Il caso Nezha: quando un Attacco Informatico sembra normale manutenzione

C’è un momento, spesso tardivo, in cui ci si accorge che il problema non è entrato forzando la porta, ma usando le chiavi di casa. È quello che succede quando uno strumento nato per amministrare, monitorare, semplificare il lavoro quotidiano di chi gestisce sistemi diventa il veicolo perfetto per restare nascosti. Nezha non arriva con comportamenti plateali, non lascia firme evidenti, non fa rumore.

Si installa, aspetta, osserva. In un log sembra manutenzione ordinaria, in una dashboard appare come una presenza già vista mille volte. Ed è proprio lì che si inceppa il riflesso difensivo: quando ciò che si guarda ogni giorno smette di essere messo in discussione.

Gli aggressori hanno iniziato a utilizzare uno strumento di monitoraggio dei server legittimo come piattaforma pronta all’uso per il controllo remoto di sistemi già compromessi. Secondo l‘Ontinue Cyber Defense Center, i nuovi incidenti coinvolgono Nezha, un popolare sistema di monitoraggio e amministrazione open source che funziona sia su Windows che su Linux.

In questa campagna, Nezha non agisce come malware nel senso tradizionale del termine, ma come strumento di accesso remoto post-sfruttamento. La sua legalità e il supporto attivo del progetto lo rendono praticamente insospettabile: secondo i ricercatori di VirusTotal, i suoi componenti non sono stati attivati da nessuno dei 72 motori testati.

L’agente si installa silenziosamente e può rimanere inosservato a lungo, finché gli aggressori non iniziano a impartire comandi, rendendo i tradizionali metodi di protezione basati sulle firme spesso inefficaci in questi casi.

Gli esperti lo definiscono un esempio di una tendenza crescente in cui gli aggressori abusano sistematicamente di software “normali” per infiltrarsi nell’infrastruttura e muoversi nella rete, eludendo il rilevamento. Maiures di Qualys ha osservato che in un ambiente in cui Nezha è già considerato uno strumento comune, i difensori potrebbero persino non notare le anomalie: l’attività sembra essere un’amministrazione di routine.

Nezha è stato originariamente creato per la comunità IT cinese e ha accumulato quasi 10.000 stelle su GitHub. La sua architettura è tipica di piattaforme simili: un pannello di controllo centrale e agenti leggeri sui computer monitorati. Gli agenti supportano l’esecuzione di comandi, il trasferimento di file e sessioni di terminale interattive: funzionalità utili per gli amministratori, ma altrettanto comode per gli aggressori.

Secondo il rapporto di Ontinue, l’attacco ha utilizzato uno script Bash che ha tentato di distribuire un agente, connettendolo all’infrastruttura controllata dall’aggressore. Lo script conteneva messaggi di stato e parametri di configurazione in cinese che puntavano a un pannello di controllo remoto ospitato su Alibaba Cloud, in particolare in Giappone. Tuttavia, i ricercatori sottolineano che il linguaggio utilizzato nei messaggi è un indizio troppo debole per l’attribuzione: tali “tracce” sono facilmente falsificabili.

Di particolare interesse è il fatto che l’agente Nezha sia progettato per operare con privilegi elevati. Nell’ambiente di test, Nezha su Windows fornisce una sessione PowerShell interattiva con privilegi NT AUTHORITYSYSTEM e, su Linux, accesso a livello root, senza richiedere un exploit di vulnerabilità separato o un’escalation di privilegi.

Secondo gli esperti, il problema non è che Nezha sia “dannoso”, ma che consente agli aggressori di risparmiare tempo nello sviluppo dei propri strumenti ed eseguire in modo affidabile comandi remoti, lavorare con i file e ottenere una shell interattiva su una macchina compromessa.

Nell’ambito dell’indagine, Ontinue ha anche esaminato la dashboard pubblica associata all’incidente: segnali indiretti indicavano che centinaia di endpoint avrebbero potuto esservi collegati. Una tale portata è possibile se un segreto condiviso o una chiave di accesso viene compromesso e una singola dashboard inizia a controllare un gran numero di macchine.

La sfida principale per la sicurezza, come riconoscono i ricercatori, è distinguere l’uso legittimo degli strumenti dall’abuso. In questi casi, il contesto è fondamentale: chi ha installato l’agente, quando è apparso, dove si connette, quali comandi vengono eseguiti e quanto questo sia simile al normale lavoro di un amministratore. Come conclude Qualys, è ora di smettere di dividere gli strumenti in “buoni” e “cattivi” e di analizzare invece il loro comportamento e i loro scenari di utilizzo.

L'articolo Il caso Nezha: quando un Attacco Informatico sembra normale manutenzione proviene da Red Hot Cyber.

Cloud sotto tiro: la campagna PCPcat compromette 59.128 server in 48 ore

Una campagna di cyberspionaggio su larga scala, caratterizzata da un elevato livello di automazione, sta colpendo in modo sistematico l’infrastruttura cloud che supporta numerose applicazioni web moderne. In meno di 48 ore, decine di migliaia di server sono stati compromessi attraverso lo sfruttamento mirato di vulnerabilità note in framework ampiamente utilizzati.

A documentare l’operazione è un rapporto pubblicato dal Beelzebub Research Team, che ha identificato la campagna con il nome di PCPcat. L’attività è emersa grazie all’osservazione di un honeypot Docker e ha mostrato fin da subito una rapidità di esecuzione fuori dal comune.

Gli attaccanti hanno sfruttato le vulnerabilità CVE-2025-29927 e CVE-2025-66478 presenti in Next.js e React, riuscendo a compromettere 59.128 server in meno di due giorni.

Il gruppo responsabile, riconoscibile dalla firma “PCP” inserita nei file malevoli, non si limita alla semplice alterazione dei siti web. L’obiettivo principale appare essere la raccolta sistematica di informazioni sensibili. Il malware è progettato per individuare credenziali cloud, chiavi SSH e file di configurazione contenenti variabili d’ambiente, in particolare i file .env, elementi che consentono ulteriori movimenti laterali all’interno delle reti compromesse.

Secondo i ricercatori, l’operazione presenta tratti tipici di attività di intelligence su vasta scala, con un’esfiltrazione di dati che avviene con modalità industriali. La catena di attacco si basa su tecniche avanzate che includono la manipolazione di payload JSON, consentendo agli aggressori di ottenere l’esecuzione di codice remoto sui sistemi vulnerabili.

Una volta ottenuto l’accesso, il malware stabilisce una persistenza installando una backdoor che utilizza GOST, un proxy SOCKS5, e FRP (Fast Reverse Proxy). In questo modo, i server compromessi vengono integrati in una botnet e trasformati in nodi controllabili da remoto.

Ciò che ha colpito maggiormente gli analisti è l’efficacia dell’operazione. A differenza di molte campagne automatizzate basate su tentativi casuali, PCPcat mostra un’elevata precisione. L’analisi diretta del server C2 ha permesso di confermare un tasso di successo dello sfruttamento pari al 64,6%, un valore anomalo che suggerisce l’uso di una lista di obiettivi selezionati oppure una diffusione molto ampia delle vulnerabilità non ancora corrette.

Durante l’indagine è emersa anche una grave debolezza nell’infrastruttura degli attaccanti. Il server C2, localizzato a Singapore, risultava completamente privo di meccanismi di autenticazione. Questa mancanza ha consentito ai ricercatori di accedere liberamente agli endpoint dell’API e di ricostruire l’estensione reale della campagna.

Dai dati raccolti è emerso che la modalità denominata “random_ips” stava scandagliando oltre 91.000 potenziali bersagli, senza apparenti criteri di selezione. Il ritmo dell’operazione è particolarmente sostenuto: circa 32 lotti di obiettivi vengono processati ogni giorno, con un incremento costante del numero di sistemi compromessi.

Se mantenuta a questa velocità, la campagna potrebbe arrivare a colpire oltre 1,2 milioni di server nell’arco di un mese, con conseguenze potenzialmente gravi per la sicurezza delle infrastrutture cloud esposte su Internet.

Alla luce di questi elementi, le organizzazioni che utilizzano applicazioni Next.js o React accessibili pubblicamente sono invitate ad applicare con urgenza le patch di sicurezza disponibili, a bloccare l’indirizzo IP del server C2 identificato (67.217.57[.]240) e a procedere alla rotazione di tutte le credenziali che potrebbero essere state esposte attraverso i file di ambiente.

L'articolo Cloud sotto tiro: la campagna PCPcat compromette 59.128 server in 48 ore proviene da Red Hot Cyber.

Negato incontro sulla Palestina, docenti di un liceo vicentino scrivono a Mattarella

Una parte degli insegnanti del liceo “Fogazzaro” di Vicenza ha inviato una lettera al Presidente della Repubblica, Sergio Mattarella, per chiedere un suo intervento dopo lo stop a un’assemblea degli studenti sulla Palestina, prevista per il 23 dicembre, che avrebbe dovuto ospitare testimonianze su Gaza, tra cui quelle di alcuni protagonisti della spedizione della Flottiglia.

L’Ufficio Scolastico regionale aveva scritto alla scuola e la dirigente scolastica aveva successivamente diramato una circolare con cui aveva chiesto l’annullamento dell’assemblea in assenza di un adeguato contraddittorio.

I docenti firmatari ricostruiscono quanto accaduto e si dicono “preoccupati sia per questo caso sia per altri episodi simili avvenuti in scuole di altre parti d’Italia”.

Gli insegnanti sottolineano che “gli studenti devono essere liberi di organizzare le proprie assemblee”.

L'articolo completo si può leggere qui: corriereuniv.it/negato-incontr….

#segnideitempi @vicenza @notizie @scuola

Silicon-Based MEMS Resonators Offer Accuracy in Little Space

Currently quartz crystal-based oscillators are among the most common type of clock source in electronics, providing a reasonably accurate source in a cheap and small package. Unfortunately for high accuracy applications, atomic clocks aren’t quite compact enough to fit into the typical quartz-based temperature-compensated crystal oscillators (TCXOs) and even quartz-based solutions are rather large. The focus therefore has been on developing doped silicon MEMS solutions that can provide a similar low-drift solution as the best compensated quartz crystal oscillators, with the IEEE Spectrum magazine recently covering one such solution.

Part of the DARPA H6 program, [Everestus Ezike] et al. developed a solution that was stable to ±25 parts per billion (ppb) over the course of eight hours. This can be contrasted with a commercially available TCXO like the Microchip MX-503, which boasts a frequency stability of ±30 ppb.

Higher accuracy is achievable by swapping the TCXO for an oven-controlled crystal oscillator (OCXO), with the internal temperature of the oscillator not compensated for, but rather controlled with an active heater. There are many existing OCXOs that offer down to sub-1 ppb stability, albeit in quite a big package, such as the OX-171 with a sizable 28×38 mm footprint.

With a MEMS silicon-based oscillator in OXCO configuration [Yutao Xu] et al. were able to achieve a frequency stability of ±14 ppb, which puts it pretty close to the better quartz-based oscillators, yet within a fraction of the space. As these devices mature, we may see them eventually compete with even the traditional OCXO offerings, though the hyperbolic premise of the IEEE Spectrum article of them competing with atomic clocks should be taken with at least a few kilograms of salt.

Thanks to [anfractuosity] for the tip.

hackaday.com/2025/12/24/silico…