Zero-day startup Paradigm Shift took down the blog post and corresponding Proof-of-Concept code for the iPhone flaw they dubbed Usbliter8.
Takedown comes following a judge order in the lawsuit filed by Magnet Forensics, which alleges a former employee now at the startup stole the flaw.
Cybersecurity & cyberwarfare reshared this.
Cisco Talos uncovered msaRAT, a Chaos ransomware RAT that hides C2 traffic by routing it through Chrome or Edge browsers.Pierluigi Paganini (Security Affairs)
Cybersecurity & cyberwarfare reshared this.
reshared this
✨ Cl0p sfrutta una falla critica in PTC Windchill e FlexPLM: webshell ed estorsioni nella supply chain del manufacturing
#CyberSecurity
insicurezzadigitale.com/cl0p-s…
Cl0p sfrutta una falla critica in PTC Windchill e FlexPLM: webshell ed estorsioni nella supply chain del manufacturing
Cl0p torna a colpire dove sa fare più male: non un endpoint qualsiasi, ma il software che tiene insieme la catena di progettazione e produzione di centinaia di aziende manifatturiere, automotive, aerospaziali e di abbigliamento. La gang, la stessa che ha reso celebri gli attacchi di massa contro MOVEit, GoAnywhere MFT e Accellion FTA, sta ora sfruttando una falla critica in PTC Windchill e FlexPLM per ottenere accesso non autenticato, installare webshell e avviare campagne di estorsione su scala industriale.Un bersaglio scelto con cura: il PLM come infrastruttura critica invisibile
Windchill è la piattaforma di Product Lifecycle Management (PLM) di PTC usata da produttori e ingegneri per gestire distinte base, disegni CAD, cicli di revisione e conformità normativa. FlexPLM è la sua controparte pensata per retail, abbigliamento, calzature e beni di consumo. Sono, in sostanza, il “sistema nervoso” della progettazione di prodotto: chi compromette Windchill non ruba solo dati, ottiene la proprietà intellettuale che tiene in piedi intere linee produttive, spesso condivise con fornitori e terze parti a valle della catena. È esattamente il tipo di software “orizzontale ma invisibile” che Cl0p ha sempre preferito, sul modello già visto con MOVEit nel 2023: individuare una falla in un prodotto enterprise diffuso, sfruttarla in massa prima che le patch si diffondano, poi monetizzare i dati sottratti con estorsioni multiple.La falla: CVE-2026-12569, CVSS 9.3
La vulnerabilità alla base della campagna è un caso di improper input validation legato alla deserializzazione di dati non attendibili in Windchill, che consente a un attaccante remoto e non autenticato di eseguire codice arbitrario con una singola richiesta malformata. Secondo l’advisory diffusa da ricercatori di threat intelligence (ecrime.ch) e ripresa dagli analisti, l’affiliato Cl0p osservato in queste settimane concatena due debolezze distinte: una falla di information disclosure nel WSDL di FlexPLM, che permette di mappare gli endpoint e raccogliere informazioni utili sull’istanza target, e una vulnerabilità nel servlet di login di Windchill, che consente di bypassare l’autenticazione e ottenere RCE. Il risultato è una catena di exploit pienamente “unauthenticated to RCE”, il tipo di primitiva che i gruppi ransomware più organizzati amano weaponizzare in pochi giorni.PTC ha comunicato la vulnerabilità il 17 giugno 2026, rilasciando le prime patch il giorno successivo dopo aver confermato exploitation attiva in the wild. CISA ha inserito CVE-2026-12569 nel proprio Known Exploited Vulnerabilities (KEV) catalog il 25 giugno, imponendo alle agenzie federali statunitensi la remediation entro il 28 giugno: è la prima vulnerabilità di un prodotto PTC ad entrare nel KEV. In Germania, il BSI e la polizia federale (BKA) hanno avvisato direttamente le aziende esposte già dalla notte del 17 giugno, un déjà-vu rispetto a un’altra vulnerabilità RCE nelle stesse piattaforme (CVE-2026-4681) divulgata a marzo 2026.
Dalla falla alla webshell: la firma operativa dell’attacco
Una volta ottenuta l’esecuzione di codice, gli operatori osservati droppano webshell JSP persistenti seguendo uno schema di naming riconoscibile: file con nome esadecimale a 16 caratteri collocati sotto il percorso di login di Windchill. Da lì gestiscono comandi da remoto, effettuano attività di file-listing (lasciando spesso una traccia in un file temporaneo) ed esfiltrano dati prima di passare alla fase di estorsione, con email inviate direttamente alle organizzazioni colpite nei settori Manufacturing, Automotive, Aerospace e Retail/Apparel. Non risultano, al momento, evidenze pubbliche di deployment di ransomware “classico” con cifratura dei file: lo schema resta quello, tipico di Cl0p dal 2023 in poi, di furto massivo di dati seguito da doppia estorsione senza necessariamente criptare gli ambienti compromessi.Due righe per i difensori: rischio supply chain, non solo perimetrale
Il vero elemento di rischio geopolitico e industriale qui non è la singola azienda compromessa, ma l’effetto a cascata: Windchill e FlexPLM sono spesso condivisi con OEM, fornitori Tier 1 e partner di co-design. Un accesso non autorizzato ai repository PLM significa potenziale esposizione di disegni tecnici, specifiche di materiali, cicli di produzione e roadmap di prodotto — informazioni che hanno valore sia per la criminalità organizzata in cerca di leva estorsiva, sia, in scenari più sensibili (difesa, aerospazio), per attori interessati allo spionaggio industriale. È lo stesso pattern di rischio già visto con gli attacchi a piattaforme di file transfer enterprise: la superficie non è l’endpoint dell’utente, ma il software B2B che nessuno vede ma su cui si regge la produzione.
- Applicare immediatamente le patch PTC per Windchill e FlexPLM (rilasciate dal 18 giugno 2026) su tutte le versioni supportate.
- Verificare la presenza di webshell nel percorso
/Windchill/login/con nomi esadecimali a 16 caratteri.- Analizzare i log HTTP per richieste POST anomale verso gli endpoint di login e per l’header
X-windchill-req.- Bloccare al perimetro gli indirizzi IP noti come infrastruttura di comando e controllo.
- Limitare l’esposizione diretta a Internet dell’endpoint di login Windchill dove operativamente possibile, instradando l’accesso tramite VPN o gateway con MFA.
- Effettuare un controllo retrospettivo dei log di accesso per individuare eventuali esfiltrazioni avvenute prima della patch.
Indicatori di compromissione
# Indirizzi IP associati all'infrastruttura d'attacco 172.111.38.31 216.152.148.54 104.243.35.131 74.50.76.146 5.180.41.35 # C2 - bloccare immediatamente al perimetro # Pattern webshell /Windchill/login/[0-9a-f]{16}.jsp # Hash file webshell (SHA-256) 55a1eb4c2d3da04376df39d7ba832569c6af1a37a0cf2b95f754ac898023a30c # Marcatore di attivita di file-listing dell'attaccante /tmp/flst.txt (o nella working directory di Windchill) # Header HTTP sospetto usato dagli operatori X-windchill-req: *
Per i team di sicurezza che gestiscono ambienti PLM esposti, il messaggio è chiaro: la finestra tra disclosure pubblica e weaponization da parte di gruppi come Cl0p si è ormai ridotta a giorni, non settimane. Chi non ha ancora patchato Windchill o FlexPLM dovrebbe considerare l’ambiente potenzialmente già compromesso e agire di conseguenza, con hunting retroattivo prima ancora del solo deployment della patch.
reshared this
✨ Cruciferra: il crypter da 2.000 dollari al mese che uccide gli EDR e fa sparire il malware dal disco
#CyberSecurity
insicurezzadigitale.com/crucif…
Cruciferra: il crypter da 2.000 dollari al mese che uccide gli EDR e fa sparire il malware dal disco
Sui forum underground si vende come “il crypter più letale del sottosuolo”. Cruciferra, in vendita dall’autunno 2025 su Exploit[.]in a partire da 450 dollari al mese fino a 2.000 per la versione completa, non è l’ennesimo offuscatore di malware: secondo un’analisi pubblicata da Proofpoint il 20 luglio, il servizio combina disattivazione degli EDR via driver vulnerabili, syscall indiretti, un motore di cifratura polimorfico con oltre 90 combinazioni di algoritmi e una variante custom della tecnica di Process Ghosting. Il risultato è un payload che gira in memoria senza mai esistere in forma scansionabile su disco.Un “umbrella service” per decine di gruppi criminali scollegati tra loro
Cruciferra non è legato a un singolo attore: Proofpoint lo descrive come un servizio “ombrello”, utilizzato in decine di campagne indipendenti per proteggere payload molto diversi tra loro, da AsyncRAT e Agent Tesla a Remcos, XWorm, zgRAT, Formbook/XLoader, DarkCloud Stealer, Phantom Stealer, Snake Keylogger e ValleyRAT. Scritto in Mono, il crypter viene sempre eseguito tramite DLL side-loading: la vittima scarica un archivio contenente un eseguibile legittimo in apparenza e una DLL malevola, che viene caricata automaticamente al lancio del programma principale.Tra i clienti identificati da Proofpoint figura TA4922, gruppo cinese di cybercrime già noto per l’espansione delle proprie campagne a livello globale. Tra fine aprile e inizio giugno 2026, TA4922 ha condotto almeno quattro campagne da poche centinaia di email ciascuna, con esche a tema fiscale che impersonavano l’Income Tax Department indiano per convincere le vittime a scaricare archivi ZIP contenenti il loader di AsyncRAT. Altre campagne osservate hanno sfruttato notifiche fasulle della Social Security Administration statunitense per distribuire XWorm e AdaptixC2 tramite file VHD, mentre una campagna di fine giugno ha usato reclami di ospiti su presunte cimici da letto per colpire il settore alberghiero con zgRAT.
Come Cruciferra acceca gli EDR
Prima ancora di eseguire il payload finale, Cruciferra dedica gran parte del proprio codice a rendersi invisibile agli strumenti di analisi e difesa. Il DLL principale contiene spesso centinaia o migliaia di funzioni esportate fittizie che puntano a codice spazzatura: solo una manciata di export porta effettivamente al codice malevolo, rendendo più difficile per un analista o un sandbox individuare il punto di ingresso reale. Il malware nasconde poi le finestre di console che potrebbero tradire un’infezione, tramite un thread in background che scandisce ripetutamente l’albero dei processi cercando finestre di classe “ConsoleWindowClass” da occultare con ShowWindow e SetWindowPos.Sul fronte della telemetria, Cruciferra applica un unhooking sistematico delle funzioni monitorate da EDR e antivirus, ripristinando una copia pulita delle DLL di sistema in memoria per rimuovere gli hook installati dai prodotti di sicurezza. Ricorre inoltre a syscall indiretti: legge una copia pulita di ntdll.dll dal disco e ne conserva gli stub in una struttura globale, così da invocare le API senza passare dagli hook inline che gli EDR installano solitamente su ntdll.dll. A completare il quadro, il malware ripara anche eventuali hook sulla Import Address Table (IAT), una tecnica più datata ma qui reintrodotta deliberatamente, e disabilita le notifiche di sistema modificando chiavi di registro come ToastEnabled e Balloon, per impedire che Windows Defender o il Security Center mostrino avvisi visibili all’utente.
BYOVD: un driver forense trasformato in killer di EDR
L’elemento più aggressivo del crypter è l’abuso di driver kernel legittimi ma vulnerabili, tecnica nota come Bring-Your-Own-Vulnerable-Driver (BYOVD). Cruciferra rilascia sul sistema un “helper driver” firmato digitalmente, spesso il driver GoFlyDrv.sys, e lo usa per inviare comandi IOCTL a basso livello che terminano i processi degli agenti EDR individuati scandendo la lista dei processi attivi. In alternativa, gli analisti hanno osservato anche altri driver impiegati con la stessa logica: Core64.sys, HwOs2Ec.sys, LnvMSRIO.sys, MemoryInformer.sys, NTIOLib_X64.sys, ProcessMonitorDriver.sys e selfprot.sys. Trattandosi di driver firmati da produttori legittimi (spesso strumenti diagnostici o di manutenzione hardware), Windows li carica senza obiezioni nonostante le vulnerabilità note che permettono di trasformarli in armi contro gli stessi prodotti di sicurezza che dovrebbero fermarli.Per elevare i propri privilegi quando non gira già come amministratore, Cruciferra sfrutta inoltre il bypass dello User Account Control tramite COM Elevation Moniker, e garantisce la persistenza scrivendo una voce denominata “putty” nella chiave di registro Run, così da rieseguirsi automaticamente a ogni riavvio del sistema.
Process Ghosting “potenziato”: nessun file da scansionare
Per l’esecuzione finale del payload, Cruciferra adotta una variante della tecnica di Process Ghosting: crea un file temporaneo, lo marca per l’eliminazione tramite NtSetInformationFile, vi scrive il payload malevolo, quindi crea una sezione immagine con NtCreateSection e SEC_IMAGE prima di chiudere l’handle. Il file viene cancellato dal disco dal sistema operativo, ma la sezione di memoria che lo rappresenta resta viva; un processo legittimo viene poi creato in stato sospeso, la sezione “fantasma” vi viene mappata tramite NtMapViewOfSection, e il contesto del thread viene reindirizzato al vero punto di ingresso del payload prima di riprendere l’esecuzione. Il risultato è un processo in esecuzione supportato da un’immagine PE che non è mai esistita su disco in una forma analizzabile.Cruciferra aggiunge due ulteriori accorgimenti a questa tecnica, già di per sé insidiosa: applica una patch a ZwQueryVirtualMemory in modo che, quando un EDR interroga la regione di memoria “fantasma”, riceva una risposta manipolata che nasconde l’anomalia del file cancellato; e neutralizza NtManageHotPatch, funzione che il sistema operativo può usare per validare l’integrità delle sezioni immagine caricate rispetto al file su disco che le supporta, impedendo così qualunque verifica di coerenza da parte del kernel.
Crittografia su misura: oltre 90 algoritmi ricombinati
Il payload viene conservato nella sezione “.reloc” del binario, codificato in Base16 con un set di caratteri personalizzato, e protetto da uno delle oltre 90 varianti di algoritmi crittografici che Cruciferra può generare combinando componenti presi da cifrari e generatori di numeri pseudocasuali noti: Keccak (SHA-3), convoluzione ciclica, reti Feistel generalizzate, SPECK-128/256 in modalità CTR, PRNG multiply-accumulate, una versione modificata di Threefish-256, combinazioni Xorshift64/middle-square e diverse varianti ARX (Addition-Rotation-XOR). L’unico algoritmo standard rimasto intatto è DES-CBC-PKCS7. Questo approccio “bring your own crypto” rende ogni campione sostanzialmente unico dal punto di vista crittografico, complicando enormemente il rilevamento basato su firme statiche.Un dettaglio utile ai difensori: i metadati “File Version Information” dei binari generati da Cruciferra contengono spesso stringhe casuali generate combinando due o quattro parole a caso (ad esempio “2026 Colpoplastric Semipreactical Group” nei campi Copyright, Product e Description), un pattern che, unito a firme YARA mirate, ha permesso a Proofpoint di tracciare su VirusTotal nuove build del crypter caricate a intervalli di pochi minuti, segno di un servizio in sviluppo attivo e continuo.
Due righe per i difensori
- Bloccare il caricamento dei driver kernel noti come vulnerabili tramite la lista di blocco di Microsoft (HVCI/driver blocklist) e strumenti come LOLDrivers, includendo GoFlyDrv.sys e gli altri driver associati a Cruciferra.
- Monitorare la creazione di sezioni immagine da file marcati per l’eliminazione (NtCreateSection su file con delete-pending) come indicatore di Process Ghosting, oltre a chiamate anomale a NtManageHotPatch.
- Verificare la presenza della chiave di persistenza “putty” nel Run key del registro, un IOC comportamentale a basso costo di rilevamento.
- Applicare filtri anti-phishing rafforzati sulle esche a tema fiscale e previdenziale, particolarmente ricorrenti nelle campagne osservate.
- Dare priorità a soluzioni EDR con protezione kernel indipendente dal proprio agente in user-mode, per resistere a tecniche BYOVD che colpiscono direttamente il processo dell’agente.
Cruciferra conferma una tendenza ormai consolidata nel malware-as-a-service: la sofisticazione tecnica un tempo riservata agli APT state-sponsored è oggi acquistabile con un abbonamento mensile, e la vera barriera all’ingresso per il cybercrime commodity non è più scrivere codice evasivo, ma semplicemente pagare chi lo ha già scritto.
IoC
# Driver BYOVD abusati da Cruciferra (SHA-256) Core64.sys 17aae57cf6255c7eb169bf62ea67376d9708976eb7831f8cdd0ea38bdcb37dc4 GoFlyDrv.sys 2fdfdd13a0c548bb68c9d5aa8599a9265d4659da3e237fe7a42ac6ac06b9a06a HwOs2Ec.sys c4e93449453cf67c5d5605bb8f425207a738a242fdb432d720acc32faa74926c LnvMSRIO.sys c5b1e9aafc8f2b4ab05effc00fd43f3114b9ef1d592a086c952793ac4e299809 MemoryInformer.sys 7887e919555fb5948c217556ba149392a72982b1bc427d3db779db9dcbf09ee8 NTIOLib_X64.sys 09bedbf7a41e0f8dabe4f41d331db58373ce15b2e9204540873a1884f38bdde1 ProcessMonitorDriver.sys 5b4f59236a9b950bcd5191b35d19125f60cfb9e1a1e1aa2e4f914b6745dde9df selfprot.sys c46e907886e2158cbc453e767183aecf07887b5ac8848f19684451883d69f5f0 # Campagna TA4922 / Cruciferra / AsyncRAT hxxp://hsahyteiows[.]gu[.]cc hxxp://yicoweytcbtw[.]gu[.]cc hxxp://xkcifgieusr[.]gu[.]cc hxxp://fuaytrwese[.]love 3c181f642e24c28602a87be7f195e2f3d1ffa30b37e20f5121d99f88b22ab80e (Tax-Number52563.zip, SHA256) 66dbe675480dc229e5b3ab8ad74207f73486e64e57805074f784bb2e01bcb865 (Tax-Number809863.zip, SHA256) # Campagna XWorm gatuso[.]duckdns[.]org (C2) # Campagna zgRAT digital-magicians[.]com/photo295825092412[.]zip (Payload URL) 0zbqnac1t4dv2t2wuodv1m[.]com (C2) 89[.]34[.]90[.]99:56001 (C2) # Persistenza Registro: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\putty
reshared this
A great many drones out there, whether homebuilt or store-bought, follow the same basic format. Four motors, some kind of controller, and a lithium-polymer battery supplying the juice to keep everything in the air. It’s a format that produces a remarkably capable air vehicle, suitable for everything from high-speed camera work to urban search and rescue.
With that said, the format does have its limitations. [Suryansh Sharma] has been working on alternative designs for fancy and interesting drones that are half quadcopter and half blimp, and he came to Hackaday Europe 2026 to tell us all about it.
youtube.com/embed/fMzNm6QcVuo?…
[Suryansh]’s talk took in a number of drone projects which he has been involved with. The first was the creatively-named BEAVIS, or Balloon Enabled Aerial Vehicle for IoT and Sensing. This was a project that aimed to tackle one of the greatest limitations of the common multirotor drone. Namely, as [Suryansh] so elegantly puts it, they “suck when it comes to staying in the air.” This is for a very simple reason—much like the helicopter, a multirotor drone must expend energy continuously to generate lift by spinning its propellers. Conventional multirotors don’t have wings that generate lift from forward motion, and any sort of gliding or similar behavior is basically impossible. Continual energy expenditure is the only thing keeping a multirotor aloft.
The point of BEAVIS was to fix this by combining drone tech with a simple lighter-than-air balloon. It’s an interesting combination, because a multirotor drone has excellent maneuverability and agility, but terrible endurance. A lighter-than-air balloon is quite the opposite, which has excellent endurance while suffering in all other respects. The BEAVIS concept outfits a small balloon with four motors in a split-cross configuration, which allows for planar translation as well as the ability to control yaw of the craft. With all four motors mounted horizontally in the same plane, it may seem like vertical control is not possible. However, by turning on two opposing props, it’s possible to create a low-pressure region beneath the craft which tends to push it downwards. Meanwhile, if you turn all four props on in the right directions, you create a high pressure region underneath the balloon which pushes the craft up. With the balloon, it has the benefit of being able to just hang in the air without continually burning through battery power. Endurance times of well over an hour were possible with this build, compared to maybe less than ten minutes for a comparable pure multirotor.
BEAVIS was eventually developed into Janus— described as a “morphing quadrotor blimp with balloon failure resilience.” The goal was to build a craft that was viable for deployment in the real world, and that could undertake mobile ecological sensing work. The main difference to the previous design was that it would no longer solely fly as a balloon with horizontally-mounted props. Instead, Janus would feature a mechanism to allow the rotors to be positioned in the vertical axis to allow for conventional multirotor flight. This was key to allowing the craft to fly both as a lighter-than-air craft, and to survive and keep flying in the event the balloon burst or was otherwise damaged. The build was eventually deployed in Kenya to aid in ecological data collection for conservation efforts.
[Suryansh] has been involved in other drone-related projects, too. Open Gimbal was a particularly interesting effort, involving the construction of a bench-testing rig for developing small multirotor drone craft. The 3-DoF platform offered unrestricted rotational freedom, allowing for a craft to be put through its paces in a controlled way without requiring a large open space for free flight. [Suryansh] also discusses his work with a company called Avy, which specializes in VTOL drones with a focus on emergency response roles. The company has deployed drones that use multirotor technology to launch vertically, while relying on fixed wing aerodynamic elements to extend range and improve efficiency for longer flight times. The drones feature a neat charging setup, wherein pogo pins on the fins pick up power from the metal launchpad to ensure that batteries are fully charged and the drone is ready to go at all times.
Ultimately, multirotor drones have taken on their basic form for good reason. With that said, as [Suryansh]’s talk explains, modifications to the form can have great utility when made to suit a particularly specific mission or application. If you’re developing a drone for a certain purpose, and you’re running into hard limitations, you might try thinking outside the box to make something more fitting for your goals.
Cybersecurity & cyberwarfare reshared this.
Sui forum underground si vende come “il crypter più letale del sottosuolo”. Cruciferra, in vendita dall’autunno 2025 su Exploit[.]in a partire da 450 dollari al mese fino a 2.000 per la versione completa, non è l’ennesimo offuscatore di malware: secondo un’analisi pubblicata da Proofpoint il 20 luglio, il servizio combina disattivazione degli EDR via driver vulnerabili, syscall indiretti, un motore di cifratura polimorfico con oltre 90 combinazioni di algoritmi e una variante custom della tecnica di Process Ghosting. Il risultato è un payload che gira in memoria senza mai esistere in forma scansionabile su disco.
Cruciferra non è legato a un singolo attore: Proofpoint lo descrive come un servizio “ombrello”, utilizzato in decine di campagne indipendenti per proteggere payload molto diversi tra loro, da AsyncRAT e Agent Tesla a Remcos, XWorm, zgRAT, Formbook/XLoader, DarkCloud Stealer, Phantom Stealer, Snake Keylogger e ValleyRAT. Scritto in Mono, il crypter viene sempre eseguito tramite DLL side-loading: la vittima scarica un archivio contenente un eseguibile legittimo in apparenza e una DLL malevola, che viene caricata automaticamente al lancio del programma principale.
Tra i clienti identificati da Proofpoint figura TA4922, gruppo cinese di cybercrime già noto per l’espansione delle proprie campagne a livello globale. Tra fine aprile e inizio giugno 2026, TA4922 ha condotto almeno quattro campagne da poche centinaia di email ciascuna, con esche a tema fiscale che impersonavano l’Income Tax Department indiano per convincere le vittime a scaricare archivi ZIP contenenti il loader di AsyncRAT. Altre campagne osservate hanno sfruttato notifiche fasulle della Social Security Administration statunitense per distribuire XWorm e AdaptixC2 tramite file VHD, mentre una campagna di fine giugno ha usato reclami di ospiti su presunte cimici da letto per colpire il settore alberghiero con zgRAT.
Prima ancora di eseguire il payload finale, Cruciferra dedica gran parte del proprio codice a rendersi invisibile agli strumenti di analisi e difesa. Il DLL principale contiene spesso centinaia o migliaia di funzioni esportate fittizie che puntano a codice spazzatura: solo una manciata di export porta effettivamente al codice malevolo, rendendo più difficile per un analista o un sandbox individuare il punto di ingresso reale. Il malware nasconde poi le finestre di console che potrebbero tradire un’infezione, tramite un thread in background che scandisce ripetutamente l’albero dei processi cercando finestre di classe “ConsoleWindowClass” da occultare con ShowWindow e SetWindowPos.
Sul fronte della telemetria, Cruciferra applica un unhooking sistematico delle funzioni monitorate da EDR e antivirus, ripristinando una copia pulita delle DLL di sistema in memoria per rimuovere gli hook installati dai prodotti di sicurezza. Ricorre inoltre a syscall indiretti: legge una copia pulita di ntdll.dll dal disco e ne conserva gli stub in una struttura globale, così da invocare le API senza passare dagli hook inline che gli EDR installano solitamente su ntdll.dll. A completare il quadro, il malware ripara anche eventuali hook sulla Import Address Table (IAT), una tecnica più datata ma qui reintrodotta deliberatamente, e disabilita le notifiche di sistema modificando chiavi di registro come ToastEnabled e Balloon, per impedire che Windows Defender o il Security Center mostrino avvisi visibili all’utente.
L’elemento più aggressivo del crypter è l’abuso di driver kernel legittimi ma vulnerabili, tecnica nota come Bring-Your-Own-Vulnerable-Driver (BYOVD). Cruciferra rilascia sul sistema un “helper driver” firmato digitalmente, spesso il driver GoFlyDrv.sys, e lo usa per inviare comandi IOCTL a basso livello che terminano i processi degli agenti EDR individuati scandendo la lista dei processi attivi. In alternativa, gli analisti hanno osservato anche altri driver impiegati con la stessa logica: Core64.sys, HwOs2Ec.sys, LnvMSRIO.sys, MemoryInformer.sys, NTIOLib_X64.sys, ProcessMonitorDriver.sys e selfprot.sys. Trattandosi di driver firmati da produttori legittimi (spesso strumenti diagnostici o di manutenzione hardware), Windows li carica senza obiezioni nonostante le vulnerabilità note che permettono di trasformarli in armi contro gli stessi prodotti di sicurezza che dovrebbero fermarli.
Per elevare i propri privilegi quando non gira già come amministratore, Cruciferra sfrutta inoltre il bypass dello User Account Control tramite COM Elevation Moniker, e garantisce la persistenza scrivendo una voce denominata “putty” nella chiave di registro Run, così da rieseguirsi automaticamente a ogni riavvio del sistema.
Per l’esecuzione finale del payload, Cruciferra adotta una variante della tecnica di Process Ghosting: crea un file temporaneo, lo marca per l’eliminazione tramite NtSetInformationFile, vi scrive il payload malevolo, quindi crea una sezione immagine con NtCreateSection e SEC_IMAGE prima di chiudere l’handle. Il file viene cancellato dal disco dal sistema operativo, ma la sezione di memoria che lo rappresenta resta viva; un processo legittimo viene poi creato in stato sospeso, la sezione “fantasma” vi viene mappata tramite NtMapViewOfSection, e il contesto del thread viene reindirizzato al vero punto di ingresso del payload prima di riprendere l’esecuzione. Il risultato è un processo in esecuzione supportato da un’immagine PE che non è mai esistita su disco in una forma analizzabile.
Cruciferra aggiunge due ulteriori accorgimenti a questa tecnica, già di per sé insidiosa: applica una patch a ZwQueryVirtualMemory in modo che, quando un EDR interroga la regione di memoria “fantasma”, riceva una risposta manipolata che nasconde l’anomalia del file cancellato; e neutralizza NtManageHotPatch, funzione che il sistema operativo può usare per validare l’integrità delle sezioni immagine caricate rispetto al file su disco che le supporta, impedendo così qualunque verifica di coerenza da parte del kernel.
Il payload viene conservato nella sezione “.reloc” del binario, codificato in Base16 con un set di caratteri personalizzato, e protetto da uno delle oltre 90 varianti di algoritmi crittografici che Cruciferra può generare combinando componenti presi da cifrari e generatori di numeri pseudocasuali noti: Keccak (SHA-3), convoluzione ciclica, reti Feistel generalizzate, SPECK-128/256 in modalità CTR, PRNG multiply-accumulate, una versione modificata di Threefish-256, combinazioni Xorshift64/middle-square e diverse varianti ARX (Addition-Rotation-XOR). L’unico algoritmo standard rimasto intatto è DES-CBC-PKCS7. Questo approccio “bring your own crypto” rende ogni campione sostanzialmente unico dal punto di vista crittografico, complicando enormemente il rilevamento basato su firme statiche.
Un dettaglio utile ai difensori: i metadati “File Version Information” dei binari generati da Cruciferra contengono spesso stringhe casuali generate combinando due o quattro parole a caso (ad esempio “2026 Colpoplastric Semipreactical Group” nei campi Copyright, Product e Description), un pattern che, unito a firme YARA mirate, ha permesso a Proofpoint di tracciare su VirusTotal nuove build del crypter caricate a intervalli di pochi minuti, segno di un servizio in sviluppo attivo e continuo.
Cruciferra conferma una tendenza ormai consolidata nel malware-as-a-service: la sofisticazione tecnica un tempo riservata agli APT state-sponsored è oggi acquistabile con un abbonamento mensile, e la vera barriera all’ingresso per il cybercrime commodity non è più scrivere codice evasivo, ma semplicemente pagare chi lo ha già scritto.
# Driver BYOVD abusati da Cruciferra (SHA-256)
Core64.sys 17aae57cf6255c7eb169bf62ea67376d9708976eb7831f8cdd0ea38bdcb37dc4
GoFlyDrv.sys 2fdfdd13a0c548bb68c9d5aa8599a9265d4659da3e237fe7a42ac6ac06b9a06a
HwOs2Ec.sys c4e93449453cf67c5d5605bb8f425207a738a242fdb432d720acc32faa74926c
LnvMSRIO.sys c5b1e9aafc8f2b4ab05effc00fd43f3114b9ef1d592a086c952793ac4e299809
MemoryInformer.sys 7887e919555fb5948c217556ba149392a72982b1bc427d3db779db9dcbf09ee8
NTIOLib_X64.sys 09bedbf7a41e0f8dabe4f41d331db58373ce15b2e9204540873a1884f38bdde1
ProcessMonitorDriver.sys 5b4f59236a9b950bcd5191b35d19125f60cfb9e1a1e1aa2e4f914b6745dde9df
selfprot.sys c46e907886e2158cbc453e767183aecf07887b5ac8848f19684451883d69f5f0
# Campagna TA4922 / Cruciferra / AsyncRAT
hxxp://hsahyteiows[.]gu[.]cc
hxxp://yicoweytcbtw[.]gu[.]cc
hxxp://xkcifgieusr[.]gu[.]cc
hxxp://fuaytrwese[.]love
3c181f642e24c28602a87be7f195e2f3d1ffa30b37e20f5121d99f88b22ab80e (Tax-Number52563.zip, SHA256)
66dbe675480dc229e5b3ab8ad74207f73486e64e57805074f784bb2e01bcb865 (Tax-Number809863.zip, SHA256)
# Campagna XWorm
gatuso[.]duckdns[.]org (C2)
# Campagna zgRAT
digital-magicians[.]com/photo295825092412[.]zip (Payload URL)
0zbqnac1t4dv2t2wuodv1m[.]com (C2)
89[.]34[.]90[.]99:56001 (C2)
# Persistenza
Registro: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\puttyreshared this
Cl0p torna a colpire dove sa fare più male: non un endpoint qualsiasi, ma il software che tiene insieme la catena di progettazione e produzione di centinaia di aziende manifatturiere, automotive, aerospaziali e di abbigliamento. La gang, la stessa che ha reso celebri gli attacchi di massa contro MOVEit, GoAnywhere MFT e Accellion FTA, sta ora sfruttando una falla critica in PTC Windchill e FlexPLM per ottenere accesso non autenticato, installare webshell e avviare campagne di estorsione su scala industriale.
Windchill è la piattaforma di Product Lifecycle Management (PLM) di PTC usata da produttori e ingegneri per gestire distinte base, disegni CAD, cicli di revisione e conformità normativa. FlexPLM è la sua controparte pensata per retail, abbigliamento, calzature e beni di consumo. Sono, in sostanza, il “sistema nervoso” della progettazione di prodotto: chi compromette Windchill non ruba solo dati, ottiene la proprietà intellettuale che tiene in piedi intere linee produttive, spesso condivise con fornitori e terze parti a valle della catena. È esattamente il tipo di software “orizzontale ma invisibile” che Cl0p ha sempre preferito, sul modello già visto con MOVEit nel 2023: individuare una falla in un prodotto enterprise diffuso, sfruttarla in massa prima che le patch si diffondano, poi monetizzare i dati sottratti con estorsioni multiple.
La vulnerabilità alla base della campagna è un caso di improper input validation legato alla deserializzazione di dati non attendibili in Windchill, che consente a un attaccante remoto e non autenticato di eseguire codice arbitrario con una singola richiesta malformata. Secondo l’advisory diffusa da ricercatori di threat intelligence (ecrime.ch) e ripresa dagli analisti, l’affiliato Cl0p osservato in queste settimane concatena due debolezze distinte: una falla di information disclosure nel WSDL di FlexPLM, che permette di mappare gli endpoint e raccogliere informazioni utili sull’istanza target, e una vulnerabilità nel servlet di login di Windchill, che consente di bypassare l’autenticazione e ottenere RCE. Il risultato è una catena di exploit pienamente “unauthenticated to RCE”, il tipo di primitiva che i gruppi ransomware più organizzati amano weaponizzare in pochi giorni.
PTC ha comunicato la vulnerabilità il 17 giugno 2026, rilasciando le prime patch il giorno successivo dopo aver confermato exploitation attiva in the wild. CISA ha inserito CVE-2026-12569 nel proprio Known Exploited Vulnerabilities (KEV) catalog il 25 giugno, imponendo alle agenzie federali statunitensi la remediation entro il 28 giugno: è la prima vulnerabilità di un prodotto PTC ad entrare nel KEV. In Germania, il BSI e la polizia federale (BKA) hanno avvisato direttamente le aziende esposte già dalla notte del 17 giugno, un déjà-vu rispetto a un’altra vulnerabilità RCE nelle stesse piattaforme (CVE-2026-4681) divulgata a marzo 2026.
Una volta ottenuta l’esecuzione di codice, gli operatori osservati droppano webshell JSP persistenti seguendo uno schema di naming riconoscibile: file con nome esadecimale a 16 caratteri collocati sotto il percorso di login di Windchill. Da lì gestiscono comandi da remoto, effettuano attività di file-listing (lasciando spesso una traccia in un file temporaneo) ed esfiltrano dati prima di passare alla fase di estorsione, con email inviate direttamente alle organizzazioni colpite nei settori Manufacturing, Automotive, Aerospace e Retail/Apparel. Non risultano, al momento, evidenze pubbliche di deployment di ransomware “classico” con cifratura dei file: lo schema resta quello, tipico di Cl0p dal 2023 in poi, di furto massivo di dati seguito da doppia estorsione senza necessariamente criptare gli ambienti compromessi.
Il vero elemento di rischio geopolitico e industriale qui non è la singola azienda compromessa, ma l’effetto a cascata: Windchill e FlexPLM sono spesso condivisi con OEM, fornitori Tier 1 e partner di co-design. Un accesso non autorizzato ai repository PLM significa potenziale esposizione di disegni tecnici, specifiche di materiali, cicli di produzione e roadmap di prodotto — informazioni che hanno valore sia per la criminalità organizzata in cerca di leva estorsiva, sia, in scenari più sensibili (difesa, aerospazio), per attori interessati allo spionaggio industriale. È lo stesso pattern di rischio già visto con gli attacchi a piattaforme di file transfer enterprise: la superficie non è l’endpoint dell’utente, ma il software B2B che nessuno vede ma su cui si regge la produzione.
/Windchill/login/ con nomi esadecimali a 16 caratteri.X-windchill-req.# Indirizzi IP associati all'infrastruttura d'attacco
172.111.38.31
216.152.148.54
104.243.35.131
74.50.76.146
5.180.41.35 # C2 - bloccare immediatamente al perimetro
# Pattern webshell
/Windchill/login/[0-9a-f]{16}.jsp
# Hash file webshell (SHA-256)
55a1eb4c2d3da04376df39d7ba832569c6af1a37a0cf2b95f754ac898023a30c
# Marcatore di attivita di file-listing dell'attaccante
/tmp/flst.txt (o nella working directory di Windchill)
# Header HTTP sospetto usato dagli operatori
X-windchill-req: *reshared this
Running DOOM on weird obscure hardware is a fun hacker pastime that’s been around for a long time now. It’s always enjoyable to see someone port it to an egg timer, or a hat, or whatever else. But what about running the iconic shooteron a CPU of your very own? [Armaan] and [Liam] have done just that.
The CPU in question was designed at the logic gate level, deployed on to an FPGA, and hooked up with the necessary peripherals to run as a going concern. Early testing of the CPU involved running straightforward code to generate Mandelbrot sets and to play a simple game of Pong. But [Armaan] and [Liam] had bigger goals: to port the game that everybody ports to everything. Doing that took some work.
To get DOOM running, the CPU had to get faster, and it needed many tweaks to how memory was handled. There was also work to be done to create a keyboard interface, an HDMI video output, and a hardware timer. From there, the game itself had to then be ported to the custom CPU’s architecture. Eventually, the duo had the game running… at a glacial 0.7 FPS. A success, but not the magical end result that was desired. A bump to clock speed and further optimizations and compiler tweaks eventually got the game up to an impressive 15-20 FPS. The goal for future work is to push it to an entirely-playable figure of 30 FPS or better.
It’s worth checking out the (apparently unembeddable) videos on Instagram to see the CPU in action. We’ve also featured plenty of fun DOOM ports before, too. If you’re brewing up custom CPUs or DOOMports of your own, keep them coming to the tipsline. The latter in particular is often a wonderful milk run for the writer that happens across it. Happy hacking out there!
Da Zero a Shell! HackerHood dimostra lo sfruttamento dell’exploit di wp2shell
📌 Link all'articolo : redhotcyber.com/post/da-zero-a…
A cura di Manuel Roccon
#redhotcyber #hacking #cti #ai #online #it #cybercrime #cybersecurity #technology #news #cyberthreatintelligence
Scopri come funziona wp2shell, la vulnerabilità critica del core di WordPress (CVE-2026-60137 e CVE-2026-63030).Manuel Roccon (Red Hot Cyber)
reshared this
Loads of Western cyber agencies have published a joint alert on Russia's hacking operations targeting Zimbra
NSA: media.defense.gov/2026/Jul/22/…
FBI: ic3.gov/CSA/2026/260723.pdf
AIVD: english.aivd.nl/latest/news/20…
MIVD: defensie.nl/actueel/nieuws/202…
UK NCSC: ncsc.gov.uk/news/uk-and-partne…
Russian state hackers are engaged in a large-scale global cyber campaign to gain access to Signal and WhatsApp accounts belonging to dignitaries, military personnel and civil servants. The Dutch intelligence and security services MIVD and AIVD can...Ministerie van Binnenlandse Zaken en Koninkrijksrelaties
reshared this
@Informatica (Italy e non Italy)
Si riduce l’intervallo fra scoperta delle vulnerabilità ed attacco e le banche devono fare presto. L'avvertimento di Bankitalia ai soggetti vigilati sui rischi AI legati sistema finanziario prevede la richiesta di
For as long as humans have had writing, there’s been a need to send secret messages. It is easy to think that Enigma machines and their immediate predecessors are old tech, but they are much more recent than ancient systems used by the Greeks and Romans. Even Thomas Jefferson, one of the founding fathers of the United States, was interested in encryption and is often said to have invented the Jefferson Disk machine for encryption. The truth is, the device is probably older than Jefferson, but he certainly thought about using it for secret communications.
The idea is simple. We make a series of disks. Each disk has a number on it and, around the edge, all the letters of the alphabet. The placement of each wheel with the same number is the same, but, overall, the arrangement is random. That is, all disks marked #5 might start with XCBYG, but all disks marked with #10 could start with FAYQL. You take one set of disks, and I keep the other set.
When we want to send secret messages, we agree to arrange our disks on an axle in the same order. Jefferson used a 36-disk system, so we might agree to go left to right with the odd numbers first and then the even numbers, or any other setup that we could agree on.
Once the wheels are in place, encryption is simple. There’s a bar across the device, and you line up your message using a wheel for each letter: ENEMYCOMESBYSEA, for example. Then you look at any different row, which will now read something crazy like: FSRSSXQCGAEEFOR (plus the random letters on the rest of the disks). That’s the message you send.
Upon receipt, you spell out the same message on the disks with the wheels in the agreed order. Once you have FSRSSXQCGAEEFOR lined up, you look at the other rows. It is a good chance that all of them will be gibberish except one. That’s the decoded message.
Of course, you could agree to shift a certain number of rows if you wanted to be sure. The order of the wheels amounts to a key, and while Jefferson wasn’t sure how secure this is, modern analysis says it is actually pretty good. If you don’t have the wheels and you don’t know the order of the wheels, it is actually excellent. If you have the wheels but don’t know the order, it is still very difficult to try all the permutations, especially without a computer.
The Swede Fredrik Gripenstierna used a similar machine with 57 disks, but it had a slightly different purpose and operating principle. Jefferson described his device in the 1790s, and while he never claimed to invent it, the story has caught on that he did. Sometimes these are called Bazeries cylinders, as Etienne Bazeries had a 20-disk device in 1891, apparently independently invented.
It doesn’t appear that Jefferson or anyone else actually built the machine he described. There is an old device in the NSA museum that could be from Jefferson, but it isn’t clear that it was actually his or related to his writings.
Jefferson abandoned the scheme after learning about columnar transposition ciphers in 1803.
While Jefferson’s wheels never saw use, the US Military adapted Bazeries’ cylinder in 1922 and used the M-94 through 1942. The M-94 had 25 aluminum disks on a spindle.
youtube.com/embed/D3QKNM1oWIA?…
The original prototype of the M-94 used a sliding strip arrangement instead of disks, and the Army returned to that style with the M-138A cipher machine in the 1930s. Each machine had 100 strips, and you had to select 30, further improving key security. It was used for some time, and you can see an example of it in the picture from the National Cryptologic Museum.
It is tempting to say the military used Jefferson’s wheel, but, in fact, the papers explaining the device were forgotten until 1922, and the prototype M-94s were developed between 1914 and 1917.
The system probably predates Jefferson anyway. Charles Babbage made references to disks with letters in 1854, although the exact arrangement he had in mind isn’t clear.
Of course, the Enigma and similar rotor-based machines took over during World War II. While making a disk-based code tool yourself would be easier (try styrofoam cups, like in the video below, if you don’t want to 3D print it), you can put in a bit more effort and make your own Enigma.
youtube.com/embed/8JDXxpdT2X8?…
I sure hope this thing doesn't break containment.reshared this
This doesn't work. Try to hold a chainsaw like that!
And if you mange to, start it by rotating your arm only around the shoulder. It takes some quick force as well
Looks like CRAP
CISA has updated its "Iran attacks PLCs" advisory to add info about attacks on Siemens and Schneider Electric devices
Initial attacks only targeted Rockwell and Allen-Bradley PLCs
New TTPs and IOCs added too
reshared this
@Informatica (Italy e non Italy)
Le sanzioni del Garante privacy a due operatori del settore energetico ridefiniscono le regole del credit scoring automatizzato. Trasparenza, qualità dei dati, governance degli algoritmi e tutela dei diritti diventano i pilastri di un
🚨 nuova rivendicazione #ransomware Italia 🚨
🏴☠️ gruppo #Nightspire
🧬 Auto Royal Company S.R.L. | Roma
🎯 settore: G - Commercio
🔗 autoroyalcompany.it
🗓️ 23 luglio 2026
📄 sample: -
▪️ dati esfiltrati dichiarati: 100.00GB
▪️ dati esfiltrati pubblicati: -
⏲️ scadenza: -
Auto Royal Company, concessionaria Roma ufficiale Toyota, Lexus e Kia di Roma. Vendita Nuovo, Aziendali, Usato, Km0, Noleggio, Assistenzananni (Auto Royal Company Roma)
reshared this
SANDWORM_MODE: il worm AI che trasforma GitHub Copilot e Claude Code in armi contro gli sviluppatori
📌 Link all'articolo : redhotcyber.com/post/sandworm_…
A cura di Redazione RHC
#redhotcyber #news #supplychain #svilupposoftware #intelligenzaartificiale #assistenticoding
SANDWORM_MODE inaugura una nuova generazione di attacchi alla supply chain software. Il worm compromette pipeline CI/CD, assistenti AI come Copilot e Claude Code, ruba credenziali, si propaga automaticamente e mette in crisi il detection engineering.Redazione RHC (Red Hot Cyber)
Cybersecurity & cyberwarfare reshared this.
Google DeepMind unveiled Gemini 3.5 Flash Cyber, an AI model for vulnerability discovery and patching, available only to governments and trusted partners.Pierluigi Paganini (Security Affairs)
Cybersecurity & cyberwarfare reshared this.
I wonder how many OpenAI-hacked-HuggingFace hot takes I'll get today?
reshared this
Spoiler alert: No, it's not
Mark Zuckerberg launches a media campaign positioning the company's AI development as an optimistic, pro-human alternative to its competitors' "dystopian" ideas (Sara Fischer/Axios)axios.com/2026/07/23/mark-zuck…
techmeme.com/260723/p14#a26072…
reshared this
Firm told to treat third-party services that appear in its results in ‘fair and non-discriminatory manner’Dan Milmo (the Guardian)
reshared this
One of the extra tools someone might need when working with surface-mount components is a solder paste stencil, which not only simplifies the application of solder paste to a PCB but increases accuracy. These metal stencils can cost an annoying amount of money and take time to get delivered, so this group has developed a method to 3D print them instead.
Starting with a PCB design in one’s tool of choice, the Gerber files can be sent to the online Stenchill tool to generate the stencil. Alternatively, a KiCad plugin exists as well. The tool will output files for a 3D printer from there. An FDM printer is required, with either PLA or PETG filament, and some configuration in the slicer is needed to get the accuracy required for a useful stencil. But once that’s all set up, the printer can output a perfectly usable stencil at a fraction of the cost, and without having to wait days for delivery through the mail.
It’s not all upside, though. Although it might be better than applying solder paste with a syringe on a massive board or doing more than one smaller board by hand, it may not be as good as a metal stencil for extremely small pads. But for those who often find themselves using metal stencils and dealing with the downsides that come with them, this could be a viable alternative, especially when prototyping.
If you have a laser cutter handy, that opens up some additional options for stencil production.
youtube.com/embed/M8u--M0dwfc?…
reshared this
#nerdystuff in pausa pranzo
#GoogleTakeout ti lascia scaricare (quasi) tutto quello che Google sa di te: email, foto, cronologia, in un unico pacchetto scomodo da aprire e illuminante da guardare.
reshared this
La cosa ridicola è che lo faccio periodicamente quando decido che "basta io l'account lo chiudo" cioè più o meno 1 volta all'anno.
La spina nel fianco sono i ventordici zip da scaricare.
Il bello è che poi li butto nel nas, e l'account non lo chiudo.
Il libro della settimana: Guerra profonda, Arturo Di Corinto, Luiss, Pagine 212, Euro 22
di Marco Panara, La Repubblica del 20 luglio 2026
Attacchi satellitari, disinformazione, profilazione, uso dell’IA, le guerre non si fanno più senza il contributo fondamentale delle tecnologie digitali. Le guerre sono sempre state ibride, uomini e armi sul campo insieme a propaganda e disinformazione ma, come nella vita di tutti noi, la tecnologia ha cambiato la scala di tutto questo. E non solo nelle guerre guerreggiate. Lo scontro è diffuso su molti piani, i cyberattacchi colpiscono infrastrutture vitali, reti logistiche, sistemi finanziari. La digitalizzazione, che molti vantaggi porta con sé, è diventata anche un’arma, potente e sfuggente, immateriale, a-territoriale, che viene usata da stati e privati a volte più potenti degli stati stessi.
Continua a leggere qui:
repubblica.it/economia/rubrich…
Un libro di Arturo di Corinto ricompone minuziosamente il corpo teorico che oggi guida le relazioni digitali fra stati, e fra questi e le grandi imprese tecnologiche, documentando come stiano mutando profondamente le categorie politiche sia della guerra che della pace proprio per la spinta di tecniche che sono intimamente conflittuali
di Michele Mezza per Huffington Post del 13 luglio
La cronicizzazione della guerra sta diventando un nuovo modo per gestire la pace. Lo sciame sismico che ormai sostituisce le grandi scosse belliche nello stretto di Hormuz ci sta mostrando come nei prossimi anni ci dovremo adattare a convivere con un nuovo fenomeno geopolitico: la pacificazione combattuta. Si tratta di un modo per procrastinare i problemi, lasciando insoluti i nodi politici e permettendo ad entrambe le parti in azione di rivendicare il proprio successo. Iran e Usa stanno inventando il conflitto vinto da tutti. Infatti con la sistematica rottura della tregua, si rinviano i colloqui di pace e si congelani i grandi temi, come ad esempio il nucleare per l’Iran o il cambio di regime per Washington. Michael Milshtein del Moshe Dayan Center di Tel Aviv in un’intervista a Repubblica analizza lo scenario e spiega che “gli attacchi episodici a Hormuz servono a modellare il negoziato, spostando il focus sullo stretto e lasciando in ombra gli aspetti più strategici come appunto il nucleare”.
È una realtà che ha dettagliatamente descritto nel suo ultimo saggio Guerra profonda (Luiss edizioni) Arturo Di Corinto, studioso di cybersecurity in chiave geopolitica che ha alle spalle lunghi anni di documentazione del fenomeno dell’hacktivism, il protagonismo tecnologico del pulviscolo di figure autonome come sono in molti casi gli hacker professionali, che era considerato fino a non molto tempo fa area marginale rispetto alla grande politica globale. Di Corinto, dirigente oggi dell’Agenzia per la Cybersecurity, con il suo lavoro ricompone minuziosamente il corpo teorico che oggi guida le relazioni digitali fra stati, e fra questi e le grandi imprese tecnologiche, documentando come stiano mutando profondamente le categorie politiche sia della guerra che della pace proprio per la spinta di tecniche che sono intimamente conflittuali.
Continua a leggere qui:
huffingtonpost.it/blog/2026/07…
Arturo di Corinto indaga nel suo ultimo lavoro il cyber spazio come campo ibrido, in cui si intrecciano strategie militari, potere e algoritmi
di Massimiliano Cannata per Il NordEst del 7 luglio 2026
Arturo di Corinto, giornalista, professore di Privacy e Cybersecurity de La Sapienza di Roma e consigliere dell’ACN indaga nel suo ultimo lavoro il cyber spazio come campo ibrido, in cui si intrecciano strategie militari, potere e algoritmi.
Guerra Profonda, il titolo del suo saggio (ed. Luiss) presuppone una declinazione del conflitto in un’ottica nuova. Possiamo spiegare di che si tratta?
Lo studio affronta la complessa dinamica delle minacce alla sovranità digitale che riguarda ormai molti Paesi. Italia ed Europa sono le realtà che ho preso in maggiore considerazione, ma l’orizzonte di analisi comprende un’area geografica molto vasta. Sono gli attacchi informatici la prima minaccia, che si configura nelle sembianze della disinformazione, amplificata sempre più dall’uso illecito e criminale dell’IA. Siamo, per dirla in sintesi, dentro una guerra di dati fatta per ottenere le informazioni che ai soggetti in conflitto consentono di sopravanzare l’avversario.
Per quali ragioni parla di guerra profonda?
Perché il conflitto si incista nei meccanismi di funzionamento dell’apparato cognitivo umano, perché attiva molteplici risorse, perché arruola i civili come soldati passivi, trascinandoli in una guerra dell’informazione e della propaganda. Cosa ancora più grave questa metodologia che non ha nulla a che vedere con la strategia militare tradizionale, simula il comportamento cognitivo umano, con la finalità di manipolarlo, di farlo saltare.
Continua a leggere qui:
ilnordest.it/societa/arturo-di…
📺 Srsly Risky Biz: Knives are out for open-weight AI models
risky.biz/video/srsly-risky-bi…
Tom Uren and James Wilson talk about the future of open-weight models. For different reasons, both the Chinese and American governments ha [Read More]risky.biz
reshared this
reshared this
di Luca de Biase, CrossRoads, Il Sole 24 Ore del 23 luglio 2026
Guerra profonda
Arturo di Corinto ha scritto “Guerra profonda. Hacker, bugie e l’architettura segreta dei nuovi conflitti” per Luiss University Press 2026. Di Corinto è giornalista esperto di cybersicurezza e attivista per i diritti digitali, consigliere dell’Agenzia per la Cybersicurezza Nazionale.
Continua a leggere qui:
L’uso dell’AI nella guerra alla realtà. Dalle manipolazioni dell’informazione di Sam Altman alla ricostruzione della “guerra profonda” di Arturo di Corinto
lucadebiase.nova100.ilsole24or…
Il libro della settimana: Guerra profonda, Arturo Di Corinto, Luiss, Pagine 212, Euro 22
di Marco Panara, La Repubblica del 20 luglio 2026
Attacchi satellitari, disinformazione, profilazione, uso dell’IA, le guerre non si fanno più senza il contributo fondamentale delle tecnologie digitali. Le guerre sono sempre state ibride, uomini e armi sul campo insieme a propaganda e disinformazione ma, come nella vita di tutti noi, la tecnologia ha cambiato la scala di tutto questo. E non solo nelle guerre guerreggiate. Lo scontro è diffuso su molti piani, i cyberattacchi colpiscono infrastrutture vitali, reti logistiche, sistemi finanziari. La digitalizzazione, che molti vantaggi porta con sé, è diventata anche un’arma, potente e sfuggente, immateriale, a-territoriale, che viene usata da stati e privati a volte più potenti degli stati stessi.
Continua a leggere qui:
repubblica.it/economia/rubrich…
di Gioacchino Toni, per Carmilla Online del 16 luglio 2026
Arturo Di Corinto, Guerra profonda. Hacker, bugie e l’architettura segreta dei nuovi conflitti, Prefazione di Roberto Baldoini, Luiss University Press, Roma, 2026, pp. 220, € 22,00
Risulta ormai evidente come l’importanza assunta dalle tecnologie digitali nell’esercizio del potere contemporaneo abbia di fatto esteso all’ambito tecnologico la competizione internazionale tradizionalmente riservata ai piani commerciale e militare.
Essendo estremamente difficile pensare che un’entità nazionale possa raggiungere la piena autosufficienza tecnologica – che presupporrebbe la totale autonomia progettuale, la forza per imporre standard globali di funzionamento, il completo controllo delle infrastrutture e dei mercati necessari alla distribuzione e all’utilizzo delle tecnologie, oltre che la disponibilità dei materiali necessari –, ecco dunque presentarsi in tutta la sua rilevanza il problema della sovranità digitale affrontato da Arturo Di Corinto nel volume Guerra profonda (Luiss, 2026).
Continua a leggere qui:
Guerra algoritmica, sovranità digitale e costruzione di immaginario
carmillaonline.com/2026/07/16/…
Hacking come un videogioco: punti, compiti e valutazione. Ma il premio principale erano le tue password
📌 Link all'articolo : redhotcyber.com/post/hacking-c…
A cura di Luigi Zullo
#redhotcyber #news #sicurezzainformatica #hacking #malware #virusinformatici #dataloss
Un programma di installazione dannoso ha aperto la porta a un ecosistema criminale complesso chiamato Operazione STANDOFF, che infetta computer e ruba dati sensibili come password e informazioni finanziarie.Luigi Zullo (Red Hot Cyber)
Cybersecurity & cyberwarfare reshared this.
Un libro di Arturo di Corinto ricompone minuziosamente il corpo teorico che oggi guida le relazioni digitali fra stati, e fra questi e le grandi imprese tecnologiche, documentando come stiano mutando profondamente le categorie politiche sia della guerra che della pace proprio per la spinta di tecniche che sono intimamente conflittuali
di Michele Mezza per Huffington Post
La cronicizzazione della guerra sta diventando un nuovo modo per gestire la pace. Lo sciame sismico che ormai sostituisce le grandi scosse belliche nello stretto di Hormuz ci sta mostrando come nei prossimi anni ci dovremo adattare a convivere con un nuovo fenomeno geopolitico: la pacificazione combattuta. Si tratta di un modo per procrastinare i problemi, lasciando insoluti i nodi politici e permettendo ad entrambe le parti in azione di rivendicare il proprio successo. Iran e Usa stanno inventando il conflitto vinto da tutti. Infatti con la sistematica rottura della tregua, si rinviano i colloqui di pace e si congelani i grandi temi, come ad esempio il nucleare per l’Iran o il cambio di regime per Washington. Michael Milshtein del Moshe Dayan Center di Tel Aviv in un’intervista a Repubblica analizza lo scenario e spiega che “gli attacchi episodici a Hormuz servono a modellare il negoziato, spostando il focus sullo stretto e lasciando in ombra gli aspetti più strategici come appunto il nucleare”.
È una realtà che ha dettagliatamente descritto nel suo ultimo saggio Guerra profonda (Luiss edizioni) Arturo Di Corinto, studioso di cybersecurity in chiave geopolitica che ha alle spalle lunghi anni di documentazione del fenomeno dell’hacktivism, il protagonismo tecnologico del pulviscolo di figure autonome come sono in molti casi gli hacker professionali, che era considerato fino a non molto tempo fa area marginale rispetto alla grande politica globale. Di Corinto, dirigente oggi dell’Agenzia per la Cybersecurity, con il suo lavoro ricompone minuziosamente il corpo teorico che oggi guida le relazioni digitali fra stati, e fra questi e le grandi imprese tecnologiche, documentando come stiano mutando profondamente le categorie politiche sia della guerra che della pace proprio per la spinta di tecniche che sono intimamente conflittuali.
Continua a leggere qui:
huffingtonpost.it/blog/2026/07…
reshared this
reshared this
reshared this
reshared this
Lorenzo Franceschi-Bicchierai
in reply to Lorenzo Franceschi-Bicchierai • • •Of course, you can still read the blog post on the Wayback Machine: web.archive.org/web/2026072214…
And here's our story on it: techcrunch.com/2026/06/22/a-ne…
A new unpatchable flaw in Apple chips opens the door to an iPhone jailbreak | TechCrunch
Lorenzo Franceschi-Bicchierai (TechCrunch)