A Clock Inspired by Failed Cognitive Tests


The media in this post is not displayed to visitors. To view it, please log in.

A black-and-white clock face is shown. The numerals are ranged around the right edge of the clock. One pointer extends from the center of the clock, and one is on the left side of the face.

One simple screening tool for cognitive impairment is the clock-drawing test (CDT): the patient is provided with a printed circle and asked to draw a clock face with the hands pointing to a certain time. Depending on how the clock is drawn, this could indicate a variety of different disorders, particularly dementia, with a particular deformity in the drawing sometimes pointing to a specific issue. These failed tests inspired [John Silvia] to create a clock with a unique, disordered face.

The numerals in this clock face are placed exclusively along the right half of the clock (in the test, this can be a sign of damage to the right parietal lobe, or of executive dysfunction caused by dementia), and out of order. The hour hand is controlled by a servo motor, and the minute hand is mounted on a separate, commercially-purchased clock mechanism on the left-hand side of the face.

The frame for the clock and the face are 3D-printed, and the servo motor is controlled by an ESP32-C3 with an RTC module. To minimize power draw, a MOSFET disconnects the servo motor from power except for the once-per-hour position update. Once per month, the ESP32 connects to Wi-Fi to synchronize to NTP time, otherwise remaining in a low-power state – even its indicator LEDs are disconnected to save power. These efforts paid off: when the servo isn’t active, it draws only about 160 µA, and a set of three AA NiMH cells lasts about a year.

Since the servo motor draws most of the power budget, it wouldn’t make much difference, but the ESP32’s co-processor can also be used for ultra-low-power projects. For a happier take on a drawing-related clock, check out one of these projects.


hackaday.com/2026/05/27/a-cloc…

Cybersecurity & cyberwarfare ha ricondiviso questo.

NEW: UK Visa Portal, a website that lets people apply for a UK visa, spilled thousands of applicants' passports, selfies, and location data online.

The data exposure is now fixed, but not before the company sent attorneys and a public relations firm our way — which is very weird!

My updated story: techcrunch.com/2026/05/27/uk-v…

reshared this

Inside Dyson’s Over-Engineered ₤1000 Hand Dryer


The media in this post is not displayed to visitors. To view it, please log in.

It seems fair to say that Dyson sits at the intersection of impressive engineering and borderline ridiculous products. The Dyson Airblade 9KJ hand dryer that [ElectrArc240] recently took to bits would definitely seem to fall under the latter, combining an incredible amount of engineering all for the simple task of drying wet hands.

These hand dryers are rated for a cool 900 Watts, with an 0.5 W standby power consumption, though you can also switch it to a 650 W ‘eco mode’ when installing it. The air that gets sucked into the dryer first passes through a HEPA filter before it hits the heating element and then gets blown out of the handles onto one’s hands.

Both of these handles come with a presence sensor in the form of an ST VL53L3CX time-of-flight sensor, along with a path for the heated air towards the thin slits. Returning to the section just past the HEPA filter is the compressor, with a rather fancy airflow path that involves various stacked meshes. As can be seen in the video, where you’d expect basically a simple blower motor or so, there is a truly astounding amount of parts as the teardown progresses.

The motor disassembly is the first part where some desoldering and breaking of glue bonds is really necessary, but it gives full access to the driver board. The circuit used here is your typical IGBT-based gate driver, though with a mystery PIC MCU to do things. Following this the tear-down turns fully destructive, giving access to the motor internals.

Following an analysis of these internals we marvel at the carbon-fiber rotor that keeps the single magnet in one piece. This is another engineering choice that serves to justify the 1,000 quid price tag. All so that rest room visitors do not have to suffer the humility of using paper towels.

youtube.com/embed/xrOi4-n_L64?…


hackaday.com/2026/05/27/inside…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

SQL Server 2025 e Azure SQL: vettori, modelli AI nativi e agenti autonomi nel database
#tech
spcnet.it/sql-server-2025-e-az…
@informatica


SQL Server 2025 e Azure SQL: vettori, modelli AI nativi e agenti autonomi nel database


SQL Server 2025: un database nativamente AI


Con il rilascio di SQL Server 2025 (versione 17.x) e i progressivi aggiornamenti di Azure SQL Database, Microsoft ha compiuto un salto qualitativo radicale: non si tratta più di integrare l’intelligenza artificiale come funzionalità accessoria, ma di rendere il database stesso una piattaforma AI di prima classe. Vettori, modelli esterni, agenti autonomi e GitHub Copilot nel gestore dello studio: in questo articolo esploriamo tutto ciò che i professionisti IT devono conoscere.

Tipo di dato VECTOR e ricerca semantica con DiskANN


Il cambiamento più strutturale è l’introduzione del tipo di dato nativo VECTOR, supportato dall’indice DiskANN (Disk-based Approximate Nearest Neighbor), un algoritmo ottimizzato per la ricerca di similarità in grandi dataset ad alta dimensionalità.

Un vettore di embedding è una rappresentazione numerica densa di un contenuto (testo, immagine, documento) in uno spazio ad alta dimensionalità. SQL Server 2025 supporta vettori fino a 1536 dimensioni, compatibili con i modelli di embedding Azure OpenAI come text-embedding-3-large.

-- Creazione tabella con colonna vettoriale
CREATE TABLE Documenti (
    Id INT PRIMARY KEY,
    Testo NVARCHAR(MAX),
    Embedding VECTOR(1536)
);

-- Ricerca di similarità semantica tramite distanza coseno
SELECT TOP 5
    Id,
    Testo,
    VECTOR_DISTANCE('cosine', Embedding, @queryEmbedding) AS Distanza
FROM Documenti
ORDER BY Distanza ASC;

La funzione VECTOR_DISTANCE supporta le metriche cosine, euclidean e dot. In marzo 2026 Microsoft ha annunciato ulteriori ottimizzazioni tramite quantizzazione (riduzione della precisione vettoriale per risparmiare storage e accelerare il calcolo) e iterative filtering, disponibili sia su Azure SQL Hyperscale che su SQL Database in Microsoft Fabric.

CREATE EXTERNAL MODEL: modelli AI come oggetti database


Una delle novità più significative per gli sviluppatori è la possibilità di registrare modelli AI esterni come oggetti database di prima classe, con la stessa dignità di una tabella o di una view.

-- Registrazione di un modello Azure OpenAI come external model
CREATE EXTERNAL MODEL AzureOpenAI_Ada
WITH (
    LOCATION = 'https://mio-endpoint.openai.azure.com/',
    API_KEY = 'secret-key',
    API_TYPE = 'azure_openai',
    DEPLOYMENT = 'text-embedding-ada-002',
    TASK = 'EMBEDDINGS'
);

Una volta registrato, il modello è disponibile per tutte le query T-SQL dell’istanza, con gestione automatica del retry per i fallimenti transitori e supporto per il versioning (A/B testing tra deployment diversi).

La stored procedure sp_invoke_external_rest_endpoint consente invece di chiamare qualsiasi API REST direttamente da T-SQL, incluse OpenAI, Azure OpenAI, Anthropic e anche modelli locali come Ollama:

EXEC sp_invoke_external_rest_endpoint
    @url = 'https://api.openai.com/v1/embeddings',
    @method = 'POST',
    @headers = '{"Authorization": "Bearer sk-xxx", "Content-Type": "application/json"}',
    @payload = '{"input": "testo da vettorializzare", "model": "text-embedding-3-small"}',
    @response = @json OUTPUT;

RAG nativo: addio al database vettoriale separato


Il pattern Retrieval-Augmented Generation (RAG) — recuperare contesto rilevante da una base di conoscenza per arricchire il prompt di un LLM — si implementa ora interamente all’interno di SQL Server, senza bisogno di database vettoriali separati come Pinecone, Milvus o Weaviate.

Il flusso tipico è:

  1. Inserire i documenti nella tabella con colonna VECTOR
  2. Generare gli embedding tramite CREATE EXTERNAL MODEL o sp_invoke_external_rest_endpoint
  3. Archiviare i vettori nella stessa tabella dei dati operativi
  4. Al momento della query, vettorializzare il testo dell’utente e cercare i k documenti più simili con VECTOR_DISTANCE
  5. Passare i documenti recuperati come contesto all’LLM

Questo approccio elimina la complessità della sincronizzazione tra il database relazionale e quello vettoriale, riducendo la latenza e semplificando enormemente la gestione della sicurezza (un solo perimetro di autorizzazione).

Per scenari ibridi, è disponibile anche l’integrazione con Azure AI Search, che combina full-text search tradizionale con ricerca vettoriale semantica.

Agenti AI autonomi e GitHub Copilot in SSMS 22


SQL Server 2025 introduce il concetto di agente AI integrato nel database: un componente che riceve richieste in linguaggio naturale, le traduce in T-SQL, le esegue e ragiona sui risultati per determinare i passi successivi, rispettando il modello di sicurezza e i permessi SQL Server.

Azure SQL Database Hyperscale espone un SQL MCP Server (endpoint Model Context Protocol, ora in public preview), che consente ad agenti AI e Copilot di connettersi al database e ragionare sui dati SQL per applicazioni cloud-native.

GitHub Copilot in SSMS 22 è diventato generalmente disponibile l’11 novembre 2025. Le funzionalità principali:

  • Chat in linguaggio naturale per interrogare il database o costruire query T-SQL
  • Slash command: /doc per la documentazione, /fix per la correzione errori, /explain per la spiegazione di query complesse
  • Database instructions: contesto specifico del database e regole di business memorizzati come extended properties, che Copilot applica automaticamente
  • Autocompletamento contestuale nell’editor query (disponibile dalla versione SSMS 22.2.1, rilasciata il 21 gennaio 2026)


Machine Learning Services e integrazione con i framework AI


SQL Server Machine Learning Services — disponibile sin da SQL Server 2016 con R e poi Python — continua a essere supportata in SQL Server 2025. Permette di eseguire script Python e R in-database, senza spostare i dati fuori da SQL Server, mantenendo il perimetro di sicurezza e riducendo l’overhead di rete.

SQL Server 2025 aggiunge il supporto ai principali framework di orchestrazione AI:

  • LangChain: il pacchetto langchain-sqlserver abilita chatbot con pattern RAG sui dati SQL, con orchestrazione tramite LangChain e UI via Chainlit
  • Semantic Kernel: SDK open source Microsoft per .NET (e altri linguaggi), include un connettore nativo per il vector store di SQL Server, permettendo di costruire agenti e applicazioni RAG che chiamano modelli, strumenti e SQL Server in modo integrato
  • LSTM e architetture ibride: l’integrazione con Long Short-Term Memory offre un framework per agenti che devono mantenere stato contestuale su sequenze di interazioni


Copilot in Azure SQL Database


Microsoft Copilot in Azure SQL Database — in GA dall’11 aprile 2025 — offre esperienze AI-assisted per DBA e sviluppatori:

  • Risposta a domande sulle performance del database in linguaggio naturale
  • Troubleshooting tramite Dynamic Management Views e Query Store
  • Generazione T-SQL da descrizioni plain-text con spiegazione dettagliata delle query
  • Code completion nell’editor query di Fabric e quick actions per fix/explain

Il sistema analizza i metadati del database (nomi tabelle, colonne, struttura) per generare suggerimenti contestuali senza accedere ai dati effettivi.

Requisiti e disponibilità


Le funzionalità core — tipo VECTOR, CREATE EXTERNAL MODEL, sp_invoke_external_rest_endpoint — richiedono:

  • On-premises: SQL Server 2025 (17.x)
  • Azure SQL Database: tier Hyperscale
  • Azure SQL Managed Instance: policy di aggiornamento Always-up-to-date o SQL Server 2025
  • GitHub Copilot in SSMS: SSMS 22 o superiore, account GitHub con Copilot attivo
  • Azure OpenAI: risorsa con modelli di embedding distribuiti (text-embedding-3-large, text-embedding-3-small, text-embedding-ada-002)

In marzo 2026 Microsoft ha aggiunto: Database Hub in Microsoft Fabric (early access), SQL MCP Server per Azure SQL Hyperscale (public preview), e opzioni vCore più ampie (160 e 192) per Hyperscale. È stato anche annunciato un savings plan per database con risparmio fino al 35% rispetto al pay-as-you-go su impegno annuale.

Conclusione


SQL Server 2025 non è un semplice aggiornamento di versione: è il risultato di una strategia pluriennale per trasformare il database relazionale in un motore AI nativo. Per i professionisti IT che già operano nell’ecosistema Microsoft, le implicazioni sono concrete: è possibile implementare ricerca semantica, RAG, agenti autonomi e assistenza AI alle query senza aggiungere infrastrutture esterne, riutilizzando il perimetro di sicurezza e la governance già in essere su SQL Server.

La sfida è ora architetturale: capire dove ha senso spostare logica AI dentro il database e dove invece mantenerla nell’application layer. Ma avere questa scelta — e i tool per implementarla — è già un notevole passo avanti.


Fonte originale: AI features in Microsoft SQL Server 2025 and Azure SQL – 4sysops


Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Nimbus Manticore e il backdoor MiniFast: l’Iran usa l’IA per colpire aviazione e oil&gas durante la guerra
#CyberSecurity
insicurezzadigitale.com/nimbus…


Nimbus Manticore e il backdoor MiniFast: l’Iran usa l’IA per colpire aviazione e oil&gas durante la guerra


Mentre i cacciabombardieri statunitensi e israeliani colpivano obiettivi nucleari iraniani nel febbraio 2026, dall’altra parte del fronte cibernetico il gruppo Nimbus Manticore — affiliato ai Pasdaran (IRGC) — non rallentava. Accelerava. Tre ondate di attacchi in tre mesi, un nuovo backdoor sviluppato con l’ausilio dell’intelligenza artificiale, tecniche d’infezione mai viste prima: è quanto emerge dall’analisi congiunta pubblicata da Check Point Research e confermata da Palo Alto Networks Unit 42.

Il contesto: cyberoperazioni in tempo di guerra


Il 28 febbraio 2026 gli Stati Uniti e Israele hanno avviato Operation Epic Fury, la campagna militare che ha colpito le infrastrutture nucleari iraniane. Nelle stesse ore, Nimbus Manticore — già noto per campagne contro aviazione, difesa e telecomunicazioni con il malware MiniJunk — ha dimostrato una capacità di adattamento operativo senza precedenti: anzichè fermarsi, il gruppo ha sviluppato e distribuito nuovi strumenti offensivi nel mezzo del conflitto.

Il gruppo (tracciato anche come UNC1549 e Screening Serpens) è stato attivo in almeno cinque paesi — USA, Israele, Emirati Arabi Uniti, Arabia Saudita, Australia — colpendo aziende del settore aerospaziale, petrolifero, software e delle telecomunicazioni. Tra i bersagli identificati da Unit 42 figura anche un’azienda statunitense del settore oil & gas.

Tre ondate di attacchi: febbraio, marzo, aprile 2026


Prima ondata (febbraio 2026) — AppDomain Hijacking + MiniJunk. Prima ancora dello scoppio del conflitto, il gruppo prendeva di mira dipendenti di aziende software e aerospaziali in Arabia Saudita e Australia con false offerte di lavoro. Le vittime venivano indotte a scaricare un archivio ZIP ospitato su OnlyOffice contenente un eseguibile Microsoft legittimo (Setup.exe) e un file di configurazione .config modificato. Questa tecnica — chiamata AppDomain Hijacking — abusa del runtime .NET per far caricare una DLL malevola al posto di una legittima, in modo silenzioso. Il payload finale era una nuova variante di MiniJunk.

Seconda ondata (marzo 2026) — Trojanized Zoom + MiniFast. In piena guerra, Nimbus Manticore ha introdotto un installer Zoom manomesso, probabilmente distribuito tramite false convocazioni a meeting video. Il flusso di infezione è sofisticato: il loader di primo stadio monitora in loop la creazione dello scheduled task legittimo ZoomUpdateTaskUser-<SID> generato dall’installer originale, e quando viene creato lo hijacka, modificandolo per eseguire il secondo stadio. La persistenza si mimetizza perfettamente nel sistema operativo. Il payload finale è il nuovo backdoor MiniFast.

Terza ondata (aprile 2026) — SEO Poisoning + SQL Developer falso. Per la prima volta nel modus operandi del gruppo, nessun spear-phishing: il vettore è la ricerca su motore di ricerca. Nimbus Manticore ha registrato decine di domini satellite che puntano a getsqldeveloper[.]com, un sito clone della pagina di download di Oracle SQL Developer. Grazie a keyword stuffing e link-building artificiale, il dominio malevolo scalava le SERP di Bing e DuckDuckGo. Chiunque cercasse il software legittimo poteva ricevere un installer armato con MiniFast.

MiniFast: il backdoor scritto con l’IA


MiniFast è una DLL PE a 64 bit che espone una singola export (CheckForUpdates) come entry point. La backdoor è progettata per la persistenza a lungo termine e l’esecuzione remota di comandi. Comunica con il C2 via HTTP, impersonando Chrome con un hardcoded User-Agent (Mozilla/5.0 ... Chrome/146.0.0.0) per confondersi col traffico legittimo.

Check Point ha identificato segnali inequivocabili dell’uso di strumenti AI nella fase di sviluppo: gestione degli errori eccessiva anche su chiamate API triviali come GetUserName, naming delle funzioni verboso e descrittivo, messaggi di debug embedded, organizzazione modulare nonostante la semplicità del codice. Queste caratteristiche sono tipiche del codice assistito da LLM e indicano una pipeline che sfrutta l’IA per accelerare i cicli di rilascio malware.

L’architettura di comunicazione con il C2 segue un pattern API-style con scambio JSON. Gli endpoint includono POST /rg per l’handshake iniziale con identificativo vittima, POST /agent/init per la registrazione dell’host, GET /agent/poll?token= per il recupero dei task (con strutture binarie Base64-encoded), POST /agent/result per l’upload dei risultati, PUT /upload/ per l’esfiltrazione file e GET /files/ per il download dal C2.

Il set di comandi implementati copre un ampio spettro: listing directory, esecuzione shell tramite cmd.exe, enumerazione processi, upload/download file, kill process per PID, caricamento dinamico di DLL, creazione archivi ZIP, escalation privilegi con runas, e installazione di persistenza tramite scheduled task denominato WindowsSecurityUpdate. Il polling interval e il jitter sono regolabili da remoto, rendendo il beacon adattivo e difficile da rilevare con euristiche fisse.

Implicazioni geopolitiche


“Le loro ambizioni si estendevano ben oltre lo spionaggio in Medio Oriente,” ha dichiarato Sergey Shykevich di Check Point Research. “Hanno costruito e distribuito un backdoor completamente nuovo nel mezzo del conflitto, mentre le operazioni erano attivamente in corso. E hanno lanciato una terza ondata con un playbook completamente diverso — senza mai fermarsi tra febbraio e aprile.”

La velocità di adattamento di Nimbus Manticore suggerisce che il conflitto cinetico ha funzionato da acceleratore per le operazioni cyber. L’integrazione di AI nella catena di sviluppo malware riduce i tempi dal concept al deploy, rendendo le signature tradizionali basate su hash o pattern statici più rapidamente obsolete. I settori maggiormente a rischio rimangono aviazione, difesa, telecomunicazioni e oil & gas in USA, Europa e Medio Oriente.

Dal punto di vista difensivo, è raccomandabile monitorare il caricamento di DLL non firmate da %AppData% in processi .NET, verificare l’integrità degli scheduled task dopo installazioni software, e filtrare l’accesso a domini registrati di recente che mimano portali di download di software enterprise (SQL Developer, Zoom, Adobe, etc.).

Indicatori di Compromissione (IoC)

# SHA256 — MiniFast, loader e dropper associati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# Domini C2 e siti di distribuzione
getsqldeveloper[.]com
business-startup[.]org
business-startup.azurewebsites[.]net
PremierHealthAdvisory[.]com
ramiltonsfinance[.]com
globalitconsultants.azurewebsites[.]net
global-it-consultants.azurewebsites[.]net
nanomatrix.azurewebsites[.]net
licencemanagers.azurewebsites[.]net
peerdistsvcmanagers.azurewebsites[.]net
buisness-centeral-transportation[.]com
# Certificati code-signing abusati
Gray Matter Software S.R.L.
Kirubel Kerie Negeya
# Scheduled task di persistenza creato da MiniFast
WindowsSecurityUpdate

Cybersecurity & cyberwarfare ha ricondiviso questo.

Consultazione pubblica sul CAD fino al 29/05


@informatica

Il CAD, adottato con decreto legislativo 7 marzo 2005, n. 82, è il
testo che riunisce e organizza le norme riguardanti l'informatizzazione
della Pubblica Amministrazione nei rapporti con i cittadini e le
imprese.

L’obiettivo della consultazione è quello di acquisire proposte
finalizzate a valorizzare e rafforzare il patrimonio informativo
pubblico, i processi di digitalizzazione delle Pubbliche
amministrazioni e l’erogazione di servizi in rete ai cittadini e alle
imprese.

Il presente questionario è finalizzato a raccogliere evidenze,
esperienze e valutazioni sulle principali esigenze di semplificazione,
aggiornamento e riassetto del Codice dell’amministrazione digitale
(d.lgs. 7 marzo 2005, n. 82), in attuazione della legge delega 10
novembre 2025, n. 167, nonché alla luce dell’evoluzione del quadro
europeo, tecnologico e organizzativo. I contributi saranno utilizzati
per valutare obiettivi, ambiti prioritari, condizioni di attuazione e
impatti attesi della riforma.

partecipa.gov.it/processes/Cod…

AMOC and the Planet-Wide Impact of Ocean Currents


The media in this post is not displayed to visitors. To view it, please log in.

Although it can be hard to tell from looking at the often placid waters of the Earth’s oceans, their currents carry immense amounts of water around the globe on a daily basis, underlying a dynamic system that – much like the Earth’s atmosphere – plays a major role in everything from weather systems to local climates and ecosystems.

Of all these ocean currents the Atlantic meridional overturning circulation (AMOC) is perhaps the most famous, as it is basically the sole reason why Europe has the mild climate that it does today, courtesy of it carrying thermal energy from the equator all the way to the coast off Scandinavia.

Although collapsing an ocean current seems as improbable as stopping the jet streams in the upper atmosphere, it’s actually significantly easier due to how much ocean currents rely on factors that we can fairly easily influence. Over the past decades we have seen worrying signs that the AMOC is indeed weakening, with the million-dollar question being what scenario we’ll be looking at.

While collapsing the AMOC within a decade may be theoretically possible, current models seem to point towards a weakening by about half by the end of this century, with a recent research article by Valentin Portmann et al. in Science Advances going over the various statistical models to come to this conclusion.

The AMOC


Differences in temperature and salinity drive the ocean currents, causing the transport of water from one area to another as the system seeks to equalize itself. While this may bring to mind the atmosphere’s unrelenting jet streams, or the precarious and harrowing traversal of the area near the Cape of Good Hope where the Agulhas and Benguela currents meet, the AMOC is rather slow and ponderous, taking centuries to circulate.
The North Atlantic Current (NAC). (Credit: Goddard Space Flight Center)The North Atlantic Current (NAC). (Credit: Goddard Space Flight Center)
Although it’s obviously a circular system, you can put its beginning at the point of energy input, which for the AMOC is the warm water of the Gulf of Mexico, from where the Gulf Stream flows through the Straits of Florida, following the coast line until it splits up into various smaller currents. The largest of these is the North Atlantic Current (NAC) that provides Europe with warmth and nutrients, while another significant branch is the Canary Current which brushes along the west coast of Africa as part of the North Atlantic Gyre.

As the warmer water travels along the surface of the ocean, it will gradually lose heat to the cooler air, especially once it reaches the North Atlantic. This thermohaline circulation (THC) follows the same pattern around the world’s oceans, with AMOC and the Southern Ocean overturning circulation (SOOC) forming its two main components, distributing heat and nutrients from the equatorial regions to the rest of the world’s oceans.

When the cooling water reaches the limits, the cooling water undergoes a density change that results in it sinking. This is caused by the process of brine rejection, which is the phenomenon where the freezing of saltwater rejects the salts from the forming ice matrix. This produces very salty brine, which is more dense than the surrounding ocean water, ergo it will sink and thereby terminate its branch of the THC.

Salinity Changes

Observed AMOC collapse over time with mild freshwater forcing. (Credit: Van Westen, Oceanography, 2024)Observed AMOC collapse over time with mild freshwater forcing. (Credit: Van Westen, Oceanography, 2024)
An obvious conclusion one can draw from this brine rejection mechanism is that it can conceivably be interrupted, such as when enough freshwater slows down or disturbs the process. This collapse of the AMOC by freshwater forcing has been the topic of many studies over the years, with a 2024 article in Oceanography by René van Westen et al. investigating evidence that the AMOC is indeed on course for such an event.

At the core of this research are coupled models such as those of the Coupled Model Intercomparison Project (CMIP), which has been developed in phases since 1995. This a cooperative project in which researchers from around the world attempt to create the most complete climate model possible, in order to improve our understanding of the current climate and to make projections about what effects certain changes would have.

The Community Earth System Model (CESM) is one of the contributing models to the CMIP5, using which Van Westen et al. tried to find evidence of a so-called tipping event in the AMOC. What’s notable about their study is that they didn’t attempt freshwater forcing using very large volumes of said freshwater, but still saw a gradual weakening over centuries.

With freshwater forcing consistently reducing the amount of salinity transferred via the NAC, this weakens the effect of brine rejection, thus weakening the AMOC until it eventually collapses. The balance here is the freshwater budget of the Atlantic Ocean, with rivers and melt-off from glaciers and such affecting said budget.

This is where we run into the conundrum that the analysis done by Portmann et al. on the CMIP6 predictions suggest a consistent weakening of the AMOC of about 50% by the year 2100, whereas Van Westen et al. observed a tipping point and rapid collapse of the AMOC to effectively zero using the CESM and a gradual freshwater forcing until said tipping point in the Atlantic freshwater budget is reached.

While a gradual weakening of the AMOC would obviously be bad, a full-blown collapse would obviously be significantly worse, potentially occurring over the span of a few decades and with any recovery deemed either unlikely or taking multiple millennia, as modelled by e.g. Curtis et al. in a 2024 study (free access PDF).

Implications


Whether the AMOC merely weakens by about half or collapses completely, the implications will be severe, with the same 2024 paper by Van Westen et al. providing a good overview, including a summary graphic:
Climate implications of AMOC collapse. (Credit: Van Westen et al. Oceanography, 2024)Climate implications of AMOC collapse. (Credit: Van Westen et al. Oceanography, 2024)
Europe in particular would be hit, experiencing far colder seasons along with a sharp drop-off in precipitation. Yet other regions would not be left untouched either, with the Amazon region in particular experiencing a big shift in its climate patterns. In particular the periods when it’d experience cooler, wet weather and vice versa would be flipped, while even Africa and Australia would see a shift in precipitation levels.

In effect, there would likely be severe consequences for the ecosystems in South-America, while Europe would largely turn into a significantly more arid and colder region, similar to e.g. parts of Canada that are on the same latitude. With most of Canada’s population doing its utmost to avoid its more northern latitudes for rather reasonable reasons, it seems fair to say that a full-blown collapse of the AMOC would spell disaster for most European nations.

Keeping The AMOC Healthy

Ice core data estimates of Atmospheric CO2 over the last 800 millennia. (Credit: Tomruen, Wikimedia)Ice core data estimates of Atmospheric CO2 over the last 800 millennia. (Credit: Tomruen, Wikimedia)
Now that we know the mechanism behind the AMOC and other parts of the THC, the solution to its weakening seems rather obvious: all we have to do is prevent excess freshwater forcing that risks diminishing the Atlantic Ocean’s freshwater budget and we should be golden. Doing so requires identifying the sources of this excess forcing, with a recent study by Oliver Mehling et al. making clear that where the freshwater forcing occurs matters a lot, with many models overestimating the time that we have left until an AMOC tipping point for this reason.

We can also look back on historical climate data courtesy of Antarctic ice cores that go back about a million years, though the Greenland ice cores are the golden standard for e.g. the Dansgaard-Oeschger event that occurred at the end of the last ice age. Since a warming climate naturally results in more freshwater forcing due to meltwater run-off into the oceans, we might be able to find some historical data that shows how the AMOC fared over the past millennia.

What we know is that the AMOC first formed about 34 million years ago when the continents shifted sufficiently to create the THC that we know today began to form. Since then the AMOC has apparently operated continuously, including the repeated glacial periods of the Pleistocene (2.58 million – 11,700 years ago) which ended around the time when the Dansgaard-Oeschger event occurred with an influx of freshwater into the Atlantic.
Global temperature reconstruction of the last two millennia with instrumental temperature from 1880 to 2020. (Credit: Efbrazil, Wikimedia)Global temperature reconstruction of the last two millennia with instrumental temperature from 1880 to 2020. (Credit: Efbrazil, Wikimedia)
Of course, much of this historical data is reconstructed from proxies as part of paleoclimatology, so everything has to be taken with a grain of salt. Even so, we can for a large period directly measure aspects such as CO2 concentration in the atmosphere before we have to resort to proxies. This shows us that to get similar atmospheric levels of that gas in Earth’s history we have to look all the way back to ~16 million years ago during the middle Miocene after atmospheric CO2 levels had gradually come down from 1,600 ppm.

Even as some of us are contemplating direct weather modification, it might thus be an idea to consider the impact of anthropogenic greenhouse gases, as they clearly cause a very rapid increase in the global surface temperature. This warming then increases the melting of glaciers and similar, which in turn increases freshwater forcing into the THC, which thus could result in a sudden AMOC collapse.

Of course, the fun thing about such climate models is that they are only a projection based on our current knowledge. Only in hindsight will we know just how far off the mark we were, but when the stakes are this high, it might not be a terrible idea to err on the side of caution.

Featured image: Illustration of the Atlantic Meridional Overturning Circulation (AMOC). Eric S. Taylor, Woods Hole Oceanographic Institution


hackaday.com/2026/05/27/amoc-a…

Cybersecurity & cyberwarfare ha ricondiviso questo.

NEW: CrowdStrike, in collaboration with Google and Shadowserver, took down a botnet used in supply chain attacks targeting open source projects and developers.

CrowdStrike said the cybercriminals behind the hacking campaigns have poisoned more than 300 GitHub code repositories.

techcrunch.com/2026/05/27/crow…

The media in this post is not displayed to visitors. To view it, please log in.

Nimbus Manticore e il backdoor MiniFast: l’Iran usa l’IA per colpire aviazione e oil&gas durante la guerra


@Informatica (Italy e non Italy)
Il gruppo IRGC-affiliato Nimbus Manticore ha condotto tre ondate di attacchi tra febbraio e aprile 2026, sviluppando in tempo reale il nuovo backdoor MiniFast con l'ausilio dell'intelligenza artificiale.


Nimbus Manticore e il backdoor MiniFast: l’Iran usa l’IA per colpire aviazione e oil&gas durante la guerra


Mentre i cacciabombardieri statunitensi e israeliani colpivano obiettivi nucleari iraniani nel febbraio 2026, dall’altra parte del fronte cibernetico il gruppo Nimbus Manticore — affiliato ai Pasdaran (IRGC) — non rallentava. Accelerava. Tre ondate di attacchi in tre mesi, un nuovo backdoor sviluppato con l’ausilio dell’intelligenza artificiale, tecniche d’infezione mai viste prima: è quanto emerge dall’analisi congiunta pubblicata da Check Point Research e confermata da Palo Alto Networks Unit 42.

Il contesto: cyberoperazioni in tempo di guerra


Il 28 febbraio 2026 gli Stati Uniti e Israele hanno avviato Operation Epic Fury, la campagna militare che ha colpito le infrastrutture nucleari iraniane. Nelle stesse ore, Nimbus Manticore — già noto per campagne contro aviazione, difesa e telecomunicazioni con il malware MiniJunk — ha dimostrato una capacità di adattamento operativo senza precedenti: anzichè fermarsi, il gruppo ha sviluppato e distribuito nuovi strumenti offensivi nel mezzo del conflitto.

Il gruppo (tracciato anche come UNC1549 e Screening Serpens) è stato attivo in almeno cinque paesi — USA, Israele, Emirati Arabi Uniti, Arabia Saudita, Australia — colpendo aziende del settore aerospaziale, petrolifero, software e delle telecomunicazioni. Tra i bersagli identificati da Unit 42 figura anche un’azienda statunitense del settore oil & gas.

Tre ondate di attacchi: febbraio, marzo, aprile 2026


Prima ondata (febbraio 2026) — AppDomain Hijacking + MiniJunk. Prima ancora dello scoppio del conflitto, il gruppo prendeva di mira dipendenti di aziende software e aerospaziali in Arabia Saudita e Australia con false offerte di lavoro. Le vittime venivano indotte a scaricare un archivio ZIP ospitato su OnlyOffice contenente un eseguibile Microsoft legittimo (Setup.exe) e un file di configurazione .config modificato. Questa tecnica — chiamata AppDomain Hijacking — abusa del runtime .NET per far caricare una DLL malevola al posto di una legittima, in modo silenzioso. Il payload finale era una nuova variante di MiniJunk.

Seconda ondata (marzo 2026) — Trojanized Zoom + MiniFast. In piena guerra, Nimbus Manticore ha introdotto un installer Zoom manomesso, probabilmente distribuito tramite false convocazioni a meeting video. Il flusso di infezione è sofisticato: il loader di primo stadio monitora in loop la creazione dello scheduled task legittimo ZoomUpdateTaskUser-<SID> generato dall’installer originale, e quando viene creato lo hijacka, modificandolo per eseguire il secondo stadio. La persistenza si mimetizza perfettamente nel sistema operativo. Il payload finale è il nuovo backdoor MiniFast.

Terza ondata (aprile 2026) — SEO Poisoning + SQL Developer falso. Per la prima volta nel modus operandi del gruppo, nessun spear-phishing: il vettore è la ricerca su motore di ricerca. Nimbus Manticore ha registrato decine di domini satellite che puntano a getsqldeveloper[.]com, un sito clone della pagina di download di Oracle SQL Developer. Grazie a keyword stuffing e link-building artificiale, il dominio malevolo scalava le SERP di Bing e DuckDuckGo. Chiunque cercasse il software legittimo poteva ricevere un installer armato con MiniFast.

MiniFast: il backdoor scritto con l’IA


MiniFast è una DLL PE a 64 bit che espone una singola export (CheckForUpdates) come entry point. La backdoor è progettata per la persistenza a lungo termine e l’esecuzione remota di comandi. Comunica con il C2 via HTTP, impersonando Chrome con un hardcoded User-Agent (Mozilla/5.0 ... Chrome/146.0.0.0) per confondersi col traffico legittimo.

Check Point ha identificato segnali inequivocabili dell’uso di strumenti AI nella fase di sviluppo: gestione degli errori eccessiva anche su chiamate API triviali come GetUserName, naming delle funzioni verboso e descrittivo, messaggi di debug embedded, organizzazione modulare nonostante la semplicità del codice. Queste caratteristiche sono tipiche del codice assistito da LLM e indicano una pipeline che sfrutta l’IA per accelerare i cicli di rilascio malware.

L’architettura di comunicazione con il C2 segue un pattern API-style con scambio JSON. Gli endpoint includono POST /rg per l’handshake iniziale con identificativo vittima, POST /agent/init per la registrazione dell’host, GET /agent/poll?token= per il recupero dei task (con strutture binarie Base64-encoded), POST /agent/result per l’upload dei risultati, PUT /upload/ per l’esfiltrazione file e GET /files/ per il download dal C2.

Il set di comandi implementati copre un ampio spettro: listing directory, esecuzione shell tramite cmd.exe, enumerazione processi, upload/download file, kill process per PID, caricamento dinamico di DLL, creazione archivi ZIP, escalation privilegi con runas, e installazione di persistenza tramite scheduled task denominato WindowsSecurityUpdate. Il polling interval e il jitter sono regolabili da remoto, rendendo il beacon adattivo e difficile da rilevare con euristiche fisse.

Implicazioni geopolitiche


“Le loro ambizioni si estendevano ben oltre lo spionaggio in Medio Oriente,” ha dichiarato Sergey Shykevich di Check Point Research. “Hanno costruito e distribuito un backdoor completamente nuovo nel mezzo del conflitto, mentre le operazioni erano attivamente in corso. E hanno lanciato una terza ondata con un playbook completamente diverso — senza mai fermarsi tra febbraio e aprile.”

La velocità di adattamento di Nimbus Manticore suggerisce che il conflitto cinetico ha funzionato da acceleratore per le operazioni cyber. L’integrazione di AI nella catena di sviluppo malware riduce i tempi dal concept al deploy, rendendo le signature tradizionali basate su hash o pattern statici più rapidamente obsolete. I settori maggiormente a rischio rimangono aviazione, difesa, telecomunicazioni e oil & gas in USA, Europa e Medio Oriente.

Dal punto di vista difensivo, è raccomandabile monitorare il caricamento di DLL non firmate da %AppData% in processi .NET, verificare l’integrità degli scheduled task dopo installazioni software, e filtrare l’accesso a domini registrati di recente che mimano portali di download di software enterprise (SQL Developer, Zoom, Adobe, etc.).

Indicatori di Compromissione (IoC)

# SHA256 — MiniFast, loader e dropper associati
10fd541674adadfbba99b54280f7e59732746faf2b10ce68521866f737f1e46d
eee657ffdb2af8ed6412221e7d5fbf4f5742f2ac2c88f43f12db46af0697de71
781605ce9d4a9869e846f6c9657d71437cb6240ab27ffbc4cd550c0e06996690
2c214494fd0bad31473ca8adce78a4f50847876584571e66aadeae70827ec2dc
f08b17856616d66492a24dced27f788e235f35f42fa7cd10f315000d3a2f4c03
a57ffb819fe8d98ff925c5d7b239598fe302acf5a13193d7a535040a71298fdf
63d0d3c4a7f71bdbca720903d6a99b832089cc093c64d2938e7e001e56c17ab4
74882085db2088356ed7f72f01e0404a0a98cda88ef56fb15ce74c1f36b26d27
bc3b44154518c5794ce639108e7b9c5fecb0c189607a26de1aaed518d890c7ad
ecaf493c320d201d285ef5f61d75744216e47cf1115b4af528f9a78883cc446e
44f4f7aca7f1d9bfdaf7b3736934cbe19f851a707662f8f0b0c49b383e054250
0db36a04d304ad96f9e6f97b531934594cd95a5cea9ff2c9af249201089dc864
# Domini C2 e siti di distribuzione
getsqldeveloper[.]com
business-startup[.]org
business-startup.azurewebsites[.]net
PremierHealthAdvisory[.]com
ramiltonsfinance[.]com
globalitconsultants.azurewebsites[.]net
global-it-consultants.azurewebsites[.]net
nanomatrix.azurewebsites[.]net
licencemanagers.azurewebsites[.]net
peerdistsvcmanagers.azurewebsites[.]net
buisness-centeral-transportation[.]com
# Certificati code-signing abusati
Gray Matter Software S.R.L.
Kirubel Kerie Negeya
# Scheduled task di persistenza creato da MiniFast
WindowsSecurityUpdate

Cybersecurity & cyberwarfare ha ricondiviso questo.

Hooboy. I won a R36S at a hacker conference a few days ago. I love classic games and was eyeing it for a while, but hadn't invested in one because I have emulators all over. In the intervening week, obviously I've bought a case, a wifi dongle for it, the adapter for the wifi dongle, a SD card, a couple shareware utilities to configure it and troubleshoot it, and spent about 8 hours fighting with identifying the screen to install dArkOS and get the wifi dongle working, reconfiguring fstab to get it to see my second micro SD properly, and reloading games.

Well, I now have it working, minus sound (I think that I have a newer and yet unsupported model). But who needs sound when you have Contra? I actually haven't really played any games. I just keep adding stuff to it.

This little guy is going to be a lot of fun, but I think more of a fun hacking and troubleshooting it perhaps, than actually playing the games.

And I've definitely spent more than it cost the prize-givers. XD

Would recommend to train any young gamer-prospective hackers to use linux and fight with hardware! A+++++

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Well done to Epic Games, who tweeted and then deleted, when called out, this GenAI image of their Porsche partnership.

Butchers the Porsche logo, puts Riot Games logo on the balloon (a competitor) and other things.

Cybersecurity & cyberwarfare ha ricondiviso questo.

The medieval calendar had something like 80 to 100 feast days a year when work simply stopped. We engineered ourselves out of every one of them. I’m given to understand this is progress.

Three Arduinos Team Up To Make 80s-Style Computer


The media in this post is not displayed to visitors. To view it, please log in.

Back in the 80s, buying a home computer could easily mean an inflation-adjusted cost of thousands of dollars (or your equivalent currency unit of choice), and all for an 8-bit machine that might not have a hard drive and almost certainly didn’t connect to a network. Here in the future it’s easy to get spoiled by all the computing power and inexpensive devices practically falling into our laps, but using some modern low-cost microcontrollers can connect us to our early computing roots like [Joe]’s latest Arduino-based computer.

Taking design an engineering cues from computers like the Timex Sinclair 1000, Commodore PET, and TRS-80 MC-10, this computer uses a trio of Arduinos to accomplish what the best computer manufacturers once did with tons of integrated circuits. An Arduino Due handles all of the processing and traditional computing tasks, including a somewhat customized BASIC implementation, while an Uno performs audio processing duties. Taking care of the video processing is the much more capable Arduino Mega, outputting 40×25 monochrome NTSC composite video at 8×8 character resolution. There’s even WiFi courtesy of an ESP32 — certainly an upgrade compared to the source material.

After booting it up, the user gets a Commodore-like experience that replicates the 80s computing era quite well, and is even built inside its own keyboard case just like that era of computers usually were. [Joe] plans to release all three firmware images and the Python script used to get files onto the faux-retro machine, so keep an eye out for that.

In the event that you used rubles instead of dollars to pay for your expensive 8-bit machines back in the 80s, this computer might be more up your alley instead.


hackaday.com/2026/05/27/three-…

Acn, ad aprile quadro severo: manca il monitoraggio dell’AI offensiva


@Informatica (Italy e non Italy)
Il monitoraggio proattivo oggi mostra una postura operativa matura e lo testimoniano le cifre. Ma dall'operational summary dell'Acn di aprile 2026 emerge uno scenario che non attenua la portata del fenomeno cyber e una dissonanza con i report dei vendor di sicurezza. Ecco

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

7-Zip sotto attacco: un bug di heap overflow può portare all’esecuzione di codice remoto

📌 Link all'articolo : redhotcyber.com/post/7-zip-sot…

A cura di Luigi Zullo

#redhotcyber #news #cybersecurity #hacking #vulnerabilita #7zip #compressore #ntfs

Hunting Submarines Via Gravity Is A Tough Errand


The media in this post is not displayed to visitors. To view it, please log in.

Among so many other technological advances, the Cold War saw the advent of the ballistic missile submarine. The concept was simple—pack enough nuclear warheads to destroy a small civilization into a compact metal tube, and then hide it underwater. The oceans would act as a cloak for your fleet of world-enders, and keep your enemies forever on their toes. A terrifying machine that could both start and end a war with the push of a button.

Most nation states are populated by humans with the will to live. Thus, there has been a great incentive to find ways to keep tabs on these sunken doombringers. Great efforts have gone into improving sonar and magnetic detection methods over the decades, which are the bread and butter of sub hunting to this day. However, military researchers have also explored the prospect of whether submarines could be detected via their effect on the gravitational field alone.

Do You Feel It?

Ballistic missile submarines can carry enough nuclear weapons to ruin almost everybody’s day, all at once. Thus, there is a great incentive for novel solutions on how to keep track of them. Credit: US Navy, public domain
The simple matter is that every object with mass has its own gravitational field. We don’t typically think about it, because gravity is the weakest of the fundamental forces. On anything less than a planetary scale, it’s generally not obvious to us in our daily lives. However, submarines are quite heavy and large, particularly those that are armed with a complement of nuclear-capable ballistic missiles. Thus is raised the prospect of detecting these massive objects via their perturbations to the local gravitational field. This has been a hot-button news item in military commentary circles of late, with much bluster that advanced measurement equipment could potentially render the ocean transparent and reveal the locations of submarines at great distances.

Naturally, it’s difficult to comment accurately on top-secret military capabilities from a civilian viewpoint. Such a technology would be game-changing in a strategic sense, to the point that any nation state with such a capability would have great reason to keep its existence strictly hidden. However, there is some literature on the topic that is in the public domain, which discusses just how hard this feat would be to execute in practice. A great example is a report prepared by the Pacific-Sierra Research Corporation in 1989, under the sponsorship of the Naval Air Development Center.

How It Works

A Chinese research effort has built a gradiometer of great sensitivity, which lead to widespread speculation around its potential military applications. Credit: CAS
When it comes to detecting the gravitational anomaly of a submarine, you might think it would be easy given the sheer mass of such a craft. However, the way submarines operate frustrates this at a very fundamental level. In normal operation, a submarine is neutrally buoyant, displacing an amount of water roughly equal to its own mass. Thus, the submarine is not really distinguishable from the water around it in terms of its first-order effect on the gravitational field, being roughly as heavy as the water that would otherwise be there.

There is a wrinkle, though, in that a submarine is bottom-heavy for the sake of stability. This does create a variance in the gravitational field versus the otherwise uniform field in open water, and it’s one that could theoretically be detectable with a sensitive enough apparatus.

The device used for measuring gravitational variation is called a gravimeter. They are essentially a special-case variant of accelerometer, specifically designed to very accurately measure the local acceleration due to gravity at a single point. Then there is the gravity gradiometer, which measures the spatial rate of change of gravitational acceleration. By virtue of measuring acceleration gradients, a gradiometer is not sensitive to the acceleration perturbations of a moving platform, making it particularly useful for use in a moving frame of reference such as towing behind a ship or aircraft. Various types of each instrument exist, from portable units to high accuracy laboratory instruments; creating an exhaustive list of all variants is outside the scope of this article. The real question is, based on the gravitational anomaly generated by a large submarine, to what useful range could a gravimeter or gradiometer detect one?
A graph highlighting the challenge of detecting submarines via gravimetry. In 1989, the best gravimeters might have been able to detect a submarine within 30 meters or so—a militarily useless figure. There have been improvements in technology since, but short of an increase in capability of many orders of magnitude, gravitational methods of detection remain difficult to execute at range. Credit: research paper
Unfortunately, the maths says that you have to get very, very close. In the 1989 study, calculations suggested the best gravimeters and gradiometers in the world would maybe be able to pick up a large submarine from a distance of tens of meters, at best. The simple problem being that the gravitational anomaly generated by an underwater submarine, and the gradient of that anomaly, are both so small, that even highly sensitive instruments would struggle to pick it up when the submarine is practically in visual range. Even if the problem were simplified, and one were trying to detect a submarine as a heavy point mass in empty space, detection ranges would stretch to somewhere in the range of 100 meters at most. Of course, this would be largely irrelevant due to the neutral buoyancy considerations explained above.

It’s true that technology has moved on since 1989. We have more advanced gravimeters and gradiometers available now, including quantum units with greater sensitivity than ever. And yet, even with these advances, it would be still be a struggle to detect a submarine at useful range. Sensitivities would have to jump by four or five orders of magnitude to enable detection at ranges of 1000 meters. Even still, if this were achieved with some highly classified system, it would still be relatively limited in capability versus more established techniques in magnetic or acoustic detection.

The parameters of the problem, combined with the sheer weakness of gravitational forces, means that gravitational detection is not some silver bullet for tracking enemy submarines at great range. While it would be desirable to have some kind of sensor that could reveal where these nuclear weapon platforms are lurking at all times, that technology seems beyond the reach of even the most capable navies at this time. For now, strategic planners will continue to sweat over the threat these weapons pose, never quite knowing whether they’re lurking just off the coast or half a world away.


hackaday.com/2026/05/27/huntin…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Runtime Async in .NET 11 Preview 1: addio alle state machine del compilatore
#tech
spcnet.it/runtime-async-in-net…
@informatica


Runtime Async in .NET 11 Preview 1: addio alle state machine del compilatore


Introduzione


Con il rilascio di .NET 11 Preview 1, Microsoft ha introdotto uno dei cambiamenti architetturali più significativi nella storia dell’async in .NET: il Runtime Async V2. Questo cambiamento sposta la responsabilità della gestione delle operazioni asincrone dal compilatore al runtime stesso, con impatti concreti su debug, profiling, leggibilità degli stack trace e potenzialmente sulle prestazioni.

In questo articolo analizziamo nel dettaglio come funziona il nuovo modello, come differisce dall’approccio attuale basato su state machine, come abilitarlo nei propri progetti e cosa aggiunge .NET 11 Preview 1 oltre al solo Runtime Async.

Il problema: le state machine del compilatore


Chiunque abbia lavorato seriamente con codice asincrono in C# conosce la frustrazione di leggere uno stack trace in produzione e trovarsi sommerso da frame generati dal compilatore. Ogni metodo async viene trasformato dal compilatore in una classe di stato (state machine) che implementa IAsyncStateMachine. Questa trasformazione è efficace, ma introduce livelli di indirezione che offuscano la reale catena di chiamate.

Un semplice stack di tre metodi async produce tipicamente oltre dieci frame nello stack trace live, la maggior parte appartenenti all’infrastruttura del compilatore (AsyncMethodBuilderCore.Start, ecc.). Il risultato è un debug più laborioso e strumenti di profiling che faticano a restituire una visione chiara dell’esecuzione.

Runtime Async V2: come funziona


Con Runtime Async, il compilatore non genera più la state machine. Emette invece un IL semplificato, annotato con [MethodImpl(MethodImplOptions.Async)], e delega al runtime la gestione della sospensione e ripresa dei metodi asincroni. In pratica, è il CLR stesso a tracciare l’esecuzione asincrona, non il codice generato dal compilatore.

Il risultato più visibile è nei live stack trace, ovvero ciò che profiler, debugger e new StackTrace() vedono durante l’esecuzione. Con Runtime Async, i metodi effettivi appaiono direttamente nello stack, senza wrapper di stato.

Confronto diretto degli stack trace


Consideriamo questo codice di esempio:

await OuterAsync();

static async Task OuterAsync()
{
    await Task.CompletedTask;
    await MiddleAsync();
}

static async Task MiddleAsync()
{
    await Task.CompletedTask;
    await InnerAsync();
}

static async Task InnerAsync()
{
    await Task.CompletedTask;
    Console.WriteLine(new StackTrace(fNeedFileInfo: true));
}

Senza Runtime Async — 13 frame, con tutta l’infrastruttura del compilatore visibile:
at Program.<<Main>$>g__InnerAsync|0_2() in Program.cs:line 24
at System.Runtime.CompilerServices.AsyncMethodBuilderCore.Start[TStateMachine](...)
at Program.<<Main>$>g__InnerAsync|0_2()
at Program.<<Main>$>g__MiddleAsync|0_1() in Program.cs:line 14
at System.Runtime.CompilerServices.AsyncMethodBuilderCore.Start[TStateMachine](...)
at Program.<<Main>$>g__MiddleAsync|0_1()
at Program.<<Main>$>g__OuterAsync|0_0() in Program.cs:line 8
...
(13 frame totali)

Con Runtime Async — 5 frame, la reale catena di chiamate:
at Program.<<Main>$>g__InnerAsync|0_2() in Program.cs:line 24
at Program.<<Main>$>g__MiddleAsync|0_1() in Program.cs:line 14
at Program.<<Main>$>g__OuterAsync|0_0() in Program.cs:line 8
at Program.<Main>$(String[] args) in Program.cs:line 3
at Program.<Main>(String[] args)

È importante notare che questo miglioramento riguarda i live stack trace. Gli exception stack trace (catch (Exception ex)) già apparivano in modo pulito grazie all’ExceptionDispatchInfo nelle versioni precedenti.

Miglioramenti al debugging


Con Runtime Async, il debugger può finalmente fare ciò che ci si aspetterebbe da sempre:

  • I breakpoint all’interno di metodi async si associano correttamente, senza essere deviati su codice generato
  • È possibile fare step-through attraverso i boundary degli await senza “saltare” nell’infrastruttura del compilatore
  • La finestra call stack del debugger mostra la catena reale, non i wrapper di stato

Questi miglioramenti avvantaggiano qualsiasi strumento che ispeziona lo stack live: profiler come dotTrace, logging diagnostico, e naturalmente il debugger integrato di Visual Studio e VS Code.

Come abilitare Runtime Async nel proprio progetto


Runtime Async è una feature in anteprima che richiede opt-in esplicito. Aggiungere le seguenti proprietà al file .csproj:

<PropertyGroup>
  <Features>runtime-async=on</Features>
  <EnablePreviewFeatures>true</EnablePreviewFeatures>
</PropertyGroup>

Ovviamente, essendo ancora in anteprima, non è consigliato per ambienti di produzione. È tuttavia un ottimo momento per sperimentarlo su branch di sviluppo e fornire feedback al team .NET.

Requisiti hardware aggiornati


.NET 11 alza il baseline hardware richiesto. Per x86/x64, il minimo passa da x86-64-v1 a x86-64-v2, richiedendo istruzioni aggiuntive come SSE3, SSSE3, SSE4.1, SSE4.2 e POPCNT. Questo rientra nei requisiti già imposti da Windows 11 e copre tutta l’hardware Intel/AMD attualmente supportato ufficialmente (i chip più vecchi sono usciti dal supporto intorno al 2013).

Per Arm64 su Windows, il baseline aggiunge ora il requisito dell’instruction set LSE, richiesto da Windows 11 e da tutti gli Arm64 supportati da Windows 10.

Altre novità di .NET 11 Preview 1

Supporto nativo a Zstandard


Le librerie guadagnano il supporto nativo alla compressione Zstandard tramite la nuova classe ZstandardStream. Zstandard offre rapporti di compressione migliori rispetto a gzip con velocità di decompressione molto elevate — un’aggiunta benvenuta per pipeline di dati e API ad alta frequenza.

BFloat16 per AI e ML


Arriva il tipo BFloat16 (Brain Float 16), un formato floating-point a 16 bit nato per carichi di lavoro di machine learning. È ampiamente usato da librerie AI come TensorFlow e PyTorch, e la sua presenza nativa in .NET facilita l’integrazione con modelli ML senza conversioni intermedie.

Miglioramenti JIT


  • Eliminazione dei bounds check: il JIT elimina ora i controlli ridondanti sul pattern i + cns < len, comune nei loop su array e Span
  • Rimozione di contesti checked ridondanti: quando un valore è già noto essere nel range, i controlli di overflow vengono rimossi
  • Devirtualizzazione in ReadyToRun: le immagini R2R possono ora devirtualizzare chiamate a virtual method generici non condivisi


Miglioramenti VM


Su piattaforme senza JIT (come iOS), l’interface dispatch ora usa un meccanismo di cache con miglioramenti di performance fino a 200x in codice ad alta intensità di interfacce. Guid.NewGuid() su Linux migliora del 12% circa usando la syscall getrandom() con batch caching.

C# 15: prime anticipazioni


.NET 11 Preview 1 include anche le prime feature di C# 15. Tra quelle già disponibili:

  • Collection expression arguments: possibilità di specificare capacità, comparatori o altri parametri del costruttore direttamente nella sintassi delle espressioni di collezione
  • Extended layout support: il compilatore emette TypeAttributes.ExtendedLayout per tipi annotati con ExtendedLayoutAttribute, principalmente per scenari di interop


Conclusione


Il Runtime Async V2 rappresenta un passo importante verso un’esperienza di sviluppo asincrono più trasparente e debuggabile in .NET. Non è ancora pronto per la produzione, ma la direzione è chiara: Microsoft vuole che gli sviluppatori smettano di combattere con stack trace incomprensibili e possano finalmente fare debug dell’async come del codice sincrono.

Con .NET 11 previsto per novembre 2026 come Standard Term Support (STS), c’è ancora tempo per sperimentare e contribuire al processo di feedback prima del rilascio finale.

Fonte: What’s new in the .NET 11 runtime — Microsoft Learn | InfoQ: .NET 11 Preview 1


Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

GPUStack: cluster GPU self-hosted per inferenza AI con API OpenAI-compatibile
#tech
spcnet.it/gpustack-cluster-gpu…
@informatica


GPUStack: cluster GPU self-hosted per inferenza AI con API OpenAI-compatibile


Avete le GPU. Magari un paio di NVIDIA A100 in un rack, alcune RTX 4090 sotto le scrivanie, o un cluster con hardware misto. Avete la potenza di calcolo. Bene. Adesso, però, viene il problema vero: come gestirla?

Capire quali modelli entrano in quale scheda, come bilanciare il carico tra più macchine, come gestire un nodo che cade alle 2 di notte, e come esporre tutto questo come una API pulita che il team di sviluppo possa effettivamente chiamare — questa è la parte che manda in crisi la maggior parte dei team. Il risultato tipico è una raccolta fragile di script Python e crontab entries che nessuno tocca da anni e che funzionano finché non smettono di funzionare.

GPUStack è stato costruito precisamente per risolvere questo problema.

Cos’è GPUStack?


GPUStack è uno strumento open source (licenza Apache 2.0) per la gestione di cluster GPU destinati all’inferenza AI. Pensatelo come Kubernetes per i vostri workload di inferenza, senza la necessità di passare tre giorni a debuggare un errore di indentazione in un Helm chart.

Al suo nucleo, GPUStack fa tre cose bene:

  • Aggrega le GPU: che l’hardware sia su bare-metal, pod Kubernetes o istanze cloud, GPUStack le vede tutte come un unico pool di compute. Una dashboard, visibilità completa.
  • Orchestrare gli inference engine: GPUStack si integra con vLLM, SGLang e TensorRT-LLM, sceglie il motore giusto per il job, lo configura e ne gestisce il ciclo di vita.
  • Espone i modelli via API OpenAI-compatibile: una volta deployato un modello, il team applicativo ottiene un endpoint REST familiare. Nessuna libreria client custom. Nessun protocollo nuovo da imparare. Solo cambiare il base URL.


Installazione in meno di 5 minuti

Step 1 — Avviare il server di controllo


Vi serve una macchina per il control plane. Non deve nemmeno avere una GPU — un box CPU-only è sufficiente per il ruolo di server:

sudo docker run -d --name gpustack   --restart unless-stopped   -p 80:80   --volume gpustack-data:/var/lib/gpustack   gpustack/gpustack

Aprite il browser, navigate a http://<ip-del-vostro-server> e vedrete la dashboard GPUStack. Al primo accesso impostate le credenziali admin.

Step 2 — Aggiungere i worker GPU


Su ogni nodo worker, assicuratevi di avere installato NVIDIA driver e NVIDIA Container Toolkit, poi eseguite:

sudo docker run -d --name gpustack-worker   --restart unless-stopped   --gpus all   -e GPUSTACK_SERVER_URL=http://<ip-server>   -e GPUSTACK_TOKEN=<vostro-token>   gpustack/gpustack

Il token lo trovate nella dashboard GPUStack. In pochi secondi il worker compare nella vista cluster con modello GPU, capacità VRAM e stato di salute. Tre macchine? Tre comandi. Trenta macchine? Un playbook Ansible.

Nota pratica: la parte più difficile non è eseguire il comando worker, ma installare correttamente driver e toolkit sull’host. Verificate sempre la compatibilità tra versione del driver NVIDIA, versione CUDA e container runtime prima di procedere.

Step 3 — Deploy di un modello


Dalla web UI andate al catalogo modelli. GPUStack supporta il pull da Hugging Face e dall’Ollama Library. Selezionate un modello e cliccate “Deploy”.

Qui il scheduler dimostra il suo valore: legge i metadati del modello, calcola i requisiti di VRAM e compute, e determina quali worker possono gestirlo. Se il modello è troppo grande per una singola GPU, può distribuirlo su più schede (model sharding). Non dovete calcolare manualmente se un modello a 70B parametri entra nel vostro hardware: ci pensa GPUStack.

Step 4 — Chiamare l’API


Una volta che il modello è running, ottenete un endpoint OpenAI-compatibile. Recuperate una API key dalla dashboard e testate:

curl http://<ip-server>/v1/chat/completions   -H "Authorization: Bearer <api-key>"   -H "Content-Type: application/json"   -d '{
    "model": "llama3",
    "messages": [
      {"role": "user", "content": "Spiega la gestione di cluster GPU in un paragrafo."}
    ]
  }'

Se usate già l’OpenAI Python SDK, la migrazione alla vostra infrastruttura è una modifica su una riga:
from openai import OpenAI

client = OpenAI(
    base_url="http://<ip-server>/v1",
    api_key="<api-key>"
)

response = client.chat.completions.create(
    model="llama3",
    messages=[{"role": "user", "content": "Hello from my own GPU cluster!"}]
)
print(response.choices[0].message.content)

Il codice applicativo rimane invariato. La vostra infrastruttura è ora completamente sotto il vostro controllo.

Funzionalità Avanzate

Flessibilità Multi-Backend


GPUStack supporta vLLM, SGLang e TensorRT-LLM out of the box. Nessun motore di inferenza è il migliore per ogni workload:

  • vLLM: eccellente per batch processing ad alto throughput
  • TensorRT-LLM: massimizza le performance sull’hardware NVIDIA
  • SGLang: ideale per la generazione strutturata

GPUStack vi permette di scegliere il motore giusto per ogni deployment, o di lasciare che il scheduler scelga per voi in base al workload.

Monitoraggio Integrato


GPUStack si integra nativamente con Grafana e Prometheus, offrendo dashboard in real-time per utilizzo GPU, consumo VRAM, token throughput e request rate dell’API. Non serve aggiungere uno stack di monitoraggio separato. Quando qualcosa si rompe alle 2 di notte, saprete esattamente quale GPU su quale macchina è il problema.

Recovery automatico dai guasti


Un nodo che cade a causa di un errore PCIe bus o un driver mismatch che si manifesta solo sotto carico pesante tipicamente porta la vostra API di inferenza a restituire 500 finché non intervenite manualmente. GPUStack rileva i nodi non raggiungibili e redistribuisce i workload automaticamente, eliminando la necessità di un intervento manuale d’emergenza.

Quando Usare GPUStack


GPUStack è la scelta giusta se:

  • Avete 2 o più macchine GPU e volete servire LLM o altri modelli AI tramite una API unificata
  • Volete eseguire inferenza sulla vostra hardware invece di pagare per token a un cloud provider — il risparmio sui costi a scala è reale
  • Il vostro team non vuole diventare ingegneri di infrastruttura a tempo pieno solo per tenere i modelli in funzione

Forse non è la scelta giusta se:

  • Avete una singola GPU e volete solo eseguire modelli localmente per uso personale: in quel caso Ollama è più semplice
  • Siete già profondamente integrati in una piattaforma ML custom su Kubernetes con KubeFlow o simili, dove l’overlap potrebbe non valere l’investimento


Il Quadro Generale: l’Inferenza Self-Hosted è di Nuovo Praticabile


Il panorama dell’infrastruttura AI sta cambiando rapidamente. Un anno fa la maggior parte dei team optava automaticamente per API provider per l’inferenza. Oggi, con modelli open-weight sempre più capaci e costi GPU in calo, l’inferenza self-hosted è diventata un’opzione reale — non solo per i grandi player, ma per startup e aziende di medie dimensioni.

Il collo di bottiglia non è più l’hardware. Sono le operations: il codice collante tra “abbiamo le GPU” e “la nostra applicazione può chiamare un modello in modo affidabile”. GPUStack è un tentativo serio di risolvere questo gap, ed è open source sotto licenza Apache 2.0 — ispezionabile, modificabile e deployabile senza vendor lock-in.

Se avete hardware che al momento scalda solo la stanza server, o se siete stanchi di bollette di inferenza cloud che sembrano mutui, vale la pena provare. Il progetto è disponibile su GitHub.

Fonte originale: Self-Hosted Inference Doesn’t Have to Be a Nightmare: How to Use GPUStack — DZone


Cybersecurity & cyberwarfare ha ricondiviso questo.

The #LA #Metro Attack Wasn't #Hacktivism. It Was a State Operation With a Costume On.
securityaffairs.com/192764/hac…
#securityaffairs #hacking #Iran
Cybersecurity & cyberwarfare ha ricondiviso questo.

IG

Sensitive content

in reply to Luigi Violante

IG

Sensitive content

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Papa Leone XIV entra nel dibattito sull’AI: il messaggio mette in crisi Big Tech

📌 Link all'articolo : redhotcyber.com/post/papa-leon…

A cura di Marcello Filacchioni

#redhotcyber #news #intelligenzaartificiale #tecnologia #dignitaumana #ben comune #pace

Relazione ACN 2025, più eventi cyber e meno incidenti: cosa significa davvero per le aziende


@Informatica (Italy e non Italy)
La Relazione annuale al Parlamento dell'Agenzia per la Cybersicurezza Nazionale fotografa un'Italia digitalmente più esposta ma anche più resiliente: 2.729 eventi cyber gestiti, 615 incidenti confermati e un gap

Cybersecurity & cyberwarfare ha ricondiviso questo.

How cybersecurity firms took down Glassworm botnet in one shot
securityaffairs.com/192749/cyb…
#securityaffairs #hacking

So Long, CHU, and Thanks for All the Time Signals


The media in this post is not displayed to visitors. To view it, please log in.

In the long ago, pre-internet days when your clock project wasn’t an ESP32 getting its timing via NTP over WiFi, it was still possible to build a wirelessly-updating clock. All you needed was a shortwave receiver tuned to a time signal — perhaps like the National Research Council of Canada’s CHU, found on the dial at 3330, 7850, and 14 670 kHz. At least, it can be found at those frequencies until June 22nd, 2026, when the station will finally go dark.

Depending where you were on Earth, it might have been easier to tune into CHU than the United States based WWVB, or one of the various European signals like DF44 or the UK’s MSF. If you’re not into radio, all these time signals have essentially the same job, if you hadn’t guessed: tell the time. This can be done in a variety of ways, and CHU has made use of more than one of them since its establishment in 1923.

Initially, the time was sent in Morse code, but later they added a speaking clock for easier human listening in both Canadian French and English. For synchronizing radio clocks, a series of pulses is given in DUT1 format using 0.3s pulses — which is what older clocks would have been listening to — and nowadays a digital FSK time code for more modern equipment. You can have a listen through the video by [Shortwave Listener] embedded below.

It’s not our place to judge the Government of Canada for trying to save money where they can. It wasn’t so long ago that WWVB was in danger of shutting down for similar reasons. But we’re still going to miss those beeps. If you do tune in before the station goes dark, CHU should still be giving out QSL cards. Get yours before it’s gone forever.

If you do have a clock that relies on this time signal, don’t worry. You can make your own, perhaps with a GPS time source.

youtube.com/embed/NMEikIC_4Zs?…


hackaday.com/2026/05/27/so-lon…

Cybersecurity & cyberwarfare ha ricondiviso questo.

Last year, a court struck down background checks for private firearms sales. So the legislature passed a new law to reestablish them, run by the state police. And the Virginia State Police just...aren't doing it. They're simply pretending the law hasn't been passed.

Background checks for private ...

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

Splinter Cell veteran says realistic modern lighting has screwed up stealth game
L: rockpapershotgun.com/splinter-…
C: news.ycombinator.com/item?id=4…
posted on 2026.05.24 at 23:30:02 (c=0, p=10)

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

L'#Anvur nasce incostituzionale e dipendente dal governo, come strumento per violare sistematicamente l'articolo 33 della costituzione. Ora è solo un po' più chiaro: roars.it/anvur-la-grande-finzi…

Fin dall'inizio si trattò di un progetto fascista (*), ancorché " disegnato da Prodi-Mussi con il contributo chiave del sottosegretario Luciano Modica (PD) come strumento di modernizzazione forzata dell’università. Fu poi implementata dalla Riforma Gelmini e rafforzata da Matteo Renzi, ministra Valeria Fedeli, su consiglio dei Bocconi Boys."

Gli attuali nominati all'Anvur sono quasi tutti ex rettori, vicini alla destra. Non sorprende: i rettori, quasi sempre, stanno spontaneamente dalla parte del governo.

(*) roars.it/riviste-allindice-la-… - 2012

in reply to Maria Chiara Pievatolo

Ho letto, ma anche nell'articolo di Baccini manca la componente politica ed economica, si gira intorno a grafici ed andamenti e non si giunge mai a delineare lo scopo di una strategia di depotenziamento universitario di un paese occidentale. Resto dell'opinione che non sia un favore alla finanza ma una scelta di politica economica per un paese ormai marginale e destinato all'indotto della grande industra tedesca e quindi a bassa tecnologia e ricerca, vedi gli ITS tecnici al nord.
in reply to Tiberio

La marginalizzazione dell'Italia è esito di scelte politiche di sudditanza: a monte c'è la privatizzazione dell'industria a partecipazione statale (un solo esempio: Telecom Italia prima e dopo la cura privata), con le quali le oligarchie locali si sono comprate, a nostre spese, la sopravvivenza. Anche le oligarchie universitarie hanno fatto qualcosa di simile: andu-universita.it/2026/05/26/…

Naturalmente per fare questa operazione hanno dovuto far credere all'opinione pubblica che il modello liberalsocialista italiano fosse pessimo - e non che fosse semplicemente alternativo, con i suoi vizi e le sue virtù, a quello neoliberista. E per chi non ci crede o non fa finta di crederci... c'è la valutazione di stato.

Questa voce è stata modificata (1 giorno fa)
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

-BadHost vulnerability bypasses authentication on AI infrastructure
-Hackers breach Lithuania's state registry
-Security firms take down Glassworm botnet
-CERT India releases strict patching guideline
-OnlyFans leak is fake
-Charter confirms ShinyHunters breach
-Australian MP gets hacked
-MyPillow hit by ransomware attack
-Twitter to go after content thieves
-IRS may retain biometric data for years
-US changes logging policy

Newsletter: news.risky.biz/risky-bulletin-…
Podcast: risky.biz/RBNEWS569/

reshared this

La fine del bug bounty?


@Informatica (Italy e non Italy)
L'intelligenza artificiale ha moltiplicato le segnalazioni di vulnerabilità fino a sommergere chi dovrebbe correggerle. E i programmi che premiano chi scova le falle iniziano a cedere.
L'articolo La fine del bug bounty? proviene da Guerre di Rete.

L'articolo proviene da #GuerreDiRete di guerredirete.it/la-fine-del-bu…

Gazzetta del Cadavere reshared this.

CypherLoc, la nuova truffa dello schermo bloccato: cos’è e come difendersi


@Informatica (Italy e non Italy)
CypherLoc è la nuova truffa dello schermo bloccato che combina tecniche di intrusione avanzate e una buona capacità di manipolazione psicologica per indurre le vittime a contattare servizi di assistenza tecnica fraudolenti e prendere il pieno controllo dei loro

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Luci e Ombre della Cybersecurity in Italia: investimenti, rischi e nuove responsabilità

📌 Link all'articolo : redhotcyber.com/post/luci-e-om…

A cura di Paolo Galdieri

#redhotcyber #news #cybersecurity #sicurezzainformatica #ue #italia #normesicurezza

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

CVE-2026-5426: zero-day in KnowledgeDeliver LMS sfruttato per distribuire BLUEBEAM e Cobalt Strike BEACON
#CyberSecurity
insicurezzadigitale.com/cve-20…


CVE-2026-5426: zero-day in KnowledgeDeliver LMS sfruttato per distribuire BLUEBEAM e Cobalt Strike BEACON


Si parla di:
Toggle

Un attore di minacce non ancora attribuito ha sfruttato una vulnerabilità zero-day nel sistema LMS KnowledgeDeliver, sviluppato dalla giapponese Digital Knowledge, per ottenere Remote Code Execution non autenticato e distribuire la web shell in-memory BLUEBEAM. L’indagine di Mandiant rivela un attacco sofisticato a più strati: dalla deserialization di ViewState ASP.NET al social engineering degli utenti finali con un falso plugin di autenticazione che installa Cobalt Strike BEACON, personalizzato per organizzazione. Una vulnerabilità che colpisce sistemi universitari e aziendali in tutto il mondo a causa di una scelta progettuale fatale: chiavi crittografiche condivise tra tutte le installazioni.

La radice del problema: chiavi macchina hardcoded


KnowledgeDeliver è un Learning Management System (LMS) enterprise ampiamente utilizzato in Giappone e in numerosi contesti educativi e corporate internazionali. Come molte applicazioni ASP.NET, utilizza la funzionalità ViewState per preservare lo stato delle pagine web tra una richiesta e l’altra. ViewState è protetto tramite una machineKey: una coppia di chiavi crittografiche (validationKey + decryptionKey) che garantiscono l’autenticità e la riservatezza dei dati serializzati inviati tra client e server.

Il difetto critico di KnowledgeDeliver, ora tracciato come CVE-2026-5426, consiste nell’utilizzo di valori machineKey statici e identici in tutte le installazioni del prodotto. Digital Knowledge distribuiva il software con chiavi hardcoded nel file web.config, anziché generare valori unici per deployment. Il risultato è devastante: chiunque abbia accesso a una singola installazione — anche la propria — può ricavare le chiavi e usarle per forgiare payload ViewState malevoli validi su qualunque altro server che esegue KnowledgeDeliver nel mondo.

La catena di attacco: da ViewState a RCE


L’exploitation della vulnerabilità segue un pattern ben documentato, già osservato in attacchi a Sitecore e in campagne evidenziate da Microsoft riguardanti chiavi macchina esposte. L’attaccante costruisce un payload serializzato contenente istruzioni arbitrarie e lo inserisce nel parametro __VIEWSTATE di una normale richiesta HTTP. Il server ASP.NET, fidandosi della firma crittografica (valida perché l’attaccante conosce la chiave), deserializza il payload e lo esegue con i privilegi del processo IIS (tipicamente Network Service o Application Pool Identity).

L’intera operazione non richiede credenziali, autenticazione pregressa o interazione utente sul lato server. Un singolo POST HTTP con il ViewState artefatto è sufficiente a ottenere esecuzione di codice remoto. Mandiant ha datato la compromissione iniziale alla fine del 2025, suggerendo che l’attore fosse a conoscenza della vulnerabilità mesi prima della disclosure pubblica avvenuta il 24 febbraio 2026.

BLUEBEAM: la web shell fantasma


Una volta ottenuto il foothold iniziale, l’attaccante ha distribuito BLUEBEAM, una web shell .NET nota anche come Godzilla. Ciò che distingue BLUEBEAM dalle web shell tradizionali è la sua natura interamente in-memory: il malware non scrive file su disco ma viene caricato direttamente nel processo worker IIS (w3wp.exe), riducendo drasticamente la superficie di rilevamento per strumenti forensi e antivirus basati sulla scansione del filesystem.

BLUEBEAM comunica con il suo operatore tramite richieste HTTP POST cifrate, mascherandosi come normale traffico web. Attraverso questo canale, l’attaccante può eseguire comandi arbitrari, caricare ulteriori payload, modificare file e mantenere persistenza nell’ambiente compromes. Mandiant ha osservato l’uso del tool di sistema icacls per allargare i permessi sul filesystem, indebolendo ulteriormente i controlli di sicurezza dell’host compromesso.

Il vettore secondario: social engineering sugli utenti finali


L’attacco non si è fermato al server. Con l’accesso a w3wp.exe, l’attaccante ha manomesso i file JavaScript legittimi del portale LMS, iniettando codice malevolo nelle pagine visitate dagli studenti e dai dipendenti. Il codice iniettato mostrava un avviso di sicurezza convincente, informando l’utente della necessità di installare un “plugin di autenticazione” aggiuntivo per continuare ad accedere alla piattaforma. Parallelamente, caricava script da infrastruttura controllata dall’attaccante.

Gli utenti che installano il falso plugin vengono infettati con un Cobalt Strike BEACON, il framework di post-exploitation commerciale più abusato nel panorama delle minacce avanzate. L’elemento che rivela la natura mirata e pianificata dell’operazione è la personalizzazione del payload: il BEACON era cifrato con una chiave derivata dal nome dell’organizzazione vittima, dimostrando che l’attaccante aveva condotto ricognizione preventiva e aveva predisposto un payload ad hoc per ogni target.

Timeline degli eventi


  • Fine 2025: Compromissione iniziale rilevata da Mandiant durante un incident response
  • 24 febbraio 2026: Data limite per le installazioni vulnerabili (le versioni precedenti a questa data con machineKey di default sono esposte)
  • 25 maggio 2026: Pubblicazione dell’advisory Mandiant/Google Cloud e assegnazione CVE-2026-5426


Indicatori di compromissione (IoC)

# BLUEBEAM web shell
SHA-256: 7c1f99dca8e5a7897892f9d224a6495023a2cfd2671697d229d355978c415ed2
File:    LoadLibrary.dll (caricato in-memory da w3wp.exe)
# CVE
CVE-2026-5426 – KnowledgeDeliver ASP.NET machineKey RCE (CVSS: critico)
# Segnali di detection
Windows Application Log - Event ID 1316 (ViewState validation failure/anomalia)
Processo: w3wp.exe che genera child process cmd.exe, powershell.exe, cscript.exe
File JS del portale modificati con tag 
User-Agent anomali nelle richieste POST a pagine .aspx (concatenazione di UA multipli)
Uso di icacls.exe da processi IIS per modifica permessi
# Pattern ViewState malevolo
Parametro __VIEWSTATE con lunghezza anomala (>50KB)
Richieste POST a pagine .aspx che non prevedono ViewState volumioso

Remediation e due righe per i difensori


La mitigazione primaria e indispensabile è la rotazione immediata dei valori machineKey a valori unici e crittograficamente robusti per ogni singola installazione. Le chiavi devono essere generate con un generatore di numeri casuali sicuro (CSPRNG) e non devono mai essere condivise tra ambienti diversi. La configurazione va inserita nel file web.config sotto il tag <system.web><machineKey validationKey="..." decryptionKey="..." />. Oltre alla remediation tecnica, le organizzazioni dovrebbero limitare l'accesso al portale LMS a range IP fidati, condurre threat hunting retrospettivo alla ricerca di sign of compromise elencati sopra, verificare l'integrità dei file JavaScript del portale tramite confronto hash, e investigare eventuali installazioni del presunto "plugin di autenticazione" sulle macchine degli utenti finali. Questo incidente è un promemoria sistematico del rischio insito nelle configurazioni di default condivise: una singola chiave hardcoded può trasformare un'applicazione enterprise globale in una superficie di attacco che compromette simultaneamente organizzazioni altrimenti non correlate.


Cybersecurity & cyberwarfare ha ricondiviso questo.

#Dutch #Government just said no to an American firm buying the keys to their digital State
securityaffairs.com/192719/sec…
#securityaffairs #hacking
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Grafana GitHub Breach: TanStack npm Supply Chain Attack Leads to Source Code Theft and Ransom Demand
#CyberSecurity
securebulletin.com/grafana-git…
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Fox Tempest: Microsoft DCU Dismantles Malware-Signing-as-a-Service That Forged Trusted Certificates for Ransomware Groups
#CyberSecurity
securebulletin.com/fox-tempest…
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

TeamPCP Poisons Microsoft’s Official Python DurableTask SDK — Multi-Cloud Credential Worm Hits PyPI
#CyberSecurity
securebulletin.com/teampcp-poi…

See Aerodynamics in Action with a Desktop Wind Tunnel


The media in this post is not displayed to visitors. To view it, please log in.

While most of us don’t design aircraft or racing cars, it’s likely that we’re still fascinated by some of the aerodynamic studies behind them. But a full-sized wind tunnel is going to cost a small fortune, so how can we experiment? Never fear, because [luisengineering] is here with a 3D printable desktop wind tunnel.

There’s a build video that we’ve embedded below, and if you can sit through the continuous shilling of random tools, it’s an interesting watch. It’s an open design in that air is not recirculate through it, instead it passed through the machine from left to right. On the right is the fan, on the left the intake with a rectifier to ensure laminar flow. Then a constriction compresses and speeds up the air past the stage for the model under test, and an expansion slows it down again for the fan.

A wind tunnel needs a smoke generator to easily spot turbulence, and in this case a vape is called into action. The result is surprisingly effective, as we see with a demonstration using a small model car. Meanwhile if you’re interested in wind tunnels at this size, it’s not the first one we’ve brought you.

youtube.com/embed/kluKcVZN5RI?…


hackaday.com/2026/05/27/see-ae…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Void Botnet Routes Commands Through Ethereum Smart Contracts to Evade Law Enforcement Takedowns
#CyberSecurity
securebulletin.com/void-botnet…

The media in this post is not displayed to visitors. To view it, please log in.

CVE-2026-5426: zero-day in KnowledgeDeliver LMS sfruttato per distribuire BLUEBEAM e Cobalt Strike BEACON


@Informatica (Italy e non Italy)
Mandiant ha pubblicato i dettagli dell'exploitation attiva di CVE-2026-5426, zero-day nel LMS KnowledgeDeliver causato da chiavi ASP.NET machineKey hardcoded e condivise tra tutte le installazioni.


CVE-2026-5426: zero-day in KnowledgeDeliver LMS sfruttato per distribuire BLUEBEAM e Cobalt Strike BEACON


Si parla di:
Toggle

Un attore di minacce non ancora attribuito ha sfruttato una vulnerabilità zero-day nel sistema LMS KnowledgeDeliver, sviluppato dalla giapponese Digital Knowledge, per ottenere Remote Code Execution non autenticato e distribuire la web shell in-memory BLUEBEAM. L’indagine di Mandiant rivela un attacco sofisticato a più strati: dalla deserialization di ViewState ASP.NET al social engineering degli utenti finali con un falso plugin di autenticazione che installa Cobalt Strike BEACON, personalizzato per organizzazione. Una vulnerabilità che colpisce sistemi universitari e aziendali in tutto il mondo a causa di una scelta progettuale fatale: chiavi crittografiche condivise tra tutte le installazioni.

La radice del problema: chiavi macchina hardcoded


KnowledgeDeliver è un Learning Management System (LMS) enterprise ampiamente utilizzato in Giappone e in numerosi contesti educativi e corporate internazionali. Come molte applicazioni ASP.NET, utilizza la funzionalità ViewState per preservare lo stato delle pagine web tra una richiesta e l’altra. ViewState è protetto tramite una machineKey: una coppia di chiavi crittografiche (validationKey + decryptionKey) che garantiscono l’autenticità e la riservatezza dei dati serializzati inviati tra client e server.

Il difetto critico di KnowledgeDeliver, ora tracciato come CVE-2026-5426, consiste nell’utilizzo di valori machineKey statici e identici in tutte le installazioni del prodotto. Digital Knowledge distribuiva il software con chiavi hardcoded nel file web.config, anziché generare valori unici per deployment. Il risultato è devastante: chiunque abbia accesso a una singola installazione — anche la propria — può ricavare le chiavi e usarle per forgiare payload ViewState malevoli validi su qualunque altro server che esegue KnowledgeDeliver nel mondo.

La catena di attacco: da ViewState a RCE


L’exploitation della vulnerabilità segue un pattern ben documentato, già osservato in attacchi a Sitecore e in campagne evidenziate da Microsoft riguardanti chiavi macchina esposte. L’attaccante costruisce un payload serializzato contenente istruzioni arbitrarie e lo inserisce nel parametro __VIEWSTATE di una normale richiesta HTTP. Il server ASP.NET, fidandosi della firma crittografica (valida perché l’attaccante conosce la chiave), deserializza il payload e lo esegue con i privilegi del processo IIS (tipicamente Network Service o Application Pool Identity).

L’intera operazione non richiede credenziali, autenticazione pregressa o interazione utente sul lato server. Un singolo POST HTTP con il ViewState artefatto è sufficiente a ottenere esecuzione di codice remoto. Mandiant ha datato la compromissione iniziale alla fine del 2025, suggerendo che l’attore fosse a conoscenza della vulnerabilità mesi prima della disclosure pubblica avvenuta il 24 febbraio 2026.

BLUEBEAM: la web shell fantasma


Una volta ottenuto il foothold iniziale, l’attaccante ha distribuito BLUEBEAM, una web shell .NET nota anche come Godzilla. Ciò che distingue BLUEBEAM dalle web shell tradizionali è la sua natura interamente in-memory: il malware non scrive file su disco ma viene caricato direttamente nel processo worker IIS (w3wp.exe), riducendo drasticamente la superficie di rilevamento per strumenti forensi e antivirus basati sulla scansione del filesystem.

BLUEBEAM comunica con il suo operatore tramite richieste HTTP POST cifrate, mascherandosi come normale traffico web. Attraverso questo canale, l’attaccante può eseguire comandi arbitrari, caricare ulteriori payload, modificare file e mantenere persistenza nell’ambiente compromes. Mandiant ha osservato l’uso del tool di sistema icacls per allargare i permessi sul filesystem, indebolendo ulteriormente i controlli di sicurezza dell’host compromesso.

Il vettore secondario: social engineering sugli utenti finali


L’attacco non si è fermato al server. Con l’accesso a w3wp.exe, l’attaccante ha manomesso i file JavaScript legittimi del portale LMS, iniettando codice malevolo nelle pagine visitate dagli studenti e dai dipendenti. Il codice iniettato mostrava un avviso di sicurezza convincente, informando l’utente della necessità di installare un “plugin di autenticazione” aggiuntivo per continuare ad accedere alla piattaforma. Parallelamente, caricava script da infrastruttura controllata dall’attaccante.

Gli utenti che installano il falso plugin vengono infettati con un Cobalt Strike BEACON, il framework di post-exploitation commerciale più abusato nel panorama delle minacce avanzate. L’elemento che rivela la natura mirata e pianificata dell’operazione è la personalizzazione del payload: il BEACON era cifrato con una chiave derivata dal nome dell’organizzazione vittima, dimostrando che l’attaccante aveva condotto ricognizione preventiva e aveva predisposto un payload ad hoc per ogni target.

Timeline degli eventi


  • Fine 2025: Compromissione iniziale rilevata da Mandiant durante un incident response
  • 24 febbraio 2026: Data limite per le installazioni vulnerabili (le versioni precedenti a questa data con machineKey di default sono esposte)
  • 25 maggio 2026: Pubblicazione dell’advisory Mandiant/Google Cloud e assegnazione CVE-2026-5426


Indicatori di compromissione (IoC)

# BLUEBEAM web shell
SHA-256: 7c1f99dca8e5a7897892f9d224a6495023a2cfd2671697d229d355978c415ed2
File:    LoadLibrary.dll (caricato in-memory da w3wp.exe)
# CVE
CVE-2026-5426 – KnowledgeDeliver ASP.NET machineKey RCE (CVSS: critico)
# Segnali di detection
Windows Application Log - Event ID 1316 (ViewState validation failure/anomalia)
Processo: w3wp.exe che genera child process cmd.exe, powershell.exe, cscript.exe
File JS del portale modificati con tag 
User-Agent anomali nelle richieste POST a pagine .aspx (concatenazione di UA multipli)
Uso di icacls.exe da processi IIS per modifica permessi
# Pattern ViewState malevolo
Parametro __VIEWSTATE con lunghezza anomala (>50KB)
Richieste POST a pagine .aspx che non prevedono ViewState volumioso

Remediation e due righe per i difensori


La mitigazione primaria e indispensabile è la rotazione immediata dei valori machineKey a valori unici e crittograficamente robusti per ogni singola installazione. Le chiavi devono essere generate con un generatore di numeri casuali sicuro (CSPRNG) e non devono mai essere condivise tra ambienti diversi. La configurazione va inserita nel file web.config sotto il tag <system.web><machineKey validationKey="..." decryptionKey="..." />. Oltre alla remediation tecnica, le organizzazioni dovrebbero limitare l'accesso al portale LMS a range IP fidati, condurre threat hunting retrospettivo alla ricerca di sign of compromise elencati sopra, verificare l'integrità dei file JavaScript del portale tramite confronto hash, e investigare eventuali installazioni del presunto "plugin di autenticazione" sulle macchine degli utenti finali. Questo incidente è un promemoria sistematico del rischio insito nelle configurazioni di default condivise: una singola chiave hardcoded può trasformare un'applicazione enterprise globale in una superficie di attacco che compromette simultaneamente organizzazioni altrimenti non correlate.


Questo account è gestito da @informapirata ⁂ e propone e ricondivide articoli di cybersecurity e cyberwarfare, in italiano e in inglese

I post possono essere di diversi tipi:

1) post pubblicati manualmente
2) post pubblicati da feed di alcune testate selezionate
3) ricondivisioni manuali di altri account
4) ricondivisioni automatiche di altri account gestiti da esperti di cybersecurity

NB: purtroppo i post pubblicati da feed di alcune testate includono i cosiddetti "redazionali"; i redazionali sono di fatto delle pubblicità che gli inserzionisti pubblicano per elogiare i propri servizi: di solito li eliminiamo manualmente, ma a volte può capitare che non ce ne accorgiamo (e no: non siamo sempre on line!) e quindi possono rimanere on line alcuni giorni. Fermo restando che le testate che ricondividiamo sono gratuite e che i redazionali sono uno dei metodi più etici per sostenersi economicamente, deve essere chiaro che questo account non riceve alcun contributo da queste pubblicazioni.

reshared this