redmount.xyz

Immagina di chiedere a ChatGPT di scriverti una lettera d’amore o di aiutarti con un documento delicato di lavoro. Tutto fila liscio, le parole scorrono veloci, le risposte arrivano senza attese. Questo è possibile grazie a un trucco chiamato KV-cache, una sorta di memoria a breve termine che conserva informazioni sui token già elaborati, così il modello non deve rifare tutti i calcoli ogni volta che genera una nuova parola. È come se il modello tenesse aperto un taccuino con gli appunti della conversazione per consultarlo al volo. Ma come tutti i taccuini lasciati aperti, qualcuno potrebbe sbirciarci dentro. È proprio qui che entra in scena il lavoro dei ricercatori Zhifan Luo, Shuo Shao, Su Zhang, Lijing Zhou, Yuke Hu, Chenxu Zhao, Zhihao Liu e Zhan Qin, che hanno analizzato i rischi nascosti in questa cache temporanea. Hanno scoperto che, se non protetta, la KV-cache può diventare una fonte di dati sensibili: non solo frammenti di testo che avete inserito, ma anche informazioni deri...

A Black Hat USA 2025 è stata mostrata una lezione dura ma utile per chiunque gestisca identità e mail aziendali: un ricercatore ha dimostrato come, in certi ambienti ibridi che sincronizzano Active Directory locale con Microsoft Entra ID (ex Azure AD), un account cloud apparentemente a bassa priorità possa essere trasformato in un account “ibrido” con privilegi amministrativi, senza passare dalle normali barriere di autenticazione e senza far scattare gli allarmi tradizionali. La dimostrazione — presentata da Dirk-jan Mollema di Outsider Security — ha messo in luce vettori di abuso legati al server di sincronizzazione (Entra Connect), alle modalità di corrispondenza degli account tra on-prem e cloud (soft matching) e a token/claim usati nei meccanismi di delega e in Exchange ibrido. Per chi non mastica quotidianamente questi termini: molte aziende hanno ancora un Active Directory “dentro l’azienda” per utenti e servizi, e allo stesso tempo usano servizi cloud come Microsoft 365. Per fa...

Il 10 agosto 2025 è stata resa pubblica la vulnerabilità CVE-2025-8088 di WinRAR, una falla di tipo directory traversal già sfruttata in attacchi mirati da RomCom, gruppo hacker legato alla Russia e noto per operazioni di cyber-spionaggio ed estorsione. Il problema risiede nella gestione dei percorsi all’interno di archivi compressi: un file RAR malevolo può includere riferimenti a directory specifiche del sistema, forzando WinRAR a estrarre file in percorsi diversi da quelli scelti dall’utente. In particolare, è possibile copiare eseguibili nelle cartelle di avvio automatico di Windows, come %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup o %ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp. Alla successiva accensione del PC, il malware viene avviato in automatico, ottenendo così persistenza sul sistema e potenzialmente consentendo il controllo remoto. Gli attacchi osservati sono stati condotti tramite campagne di spear-phishing: le vittime ricevevano email contenenti...

Da tempo ormai i gruppi ransomware evolvono le loro tattiche oltre al semplice cifraggio dei file, ma l’attacco del cosiddetto Akira ransomware rappresenta un salto di qualità in termini di elusione della difesa: il malware, infatti, abusa di un driver legittimo di Intel, quello usato da ThrottleStop (rwdrv.sys), per elevarsi a livello kernel e poi installare un secondo driver malevolo (hlpdrv.sys), che modifica la chiave di registro DisableAntiSpyware di Windows Defender tramite regedit.exe, disattivando ogni protezione senza alcun avviso. Ma cosa fa concretamente oltre a spegnere Defender? Questa azione è solo l’inizio di un attacco orchestrato: in diversi incidenti legati ad Akira, rilevati da GuidePoint Security a partire dal 15 luglio 2025, si evidenzia un vero e proprio percorso criminale. Innanzitutto, gli attaccanti ottengono l’accesso sfruttando potenzialmente vulnerabilità zero‑day in dispositivi SonicWall SSL‑VPN o metodologie di credential stuffing, brute force o phishing m...

Nel corso del conflitto informatico in corso tra Ucraina e attori antagonisti statali, il gruppo noto come UAC‑0099 è tornato alla ribalta con una campagna di cyber‑spionaggio aggiornata e ampliata che vede le sue vittime principali costituite da enti governativi ucraini, organizzazioni di difesa, media ed aziende collegate al complesso industriale della difesa, con attacchi mirati realizzati mediante email di phishing sofisticate che sorprendono l’utente attraverso l’uso di lenti accorgimenti come link abbreviati o archivi doppi (double‑zip) contenenti file HTA o shortcut LNK con estensioni camuffate per ingannare l’esecuzione. Secondo CERT‑UA, l’allerta rilasciata il 6 agosto 2025 descrive un’operazione in cui le email inviate da indirizzi tipo ukr.net reclamano una "convocazione in tribunale" e contengono un link abbreviato (tipicamente tramite Cuttly) che punta a un archivio estratto due volte contenente un file HTA; l’user apre il file HTA, che contiene un VBScript offus...

Negli ultimi anni si è diffusa la voce secondo cui sarebbe possibile subire un furto semplicemente passando accanto a un malintenzionato dotato di POS portatile contactless. Il principio sembra semplice: un terminale NFC viene avvicinato alla tasca o alla borsa della vittima e, grazie alla tecnologia contactless, sottrae una somma di denaro senza bisogno di autorizzazioni visibili. Ma la realtà tecnica di questo scenario è più complessa, e merita un'analisi approfondita. Il protocollo EMV utilizzato dalle carte contactless integra meccanismi di sicurezza robusti basati su crittografia a chiave pubblica. Ogni transazione genera un cryptogram unico, firmato digitalmente, che rende l'operazione non riutilizzabile e impedisce efficacemente attacchi di replay. In modalità legittima, una transazione contactless prevede l’inserimento di un importo sul terminale, l’attivazione per un breve intervallo (tipicamente inferiore ai 30 secondi), e la comunicazione tra carta e POS a pochi cent...

La crittografia post-quantistica è uno degli argomenti più cruciali per il futuro della sicurezza informatica, perché la comparsa dei computer quantistici potrebbe mettere in crisi tutti i sistemi crittografici attualmente utilizzati, dai protocolli di comunicazione sicura ai sistemi di firma digitale. Tra i tanti schemi proposti negli ultimi anni per proteggere i dati anche dall’attacco di macchine quantistiche, uno dei più studiati è stato il sistema BIKE, acronimo di Binary Key Encapsulation. BIKE è stato uno dei candidati selezionati per la quarta fase del prestigioso concorso lanciato dal NIST, l’ente americano che si occupa di definire standard di sicurezza, ma alla fine non è stato scelto come standard definitivo. Tuttavia, la sua struttura interna e le sue potenziali vulnerabilità rimangono un tema di studio fondamentale per capire meglio come funzionano i sistemi post-quantistici e quali rischi possono nascondere. In un lavoro recente pubblicato su arXiv, Michael Schaller prop...

Una settimana fa avevo parlato della falla critica che ha colpito SharePoint e dell'escalation preoccupante degli attacchi rilevati nella seconda settimana di luglio. A distanza di pochi giorni, il panorama delle minacce ha continuato ad evolversi, mostrando quanto sia urgente un cambio di passo nella gestione delle patch e nella sicurezza delle infrastrutture esposte. In questo approfondimento raccolgo i principali zero-day di fine luglio 2025, con tutti i dettagli tecnici, lo stato delle patch, e le implicazioni per chi gestisce ambienti vulnerabili. Il caso SharePoint merita una ripresa aggiornata. Parliamo delle vulnerabilità CVE-2025-53770 e CVE-2025-53771, classificate con un punteggio CVSS pari a 9.8. Gli attaccanti sfruttano un caricamento di script ASPX (tipicamente denominato "spinstall0.aspx") per esfiltrare le chiavi ASP.NET MachineKey dai server SharePoint non patchati. Ciò consente di generare token di autenticazione validi e mantenere accessi persistenti a...

Nel corso del 2025, gli SVG stanno rapidamente diventando uno dei formati più sfruttati per veicolare attacchi di phishing e malware in modo furtivo e sempre più sofisticato. Tradizionalmente percepiti come semplici immagini vettoriali, gli SVG — in quanto basati su XML — possono contenere script, redirect, codice JavaScript e collegamenti dinamici, sfruttando le stesse capacità che li rendono potenti strumenti di grafica. È proprio questa flessibilità a renderli oggi una vera e propria tela per l’attaccante. I gruppi criminali informatici hanno iniziato a includere allegati .svg nei messaggi email al fine di eludere i controlli antispam tradizionali. Il contenuto di questi file viene spesso offuscato usando encoding Base64 o rappresentazioni esadecimali, combinati con tecniche di evasione DOM come MutationObserver, setTimeout, eval e document.write. Alcuni SVG si presentano all’apparenza come semplici loghi o icone, ma una volta aperti nel browser — anche con un clic accidentale da we...

Negli ultimi anni, la cybersecurity ha vissuto un’accelerazione impressionante non solo sul fronte difensivo, ma soprattutto su quello offensivo. Un’area in particolare continua a sollevare interrogativi, fascino e inquietudine allo stesso tempo: il mercato degli exploit zero-day. Non parlo solo della caccia ai bug nei bug bounty o nei CVE pubblici, ma di quell’ecosistema parallelo, chiuso e silenzioso, dove le vulnerabilità più preziose vengono vendute a peso d’oro prima ancora che vengano rese note. Un mercato dove la trasparenza non è prevista e i clienti non si annunciano. In questo spazio vivono aziende come Crowdfense, Zerodium, NSO Group, Cytrox e altri operatori meno noti ma altrettanto incisivi. Crowdfense, per chi mastica già questo ambiente, è uno dei nomi più rispettati. Ha sede a Dubai, ma è tutto fuorché un semplice broker. È una piattaforma che compra vulnerabilità zero-day su sistemi complessi – parliamo di exploit per iOS, Android, Windows, macOS, router, firmware, br...

L'attacco che ha colpito Microsoft SharePoint nel luglio 2025 rappresenta uno degli episodi più rilevanti dell'anno nel panorama della sicurezza informatica. Come spesso accade, tutto è iniziato nel silenzio: nei primi giorni del mese, alcuni server SharePoint on-premises hanno cominciato a manifestare comportamenti anomali. Solo più tardi si è compreso che si trattava dell'inizio di una campagna di attacchi mirati che avrebbe coinvolto almeno tre gruppi di hacker collegati allo Stato cinese: Linen Typhoon, Violet Typhoon e Storm-2603. Microsoft ha pubblicato una prima comunicazione tecnica l'8 luglio, accompagnata da una patch per due vulnerabilità note, CVE-2025-49704 e CVE-2025-49706, inizialmente ritenute sufficienti. Tuttavia, già dal 7 luglio erano stati osservati exploit attivi contro versioni vulnerabili di SharePoint installate in locale, e nei giorni successivi è emerso che le patch non coprivano nuove varianti dell'attacco che sfruttavano ulteriori falle ...

Dieci anni fa nasceva il Kernel Self-Protection Project, conosciuto come KSPP, con l'obiettivo di cambiare il paradigma della sicurezza in Linux: non più semplicemente correggere vulnerabilità una per una, ma impedire in modo strutturale che intere classi di bug potessero esistere o essere sfruttate. Kees Cook, figura centrale del progetto e sviluppatore in Google, ha recentemente ripercorso dieci anni di progressi nel talk "Kernel Hardening: Ten Years Deep". Il punto di partenza era critico: in media una vulnerabilità nel kernel restava scoperta e sfruttabile per oltre cinque anni. Android e tanti altri sistemi basati su Linux venivano rilasciati con versioni vecchie del kernel, quindi prive delle ultime patch di sicurezza. Il KSPP ha introdotto un nuovo approccio: trasformare il kernel stesso in un ambiente ostile agli exploit. I risultati sono impressionanti. Grazie al lavoro del KSPP, alcune famiglie di bug sono scomparse. Array a lunghezza variabile (VLA), variabili ...

Negli anni Novanta, un gruppo di giovani entusiasti cinesi, autodidatti di hackeraggio, si è aggregato in una comunità chiamata “Honkers” – dall’unione di hong (rosso, patria) e heike (hacker). All’inizio erano motivati da un senso di orgoglio patriottico, reagendo a torti reali o percepiti nei confronti della Cina: deface di siti giapponesi, DDoS contro Taipei o organizzazioni nordamericane. Non erano sofisticati, ma il sentimento era condiviso e potente. Col passare del tempo, quei “giovani eroi del web” attirarono l’attenzione delle istituzioni statali. La storia di Tan Dailin, noto come Wicked Rose, racconta il passaggio netto da autodidatta idealista a hacker reclutato dal PLA e dal Ministry of State Security (MSS). Dopo aver vinto competizioni, frequentato campi di addestramento e progettato rootkit e exploit, Tan passò alle missioni sponsorizzate dallo Stato – fino ad essere poi incriminato negli U.S.A. per le attività di APT 41, gruppo ormai legato a operazioni di cyber-espiona...

Nel mondo della sicurezza informatica siamo abituati a cercare le minacce nei luoghi più ovvi: allegati email, file eseguibili, script obfuscati nei siti web. Ma pochi si fermano a pensare che anche una semplice favicon – quella piccola icona che appare accanto al titolo di una scheda nel browser – possa diventare un cavallo di Troia perfettamente funzionante. Ed è proprio questo il cuore della ricerca pubblicata su arXiv da David Noever e Forrest McKee nel luglio 2025: dimostra come sia possibile sfruttare il canale alfa di un file .ico per nascondere codice JavaScript eseguibile, creando un vettore d’attacco invisibile all’occhio umano. La tecnica si basa su un uso creativo (e malevolo) della steganografia: invece di nascondere messaggi cifrati all’interno dei pixel visibili, i ricercatori nascondono il payload sfruttando il canale della trasparenza dell’immagine, ovvero quei valori alfa che regolano l’opacità di ogni pixel. Agendo sui bit meno significativi (LSB) di questi valori, r...

Nei giorni scorsi è stato pubblicato un interessante studio da GitGuardian e Synacktiv, ripreso anche da The Hacker News, riguardo a una situazione che può sembrare banale ma che ha implicazioni di sicurezza piuttosto serie: centinaia di applicazioni scritte in Laravel sono risultate esposte a potenziali attacchi da remoto a causa della pubblicazione accidentale della variabile di ambiente APP_KEY su repository GitHub. In un’epoca in cui la cultura DevOps ha abbattuto molte barriere tra sviluppo e produzione, dove tutto è codice, anche i segreti spesso viaggiano troppo vicino al codice stesso e, a volte, finiscono involontariamente nel posto sbagliato. Quello che mi ha colpito non è tanto il numero assoluto – si parla di 600 app esposte e più di 260.000 chiavi individuate nel tempo – quanto il fatto che ci si trova di fronte a un problema silenzioso, spesso sottovalutato, ma strutturalmente legato a cattive abitudini nella gestione delle variabili sensibili. Laravel, come molti framewo...

Il 3 luglio scorso le autorità italiane hanno arrestato all’aeroporto di Milano Malpensa un cittadino cinese di 33 anni, Xu Zewei, ricercato dagli Stati Uniti per una lunga serie di reati informatici legati ad attività di cyber-spionaggio. Xu sarebbe, secondo le accuse americane, coinvolto in una campagna condotta dal gruppo APT noto come Silk Typhoon (noto in passato anche come Hafnium), ritenuto affiliato allo Stato cinese. Questo gruppo è già noto da anni per aver preso di mira obiettivi sensibili in ambito sanitario, governativo e accademico, con operazioni che includono il furto di proprietà intellettuale e di informazioni classificate. La notizia è stata confermata da diverse fonti attendibili, tra cui il Dipartimento di Giustizia degli Stati Uniti, l’agenzia stampa ANSA e testate specializzate come BleepingComputer e Decode39. Secondo l’atto d’accusa, tra il 2020 e il 2021 Xu avrebbe partecipato a una campagna di intrusione su larga scala che ha colpito istituzioni accademiche s...

Non succede spesso che sudo, uno dei comandi più fidati e scrutinati del mondo Unix, finisca sotto i riflettori per una vulnerabilità davvero seria. Stavolta è successo due volte, e una delle due fa davvero male. Due bug scoperti e documentati di recente – CVE-2025-32462 e CVE-2025-32463 – mostrano come, anche dopo più di 12 anni di sviluppo, errori silenziosi possano ancora nascondersi in piena vista. Il primo, CVE-32462, è quasi romantico per quanto è vecchio: un difetto nell’uso dell’opzione --host che, in determinate configurazioni di sudoers, può consentire a un utente locale di eseguire comandi con privilegi su host che non dovrebbe nemmeno poter vedere. Roba da manuale, bassa priorità, ma comunque un richiamo interessante per chi pensa che le configurazioni “da laboratorio” non portino guai. Il secondo è molto più cattivo. CVE-32463 sfrutta l’opzione -R di sudo, che consente di specificare una directory chroot. L’idea è che tu possa lanciare comandi in un ambiente isolato, ma ec...

Negli ultimi giorni è stata svelata una serie di vulnerabilità nei chip Bluetooth della famiglia Airoha, integrati in decine di dispositivi audio wireless tra cui auricolari TWS, cuffie, speaker e microfoni venduti da marchi noti come Beyerdynamic, Bose, Sony, Marshall e altri. La scoperta è stata resa pubblica dal team di ricerca tedesco ERNW durante la conferenza TROOPERS, tenutasi il 29 giugno 2025. Queste falle permettono ad un aggressore nelle vicinanze di eseguire azioni come ascoltare l’audio in riproduzione, controllare funzioni del dispositivo via Bluetooth e addirittura attivare il microfono remoto tramite manipolazione del profilo HFP (Hands-Free Profile), che normalmente viene utilizzato per le chiamate vocali. I ricercatori hanno individuato tre vulnerabilità principali, tutte localizzate nel firmware dei chip Airoha, già ampiamente diffusi nel mercato consumer. Si tratta di CVE‑2025‑20700, CVE‑2025‑20701 e CVE‑2025‑20702, tutte con un punteggio di rischio compreso tra 6.7...

Negli ultimi giorni mi sono imbattuto in diversi articoli che parlano di una vulnerabilità piuttosto seria in Roundcube Webmail, un sistema open source che usano molti provider per offrire accesso alla posta via browser. In realtà, questa falla – tracciata come CVE-2024-37383 – non è nuova: è stata scoperta e corretta già a metà 2024. Quello che però è emerso in queste ore è che l’exploit è stato recentemente condiviso o venduto in forum underground, e che diversi gruppi (anche ben organizzati) stanno sfruttando attivamente la vulnerabilità. Il punto è che molti server non sono ancora stati aggiornati, e quindi l’attacco continua a funzionare. Di fatto, alcuni ricercatori hanno osservato una campagna attiva in cui l’attaccante invia email apparentemente innocue, spesso con un allegato .doc, ma in realtà manipolate in modo da far eseguire codice JavaScript nel contesto del browser dell’utente Roundcube. Una semplice apertura dell’email basta: non c’è bisogno che la vittima clicchi nulla...

Il 1° maggio 2025, Commvault, leader globale nelle soluzioni di protezione dei dati, ha confermato di essere stata vittima di un attacco informatico sofisticato. Un gruppo di hacker sponsorizzati da uno stato ha sfruttato una vulnerabilità zero-day, identificata come CVE-2025-3928, per violare l'ambiente Microsoft Azure dell'azienda.​ Dettagli della vulnerabilità CVE-2025-3928 La falla, con un punteggio di gravità CVSS di 8.7, risiedeva nel modulo Web Server di Commvault. Consentiva ad attaccanti remoti autenticati con privilegi limitati di installare webshells, ottenendo così accesso non autorizzato ai sistemi. La vulnerabilità interessava diversi componenti software, tra cui CommServe, Web Server e Command Center, su piattaforme Windows e Linux.​ Scoperta e risposta all'incidente L'attacco è stato rilevato il 20 febbraio 2025, quando Microsoft ha notificato attività sospette nell'ambiente Azure di Commvault. L'azienda ha immediatamente attivato il proprio pian...