Caro lettore,
questa settimana il potere si è mostrato per quello che è diventato: una fotografia interpretata meglio di un trattato internazionale, una piattaforma digitale presentata come rivoluzione mentre obbliga ancora il cittadino a recarsi allo sportello, un antivirus aziendale che costa milioni e può essere spento da un driver vulnerabile, un pacchetto software apparentemente innocuo che apre le porte agli hacker di Stato e una tutela dei minori che rischia di trasformarsi nella più grande operazione di identificazione di massa mai tentata sui social network.
Il caso più rumoroso arriva dal G7 di Évian, dove Giorgia Meloni viene prima celebrata per la propria postura comunicativa e poi colpita esattamente attraverso quelle immagini trasformate in prova di leadership. Per giorni il dibattito italiano ha misurato l’autorevolezza della presidente del Consiglio attraverso sorrisi, distanze, mani sui fianchi e scambi laterali con gli altri leader. Poi La7 telefona a Donald Trump, trova il nemico perfetto del racconto e ottiene la frase capace di ribaltare completamente la sceneggiatura: non più Meloni che domina la scena internazionale, ma Meloni che, secondo il presidente americano, avrebbe implorato per ottenere una fotografia. A quel punto la propaganda visiva diventa crisi diplomatica, l’umiliazione personale viene trasformata in un’offesa all’Italia, maggioranza e opposizione si stringono attorno alla premier e Trump diventa improvvisamente indifendibile anche per chi aveva costruito sul rapporto privilegiato con lui una parte della politica estera italiana. Dietro la solidarietà nazionale, però, restano gli interessi reali: Iran, Ucraina, NATO, basi americane, rapporti commerciali, industrie militari e un’alleanza politica che può diventare ostilità quando i due leader hanno bisogno di consolidare il proprio consenso interno.
Intanto la Polizia di Stato inaugura Denunce online, un servizio che porta furti, truffe, frodi informatiche e smarrimenti dentro una piattaforma digitale. È un passo avanti, ma con un limite che ha già raffreddato gli entusiasmi: per diversi reati non si presenta ancora una denuncia completa, bensì una pre-denuncia da confermare fisicamente entro 48 ore. La coda si prenota online, insomma, ma in molti casi non scompare.
Nel cybercrime, invece, le innovazioni non sono a metà. INC Ransomware cresce, assorbe affiliati, moltiplica le vittime e perfeziona l’estorsione, mentre Gentlemen Ransomware sviluppa strumenti capaci di terminare centinaia di processi appartenenti ai più importanti antivirus ed EDR aziendali. Le imprese investono nelle difese più costose, ma gli attaccanti non provano più soltanto ad aggirarle: cercano direttamente di spegnerle dal kernel. La guerra cibernetica segue la stessa logica industriale. La Corea del Nord non si accontenta più dei falsi colloqui di lavoro utilizzati per rubare codici, identità e portafogli di criptovalute agli sviluppatori. Con Sapphire Sleet entra nella supply chain di npm, compromette oltre 140 pacchetti Mastra e trasforma un normale aggiornamento in un vettore di infezione. Gli attori legati alla Cina, parallelamente, affinano rootkit, malware modulari e meccanismi di persistenza progettati per restare nascosti negli ambienti governativi, sanitari e accademici abbastanza a lungo da sottrarre dati scientifici e informazioni strategiche.
Poi c’è il giro di vite sui social. Regno Unito, Ohio ed Emirati Arabi Uniti stanno costruendo nuovi divieti e controlli per impedire ai minori di accedere liberamente alle piattaforme. L’autodichiarazione dell’età viene considerata definitivamente inutile e al suo posto arrivano documenti, identità digitali, consenso verificabile dei genitori e scansioni biometriche. La tutela dei ragazzi è una necessità concreta, ma il prezzo potrebbe essere la scomparsa dell’accesso anonimo anche per gli adulti.
Infine c’è il rito italiano dell’innovazione da LinkedIn. Tutti pubblicano la guida alla crittografia dell’Agenzia per la cybersicurezza nazionale, tutti celebrano, tutti applaudono. Molto entusiasmo, molte fotografie, molti post e pochissima analisi tecnica. Matrice Digitale ha fatto quello che dovrebbe fare un giornale: l’ha letta. Perché questa è la differenza tra distribuire un documento e comprenderne davvero il contenuto. (LEGGI GUIDA ACN alla CRITTOGRAFIA)
La vicenda tra Giorgia Meloni e Donald Trump non nasce dall’insulto pronunciato dal presidente americano. Nasce alcuni giorni prima, quando due fotografie scattate durante il G7 di Évian vengono trasformate in una rappresentazione politica completa, autosufficiente e apparentemente incontestabile. Non servono documenti, verbali, accordi o dichiarazioni congiunte. Bastano alcuni fotogrammi per costruire una teoria della leadership italiana. In quelle immagini Meloni appare sicura, informale, perfettamente inserita nel gruppo dei leader internazionali. Una parte dei commentatori italiani interpreta la sua gestualità come una prova di controllo. La postura diventa potere, la mimica diventa strategia, la distanza fisica dagli interlocutori viene letta come autonomia politica. Non importa conoscere il contenuto delle conversazioni: il corpo della premier viene chiamato a certificare ciò che la diplomazia non ha ancora dimostrato.
È un meccanismo perfettamente coerente con la comunicazione politica contemporanea. Le piattaforme non hanno bisogno di negoziati complessi, ma di immagini riconoscibili in pochi secondi. Un’inquadratura può essere ritagliata, rilanciata, commentata e trasformata in una prova emotiva. La crescita dei follower, le condivisioni e le reazioni diventano indicatori di successo politico. L’immagine non documenta più l’evento: lo sostituisce. Meloni ha costruito una parte importante della propria legittimazione internazionale proprio attraverso questa capacità di abitare le immagini. La premier italiana viene raccontata come una leader che non teme i grandi della Terra, che sa interagire con Trump senza apparire subordinata e che può muoversi tra Washington e Bruxelles mantenendo un proprio profilo politico. Il racconto è funzionale sia all’elettorato nazionale sia alla strategia internazionale del governo: l’Italia non sarebbe più una comparsa, ma un possibile ponte tra l’Europa e l’amministrazione americana.
Il problema nasce quando questa costruzione dipende dal riconoscimento di un’altra persona. Se Trump diventa il certificatore della centralità di Meloni, può anche diventarne il liquidatore. Se una foto con il presidente americano rappresenta una prova di autorevolezza, basta che Trump ne cambi pubblicamente il significato per trasformare il capitale comunicativo in debito politico. È ciò che accade con la telefonata di La7. Il presidente americano viene chiamato a commentare il confronto con Meloni e sceglie una formula brutale: secondo il suo racconto, la premier italiana avrebbe insistito per ottenere una fotografia e lui avrebbe accettato soltanto per pena. La forza della frase non dipende dalla sua verificabilità. Dipende dal fatto che il presidente degli Stati Uniti decide di rappresentare il capo del governo italiano come una leader in cerca di riconoscimento personale.
Trump colpisce il punto esatto su cui la propaganda aveva lavorato. La foto presentata in Italia come dimostrazione di forza diventa, nelle sue parole, il risultato di una supplica. Il dialogo tra pari si trasforma in una concessione. La complicità politica viene sostituita da una gerarchia. Non è soltanto un insulto personale. È un tentativo di controllare retroattivamente il significato dell’immagine. La7 ottiene così uno scoop capace di spostare il dibattito dalla comunicazione alla diplomazia. Una rete percepita come distante dalla maggioranza di governo porta Trump dentro la politica italiana e gli consegna il ruolo del nemico ideale. Il presidente americano diventa l’uomo che offende Meloni, ma anche lo strumento attraverso cui l’immagine della premier viene prima ridimensionata e poi rafforzata sul piano interno.
La risposta di Meloni è costruita con precisione. “Io e l’Italia non imploriamo mai” non è una semplice smentita. La premier rifiuta di restare sul terreno personale e trasforma l’attacco in una questione nazionale. Non dice soltanto che Trump ha mentito. Sostiene implicitamente che il presidente americano abbia rappresentato in modo offensivo l’intero Paese. Questa operazione comunicativa consente al governo di ricompattarsi. Antonio Tajani cancella una visita negli Stati Uniti, la Farnesina annulla il forum di Miami, Sergio Mattarella esprime solidarietà alla presidente del Consiglio e Guido Crosetto respinge con durezza la ricostruzione. Anche una parte dell’opposizione interviene in difesa del ruolo istituzionale della premier. Trump riesce così nell’impresa di rendere Meloni, almeno temporaneamente, una figura da proteggere anche per i suoi avversari politici. La maggioranza può presentare la presidente del Consiglio come una leader che difende la dignità nazionale. L’opposizione può criticare la politica estera del governo senza accettare che il capo del governo venga umiliato pubblicamente da un alleato. Meloni esce coccolata da entrambi gli schieramenti, mentre Trump viene criticato anche negli ambienti politici che avevano guardato con favore alla sua amministrazione.
Questa convergenza, però, non cancella il nodo geopolitico. Le parole di Trump arrivano in una fase nella quale gli interessi italiani e statunitensi non coincidono automaticamente. Sullo sfondo ci sono il rapporto con l’Iran, l’utilizzo delle basi, la guerra in Ucraina, la NATO, gli equilibri mediorientali e la posizione dell’Italia dentro un’Europa che tenta di rafforzare la propria autonomia militare e industriale. Trump utilizza spesso il rapporto personale come strumento negoziale. Premia gli alleati quando sono utili, li ridimensiona quando diventano meno allineati e trasforma le relazioni diplomatiche in una successione di riconoscimenti e umiliazioni. In questo schema, la frase sulla fotografia può essere letta come una gaffe, ma anche come un avvertimento politico formulato attraverso il linguaggio della reputazione personale. Meloni, a sua volta, deve tenere insieme esigenze contraddittorie. Vuole conservare il rapporto con Washington, ma non può apparire subordinata. Vuole restare pienamente dentro l’Unione europea, ma ha costruito la propria identità politica anche sulla critica ad alcuni equilibri comunitari. Vuole essere interlocutrice di Trump, ma deve impedire che questa vicinanza si trasformi in un’arma contro di lei.
Il caso mostra quindi il limite della cosiddetta geopolitica delle fotografie. Le immagini possono suggerire una relazione, ma non possono sostituire gli interessi che la governano. Possono mostrare un sorriso senza rivelare il contenuto di un negoziato. Possono raccontare una vicinanza che dura il tempo di uno scatto. Possono costruire una leadership, ma non garantiscono che l’interlocutore la riconosca quando la relazione entra in crisi. Per giorni, il racconto italiano aveva presentato la postura di Meloni come prova della sua centralità internazionale. Trump ha dimostrato quanto quella centralità fosse vulnerabile allo sguardo di chi avrebbe dovuto certificarla. La premier ha reagito con efficacia, convertendo l’attacco personale in solidarietà nazionale, ma la necessità stessa di una risposta tanto dura conferma la profondità del colpo. In questa vicenda maggioranza, opposizione, televisioni e piattaforme hanno partecipato allo stesso dispositivo comunicativo. Prima hanno attribuito alla foto un valore politico enorme. Poi hanno trasformato la frase di Trump in un caso istituzionale. Infine hanno utilizzato la replica di Meloni per ridefinire il significato dell’intera storia. Il pubblico ha seguito una partita diplomatica raccontata attraverso slogan, video, posture e frammenti virali.
Intanto, i dossier concreti restano sul tavolo. Gli Stati Uniti continuano a esercitare un peso decisivo sulla sicurezza europea. Francia e Germania lavorano sui propri interessi strategici. L’Italia cerca di non essere schiacciata tra l’alleato americano e gli equilibri comunitari. La sovranità reale non dipende dalla fotografia ottenuta durante un vertice, ma dalla capacità di difendere gli interessi nazionali quando gli alleati smettono di sorridere. La domanda più importante, quindi, non è se Meloni abbia chiesto quella foto. È perché Trump abbia ritenuto possibile e conveniente raccontare pubblicamente la premier italiana in quei termini. Un rapporto davvero paritario non dovrebbe consentire umiliazioni simili senza conseguenze. Una leadership davvero autonoma non dovrebbe aver bisogno dello sguardo di un altro presidente per dimostrare la propria forza. La fotografia del G7 avrebbe dovuto consacrare la centralità di Meloni. La telefonata di Trump l’ha trasformata in una radiografia della fragilità italiana. E alla fine, dietro la solidarietà e gli slogan, resta una verità meno fotogenica: l’Italia può dichiarare di non implorare nessuno, ma deve ancora dimostrare di possedere il peso necessario affinché nessuno possa permettersi di rappresentarla in ginocchio.
Leggi su Matrice Digitale l’inchiesta completa “Trump umilia Meloni e smonta la geopolitica da fotografia” e approfondisci il rapporto tra comunicazione politica, propaganda visuale e interessi internazionali.
La nuova piattaforma Denunce online della Polizia di Stato rappresenta un passo concreto verso una pubblica amministrazione più accessibile. Furti, truffe, frodi informatiche, accessi abusivi, utilizzi illeciti delle carte e diffamazioni online possono essere inseriti digitalmente, mentre gli smarrimenti di documenti, dispositivi e strumenti di pagamento possono essere gestiti interamente attraverso il portale. L’innovazione, però, conserva un limite evidente. Per molte fattispecie il cittadino non presenta una denuncia completa, ma una pre-denuncia che deve essere formalizzata entro 48 ore in un ufficio di polizia. La piattaforma permette di preparare la pratica e prenotare l’appuntamento, riducendo tempi e attese, ma non elimina ancora il passaggio fisico. È questa la contraddizione segnalata da diversi osservatori: il servizio digitalizza l’avvio della procedura, non sempre il suo completamento. Resta comunque importante l’integrazione con l’app IO e il valore amministrativo dei verbali digitali relativi agli smarrimenti, disponibili nell’area personale dopo la protocollazione.
Leggi su Matrice Digitale “Polizia di Stato attiva Denunce online per furti, truffe e smarrimenti digitali” per capire cosa può essere completato via Internet e quando resta necessario recarsi in questura.
Nel ransomware contemporaneo non basta più cifrare i file. Gli operatori devono entrare nelle reti, restare nascosti, sottrarre informazioni, neutralizzare le difese e colpire nel momento in cui l’organizzazione dispone di meno possibilità di reazione. INC Ransomware e Gentlemen Ransomware rappresentano due declinazioni della stessa trasformazione industriale del cybercrime. INC si è imposto come una delle operazioni Ransomware-as-a-Service più attive. Nato nella seconda metà del 2023 come programma semi-privato, ha progressivamente allargato la propria rete di affiliati, beneficiando anche del ridimensionamento di gruppi come LockBit e BlackCat. Gli operatori rimasti senza una piattaforma affidabile hanno trovato in INC infrastrutture, supporto e strumenti già pronti per condurre nuove campagne. Il gruppo ha dichiarato oltre 830 vittime dall’inizio delle proprie attività, con più di 120 incidenti attribuiti alla gang soltanto nel primo trimestre del 2026. Gli Stati Uniti concentrano oltre il 65% dei bersagli conosciuti, con una particolare attenzione verso studi legali, aziende manifatturiere, imprese di costruzione, organizzazioni tecnologiche e strutture sanitarie. La scelta non è casuale. Sono settori nei quali il fermo dei sistemi produce rapidamente danni economici, interruzioni operative e conseguenze reputazionali. La vittima non deve soltanto recuperare i dati, ma spiegare a clienti, pazienti, autorità e partner perché informazioni sensibili siano finite nelle mani dei criminali. INC applica infatti il modello della doppia estorsione. Prima sottrae i dati e poi cifra i sistemi. Se l’organizzazione dispone di backup efficaci e rifiuta di pagare per ottenere il decryptor, resta la minaccia della pubblicazione delle informazioni. Il riscatto non compra più soltanto una chiave di decifratura, ma la promessa, mai realmente verificabile, che i dati rubati non vengano diffusi o rivenduti. L’accesso iniziale può arrivare attraverso credenziali acquistate dagli Initial Access Broker, campagne di spear-phishing o vulnerabilità presenti nei sistemi esposti. Citrix Netscaler, Fortinet EMS e SimpleHelp figurano tra le tecnologie sfruttate per entrare in ambienti che spesso vengono considerati affidabili proprio perché destinati alla gestione remota.
Una volta all’interno, gli affiliati cercano di confondersi con l’attività amministrativa legittima. Utilizzano strumenti già presenti nei sistemi, software commerciali di accesso remoto e programmi open source normalmente impiegati dalle aziende. Le credenziali vengono raccolte anche dai server Veeam, mentre 7-Zip viene utilizzato per comprimere e proteggere gli archivi destinati all’esfiltrazione.
Il trasferimento dei dati avviene frequentemente tramite Rclone. La sua natura legittima rende più difficile stabilire immediatamente se una sincronizzazione verso il cloud appartenga a un’attività aziendale oppure a un’operazione criminale. AnyDesk, ScreenConnect e TeamViewer vengono impiegati con la stessa logica: il malware più efficace è spesso quello che non ha bisogno di apparire come malware. I payload di INC sono stati riscritti in Rust per migliorare prestazioni e portabilità. Le versioni Windows utilizzano multithreading e cifratura parziale per colpire un numero elevato di file nel minor tempo possibile. Le varianti Linux ed ESXi sono progettate per compromettere le infrastrutture virtualizzate, spegnendo le macchine virtuali prima di avviare la cifratura. La fuga e la vendita del codice sorgente dei payload Windows, Linux ed ESXi hanno inoltre favorito la nascita di derivazioni come Lynx e Sinobi. È un altro elemento tipico dell’economia ransomware: il codice criminale viene venduto, riutilizzato, personalizzato e rimesso sul mercato come un qualsiasi prodotto software.
Gentlemen Ransomware si distingue invece per la capacità di preparare il terreno prima della cifratura. Il suo framework GentleKiller è stato costruito per individuare e terminare i processi appartenenti alle più diffuse piattaforme EDR e antivirus. Non cerca soltanto di passare inosservato: prova a eliminare gli strumenti che potrebbero accorgersi dell’attacco. Le varianti analizzate sono almeno otto e vengono aggiornate continuamente. I file malevoli possono impersonare prodotti legittimi, utilizzare nomi e icone associati a Kaspersky, Valorant, Javelin o WatchDog e presentare firme digitali rubate o contraffatte. Packer come Enigma Protector e Themida ostacolano l’analisi statica e il lavoro delle sandbox. GentleKiller può prendere di mira oltre 400 processi appartenenti a circa 48 vendor di sicurezza. Tra questi compaiono Microsoft Defender, CrowdStrike Falcon, SentinelOne, Sophos, Trend Micro, Bitdefender, ESET, Kaspersky, Symantec e numerosi altri prodotti utilizzati negli ambienti aziendali e governativi. Il cuore tecnico di questa capacità è la tecnica Bring Your Own Vulnerable Driver. Gli attaccanti installano driver legittimi ma vulnerabili e ne sfruttano le falle per ottenere accesso al kernel. A quel livello possono interferire con processi protetti, manipolare il funzionamento del sistema operativo e terminare componenti che, in condizioni normali, non potrebbero essere arrestati da un’applicazione ordinaria.
La pericolosità del BYOVD risiede nella sua zona grigia. Il driver può essere autentico, firmato e riconosciuto dal sistema, ma viene utilizzato per uno scopo ostile. Le difese basate esclusivamente sulla reputazione del file rischiano quindi di considerarlo affidabile mentre l’attaccante lo trasforma in uno strumento per disattivare l’EDR. Gentlemen aggiorna rapidamente il proprio arsenale quando emergono nuovi driver vulnerabili. HexKiller, ThrottleBlood e HavocKiller vengono integrati per ampliare le capacità di evasione. La corsa non si svolge più soltanto tra nuove firme malware e aggiornamenti antivirus, ma tra i meccanismi di protezione del kernel e gli strumenti progettati per abusare delle sue componenti più privilegiate. INC e Gentlemen mostrano così due aspetti complementari del ransomware moderno. Il primo punta sulla scala, sugli affiliati e sull’affidabilità del servizio criminale. Il secondo investe in tecniche specialistiche per spegnere la sicurezza aziendale prima dell’attacco. Insieme dimostrano che il ransomware si sta avvicinando, per sofisticazione e disciplina operativa, alle campagne tradizionalmente attribuite agli attori APT. Le organizzazioni non possono rispondere soltanto acquistando un nuovo prodotto di sicurezza. Servono segmentazione, autenticazione multifattore, controllo degli accessi remoti, monitoraggio dei driver, gestione rigorosa delle vulnerabilità e backup realmente isolati. Un EDR resta essenziale, ma non può essere considerato invulnerabile. Se l’attaccante raggiunge il kernel, possiede credenziali amministrative e può installare driver non autorizzati, anche la console più costosa rischia di diventare soltanto un’icona verde accesa su un sistema già compromesso.
Leggi su Matrice Digitale l’analisi “Ascesa globale di INC ransomware e il super tool Gentlemen che spegne gli antivirus aziendali” per approfondire payload, accessi iniziali, tecniche BYOVD e processi di sicurezza presi di mira.
Gli attori sponsorizzati dagli Stati non hanno più bisogno di attaccare singolarmente ogni vittima. È molto più efficiente compromettere il software, il servizio o l’account di cui quelle vittime si fidano. L’operazione attribuita a Sapphire Sleet contro l’ecosistema Mastra rappresenta perfettamente questa evoluzione. Il gruppo nordcoreano era già noto per le campagne contro sviluppatori, aziende blockchain, exchange, società finanziarie e fondi di venture capital. I falsi colloqui di lavoro servivano a creare un contatto, convincere il bersaglio a scaricare un progetto, eseguire codice malevolo e sottrarre credenziali, repository e portafogli di criptovalute. Con l’attacco a Mastra, Sapphire Sleet cambia scala. La compromissione dell’account npm ehindero consente agli operatori di pubblicare aggiornamenti su oltre 140 pacchetti appartenenti agli scope mastra e @mastra. Un solo account maintainer diventa il punto di ingresso verso workstation di sviluppatori, pipeline CI/CD, ambienti di build e infrastrutture aziendali. Gli aggressori creano easy-day-js, un pacchetto progettato per imitare la nota libreria dayjs. La prima versione non contiene comportamenti evidenti e serve a costruire un’apparenza di legittimità. Solo successivamente viene introdotto setup.cjs, eseguito automaticamente attraverso un hook postinstall. Questa gradualità riduce le probabilità di rilevamento. Il pacchetto entra nell’ecosistema, acquisisce una cronologia minima e solo dopo attiva il comportamento malevolo. Quando i pacchetti Mastra compromessi vengono installati o aggiornati, la dipendenza avvelenata viene scaricata come se fosse una normale componente del progetto.
Lo script disabilita la verifica dei certificati TLS impostando NODE_TLS_REJECT_UNAUTHORIZED a zero, crea file marker, contatta i server di comando e controllo e scarica il secondo stadio. Il normale comando npm install diventa così l’atto con cui la vittima autorizza inconsapevolmente l’infezione. Il payload successivo funziona su Windows, macOS e Linux. Raccoglie informazioni di sistema, cronologie dei browser, dati sugli ambienti di sviluppo e inventari relativi ai wallet di criptovalute. Sui sistemi Windows può eseguire assembly .NET direttamente in memoria, evitando di lasciare sul disco una parte significativa delle tracce. Una backdoor PowerShell separata garantisce ulteriore persistenza, cancella la cronologia dei comandi, comunica periodicamente con l’infrastruttura avversaria e può aggiungere esclusioni a Microsoft Defender. Nei casi più avanzati, gli operatori creano servizi, caricano DLL all’avvio e raggiungono privilegi equivalenti a SYSTEM. L’obiettivo più pericoloso non è però la singola workstation. Una pipeline CI/CD compromessa può contenere token, credenziali cloud, chiavi di firma e segreti destinati alla distribuzione del software. L’attaccante può quindi usare il primo incidente per preparare ulteriori compromissioni downstream, contaminando prodotti e servizi utilizzati da altre organizzazioni. La campagna mostra la crisi strutturale della fiducia nell’ecosistema open source. Il codice non deve necessariamente essere vulnerabile. Basta che l’account autorizzato a pubblicarlo venga sottratto. Il repository GitHub può rimanere pulito mentre la versione distribuita su npm contiene una dipendenza aggiunta manualmente. La firma sociale del maintainer sostituisce il controllo tecnico e diventa il punto più debole della catena.
Leggi su Matrice Digitale “Sapphire Sleet compromette 140 pacchetti npm Mastra con un attacco supply chain” per ricostruire l’intera catena, dal takeover dell’account al payload multipiattaforma.
La Cina segue una traiettoria differente ma altrettanto strategica. Le attività legate a FishMonger, SprySOCKS e UNC6508 mostrano un investimento orientato non alla monetizzazione immediata, bensì alla persistenza silenziosa e alla raccolta di intelligence. SprySOCKS, già osservato negli ambienti Linux, viene portato su Windows attraverso le varianti WIN_DRV e WIN_PLUS. La catena utilizza eseguibili legittimi firmati, librerie malevole e script batch. Le tecniche di DLL side-loading permettono di caricare il codice ostile attraverso processi apparentemente affidabili. Prima dell’attivazione, il loader controlla la presenza di sandbox, ambienti virtualizzati e prodotti di sicurezza. Soltanto se la macchina appare compatibile con un bersaglio reale viene decifrato il payload. L’attaccante evita così di mostrare tutte le proprie capacità ai laboratori di analisi automatizzata. La variante WIN_DRV introduce funzioni tipiche dei rootkit. Driver dedicati consentono di nascondere processi, file, chiavi di registro e connessioni. Le chiamate utilizzate dagli strumenti di monitoraggio vengono intercettate e modificate affinché le informazioni legate all’infezione non compaiano nei risultati. Anche il traffico viene occultato. SprySOCKS utilizza la Windows Filtering Platform e manipola i componenti di rete per ricevere connessioni senza esporre direttamente la porta reale. Le chiavi di persistenza possono essere protette da callback che impediscono agli amministratori di visualizzare le modifiche più sensibili. Il malware mantiene una struttura modulare e supporta oltre trenta comandi remoti. Può enumerare processi, gestire servizi, trasferire file, raccogliere informazioni ed eseguire operazioni attraverso TCP, UDP e WebSocket. Le campagne attribuite a FishMonger hanno interessato organizzazioni governative in Paesi come Honduras, Taiwan, Thailandia e Pakistan.
UNC6508 ha invece colpito università mediche, centri clinici, enti regolatori e strutture sanitarie nordamericane attraverso server REDCap obsoleti ed esposti. Il malware INFINITERED è stato progettato per integrarsi nella piattaforma e sopravvivere persino agli aggiornamenti del software. Il codice intercetta i processi di upgrade e reinserisce le proprie modifiche nei moduli di autenticazione e nei custom hooks. Un componente cattura le credenziali durante le richieste di login, mentre la backdoor utilizza uno specifico cookie HTTP per ricevere comandi senza generare comunicazioni anomale verso endpoint visibili. Gli operatori possono aprire shell remote, caricare file, leggere le credenziali raccolte, eseguire query SQL e manipolare i dati. Per l’esfiltrazione vengono create regole email che individuano contenuti di interesse e li inoltrano in copia nascosta verso account controllati dagli attaccanti. Il bersaglio non è soltanto sanitario. Dopo il movimento laterale, UNC6508 cerca informazioni su intelligenza artificiale, piattaforme cyber offensive, sistemi senza pilota, programmi militari e attività legate all’Indo-Pacifico. La ricerca medica diventa quindi una porta d’accesso verso un patrimonio scientifico, industriale e strategico molto più ampio. Le due campagne cinesi mostrano una capacità di adattamento settoriale notevole. Un rootkit kernel-level può servire per nascondersi in un’infrastruttura governativa. Una modifica persistente a REDCap può essere più adatta a sottrarre dati clinici e scientifici. Cambiano gli strumenti, ma non l’obiettivo: restare invisibili abbastanza a lungo da trasformare l’accesso tecnico in vantaggio geopolitico.
Leggi su Matrice Digitale “Evoluzione delle minacce APT cinesi” per approfondire le capacità kernel-level di SprySOCKS e la persistenza di INFINITERED sulle piattaforme REDCap.
Per anni le piattaforme hanno finto di non sapere chi fossero realmente i propri utenti. Bastava inserire una data di nascita, dichiarare di avere l’età richiesta e accedere a feed algoritmici, dirette, messaggi e sistemi pubblicitari progettati per prolungare il tempo trascorso online. Quel modello sta finendo.
Il Regno Unito prepara il divieto di accesso ai principali social per i minori di 16 anni. Gli utenti dovranno dimostrare l’età attraverso documenti ufficiali o strumenti biometrici, mentre determinate funzioni resteranno limitate anche per chi ha tra 16 e 17 anni. Le applicazioni che simulano relazioni sentimentali attraverso l’intelligenza artificiale potrebbero essere riservate ai maggiorenni. La tutela dei minori risponde a problemi concreti: esposizione a contenuti dannosi, adescamento, dipendenza, profilazione commerciale e interazioni con sconosciuti. Ma una verifica realmente efficace dell’età richiede di identificare anche chi minore non è. Per stabilire che un adulto può accedere senza restrizioni, la piattaforma deve raccogliere una prova della sua età o affidarsi a un intermediario che la certifichi. Gli Emirati Arabi Uniti hanno scelto una strada ancora più rigida, vietando gli account personali agli under 15 e imponendo alle piattaforme di disattivare quelli già esistenti. Tra i 15 e i 16 anni resteranno controlli rafforzati, filtri, limiti nelle interazioni e supervisione parentale. L’autodichiarazione viene eliminata a favore di identità digitali e sistemi di stima basati sull’intelligenza artificiale. Le aziende saranno responsabili anche dei tentativi di elusione e non potranno utilizzare i dati dei minori per pubblicità mirata o profilazione comportamentale. Negli Stati Uniti, l’Ohio può applicare una legge che obbliga le piattaforme a ottenere il consenso verificabile dei genitori per gli utenti sotto i 16 anni. Le violazioni possono comportare sanzioni giornaliere rilevanti. Le aziende tecnologiche contestano il provvedimento, sostenendo che la raccolta di documenti e dati identificativi possa creare nuove superfici di attacco e limitare diritti costituzionali. Il problema non è teorico. Database contenenti documenti, scansioni biometriche, informazioni familiari e prove d’identità diventerebbero bersagli di enorme valore per criminali e servizi di intelligence. Una misura introdotta per proteggere i minori potrebbe produrre infrastrutture centralizzate capaci di esporre milioni di persone a furti d’identità.
La questione coinvolge anche l’anonimato politico, sociale e professionale. Dissidenti, vittime di violenza, informatori, lavoratori e cittadini che utilizzano pseudonimi potrebbero essere obbligati a identificarsi presso una piattaforma o un fornitore esterno. L’identità potrebbe non essere visibile pubblicamente, ma verrebbe comunque registrata da qualcuno. La scelta non può quindi essere ridotta allo scontro tra chi vuole proteggere i bambini e chi difende le Big Tech. La tutela dei minori è necessaria, ma non autorizza automaticamente la costruzione di un’infrastruttura globale di identificazione preventiva. Servono sistemi capaci di attestare una fascia d’età senza conservare il documento, minimizzazione dei dati, separazione tra identità e account e controlli indipendenti sui fornitori. La regolamentazione sta entrando in una fase nella quale gli Stati non chiedono più semplicemente alle piattaforme di moderare meglio i contenuti. Impongono condizioni per l’accesso, definiscono chi può aprire un account e stabiliscono quali prove debbano essere fornite. Il social network smette di essere uno spazio aperto regolato da un contratto privato e diventa un ambiente sottoposto a identificazione, autorizzazione e sorveglianza normativa. Il bivio è ormai evidente. O le piattaforme dimostrano di saper proteggere i minori con tecnologie rispettose della privacy, oppure la verifica dell’età diventerà il cavallo di Troia attraverso cui documenti e biometria entreranno stabilmente nell’accesso quotidiano alla rete.
Leggi su Matrice Digitale “Giro di vite sui social: il Regno Unito vieta gli account sotto i 16 anni e l’India blocca Telegram” per approfondire il nuovo interventismo dei governi sulle piattaforme digitali.
Leggi anche “Giro di vite sui social: divieto totale per gli under 15 negli Emirati e via libera al controllo parentale in Ohio” per comprendere come age verification e consenso parentale stiano diventando uno standard globale.
Saluti dal Dark Web dell’informazione: quello che Google non mostra e YouTube censura
Cosa hai perso questa settimana?
Vulnerabilità informatiche: qui per restare aggiornato
Atlante della guerra cibernetica
Guerra Cibernetica: gli unici ad aggiornarvi H24
Malware: tutte le minacce emergenti e quelle persistenti
Intelligenza Artificiale: le news in tempo reale
Robotica: scopri come saranno gli umani del futuro
Glossario cibernetico: studia e impara la cybersecurity
Comments
Nothing yet. Say the first thing.
Sign in to join the conversation.