Donne in Cybersecurity: da Outsider a Cornerstone

La scena è sempre quella: monitor accesi, dashboard piene di alert, log che scorrono troppo in fretta, un cliente in ansia dall’altra parte della call. Ti siedi, ti guardi intorno e ti rendi conto che, ancora una volta, sei l’unica donna nella stanza. Quando dico che lavoro come Cyber Threat Intelligence Analyst, la reazione è spesso un misto tra stupore e curiosità:

“Ma quindi è come essere un hacker?”, “Non è un lavoro un po’ troppo tecnico?”, “Non è spaventoso questo mondo?”.

Siamo nel 2025 e certe domande fanno quasi sorridere, ma raccontano bene la realtà: la cybersecurity è ancora percepita come un territorio maschile, dove le donne vengono viste come eccezioni statistiche, anomalie. E i numeri, purtroppo, non smentiscono del tutto questa sensazione.

A livello globale, le donne rappresentano ancora una netta minoranza nella forza lavoro della cybersecurity e non sono rari i team in cui non è presente nemmeno una professionista. Proprio per colmare questo divario, Red Hot Cyber ha dato vita a RHC Cyber Angels, un gruppo interamente al femminile nato con l’obiettivo di rafforzare le connessioni tra le donne nel settore cyber e promuovere una cultura più inclusiva.

Il caso Italia: Terreno fragile ma fertile

Nel 2025, il settore della cybersecurity è in crescita ma sotto pressione a causa dell’aumento degli attacchi e dell’allargamento della superficie d’attacco. Nonostante la crescita del numero di professionisti, la domanda supera l’offerta, con un deficit di quasi cinque milioni di ruoli. La presenza femminile nel settore è ancora minoritaria, con un divario retributivo rispetto agli uomini. Non è solo una questione di numeri: è una questione di opportunità mancate e di inefficienza strutturale. Si sta combattendo una guerra digitale usando metà dell’esercito disponibile.

L’Italia, storicamente indietro per la presenza femminile nel digitale, mostra un dato sorprendente: è tra i Paesi con la più alta percentuale di donne nella cybersecurity, quasi un terzo dei professionisti del settore, un aumento significativo rispetto al passato.

Cosa significa?

Significa che l’Italia sta recuperando terreno, forse proprio perché partiva da lontano. Le donne che sono riuscite a entrare in questo mondo hanno spesso dovuto costruirsi il percorso passo dopo passo navigando controcorrente, inventandosi strade alternative. Non è stato un cambiamento spontaneo: è stato spinto da scelte individuali coraggiose e da alcune iniziative collettive.

Allo stesso tempo, se allarghiamo lo sguardo all’intero digitale, il quadro resta fragile. In Italia meno della metà delle persone tra i 16 e i 74 anni ha competenze digitali almeno di base, e siamo sotto la media europea. Questo significa che il bacino di potenziali talenti è già ristretto in partenza, e dentro a questo bacino le donne sono quelle che più frequentemente vengono orientate verso altri percorsi, spesso lontani dall’IT e dalla sicurezza.

In pratica: da un lato emergono segnali positivi, dall’altro restano barriere culturali, scolastiche e sociali che pesano in modo particolare sulle ragazze.

Il lato invisibile del Gender Gap

Quando si parla di discriminazione di genere, si tende a pensare agli episodi estremi: commenti apertamente misogini, esclusioni deliberate, casi di molestie. Esistono, purtroppo, anche nel nostro settore, ma non sono l’unica forma di disparità. Quello che logora, spesso, sono le silenziose ferite quotidiane.

La prima è lo stereotipo: se si è una donna in un contesto tecnico, bisogna costantemente dimostrare qualcosa. L’obiettivo marcato da un giudizio implicito è: controllare se la competenza è reale. Un collega uomo, con lo stesso livello di esperienza, si prende molto più spesso un beneficio del dubbio: se sbaglia, “capita”. Se sbaglia la collega donna, diventa una conferma del pregiudizio.

La seconda è la sottovalutazione wordless: viene presentata un’analisi dettagliata su un incidente, con collegamenti di IoCs, tecniche di attacco, impatti di business, raccomandazioni. Nessuno obietta. Poi, più tardi, un collega ripete un concetto che era stato già detto precedentemente, con parole leggermente diverse, e all’improvviso quella stessa cosa viene percepita come brillante. Non succede sempre, ma abbastanza spesso da non poter parlare solo di coincidenze.

La terza è la messa in discussione del proprio merito. Quando una donna viene invitata come speaker a un convegno, quando le viene proposto un ruolo visibile o una promozione, si chiede se sia stata scelta per le proprie competenze o perché cercavano una donna da mettere in foto per dimostrare inclusività. Il confine tra valorizzazione reale e tokenismo è sottile. E a volte è la donna a interiorizzare questo dubbio, anche quando non ha motivo di esistere.

Poi ci sono le disparità meno visibili ma altrettanto concrete: quelle di stipendio, di accesso a determinati progetti, di possibilità di crescita verticale. In diversi casi, a parità di ruolo e responsabilità, le donne guadagnano meno dei colleghi uomini.

L’Unione Europea ha riconosciuto il problema a livello sistemico e ha varato una direttiva sulla trasparenza retributiva che gli Stati membri, inclusa l’Italia, dovranno attuare entro il 2026.

Non sarà la bacchetta magica che risolve tutto, ma è un passo.

E ogni passo verso la trasparenza, in un settore ancora poco regolato come la cyber, conta moltissimo.

Un Paese poco digitale che non può permettersi di scartare talenti

C’è un altro pezzo di realtà che non possiamo ignorare: in Italia, le competenze digitali nella popolazione sono ancora basse.

Meno della metà delle persone ha competenze di base, e la distanza dalla media europea è significativa. Questo si traduce in un ecosistema in cui: aziende faticano a trovare profili tecnici, molte persone non si sentono all’altezza di intraprendere percorsi IT, la cultura digitale è percepita come per pochi.

Se unito a decenni di stereotipi di genere (“le ragazze sono più portate per il linguistico, per l’umanistico, per il sociale”), il risultato è un imbuto strettissimo: pochi studenti scelgono l’ambito informatico, e tra questi le donne sono ancora una minoranza.

In un contesto così fragile, ogni donna che decide di entrare in cybersecurity compie un atto di rottura rispetto alle aspettative.

Non si parla solo di carriera individuale, ma di impatto collettivo: ogni percorso aperto da qualcuna rende il terreno un po’ più calpestabile per chi verrà dopo.

E, soprattutto, il settore non può permettersi di continuare a pescare sempre dallo stesso bacino ristretto di profili maschili, spesso con lo stesso tipo di background. È inefficiente, rischioso e miope.

Non si tratta solo di ‘’quote rosa’’

A volte il discorso viene semplificato: “Bisogna avere più donne per arrivare al 50 e 50”. Ma il punto non è solo l’estetica delle percentuali. La cybersecurity moderna è complessa. Richiede capacità di vedere connessioni tra tecnologia, persone, processi, contesto geopolitico, dinamiche economiche. Non è più solo “chiudere porte e configurare firewall”, ma gestire rischio, comunicare crisi, costruire strategie di lungo periodo.

In questo tipo di scenario, la diversità di prospettive non è un accessorio: è una forma di ridondanza intelligente. Un team composto da persone tutte simili tra loro tenderà a vedere gli stessi problemi, sempre dalla medesima prospettiva e ad ignorarne altri.

Un team eterogeneo per genere, età, background di studi, esperienze di vita ha molte più possibilità di cogliere segnali deboli, leggere i comportamenti umani legati alle minacce, intuire le implicazioni di una scelta tecnica sulle persone che la subiranno.

Le donne, in tutto questo, non sono “migliori per definizione”, ma portano spesso competenze e sensibilità preziose: attenzione alla comunicazione con il business, capacità di gestione relazionale dei conflitti, sensibilità rispetto alle implicazioni umane delle crisi di sicurezza, approccio sistemico che va oltre il singolo tool. Più donne in cybersecurity significa più modi diversi di difendere, non solo più statistiche da esibire nei report aziendali.

Le community che investono nel cambiamento

Negli ultimi anni, diverse community hanno supportato la presenza femminile nella cybersecurity. Tra queste, Cyber Angels, all’interno di Red Hot Cyber, offre uno spazio informale per condividere esperienze e creare una rete di supporto.

A livello europeo, Women4Cyber Foundation promuove la partecipazione femminile con programmi di mentorship e networking, mentre Women4Cyber Italia organizza eventi e percorsi di mentoring.

Il Laboratorio Nazionale di Cybersecurity del CINI coordina progetti formativi come CyberChallenge.IT, rivolti anche alle studentesse.

A livello globale, WiCyS offre programmi simili.

Queste community offrono opportunità concrete e, soprattutto, il messaggio che non si è mai sole in questo percorso. Il valore di queste community non è solo nelle opportunità concrete (borse di studio, workshop, contatti lavorativi), ma nel messaggio implicito che portano: non si è mai da sole. Qualcun’altra ha già affrontato quegli stessi dubbi, le stesse paure, le stesse frustrazioni. E ce l’ha fatta!

Essere una donna in Cyber Threat Intelligence

La Cyber Threat Intelligence è una di quelle aree che stanno a metà tra il mondo iper-tecnico e quello strategico. È un lavoro che richiede di entrare nella testa degli attaccanti, studiare campagne, analizzare infrastrutture, correlare indicatori tecnici e contesto geopolitico, per poi tradurre tutto questo in informazioni comprensibili per il business.

Essere una donna in questo ambito, significa vivere in modo amplificato questa dimensione “di confine”.

Da una parte ci sono i colleghi che amano parlare di TTP, di log, di sandbox, di memoria volatile. Dall’altra i manager, i board, i clienti che chiedono: “Che cosa significa tutto questo per noi? Quanto rischio corriamo? Cosa dovremmo fare domani?”.

Stare nel mezzo vuol dire allenare sia il linguaggio tecnico che quello umano.

Vuol dire imparare a cambiare registro a seconda dell’interlocutore, senza perdere precisione.

Vuol dire, soprattutto, sviluppare una grande capacità di ascolto: dell’organizzazione che si difende, del contesto in cui si opera, delle persone che si hanno intorno.

Il fatto di essere donna, in un ruolo come questo, significa talvolta essere vista istintivamente come “la persona che sa comunicare bene” prima che come “quella che sa analizzare un’infrastruttura di C2”. All’inizio può dare fastidio, perché sembra ridurre una competenza a una soft skill. Con il tempo, però, se si affianca alla capacità comunicativa una solidissima base tecnica, quella percezione si trasforma: si arriva ad essere la persona che riesce a fare da ponte tra due mondi che spesso non si parlano.

Non è sempre facile. Ci saranno momenti in cui ci si potrebbe sentire sottovalutate, situazioni in cui il proprio contributo verrà dato per scontato, ruoli in cui alzare la voce (anche metaforicamente) per non farsi schiacciare ai margini, potrebbe diventare una necessità.

Ma ci saranno anche momenti in cui prenderà il sopravvento la consapevolezza che il proprio sguardo ha fatto la differenza: un rischio che nessuno aveva visto, un segnale debole riconosciuto, un consiglio strategico che ha evitato a un’azienda un impatto serio. E quei momenti ripagano moltissimo.

Quando la paura di iniziare è il primo ostacolo

Ciò che va tenuto a mente è che nessuno nasce tecnico.

Chi oggi sembra muoversi con naturalezza tra protocolli, exploit e log, un tempo non aveva idea di che cosa fosse un pacchetto TCP o un SIEM.

Tutto si impara, non c’è un gene segreto della cybersecurity.

Non esiste soprattutto una “età giusta” o un percorso “perfetto”. Ci sono persone che sono arrivate alla sicurezza passando da lingue, psicologia, giurisprudenza, relazioni internazionali. Hanno portato con sé competenze fondamentali per domini come governance, risk management, privacy, awareness, social engineering, policy.

La cybersecurity non è solo exploit e reverse engineering: è anche processi, norme, persone, educazione, cultura aziendale. Se a mancare è la fiducia, l’importante è non guardare mai tutta la scala che si dovrà salire, ma iniziare ad affrontarla un gradino alla volta.

La verità è che nessuno si sente davvero pronto quando inizia. Si entra titubanti, si rimane per convinzione. La paura non è un segnale di inadeguatezza, è il segnale che si sta varcando un confine. La differenza la fa ciò che succede subito dopo: arretrare o fare un passo avanti.

Conclusioni: non esiste un “posto giusto”, esiste il posto che si decide di occupare

La cybersecurity è un’infrastruttura invisibile che tiene in piedi aziende grandi e piccole e persino una parte della vita quotidiana più semplice.

Ogni volta che un attacco viene fermato, che un incidente viene gestito, che una vulnerabilità viene chiusa, c’è qualcuno che ha scelto di stare dall’altra parte dello schermo.

Quel “qualcuno” non ha né volto né genere prestabilito. Può essere chiunque decida di esserci.

Dire che non è un mondo per donne significa, in realtà, accettare in silenzio che la sicurezza di tutti venga progettata e gestita da uno sguardo solo. È una rinuncia. È una forma di resa culturale. È lasciare che metà delle voci resti fuori dalla stanza in cui si prendono decisioni importanti. Ogni donna che sceglie la cybersecurity manda un messaggio potente, anche se non se ne accorge subito:

“Questo spazio mi appartiene tanto quanto a chiunque altro.”

Non è una dichiarazione contro qualcuno, non è una guerra di genere. È un atto di riequilibrio.

È dire ad alta voce ciò che dovrebbe essere ovvio: la competenza, il talento, la capacità di analisi, di gestione della crisi, di lettura del rischio non hanno sesso. Il settore, oggi, ha bisogno di menti lucide, di sguardi diversi, di persone che sappiano restare in piedi in mezzo al caos.

Ogni barriera culturale che scoraggia una ragazza dal provarci non è solo un’ingiustizia individuale, è un pezzo di difesa in meno per tutti.

In un Paese in cui il digitale fatica ancora a trovare spazio, ogni donna che decide di investire in competenze tecniche rompe un pezzo di narrativa vecchia: quella che relega le donne lontano dalle console, dagli alert, dai log, dalle scelte strategiche. Ogni ingresso rende quello successivo un po’ meno faticoso, è così che cambiano i settori: non con una rivoluzione improvvisa, ma con una serie di persone che, una dopo l’altra, si rifiutano di restare fuori.

Non si tratta di essere “più brave degli uomini”. Si tratta di essere sé stesse in un campo che, per troppo tempo, ha fatto finta che esistesse un solo modo “giusto” di essere professionisti IT.

Il posto a quella scrivania, davanti a quei monitor, in quelle riunioni, non è riservato a qualcun altro.

È lì, in attesa di chi decide di occuparlo. Non è il momento di farsi piccole per entrare negli spazi già esistenti, è il momento di allargare quegli spazi finché nessuno si sentirà di troppo.

Chi oggi decide di iniziare un percorso in cybersecurity sta scegliendo di stare dalla parte di chi difende, protegge, costruisce sicurezza dove prima c’era solo vulnerabilità e non c’è ruolo più potente, né per un professionista, né per una donna.

L'articolo Donne in Cybersecurity: da Outsider a Cornerstone proviene da Red Hot Cyber.

Hackaday Links: December 14, 2025

Fix stuff, earn big awards? Maybe, if this idea for repair bounties takes off. The group is dubbed the FULU Foundation, for “Freedom from Unethical Limitations on Users,” and was co-founded by right-to-repair activist Kevin O’Reilly and perennial Big Tech thorn-in-the-side Louis Rossman. The operating model works a bit like the bug bounty system, but in reverse: FULU posts cash bounties on consumer-hostile products, like refrigerators that DRM their water filters or bricked thermostats. The bounty starts at $10,000, but can increase based on donations from the public. FULU will match those donations up to $10,000, potentially making a very rich pot for the person or team that fixes the problem.

So far, it looks like FULU has awarded two $14,000 bounties for separate solutions to the bricked Nest thermostats. A second $10,000 bounty, for an air purifier with DRM’d filters, is under review. There’s also a $30,000 bounty outstanding for a solution to the component pairing problem in Xbox Series X gaming consoles. While we love the idea of putting bounties on consumer-unfriendly products and practices, and we celebrate the fixes discovered so far, we can’t help but worry that this could go dramatically wrong for the bounty hunters, if — OK, when — someone at a Big Tech company decides to fight back. When that happens, any bounty they score is going to look like small potatoes compared to a DMCA crackdown.

From the “Interesting times, interesting problems” Department comes this announcement by NASA of a change in vendor for the ground support vehicles for the Artemis program. The US space agency had been all set to use EVs manufactured by Canoo to whisk astronauts on the nine-mile trip from their prep facility to the launch pad, but when the company went belly up earlier this year, things abruptly changed. Now, instead of the tiny electric vans that look the same coming and going, NASA will revert to type and use modified Airstream coaches to do the job. Honestly, we think this will be better for the astronauts. The interior of the Airstream is spacious, allowing for large seats to accommodate bulky spacesuits and even providing enough headroom to stand up, a difficult proposition in the oversized breadloaf form-factor of the Canoo EV. If they’re going to strap you into a couple of million pounds of explosives and blast you to the Moon, the least they can do is make the last few miles on Earth a little more comfortable.

Speaking of space, we stumbled across an interesting story about time on Mars that presented a bit of a “Well, duh!” moment with intriguing implications. The article goes into some of the details about clocks running slower on Mars compared to Earth, thanks to the lower mass of the Red Planet and the reduced gravity. That was the “duh” part for us, as was the “Einstein was right” bit in the title, but we didn’t realize that the difference would be so large — almost half a millisecond. While that might not sound like much, it could have huge implications when considering human exploration of Mars or even eventual colonization. Everything from the Martian equivalent of GPS to a combined Earth-Mars Internet would need to take the differing concept of what a second is into account. Taking things a bit further, would future native-born Martians even want to use units of measurement based on those developed around the processes and parameters of the Old World? Seems like they might prefer a system of time based on their planet’s orbital and rotational characteristics. And why would they measure anything in meters, being based (at least originally) on the distance between the North Pole and the equator on a line passing through Paris — or was it Greenwich? Whatever; it wasn’t Mars, and that’s probably going to become a sticking point someday. And you thought the U.S. versus the metric system war was bad!

Sticking with space news, what does it take to be a U.S. Space Force guardian? Brains and brawn, apparently, as the 2025 “Guardian Arena” competition kicked off this week at Florida’s Space Force Base Patrick. Guardians, as Space Force members are known, compete as teams in both physical and mental challenges, such as pushing Humvees and calculating orbital properties of a satellite. Thirty-five units from across the Space Force compete for the title of Best Unit, with the emphasis on teamwork. It’s not quite the Colonial Marines, but it’s pretty close.

And finally, Canada is getting in on the vintage computer bandwagon with the first-ever VCF Montreal. In just a couple of weeks, Canadian vintage computer buffs will get together at the Royal Military College of Saint-Jean-sur-Richelieu for an impressive slate of speakers, including our friend “Curious Marc” Verdiell, expounding on his team’s efforts to unlock the secrets of the Apollo program’s digital communications system. Along with the talks, there’s a long list of exhibitors and vendors. The show kicks off on January 24, so get your tickets while you can.

hackaday.com/2025/12/14/hackad…

Quando l’EDR diventa un cavallo di Troia: Storm-0249 abusa di SentinelOne

Un noto broker di accesso iniziale (IAB) denominato “Storm-0249“, ha modificato le proprie strategie operative, utilizzando campagne di phishing ma anche attacchi altamente mirati, i quali sfruttano proprio gli strumenti di sicurezza pensati per la protezione delle reti come mezzo per raggiungere i propri obiettivi.

Il gruppo utilizza una nuova tecnica allarmante che include un metodo chiamato DLL sideloading. I pacchetti MSI dannosi vengono diffusi da Storm-0249 tramite campagne di phishing, sfruttando spesso tattiche di ingegneria sociale denominate “ClickFix”, le quali spingono gli utenti a eseguire comandi per risolvere presunti problemi tecnici fasulli.

Il ReliaQuest Threat Research Team (dopo che l’analisi era stata in parte sviluppata dagli specialisti di TrendMicro) ha pubblicato un rapporto aggiornato, il quale sottolinea che il gruppo di minaccia sta anche sfruttando indebitamente i processi legittimi di rilevamento e risposta agli endpoint (EDR), soprattutto le componenti SentinelOne, al fine di occultare le proprie tracce e facilitare l’avvio di attacchi del tipo ransomware.

Una volta eseguito con privilegi di SYSTEM, il programma di installazione rilascia una versione legittima e firmata digitalmente di SentinelAgentWorker.exe, un componente fondamentale dell’agente di sicurezza di SentinelOne , nella cartella AppData dell’utente. Insieme a essa, inserisce un file dannoso denominato SentinelAgentCore.dll.

“Quando il file binario SentinelOne portato con sé dall’aggressore viene avviato, carica la DLL dannosa invece di quella legittima che si trova accanto ad essa”, spiega il rapporto.

Questo trasforma di fatto lo strumento di sicurezza in un cavallo di Troia. Per chi si occupa della difesa della rete, l’attività appare come una normale operazione EDR, che consente agli aggressori di aggirare il rilevamento basato sulle firme e stabilire canali di comando e controllo (C2) crittografati mascherati da telemetria legittima.

I difensori dovrebbero monitorare:

• Caricamento laterale anomalo: file binari legittimi che caricano DLL da posizioni insolite come AppData.
• Traffico sospetto: connessioni a domini appena registrati provenienti da processi EDR attendibili.
• Abuso di LoLBin: utilizzo inaspettato di curl.exe o reg.exe da parte degli agenti di sicurezza.

Oltre al sideloading, Storm-0249 abusa anche delle utilità integrate di Windows per eludere il rilevamento. Il gruppo crea domini falsi che imitano gli URL di Microsoft (ad esempio, /us.microsoft.com/) per ingannare gli utenti e i filtri di sicurezza.

ReliaQuest sottolinea che questo non indica una vulnerabilità in SentinelOne in sé. “I processi legittimi all’interno dei comuni strumenti EDR, incluso SentinelOne, non vengono sfruttati, aggirati, elusi o compromessi con le tecniche descritte nel presente documento”. Al contrario, gli aggressori stanno abusando della fiducia riposta nei file binari firmati.

Utilizzano quindi curl.exe, uno strumento standard per il trasferimento dati, per recuperare script dannosi e inviarli direttamente nella memoria di PowerShell. “Invece di salvare lo script su disco, dove l’antivirus potrebbe intercettarlo, il comando invia il contenuto direttamente nella memoria di PowerShell per l’esecuzione immediata”, creando una catena di attacchi “fileless” che lascia prove forensi minime.

L’obiettivo finale di queste intrusioni è vendere l’accesso a gruppi di ransomware come LockBit e ALPHV. Il rapporto sottolinea che Storm-0249 conduce una ricognizione specifica per estrarre il MachineGuid, un identificatore di sistema univoco.

L'articolo Quando l’EDR diventa un cavallo di Troia: Storm-0249 abusa di SentinelOne proviene da Red Hot Cyber.

Sviluppatori nel mirino: malware nascosto nel marketplace di Visual Studio Code

Una campagna di malware sofisticata è stata individuata all’interno del marketplace di Visual Studio Code (VS Code). I ricercatori di ReversingLabs (RL) sono riusciti a identificare 19 estensioni malevole che sono state in grado di eludere con successo i metodi standard di rilevamento, occultando i loro payload all’interno delle cartelle delle dipendenze in modo profondo.

Attiva da febbraio 2025, utilizza una combinazione astuta di tecniche di “typosquatting-adjacent” e steganografia al fine di compromettere i computer degli sviluppatori.

“I file dannosi hanno abusato di un pacchetto npm legittimo per eludere il rilevamento e hanno creato un archivio contenente file binari dannosi che si spacciavano per un’immagine: un file con estensione PNG”, hanno riportato i ricercatori.

Per oscurare ulteriormente le loro tracce, gli aggressori hanno utilizzato un file ingannevole denominato banner.png. Sebbene sembrasse un file immagine standard per la presentazione dell’estensione sul marketplace, in realtà era un archivio modificato.

La catena di attacco inizia quando il file index.js della dipendenza compromessa viene eseguito all’avvio di VS Code. Attiva una classe nascosta che decodifica un dropper JavaScript da un file chiamato semplicemente lock. Questo dropper estrae quindi il payload dal file PNG falso.

Il modo in cui le estensioni di VS Code gestiscono i loro componenti fondamentali è ciò che rende questo attacco geniale. Le estensioni di VS Code, diversamente dai progetti npm tradizionali che scaricano le dipendenze in tempo reale, sono fornite con una cartella node_modules già pronta, contenente tutte le librerie richieste.

Questa struttura consente alle estensioni di funzionare “out of the box”, ma ha anche offerto agli aggressori un nascondiglio perfetto, riportano i ricercatori.

Per questa campagna, gli autori della minaccia hanno preso il popolarissimo pacchetto path-is-absolute, una libreria con oltre 9 miliardi di download, e lo hanno modificato localmente all’interno delle loro estensioni dannose. Non hanno toccato il pacchetto ufficiale nel registro npm; hanno invece manomesso la versione inclusa nella loro estensione.

“In questo modo, l’autore della minaccia sta trasformando un pacchetto popolare e altrimenti sicuro in una bomba a orologeria pronta a esplodere non appena viene utilizzata una delle estensioni dannose”, afferma il rapporto. “Il file banner.png, come si è scoperto, non era un file immagine. Si tratta invece di un archivio contenente due file binari dannosi”.

Una volta decompresso, il malware non si limita a essere eseguito: sfrutta il sistema contro se stesso. Il dropper decodificato esegue i file binari dannosi utilizzando cmstp.exe, uno strumento legittimo di installazione dei profili di Microsoft Connection Manager, spesso utilizzato dagli hacker come file binario “Living Off the Land” (LOLBIN) per aggirare i controlli di sicurezza .

Sebbene la maggior parte delle estensioni identificate abusasse del pacchetto path-is-absolute, i ricercatori hanno notato che quattro estensioni utilizzavano un vettore diverso, modificando il pacchetto @actions/io e nascondendo i payload nei file TypeScript (.ts) e sourcemap (.map) invece dell’immagine falsa.

L'articolo Sviluppatori nel mirino: malware nascosto nel marketplace di Visual Studio Code proviene da Red Hot Cyber.

AI a rischio: bug ad alta gravità in NVIDIA Merlin espongono le pipeline

Un significativo aggiornamento di sicurezza è stato rilasciato da NVIDIA per il suo framework Merlin, il quale risolve alcune vulnerabilità di alta gravità. Tali vulnerabilità potrebbero permettere agli aggressori di eseguire codice malevolo o alterare dati sensibili all’interno delle pipeline di raccomandazione dell’intelligenza artificiale.

La prima vulnerabilità , identificata come CVE-2025-33214, riguarda NVTabular. La questione è incentrata sul Workflow del software, in quanto una vasta gamma di funzionalità per l’elaborazione dei dati, studiata per gestire dataset di enormi dimensioni, fino a terabyte, presenta una criticità specifica proprio nel suo componente di Workflow.

Se non corretta, questa falla apre le porte a un’ampia gamma di attività dannose. NVIDIA avverte che “uno sfruttamento riuscito di questa vulnerabilità potrebbe portare all’esecuzione di codice, al diniego di servizio, alla divulgazione di informazioni e alla manomissione dei dati”.

Le vulnerabilità in questione, valutata con un punteggio CVSS di 8,8 (alto), derivano dalla deserializzazione non sicura, una debolezza comune che gli aggressori spesso sfruttano per indurre le applicazioni a eseguire dati non attendibili come codice.

Data scientist e ingegneri che utilizzano NVTabular per la pre-elaborazione di enormi dataset dovrebbero essere consapevoli che un aggressore potrebbe, in linea teorica, compromettere la pipeline di dati o addirittura provocare un completo collasso del sistema.

Le patch risolvono le falle in due componenti chiave, NVTabular e Transformers4Rec, entrambi in esecuzione su sistemi Linux. Secondo il bollettino di sicurezza , “NVIDIA NVTabular per Linux contiene una vulnerabilità nel componente Workflow, in cui un utente potrebbe causare un problema di deserializzazione”.

Un’altra falla di sicurezza, equivalente è stata individuata nella libreria Transformers4Rec e impiegata per l’allenamento delle architetture Transformer destinate ai sistemi di raccomandazione è stata scoperta. Il componente Trainer è risultata essere la sede di questa vulnerabilità (CVE-2025-33213).

Il bollettino afferma che “NVIDIA Merlin Transformers4Rec per Linux contiene una vulnerabilità nel componente Trainer che potrebbe causare un problema di deserializzazione da parte di un utente”.

È essenziale assicurare che i sistemi di formazione siano protetti dallo sfruttamento a distanza, il che rende questi aggiornamenti cruciali per salvaguardare l’integrità dei processi lavorativi nell’ambito dell’intelligenza artificiale e dell’apprendimento automatico.

L'articolo AI a rischio: bug ad alta gravità in NVIDIA Merlin espongono le pipeline proviene da Red Hot Cyber.

Imprecare sui social: lo studio sulla “parolacce” aiuta ad individuare bot e disinformazione

Gli americani sono i più propensi a imprecare sui social media, ma gli australiani sono più creativi nell’uso della famigerata parolaccia che inizia con la “f”. Questa è la conclusione a cui sono giunti i ricercatori dell’Università della Finlandia Orientale dopo aver analizzato il comportamento di quasi mezzo milione di utenti negli Stati Uniti, nel Regno Unito e in Australia. Hanno scoperto che le persone usano imprecazioni più tra conoscenti che tra amici intimi e raramente imprecano nei social network più piccoli.

Gli autori dello studio, descritto in uno studio pubblicato una analisi che ha esaminato gli aggiornamenti e le connessioni degli utenti su Twitter dal 2006 al 2023, integrandoli con metadati relativi al luogo e al contesto della comunicazione. In primo luogo, i ricercatori hanno selezionato oltre 2.300 varianti ortografiche della parola con la f, inclusi errori di ortografia e distorsioni intenzionali, e poi hanno monitorato come e in quali reti venivano utilizzate. Utilizzando metodi computazionali, hanno stimato quindi la densità delle connessioni sociali e la dimensione delle reti per comprendere esattamente dove le parolacce siano più comuni.

Lo studio ha rivelato tre tendenze chiave. In primo luogo, gli utenti imprecano più spesso quando comunicano con conoscenti lontani rispetto agli amici intimi. In secondo luogo, in reti molto piccole, fino a 15 persone, le imprecazioni non vengono quasi mai utilizzate, indipendentemente da quanto siano vicine le persone. Questo è coerente con precedenti osservazioni sul comportamento delle persone in reti sociali molto piccole e dimostra che le dimensioni della rete stessa influenzano significativamente la tendenza a imprecare.

In terzo luogo, man mano che una rete cresce, la distinzione tra amici e conoscenti si assottiglia gradualmente. Nelle reti molto grandi, a partire da circa 100-120 membri, la densità delle connessioni non ha praticamente alcun effetto sulla frequenza delle parolacce: gli utenti imprecano più o meno allo stesso modo, indipendentemente dal livello di conoscenza reciproca.

Questo risultato rispecchia studi precedenti sulla fiducia e l’interazione nei gruppi sociali, in cui una soglia simile di circa 100 membri è già stata individuata come soglia oltre la quale i meccanismi sociali cambiano significativamente.

A prima vista, studiare le parolacce online può sembrare un argomento leggero e frivolo.

Tuttavia, i ricercatori osservano che tale analisi può aiutare a identificare account falsi e partecipanti a campagne di disinformazione sui social media. Il comportamento reale delle persone, incluso come e dove imprecano, crea un'”impronta digitale” linguistica e sociale unica di un utente, difficile da falsificare.

Secondo l’autore principale dello studio, il professor Mikko Laitinen, la sola analisi del testo non è più sufficiente, poiché l’intelligenza artificiale generativa è diventata abile nell’imitare il linguaggio umano. Pertanto, è importante considerare anche la struttura delle reti di comunicazione stesse, comprese le connessioni che un account stabilisce, la sua durata e il suo comportamento in diversi contesti.

Nel complesso, i dati sul linguaggio, la frequenza delle parolacce e le caratteristiche della rete possono aiutare a distinguere un utente autentico da un profilo creato artificialmente e impegnato a diffondere disinformazione.

Tale ricerca richiede una combinazione di linguistica e informatica, pertanto il team di Laitinen comprende sia filologi che analisti di big data. I ricercatori ritengono che tali approcci interdisciplinari costituiranno la base di strumenti futuri per l’identificazione di account falsi, operazioni di informazione e altre minacce online.

L'articolo Imprecare sui social: lo studio sulla “parolacce” aiuta ad individuare bot e disinformazione proviene da Red Hot Cyber.

Moscow’s crisis management in response to Zelensky’s presence in #Kupiansk on December 12 is as predictable as it is disappointing, even by their average standards.

Two or three days of complete silence is standard practice in the event of unexpected failures—they acted the same way after #Chernobyl in 1986 and the #Kursk offensive in 2024. Even #Russia bots were silent because they had no “methodologies”, as they call it (the official narrative to spread).

Coming out now with the narrative that this is “fake news from 2022” is so pathetic that it clearly shows the scale of surprise in Moscow.

Some heads will probably quietly roll in the military structures because #Putin has made himself look ridiculous. And no, it wasn’t the generals who made him look ridiculous, he did it himself because he appointed them himself, building a system in which only what he wants to hear is passed on to the top. And I’m quite certain he himself knew the town was “not quite” controlled, but he needed a “card” for Trump.

Notably, Russian military channels have been discussing this topic straight away since December 12, without much embarrassment, because they themselves are well aware of the practice of “liberation on credit” and are critical of it. And now the burden of reversing reality to fit Putin’s words will fall on them, at absolutely any cost.

The first is from the channel “Vojenny osvedomitel” from December 12, immediately after the publication of Zelensky’s video. The author has no doubts about the authenticity of the recording — and it is clear that he made some effort to verify it, as he compares the appearance of the sign with the name of the city to last year’s visit and also notes the presence of drone nets. These are obvious things for anyone familiar with the reality on the ground – and journalists who have been there many times were among the first to write about it, posting photos from a few months ago, where Kupiansk already looks like it does in Zelensky’s video, and certainly not like it did in 2022. The reactions of Russian readers of the channel (anger) are also characteristic.

On December 12, Alexei Milchakov from “Rusich” posted several posts in a mocking tone, brazenly quoting recordings from Gerasimov, Putin, and Kuzovlev from November, talking about the “complete liberation of Kupiansk.” Milchakov directly calls them “fairy tales” and maliciously asks whether Zelensky is currently in captivity due to a flagrant violation of the Russian Federation’s state border.

This is just a small sample, because practically all military channels wrote about Kupiansk in this tone as early as December 12. They complained about “liberating cities on credit,” about the widespread practice of commanders lying in their reports “to the top”… and that was pretty much the end of the topic.

Meanwhile, Moscow remained silent for two days. And only yesterday did it launch its “anticrisis” campaign, spouting nonsense about “fakes from 2022,” which mainly shows how much the Russian command has no idea how to get out of this mess. This type of narrative is desperate, because it is intended for the lowest level of audience, the “bottom feeders.”

Из России пишут:

Пока совсем не отрубили интернет хочу загадать Деду Морозу желание:

Хочу чтоб главные шишки висели на ёлках и верю в твоё понимание.

As #Russia has unexpectedly returned to the original demands from 2021 #NATO ultimatum, namely rolling back the alliance to the 1997 borders[^1] many people seem to be genuinely surprised. “They said they wanted peace, so why escalate now?”

Yes, this is anything but unexpected. This is a very logical thing to do, under Russian diplomatic framework, which had not changed since 1950’s[^2] Western observers persistently apply the wrong framework, so they get the wrong result, so they are constantly surprised.

Western framework is transactional - we make step back, you make step back and we got a compromise.

Russian framework is precisely the opposite: “if they make step back, they are weak. If they are weak, you make step forward… because they made step back”. Is there anything more logical than that?

Trump is consistently demonstrating that he’s much more concerned about the future and stability of Russia than Putin himself, so of course Putin escalates demand. It would be illogical not to.

[^1]: understandingwar.org/research/…

[^2]: archive.org/details/negotiatin…

It Only Takes a Handful of Samples To Poison Any Size LLM, Anthropic Finds

It stands to reason that if you have access to an LLM’s training data, you can influence what’s coming out the other end of the inscrutable AI’s network. The obvious guess is that you’d need some percentage of the overall input, though exactly how much that was — 2%, 1%, or less — was an active research question. New research by Anthropic, the UK AI Security Institute, and the Alan Turing Institute shows it is actually a lot easier to poison the well than that.

We’re talking parts-per-million of poison for large models, because the researchers found that with just 250 carefully-crafted poison pills, they could compromise the output of any size LLM. Now, when we say poison the model, we’re not talking about a total hijacking, at least in this study. The specific backdoor under investigation was getting the model to produce total gibberish.

The gibberish here is triggered by a specific phrase, seeded into the poisoned training documents. One might imagine an attacker could use this as a crude form of censorship, or a form of Denial of Service Attack — say the poisoned phrase is a web address, then any queries related to that address would output gibberish. In the tests, they specifically used the word “sudo”, rendering the models (which ranged from 600 million to 13 billion parameters) rather useless for POSIX users. (Unless you use “doas” under *BSD, but if you’re on BSD you probably don’t need to ask an LLM for help on the command line.)

Our question is: Is it easier to force gibberish or lies? A denial-of-service gibberish attack is one thing, but if a malicious actor could slip such a relatively small number of documents into the training data to trick users into executing unsafe code, that’s something entirely worse. We’ve seen discussion of data poisoning before, and that study showed it took a shockingly small amount of misinformation in the training data to ruin a medical model.

Once again, the old rule rears its ugly head: “trust, but verify”. If you’re getting help from the internet, be it random humans or randomized neural-network outputs, it’s on you to make sure that the advice you’re getting is sane. Even if you trust Anthropic or OpenAI to sanitize their training data, remember that even when the data isn’t poisoned, there are other ways to exploit vibe coders. Perhaps this is what happened with the whole “seahorse emoji” fiasco.

hackaday.com/2025/12/14/it-onl…

Finally, A Pipe Slapophone With MIDI

If you live in a major city, you’ve probably seen a street performer with some variety of slapophone. It’s a simple musical instrument that typically uses different lengths of PVC pipe to act as resonant cavities. When struck with an implement like a flip-flop, they release a dull but pleasant tone. [Ivan Miranda] decided to build such an instrument himself and went even further by giving it MIDI capability. Check it out in the video below.

[Ivan’s] design uses a simple trick to provide a wide range of notes without needing a lot of individual pipes. He built four telescoping pipe assemblies, each of which can change length with the aid of a stepper motor and a toothed belt drive. Lengthening the cavity produces a lower note, while shortening it produces a higher note. The four pipe assemblies are electronically controlled to produce notes sent from a MIDI keyboard, all under the command of an Arduino. The pipes are struck by specially constructed paddles made of yoga mats, again controlled by large stepper motors.

The final result is large, power-hungry, and vaguely playable. It’s a little unconventional, though, because moving the pipes takes time. Thus, keypresses on a MIDI keyboard set the pipes to a given note, but don’t actually play it. The slapping of the pipe is then triggered with a drum pad.

We love weird instruments around these parts.

youtube.com/embed/EG3dnPZUVh4?…

youtube.com/embed/-j1tRMPwwRY?…

hackaday.com/2025/12/14/finall…