoltre, a livello regionale operano 18 Centri Operativi per la Sicurezza Cibernetica (COSC) e 82 Sezioni Operative per la Sicurezza Cibernetica (SOCS) a livello provinciale.

Questo quadro generale evidenzia non solo la crescente sofisticazione e frequenza dei crimini informatici, ma anche l’impegno continuo delle forze dell’ordine nel contrastarli.

La cooperazione tra le varie strutture coinvolte e l’implementazione di nuove tecnologie e strategie sono essenziali per affrontare con efficacia queste sfide sempre più complesse.

Questa situazione indica chiaramente che il cybercrime sta diventando un fenomeno sempre più diffuso, attirando anche giovani che, attratti dai facili guadagni, si lanciano in attività di truffa. Per affrontare questa crescente minaccia, diventa essenziale ripensare l’infrastruttura informatica nazionale, centralizzandola e limitando la gestione a livello provinciale e regionale, per garantire una maggiore sicurezza e coordinamento a livello nazionale.

L'articolo Italia sotto Attacco! Sono 33,5 gli Attacchi Cyber al giorno. Occorre iniziare a ripensare all’infrastruttura IT del paese? proviene da il blog della sicurezza informatica.