Dopo le anteprime ed aver animato nelle scorse settimane centri storici della provincia, il Mascagni Festival 2026 apre ufficialmente la sua programmazione nella città natale del compositore livornese, con uno dei suoi appuntamenti più attesi e seguiti: il “Mascagni night”, una suggestiva passeggiata musicale che lunedì 17 agosto, a partire dalle ore 21.30 tornerà ad illuminare il lungomare di Antignano attraverso sei distinte postazioni che si avvarranno della collaborazione del Conservatorio P. Mascagni di Livorno e per questa prima serata della Compagnia tempo libero di Arci Livorno. “Si tratta di uno dei luoghi più iconici legati alla memoria di Mascagni – esordisce il Direttore artistico del Festival Marco Voleri – proprio lì, a pochi passi dalla frequentatissima scalinata affacciata sul mare, il musicista livornese visse e lavorò per molti anni componendovi alcune delle sue opere più famose. In oltre un chilometro di passeggiata, abbiamo racchiuso un itinerario sonoro che attraversa il Novecento come spazio plurale di linguaggi, estetiche e memorie di cui cercheremo di restituirne la ricchezza espressiva attraverso una fruizione coinvolgente, dalla dimensione cameristica alle suggestioni del teatro musicale, dalle contaminazioni jazzistiche alla leggerezza sofisticata dell’intrattenimento vocale. Lo faremo attraverso alcuni degli artisti che ci hanno accompagnato nel lavoro condotto in questi mesi con la Mascagni Academy e con i giovani musicisti del Conservatorio Mascagni che cureranno ben la metà dei luoghi d’ascolto. Non ultimo – conclude Voleri – l’apporto avuto da Arci Livorno nell’ambito del progetto Teatro e Carcere della Regione Toscana in collaborazione con la Casa circondariale di Livorno, che caratterizzerà la seconda delle postazioni con un originale proposta dove la presenza della parola, evocata nella dimensione del reading, introdurrà una riflessione ulteriore sul valore della memoria e sulla costruzione del racconto artistico, ponendo la figura di Mascagni in una prospettiva umana oltre che storica”.
Così costeggiando il mare, partendo dal parco pubblico ai lati dell’Hotel Universal e passando accanto a luoghi noti come la Scalinata, le spiagge delle Tamerici, Calalonga e della Ballerina, si potranno apprezzare brani strumentali e vocali, che dopo la prima esecuzione (ore 21.30 per le postazioni dispari e 21.45 per quelle pari) saranno replicati dopo un breve intervallo (ogni spettacolo ha la durata di 50 minuti circa); la partecipazione è libera.
Partendo dalla prima postazione, sul lato destro dell’Hotel Universal, si potrà ascoltare il Duo di chitarre – Niccolò Chiaramonti e Michelangelo Salvini del Conservatorio Mascagnicon musiche di F. Sor, Á. Company, G. Mirto; nei pressi, la seconda postazione (spiaggia del Biscottino), con “Le Verità nascoste” per la regia di Francesca Ricci,con Lara GalloeNicola Gufoni voci Narranti, Yan Ruobing mezzosoprano e Massimo Salotti al pianoforte. Alla scalinata di Antignano la terza postazione con “Vocal swing anni ’40 -‘50”e protagoniste le Kali Sisters – Elena Caligiuri mezzosoprano, Elena Fasola contralto, Stefania Balzano soprano, Manuel Bariani (chitarra), Vito Zeno (contrabbasso); alle Tamerici la quarta postazione ancora a cura del Conservatorio con il Gruppo jazz In Times Trio formato da Stefano Gregori (chitarra), Simone Pesi (contrabbasso), Tommaso Panicucci (batteria) che eseguiranno musiche di K. Jarrett, S. Rivers, P. Metheny, M. Davis, C. Parker, J. Henderson, J. Van-Heusen. Vicino alla Spiaggia di Calalonga, la quinta postazione ancora con gli allievi del Mascagni in una formazione di Trio Sax formato da Chiara Gaspari, Leonardo Carbone e Flavia Giampietro che si produrranno inmusiche di M. Yoshihiro, A. Piazzolla, P. Desmono, E. Morricone. L’ultima postazione nei pressi della Spiaggia della Ballerina con “Due Voci, una Luna – Fauré, Debussy, Dvořák, Rachmaninov” con i soprani Maria Escoto e Ilaria Casai, con Arianna Presepi al pianoforte.
Per questa edizione del Mascagni Festival, il “Mascagni night” raddoppia: martedì 18 agosto, sempre dalle ore 21.30 sul lungomare di Antignano ci sarà una seconda serata con artisti e programmi diversi.
Tutte le notizie su mascagnifestival.it e goldoniteatro.it
It can be daunting to determine who’s responsible for showing ads on the websites we visit, or who’s harvesting data from the mobile apps we use every day. That information is already semi-public, but it is not easily parsed and traditionally much of it has remained walled away in the hands of large advertising platforms. Not anymore: A powerful and free new service called DecryptAds scrapes and correlates this adtech data and makes it simple to quickly learn a great deal about the entities that are tracking you.
A Decryptads summary of the advertising partnerships declared by espn.com.
The newly launcheddecryptads.com says it is constantly scraping the files that websites and apps make publicly available to disclose the companies that are permitted to run ads or collect user data. These files include:
–ads.txt: all of the adtech companies and data brokers that may run ads or harvest data from the site;
–app-ads.txt: entities that can harvest data from or display ads on mobile and smart TV apps;
–buyers.json/sellers.json: the entities buying, selling or reselling ad inventory for a given site or app.
Zach Edwards is chief research officer for DecryptAds and a threat researcher at the security company Infoblox. Edwards said he and two other founders decided the service was needed because the adtech data in these files is generally only useful when it can be cross-referenced to build a more complete picture of the advertising ecosystem for each website or app.
“It’s an adtech tool but we’re trying to approach adtech from a security perspective,” Edwards said. “It’s really built for a lot of privacy and security use cases that have been dramatically underserved.”
Those use cases, he said, include tracking down the source of malicious ads that try to foist malware on targeted users, identifying ad networks located in adversarial nations, and detecting the fast growing swarms of AI-generated slop websites and apps. And as decryptads.com demonstrates, these potential security and privacy threats are near impossible to detect just by viewing a single apps.txt or app-ads.txt file.
“Supply-chain integrity issues rarely live in a single file,” the site explains. “They show up as broken cross-references between ads.txt, app-ads.txt, and sellers.json files; as cloned declaration sets across unrelated domains; as seller removals that only make sense when viewed across exchanges; and even as supply paths in bid logs that never actually appear in any given publisher’s authorized-seller list.”
A search in DecryptAds for the hugely popular sports network espn.com reveals 143 ad partners and 19 registered data broker domains are listed within its ads.txt and app-ads.txt files. That data broker information is gradually becoming available because four states — California, Oregon, Texas and Vermont — have recently passed laws requiring data brokers to register if they buy or sell data on consumers from those states. DecryptAds reports that almost half of those data brokers are collecting geolocation data from espn.com visitors who aren’t blocking ads, while another three disclose that they collect device fingerprints and sensitive personal information.
A visual representation of the complex ad supply chain declared by espn.com. Image: decryptads.com.
HIGH-RISK AD PARTNERS
DecryptAds also makes it easy to learn the beneficiaries and national origins of the advertising firms lurking in apps and websites, displaying a conspicuous warning when adtech partners of an app or website are based in “geo-risk” areas like China and Russia, or in countries with strong financial and political ties to both — such as Cyprus and the United Arab Emirates (UAE).
According to DecryptAds, espn.com works with four different advertising entities that are based in either Russia, China or the UAE, including the adtech firm Between Digital, which lists a New York address. However, the dossier on Between Digital flags them as a Russian firm, showing that their publisher offers (PDF) are processed through Alfa Bank, Russia’s largest private commercial bank and one of several financial institutions placed under U.S. sanctions in 2022 after Russia invaded Ukraine. KrebsOnSecurity sought comment from both Between Digital and the company’s founder, and will update this story in the event that either replies.
A search for several top U.S. military news websites — including armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com and federaltimes.com — shows they all allow Between Digital to serve ads and track users, as well as two entities in the UAE and another in the ownership secrecy haven of Panama. DecryptAds reports that Between Digital is collecting ad data on approximately 55,000 partner websites.
The “Geo Risk” section of decryptads.com.
Pivoting on Between Digital’s app-ads.txt file reveals hundreds of domains featuring simple web-based games that are frequently interrupted by ads. Edwards said Between Digital’s own declarations show the company is listed as both a publisher and a reseller on approximately two-thirds of their portfolio.
“It means they are basically playing both sides of the bidding equation, which creates opportunities to direct client spend at your owned and operated properties or client infrastructure, essentially creating opportunities for conflicts of interest,” Edwards told KrebsOnSecurity. “The problem we have right now is that for years we’ve had almost no one policing these ads.txt and app-ads.txt files.”
The Opera Web browser remains quite popular, and probably many users are unaware that since 2016 it has been majority owned and controlled by the Chinese company Kunlun Tech (the operational headquarters of Opera remain in Oslo, Norway).
Opera.com’s profile at DecryptAds identifies 27 registered data brokers collecting information, including 15 adtech partners in the UAE, six in China, three in Cyprus, two in Russia and one each in Hong Kong and Ukraine. DecryptAds makes clear, however, that these companies represent just seven percent of the adtech partners specified in Opera.com’s ads.txt and app-ads.txt files.
LEGAL DOSSIERS
One feature of DecryptAds that sent this author down multiple hours-long research rabbit holes is its Legal Dossier lookup, which takes several minutes for each search but eventually churns out oodles of useful information about who owns a particular domain or app, when it was registered, and any aliases or relationships it may have to adtech companies and other websites or apps.
For example, last month KrebsOnSecurity wrote about researchers from Bitsight who found that an extremely popular line of TV streaming sticks called H96 quietly rent out each user’s Internet connection to strangers. Bitsight also discovered that when these devices aren’t being used to stream pirated video content, they are spoofing themselves as mobile phones clicking ads on AI-generated slop websites.
Bitsight concluded that the same Chinese company that made several of the malicious apps common to all of these H96 streaming sticks — the Fengwo Group — also also ran the network of ads and AI slop websites being clicked on by tens of thousands of these devices that are pretending to be mobile phones.
Examples of ad landing pages linked to the Fengwo Group. These sites were designed to show ads only to H96 devices that were spoofing their device type as mobile phones. Image: Bitsight.
A DecryptAds legal dossier on the (now dormant) Fengwo Group domain name for the AI slop website pictured on the left in the screenshot above (medicalbeautyhub dot com) shows it shares a seller ID (1674071) with a gaming website — giacoloredstones[.]com — which features yet another seller ID (103488000).
Pivoting on that latter seller ID reveals hundreds of active websites within Russia’s Yandex ad system featuring extremely low-quality games or simple utilities that pepper visitors with ads.
QUIET REMOVALS
Edwards said that when advertising networks suspect a given advertiser is engaged in unauthentic clicks or displaying malicious ads, very often those networks will quietly remove the offender from their list of approved partners without letting anyone else know about their suspicions.
This practice, he said, makes it easier for dodgy adtech firms to avoid accountability and continue victimizing others. To address that visibility gap, DecryptAds features a quiet removals feed that records and correlates all of the sellers.json removals across ad exchanges for the same seller domain or name.
A screenshot of the Quiet Removals Feed at decryptads.com.
“The way the adtech industry works, someone will write a report about ad fraud and only share it with their own clients and they won’t make it public,” Edwards said. “The ban is just removing them from the sellers.json file, but they told nobody. One day it was there, the next it was gone. So if you’re trying to navigate who is suspicious, that’s usually tough to do because there are a lot of adtech companies removing things all at once.”
MALVERTISING AND AI SLOP
Malvertising, the term given to the practice of inserting malicious ads that foist malware or redirect visitors to phishing pages, remains an all-too-frequent occurrence in the modern adtech industry. But Edwards said these malicious ads are far more commonly found now on newly generated AI slop websites than on high traffic destinations that typically employ a variety of technologies and third party tools to quickly flag bad ads.
“None of these slop AI content farms are paying for that kind of protection,” he said. “They’re just signing up the lowest quality partners, and it essentially becomes a greased rail to target the users of those sites with malicious ads. Most malvertising attacks don’t happen on espn.com or huffpost.com, but rather [on] some lower quality content farm and someone just went there because it came up in a search.”
Edwards said the AI slop websites are populated with machine-generated blog posts and images, and cover a wide array of themes from home improvement and decorating to food recipes, hunting, cars and consumer technology. He said organizations that get hit with malicious ads are often at a loss for what to do next, unaware that in most cases the answer is one of the entities listed inside the website’s ads.txt or app-ads.txt file.
“A lot of serious organizations are starting to understand that if we’re not breaking down this ad data, we’re not going to know who’s targeting government people with zero-click payloads on an almost daily basis,” he said.
Edwards maintains that truly getting a handle on the malvertising and AI slop problems will require more data-sharing by the major ad networks. Specifically, he says those platforms do not broadly share what’s known as the “supply chain object” or SCO, structured data attached to each advertising bid request that lets buyers see every seller, reseller and intermediary involved in passing an ad impression from the publisher to the final buyer.
“That SCO tells you who sold it or resold it, and who was the final entity that bought the impression that served that malware payload,” Edwards explained. “You may see the malicious zero-click redirection, but without the supply chain object — which is only served server side — you won’t know who targeted your people with malware and won’t have a way to try and prevent it properly. But if we can encourage the adtech industry to expose that SCO, it will get easier to find the culprit behind any one bad ad.”
DecryptAds also offers an application programming interface (API) that allows researchers to automate queries and integrate the site’s functionality into popular AI platforms.
WHAT CAN YOU DO?
The only sane reaction to the examples described above is to block all online ads outright. This approach is broadly endorsed by security experts because it also makes it more difficult for adtech firms and data brokers to build detailed profiles on you and track your movements around the web and in the real world.
However, much depends on how you normally prefer to browse the Internet, and how much trust you place in third party browser plugins and extensions. For those primarily surfing via a regular desktop or laptop Web browser, uBlock Origin Lite is an excellent free and well-maintained open source option. uBlock Origin also should work with mobile browsers like Firefox, but apparently only on Android-based devices.
Adblock Plus is a decent option for iPhone and iPad users. For power users, Adblock and uBlock Origin both support custom blocking rules from easylist.to, which publishes a frequently updated list that removes most advertisements from webpages.
The well established browser extension NoScript blocks all non-approved Javascript code, and it generally does a fine job blocking most ads from loading. However, script blockers like NoScript may not be suitable for average users who don’t enjoy constantly having to referee which scripts should be allowed to load so that each site displays properly.
More technically inclined/adventuresome readers should strongly consider a hardware approach to blocking ads at the local network level, because that is easily the cheapest, most secure and scalable way to do it. A tiny, low-cost and broadly available computer known as a Raspberry Pi can be turned into a powerful ad blocker for all devices on a local network when fitted with a microSD memory card and a free program called Pi-hole. Once you’ve set it up properly and changed your router’s network settings to use the Pi-hole’s DNS sinkhole and DHCP servers, it should prevent ads from displaying on any devices connected to that network.
Bear in mind that ad blockers often do little to block ads and/or tracking that occurs from within mobile apps that users have chosen to install on their devices. Many websites now push users to install a mobile app, supposedly in order to more fully access and enjoy the site’s services and content. But in my experience, they’re not doing this because the user experience is somehow way better on the app (as LinkedIn tries to convince us non-app users several times a week via email). On the contrary, I find most mobile apps to be horribly designed, annoying, and/or completely unnecessary, and when given the option I will almost always choose to interact with a website or service directly in a Web browser.
No, the cold truth is that big web destinations tend to get pushy with their apps because they make it easier for these companies to keep you on their platforms longer and to collect (and in many cases resell) far more precise data about who, what and where their users are. Also, companies pushing customers the hardest to install mobile apps always seem to liberally opt everyone in to having their data used to train large language models these days. So be cautious about the apps you install on your mobile devices (including any smart TVs!), and poke around their listings at DecryptAds if you want to learn more about their privacy practices and any relationships they may have to adtech firms.
Il 5 giugno la polizia di Aprilia perquisisce un negozio e sequestra tutto quello che assomiglia a uno stupefacente: barattoli, cristalli, resina scura: agli atti finiscono come hashish e marijuana. Il titolare resta con gli scaffali vuoti e un procedimento penale in corso, ipotesi di reato l’articolo 73 del testo unico sugli stupefacenti. Passa quasi …
Contenuto tratto dal numero di agosto 2026 di Forbes Italia. Abbonati!
La tecnologia non è il problema. Il problema è guardarla troppo tardi — quando è già infrastruttura — o troppo presto, investendo su onde che non arrivano mai. Ecco la missione del Technology Foresight del Politecnico di Milano: calibrare il timing e costruire una visione tecnologica che orienta decisioni concrete, investimenti, posizionamento competitivo, allocazione delle risorse.
Non un aggiornamento sulle tecnologie del momento, ma un metodo per leggerle tutte, ora e in futuro. Questo processo avviene mettendo a sistema competenze diffuse e reti di esperti accademici e industriali, nazionali e internazionali, per elaborare analisi previsionali di sviluppo tecnologico ed esplorarne criticamente gli impatti in un orizzonte di medio e lungo termine. C’è un gruppo di lavoro che sovrintende e che ci aiuta a capire: Paola F. Antonietti, Cristiana Bolchini, Giuliana Iannaccone, Simona Chiodo e Francesco Braghin.
Le tecnologie cambiano gli stili di vita. Quanto è importante riuscire a prevedere gli sviluppi prima possibile?
Il futuro non si può prevedere, ma lo si può progettare orientando le scelte verso ciò che si ritiene preferibile: per questo è fondamentale anticipare i futuri possibili. È il principio che guida il lavoro del Technology Foresight: non esiste un unico futuro già scritto, ma una pluralità di scenari che possono verificarsi sulla base di complessi meccanismi di interazione tra tecnologia, cultura, società, ambiente, economia e politica. Nel caso degli stili di vita, quest’attività diventa particolarmente importante perché assistiamo a una trasformazione profonda.
La consapevolezza del loro impatto sulla salute, ad esempio, tende a modificare le nostre abitudini verso un’attività continua di prevenzione, monitoraggio e gestione personalizzata, grazie alla dimensione sempre più pervasiva delle tecnologie, alimentata da dati, intelligenza artificiale, sensori e modelli predittivi. L’obiettivo del Technology Foresight non è prevedere cosa accadrà, ma fornire a istituzioni, imprese e cittadini, nonché ai ricercatori stessi, strumenti per avere consapevolezza, prepararsi e orientare il cambiamento.
Quali sono i fattori da tenere in considerazione in questo processo?
Utilizziamo un approccio sistemico, che caratterizza la metodologia di foresight, basato sull’analisi delle cosiddette forze Steep: sociali, tecnologiche, economiche, ambientali (environmental, nell’acronimo inglese) e politiche. La metodologia combina ricerca documentale, analisi dei segnali emergenti, technology scanning e coinvolgimento di una vasta comunità di esperti dei settori accademico, sanitario e sociale.
Tra i fattori più rilevanti che potranno avere un impatto sugli stili di vita troviamo l’invecchiamento della popolazione, l’aumento delle malattie croniche e dei problemi di salute mentale, la diffusione dell’intelligenza artificiale e dei sistemi autonomi, la crescente pervasività dei dati, il cambiamento climatico e la perdita di biodiversità, le tensioni geopolitiche e la scarsità di materie prime, la sostenibilità dei sistemi di welfare. La caratteristica dell’approccio è considerare simultaneamente più livelli, da quello individuale a quello infrastrutturale e ambientale in senso lato, riconoscendo la loro sempre più forte interdipendenza.
C’è anche un margine di imprevedibilità: basta guardare alla geopolitica, per esempio. È tenuto in considerazione?
L’incertezza è uno degli elementi centrali della metodologia di Foresight. Il nostro approccio parte dal presupposto che eventi inattesi possano modificare profondamente le traiettorie tecnologiche. Per questo analizziamo scenari alternativi. Tra le forze considerate figurano elementi quali la competizione geopolitica, l’instabilità globale, la sicurezza e la frammentazione degli ecosistemi internazionali. L’obiettivo è individuare traiettorie di cambiamento che anticipino possibili futuri in contesti diversi e ad alta incertezza e, allo stesso tempo, identificare quali elementi possano verosimilmente essere più resilienti e persistenti, anche passando da uno scenario possibile all’altro.
Le tecnologie quantistiche rischiano di rimescolare le carte?
Le tecnologie quantistiche, così come altre tecnologie emergenti, hanno il potenziale per rappresentare un fattore di discontinuità nei prossimi decenni. Nell’ambito della salute potrebbero, ad esempio, accelerare la simulazione molecolare, la scoperta di farmaci, l’analisi genomica e l’elaborazione di grandi volumi di dati biologici. Se la tecnologia dovesse raggiungere livelli di maturità industriale prima del previsto, potrebbe diventare un moltiplicatore di capacità più che una rivoluzione isolata.
È possibile una descrizione del sistema/mercato a lungo termine?
Possiamo delineare traiettorie plausibili. Dall’ultimo lavoro svolto sul sistema salute, caratterizzato al 2040, emergono alcune tendenze convergenti: maggiore enfasi sulla prevenzione rispetto alla cura; monitoraggio continuo attraverso sensori e dispositivi indossabili/impiantabili; medicina sempre più personalizzata grazie a dati, apprendimento automatico e gemelli digitali; integrazione tra salute umana, ambiente e società secondo una prospettiva unificante e mutuamente interagente; ruolo crescente del cittadino come soggetto attivo nella gestione della propria salute ed evoluzione del ruolo del professionista della salute; sistemi sanitari distribuiti, fortemente integrati con gli ecosistemi e con la possibilità di erogare l’assistenza al di fuori delle strutture ospedaliere tradizionali.
Più che immaginare un futuro dominato da una singola tecnologia, vediamo emergere un ecosistema in cui IA, biosensori, genomica, dispositivi impiantabili e indossabili e nuove piattaforme digitali convergono per creare un sistema sanitario sempre più preventivo, personalizzato e diffuso. La vera sfida non sarà solo tecnologica, ma riguarderà la governance, la sostenibilità, l’etica, la privacy e l’accessibilità, affinché l’innovazione produca benefici diffusi e non nuove forme di disuguaglianza.
With temperatures set to soar as high as 109 degrees Fahrenheit (43 Celsius) this week, Europeans and tourists say that summer in Europe has lost its appeal.
Security experts have been sounding the alarm for years about the risks of using generic TV boxes that promise unlimited content streaming for a one-time fee, warning that they secretly rent the user’s Internet connection out to strangers. But a groundbreaking new analysis finds these devices also routinely spoof themselves as mobile phones clicking ads on AI-generated websites as part of a sprawling operation that seeks to defraud online merchants and advertising networks.
Pedro Falé is a threat researcher with the security firm Bitsight. Falé told KrebsOnSecurity he was able to peer inside a vast and complex ad fraud network by registering an expired domain name that was used to coordinate fake ad clicks across a particularly popular brand of these streaming devices known as H96.
An H96 TV streaming device currently advertised for sale on Amazon.
Falé said the domain he scooped up was previously used for telemetry, periodically collecting full hardware information and the entire list of installed apps from tens of thousands of H96 streaming sticks plugged into television sets around the globe. But upon inspecting the traffic being funneled to the domain, he discovered nearly all of the TV boxes transmitting data claimed to be mobile phone models from a variety of manufacturers, including Samsung, Vivo, Huawei, and Xiaomi.
“We noticed something was wildly wrong,” Falé said. “Multiple devices reporting to this factory Android TV Box backdoor were ‘phones.'”
Image: Bitsight.
The researcher found all of the devices reported having the same two apps installed, and that those apps were made by a company called Zhejiang Fengwo IoT Technology Ltd, an entity founded in 2019 in mainland China which operates an ad-publishing portfolio under the name Fengwo Group. Further investigation into the Fengwo Group revealed it has registered multiple patents that match the inner workings of these apps.
“Bitsight TRACE identified several Hong Kong, Singapore, and single person ‘legal’ shell identities used to collect the monetization and traced the operation back to a mainland China company known as Zhejiang Fengwo IoT Technology Co., Ltd, which operates under the Fengwo Group,” Falé wrote in a report released today about their findings.
Falé said an analysis of the apps shows they help to coordinate an ad fraud network that uses these H96 devices as a captive traffic source to click on ads at AI-generated websites operated by the Fengwo Group.
Bitsight discovered the websites contain machine-generated news articles and graphics across a range of categories, including finance, health, education, gaming, music and food blogs. But they also found none of those sites displayed ads unless the device visiting the page matched the spoofed mobile profile of these H96 devices.
AI DIGITAL HUMANS
The domain for the Fengwo Group — fwgcloud[.]com — claims the company is “redefining the boundaries of human-AI interaction,” and that it has created more than 120,000 “AI digital humans” available to rent for everything from emotional companionship to 24/7 customer service and creative design.
The homepage for fwgcloud dot com.
Falé said the Fengwo Group’s domain shared its SSL certificate data with other domains associated with the apps found on H96 devices, specifically the phone spoofing mechanism. He noted the domain also has an internal wiki platform that directly ties the Fengwo Group to a proprietary implementation of a Google-built visual programming language called Blockly, which was originally designed to help kids learn how to write software.
According to Bitsight, the Fengwo Group’s employees use Blockly to build the sham websites, allowing low-skilled operators to drag blocks of code together in their Blockly editor — without any need to understand what the underlying code blocks do or how they work.
The Blockly homepage.
“An operator can drag blocks together in their Blockly editor, to define each fraud routine, given a task type,” reads Bitsight’s report. “Once the routine is saved, it gets exported as JavaScript and uploaded to the S3 buckets. An operator doesn’t need as much understanding of the underlying technicalities, as it is all set in place for ease of use.”
Bitsight even found one of the Fengwo Group app developers mentioning exactly these advantages, noting the developer remarked that “only a small number of highly-skilled developers are needed to build the template execution-unit images,” and that “developers who create execution units from those templates have significantly lower technical requirements, greatly reducing the company’s operating costs.”
Falé said if a user’s H96 streaming stick is selected for a specific fraud task, it will be pushed the appropriate Blockly module according to the task desired, which can include silently launching a web browser, visiting websites, browsing pages, managing tabs, and clicking on ads.
To ensure the TV boxes masquerading as mobile phones can reliably click on ads displayed via the AI-generated websites, the Fengwo group “fuses three vision and reasoning systems into a single interface,” allowing the bots to correctly identify an ad on the webpage and navigate the site much like a human would, the Bitsight report observed.
Examples of ad landing pages linked to the Fengwo Group. Image: Bitsight.
TV ON? PROXY. TV OFF? AD FRAUD
Bitsight found the H96 devices were either relaying residential proxy traffic or participating in ad fraud, but never both at the same time. In fact, they concluded that when these TV boxes detect an HDMI signal from an attached television — indicating the user intends to stream video content — the box is usually functioning as a residential proxy. When the TV is off, it switches back to waiting for ad fraud jobs.
Falé said he believes the TV boxes are set up this way because its ad fraud activities are far more resource intensive and could interfere with the device’s stated purpose — streaming video content over the Internet.
Despite repeated warnings from the FBI and security industry leaders about the security and privacy risks of using these streaming devices, major e-commerce providers like Amazon, Best Buy, Newegg and others continue to sell hundreds of different models and brands that bundle unofficial versions of Google’s Android operating system and are frequently marketed (via online influencers) as a way to access a broad array of streaming services and live broadcasts without a subscription.
Image: fbi.gov.
In addition to enlisting the user’s TV box in ad fraud networks, these off-brand streaming devices almost universally come with residential proxy software pre-installed. This software rents the user’s Internet address out to anonymous paying customers, who run the gamut from aggressive content scraping firms to ticket scalpers and outright cybercriminals.
What’s more, because these generic (and generally dirt cheap) TV boxes are all horribly insecure by default and bereft of any kind of authentication, installing one on your home or office network only invites further mischief. In January, the proxy tracking service Synthient documented how multiple botnets had rapidly enslaved millions of TV boxes using a complex interplay of security vulnerabilities in both the residential proxy software and the streaming devices themselves.
SHOW ME THE MONEY
Bitsight said it tracked approximately 38,000 TV boxes globally phoning home to the expired Fengwo Group domain, and based on that number the report estimates this ad fraud network brings in revenues of close to $50,000 a day (not counting substantial revenue from the residential proxy side of the business). However, Falé emphasized that these estimates are highly conservative and based on telemetry from just one of the Fengwo Group’s core (but older) domains.
As for the Fengwo Group’s claim to have 120,000 “digital humans” at their disposal, Bitsight’s report concludes it could be just a clever marketing scheme and/or a way to avoid drawing suspicion to the company’s operations.
“Historically, when dealing with proxy services or DDoS, we sometimes see these websites undertake inconspicuous facades, so as not to advertise their DDoS capability or botnet size,” Falé wrote in the report. “This could also be the case here.”
If the Fengwo Group truly does have tens of thousands of “AI humans” at its beck and call, it does not appear to have dedicated any of them to fielding inquiries from its own website. KrebsOnSecurity sought comment from the Fengwo Group by emailing the contact address listed on the company’s homepage, but the request bounced back with the reply, “Your message couldn’t be delivered to postmaster@fwgcloud[.]com. Their inbox is full, or it’s getting too much mail right now.”
As Bitsight’s analysis shows, when it comes to TV boxes and streaming sticks, it’s best to stick to name brands from reputable manufacturers, and then to be sparing and careful with any apps you choose to install on the device — as many of those can bundle residential proxy software as well. Google says consumers can confirm whether or not a device is built with the official Android TV OS and Play Protect certification by following these instructions.
Additionally, Synthient maintains a running list of IoT devices that have been known to ship to consumers with residential proxy software and other malicious apps pre-installed. Careful readers will notice Synthient’s list includes other IoT devices apart from streaming sticks and boxes: As the FBI has warned, residential proxy software has also been found in other popular consumer IoT devices from random brands, particularly digital photo frames.
Nell'analisi post-mortem dell'attacco perpetrato ai danni di Hugging Face da parte degli agenti OpenAI, "talmente potenti da impressionare i loro creatori", tralasciando tutti gli aspetti di marketing ci sono alcuni aspetti tecnici e tecnologici che vale la pena approfondire.
Capiamo insieme cosa sono gli LLM open-weight, cosa significa abliterare un modello e, pubblicità a parte, dove l'evoluzione degli LLM potrà arrivare.
Preparations for Next Moonwalk Simulations Underway (and Underwater)
NASA flight test engineer A.J. Jaffe and pilot Nils Larson walk on the ramp before a flight Tuesday, Jan. 13, 2026, at NASA’s Armstrong Flight Research Center in Edwards, California. The two support the agency’s Crossflow Attenuated Natural Laminar Flow (CATNLF) project, which aims to lower fuel costs for future commercial aircraft by testing a scale-model wing designed to improve laminar flow.
NASA/Christopher LC Clark
Flight testing is a team sport. For nearly 80 years, teams at NASA’s Armstrong Flight Research Center in Edwards, California, have used flight testing to push the limits of aerodynamics and advance aviation.
Earlier this year, NASA’s Crossflow Attenuated Natural Laminar Flow (CATNLF) initiative tested a wing concept that would maximize the smooth flow of air known as laminar flow, which could lower fuel costs for future airliners. During flight testing, researchers strapped a scale-model CATNLF wing to the bottom of a NASA F-15 aircraft.
Here’s what a day of CATNLF flight testing looked like.
NASA ground crew prepares the agency’s F-15 research aircraft and Cross Flow Attenuated Natural Laminar Flow (CATNLF) test article ahead of its first high-speed taxi test on Tuesday, Jan. 12, 2026, at NASA’s Armstrong Flight Research Center in Edwards, California. The CATNLF design aims to reduce drag on wing surfaces to improve efficiency and, in turn, reduce fuel burn.
NASA/Christopher LC Clark
5 a.m. — Aircraft staging
Ground crews ready the aircraft for the mission. If the operation involves a chase plane — a second aircraft to monitor the test flight — it would also be prepared, along with its crew.
6 a.m. — Crew brief
Pilots, engineers, maintenance techs, project leads, researchers, photographers, and videographers meet to review the flight’s goals, weather reports, and final details.
NASA researchers Mike Frederick, right, and Michelle Banchy, left, along with Ashante Jordan and intern Phillip Nguyen, sit in a control room and prepare for a flight test Thursday, Jan. 29, 2026, at NASA’s Armstrong Flight Research Center in Edwards, California. The agency’s Crossflow Attenuated Natural Laminar Flow (CATNLF) project aims to lower fuel costs for future commercial aircraft by testing a scale-model wing designed to improve laminar flow.
NASA/Christopher LC Clark
6:30 a.m. — Control room checks, air crew suit-up
Researchers head to the control room to complete day-of checks, confirming all communications, displays, and instruments are functioning.
Pilots suit up in life support, including custom‑fit pressure suits, harnesses, helmets, and masks. If a photographer, videographer, or flight test engineer will be in the aircraft’s back seat, they do the same.
6:45 a.m. — Air crew steps, control room preparations
The pilot completes preflight checks with the crew chief and technicians for the aircraft’s electrical systems. The pilot and the crew chief sign a flight preparedness report confirming the aircraft is ready to fly.
Inside the control room, the team prepares to monitor the flight using the same set of test cards, a step-by-step plan for the flight.
7 a.m. — Pilot secured in jet
The pilot and backseat crew member climb into their seats, strap in, and secure any gear they’ve brought for the test. The pilot completes preflight ground checks.
7:15 a.m. — Aircraft taxi
The pilot communicates with the control tower and taxis to the runway. Control room teams at NASA Armstrong monitor the aircraft via radio.
7:30 a.m. — Takeoff
The pilot accelerates down the runway and, at the proper speed, pulls back on the stick to take off. Once airborne, the pilot coordinates with air traffic control at Edwards Air Force Base and the NASA Armstrong control room while flying to the designated test area.
A F-15 aircraft owned by NASA’s Armstrong Flight Research Center in Edwards, California, flies above a mountain range on Tuesday, April 21, 2026. The agency’s Crossflow Attenuated Natural Laminar Flow (CATNLF) test article is attached to the bottom of this F-15. This project aims to lower fuel costs for future commercial aircraft by testing a scale-model wing designed to improve laminar flow.
NASA/Jim Ross
7:30 to 8:30 a.m. — Flight
At the test location, the team coordinates with the pilot on altitude, speed, and maneuvers. The test conductor relays each task, and the pilot completes them one-by-one. The pilot and control room monitor the performance of the hardware, instruments, aircraft, or software throughout the sequence. After completing the test points, the pilot returns to base.
8:45 a.m. — Landing, towing
The pilot lands and taxis to the ramp at NASA Armstrong, where the crew chief meets the jet. After the pilot exits, the aircraft is towed into the hangar for maintenance.
9:30 a.m. — Crew debrief
The pilot, project team, and mission controlstaff return to the briefing room tocapture lessons learned and document items for follow-up.
10 a.m. — Data download, second flight prep
Teams download flight data for analysis. If two flights are scheduled, preparations begin immediately for the second.
Four NASA employees walk toward a hangar after a flight Thursday, Feb. 4, 2026, at NASA’s Armstrong Flight Research Center in Edwards, California. The team supports the agency’s Crossflow Attenuated Natural Laminar Flow (CATNLF) project, which aims to lower fuel costs for future commercial aircraft by testing a scale-model wing designed to improve laminar flow.
this scripts is long, confused and full of notes, links and questions, if you
have the coffee on, it is better to stop it. This work was hard and we hope you
like it.
We are talking about malware, offensive security and the attempt to legalize
this institutional malware.
Shall we to start?
As we like to touch with our hands the stuff about what we talk about, we got
one of this "malware" and we start do create a documentation about the setup of
this. For everybody who wants to get hands dirty with us.
Then we get infected voluntarily using a device with his malware in order to
study it closer, understanding how it works and which bugs may have.
Last, as many and many people are trying to create some rule and law about this
very dangerous stuff we need strong guarantees in order to not accused of some
false data gathered from our devices1, we have tried to generate
some fake proof in order to understand how reliable are this gov-malware.
The conclusion we got is that there is no way to be sure technically that the
evidence are real
We documented all the steps in a detail post, here
instead, we want to analyze the ongoing proposal to legalize this malwares.
They're into my pc
the concrete threat about the abuse of this very powerful tool move us to bring
some lights on this foggy situation.
We are not law maker, but seems the malware in italy are already regulated. The
crime is well now for hacker like us, 615-ter C.P. aka "Abusive Access into a
System device" which shows also a specific part if the crime is done by an
official.
But, the fact this tools are daily used from the police as investigation tool
and nobody is showing any problem about that, is the demonstration about how a
law is a perfect repressive tools, but is not working very well as justice and
social tool. Which Police station will investigate about their own investigation
tools ?
What we are trying to do for the future is to try to avoid that our (and yours)
devices will spy us. Then, We would like spread some good security pratice in
order to avoid to get infected from this and other trojans: we will surely need
help because we know that won't be not exactly easy.
Regulating armed tanks: ddl malware
how do you explain the use of a tank ? We just need to talk about terrorism,
about pedoporn? We just need to talk shit about some politician? Or maybe act
against some big national operation ? We feel absolutely NOT protected from the
italian law to regulate malware written and showed by "Civici Innovatori"
(law:Quintarelli) which show a lot of issues; we just stopped a second reading
tecnical operative law proposal2 how to rule and limit this and we
discover they are trying to create similitudes with the malware functionality
and the some regulated police pratice, like: tag after someone, intercept
location data or real confiscation of the data into a device.
Trying to create similitudes between classic pratice and malware features it's
absurd from every point of view and for every kind of justice act you may
consider:
compare a confiscation to a remote file acquisition of a device is ridiculous.
During a confiscation there's the presence of the person investigated which
can verify what is happening, can request the presence of a lawyer and at the
end should receive a list of the confiscated material. We can't imagine how
this can be possible during a remote confiscation using a malware.
a real confiscation aim to cut off the availability of a specific tool, like
a gun. The malware doesn't cut off this availability, because is not made for
this.
Compare the GPS tracking of a real tagging is ridiculous. Get the digital data
and easy to be analyzed from invasive algorithm is not comparable to a real
shadowing, the quality of the data is completely another level.
But most of all there's a quantitative question about costs: do a shadowing
from the police desk to 1000 people doesn't have the same cost to do it for
real, it's clear that if yesterday doing a shadowing was a matter of time and
money, but now, with a malware all you need is just to focus clic and press a
button. The consequences of this is quite obvious. Just trying to imagine that
this two operations are the same is quite ridiculous.
Then we start from the idea that a device is owned by the person investigated,
but this is not always true. For example all the "public" device, the internet
point, the libraries, the university. Reading the email from an internet point
tapped where a person under surveillance used the pc before of us, bring us a
risk because the pc is bugged (so is an infected pc) our email will go to the
police. Even if we with a used device, our email will be delivered to the
police.
Then there is a temporal problem. With a classical mobile interception, the
SMS are grabbed starting from a specific day and the interception has a time
limit for legal reason. The trojan is another story, it can read the data with
no time limit, sending all the conversation on the device from the beginning of
it's history, because it is all saved there.
During a shadowing there's the guarantee (except to hire a lookalike) that the
position is the effective location of the investigated person. But the device
may not travel with the person, it can be stolen or forgotten in a taxi. So
basically the device owned by the person is not the person.
To believe as we read in the document, that the installation of a malware
doesn't lower the security level where is installed is ridiculous, the base idea of
the malware is exactly to let open some vulnerability in order to use it and
doing so keep insecure the device of everybody in order to infect them.
To certify the impossibility to alterate the evidence seems impossible to
obtain and later we prove it in two different way. But there's more. How is
possible to certify the producer is not compromised? How is possible to verify
that behind the massive architecture there's not a backdoor for someone else
being able to use it? No, there's no way to verify it.
Lastly, seems a paradox for us that the government want to use digital weapons
bought from a shadow market and very less transparent as the zero-day market
Homeworks
during our experiment we notice that the input of this 'objects' are considered
trusted (not modified by the user), which is clearly erroneous. What may happen
if a skype username is AAAA' DROP ALL TABLES--? and if it's length is 10million
chars? And what if instead of an image we put something different and the
malware breaks ? (yes it broke very badly).
How the law will consider this social behaviour? self-defense? evidence
occultation?
What we want
For us this 'objects' can't be regulated. For us there's a danger hidden into
the secret action of the government over the citizen and this danger is way more
unsafe than any other threats, fullstop.
We want to know all, not just the stats about how many malware are sold or
exported (as recently requested by Hermes to the italian government), but we
want to know specifically how exactly are used these new surveillance technique, like IMSI-Catcher or
Government Malware and how many of them are used
If someone want to tell us, fell free to write us an email:
questo scritto è lungo, confuso e denso di appunti, link e domande, se avete il caffè sul fuoco,
toglietelo. è stato un lavoro sudato, speriamo vi piaccia.
parliamo di captatori informatici, sicurezza offensiva e il tentativo di normare
questi trojan di stato.
per iniziare
siccome ci piace toccare con mano gli oggetti dei nostri ragionamenti, ci siamo procurati uno di questi
"captatori informatici" e ne abbiamo documentato il setup completo per chi volesse
sporcarsi le mani con noi (grazie al lab61 per averci messo la pulce nell'orecchio).
successivamente abbiamo infettato volontariamente un dispositivo con il malware per vederne il funzionamento da vicino, quali funzionalità presenta e quali difetti.
la conclusione a cui siamo arrivati è che no, non esiste modo di garantire tecnicamente che le prove raccolte siano veritiere.
abbiamo anche fatto un'analisi tecnica della proposta di legge sottolineandone le criticità qui.
(legenda: le parti a sfondo bianco come questa sono per tutti i lettori,
quelle a sfondo nero sono più tecniche e interessanti per qualcuno, noiose per qualcun altro,
vi assicuriamo che saltarle non pregiudicherà la lettura).
installare galileo
un piccolo disclaimer: vi potete fare male, noi non abbiamo mai fatto uscire nessuna delle installazioni su internet liberamente, suggeriamo di fare lo stesso.
siamo partiti da questo link, un tutorial per il setup, modificando alcuni passaggi.
in particolare abbiamo eliminato vari check della licenza per cui non è più necessario cambiare la data del sistema (molto scomodo su una macchina virtuale) ed è ora quindi possibile abilitare tutte le funzionalità.
il setup minimo necessita almeno di 4 macchine:
un master (windows 7, almeno 4Gb di ram)
un collector (windows 7, almeno 1Gb di ram)
un anonymizer (suggerito centos solo cli, anche solo 300mb di ram, io ho usato un container con alpine via runc)
un target (fate voi, una debian, un android, un mac)
se volete strafare, servirá anche una macchina che faccia da network tactical injector, cioè l'oggetto usato per
infettare le vittime attraverso attacchi wifi.
le prime due voci le abbiamo installate in macchine virtuali su un portatile con 8Gb di ram usando virtualbox, ma se avete delle macchine da sacrificare è uguale.
in CN metto 192.168.56.2:
questo ip verra' usato anche come CN del certificato https, potevo anche usare un nome ma poi toccava editare /etc/hosts di windows
metto la password con cui controllerò tutto: RCSMaster1
metto la licenza e a questo punto parte l'installazione.
quando vedo "Remove previous master node files" sostituisco questo file in C:\RCS\bin\
siccome ad ogni avvio ricontrolla la licenza, finita l'installazione devo sostituire anche questo file in C:\RCS\DB\lib\
dopo aver installato e letto i manuali d'uso di RCS, abbiamo voluto provare effettivamente cosa è in grado di fare questo captatore informatico.
abbiamo quindi volontariamente infettato una nostra macchina linux e testato il funzionamento del tutto.
per prima cosa apriamo un'indagine (Operations->New Operation) a cui aggiungiamo un indagato sul cui ipotetico computer d'ufficio vogliamo installare un agente:
l'agente
ora con una facile interfaccia punta e clicca possiamo selezionare le funzionalità del trojan da attivare
se invece vogliamo una configurazione particolare, come ad esempio limitare l'uso della batteria dell'agente
possiamo utilizzare la modalità avanzata:
qui sopra un esempio di come è possibile attivare determinati moduli solamente quando il dispositivo è in carica.
per completezza ecco l'elenco dei possibili eventi, delle possibili azioni e di tutti i moduli.
se volete studiare tutte le funzionalità, rimandiamo alla documentazione ufficiale.
ovviamente non tutte le funzionalità sono compatibili con tutti i sistemi operativi, per avere una lista delle compatibilità vi rimandiamo anche in questo caso alla documentazione ufficiale e a quella non ufficiale.
quando la configurazione ci soddisfa, procediamo con la creazione del vero e proprio agente
premendo in alto a sinistra su Build.
ora manca solo di scegliere come infettare la vittima:
i vettori
i vettori di infezione sono tanti, anche in questo caso la documentazione ufficiale ci viene in aiuto.
la scelta del vettore da usare dipende in gran parte dalla vicinanza del dispositivo da infettare:
accesso fisico
avendo accesso fisico al dispositivo (ad esempio in aereoporto, durante un controllo o una perquisizione)
è possibile installare il malware via:
Silent Installer: un programma da eseguire direttamente sul dispositivo della vittima
Offline Installation: avvio del dispositivo da una pennetta usb
U3 Installation: usa una chiave U3 per installare l'agente
Persistent Installation: installa l'agente in maniera permanente (resistente ad una formattazione di windows o un factory reset di android)
vicinanza spaziale
se è possibile avvicinare la vittima (facendo ad esempio un appostamento fuori dall'abitazione) è possibile introdursi nella sua rete wireless o emularla attraverso una serie di attacchi usando quello che viene chiamato il Tactical Network Injector.
negli altri casi
lo stesso strumento, chiamato in questo caso Network Injector, può venire utilizzato installandolo direttamente
dal provider/ISP (tim, wind, vodafone, ecc) dove attraverso dei filtri è possibile specificare chi infettare.
inviando un'allegato (pdf, doc) via mail contenente uno zero-day.
noi purtroppo non abbiamo la possibilità di provare direttamente da un ISP l'installazione del Network Injector e avendo accesso fisico al dispositivo del fittizio indagato, ci infettiamo volontariamente con un Silent Installer per linux.
l'infezione
pubblichiamo l'agente venuto fuori dalla build per chi volesse sporcarsi le mani, SE NON SAPETE COSA STATE FACENDO, NON FATELO, SUL SERIO
ovviamente non ci sarebbe bisogno di fare reverse engineering visto che abbiamo i sorgenti, ma siccome se non vediamo non crediamo, lo faremo ugualmente, non prima di vederlo in azione però.
se avete linux e avete paura di essere infetti da un paio d'anni e non potete aspettare, date un'occhio dentro ~/.config/autostart/.*, /var/crash/.report* e /var/tmp/.report* ma non sperate di trovare qualcosa perchè nelle licenze italiane le funzionalità per infettare linux non sono state comprate.
ps. abbiamo ascoltato il traffico con wireshark ma sembra che non cerchi di andare altrove.
abbiamo le prove
attendiamo 5 minuti che l'agente raccolga i dati e ce li invii ed ecco i primi risultati in una comoda dashboard:
vediamo ora una carrellata delle possibilità, possiamo navigare il file system della vittima
possiamo inserire file, eseguirli e ovviamente scaricarli
possiamo inviare comandi e riceverne i risultati
e poi ovviamente guardare tutte le prove, quindi screenshoot (con supporto OCR)
un simpatico keylogger e tutti gli eventi del mouse
le foto dalla webcam con la frequenza scelta
la lista dei siti visitati
le password salvate da firefox e chrome
ovviamente con la possibilità di filtrare il materiale con filtri di tutto rispetto
ci fermiamo qui anche se ci sarebbero tanti altri moduli da provare, i messaggi, i contatti,
i wallet bitcoin, l'infezione di un'android, il network tactical injector, gli exploits....
rompere un captatore informatico
ok, l'abbiamo installato e provato per poterlo analizzare meglio
e farci la seguente domanda: ma quanto sono sicuri questi captatori informatici?
sono veramente dei generatori di prove affidabili e veritiere come si vorrebbe sostenere?
come raccolgono le prove? proviamo ad immaginare come potremmo fare noi, prendendo a titolo di esempio i contatti skype:
i contatti skype sono presenti nel computer dentro un file
contentente una base dati.
questa base dati non è protetta
in nessun modo, ed è direttamente accessibile da chiunque,
sia da Skype che da un qualsiasi altro programma e ovviamente
anche dai captatori informatici, che vanno a cercare dentro
quella base dati la lista dei contatti e la nostra messaggistica.
dove si trova di preciso? la base dati di skype su linux si trova dentro ~/.Skype/<profiloutente>/main.db
proviamo allora a creare da noi questa base dati senza neanche avere
skype installato sul computer e inserire dei contatti fittizi al suo
interno. funzionerà?
falsi contatti
la base dati in questione è un sqlite, il cui schema è reperibile pubblicamente.
creiamo quindi dentro la macchina della vittima una directory per ospitare il nostro finto profilo skype
al cui interno inseriamo il nostro db sqlite compatibile con lo schema skype:
a questo punto attendiamo che il captatore raccolga le nuove prove e ....
per i siti visitati attraverso chrome/firefox e altri browser vale
lo stesso discorso, perchè questi vengono salvati all'interno di una base
dati simile a quella usata da skype.
anche per il microfono, la webcam, gli screenshoot del monitor e in
generale per ogni tipo di dato acquisito, non solo è difficile
se non impossibile dire con certezza se i dati carpiti all'insaputa
dell'utente siano veritieri o meno, ma è anche relativamente semplice
falsificare questi dati da parte di terzi (pensiamo ad un'applicazione su android ad esempio).
è possibile evitarlo? no.
rompere un captatore informatico #2
ma quanto sono sicuri questi captatori informatici?
nel proseguire il nostro studio sull'argomento, vogliamo sottolineare una
questione secondo noi importante. non divulgare le falle di sicurezza dei nostri
dispositivi per avere la possibilità di poterli infettare mantiene inevitabilmente
meno sicuri i dispositivi di tutti, compresi quelli di chi i captatori informatici
li utilizza.
abbiamo visto come sia possibile falsificare le prove prima che vengano raccolte,
cerchiamo ora di capire come funziona l'invio dei dati raccolti in RCS e vediamo se è
possibile inviare delle prove create ad-hoc.
reverse engeenering
ed eccoci alla parte più interessante del nostro studio (nonchè la più divertente).
la descrizione del reverse engeenering che segue è molto piu' lineare
di come si è svolta nella realtà, abbiamo saltato le parti noiose e ripetitive
(openssl l'abbiamo ricompilato almeno 6 volte) e cercato inoltre di rendere i
ragionamenti sequenziali, quando nella realtà tante scelte sono state fatte intuitivamente.
siamo inoltre convinti che si poteva ottenere lo stesso risultato in altri N modi e che
quello da noi usato è sicuramente molto grezzo.
innanzitutto, ipotizziamo di avere solo il binario, il malware.
dobbiamo capire cosa fa e come si comporta.
creiamo quindi un ambiente di studio, un container
che lo isoli in un posto sicuro dove non puo' fare
danni e in cui è possibile studiarne il comportamento.
noi abbiamo usato runc usando come rootfs una debian
dentro una directory montata con loggedfs per controllare
tutti i suoi movimenti sul file system (file creati, letti, etc...).
vediamo subito che si installa dentro /var/crash/.report*/whoopsie-report
e cerchiamo di capire di che file si tratta con un:
è un piccolo file statico di 77kb, un po' troppo piccolo per essere veramente statico,
lo avviamo con strace ./whoopsie-report e notiamo infatti che cerca di aprire
parecchie librerie di sistema, tra cui:
/lib/x86_64-linux-gnu/libpthread.so.0
/lib/x86_64-linux-gnu/libc.so.6
/usr/lib/x86_64-linux-gnu/libcurl-gnutls.so.4
/usr/lib/x86_64-linux-gnu/libcrypto.so.1.0.0
/usr/lib/x86_64-linux-gnu/libX11.so.6
e qui gia' ci sarebbe spazio per divertirsi: libX11 viene sicuramente utilizzata
per fare gli screenshot dello schermo, sarebbe possibile
ricompilarla per fare in modo che per alcuni programmi
dei metodi tornino cose inaspettate.
ad un certo punto notiamo che vengono creati dei files dentro /var/crash/.report*/.tmp*,
sono presumibilmente le prove raccolte, anche perchè ciclicamente si moltiplicano.
all'interno solo dati binari, controlliamo se sono solamente compressi,
ma non ci sembra, saranno cifrati? ma come?
per una cosa del genere a noi verrebbe da utilizzare le librerie standard,
quindi openssl, ma come possiamo esserne sicuri?
in effetti il malware accede a libssl.
perdiamo un po' di tempo provando con gdb ma stufi di seguire tutti i thread,
ci viene in mente di ricompilare libssl inserendo del debug che ci mostri come vengono cifrati i dati.
per ricompilare un pacchetto debian seguiamo questa guida, ci armiamo di pazienza e scarichiamo il tutto.
cercando come si cifra con openssl vediamo che ci sono parecchie chiamate differenti, quindi proviamo con ltrace (con strace si vedono le syscall, con ltrace le libcall) a vedere se possiamo capire quale chiamata viene usata:
$ ltrace ./whoopsie-report
Couldn't find .dynsym or .dynstr in "/proc/30234/exe"
questo e' parecchio strano ma smanettando un po' troviamo con strings la seguente stringa
dentro il malware:
leggiamo che upx è un packer che comprime binari, installiamo quindi
upx-ucl e proviamo un upx-ucl -d whoopsie-report per fare il processo inverso e decomprimere il binario:
ora abbiamo il binario "in chiaro" e riprovando con ltrace (qui siamo passati dentro una macchina virtuale con VirtualBox perchè dentro runc si bloccava per qualche motivo) otteniamo le chiamate usate dal malware,
in particolare nel nostro interesse ricadono le seguenti:
dlsym(0x122f4c0, "EVP_get_cipherbyname")
dlsym(0x122f4c0, "BIO_set_cipher")
a questo punto cerchiamo quei metodi nei sorgenti di libssl e troviamo la prima chiamata in crypto/evp/names.c linea 112 a cui aggiungiamo questo debug che scrive il cifrario usato dentro un file
constEVP_CIPHER*EVP_get_cipherbyname(constchar*name){constEVP_CIPHER*cp;// DEBUG: scrivo il cifrario utilizzato dentro un fileFILE*f;f=fopen("/tmp/debug_ciphername","w");// <- qui trovo il cifrariofprintf(f,"%s",name);fclose(f);cp=(constEVP_CIPHER*)OBJ_NAME_get(name,OBJ_NAME_TYPE_CIPHER_METH);return(cp);}
e la seconda chiamata in crypto/evp/bio_enc.c e anche qui aggiungiamo del debug:
voidBIO_set_cipher(BIO*b,constEVP_CIPHER*c,constunsignedchar*k,constunsignedchar*i,inte){BIO_ENC_CTX*ctx;// DEBUG: scrivo i parametri del cifrario su fileFILE*f;f=fopen("/tmp/debug_cipher","a+");fprintf(f,"\n----\n");fprintf(f,"block_size: %d, key_len: %d, iv_len: %d\nkey: ",c->block_size,c->key_len,c->iv_len);for(intco=0;co<c->key_len;co++){fprintf(f,"%02X",k[co]);}fprintf(f,"\n\niv: ");for(intco=0;co<c->iv_len;co++){fprintf(f,"%02X",i[co]);}fprintf(f,"\n\n");fclose(f);....
ricompiliamo le librerie, installiamo e rilanciamo il malware.
dentro /tmp troviamo ora il cifrario usato dal malware e la chiave:
(= a questo punto proviamo a decifrare i file salvati su disco dal malware, lo scopo è ovviamente
tentare di scriverne noi uno ad-hoc, con la chiave a disposizione dovrebbe essere facile, invece
perdiamo un sacco di tempo a capire come mai non riusciamo a decifrare la prima parte del file.
pensavamo fosse legato al vettore di inizializzazione e invece nel file c'e' un header di qualche tipo,
ovvero il blocco cifrato non comincia all'inizio (questo però ovviamente openssl non lo dice).
il punto è che la lunghezza del testo cifrato ogni tanto non è un multiplo del BLOCK_SIZE del cifrario
a blocchi usato, il che significa che c'è qualcosa che non dovrebbe esserci.
abbiamo provato prima manualmente ad eliminare un po' di bytes prima di tentare il decrypt ed
effettivamente ha funzionato:
il file in questione (il .tmp-149..) è stato selezionato perchè dalle dimensioni poteva
sembrare un'immagine, inoltre decifrandolo inizialmente c'erano stringhe che riconducevano
al formato JPG (ma non trovavamo il magic byte DD F8!).
quel 10 invece indica che prima dell'inizio dell'immagine all'interno del file salvato su disco,
ci sono ben 160 bytes di header.
il prossimo passo è cercare di scrivere noi l'immagine dentro uno dei file, quindi apriamo
con gimp l'immagine estratta in precedenza (quindi con il vero screenshot) in modo da mantenerne
le proprietà (colori, dimensioni, ecc.) e sostituirla dentro il file di cui sopra.
#!/usr/bin/pythonfromCrypto.CipherimportAESimportsyskey="692cc9d0dc834e4663ef389470e445b4"IV="00000000000000000000000000000000"original_header=open(sys.argv[1]).read()[:168]new_image=open('.tmp-1491179387-220638-SJBo7P','w')# mantengo l'header come era prima senza indagare oltrenew_image.write(original_header)fake_image=open(sys.argv[2]).read()# paddingx=16-len(fake_image)%16iflen(fake_image)%16else0fake_image+=x*"\0"# cifro l'immagine fake e la scrivo sul nuovo fileaes=AES.new(key.decode('hex'),AES.MODE_CBC,IV.decode('hex'))new_image.write(aes.encrypt(fake_image))new_image.close()
questo scritto è lungo, confuso e denso di appunti, link e domande, se avete il caffè sul fuoco,
toglietelo. è stato un lavoro sudato, speriamo vi piaccia.
parliamo di captatori informatici, sicurezza offensiva e il tentativo di normare
questi trojan di stato.
per iniziare
siccome ci piace toccare con mano gli oggetti dei nostri ragionamenti, ci siamo
procurati uno di questi "captatori informatici" e ne abbiamo documentato il setup per chi volesse
sporcarsi le mani con noi.
successivamente abbiamo volontariamente infettato un dispositivo con il malware per vederne il
funzionamento da vicino, quali funzionalità presenta e quali difetti.
la conclusione a cui siamo giunti è che non esiste modo di garantire tecnicamente che le prove
raccolte siano veritiere.
abbiamo documentato tutto in questo dettagliato post,
qui invece ci proponiamo di fare un'analisi alle proposte di normare questi captatori informatici.
mi sono entrati nel computer
la concreta minaccia dell'abuso di questo potente strumento ci muove a far luce su questa fumosa
questione.
non siamo giuristi ma ci sembra che i captatori informatici siano già normati, il reato lo
conosciamo bene noi acari, il 615-ter c.p. "accesso abusivo ad un sistema informatico" che
presenta anche un comma specifico se il reato è commesso da un pubblico ufficiale.
il fatto che questi strumenti siano, però, quotidianamente usati dalle forze di polizia come
strumento di indagine e che nessuno stia storcendo il naso per questo, è la dimostrazione di come
la legge sia un'ottimo strumento repressivo ma non funzioni un granchè come strumento di giustizia
sociale. quale procura potrebbe indagare sui suoi stessi strumenti di indagine?
quello che ci proponiamo di fare per il futuro è cercare di evitare che i nostri (e i vostri)
dispositivi ci spiino.
vogliamo inoltre diffondere delle buone pratiche di sicurezza per evitare di farsi infettare da
questi e altri trojan: avremo sicuramente bisogno di aiuto perchè sappiamo che non sarà affatto
semplice.
regolamentare carri armati: ddl captatori
come si giustifica l'uso di un carro armato? basta parlare di terrorismo, di pedofilia?
è sufficiente parlare male di un parlamentare? o magari opporsi alla costruzione di una
grande opera? non ci sentiamo per niente tutelati dal decreto di legge presentato dai
civici e innovatori (ddl quintarelli) dalla quale emergono moltissime criticità;
ci siamo soffermati sulla "disciplinare tecnico operativa"
la tesi di fondo del documento è quella di fare un paragone tra le funzionalità del captatore e le
corrispondenti azioni di polizia giudiziaria già attualmente normate, per esempio paragonando
pedinamento reale e intercettazione dati di posizionamento, o sequestro reale con acquisizione
file da dispositivo.
l'equiparazione tra le modalità classiche e quelle implementate dal captatore ci sembra assurdo da
ogni punto di vista e per qualunque tipologia di azione giudiziaria considerata:
paragonare un sequestro all'acquisizione remota di file sul dispositivo è ridicolo. durante un
sequestro c'è la presenza dell'indagato che può verificare quello che accade, può richiedere la
presenza di un legale e gli viene rilasciata una lista del materiale sequestrato. non riusciamo ad
immaginarci come questo sia possibile tramite un sequestro da remoto tramite captatore.
il sequestro reale è teso a togliere la disponibilità di un oggetto, una pistola ad esempio.
il captatore non toglie la disponibilità dell'oggetto del sequestro, perchè non è quello il suo
scopo.
paragonare il tracciamento gps ad un pedinamento è ridicolo.
avere i dati digitalizzati e facilmente analizzabili da algoritmi invasivi non è paragonabile
ad un pedinamento, la qualità del dato è proprio di un altro livello.
ma soprattutto c'è una questione quantitativa e di costi: fare un pedinamento dalle scrivanie
della questura verso 1000 persone non ha lo stesso costo che farlo per davvero, è evidente che se
fino a ieri pedinare gli indagati richiedeva un certo dispiegamento di forze e denaro, con
l'utilizzo di un captatore il tutto si riduce a premere qualche tasto su un'interfaccia punta e
clicca. la conseguenza di questo è abbastanza ovvia. immaginare l'equivalenza delle due situazioni
è ridicolo.
si parte poi dal presupposto che un dispositivo sia di un indagato, mentre non è sempre vero.
prendiamo come esempio tutti i dispositivi "pubblici", gli internet point, le biblioteche, le università. leggendo le mail da un internet point usato da un indagato
prima di noi (e quindi su un computer infetto) le stesse finirebbero in questura. comprando un
dispositivo usato, le nostre mail finirebbero in questura.
c'è inoltre un problema temporale. all'avvio di un'intercettazione telefonica classica, gli sms
intercettati partono appunto da un giorno e l'intercettazione ha poi un limite di tempo per ovvi
motivi. il trojan invece può leggere i dati senza limiti temporali, inviando tutte le conversazioni
avvenute sul tuo dispositivo dall'inizio dei tempi (perchè sono tutte salvate lì).
durante un pedinamento c'è la garanzia (a meno di assumere un sosia?) che la posizione sia quella
effettiva dell'indagato. il dispositivo invece potrebbe non viaggiare con l'indagato, potrebbe essere stato
rubato o potrebbe essere stato lasciato sul sedile di un taxi. insomma il dispositivo dell'indagato
non è l'indagato.
credere, come si legge nel documento, che l'installazione di un captatore non abbassi il livello
di sicurezza dei dispositivi su cui è installato è ridicolo, l'idea del captatore si basa proprio
sul fatto di lasciare aperte delle falle di sicurezza e quindi di mantenere appositamente insicuri i
dispositivi di tutti, per avere la possibilità di poterli infettare.
certificare la non modificabilità delle prove acquisite ci sembra impossibile da ottenere e
l'abbiamo provato in due modi diversi. inoltre come è possibile certificare che il produttore non
sia stato compromesso? come è possibile certificare che nella imponente architettura non ci sia una
backdoor? no, non è possibile farlo.
e ancora, ci sembra paradossale che lo stato utilizzi armi digitali acquistate su un mercato
opaco e poco trasparente come quello degli zero day.
compiti a casa
durante gli esperimenti abbiamo notato che gli input di questi oggetti vengono considerati trusted
(cioè non modificabili dall'utente), cosa ovviamente non vera. cosa succede se un contatto skype si
chiama AAAA' DROP ALL TABLES--? e se è lungo 10mila caratteri? e se al posto di un'immagine
mettiamo qualcosa di altro e il captatore si rompe? (si, si rompe male).
come la legge vedrebbe un comportamento simile? legittima difesa? occultamento di prove?
cosa vogliamo
per noi questi oggetti non sono normabili. per noi c'è un pericolo insito nell'azione segreta
di una parte dell'apparato dello stato sul cittadino e questo pericolo sovrasta ogni altro
pericolo.
punto.
vogliamo sapere non solo le statistiche di esportazione di questi strumenti (come richiesto di
recente dal centro hermes al ministero dello sviluppo economico), ma soprattutto come e quanto
vengono utilizzate in italia oggi queste tecnologie di sorveglianza, che si chiamino imsi catcher o
trojan di stato. se qualcuno vuole comunicarcelo, ci scriva una mail.
Accedi
