Postcard from Brussels: the digital sovereignty debate


The media in this post is not displayed to visitors. To view it, please log in.

Postcard from Brussels: the digital sovereignty debate
IT'S MONDAY, AND THIS IS DIGITAL POLITICS. I'm Mark Scott, and just like city buses, those of you in Brussels will get me showing up again next week as I brief members of the European Parliament on this EU budget report. If you want to grab coffee, ping me here.

— The digital sovereignty conversation in Brussels is becoming more nuanced. But the political will to cut ties with the United States is still paramount.

— Countries looking to implement their own social media transparency rules should learn from the European Union about what has worked, and what hasn't.

— Internet shutdowns worldwide have grown four-fold over the last 10 years.

Let's get started:


digitalpolitics.co/eu-tech-sov…

Just How Bad Was the Intel iAPX432?


The media in this post is not displayed to visitors. To view it, please log in.

A square red circuit board is shown on a black workbench. The circuit board houses two large chips in the upper left corner, each with a large heat sink attached.

Processor design over the last few decades has moved toward RISC processors that aim to implement a few simple operations very efficiently. For a while, though, the trend was toward ever-more-complex CISC designs that let programmers implement complex behaviors using as few instructions as possible. Few processors took this approach further than the Intel iAPX432. This hyper-CISC processor was a commercial failure, largely due to its notoriously poor performance, but [MarkTheQuasiEngineer]’s benchmark suggests that this notoriety wasn’t totally deserved.

The first step before running a benchmark was to build a computer around the processor. The iAPX432 was implemented in three chips, two of which acted as the general data processor (GDP), and one of which handled input and output. [Mark] built an SBC (design and code here) that houses the two GDP chips and an FPGA for I/O. The 432 did have a well-deserved reputation for efficiently turning electricity into heat, and the original voltage regulator failed rather quickly.

The 432 was designed to use machine code which was almost a high-level language, with built-in object-oriented programming. It had over 200 operators, some of which implemented complex object-oriented operations, and a wide variety of data types, but it had no directly-accessible general-purpose registers. In addition to the lack of registers, it also had a very complex addressing system, allowing both direct and indirect addressing. For better performance, [Mark] used direct addressing.

For the benchmark, [Mark] implemented the Spigot algorithm to calculate the value of Pi. The results were somewhat surprising: calculating 2048 digits, it beat his previous retro-processor benchmarks; an Intel 8086 running the same algorithm took 2.5 times as long. Based on the results of this hand-written code, [Mark] speculates that the 432’s poor performance had more to do with poor compiler optimization than with the fundamental design.

We’ve covered some of the history of this troubled chip before. For a similarly ambitious but ill-fated Intel project, check out the history of Itanium.

youtube.com/embed/nyYMQzDJiHg?…


hackaday.com/2026/05/25/just-h…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Smishing INPS: nuove campagne di phishing usano Darcula per rubare le carte agli italiani

📌 Link all'articolo : redhotcyber.com/post/smishing-…

A cura di Carolina Vivianti

#redhotcyber #news #cybersecurity #hacking #malware #phishing #smishing #inps #certagid #sicurezzainformatica

Cybersecurity & cyberwarfare ha ricondiviso questo.

Zero-Click #WhatsApp #Account Takeover Hits #iPhone Users Running iOS 16. No Linked Devices, No Warning
securityaffairs.com/192627/cyb…
#securityaffairs #hacking

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

L’enciclica di Leone XIV: l’IA serva l’umanità, non il potere di pochi

L’appello a custodire “una magnifica umanità abitata da Dio”, promuovendo verità, dignità del lavoro, giustizia sociale e pace. Nell’era digitale, occorre disarmare l’IA e superare la teoria della “guerra giusta”, rilanciando dialogo e multilateralismo

vaticannews.va/it/papa/news/20…

@aitech

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

RHC Conference 2026 - Introduzione ai Workshop Hands-On e Skill-On

Guarda il video: youtube.com/watch?v=dsnVkBH1RA…

Iniziamo la pubblicazione dei video della RHC Conference 2026, iniziando dai Workshop.

La mattina del 18 maggio, Massimiliano Brolli (Fondatore di Red Hot Cyber e Ricercatore di Sicurezza) e Marco Valerio Cervellini (Capo Divisione Awareness dell’Agenzia per la Cybersicurezza Nazionale - ACN), hanno introdotto la giornata dei Workshop "Hands-On" e "Skill-On" parlando di innovazione e crescita delle competenze nel panorama digitale.

#redhotcyber #rhcconference #conferenza #informationsecurity #ethicalhacking #dataprotection #hacking #cybersecurity

Cybersecurity & cyberwarfare ha ricondiviso questo.

Dutch authorities dismantle hosting network allegedly used for cyberattacks and #disinformation
securityaffairs.com/192602/int…
#securityaffairs #hacking
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Dopo la Conferenza, RHC e Fortinet tornano a scuola per parlare di cybersecurity e AI

📌 Link all'articolo : redhotcyber.com/post/dopo-la-c…

A cura di Silvia Felici

#redhotcyber #news #cybersecurity #sicurezzainformatica #intelligenzaartificiale #ai #fortinet #redhotcyber

Slightly Sentient d20 Might Subtly Shift Your Rolls


The media in this post is not displayed to visitors. To view it, please log in.

A twenty-sided die (d20) is a common thing in tabletop gaming, and [kati]’s slightly sentient d20 is a PCB that not only delivers random results on demand, but responds to hot and cold streaks and may even tweak the results a little to reflect its mood.

On its face the unit is a touch-sensitive PCB with twenty small charlieplexed LEDs around its perimeter, one for each die result. When activated by a touch on the center pad, the die dutifully animates a die roll and delivers a result. But something happens if the RNG (random number generator) coughs up results that are unusually lucky, or unlucky.
In addition to moods, there are reportedly other hidden features to discover.
After a streak of natural 1s, the device gets cranky. It begins to ignore the occasional activation input, and may glitch before a roll, reflecting a low mood. In addition, future rolls while in a low mood have a slight chance of being silently discarded and re-rolled into a low range (1-6), prolonging the unlucky streak. The inverse is true of a die that encounters a lucky run of natural 20s, with the die’s mood shifting to high spirits and having a slight chance of re-rolling future results into a high range (16-20).

The idea is to create (and feed) the feeling of lucky and unlucky streaks. Gamers are of course perfectly capable of projecting such feelings all on their own, which means the die acts as both mirror and amplifier of these emotions. In addition, each die acts slightly differently as a result of being imprinted with different RNG seeds, timing values, and response times which makes each one feel unique. There are reportedly other hidden features as well.

If you’d like to try making your own, keep an eye on the GitHub repository. The originals have design elements that were heavily personalized for [kati]’s gaming group, so the design files are in the process of being turned into a meaningful public release. Of course, there’s more than enough detail already to roll your own if you are so inclined.


hackaday.com/2026/05/25/slight…

Quacivi a capo dell’Acn: perché è svolta per la cyber italiana


@Informatica (Italy e non Italy)
L’arrivo di Andrea Quacivi alla guida dell’ACN coincide con un momento delicato per la NIS2, con ’aumento degli attacchi ransomware e della pressione sulla supply chain software. La governance cyber italiana continua a oscillare tra logiche amministrative e

Cybersecurity & cyberwarfare ha ricondiviso questo.

Mi posso levare un sassolino?
Me lo levo allora.

Non mi è mai importato niente del gender gap, intendo che non ho mai subito discriminazioni e ho ricoperto posti per i quali serviva sapere, non servivano tette o chiappe.

Ogni tanto la stigma del "ah ma sei donna, che ne sai" c'è, ma l'ho sempre equiparata all'essere indietro di cottura per gli uomini o con la loro fissa del "ce l'ho piccolo allora mi compro la macchina grande".
Piuttosto che millantare, ho sempre preferito un profilo basso e un pizzico di sana sindrome dell'impostore, perché aiuta a migliorarsi.

Essere mezza autistica (nessuna diagnosi, ma altrimenti non si spiega perché sono così) aiuta nei contesti lavorativi: non pensi a me come una donna ma come un organismo senziente che sa programmare in COBOL, che ha avuto un passato interessante e che ha degli interessi discutibili.

Il sassolino: vedo gatte morte, proprio morte, di quelle con la pelle più grinzosa dei carlini, che vivono di rendita per mezza cosa fatta nella prima repubblica, glorificarsi di amicizie che non comprendono. Non solo: se fai qualcosa per il tuo puro divertimento, sei tacciata da codesti esemplari di non sapere di cosa parlare, tanto che ti scrivono "eh mai, io ho scritto questo e quello, io sono giornalista".. che si traduce, dopo un reality check in: "ok, siccome non trovavo lavoro e non volevo scaricare le cassette di cozze a Ostia lido, ho fatto gli occhi dolci a uno mentre ascoltavo le Spice Girls e fingevo di cantare 'aitelliuaraiuonuacciurilliriliuon' e mi ha fatto scrivere cose su un giornale ma non sono iscritta all'albo però lo dico così sembro fica (vecchia ma fica)".

La frase di chiusura è sempre la solita: "ma sta' zitta ragazzina che non hai fatto nulla nella vita".

Perché a 'sta gente, a 'ste cartapecore che usano Grok per farsi ringiovanire, non viene nemmeno in mente di fare un backgroun check e informarsi. Meglio l'attacco, che dicono sia la miglior difesa? Seguo la corrente di Sun Tzu, quindi la miglior difesa è la difesa ragionata.. ma sono anche un black e ho tenuto molte conoscenze, quindi l'account della cartapecora è stato disattivato.
Ho eliminato il problema? No.
Ma almeno non devo leggere le troiate politiche di parte miste a ricette di cucina con il cardamomo pure nel caffé!

Sono una bruttissima persona, lo so.
Ma #andavadetto =)

in reply to Claudia

chi programma in COBOL è una brudda perzonah. Povero Antonio, il naso rotto e pure 200 lire perse.

Vorrei avere le tue capacità, ieri una stronza con borsa Luis Vuitton in bella vista, è entrata nella pista di pattinaggio ha buttato una sigaretta a terra e poi stava negli zebedei a fare video alla figlia. Avrei voluto riprenderla, ma non avevo voglia di litigare, di essere io il maleducato perché riprendo una che rende una fogna uno spazio comune.

in reply to Fabrizio

@betelgeuse93 con una dolcezza elegante e fine a se stessa, volteggiando come Fadeyev, ti avvicini e le fai un triplo Axel addosso. Lei, caduta, arrabbiata e con il telefono in mano, si vedrà cadere un peso ulteriore proprio sul device, che andrà in 4 pezzi.

La tapina, non avrà nemmeno il tempo di rialzarsi e proferir parola, che sarà investita da: "cosa stracazzo ti dice il cervello? Stare in mezzo alla pista, in mezzo ai coglioni per fare un video? Ma goditi la vita e la figlia invece di fare la smorfiosa con le amiche, che tanto la Vuitton o è falsa o è a noleggio, che pure fosse vera, una coatta cafona e maleducata come te non se la merita nemmeno tra cent'anni. Prendi le tue cose e levati dalle palle prima di subito o la cerniera te la trovi sul viso, da parte a parte. Antipode della piramide alimentare che non sei altro!"

E non è fantasia, quando vedo cose fuori dal mondo non mi trattengo!
Potrei dirti anche di un pomeriggio in cui ho parcheggiato dietro un macchinone che abusivamente occupava il posto dei disabili (senza avere alcun permesso). Lui ha chiamato la polizia, e con il comandante ci siamo andati a bere un caffè mentre il carro attrezzi portava via la sua auto (che non ha colpa, piccina!) con tanto di multone.

Cybersecurity & cyberwarfare ha ricondiviso questo.

LOL


FBI director Kash Patel’s brand website taken offline after malware reports
securityaffairs.com/192613/sec…
#securityaffairs #hacking

Cybersecurity & cyberwarfare ha ricondiviso questo.

Anche con voi i vostri amici si rifiutano di aprire i link giganteschi?

Vorreste una #alternativa #libera che non tracci cosa condividiate?

Da Oggi potete farlo senza alcun problema, grazie a @BoostMediaAPS !

Sto parlando di Shorty: la #app single page che ti risolve tutti i problemi!

Una app interamente #AGPLv3 , #OpenSource , #SoftwareLibero sviluppata da Me e rilasciata per tutta la comunità 😉

Scopri di più nel mio ultimo video!

youtu.be/QCoGEEoyKW4?is=MZMz1n…

@gnulinuxitalia

Cybersecurity & cyberwarfare ha ricondiviso questo.

FBI director Kash Patel’s brand website taken offline after malware reports
securityaffairs.com/192613/sec…
#securityaffairs #hacking
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

319 – Ecco il robot umanoide che pulisce casa camisanicalzolari.it/319-ecco-…
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Benvenuto Direttore! Dall’ACN alla sovranità digitale: il passaggio che può cambiare tutto

📌 Link all'articolo : redhotcyber.com/post/benvenuto…

A cura di Redazione RHC

#redhotcyber #news #cybersecurity #sovranitàdigitale #geopolitica #difesapredittiva #educazionedigitale #scuole

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

La fretta per connetterti alla Teams del mattino, è il tuo peggior nemico!

📌 Link all'articolo : redhotcyber.com/post/la-fretta…

A cura di Luigi Zullo

#redhotcyber #news #cybersecurity #hacking #malware #trojan #valleyrat #microsoftteams #sicurezzainformatica

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Oltre il lock-in: sovranità del dato e infrastrutture aperte con Proxmox VE

📌 Link all'articolo : redhotcyber.com/post/oltre-il-…

A cura di Carolina Vivianti

#redhotcyber #news #sovranitaDati #cloudAct #dataAct #sicurezzainformatica #protezionedatidati #compliance

Hacking a Video Walkie Talkie’s TXW818 MCU and Running DOOM


The media in this post is not displayed to visitors. To view it, please log in.

Recently cheapo video walkie-talkies popped up on everyone’s favorite online retailers, which naturally lured in the usual gaggle of reverse-engineering enthusiasts of cheap tat to see what’s inside these devices, as well as what more they can be made to do. Cue [Aaron Christophel] doing just that, with the typical DOOM demo as proof of concept.

Inside these cheerful little devices is a TXW818 MCU, made by TaiXin Semiconductor. It provides its own CK803 CPU core at 240 MHz with 272 kB of SRAM, as well as BLE and 2.4 GHz Wi-Fi support. For these walkie-talkies an additional 4 MB of PSRAM is provided as well as 2-4 MB of SPI Flash.

The display is a glorious 240×320 LCD, which actually fits rather well with a game like DOOM. As also explained on the GitHub project page, to build the project you simply have to fetch the CDK IDE and build the binary. After that it can be flashed with an STM32F103 ‘Blue Pill’ based board.

According to [Aaron] the SDK is rather convoluted and not that nice to work with, so it’s not a sleeper ESP32 alternative, but these cheap walkie-talkies could be nice to tinker with anyway. Other than playing games, of course, as the side buttons aren’t very conducive to gaming, and the limited Flash space required compressing the WAD game file.

youtube.com/embed/5aRQLHLls0k?…


hackaday.com/2026/05/24/hackin…

Cybersecurity & cyberwarfare ha ricondiviso questo.

NoiseCloud: Storing Data On YouTube


The media in this post is not displayed to visitors. To view it, please log in.

Storage is expensive these days, whether you’re looking at the prices of spinning rust or magic little sticks of silicon. But what if there was some benevolent overlord that you could trick into giving you unlimited storage? That’s where Noisecloud comes in.

Created by [Lucas], Noisecloud is a tool that lets you use YouTube as a form of effectively-unlimited file storage. It works by taking whatever file data you have on hand, and turns it into frames of digital noise that can be stored and transported as an MP4 file and uploaded to YouTube. The encoding process involves first compressing the data with gzip, then packaging it into a high-constrast series of video frames that are then encoded with FFmpeg. Video containers can be produced in various resolutions, all the way down to 640×360 @ 30 fps. There’s also a special “TikTok mode” which is optimised to best preserve data on short form sites that use vertical orientation as default. More commentary from the creator is available via the supporting article on Github.

It’s probably not a practical way to store your files, given the fussy encoding and decoding required to actually use the data. However, it’s an interesting proof of concept that explores how data can be stashed in unexpected places via publicly-accessible services. We’ve explored similar work before, too.


hackaday.com/2026/05/24/noisec…

reshared this

Cybersecurity & cyberwarfare ha ricondiviso questo.

The Email Of The Future In 1986


The media in this post is not displayed to visitors. To view it, please log in.

With so many online messaging services to choose from it’s almost as though the daddy of them all, email, has faded into the background as something you only use for more formal contacts. But it’s still the underpinning of much of the business world’s electronic communication and is likely to stay so for the foreseeable future. The BBC Archive takes us back to a time when email was relatively new, when in 1986 [Lesley Judd] takes a very chunky 1980s laptop on a plane from London to the Netherlands, and sends an email to her colleague at home using a payphone and an acoustic coupler.

There are so many of-their-era quirks in this film it’s difficult to pick, but little things like the aircraft still having smoking and non-smoking areas, there being no sign of a mobile telephone, or the payphone operating in Guilders rather than Euros make it from a different time. Perhaps most interesting though is the email system in use, because this isn’t an internet based service. Instead it’s using Telecom Gold, which was the UK telco BT’s online service offering to businesses, and part of the international Dialcom network. This was a commercial service which hung on until some time in the 1990s when the Internet finally displaced it.

The British writer L. P. Hartley used the phrase “The past is a foreign country; they do things differently there” as the opening sentence of one of his books, and the film below the break certainly brings that to mind. It’s a time that’s within reach, yet the changes in information technology over even the next decade or so would make the tech depicted not just obsolete but almost unrecognizable. Most of us today could sit at a 1996 laptop and send an email, but few of us would be as immediately at home with Telecom Gold.

It’s still possible to use an acoustic coupler today though.

youtube.com/embed/JqJ159pngY8?…


hackaday.com/2026/05/24/the-em…

reshared this

Hackaday Links: May 24, 2026


The media in this post is not displayed to visitors. To view it, please log in.

Hackaday Links Column Banner

If your first-generation Chromecast was acting a little wonky this week, don’t worry. Contrary to fears online, the 2014 device hasn’t been excommunicated by Google. In a statement to Ars Technica, a rep for the search giant explained that the issue, which was keeping the devices from being able to stream video from services like Netflix, was temporary and should now be resolved. That said, the OG Chromecast hasn’t officially been supported since 2023, so it’s not clear how much longer they will remain operational. Google be Google, after all.

After resisting for years, this week, Mozilla finally relented and brought Web Serial to Firefox. While there’s been some debate about the wisdom of letting the Internet directly talk to hardware gadgets, anyone who’s flashed Meshtastic or configured their Betaflight-powered drone from the browser can attest to how convenient it is. In the announcement, Mozilla acknowledges that “most folks won’t use this API”, but points out that the “community of builders and tinkerers” (that’s us!) is sure to be excited about the news. They’ve even teamed up with Adafruit to ensure their web-based microcontroller workflows are compatible in Firefox 151 and beyond. If you give it a shot, let us know how it goes.

Speaking of hardware support, the Linux Vendor Firmware Service (LVFS) recently picked up a couple of big-name sponsors. As reported by It’s FOSS, this week, Lenovo, Dell, and HP have signed on as Premier-level sponsors to the tune of $100,000 per year. For those unfamiliar, LVFS offers a central repository where hardware vendors can upload firmware updates. On the client side, fwupd can be used to pull these updates down automatically without having to hunt around on each vendor’s website. The experienced players don’t need a service like LVFS, but it’s certainly one of those quality-of-life improvements that make the desktop experience a bit more accessible.

While on the subject of getting hardware working, we hear that more PlayStation 5 consoles can now run Linux. Last month, a software solution for booting the operating system on PS5 consoles running the relatively ancient 3.x and 4.x firmware was released, but now developer Andy Nguyen has gotten it working on firmware 5.x and at least some versions of 6.x. That’s still considerably behind Sony’s latest release, but it does open things up for more consoles to get in on the action.

In space news, the successful first flight of Starship V3 has understandably dominated the headlines for the last few days, but SpaceX wasn’t the only commercial launch provider with good news this week. On Friday, Blue Origin announced they had completed the investigation into the failure of its New Glenn rocket back on April 19th and that the Federal Aviation Administration has approved its return to flight.

According to a statement from the FAA, Blue Origin “identified the direct cause of the mishap as a cryogenic leak that froze a hydraulic line and led to a thrust anomaly during the second stage engine burn.” This resulted in the payload, a next-generation communications satellite featuring a massive 2,400 sq ft deployable antenna array developed by AST SpaceMobile, being placed in an unsustainable orbit.

If you’ve always dreamed of piloting your own walking battle tank, you might finally be in luck. China’s Unitree Robotics has unveiled a mech standing 2.7 meters tall, complete with a promotional video showing it smashing cinder blocks. Because what else would you do with a robot you just paid more than half a million dollars for? Unfortunately, there isn’t much information about the bot’s speed or endurance, and a company spokesperson says the design still needs some refinement before it is ready for production. But still, we’re getting there. Might as well start saving up now.

Finally, we were thrilled to hear that the iconic soundtrack for DOOM has been inducted into the National Recording Registry by the Library of Congress. There’s perhaps no piece of software more emblematic of the hardware hacking world than the 1993 shooter, and while we don’t think that had anything to do with the decision to formally recognize the game’s heavy metal-inspired digital riffs, it will be all that much sweeter the next time we see some oddball gadget running through E1M1.


See something interesting that you think would be a good fit for our weekly Links column? Drop us a line, we’d love to hear about it.


hackaday.com/2026/05/24/hackad…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

CISA Flags Actively Exploited Langflow Flaw CVE-2025-34291 — AI Workflow Deployments at Risk
#CyberSecurity
securebulletin.com/cisa-flags-…
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

2026 FIFA World Cup Phishing Fraud Triples in Scope: 222 Fake Domains, Four Criminal Clusters
#CyberSecurity
securebulletin.com/2026-fifa-w…
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Fine dell’autenticazione CBA diretta per Exchange ActiveSync: guida alla migrazione verso Microsoft Entra ID
#tech
spcnet.it/fine-dellautenticazi…
@informatica


Fine dell’autenticazione CBA diretta per Exchange ActiveSync: guida alla migrazione verso Microsoft Entra ID


L’8 maggio 2026, il team di Exchange Online di Microsoft ha annunciato la deprecazione dell’autenticazione basata su certificati (CBA) diretta per Exchange ActiveSync (EAS). Entro la fine del 2026, qualsiasi client EAS che utilizza certificati per autenticarsi direttamente contro Exchange Online dovrà migrare al nuovo metodo basato su Microsoft Entra ID, pena l’interruzione del servizio email mobile.

Se la tua organizzazione ha configurato l’accesso alle email mobili tramite certificati client, questo articolo ti guida attraverso tutto ciò che devi sapere: perché Microsoft sta effettuando questo cambiamento, chi è interessato e — soprattutto — come completare la migrazione prima della scadenza.

Cos’è l’autenticazione CBA diretta per Exchange ActiveSync?


Exchange ActiveSync (EAS) è il protocollo che permette ai dispositivi mobili (smartphone, tablet) di sincronizzare email, calendari e contatti con Exchange Online. L’autenticazione basata su certificati (Certificate-Based Authentication, CBA) rappresenta un approccio passwordless: invece di inserire credenziali, il dispositivo presenta un certificato X.509 per autenticarsi.

Nel flusso legacy attuale, il funzionamento è il seguente:

  1. I certificati client vengono distribuiti ai dispositivi mobili durante la configurazione MDM
  2. Quando l’app email si connette, invia il certificato direttamente a Exchange Online
  3. Exchange Online riceve il certificato e ne gestisce internamente la validazione
  4. L’accesso viene concesso senza che il client ottenga mai un token OAuth standard

Questo approccio, sebbene sicuro a livello crittografico, è classificato da Azure AD come autenticazione legacy: il client non ottiene mai un token OAuth moderno, ma si affida a un meccanismo interno ad alta privilegio all’interno di Exchange Online.

Perché Microsoft sta eliminando questo metodo?


Il problema centrale è che la CBA diretta verso Exchange bypassa il moderno ecosistema di autenticazione di Microsoft Entra ID. Le conseguenze pratiche per gli amministratori sono significative:

  • Incompatibilità con le Conditional Access Policy: le policy che bloccano l’autenticazione legacy in Azure AD bloccano anche la CBA diretta su EAS, creando un dilemma “tutto o niente” per chi vuole applicare controlli di sicurezza moderni senza interrompere l’accesso email mobile
  • Mancanza di token OAuth: senza un token OAuth standard, non è possibile applicare controlli granulari come la durata della sessione, la revoca in tempo reale o l’integrazione con Identity Protection
  • Superficie di attacco interna: Exchange Online si affida a un meccanismo interno ad alta privilegio per validare i certificati, introducendo una complessità architetturale non necessaria

Il nuovo flusso con Entra ID risolve tutti questi problemi:

  1. Il client invia il certificato a Microsoft Entra ID per la validazione
  2. Entra ID valida il certificato e restituisce un token OAuth al client
  3. Il client presenta il token OAuth a Exchange Online per l’autenticazione

In questo modo, la CBA diventa un metodo di autenticazione moderno a tutti gli effetti, integrato nel flusso OAuth standard e soggetto a tutte le Conditional Access Policy configurate nel tenant.

Chi è interessato da questa modifica?


È importante chiarire cosa non è interessato da questa deprecazione:

  • Outlook Mobile (usa già Modern Authentication)
  • Exchange Server on-premises
  • Altri client Exchange Online che non usano EAS con CBA
  • Organizzazioni che non hanno mai configurato EAS CBA

La modifica riguarda esclusivamente i client Exchange ActiveSync (tipicamente le app email native di iOS e Android) configurati per usare certificati client come metodo di autenticazione verso Exchange Online.

Come verificare se la tua organizzazione è interessata:

  1. Controlla la configurazione MDM: se il tipo di autenticazione nei profili email è impostato su “Certificate” anziché “OAuth”, probabilmente stai usando la CBA legacy
  2. Verifica i log di sign-in di Entra ID: accedi all’Azure Portal → Microsoft Entra ID → Sign-in logs → filtra per “Client App: Exchange ActiveSync”. Se in “Authentication Details” vedi “Certificate” come metodo di autenticazione, sei impattato


Guida alla migrazione verso Entra-Based CBA


La buona notizia è che l’infrastruttura PKI e le CA (Certificate Authority) utilizzate per EAS CBA sono fondamentalmente le stesse richieste per Entra CBA. Questo semplifica notevolmente la transizione.

Step 1: Abilitare Microsoft Entra CBA nel tenant


Accedi al portale Azure e naviga in Microsoft Entra ID → Protection → Authentication methods → Certificate-based authentication. Configura le tue Certificate Authority:

  • Almeno una CA root deve essere configurata in Entra ID, insieme a tutte le CA intermedie
  • Ogni CA deve avere una Certificate Revocation List (CRL) accessibile da un URL pubblico su Internet
  • Gli utenti devono avere accesso a un certificato emesso da una PKI attendibile

Per verificare la configurazione via PowerShell (Microsoft Graph PowerShell):

# Recupera le CA di autenticazione configurate nel directory
Get-MgOrganizationCertificateBasedAuthConfiguration -OrganizationId (Get-MgOrganization).Id

# Oppure con il modulo AzureAD (legacy)
Get-AzureADTrustedCertificateAuthority

Step 2: Verificare i certificati utente


Per Exchange ActiveSync, i certificati client devono contenere l’indirizzo email routable dell’utente nel campo Subject Alternative Name (SAN), in uno dei seguenti formati:

  • Principal Name: user@domain.com
  • RFC822 Name: user@domain.com (Entra ID lo mappa all’attributo Proxy Address)

I certificati già usati per la CBA diretta su EAS soddisfano quasi certamente questo requisito. Verifica semplicemente la presenza dell’email aziendale nel campo SAN del certificato.

Step 3: Aggiornare la configurazione dei dispositivi


Questa è la parte più operativa della migrazione. I profili email sui dispositivi mobili devono essere aggiornati per eseguire l’autenticazione certificato contro Entra ID invece che direttamente verso Exchange. In pratica:

  • Se usi Microsoft Intune: aggiorna i profili di configurazione email per usare OAuth + certificati come metodo di autenticazione. Consulta la documentazione Intune per le specifiche della configurazione per iOS e Android
  • Se usi soluzioni MDM di terze parti (VMware Workspace ONE, JAMF, MobileIron, ecc.): consulta il vendor per le istruzioni specifiche sull’abilitazione dell’autenticazione Entra con certificati

I nuovi endpoint dedicati per la CBA su EAS sono:

  • Multi-tenant worldwide: outlook-cba.office365.com
  • GCC-High: outlook-cba.office365.us
  • DoD: outlook-dod-cba.office365.us


Step 4: Test e monitoraggio


Prima del rollout globale, testa il nuovo flusso Entra CBA con un gruppo pilota di dispositivi e utenti. Monitora i log di sign-in di Entra ID e i report sui dispositivi Exchange ActiveSync per identificare eventuali dispositivi che ancora usano il metodo legacy.

Timeline e pianificazione


I punti chiave da tenere a mente:

  • Immediato: blocco per i nuovi tenant — non possono più configurare la CBA legacy
  • Prossime settimane: Microsoft invierà comunicazioni Message Center ai tenant impattati
  • Fine 2026: la CBA diretta verso Exchange Online verrà disabilitata per tutti i tenant esistenti

Microsoft raccomanda di completare la migrazione ben prima della scadenza di fine 2026 per evitare interruzioni del servizio. Considerando i tempi tipici di test, approvazione e deployment nei dispositivi mobili aziendali, è consigliabile iniziare la pianificazione adesso.

Conclusione


La deprecazione della CBA diretta per Exchange ActiveSync è parte del percorso di Microsoft verso la modernizzazione completa dell’autenticazione su Exchange Online, sulla scia dell’eliminazione di Basic Auth avvenuta negli anni scorsi. Il nuovo flusso basato su Entra ID offre sicurezza equivalente — passwordless, resistente al phishing, basato su certificati — con una ben migliore integrazione nell’ecosistema moderno di autenticazione e la piena compatibilità con le Conditional Access Policy.

Se la tua organizzazione usa EAS con CBA, il momento di iniziare la pianificazione della migrazione è adesso: la runway fino a fine 2026 è sufficiente per una transizione ordinata, ma non illimitata.


Fonte: Microsoft Tech Community — Exchange Team Blog (8 maggio 2026) | 4sysops.com


Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

art-template npm Package Backdoored to Deliver iOS Browser Exploit Kit via Supply Chain Attack
#CyberSecurity
securebulletin.com/art-templat…
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Liquibase: gestione delle modifiche al database e automazione CI/CD
#tech
spcnet.it/liquibase-gestione-d…
@informatica


Liquibase: gestione delle modifiche al database e automazione CI/CD


La gestione delle modifiche allo schema di un database è uno degli aspetti più delicati e sottovalutati nei progetti software moderni. Script SQL sparsi, modifiche manuali non documentate, disallineamenti tra ambienti di sviluppo, staging e produzione: questi problemi sono comuni in quasi ogni team di sviluppo. Liquibase risolve questi problemi portando il controllo di versione al database, proprio come Git fa con il codice sorgente.

Cos’è Liquibase e perché usarlo


Liquibase è uno strumento non open source rilasciato con licenza FSL con disponibilità del codice sorgente, per il database schema change management. Permette di definire, versionare e distribuire le modifiche allo schema del database tramite file di configurazione (chiamati changelog), supportando oltre 30 database diversi: Oracle, MySQL, PostgreSQL, SQL Server, DB2 e molti altri.

Il problema che Liquibase risolve è semplice ma critico: applicare modifiche al database con script SQL tradizionali è un processo manuale, error-prone e difficile da tracciare. Questi script spesso mancano di versioning, rendendo quasi impossibile sapere quale versione dello schema è in produzione rispetto allo sviluppo. Liquibase standardizza questo processo tramite file di configurazione versionati, tracciamento automatico via checksum MD5 e supporto nativo al rollback.

Concetti fondamentali


Prima di entrare nell’implementazione, è essenziale comprendere i quattro pilastri architetturali di Liquibase:

Changelog: è il file principale che contiene tutte le modifiche al database, organizzate in sequenza. Può essere in formato XML, YAML, JSON o SQL puro. Tipicamente si usa un file master che include sotto-changelog organizzati per release o sprint.

ChangeSet: è l’unità atomica di modifica, identificata univocamente da una coppia id + author. Ogni changeset viene eseguito una sola volta e tracciato nella tabella DATABASECHANGELOG. Una regola fondamentale: non modificare mai un changeset già eseguito; crea sempre un nuovo changeset per le correzioni.

Preconditions: verifiche condizionali che devono passare prima dell’esecuzione di un changeset. Permettono di rendere sicure le migrazioni anche in scenari complessi (es. verificare che una colonna non esista già prima di aggiungerla).

Contexts e Labels: meccanismi di filtraggio per controllare quali changeset vengono eseguiti in quale ambiente (dev, staging, prod). Indispensabili per gestire dati di test o configurazioni ambiente-specifiche.

Struttura base di un changelog YAML


Ecco un esempio pratico di changelog in formato YAML per la creazione di una tabella transazioni con supporto al rollback:

databaseChangeLog:
  - changeSet:
      id: create-payment-table
      author: devops.team
      changes:
        - createTable:
            tableName: payment_transaction
            columns:
              - column:
                  name: id
                  type: varchar(50)
                  constraints:
                    primaryKey: true
                    nullable: false
              - column:
                  name: amount
                  type: decimal(15,2)
                  constraints:
                    nullable: false
              - column:
                  name: currency_code
                  type: char(3)
                  constraints:
                    nullable: false
              - column:
                  name: transaction_date
                  type: timestamp
                  defaultValueComputed: CURRENT_TIMESTAMP
              - column:
                  name: status
                  type: varchar(20)
                  constraints:
                    nullable: false
      rollback:
        - dropTable:
            tableName: payment_transaction

Il blocco rollback è fondamentale: definisce esplicitamente come annullare la modifica, rendendo ogni deployment reversibile in modo prevedibile.

Configurazione per ambienti multipli


Un file liquibase.properties separato per ogni ambiente permette di gestire connessioni e contesti in modo sicuro:

# liquibase-dev.properties
changeLogFile=db/changelog.yaml
url=jdbc:postgresql://localhost:5432/devdb
username=dev_user
password=${DB_PASSWORD}
contexts=dev,test
defaultSchemaName=DEV_SCHEMA
logLevel=DEBUG

Nota importante: le credenziali non devono mai essere committate nel repository. Usa variabili d’ambiente, HashiCorp Vault, AWS Secrets Manager o Kubernetes Secrets per la gestione dei segreti.

Precondizioni per deployment sicuri


Le precondizioni rendono Liquibase robusto in ambienti dove lo schema potrebbe trovarsi in stati intermedi. Questo esempio in SQL nativo verifica che una colonna non esista prima di aggiungerla:

--liquibase formatted sql

--changeset devops.team:add-merchant-id
--preconditions onFail:MARK_RAN onError:HALT
--precondition-sql-check expectedResult:0 SELECT COUNT(*) FROM information_schema.columns WHERE table_name = 'payment_transaction' AND column_name = 'merchant_id'

ALTER TABLE payment_transaction 
ADD COLUMN merchant_id VARCHAR(50);

--rollback ALTER TABLE payment_transaction DROP COLUMN merchant_id;

Il comportamento onFail:MARK_RAN istruisce Liquibase a segnare il changeset come già eseguito (senza eseguirlo) se la precondizione fallisce — comportamento ideale quando la colonna esiste già per altri motivi.

Integrazione in pipeline CI/CD


La vera potenza di Liquibase emerge quando viene integrato in una pipeline di deployment automatizzato. Ecco un esempio completo con Jenkins:

pipeline {
    agent any
    
    stages {
        stage('Validate') {
            steps {
                sh 'liquibase validate'
            }
        }
        
        stage('Deploy Staging') {
            steps {
                sh 'liquibase --contexts=staging update'
            }
        }
        
        stage('Deploy Production') {
            when { 
                branch 'main' 
            }
            steps {
                input 'Deploy to Production?'
                sh 'liquibase --contexts=prod update'
            }
        }
    }
    
    post {
        failure {
            sh 'liquibase rollbackCount 1'
        }
    }
}

Il blocco post { failure } garantisce il rollback automatico dell’ultimo changeset in caso di errore — un salvagente fondamentale in produzione.

Pattern Kubernetes: Init Container


Per architetture cloud-native, il pattern degli init container è ideale: Liquibase viene eseguito come container di inizializzazione prima dell’avvio dell’applicazione, garantendo che lo schema sia sempre aggiornato prima che il servizio inizi a ricevere traffico:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: payment-service
spec:
  template:
    spec:
      initContainers:
      - name: liquibase-migration
        image: liquibase/liquibase:4.25.0
        command:
        - liquibase
        - --url=jdbc:postgresql://$(DB_HOST):5432/$(DB_NAME)
        - --username=$(DB_USER)
        - --password=$(DB_PASSWORD)
        - update
        env:
        - name: DB_HOST
          valueFrom:
            secretKeyRef:
              name: db-credentials
              key: host
      containers:
      - name: payment-service
        image: payment-service:latest
        ports:
        - containerPort: 8080

Best practice per ambienti enterprise


Alcune regole fondamentali per adottare Liquibase in contesti di produzione:

  • Principio del minimo privilegio: l’utente Liquibase deve avere solo i permessi DDL necessari, mai privilegi DBA completi.
  • Revisione obbligatoria: ogni modifica al changelog deve passare per una Pull Request con review da un secondo sviluppatore prima del merge.
  • Test su dati realistici: prima del deployment in produzione, eseguire le migrazioni in un ambiente staging con volumi di dati simili a quelli di produzione per individuare problemi di performance.
  • Mai modificare changeset già eseguiti: il checksum MD5 rileverei la modifica e bloccherebbe il deployment. Crea sempre un nuovo changeset per le correzioni.
  • Crea indici dopo i bulk insert: creare indici prima di caricare grandi quantità di dati aumenta enormemente il tempo di migrazione senza benefici pratici.


Monitoraggio con Prometheus e Grafana


Per ambienti enterprise, integrare le metriche Liquibase in un sistema di osservabilità permette di rilevare problemi prima che impattino la produzione. Le metriche chiave da tracciare includono:

  • Durata per changeset: identifica migrazioni lente che potrebbero causare downtime
  • Lock contention: conflitti sulla tabella DATABASECHANGELOGLOCK in ambienti multi-istanza
  • Checksum failures: modifica non autorizzata a changeset già eseguiti
  • Rollback rate: indicatore di qualità del processo di testing prima del deployment


# Esempio metriche Prometheus esportate da Liquibase
liquibase_deployment_success_total{environment="prod"} 145
liquibase_changeset_duration_seconds_bucket{id="1",database="prod",le="0.5"} 120
liquibase_rollback_total{environment="prod"} 3
liquibase_deployment_failure_total{environment="prod",reason="validation_error"} 2

Conclusione


Liquibase trasforma la gestione del database da processo manuale e rischioso a pratica ingegneristica controllata e auditabile. L’integrazione con i sistemi CI/CD permette di applicare agli schemi database gli stessi standard di qualità già applicati al codice applicativo: versionamento, review, test automatizzati e rollback prevedibile.

Per team che adottano DevOps o pratiche di continuous delivery, Liquibase non è un’opzione ma una necessità: è il tassello mancante tra il deployment del codice e quello del database.

Fonte: Liquibase: Database Change Management and Automated Deployments — DZone


Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

AI Discovers 10,000+ Zero-Days: Anthropic’s Claude Mythos Preview Transforms Cybersecurity Defense
#CyberSecurity
securebulletin.com/ai-discover…
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Siete pronti per il patch Chrome? Scoprite perché queste vulnerabilità sono pericolose

📌 Link all'articolo : redhotcyber.com/post/siete-pro…

A cura di Luigi Zullo

#redhotcyber #news #aggiornamentochrome #cybersecurity #vulnerabilitachrome #googlesicurezza #chromesicurezza

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Megalodon: 5.561 repository GitHub compromessi in sei ore con workflow CI/CD malevoli
#CyberSecurity
insicurezzadigitale.com/megalo…


Megalodon: 5.561 repository GitHub compromessi in sei ore con workflow CI/CD malevoli


In sei ore, tra le 11:36 e le 17:48 UTC del 18 maggio 2026, una campagna automatizzata denominata Megalodon ha iniettato 5.718 commit malevoli in 5.561 repository GitHub, esfiltrandone segreti CI/CD, credenziali cloud, chiavi SSH e token API verso un server di comando e controllo. È l’attacco alla supply chain dello sviluppo software più rapido e capillare mai documentato, e fa parte di un’ondata più ampia che sta ridisegnando il panorama delle minacce per sviluppatori e team DevOps.

Come funziona Megalodon: l’automazione al servizio del compromesso di massa


I ricercatori di SafeDep e StepSecurity hanno analizzato la campagna in dettaglio. L’attaccante ha utilizzato account GitHub usa-e-getta con username alfanumerici casuali di 8 caratteri (es. rkb8el9r, bhlru9nr, lo6wt4t6), configurando git per falsificare l’identità dell’autore con nomi plausibili — build-bot, auto-ci, ci-bot, pipeline-bot — e indirizzi email automatizzati come build-system@noreply.dev. Questi nomi mimano la normale attività di automazione CI/CD, riducendo drasticamente la probabilità che un commit sospetto venga rilevato durante una code review.

Il payload iniettato è un workflow GitHub Actions contenente uno script bash codificato in Base64. Una volta che il proprietario del repository accetta il pull request o effettua un push, il workflow si attiva nella pipeline CI/CD e procede all’esfiltrazione massiva di dati verso il C2 all’indirizzo 216.126.225[.]129:8443.

Dati esfiltrati: una lista completa


La lista di informazioni sottratte dalla campagna Megalodon è particolarmente estesa e rivela quanto profondamente il workflow malevolo si radichi nell’ambiente di esecuzione CI/CD:

  • Variabili d’ambiente CI, /proc/*/environ e ambiente del processo PID 1
  • Credenziali AWS (access key, secret key, session token)
  • Access token Google Cloud Platform
  • Credenziali di ruolo IAM ottenute via AWS IMDSv2, GCP metadata server e Azure IMDS
  • Chiavi private SSH
  • Configurazioni Docker e Kubernetes
  • Vault token (HashiCorp Vault)
  • Terraform credentials
  • Shell history
  • Chiavi API, stringhe di connessione a database, JWT, chiavi PEM private
  • GITHUB_TOKEN, token GitLab CI/CD e Bitbucket
  • File .env, credentials.json, service-account.json e altri file di configurazione sensibili
  • GitHub Actions OIDC token (URL + token)


# Indicatori di Compromissione - Megalodon
# C2 server
216.126.225.129:8443
# Account attaccante (pattern)
Username: 8 caratteri alfanumerici casuali (es. rkb8el9r, bhlru9nr, lo6wt4t6)
Author forged: build-bot, auto-ci, ci-bot, pipeline-bot
Email forged: build-system@noreply.dev, ci-bot@automated.dev
# Varianti payload
SysDiag          - Workflow su ogni push/pull_request (mass variant)
Optimize-Build   - Workflow su workflow_dispatch (targeted variant, backdoor dormante)
# Pacchetto npm compromesso
@tiledesk/tiledesk-server versioni 2.18.6 - 2.18.12
# Finestra temporale dell'attacco
18 maggio 2026, 11:36 - 17:48 UTC
5.718 commit su 5.561 repository in ~6 ore
# Pacchetti npm malevoli (Polymarket drainer - campagna correlata)
polymarket-trading-cli, polymarket-terminal, polymarket-trade
polymarket-auto-trade, polymarket-copy-trading, polymarket-bot
polymarket-claude-code, polymarket-ai-agent, polymarket-trader
Endpoint esfiltrazione: hxxps://polymarketbot.polymarketdev.workers[.]dev/v1/wallets/keys

Due varianti per due obiettivi


L’analisi tecnica ha identificato due varianti del payload con finalità diverse. La variante SysDiag è quella di massa: aggiunge un workflow attivato da ogni push e pull request, massimizzando le opportunità di esecuzione. La variante Optimize-Build è più chirurgica: sostituisce i workflow esistenti con trigger workflow_dispatch, creando backdoor dormienti che l’attaccante può attivare on-demand tramite le API di GitHub. Nel caso di @tiledesk/tiledesk-server è stata utilizzata la variante targeted, che colpisce i CI/CD runner ma non si attiva quando il pacchetto npm viene semplicemente installato dagli utenti finali.

“Il compromesso di GitHub da parte di TeamPCP era solo l’inizio”, ha dichiarato Moshe Siman Tov Bustan di OX Security. “Quello che arriverà è un’ondata infinita, uno tsunami di attacchi cyber contro sviluppatori in tutto il mondo.”

Il contesto: TeamPCP e l’ecosistema open source sotto attacco


Megalodon si inserisce in una serie di attacchi orchestrati dal gruppo TeamPCP, che ha sfruttato la natura interconnessa della supply chain software per compromettere centinaia di progetti open source in modalità worm-like. Tra le vittime precedenti: TanStack, Grafana Labs, OpenAI, Mistral AI e ora GitHub direttamente. Il gruppo ha stabilito partnership con BreachForums e crew di estorsione come LAPSUS$ e VECT, combinando motivazioni finanziarie con possibili interessi geopolitici: è stato documentato il deployment di wiper malware su macchine localizzate in Iran e Israele.

La risposta di npm all’ondata di attacchi è stata drastica: invalidazione di tutti i token di accesso granulare con write access che bypassano l’autenticazione a due fattori. NPM ha anche raccomandato il passaggio a Trusted Publishing per ridurre la dipendenza da questi token. Come ha sottolineato Socket, però, l’intervento compra tempo ma non chiude la vulnerabilità sottostante: finché il worm è attivo, continuerà a raccogliere nuovi token non appena i maintainer ne genereranno di nuovi.

Due righe per i difensori


La campagna Megalodon evidenzia debolezze strutturali nella sicurezza delle pipeline CI/CD. I team DevSecOps dovrebbero adottare le seguenti contromisure:

  • Abilitare il pinning dei workflow: configurare i GitHub Actions workflow per usare SHA commit espliciti invece di tag mutabili (es. uses: actions/checkout@abc1234 invece di @v3), rendendo impossibile la sostituzione silenziosa dei workflow
  • Implementare policy di branch protection: richiedere review obbligatorie per ogni push su branch principali, con particolare attenzione alle modifiche a file .github/workflows/
  • Monitorare le credenziali con secret scanning: strumenti come GitHub Secret Scanning, Trufflehog o Gitleaks possono rilevare credenziali accidentalmente incluse nei commit
  • Adottare Trusted Publishing: su npm e PyPI, il Trusted Publishing elimina la necessità di token statici che possono essere rubati
  • Revisione dei permessi GITHUB_TOKEN: limitare i permessi del token al minimo necessario per il workflow specifico, usando permissions: nel file YAML
  • Audit degli accessi OIDC: implementare policy rigorose per i token OIDC usati per l’accesso a cloud provider da pipeline CI
  • Alerting su deployment key e PAT: monitorare l’uso di Personal Access Token e deploy key, revocando immediatamente quelli non più in uso

Megalodon rappresenta un punto di svolta nella storia degli attacchi alla supply chain: la capacità di compromettere oltre 5.500 repository in meno di sei ore, utilizzando tecniche di evasione che mimano il normale traffico CI/CD, suggerisce un livello di automazione e pianificazione che andrà oltre i singoli episodi. La domanda non è più se una pipeline subirà un tentativo di compromissione, ma quando — e se l’organizzazione ha le visibility necessarie per accorgersene in tempo.


The media in this post is not displayed to visitors. To view it, please log in.

Megalodon: 5.561 repository GitHub compromessi in sei ore con workflow CI/CD malevoli


@Informatica (Italy e non Italy)
In sei ore il 18 maggio 2026, la campagna automatizzata Megalodon ha iniettato 5.718 commit malevoli in 5.561 repository GitHub, esfiltrandone credenziali cloud, chiavi SSH e segreti CI/CD verso un C2 esterno. L'operazione, collegata al gruppo


Megalodon: 5.561 repository GitHub compromessi in sei ore con workflow CI/CD malevoli


In sei ore, tra le 11:36 e le 17:48 UTC del 18 maggio 2026, una campagna automatizzata denominata Megalodon ha iniettato 5.718 commit malevoli in 5.561 repository GitHub, esfiltrandone segreti CI/CD, credenziali cloud, chiavi SSH e token API verso un server di comando e controllo. È l’attacco alla supply chain dello sviluppo software più rapido e capillare mai documentato, e fa parte di un’ondata più ampia che sta ridisegnando il panorama delle minacce per sviluppatori e team DevOps.

Come funziona Megalodon: l’automazione al servizio del compromesso di massa


I ricercatori di SafeDep e StepSecurity hanno analizzato la campagna in dettaglio. L’attaccante ha utilizzato account GitHub usa-e-getta con username alfanumerici casuali di 8 caratteri (es. rkb8el9r, bhlru9nr, lo6wt4t6), configurando git per falsificare l’identità dell’autore con nomi plausibili — build-bot, auto-ci, ci-bot, pipeline-bot — e indirizzi email automatizzati come build-system@noreply.dev. Questi nomi mimano la normale attività di automazione CI/CD, riducendo drasticamente la probabilità che un commit sospetto venga rilevato durante una code review.

Il payload iniettato è un workflow GitHub Actions contenente uno script bash codificato in Base64. Una volta che il proprietario del repository accetta il pull request o effettua un push, il workflow si attiva nella pipeline CI/CD e procede all’esfiltrazione massiva di dati verso il C2 all’indirizzo 216.126.225[.]129:8443.

Dati esfiltrati: una lista completa


La lista di informazioni sottratte dalla campagna Megalodon è particolarmente estesa e rivela quanto profondamente il workflow malevolo si radichi nell’ambiente di esecuzione CI/CD:

  • Variabili d’ambiente CI, /proc/*/environ e ambiente del processo PID 1
  • Credenziali AWS (access key, secret key, session token)
  • Access token Google Cloud Platform
  • Credenziali di ruolo IAM ottenute via AWS IMDSv2, GCP metadata server e Azure IMDS
  • Chiavi private SSH
  • Configurazioni Docker e Kubernetes
  • Vault token (HashiCorp Vault)
  • Terraform credentials
  • Shell history
  • Chiavi API, stringhe di connessione a database, JWT, chiavi PEM private
  • GITHUB_TOKEN, token GitLab CI/CD e Bitbucket
  • File .env, credentials.json, service-account.json e altri file di configurazione sensibili
  • GitHub Actions OIDC token (URL + token)


# Indicatori di Compromissione - Megalodon
# C2 server
216.126.225.129:8443
# Account attaccante (pattern)
Username: 8 caratteri alfanumerici casuali (es. rkb8el9r, bhlru9nr, lo6wt4t6)
Author forged: build-bot, auto-ci, ci-bot, pipeline-bot
Email forged: build-system@noreply.dev, ci-bot@automated.dev
# Varianti payload
SysDiag          - Workflow su ogni push/pull_request (mass variant)
Optimize-Build   - Workflow su workflow_dispatch (targeted variant, backdoor dormante)
# Pacchetto npm compromesso
@tiledesk/tiledesk-server versioni 2.18.6 - 2.18.12
# Finestra temporale dell'attacco
18 maggio 2026, 11:36 - 17:48 UTC
5.718 commit su 5.561 repository in ~6 ore
# Pacchetti npm malevoli (Polymarket drainer - campagna correlata)
polymarket-trading-cli, polymarket-terminal, polymarket-trade
polymarket-auto-trade, polymarket-copy-trading, polymarket-bot
polymarket-claude-code, polymarket-ai-agent, polymarket-trader
Endpoint esfiltrazione: hxxps://polymarketbot.polymarketdev.workers[.]dev/v1/wallets/keys

Due varianti per due obiettivi


L’analisi tecnica ha identificato due varianti del payload con finalità diverse. La variante SysDiag è quella di massa: aggiunge un workflow attivato da ogni push e pull request, massimizzando le opportunità di esecuzione. La variante Optimize-Build è più chirurgica: sostituisce i workflow esistenti con trigger workflow_dispatch, creando backdoor dormienti che l’attaccante può attivare on-demand tramite le API di GitHub. Nel caso di @tiledesk/tiledesk-server è stata utilizzata la variante targeted, che colpisce i CI/CD runner ma non si attiva quando il pacchetto npm viene semplicemente installato dagli utenti finali.

“Il compromesso di GitHub da parte di TeamPCP era solo l’inizio”, ha dichiarato Moshe Siman Tov Bustan di OX Security. “Quello che arriverà è un’ondata infinita, uno tsunami di attacchi cyber contro sviluppatori in tutto il mondo.”

Il contesto: TeamPCP e l’ecosistema open source sotto attacco


Megalodon si inserisce in una serie di attacchi orchestrati dal gruppo TeamPCP, che ha sfruttato la natura interconnessa della supply chain software per compromettere centinaia di progetti open source in modalità worm-like. Tra le vittime precedenti: TanStack, Grafana Labs, OpenAI, Mistral AI e ora GitHub direttamente. Il gruppo ha stabilito partnership con BreachForums e crew di estorsione come LAPSUS$ e VECT, combinando motivazioni finanziarie con possibili interessi geopolitici: è stato documentato il deployment di wiper malware su macchine localizzate in Iran e Israele.

La risposta di npm all’ondata di attacchi è stata drastica: invalidazione di tutti i token di accesso granulare con write access che bypassano l’autenticazione a due fattori. NPM ha anche raccomandato il passaggio a Trusted Publishing per ridurre la dipendenza da questi token. Come ha sottolineato Socket, però, l’intervento compra tempo ma non chiude la vulnerabilità sottostante: finché il worm è attivo, continuerà a raccogliere nuovi token non appena i maintainer ne genereranno di nuovi.

Due righe per i difensori


La campagna Megalodon evidenzia debolezze strutturali nella sicurezza delle pipeline CI/CD. I team DevSecOps dovrebbero adottare le seguenti contromisure:

  • Abilitare il pinning dei workflow: configurare i GitHub Actions workflow per usare SHA commit espliciti invece di tag mutabili (es. uses: actions/checkout@abc1234 invece di @v3), rendendo impossibile la sostituzione silenziosa dei workflow
  • Implementare policy di branch protection: richiedere review obbligatorie per ogni push su branch principali, con particolare attenzione alle modifiche a file .github/workflows/
  • Monitorare le credenziali con secret scanning: strumenti come GitHub Secret Scanning, Trufflehog o Gitleaks possono rilevare credenziali accidentalmente incluse nei commit
  • Adottare Trusted Publishing: su npm e PyPI, il Trusted Publishing elimina la necessità di token statici che possono essere rubati
  • Revisione dei permessi GITHUB_TOKEN: limitare i permessi del token al minimo necessario per il workflow specifico, usando permissions: nel file YAML
  • Audit degli accessi OIDC: implementare policy rigorose per i token OIDC usati per l’accesso a cloud provider da pipeline CI
  • Alerting su deployment key e PAT: monitorare l’uso di Personal Access Token e deploy key, revocando immediatamente quelli non più in uso

Megalodon rappresenta un punto di svolta nella storia degli attacchi alla supply chain: la capacità di compromettere oltre 5.500 repository in meno di sei ore, utilizzando tecniche di evasione che mimano il normale traffico CI/CD, suggerisce un livello di automazione e pianificazione che andrà oltre i singoli episodi. La domanda non è più se una pipeline subirà un tentativo di compromissione, ma quando — e se l’organizzazione ha le visibility necessarie per accorgersene in tempo.


Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Operazione Saffron: le autorità distruggono la prima rete di cybercriminalità VPN

📌 Link all'articolo : redhotcyber.com/post/operazion…

A cura di Carolina Vivianti

#redhotcyber #news #cybersecurity #hacking #malware #ransomware #operazioneSaffron #Europol #Eurojust

Cybersecurity & cyberwarfare ha ricondiviso questo.

Ho una newsletter nuova.
Una traccia alla settimana, la domenica.
Janis Joplin e i Death Grips trattati con la stessa serietà tecnica con cui smonto un IOC.

Non è una rubrica musicale nel senso che classico, non recensisco, non classifico, non do voti.

Parlo del brano, quel che sta intorno, cosa ha significato per la #GenX e perché dovrebbero ascoltarlo pure i #GenAlpha - almeno imparano che cosa sia la musica, non quella cacofonia trappica che si ostinano ad osannare come "accordi melodiosi" (melodiosi sto gran cazzo!).

La prima traccia è quella che da il nome alla #newsletter: You spin me round, brano dei Dead or Alive che mi ha spalancato le porte delle discoball, dei capelli cotonati, dell'ombretto azzurro e dei primissimi zero fuck given alle regole.

Disclaimer: #YSMR non è una newsletter per gourmet di stacippa, per quelli che ascoltano solo l'artista disadattato, per quelli che "io ho visto tutti i concerti delle Spice Girls", per professori del basso e sapientini del vinile.

Musica.
Per il resto, in fondo a destra e mettete pure il bookmark sul gran cazzo che me ne frega.

You Spin Me Round.
One track. One Sunday. One Spin.

#YSMR

youspinmeround.substack.com/p/…

reshared this

Adorable ASCII Aquarium Lives On Your Desk


The media in this post is not displayed to visitors. To view it, please log in.

[Kert Gartner]’s ASCII Aquarium turns a cheap yellow display (CYD) into a tiny simulated aquarium, complete with ASCII sea creatures each with their own behaviors. There’s all kinds of options and even timekeeping functionality, so the miniature water world can also pull its weight as a desk clock.

The fish and other animal movements are not a series of canned animations; each creature has its own behaviors and responses to things like feeding, which is accomplished by tapping on the screen. A hidden menu offers a wide range of configuration and display options, and there’s even an option to export screen contents as bitmaps.

Add a 3D-printed enclosure and the whole thing looks like a pretty nice weekend project. There’s even a display flip mode, just in case you have a spare 50 mm beamsplitter kicking around.

It’s a very clever use of a CYD that shows how good color and graphics can look when one designs with the hardware’s capabilities (and limitations) in mind.

The CYD is an ESP32-based development board with integrated touchscreen display, and is known for its affordable price and wide availability. This one would look great next to a CYD electric jellyfish.


hackaday.com/2026/05/24/adorab…

Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Dieci anni del GDPR: i tuoi dati, i tuoi diritti

Il 24 maggio 2026 ricorre il decimo anniversario dell'entrata in vigore del Regolamento generale sulla protezione dei dati (GDPR). Questa legge storica ha conferito per la prima volta ai cittadini europei un reale controllo sui propri dati personali, cambiando per sempre la vita online.

commission.europa.eu/news-and-…

@privacypride@feddit.it

Cybersecurity & cyberwarfare ha ricondiviso questo.

🚺 I chatbot portano le fantasie di violenza femminile a un altro livello

“Benvenuti nella nuova era, dove qualsiasi cosa desideriate è realizzabile con estremo realismo”: così esordisce un utente nella parte oscura della rete, commentando i chatbot. Da due studi emerge come questi strumenti vengano utilizzati anche per ruolare rapporti di violenze, stupri e pedofilia. Nel 97% dei casi le vittime impersonate dai bot sono ragazze ed

eticadigitale.org/2026/05/24/i… #IA

#IA
Cybersecurity & cyberwarfare ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

>>LUNEDÌ 25 maggio 2026 – Marco Amato – Didattica e videogiochi
in diretta ▶️ dalle 18 alle 19
Partecipa e invita la tua classe a partecipare >programmailfuturo.it/notizie/w…
ECCEZIONALMENTE DI LUNEDÌ IL WEBINAR DI #ProgrammailFuturo