pegasus

SAAS Salesforce partners not seeing meaningful revenue from Agentforce AI platform, report saysShow us the money ai and ml AI companies are burning books, advocates complain to FTCFahrenheit 203, the temperature GPUs stop gorging on literature DEVOPS Go updates may delight diehard gophers but displease AI overlordsv 1.27 expands generics to support methods EDGE AND IOT Waymo has designed a robocar chip to stay ahead of Tesla5 nm ML accelerators promise 1,000+ TOPS, ultra-low latency SYSTEMS AMD inches closer to its goal of making AI suck less ... energyHouse of Zen claims latest systems already 4x more efficient than two years ago Security Russians are posing as Signal support to launch phishing attacksPLUS: US takes down Iranian propaganda sites; Marketing company asks 'Why Do We Have Your Information?' And more! Security Microsoft patches failed to fix on-prem SharePoint, which is now under zero-day attackPLUS: China upgrades smartphone surveillance tools; Ring eases anti-snooping stance; and more Black Hat and DEF CON DEF CON Franklin project enlists hackers to harden critical infrastructureVoting village reports have been so successful, says Jeff Moss, that the whole of DEF CON will now be included Security EQT buys majority share in Swiss cybersecurity biz AcronisWent at equivalent of $3.5B+ valuation for entire firm, though portion sold not specified Malware Month Ten years since the first corp ransomware, Mikko Hyppönen sees no end in sightOn the plus side, infosec's a good bet for a long, stable career FOSS smashed one Microsoft monopoly. After 20 years of failure, it's time to smash anotherWord up GNOME can look like Windows – and Flashback can do it without extensionsNew 'Simple-taskbar' is an option, but there's a simpler, stabler way A moment of silence, please, for the final release of Debian on x86-32New Debian versions hit FOSSland in the form of 13.6 and 12.15 Baddies caught exploiting extensions bugs with perfect 10 scores on vulnerable Joomla websitesFlaws in iCagenda, Balbooa Forms extensions can impact open source CMS that powers a million sites worldwide Frame: A new X11 server – implemented directly in assemblyJoins yserver, Phoenix, and of course XLibre – and outlier Arcan Cinnamon 6.8 will support Wayland – if you want itNext version of Linux Mint’s desktop has both kinds of display server

WhatsApp has begun rolling out a new optional "Scam Alert" feature, which uses a local machine learning model to warn users when scammers are targeting them. Scam Alert is now available as part of a limited beta rollout while the company tests this new warning system with researchers in its Bug Bounty community. "Today, we're sharing an early look at Scam Alert, a new, optional feature that runs an on-device machine learning model to alert a user about potential scam messages," WhatsApp said. "No message content leaves the device for classification or is auto-reported to WhatsApp, Meta, or anyone else. The feature complements end-to-end encryption while enabling a user-controlled, optional scam alert when the model believes there's a likely scam." The model is trained on scam conversations reported by users and is designed to check whether incoming messages from non-contacts match known scam patterns using linguistic signals and probabilistic classification based on conversational structure. If it detects a potential scam attempt, the user will see a chat warning asking them to block, report, or continue the conversation. "If they decide that a warning is incorrectly flagged, the user can mark the chat as trusted, in which case the warning is removed and Scam Alert will not flag that chat again," WhatsApp added. "If a user marks that they trust a chat, they can also opt in to share the last 5 messages received with WhatsApp to help improve the feature's accuracy. According to the company, the message data processed by the local model and the model itself never leave the device, and the user can disable the new Scam Alert feature at any time. This is part of a broader effort to protect WhatsApp users from scammers, as shown by previous updates that introduced new security features designed to help catch fraud attempts before users engage with them. In March, Meta announced that WhatsApp will warn users when behavioral signals suggest that a device-linking request may be fraudulent, a common tactic used to hijack accounts by tricking users into scanning a malicious QR code or sharing a linking code. Two months earlier, it also started rolling out "Strict Account Settings," a new WhatsApp lockdown-style security feature that protects journalists, public figures, and other high-risk individuals from various sophisticated threats, including spyware attacks. The feature was introduced after many journalists, activists, and political figures had their phones infected with spyware (including NSO Group's Pegasus) via messaging apps like WhatsApp in attacks involving zero-click exploits, which allow threat actors to hack iOS and Android devices without user interaction. WhatsApp's messaging service is used by over 3 billion people from more than 180 countries to communicate with their family and friends. Overall prevention scores can hide what happens after initial access. Once attackers are using valid credentials, prevention drops sharply. The Blue Report 2026 measures defenses technique by technique across 338 million simulations run in customer production environments. Get the report

L’ultimo caso documentato riguarda la giornalista investigativa dominicana Nuria Piera, il cui iPhone è stato compromesso tre volte tra il 2020 e il 2021 mentre stava conducendo inchieste su presunti episodi di corruzione che coinvolgevano figure di vertice del Paese. La rivoluzione digitale ha trasformato lo smartphone nella più preziosa fonte di intelligence mai esistita. Spostamenti, conversazioni, contatti, fotografie, bozze di articoli, documenti, password, cronologia delle ricerche, videocall, note personali e, soprattutto, le fonti di un giornalista. Da qui, la nuova denuncia di Amnesty International sull’utilizzo dello spyware Pegasus contro giornalisti in almeno 18 Paesi. La questione non riguarda, come ormai di consueto, soltanto la privacy individuale. Riguarda il rapporto tra sicurezza nazionale, libertà di stampa e potere tecnologico. Pegasus, sviluppato dalla società israeliana NSO Group, rappresenta probabilmente il software di sorveglianza commerciale più noto al mondo. A differenza dei malware tradizionali, progettati per rubare credenziali bancarie o compromettere reti aziendali, Pegasus nasce come strumento di intelligence governativa. L’azienda ha sempre sostenuto di vendere il software esclusivamente a governi e agenzie autorizzate per contrastare terrorismo e criminalità organizzata. Negli anni, tuttavia, numerose indagini giornalistiche e analisi forensi hanno mostrato un quadro molto più complesso. Secondo Amnesty International, il numero degli Stati nei quali giornalisti sono stati individuati come bersagli di Pegasus sarebbe salito ad almeno diciotto. L’ultimo caso documentato riguarda la giornalista investigativa dominicana Nuria Piera, il cui iPhone è stato compromesso tre volte tra il 2020 e il 2021 mentre stava conducendo inchieste su presunti episodi di corruzione che coinvolgevano figure di vertice del Paese. L’analisi forense condotta dall’Amnesty Security Lab ha individuato tracce tecniche compatibili con l’infezione da Pegasus. “Sistema” o “infezione”? La vicenda della Repubblica Dominicana, però, rappresenta soltanto un tassello di un fenomeno molto più ampio. Dal Pegasus Project del 2021 alle più recenti indagini in Serbia, emerge una costante. Gli obiettivi non sono soltanto terroristi o criminali, così come raccontata dalla propaganda della guerra fredda, ma sempre più spesso giornalisti investigativi, difensori dei diritti umani, avvocati, oppositori politici e membri della società civile. Nel marzo 2025 Amnesty ha documentato il tentativo di compromissione dei telefoni di due giornalisti del Balkan Investigative Reporting Network (BIRN), dimostrando come Pegasus continui a essere impiegato anche in Europa. C’è poi quanto accaduto in seno al Parlamento europeo. Secondo un’analisi pubblicata da Citizen Lab e riportata anche da Le Monde e Reuters, l’eurodeputato greco Stelios Kouloglou, giornalista televisivo e membro della commissione speciale PEGA, sarebbe stato colpito almeno tre volte dallo spyware Pegasus tra l’ottobre 2022 e il marzo 2023. Vicenda, quasi, paradossale considerando che Kouloglou faceva parte proprio dell’organismo istituito dal Parlamento europeo per indagare sull’utilizzo illecito di spyware all’interno dell’Unione. La commissione PEGA, nelle sue conclusioni, aveva rilevato come diversi governi europei avessero fatto ricorso a strumenti di sorveglianza, talvolta nell’ambito di attività legittime e talvolta in modo incompatibile con lo Stato di diritto. Lo stesso eurodeputato ha dichiarato a Reuters di essere rimasto sorpreso dall’audacia degli autori dell’operazione. A suo dire, non immaginava che persino un membro della commissione incaricata di investigare Pegasus potesse diventare bersaglio dello stesso software. Il Parlamento europeo, pur senza commentare il singolo caso, ha ricordato di aver rafforzato le proprie misure di cybersicurezza, mettendo già dal 2022 a disposizione degli eurodeputati strumenti per il rilevamento di spyware e raccomandandone successivamente l’estensione a tutti i dispositivi impiegati nelle attività parlamentari. Cos’è Pegasus? Dal punto di vista tecnico, Pegasus rappresenta uno dei livelli più avanzati dello spyware contemporaneo. Il software sfrutta vulnerabilità sconosciute o non ancora corrette, le cosiddette zero-day, per installarsi sul dispositivo della vittima. In molti casi non richiede nemmeno un’interazione dell’utente. Gli zero-click exploit, come intuibile dal nome, consentono l’infezione semplicemente ricevendo un messaggio o una chiamata attraverso applicazioni come iMessage o WhatsApp. Una volta compromesso il dispositivo, l’operatore può accedere praticamente a tutto: messaggi cifrati, fotografie, posizione GPS, rubrica, email e perfino attivare da remoto microfono e fotocamera. Il telefono smette di essere uno strumento personale e diventa una piattaforma di sorveglianza portatile. Per un giornalista, chiaramente, il danno supera prepotentemente la dimensione individuale. Se uno spyware consente di ricostruire rubriche, chat, incontri e cronologie di comunicazione, non viene compromessa soltanto la persona che utilizza il dispositivo. Viene compromesso l’intero ecosistema informativo che ruota intorno a quell’inchiesta. Nuria Piera, intervistata da Amnesty, ha descritto la sensazione di vivere in un costante stato di sospetto, incapace di distinguere ciò che è realmente riservato da ciò che potrebbe essere già noto a chi la sorveglia. Non serve, necessariamente, utilizzare le informazioni raccolte. Spesso, è sufficiente che la vittima sappia di poter essere osservata per produrre autocensura, isolamento e riduzione dell’attività investigativa. Vecchi e nuove sfide giuridiche Dal punto di vista del diritto internazionale non esiste ancora, e forse non esisterà mai, una disciplina organica sul commercio globale degli spyware. Le esportazioni vengono generalmente autorizzate attraverso normative nazionali sui prodotti dual use, cioè tecnologie utilizzabili sia in ambito civile sia militare. Quando, però, questi strumenti vengono impiegati contro giornalisti o oppositori politici, il confine tra sicurezza nazionale e violazione dei diritti fondamentali diventa estremamente sottile. Non a caso Amnesty chiede da tempo un quadro regolatorio internazionale molto più rigoroso, arrivando a sostenere la necessità di una moratoria globale sulla vendita e sull’impiego degli spyware fino all’introduzione di meccanismi efficaci di controllo e accountability. La vicenda assume anche una dimensione geopolitica perché Israele è, oggi, uno dei principali hub mondiali dell’industria cyber offensiva. Pegasus rappresenta “soltanto” il caso più noto di una filiera tecnologica molto più ampia. Uno strumento di influenza internazionale che si manifesta, proprio, attraverso l’export di capacità tecnologiche. Per una democrazia, significa mettere in discussione uno dei presupposti fondamentali della libertà di stampa: la possibilità di svolgere attività investigativa senza il timore che ogni conversazione, ogni incontro e ogni documento possano essere osservati da chi detiene il potere.

Civil liberties groups have accused the EU of dragging its feet in implementing key measures to prevent spyware infections after Citizen Lab revealed a former member of European Parliament was placed under surveillance during his time in office. Stelios Kouloglou, a former investigative journalist, served as a Greek MEP between 2014 and 2023 and was a substitute member of the inquiry into the use of Pegasus and other spyware (PEGA Committee). After Citizen Lab forensically analyzed his device, the research organization revealed on Friday that his iPhone was infected with Pegasus in October 2022 and again in March 2023, when key hearings about the committee's formal recommendations were taking place. "The fact that Stelios Kouloglou's device was infected with an intrusive form of spyware that only governments can procure, while he was actively involved in the parliamentary inquiry committee that was investigating spyware abuse by European countries, raises serious concerns about the integrity of independent oversight at the highest levels in Europe," said Elina Castillo Jiménez, advocacy and policy advisor for the Security Lab at Amnesty International. "The brazen targeting of someone in his position underlines how inadequate the current system is, and is yet another wake-up call that the protections that were put in place to prevent this kind of abuse are still not being implemented in Europe." Amnesty International is one of the civil liberties groups to co-sign the joint statement to the EU, which lists several demands to ensure spyware abuse "is met with accountability, not impunity." The signatories called for the EU's Directorate-General for Information Technologies and Cybersecurity (DG ITEC) to launch a robust investigation into the hacking of Kouloglou's iPhone and pinpoint who was responsible. Attribution is notoriously difficult in cyberattacks, especially spyware cases. Citizen Lab was unable to definitively pinpoint the NSO Group customer that launched the attacks on Kouloglou, but said it had found no indications that the Greek government was responsible, despite its "extensive" historical abuse of Intellexa's Predator spyware. However, the research unit posited that the same Pegasus operator that was behind the attacks on seven targets in 2024, all of whom were exiled activists and journalists from Russia, Latvia, or Belarus, was behind the attack on Kouloglou. The statement also called on the EU to "urgently and publicly" respond to the PEGA Committee's recommendations issued in May 2023, and disclose which of its key points have or have not yet been implemented. The recommendations fell short of prohibiting spyware sales outright, instead favoring the tight regulation of spyware sales and use within the EU. Member states seeking to use spyware lawfully would have to involve Europol, be subject to independent oversight, and thoroughly investigate all allegations of abuse. The statement's signatories, however, believe that the EU has failed to deliver a meaningful response to the PEGA Committee's recommendation, leaving the bloc exposed to repeated spyware scandals. The signatories further called on the EU to "guarantee effective remedies for victims," which could include access to evidence, notifications of when surveillance occurred, and ensuring those behind the spyware are held accountable. Campaigners also want to see meaningful reform of the 2021 Dual-Use Regulation. The EU's framework for safely exporting spyware products is currently under evaluation, and the statement calls for any updates to reflect the PEGA Committee's recommendation. The EU has updated the Regulation several times since adopting it in 2021, and has routinely stood by the system, which aims to reduce the risk that cyber-surveillance tools are exported for use in human rights abuses. Critics remain unconvinced that the EU is enforcing the Regulation effectively, believing that the required level of monitoring is not being met, which in turn is allowing spyware to spread. For example, the Centre for Democracy and Technology Europe (CDT), which examined the export controls in four EU countries, said in December that spyware traveling across borders within the EU is not subject to the requisite licensing or accountability measures to effectively prevent abuse. The statement, to which CDT was also a signatory, stated: "Europe cannot continue moving from scandal to scandal without consequence. The targeting of a Member of the European Parliament involved in investigating spyware abuse should mark a turning point. The EU must act now to defend independent oversight, protect fundamental rights, and ensure that spyware abuse in Europe is met with accountability, not impunity." Spyware: Not just for foreign adversaries While regimes such as Russia, Saudi Arabia, Rwanda, and others have been accused of high-profile spyware attacks on specific individuals – of which Jamal Khashoggi was arguably the most infamous – the EU itself has faced various scandals concerning member states. In February, Greece sentenced four individuals connected with Intellexa to more than 126 years in prison each for their role in the spyware scandal that rocked the country in 2022. Domestic law caps this sentence at eight years, although it is currently suspended pending appeals. The case involved journalist Thanasis Koukakis and politician Nikos Androulakis, a then-serving MEP, who both discovered they had been infected with Predator spyware. It would later be revealed that they were among 87 high-profile Greeks to be targeted via hundreds of SMS messages. Critics suspect Greece and its intelligence agencies played roles in the infections, but they have consistently denied wrongdoing, and its Supreme Court cleared them in 2024. Elsewhere, Citizen Lab was instrumental in bringing to light what would go on to be dubbed "CatalanGate" – Spain's spyware scandal. It found that the devices of at least 65 people associated with the Catalan separatist movement were infected with Pegasus or Candiru spyware strains between 2017 and 2020, and at least two were infected with both. In 2022, Spain dismissed its national intelligence director, Paz Esteban López, after high-ranking ministers, including Prime Minister Pedro Sánchez, were infected with spyware. In Poland, former intelligence officials and ministers were also charged with using Pegasus spyware in February 2026 after Donald Tusk's government previously committed to an inquiry into the targeting of politicians with spyware in 2024. Hungary, too, was embroiled in its own spyware scandal in 2021 after it was rumored that Viktor Orbán's government targeted journalists, lawyers, and politicians, as well as people under national security investigation. The Pegasus Project found evidence of infections on civilians' devices, and a government official confirmed that the country was a Pegasus customer later that year after initially denying the allegations. ®

A new report from the Citizen Lab has revealed that former Member of the European Parliament Stelios Kouloglou had his mobile device repeatedly hacked with the notorious Pegasus spyware while serving on a committee that was tasked with investigating the abuse of such commercial surveillance tools in the bloc. "Through forensic analysis of his device, we found that the attackers could have had access to confidential documents and committee deliberations," the Citizen Lab researchers John Scott-Railton, Bill Marczak, Bahr Abdul Razzak, Kate Pundyk, Siena Anstis, and Ron Deibert said. The infections have not been attributed to a particular government at this time, and there is no evidence that the Greek government is behind the activity. However, the Canadian interdisciplinary research laboratory noted that it identified an overlap between the first infection and a previous campaign targeting Russian and Belarusian-speaking exiled journalists and activists in Europe. This indicates that a Pegasus customer with authorization to spy in multiple European countries is likely responsible for the effort, the Citizen Lab added. Kouloglou was a member of the European Parliament's "Committee of Inquiry to investigate the use of Pegasus and equivalent surveillance spyware" from March 24, 2022, to July 18, 2023. The PEGA Committee was set up on March 10, 2022, to probe alleged misuses of commercial spyware offerings under E.U. law, specifically focusing on gathering information on the extent to which member states and other countries are using such tools in contravention of the region's rights and freedoms. The Citizen Lab said that a forensic analysis of artifacts collected from his iPhone in May 2026 has found that it was compromised with Pegasus spyware on or around October 21, 2022, and again on March 6 and 7, 2023. "On 2022-10-21 10:16, there was a lookup for a HomeKit email address rauharepo888[@]gmail.com. Two minutes later, a Pegasus process used mobile data," the researchers explained. It's assessed that a zero-click exploit in Apple's smart home software, codenamed PWNYOURHOME, was used to deliver the spyware. The issue was addressed by Apple in iOS 16.3.1. The subsequent Pegasus activity observed in March 2023 is also said to have weaponized the same exploit. At both times, Kouloglou's device was running iOS 15.5. Further analysis of the phone has revealed that Kouloglou received Apple threat notifications about being targeted with mercenary spyware on three occasions: March 2, 2023, August 29, 2023, and April 10, 2024. Interestingly, during the first time Kouloglou's phone was hacked, he was admitted to a hospital for elective surgery and had been visited by Greek investigative journalist Thanasis Koukakis, who had his own phone compromised with Intellexa's Predator spyware and had testified before the PEGA Committee a month before. The timing of the second infection in March 2023 is also significant, as it coincided with the intense discussions related to the final drafting process, followed by a series of PEGA hearings. The incident took place two months before the adoption of the first PEGA Committee report. The development marks the first time a member of the PEGA Committee has been publicly identified as a victim of Pegasus spyware while serving on the committee. The connection between Kouloglou's case and the campaign targeting Russian and Belarusian-speaking independent journalists and opposition activists based in Europe is based on the use of the same email address "rauharepo888[@]gmail.com." "In our understanding of Pegasus infection infrastructure during this period, we believe that these emails are unique to specific operators," the Citizen Lab said. "We are unable to say whether the second infection in 2023 is similarly connected to this operator, or a different operator." "Based on what we know of NSO Group's licensing, this would likely indicate that the customer had a license that enabled infections in multiple E.U. jurisdictions, narrowing the list of potential Pegasus operators that could be responsible for this case." The findings raise fresh concerns about how governments leverage spyware ostensibly marketed for combating serious crimes, such as terrorism and child sexual abuse, for spying on the communications of journalists, lawmakers, dissidents, and critics. The development comes days after the Citizen Lab revealed that Russian authorities used Cellebrite's UFED forensic tools to break into the iPhone of detained opposition activist Andrey Pivovarov in June 2021, three months after Cellebrite announced it would stop offering its tools and services to Russia and Belarus. "The authorities searched Pivovarov's devices for key organizations and contacts, as well as high-profile opposition figures," the Citizen Lab said. "Search terms included Mikhail Khodorkovsky, who founded Open Russia, Anastasiya Burakova, who was at the time a human rights lawyer at Open Russia and currently leads a prominent anti-war group, and Open Russia's former coordinator and Pivovarov's partner, Tatiana Usmanova." Some of these individuals, including Burakova, were later targeted in a phishing campaign orchestrated by a Russian hacking group known as COLDRIVER, raising the possibility that the use of Cellebrite's tools may have helped facilitate reconnaissance and enable further targeting and surveillance of other regime opponents abroad. Back in April, the Citizen Lab also uncovered two distinct, long-running spying campaigns that are abusing well-known weaknesses in the global telecoms infrastructure to track people's locations. Notably, these attacks do not necessitate malware deployment, making them stealthy and harder to detect. One of two campaigns worked by sending a special type of text message with malicious hidden SMS commands to targets in an effort to "turn the device into a covert tracking beacon," the report said. The second campaign relied on weaknesses in Signaling System No. 7 (SS7) and Diameter signaling protocols to track an individual's whereabouts without requiring access to their devices. The two campaigns are said to have abused three specific telecom providers, namely 019Mobile, Airtel Jersey (part of Sure Group), and Tango Networks U.K., that act as "surveillance entry and transit points within the telecommunications ecosystem" and "allow traffic to move through trusted signalling interconnections while granting access to threat actors that hide behind their infrastructure." "Both actors used customized surveillance tooling to spoof operator identities, manipulate signalling protocols, and steer traffic through specific interconnect network paths to evade defenses and mask attribution," the digital rights organization said. "The findings expose how suspected commercial surveillance vendors (CSVs) exploit the global telecom interconnect ecosystem, leverage private operator networks, and conduct covert location tracking operations that can persist undetected for years."

Spyware found on phone of European Parliament member probing it A phone belonging to a former member of the European Parliament was targeted and infected with Pegasus spyware multiple times during his tenure on the parliamentary committee probing the technology’s misuse, according to a report released Friday. Stelios Kouloglou’s phone was infected with Pegasus, a powerful zero-click spyware, in October 2022 and again in March 2023, digital forensic researchers at the Citizen Lab assert in the report. At the time of the infections, the so-called PEGA Committee, which included Kouloglou, was conducting sensitive work relating to its planned recommendations for tackling rampant abuse of commercial spyware in Europe. The PEGA Committee released its recommendations in May 2023, but the European Commission has largely ignored them, a failing that Citizen Lab researcher John Scott-Railton — along with dozens of politicians and experts — have called inexcusable. “I know what the next chapter of this story is — it's going to be more hacked members of parliament, and I would bet that there are members of the European Parliament today walking around with no idea that their phone in their pocket has been turned into a spy,” Scott-Railton said in an interview. Kouloglou, also a longtime investigative reporter, told Recorded Future News he believes the Greek government is responsible for the hacks. The Citizen Lab said it has no indications that is true. Kouloglou represented Greece in parliament from 2015 to 2024. Greece has long been embroiled in a spyware scandal, but the technology used in those hacks was manufactured by Intellexa and not the NSO Group, the company behind Pegasus. A spokesperson for the NSO Group did not respond to a request for comment. Commercial spyware makers generally claim that they limit their products to missions like criminal investigations and antiterrorism operations. Link to other incidents The Citizen Lab believes the same Pegasus customer is responsible for both the 2022 Kouloglou incident and a series of spyware infections that the organization revealed in a May 2024 report. The latter incidents were attacks on devices belonging to seven Russian and Belarusian-speaking journalists and opposition figures between August 2020 and January 2023. Additionally, the same email used against Kouloglou was deployed in the Belarusian and Russian attacks during the same time frame, the Citizen Lab said. Emails used for targeting are unique to specific operators, the Citizen Lab said, meaning that the government behind the Kouloglou hack almost definitely is responsible for the Belarusian and Russian hacks, the report said. Only some Pegasus customers have licensing allowing hacks in multiple countries, the report said, narrowing down the pool of potential culprits. Kouloglou brought his phone to Citizen Lab to be checked in May 2026. Scott-Railton and other researchers said they found evidence that Kouloglou had received three Apple threat notifications about potential spyware in recent years, but he said he never saw them, according to the report. ‘Total disregard’ While phones belonging to members of the European Parliament have been infected with spyware in the past, the fact that this hack impacted a member of the committee investigating Pegasus underscores how spyware is a threat to democracy, according to Hannah Neumann, a representative of the Green Party from Germany who also was the negotiator on the PEGA Committee. The country responsible “spied on a member of the European Parliament while that member was investigating spyware abuse,” Neumann said in an interview. “It shows a total disregard for Parliamentarians’ role to scrutinize and, as such, for European democracy.” The initial spyware attack on Kouloglou’s phone came amid a frenetic period for the PEGA Committee. The spyware was launched less than a week prior to a series of hearings and as the committee prepared for the release of a draft report. The second time Kouloglou’s phone was attacked also came amid intense discussions among committee members about the final report, according to the Citizen Lab. Neumann has been frustrated by the Commission’s inaction on spyware and said she fears that even this episode won’t lead to an implementation of her committee’s proposed reforms. The Commission has failed to act due to how national governments value spyware’s intelligence and law enforcement uses, according to Neumann. “It's totally absurd that nothing's being done, but still there is this fake notion of spyware contributing to security, when in fact it undermines security,” Neumann said. For his part, Kouloglou says he plans to sue NSO. “In my phone, there were 15 years of photos, messages, you name it, messages with the prime ministers, with the members, the leaders of the different political parties and journalists. … Everything.” Suzanne Smalley is a reporter covering digital privacy, surveillance technologies and cybersecurity policy for The Record. She was previously a cybersecurity reporter at CyberScoop. Earlier in her career Suzanne covered the Boston Police Department for the Boston Globe and two presidential campaign cycles for Newsweek. She lives in Washington with her husband and three children.

WhatsApp has asked a US court to hold a blacklisted spyware firm in contempt, after claiming it has violated a permanent injunction banning it from targeting users. The messaging giant said on June 8 that it “successfully disrupted” social engineering attempts linked to Israeli firm NSO Group after investigating user complaints. “They tried to trick people into clicking on malicious links to drive them to external websites outside of WhatsApp, similar to previously reported one-click phishing campaigns linked to NSO,” it said. “We also caught them creating test accounts and groups on WhatsApp, which we took down.” Last year, the commercial spyware firm was ordered to pay damages of over $167m after hacking into about 1400 WhatsApp users' devices. That ruling was the culmination of a six-year court case which began after Meta engineers detected attempts by NSO to use its spyware tool, Pegasus, to target WhatsApp users including human rights activists, journalists and diplomats. The zero-click spyware is often used by repressive regimes to monitor opposition figures and activists. There have also been reports that the malware was used to hack Amazon boss Jeff Bezos’s phone. In 2021, NSO Group was added to the US Commerce Department’s Entity List to prevent it from buying components from American companies. WhatsApp said the firm should be held in contempt of court to send a clear message. “When a malicious company on the US government’s Entity List continues to defy US courts, existing restrictions must remain firmly in place,” it said. “Easing them would undermine US national security and put American companies and billions of people worldwide who depend on secure communications at risk.” Fighting Back Against Spyware NSO Group remains defiant and is appealing its permanent injunction. Last month, 12 civil rights organizations filed amicus briefs to fight the appeal. In the meantime, WhatsApp said it had made a “significant contribution” to the Spyware Accountability Initiative – a fund dedicated to helping civil society organizations fight back against the threat of spyware. WhatsApp published three domains used in the alleged NSO Group phishing campaign, so other users can check if they were also targeted. It claimed that attacks might come via email, text message, WhatsApp message “or something else.” Image credit: Samuel Boivin / Shutterstock.com

WhatsApp has detected and stopped spear-phishing campaigns allegedly conducted by the NSO Group after investigating user reports of social engineering attacks. The NSO Group is an Israeli commercial spyware vendor known for its advanced “Pegasus” tool that has been deployed against politicians, activists, journalists, academics, and other “high-interest” individuals. The firm has been on the U.S. sanctioned entities list since November 2021, due to supplying to foreign governments software products that were used against people and organizations in the U.S. Tools from NSO were also used by regimes considered repressive that targeted dissidents outside their borders. Despite that, NSO continued to target WhatsApp users, on multiple occasions using zero-day vulnerabilities. WhatsApp's parent company, Meta, has fought NSO Group in U.S. courts, securing a permanent injunction against it in 2025, a declaration of liability for 1,400 infections, and an associated $167,000,000 fine. According to Meta’s latest announcement, these prior rulings have not deterred NSO Group's activities targeting certain WhatsApp users. It is alleged that the attacker attempted to lure targets into clicking on malicious links that redirected to external websites, resembling previously documented one-click phishing campaigns associated with NSO. “We successfully disrupted NSO-linked social engineering attempts, after investigating user reports,” Meta says. “They tried to trick people into clicking on malicious links to drive them to external websites outside of WhatsApp, similar to previously reported 1-click phishing campaigns linked to NSO.” “We also caught them creating test accounts and groups on WhatsApp, which we took down.” The tech giant listed the following domains as indicators of compromise for the attacks it detected, and promised : ikhwancast[.]com ghazacast[.]com fr24cast[.]com Meta argues that this activity violates the 2025 court order that issued a permanent injunction against NSO Group, preventing the spyware vendor from targeting WhatsApp or its users. Meta's announcement highlights the threat that NSO Group poses to national security, citing the spyware company’s CEO statement in court about seeking access vectors beyond WhatsApp, and reminding that the firm has been sanctioned in the U.S. WhatsApp noted that end-to-end encryption effectively protects users’ messages and calls from Pegasus and other spyware, but called users to update their apps and operating systems for optimal protection. To block commercial spyware attacks or strengthen defenses on mobile, Android users can also activate ‘Advanced Protection,’ while iOS users can enable ‘Lockdown Mode,’ both of which are specifically designed to reduce the attack surface and data exposure to spyware. Overall prevention scores can hide what happens after initial access. Once attackers are using valid credentials, prevention drops sharply. The Blue Report 2026 measures defenses technique by technique across 338 million simulations run in customer production environments. Get the report

Google ha pubblicato l’Android Security Bulletin mensile, un documento che questa volta merita un’attenzione superiore alla media. Il bollettino descrive 124 vulnerabilità di sicurezza che interessano il sistema operativo Android, distribuite come sempre su due livelli di patch (2026-06-01 e 2026-06-05), e copre componenti che vanno dal Framework di sistema fino ai driver proprietari di Qualcomm, MediaTek, Unisoc e Imagination Technologies. La notizia che domina, però, è un’altra: tra le vulnerabilità corrette figura la CVE-2025-48595, una falla classificata come High severity (CVSS 8.4) nel componente Framework di Android, per la quale Google ha confermato l’esistenza di “indicazioni di sfruttamento limitato e mirato in the wild”. In altri termini, al momento del rilascio del bollettino, qualcuno stava già usando questa vulnerabilità contro bersagli reali. Non si tratta di una notizia insolita nel panorama Android (le zero-day in exploitation attiva compaiono periodicamente nei bollettini mensili di Google) ma la frequenza con cui questo avviene e la tipologia di attacchi associati dovrebbe spingere qualsiasi responsabile della sicurezza aziendale a una riflessione seria sui processi di patch management per i dispositivi mobili. Indice degli argomenti La CVE-2025-48595 è una vulnerabilità di tipo Elevation of Privilege (EoP) che risiede nel componente Framework di Android. La causa radice è un integer overflow in più posizioni del codice, che può portare all’esecuzione di codice arbitrario con privilegi elevati a partire da un processo non privilegiato. Le caratteristiche che rendono questa falla particolarmente pericolosa sono due e vanno lette insieme: nessun privilegio di esecuzione aggiuntivo richiesto: l’attaccante non ha bisogno di partire da una posizione già privilegiata nel sistema; nessuna interazione dell’utente necessaria: la vittima non deve cliccare su nulla, aprire alcun file, installare alcuna applicazione. La vulnerabilità può essere sfruttata in modo completamente silenzioso. Questa combinazione è la firma tecnica degli attacchi zero-click, ovvero quegli attacchi particolarmente temuti nell’industria della sicurezza perché non lasciano all’utente finale alcuna finestra di reazione. Le versioni di Android interessate sono 14, 15, 16 e 16 QPR2 (Quarterly Platform Release 2), il che significa che praticamente tutti i dispositivi moderni con software aggiornato erano esposti fino all’arrivo delle patch. Google non ha fornito dettagli sugli autori degli attacchi o sui bersagli colpiti, il che è prassi consolidata. Tuttavia, il profilo tecnico della vulnerabilità (zero-click ed escalation di privilegi remota) coincide precisamente con le capacità richieste dagli operatori di spyware commerciale, come quelli già documentati in passato nei casi Pegasus, Predator e similari. Questi strumenti vengono venduti a governi e agenzie di intelligence, spesso con targeting molto selettivo che include giornalisti, attivisti, dirigenti aziendali e funzionari di alto profilo. Per un consulente che opera in contesti Enterprise, questo dato è rilevante: anche se la propria organizzazione non è un bersaglio di spionaggio statuale, la natura della vulnerabilità e la velocità con cui gli exploit vengono adattati e riutilizzati impone tempi di risposta rapidi. L’Android Security Bulletin del mese di giugno 2026 interviene, come dicevamo, su un totale di 124 vulnerabilità. Di seguito, analizziamo le principali. Il Framework è il componente più colpito di questo bollettino, con 32 vulnerabilità risolte. Di queste, due sono classificate Critical: CVE-2025-65018 (EoP remoto, Critical) e CVE-2025-64720 (DoS, Critical), entrambe con impatto su Android 14, 15, 16 e 16 QPR2. Le restanti vulnerabilità nel Framework si distribuiscono tra escalation di privilegi (EoP), information disclosure (ID) e denial of service (DoS), tutte con severità High. Particolarmente degna di nota è la presenza di quattro vulnerabilità di Information Disclosure nel Framework: CVE-2026-0016, CVE-2026-0036, CVE-2026-0056 e CVE-2026-28586. In un contesto aziendale, la divulgazione non autorizzata di informazioni da un dispositivo mobile può avere impatti diretti sulla conformità al GDPR e, in alcuni settori, alla direttiva NIS2, soprattutto quando si tratta di dispositivi che accedono a reti operative o a sistemi di controllo industriale. Il componente System presenta un elenco ancora più preoccupante, con ben 10 vulnerabilità Critical e una vulnerabilità di tipo Remote Code Execution (RCE) classificata High (CVE-2026-0059) che può portare all’esecuzione remota di codice senza privilegi aggiuntivi e senza interazione dell’utente. Tra le vulnerabilità critiche di tipo EoP spiccano CVE-2026-0043, CVE-2026-0097, CVE-2026-21352 e CVE-2026-21353, mentre il gruppo delle vulnerabilità critiche di tipo DoS include CVE-2025-64505, CVE-2026-0039, CVE-2026-0040, CVE-2026-0041, CVE-2026-0042, CVE-2026-0044, CVE-2026-0051, CVE-2026-0052 e CVE-2026-0080. Una vulnerabilità RCE nel componente System, abbinata a più escalation di privilegi nello stesso componente, configura una kill chain potenzialmente completa: un attaccante in grado di concatenare queste vulnerabilità potrebbe passare dall’accesso remoto iniziale al controllo totale del dispositivo senza mai richiedere l’interazione dell’utente. Il secondo livello di patch, il 2026-06-05 security patch level, copre vulnerabilità nei componenti del Kernel Linux e in quelli forniti da produttori di chipset terzi. Nel dettaglio: Kernel Linux: CVE-2025-40214, una vulnerabilità EoP nel sottosistema di rete (Net) con severità High. Imagination Technologies (PowerVR-GPU): tre CVE (CVE-2026-21736, CVE-2026-22163, CVE-2026-22167), tutte High, che interessano la GPU PowerVR integrata in alcuni SoC ARM. Importante soprattutto per dispositivi IoT e sistemi embedded che impiegano questa architettura. MediaTek: undici vulnerabilità High, concentrate su Modem, Geniezone e Preloader. Le falle nel modem sono storicamente le più sensibili perché un attaccante che si trova sulla stessa rete radio (ad esempio in scenari di IMSI catcher) potrebbe sfruttarle senza alcuna azione della vittima. Unisoc: sedici vulnerabilità High nel componente Modem, diffuso prevalentemente su dispositivi economici di fascia bassa. La superficie d’attacco è ampia perché questi dispositivi sono spesso meno presidiati dal punto di vista del patch management aziendale. Qualcomm: due vulnerabilità High nei componenti Display (CVE-2026-24085, CVE-2026-24089) nelle componenti open source, più un elenco significativo di vulnerabilità nei closed-source components di Qualcomm, tre delle quali classificate Critical (CVE-2025-47392, CVE-2026-25276, CVE-2026-25277). I componenti closed-source Qualcomm, per loro natura, non possono essere ispezionati pubblicamente, il che rende più complessa la valutazione del rischio specifico. Il primo principio è semplice ma spesso disatteso nelle organizzazioni: applicare le patch entro finestre temporali definite e documentate, differenziate per livello di rischio. Questo bollettino contiene vulnerabilità in exploitation attiva, il che impone la massima priorità. Dal punto di vista operativo, le aziende che dispongono di una soluzione MDM (Mobile Device Management) o UEM (Unified Endpoint Management) devono: Verificare immediatamente il livello di patch corrente su tutti i dispositivi Android aziendali, con attenzione specifica ai dispositivi BYOD che accedono a risorse aziendali. Configurare policy di enforcement che blocchino l’accesso alle risorse aziendali (VPN, email, applicazioni critiche) per i dispositivi che non raggiungono il security patch level 2026-06-05 entro la finestra di patching stabilita. Generare e conservare i report di conformità, che possono essere richiesti in sede di audit NIS2 come evidenza delle attività di vulnerability management (articolo 21, paragrafo 2, lettera e della direttiva). Uno dei nodi più critici nella gestione dei dispositivi mobili aziendali è la presenza di dispositivi che non ricevono più aggiornamenti di sicurezza: Android con versioni precedenti alla 14 non è coperto da questo bollettino, ma resta esposto a tutte le vulnerabilità non corrette nei bollettini precedenti. La raccomandazione è netta: i dispositivi Android senza supporto attivo del produttore non devono accedere a reti o applicazioni aziendali critiche. In un contesto NIS2, questo non è solo una best practice: è parte integrante del requisito di gestione del rischio per i soggetti essenziali e importanti che gestiscono flotte di dispositivi mobili. Per le organizzazioni che gestiscono figure con accesso a informazioni sensibili, ossia dirigenti, responsabili di processi critici, personale con accesso a sistemi OT/ICS o a infrastrutture NIS2-rilevanti, la presenza di vulnerabilità zero-day con capacità zero-click richiede misure aggiuntive rispetto al semplice patching: Implementare Mobile Threat Defense (MTD) su tutti i dispositivi dei profili ad alto rischio, con capacità di detection comportamentale e network-level, non solo signature-based. Valutare l’adozione di dispositivi con certificazioni di sicurezza elevate (es. Android Enterprise Recommended, Samsung Knox, dispositivi con profilo di sicurezza hardware rafforzato) per le figure più esposte. Considerare la segmentazione dei flussi di dati tra dispositivi personali e aziendali attraverso containerizzazione, anche in assenza di MDM completo. Un aspetto spesso trascurato è che la presenza di una vulnerabilità zero-day in exploitation attiva cambia il livello di priorità anche per le attività di threat hunting e monitoring. Anche per le organizzazioni che applicano le patch rapidamente, è opportuno: Verificare nei log di accesso e nei sistemi SIEM se vi siano stati comportamenti anomali sui dispositivi mobili nelle settimane precedenti all’applicazione delle patch, cercando indicatori tipici di compromise da spyware (connessioni a C2 inusuali, accessi anomali a dati di localizzazione, attivazioni non autorizzate di microfono/fotocamera). Rivedere i log di Google Play Protect e, dove disponibile, i report di Mobile Threat Defense, alla ricerca di applicazioni potenzialmente dannose installate da fonti non ufficiali. Aggiornare i playbook di incident response per includere scenari specifici di compromissione di dispositivi mobili, con procedura di forensics e isolamento appropriata. La direttiva NIS2 impone ai soggetti in scope un approccio sistematico alla gestione della sicurezza delle reti e dei sistemi informativi. I dispositivi mobili rientrano pienamente in questo perimetro quando vengono usati per accedere a reti aziendali, a sistemi di elaborazione di dati critici o a infrastrutture operative. Il bollettino di giugno 2026 è un promemoria concreto di un rischio spesso sottovalutato: la superficie d’attacco mobile è immensa, è gestita in parte da soggetti terzi (gli OEM che decidono quando e se rilasciare le patch sui propri dispositivi) e include componenti come i modem Qualcomm, MediaTek e Unisoc su cui l’organizzazione ha un controllo operativo limitato. Per i consulenti che assistono le organizzazioni nel percorso di conformità NIS2, questo bollettino suggerisce alcune verifiche immediate: Asset inventory aggiornato dei dispositivi mobili con versione Android e livello di patch corrente: senza questo dato di base, qualsiasi valutazione del rischio è parziale. Processo documentato di vulnerability management per i dispositivi mobili, distinto da quello per endpoint tradizionali, con SLA di patching differenziati per livello di criticità della vulnerabilità. Policy di acceptable use aggiornate che definiscano chiaramente cosa accade a un dispositivo non conforme ai requisiti di patch level. Valutazione dei fornitori MDM/UEM come parte della supply chain di sicurezza, con verifica che le soluzioni adottate supportino le versioni Android in uso e permettano un enforcement granulare delle policy di aggiornamento. Di seguito, ecco alcune indicazioni operative per mettere in sicurezza i propri dispositivi mobile. Verificare il livello di patch su tutti i dispositivi Android aziendali tramite MDM/UEM e forzare l’aggiornamento per tutti i dispositivi che supportano il patch level 2026-06-05. Per i dispositivi che non ricevono più aggiornamenti dal produttore, valutare immediatamente l’isolamento o la sostituzione se accedono a risorse critiche. Avviare una verifica straordinaria sui log degli ultimi 30-60 giorni per i dispositivi di profili ad alto rischio, con particolare attenzione ai segnali di spyware. Aggiornare la valutazione del rischio mobile nell’ambito del registro dei rischi NIS2, inserendo CVE-2025-48595 come riferimento per le vulnerabilità in exploitation attiva che hanno richiesto remediation prioritaria. Le piccole e medie imprese sono spesso prive di MDM e gestiscono i dispositivi mobili in modo informale. In questo contesto, la raccomandazione minima è di verificare manualmente il livello di patch su ogni dispositivo aziendale che accede a email, VPN o applicazioni di business e attivare gli aggiornamenti automatici su tutti i dispositivi Android, assicurandosi che la funzione non sia stata disabilitata dall’utente o da policy di rete. Il bollettino di sicurezza Android di giugno 2026 non è, preso singolarmente, un evento eccezionale. È la norma: ogni mese Google rilascia decine di patch che coprono vulnerabilità di varia gravità e ogni mese la maggior parte delle organizzazioni aggiorna i propri dispositivi senza che accada nulla di rilevante. Ma CVE-2025-48595 è un segnale diverso. Uno zero-day con capacità zero-click, in exploitation attiva contro bersagli probabilmente selezionati, è la materializzazione concreta di un rischio che spesso viene percepito come astratto: quello di uno strumento di spionaggio silenzioso installato su un dispositivo aziendale senza che nessuno se ne accorga. Il patch management per i dispositivi mobili non è un’attività accessoria rispetto a quella per server ed endpoint tradizionali. È parte integrante di una strategia di sicurezza matura ed è un requisito esplicito, non una best practice opzionale, per le organizzazioni soggette a NIS2. Trattarlo come tale è la risposta più efficace a bollettini come questo.

Apple sulla Lockdown Mode: “Nessuna evidenza di attacchi cyber contro dispositivi che usano tale funzione”. “A quasi quattro anni dal lancio della funzione di sicurezza chiamata Lockdown Mode, non abbiamo ancora registrato alcun caso di compromissione di dispositivi che la impiegavano“, ha confermato Apple. “Né siamo a conoscenza di alcun attacco riuscito tramite spyware mercenario contro un dispositivo Apple con Lockdown Mode abilitata”. In questo modo il colosso statunitense ha ribadito le risposte ottime della funzione Lockdown Mode, in particolare contro gli attacchi spyware governativi. Un commento simile, sempre di tenore positivo, era arrivato un anno dopo il suo debutto. Dopo aver riconosciuto che anche i suoi clienti possono essere vittime di spyware, Apple ha infatti adottato “un approccio più proattivo nel notificare gli utenti presi di mira“. Apple nel mirino degli spyware L’annuncio della Lockdown Mode è arrivato nel 2022, dopo un lungo lavoro di sviluppo. L’idea è sorta specificamente per aiutare gli utenti più a rischio, come giornalisti, politici, funzionari governatici. I software più noti sono quelli di Intellexa, NSO Group e Paragon Solutions. L’azienda ha inviato numerosi avvisi a utenti in oltre 150 Paesi, informandoli di possibili compromissioni tramite spyware. Una scelta che ha confermato la crescente capacità di individuare questo tipo di attacchi. Apple non ha mai reso noto il numero preciso di utenti avvisati. In ogni caso, gli esperti cyber hanno ipotizzato “decine di attacchi, se non di più“. Come opera la Lockdown Mode Quando la modalità di isolamento è abilitata, “il dispositivo non funziona come di consueto“. Per ridurre la superficie di attacco che potenzialmente potrebbe essere sfruttata da uno spyware mercenario altamente mirato, si procede ad impostare delle grandi limitazioni. “Sia ad alcune app e funzioni, ma anche ad alcuni siti web in termini di sicurezza. In più, alcune funzionalità potrebbero non essere disponibili“. Al contempo, alcune organizzazioni per i diritti digitali hanno documentato attacchi cyber contro dispositivi Apple, senza tuttavia riscontrare il superamento della Lockdown Mode. Secondo TechCrunch, in almeno due casi i ricercatori del Citizen Lab hanno dichiarato: “Abbiamo osservato questa modalità bloccare attivamente attacchi spyware. Uno effettuato con Pegasus di NSO, l’altro con lo spyware Predator, realizzato da una società che ora fa parte di Intellexa“. In almeno un altro caso documentato, in questo caso dai ricercatori di sicurezza di Google, si è visto come lo spyware abbia interrotto il tentativo di infettare la vittima. Questo, nel momento in cui ha rilevato la Lockdown Mode, “probabilmente per eludere il rilevamento“.

Cybersecurity researchers have taken a close look at the inner workings of the Predator spyware, developed by the Cyprus-based company Intellexa. Rather than focusing on how the spyware initially infects a device, this latest research zooms in on how the malware behaves once a device has already been compromised. The most fascinating discovery involves the mechanisms the Trojan uses to hide iOS camera and microphone indicators. By doing so, it can covertly spy on the infected user. In today’s post, we break down what Predator spyware actually is, how the iOS indicator system is designed to work, and how this malware manages to disable these indicators. What Predator is, how it works, and what… Alien has to do with it We previously took a deep dive into the most notorious commercial spyware out there in a dedicated feature — where we discussed the star of today’s post, Predator, among the others. You can check out that earlier post for a detailed review of this spyware, but for now, here’s a quick refresher on the essentials. Predator was originally developed by a North Macedonian company named Cytrox. It was later acquired by the aforementioned Intellexa, a Cyprus-registered firm owned by a former Israeli intelligence officer — a truly international spy games collaboration. Strictly speaking, Predator is the second half of a spyware duo designed to monitor iOS and Android users. The first component is named Alien; it’s responsible for compromising a device and installing Predator. As you might’ve guessed, these pieces of malware are named after the famous Alien vs. Predator franchise. An attack using Intellexa’s software typically begins with a message containing a malicious link. When the victim clicks it, they’re directed to a site that leverages a chain of browser and OS vulnerabilities to infect the device. To keep things looking normal and avoid raising suspicion, the user is then redirected to a legitimate website. Besides Alien, Intellexa offers several other delivery vehicles for landing Predator on a target’s device. These include the Mars and Jupiter systems, which are installed on the service provider’s side to infect devices through a man-in-the-middle attack. Predator spyware for iOS comes packed with a wide array of surveillance tools. Most notably, it can record and transmit data from the device’s camera and microphone. Naturally, to keep the user from catching on to this suspicious activity, the system’s built-in recording indicators — the green and orange dots at the top of the screen — must be disabled. While it’s been known for some time that Predator could somehow hide these alerts, it’s only thanks to this research that we know how exactly it pulls it off. How the iOS camera and microphone indicator system works To understand how Predator disables these indicators, we first need to look at how iOS handles them. Since the release of iOS 14 in 2020, Apple devices have alerted users whenever the microphone or camera is active by displaying an orange or green dot at the top of the screen. If both are running simultaneously, only the green dot is shown. Just like other iOS user interface elements, recording indicators are managed by a process called SpringBoard, which is responsible for the device’s system-wide UI. When an app starts using the camera or microphone, the system registers the change in that specific module’s state. This activity data is then gathered by an internal system component, which passes the information to SpringBoard for processing. Once SpringBoard receives word that the camera or microphone is active, it toggles the green or orange dot on or off based on that data. From an app’s perspective, the process works like this: first, the app requests permission to access the camera or microphone through the standard iOS permission mechanism. When the app actually needs to use one or both of these modules, it calls the iOS system API. If the user has granted permission, iOS activates the requested module and automatically updates the status indicator. These indicators are strictly controlled by the operating system; third-party apps have no direct access to them. How Predator interferes with the iOS camera and microphone indicators Cybersecurity researchers analyzed a captured version of Predator and uncovered traces of multiple techniques used by the spyware’s creators to bypass built-in iOS mechanisms and disable recording indicators. In the first approach — which appears to have been used during early development — the malware attempted to interfere with the indicators at the display stage right after SpringBoard received word that the camera or microphone was active. However, this method was likely deemed too complex and unreliable by the developers. As a result, this specific function remains in the Trojan as dead code — it’s never actually executed. Ultimately, Predator settled on a simpler, more effective method that operates at the very level where the system receives data about the camera or microphone being turned on. To do this, Predator intercepts the communication between SpringBoard and the specific component responsible for collecting activity data from these modules. By exploiting the specific characteristics of Objective-C — the programming language used to write the SpringBoard application — the malware completely blocks the signals indicating that the camera or microphone has been activated. As a result, SpringBoard never receives the signal that the module’s status has changed, so it never triggers the recording indicators. How to lower your risk of spyware infection Predator-grade spyware is quite expensive, and typically reserved for high-stakes industrial or state-sponsored espionage. On one hand, this means defending against such a high-tier threat is difficult — and achieving 100% protection is likely impossible. On the other hand, for these same reasons, the average user is statistically unlikely to be targeted. However, if you’ve reason to believe you’re at risk from Predator or Pegasus-class spyware, here are a few steps you can take to make an attacker’s job much harder: Don’t click suspicious links from unknown senders. Regularly update your operating system, browsers, and messaging apps. Reboot your device occasionally. A simple restart can often help “lose the tail”, forcing attackers to reinfect the device from scratch. Install a reliable security solution on all the devices you use. For a deeper dive into staying safe, check out security expert Costin Raiu’s post: Staying safe from Pegasus, Chrysaor and other APT mobile malware. Curious about other ways your smartphone might be used to spy on you? Check out our related posts:

Per anni il mantra è stato: “iPhone è sicuro”. E, in buona misura, quella reputazione era guadagnata. iOS è uno degli ambienti più hardenizzati in circolazione grazie a una politica di sandbox aggressiva, agli aggiornamenti rapidi e all’ecosistema chiuso. Eppure, dall’autunno 2025, uno strumento di attacco chiamato DarkSword sta sistematicamente compromettendo iPhone in giro per il mondo e, finora, nessuno se n’era accorto. A portare alla luce la minaccia è il Google Threat Intelligence Group (GTIG) che ha pubblicato, anche grazie alla collaborazione con i laboratori di Lookout e iVerify, un’analisi tecnica dettagliata di quello che si configura come l’exploit kit iOS più avanzato e pericoloso degli ultimi anni. I numeri fanno impressione: 6 vulnerabilità concatenate, di cui 3 zero-day (sconosciute ad Apple al momento dello sfruttamento), 3 distinte famiglie di malware dispiegabili a seconda del target e almeno 3 gruppi di attacco indipendenti che stanno usando lo stesso framework con obiettivi, tattiche e vittime diverse. I Paesi già colpiti includono Arabia Saudita, Turchia, Malaysia e Ucraina. Indice degli argomenti In gergo tecnico, DarkSword è un full-chain iOS exploit kit ovvero uno strumento in grado di compromettere completamente un dispositivo partendo da zero, senza alcuna interazione da parte della vittima se non la semplice visita a una pagina web. Supporta le versioni di iOS dalla 18.4 alla 18.7 e ciò rende la minaccia ancora più grave in quanto questa versione del sistema operativo mobile di Apple risulta essere ancora installata su circa un quarto degli iPhone in tutto il mondo. La buona notizia è che Apple ha già rilasciato le patch per tutte e sei le vulnerabilità con iOS 26.3. La maggior parte era già stata corretta in versioni precedenti. Ma gli utenti che rimangono alle precendenti versioni di iOS rimangono ancora vulnerabili. Aggiornamento del 3 aprile 2026 Per garantire la necessaria sicurezza anche agli utenti che ancora utilizzano iOS 18 poiché in possesso di un dispositivo più datato o perché, per questioni operative, non possono effettuare l’aggiornamento, lo scorso mercoledì primo aprile 2026 Apple ha rilasciato un aggiornamento di sicurezza alla versione 18.7.7 che corregge la vulnerabilità DarkSword e mette al sicuro i dati degli utenti. La caratteristica tecnica più insolita e più insidiosa di DarkSword è che l’intera catena di exploit è scritta interamente in JavaScript, senza necessità di binari compilati. Questo lo rende più difficile da rilevare dai tradizionali sistemi di analisi e più flessibile da aggiornare e distribuire. La sequenza di attacco si articola in cinque stadi progressivi: Remote Code Execution in WebKit. Il punto d’ingresso è il motore del browser Safari (recentemente già aggiornato da Apple). In particolare, due vulnerabilità colpiscono JavaScriptCore, il motore JS di WebKit: una CVE già nota (CVE-2025-31277) combinata con la zero-day tracciata come CVE-2025-43529, che sfrutta una corruzione di memoria per ottenere esecuzione di codice arbitrario nel contesto del browser. PAC Bypass nel linker dinamico. iOS usa i Pointer Authentication Codes (PAC), una protezione hardware che rende molto più difficile sfruttare le vulnerabilità di memoria. DarkSword aggira questa difesa tramite la CVE-2026-20700, una falla nel linker dinamico dyld, ottenendo l’esecuzione in user-mode senza far scattare i controlli di integrità. Sandbox Escape. Il codice, ora eseguito in user-mode, deve uscire dalla sandbox di Safari per accedere al resto del sistema. DarkSword sfrutta la CVE-2025-14174 (una corruzione di memoria nel layer grafico ANGLE utilizzato per la gestione GPU) per evadere la sandbox attraverso i processi GPU e Media, due componenti ad alta superficie d’attacco perché processano contenuti non affidabili. Kernel Privilege Escalation. Con la sandbox aggirata, le due vulnerabilità zero-day finali (CVE-2025-43510 e CVE-2025-43520) sfruttano vulnerabilità nel kernel iOS per scalare ai privilegi di sistema completi. A questo punto, il dispositivo è completamente compromesso. Deploy del payload. Il malware finale, uno dei tre a seconda del gruppo attaccante che sfrutta DarkSword, viene installato in modo persistente e inizia la fase di esfiltrazione dei dati. Uno degli aspetti più allarmanti di DarkSword è la sua proliferazione: non è uno strumento nelle mani di un singolo attore, ma una piattaforma adottata in modo indipendente da almeno tre gruppi criminali con obiettivi e metodologie molto diverse tra loro. Questo gruppo ha utilizzato DarkSword per colpire utenti in Arabia Saudita attraverso un sito fasullo a tema Snapchat (snapshare[.]chat). La landing page era progettata per sembrare autentica, ma nascondeva un loader JavaScript che caricava i moduli RCE tramite un frame invisibile. Il malware dispiegato è GHOSTKNIFE: esfiltra messaggi, cronologia della posizione, dati del browser, supporta la registrazione audio, scarica file e, dettaglio significativo, elimina attivamente i crash log del dispositivo per nascondere le proprie tracce. Il secondo attore è un vendor commerciale di spyware identificato come PARS Defense, operante in Turchia e Malaysia. Questo gruppo ha adottato misure di sicurezza operativa più stringenti tra cui la cifratura avanzata dei payload e il device fingerprinting sofisticato per evitare di infettare dispositivi già compromessi o analisti di sicurezza. Il malware dispiegato è, in questo caso, GHOSTSABER in grado di comunicare via HTTP(S), eseguire enumerazione dettagliata del dispositivo, esfiltrare file ed eseguire query SQL arbitrarie e JavaScript dinamico. Dunque, uno strumento di spionaggio estremamente versatile. Il terzo attore è un gruppo sospettato di essere di origine russa, già noto per aver usato il precedente exploit kit Coruna. Questo gruppo ha integrato DarkSword in campagne di watering hole contro siti web ucraini, iniettando script malevoli nelle pagine compromesse per colpire i visitatori. Dalle analisi tecniche effettuate finora, pare che UNC6353 abbia usato solo i moduli per iOS 18.4 e 18.6, non quello per iOS 18.7, nonostante fossero comunque disponibile: le ragioni dietro questa scelta operativa potrebbero essere di tipo operational security o perché la versione 18.7 non era sufficientemente diffusa tra i target. Il malware dispiegato è GHOSTBLADE, specializzato nell’estrazione massiva di dati personali da iMessage, Telegram, WhatsApp, portafogli di criptovalute e foto nascoste. Meno versatile come backdoor, ma devastante come data miner. La portata della raccolta dati di DarkSword è impressionante e merita un inventario esplicito, perché aiuta a capire cosa è concretamente in gioco: Messaggi da iMessage, WhatsApp, Telegram Registrazioni audio ambientali Cronologia della posizione GPS Dati del browser (cookie, history, account salvati) Account registrati sul dispositivo Portafogli e seed phrase di criptovalute File e documenti Foto, incluse quelle nell’album “nascosto” Query SQL su database applicativi E la gravità è data dal fatto che non si tratta di metadati, ma del contenuto integrale della vita digitale di una persona. Come è evidente, la scoperta di DarkSword ha notevoli implicazioni per la sicurezza degli iPhone. Di conseguenza, è utile adottare delle azioni immediate per mettere in sicurezza i dispositivi. Apple ha corretto tutte e sei le vulnerabilità sfruttate nell’exploit kit DarkSword. Chi ha già aggiornato a iOS 26.3 (o alle versioni intermedie in cui le patch erano già presenti) è protetto da questo vettore specifico. Chi non lo ha fatto è ancora esposto a un exploit funzionante, attivamente usato in the wild da almeno tre gruppi distinti. L’azione immediata da compiere consiste dunque nel verificare la versione iOS su tutti i dispositivi aziendali e personali e nell’abilitare gli aggiornamenti automatici. Nei contesti aziendali potrebbe essere utile allineare la policy di Mobile Device Management (MDM) per forzare gli aggiornamenti entro 48 ore dalla release di patch di sicurezza critiche. Per chi è ad alto rischio di attacchi mirati come dirigenti, legali, giornalisti, attivisti, funzionari pubblici e personale aziendale con accesso a informazioni sensibili, la risposta più efficace è abilitare il Lockdown Mode di Apple. Questa modalità disabilita la compilazione JavaScript e limita le funzionalità web avanzate neutralizzando, di fatto, il vettore primario di DarkSword basato interamente su JavaScript per l’intera catena di exploit. In questo caso, l’azione immediata nelle organizzazioni che gestiscono profili ad alto rischio è quella di integrare l’attivazione di Lockdown Mode nella policy di sicurezza dei dispositivi mobili. Non è una soluzione per tutti, in quanto riduce alcune funzionalità, ma per chi è un target plausibile di spionaggio di stato o sorveglianza commerciale rappresenta sicuramente la misura di sicurezza più efficace. DarkSword è un zero-click exploit: non richiede che la vittima clicchi su nulla di sospetto, installi nulla, inserisca credenziali: basta visitare una pagina web che può essere un sito di notizie compromesso, un link inviato via messaggio o una pagina pubblicitaria con script iniettati. Davanti a una minaccia del genere, il modello di rischio che presuppone che “l’utente attento è al sicuro” non regge più. Dunque, è utile rivedere le policy aziendali sulla navigazione web da dispositivi mobili implementando soluzioni di Mobile Threat Defense (MTD) in grado di rilevare comportamenti anomali post-compromise tra cui l’esfiltrazione di dati, le comunicazioni C2 e la cancellazione di log. I tool di Mobile Device Management tradizionali non sono sufficienti in uno scenario di full-chain exploit con accesso kernel. La notizia di DarkSword non è solo l’exploit in sé, ma il fatto che uno stesso strumento viene adottato e personalizzato da attori completamente diversi in campagne parallele e indipendenti. Questo è esattamente il modello che ha caratterizzato l’ascesa di Pegasus di NSO Group: uno strumento di attacco-as-a-service che abbassa drammaticamente la barriera d’ingresso per operazioni di sorveglianza sofisticata. Le organizzazioni che operano in settori ad alto rischio geopolitico (energia, difesa, finanza, media, PA) dovrebbero quindi integrare metodologie di threat intelligence sugli exploit kit mobile nei propri processi di risk assessment. DarkSword dimostra che non è più sufficiente monitorare le CVE, ma anche chi usa cosa e in quale contesto. La campagna di UNC6353 contro siti ucraini, con iniezione di script malevoli in pagine web legittime già compromesse, è il vettore più insidioso perché non richiede alcuna azione ingannevole verso la vittima. Basta visitare un sito che si visita normalmente. Questo tipo di attacco è, per definizione, difficile da prevenire a livello utente. Dunque, nei piani di incident response e nelle checklist di sicurezza mobile è importante aggiungere esplicitamente la verifica di iVerify o strumenti equivalenti per la detection di compromissione iOS. Dal punto di vista della gestione del rischio, DarkSword introduce alcune discontinuità che richiedono un aggiornamento dei modelli di rischio esistenti. La prima riguarda la persistenza dell’esposizione: iOS 18.4 è stato rilasciato nell’aprile 2025, DarkSword è attivo almeno da novembre 2025. Ciò significa che, per un minimo di sei mesi, un exploit full-chain con tre zero-day ha operato in the wild senza che nessuno lo rilevasse pubblicamente. Questo è il tempo in cui organizzazioni di qualsiasi settore potrebbero essere state compromesse senza saperlo. Il concetto di “time to detection” per gli exploit mobile è fondamentalmente diverso da quello per gli attacchi network, in quanto un iPhone compromesso con DarkSword di fatto non mostra sintomi visibili. La seconda riguarda la frammentazione degli attori: quando lo stesso exploit kit viene usato da attori con motivazioni diverse, gli Indicatori di Compromissione (IoC) pubblicati dai vendor di threat intelligence diventano parziali in quanto tipicamente focalizzati su un singolo attore. È necessario correlare i report di più fonti per avere un quadro realistico della superficie di attacco. La terza riguarda il GDPR e la notifica di data breach: un’organizzazione i cui dipendenti o collaboratori siano stati compromessi da DarkSword ha subito una violazione di dati personali, potenzialmente su scala massiva. Gli obblighi di notifica all’Autorità Garante privacy entro 72 ore dalla scoperta e agli interessati si applicano anche in questo caso. Il problema è che, senza un programma attivo di mobile threat detection, la scoperta potrebbe avvenire molto tardi o non avvenire affatto. iOS rimane un sistema operativo fondamentalmente più sicuro della media. Ma DarkSword dimostra che “più sicuro” non significa effettivamente impermeabile alle minacce e che la sofisticazione degli attori che sviluppano e distribuiscono exploit mobile è cresciuta a un livello che richiede risposte proporzionate. La combinazione di exploit kit-as-a-service, zero-day multipli, payload JavaScript difficili da rilevare e deployment via watering hole disegna uno scenario in cui la superficie d’attacco mobile delle organizzazioni non può più essere gestita con la sola policy di “aggiornate i telefoni”. Servono una strategia e un processo di security adeguati e, adesso, serve anche un aggiornamento urgente di iOS.

New research from the Citizen Lab has found signs that Kenyan authorities used a commercial forensic extraction tool manufactured by Israeli company Cellebrite to break into a prominent dissident's phone, making it the latest case of abuse of the technology targeting civil society. The interdisciplinary research unit at the University of Toronto's Munk School of Global Affairs & Public Policy said it found the indicators on a personal phone belonging to Boniface Mwangi, a Kenyan pro-democracy activist who has announced plans to run for president in 2027. Specifically, it has emerged that Cellebrite's forensic extraction tools were used on his Samsung phone while it was in police custody following his arrest in July 2025. The phone was returned to him nearly two months later, in September, at which point Mwangi found that the phone was no longer password-protected and could be unlocked without requiring a password. It's been assessed with high confidence that Cellebrite's technology was used on the phone on or around July 20 and July 21, 2025. "The use of Cellebrite could have enabled the full extraction of all materials from Mwangi's device, including messages, private materials, personal files, financial information, passwords, and other sensitive information," the Citizen Lab said. The latest findings follow a separate report released last month, in which the researchers said officials in Jordan likely used Cellebrite to extract information from the mobile phones of activists and human rights defenders who had been critical of Israel and spoke out in support of Palestinians in Gaza. The devices were seized by Jordanian authorities during detentions, arrests, and interrogations, and subsequently returned to them. The documented incidents took place between late 2023 and mid-2025, the Citizen Lab said. In response to the findings, a spokesperson for Cellebrite told The Guardian that the company's technology is used to "access private data only in accordance with legal due process or with appropriate consent to aid investigations legally after an event has occurred." The two cases add to a growing body of evidence documenting the misuse of Cellebrite technology by government clients. It also reflects a broader ecosystem of surveillance abuses by various governments around the world to enable highly-targeted surveillance using mercenary spyware like Pegasus and Predator. Predator Spyware Targets Angolan Journalist The development also coincides with another report from Amnesty International, which discovered evidence that the iPhone belonging to Teixeira Cândido, an Angolan journalist and press freedom advocate, was successfully targeted by Intellexa's Predator spyware in May 2024 after he opened an infection link received via WhatsApp. The iPhone was running iOS 16.2, an outdated version of the operating system with known security issues. It's currently not known what exploit was used to trigger the infection. In multiple reports published last year, Recorded Future revealed that it has observed suspected Predator operations in Angola dating back to 2024. "This is the first forensically confirmed case of the Predator spyware being used to target civil society in Angola," the international human rights organization said. "Once the spyware was installed, the attacker could gain unrestricted access to Teixeira Cândido's iPhone." "The Predator spyware infection appears to have lasted less than one day, with the infection being removed when Teixeira Cândido's phone was restarted in the evening of 4 May 2024. From that time until 16 June 2024, the attackers made 11 new attempts to re-infect the device by sending him new malicious Predator infection links. All of these subsequent attack attempts appear to have failed, likely due to the links simply not being opened." In a statement shared with The Hacker News, Recorded Future said Amnesty's findings are consistent with what it has previously observed regarding suspected Predator activity in Angola, both in terms of timing and infrastructure. "Over time, and across different country clusters, we've unsurprisingly seen a steady evolution in Predator-linked infrastructure and tactics," the Mastercard-owned threat intelligence firm said. "For example, domains that were once hosted almost exclusively on virtual private servers, as in this case, have frequently been moved behind content delivery networks to obscure the underlying infrastructure." According to an analysis published by French offensive security company Reverse Society, Predator is a commercial spyware product "built for reliable, long-term deployment" and allows operators to selectively enable or disable modules based on target activity, granting them real-time control over surveillance efforts. Predator has also been found to incorporate various undocumented anti-analysis mechanisms, including a crash reporter monitoring system for anti-forensics and SpringBoard hooking to suppress recording indicators from victims when the microphone or camera is activated, illustrating the sophistication of the spyware. On top of that, it has explicit checks to avoid running in U.S. and Israeli locales. Through what Jamf calls "surgical API hooking" targeting SpringBoard's sensor activity data provider, Predator suppresses only the recording indicators while the device remains fully operational. This subtle approach ensures that the victim's phone works as usual, but they receive no visual warning that surveillance is taking place. "These findings demonstrate that Predator's operators have granular visibility into failed deployments, [...] enabling them to adapt their approaches for specific targets," Jamf Threat Labs researchers Shen Yuan and Nir Avraham said. "This error code system transforms failed deployments from black boxes into diagnostic events."

WhatsApp unveils anti-spyware ‘lockdown’ feature WhatsApp is rolling out a new security feature designed to block spyware, the company announced on Tuesday. The feature, called Strict Account Settings, will block attachments and media from people not in a user’s contacts list. It is designed for journalists and public-facing individuals who “may be targets of rare and sophisticated cyber attacks, and therefore might need extreme safeguards,” WhatsApp said in a blog post. The platform refers to Strict Account Settings as a “lockdown-style feature.” Apple introduced its own version of a lockdown setting, which restricts a device's features for security purposes, in July 2022 in an attempt to thwart spyware attacks. In the blog post, WhatsApp highlighted a 2019 spyware attack during which some 1,400 of its users were targeted with the NSO Group’s powerful zero-click Pegasus commercial surveillance tool. In December, a federal judge ruled that NSO Group can never again use WhatsApp infrastructure for spyware attacks. The company is fighting the injunction and says the order could bankrupt it. The new WhatsApp feature will roll out gradually in the coming weeks, they said. Suzanne Smalley is a reporter covering digital privacy, surveillance technologies and cybersecurity policy for The Record. She was previously a cybersecurity reporter at CyberScoop. Earlier in her career Suzanne covered the Boston Police Department for the Boston Globe and two presidential campaign cycles for Newsweek. She lives in Washington with her husband and three children.

Judge rules that NSO cannot continue to install spyware via WhatsApp pending appeal A California federal judge on Friday declined to stay an order preventing the NSO Group from using WhatsApp infrastructure to mount spyware attacks. NSO Group had sought to stay the order pending a decision on its appeal in the case, which centers on allegations that it targeted 1,400 WhatsApp users with its powerful zero-click Pegasus spyware in 2019. The spyware manufacturer has said that the permanent injunction will cause “catastrophic” damage to its business and that it will “suffer irreparable, potentially existential injuries” as a result. “The court does not find that defendants have made a strong showing of likelihood of success on the merits of their arguments regarding liability,” the opinion says. “Even based only on the limited discovery provided by defendants, the undisputed evidence showed that NSO went far beyond their authorized use of Whatsapp by reverse-engineering the application to design a spyware vector which allowed NSO’s clients to surveil Whatsapp’s users and obtain data from its servers.” The judge did issue a limited administrative stay of up to 45 days to allow NSO Group to ask an appeals court to weigh in. Suzanne Smalley is a reporter covering digital privacy, surveillance technologies and cybersecurity policy for The Record. She was previously a cybersecurity reporter at CyberScoop. Earlier in her career Suzanne covered the Boston Police Department for the Boston Globe and two presidential campaign cycles for Newsweek. She lives in Washington with her husband and three children.

Spyware products from the surveillance consortium Intellexa are still thriving despite extensive US sanctions. This comes as a months-long investigation into a set of highly sensitive documents and other materials leaked from the company has been published by Inside Story, Haaretz and the WAV Research Collective, dubbed “Intellexa Leaks”. Following publication of the investigation, three distinct but coordinated reports into the spyware consortium’s activity have emerged detailing new attack vectors and victim lists. These include documents by Google Threat Intelligence Group (GTIG), Recorded Future’s Insikt Group and Amnesty International’s Security Lab, which also provided the technical team to the journalists working on Intellexa Leaks, which revealed that the spyware maker continues to sell digital weapons to the highest bidders. Among the key findings, GTIG revealed that Intellexa has solidified its position as one of, if not the most, prolific spyware vendors exploiting zero-day vulnerabilities against mobile browsers. The spyware vendor, made up of several legal entities spanning across Greece, Ireland, Hungary, North Macedonia and beyond, is behind at least 15 of the 70 zero-day exploits documented by GTIG and its predecessor, Google’s Threat Analysis Group (TAG), since 2021. This is despite several waves of sanctions targeting Intellexa’s businesses and individuals linked to the consortium, including sanctions by the US Treasury’s Office of Foreign Assets Control (OFAC) in March and September 2024, targeting seven individuals in total. Additionally, Intellexa was fined by the Greek Data Protection Authority in 2023 for failing to comply with its investigations into the company. New ‘Zero-Click’ Attack Vectors Revealed The report from Amnesty’s Security Lab also shed light on how Predator, Intellexa’s flagship product, now sometimes marketed as Helios, Nova, Green Arrow or Red Arrow, infects target devices. Traditionally, Predator relied almost exclusively on ‘one-click’ attacks to infect a device, which require a malicious link to be opened in the target’s phone. This is less intrusive that leveraging ‘zero-click’ attacks typical of other spyware made by competitors like NSO Group’s Pegasus. However, the Amnesty report revealed that Intellexa has recently developed a new strategic infection vector, ‘Aladdin,’ which can enable silent zero-click infection of target devices anywhere in the world. The vector, which was first exposed by Haaretz and Inside Story, exploits the commercial mobile advertising ecosystem to carry out infections. Amnesty describes the attack chain as “technically complex to implement” but “conceptually simple.” “The Aladdin system infects the target’s phone by forcing a malicious advertisement created by the attacker to be shown on the target’s phone. This malicious ad could be served on any website which displays ads, such as a trusted news website or mobile app, and would appear like any other ad that the target is likely to see. Internal company materials explain that simply viewing the advertisement is enough to trigger the infection on the target’s device, without any need to click on the advertisement itself,” the Amnesty report reads. The Recorded Future report also revealed that two newly identified entities appearing to operate in the advertising sector may be connected to Aladdin. Amnesty’s Security Lab shared the findings of leaked documents and footage showing Intellexa’s deep visibility into live surveillance operations, indicating that the spyware maker retains direct access to live customer spyware systems. New Entities Linked to Intellexa Discovered Another key finding in Amnesty’s report confirmed the previous attribution of suspected infection domains, which imitate legitimate Kazakhstani news websites, and infrastructure to Predator. “While no victims of Predator spyware targeting have been identified in Kazakhstan, previous investigations by the Security Lab have documented the unlawful hacking of at least four Kazakhstani youth activists with Pegasus spyware in 2021,” the Amnesty report said. Based on infrastructure analysis, Recorded Future’s Insikt Group assessed that Kazakhstan has, at least until August 2025, continued to use Predator spyware. The report also uncovered several newly identified Intellexa nexus entities, including some linked to the consortium’s Czech cluster and one in the Philippines. The Intellexa data examined during the investigations also showed potential new victims in Greece and Egypt and evidence that Egypt and Saudi-based clients are still active. Over the past two years, Recorded Future’s Insikt Group has identified suspected Predator operators in more than a dozen countries, including in Angola, Armenia, Botswana, the Democratic Republic of the Congo, Egypt, Greece, Indonesia, Kazakhstan, Mongolia, Mozambique, Oman, the Philippines, Saudi Arabia, Sudan and Trinidad and Tobago and Vietnam.

Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione. Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica. C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale. Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/

INTERVIEW Digital rights activist Esra'a Al Shafei found FinFisher spyware on her device more than a decade ago. Now she's made it her mission to surveil the companies providing surveillanceware, their customers, and their funders. "You cannot resist what you do not know, and the more you know, the better you can protect yourself and resist against the normalization of mass surveillance today," she told The Register. To this end, the Mozilla fellow founded Surveillance Watch last year. It's an interactive map that documents the growing number of surveillance software providers, which regions use the various products, and the investors funding them. Since its launch, the project has grown from mapping connections between 220 spyware and surveillance entities to 695 today. These include the very well known spy tech like NSO Group's Pegasus and Cytrox's Predator, both famously used to monitor politicians, journalists and activists in the US, UK, and around the world. They also include companies with US and UK government contracts, like Palantir, which recently inked a $10 billion deal with the US Army and pledged a £1.5 billion ($2 billion) investment in the UK after winning a new Ministry of Defense contract. Then there's Paragon, an Israeli company with a $2 million Immigration and Customs Enforcement (ICE) contract for its Graphite spyware, which lets law enforcement hack smartphones to access content from encrypted messaging apps once the device is compromised. Even LexisNexis made the list. "People think of LexisNexis and academia," Al Shafei said. "They don't immediately draw the connection to their product called Accurint, which collects data from both public and non-public sources and offers them for sale, primarily to government agencies and law enforcement." Surveillance is a global trade. It's not just being used in Iran, China, North Korea Accurint compiles information from government databases, utility bills, phone records, license plate tracking, and other sources, and it also integrates analytics tools to create detailed location mapping and pattern recognition. "And they're also an ICE contractor, so that's another company that you wouldn't typically associate with surveillance, but they are one of the biggest surveillance agencies out there," Al Shafei said. It also tracks funders. Paragon's spyware is boosted by AE Industrial Partners, a Florida-based investment group specializing in "national security" portfolios. Other major backers of surveillance technologies include CIA-affiliated VC firm In-Q-Tel, Andreessen Horowitz (also known as a16z), and mega investment firm BlackRock. This illustrates another trend: It's not just authoritarian countries using and investing in these snooping tools. In fact, America now leads the world in surveillance investment, with the Atlantic Council think tank identifying 20 new US investors in the past year. "Surveillance is a global trade," Al Shafei said. "It's not just being used in Iran, China, North Korea. And a lot of the time you don't even have to be doing or saying anything: a hotel lobby uses smart cameras that detect unusual behavior, and if you pause too long in a hallway, your movements are flagged and logged, and sometimes automatically sent to police." "This could be happening in New York. You don't have to be in Beijing for something like this to happen," she added. "You exit the building, cameras with facial recognition and gait analysis identify you automatically. Sensors track your phone's location. If a crime happened nearby, they say, 'Well, maybe [you] did it.'" 'It completely changes how you interact online' Twelve years ago, Al Shafei received what looked like a Firefox browser update notification. In reality, it was a ploy to trick her into downloading FinFisher (aka FinSpy) on her computer - part of a larger campaign targeting her and her team of social justice advocates across Asia and North Africa. In addition to Surveillance Watch, she is also co-founder of feminist-tech-focused Numun Fund, is a founding director of social justice not-for-profit org Majal, and serves on the boards of the Wikimedia Foundation, the Tor Project, and Mastodon. Developed by Gamma Group, FinFisher has been used by governments and law enforcement agencies around the world to monitor and intercept communications, gather intelligence, and track individuals' activities. It provides a whole range of snooping capabilities, giving users remote access to victims' machines, keylogging to capture passwords and account info, audio and video recording, and real-time monitoring of targets' communications and online activities. In 2013, Mozilla accused Gamma of violating its Firefox trademark in a cease-and-desist demand. That experience fundamentally changed Al Shafei's views on data privacy - and her digital activity, which can be tricky for someone very much in the public eye. "My first feeling was guilt," she said, adding that she wasn't just worried about her own safety. "I worried about the fact that, by monitoring me, surveilling me, I had exposed everybody now in my network to this, so that guilt carries a lot of weight." It creates a troubling pattern of isolation, feelings of guilt, feelings of not being able to express myself, feelings of being targeted and controlled It also required her to alert everybody in her orbit that she had been surveilled, and that meant that the snoops may have collected personal details about her family, friends, coworkers - everyone in her network, too. "The second thing is: it completely changes how you interact online. Period. I don't have social media profiles anymore," Al Shafei said, with one exception: she has a Mastodon profile because she's a board member. "But I don't share anything very sensitive or controversial." While Al Shafei knows her biometric data is easily accessible because she travels frequently, she doesn't post any photos or videos of herself online, and doesn't use any applications that require biometric identification. "It changed how I use the web," Al Shafei continued. "It changed who I interact with on the web. It changed how much I'm willing to do on the web while protecting myself, because I don't want to put myself at any further risk. It changed how I express my views, how I access information, whether or not I would be comfortable accessing specific types of information if I felt like I could not do so safely." And all of this "creates a troubling pattern of isolation, feelings of guilt, feelings of not being able to express myself, feelings of being targeted and controlled." 'They know who you are' The Surveillance Watch homepage announces: "They know who you are. It's time to uncover who they are." It's creepy and accurate, and portrays all of the feelings that Al Shafei has around her spyware encounters. Her Majal team has "faced persistent targeting by sophisticated spyware technologies, firsthand, for a very long time, and this direct exposure to surveillance threats really led us to launch Surveillance Watch," she said. "We think it's very important for people to understand exactly how they're being surveilled, regardless of the why." The reality is, everybody - not just activists and politicians - is subject to surveillance, whether it's from smart-city technologies, Ring doorbell cameras, or connected cars. Users will always choose simplicity over security, and the same can be said for data privacy. "We want to show that when surveillance goes not just unnoticed, but when we start normalizing it in our everyday habits, we look at a new, shiny AI tool, and we say, 'Yes, of course, take access to all my data,'" Al Shafei said. "There's a convenience that comes with using all of these apps, tracking all these transactions, and people don't realize that this data can and does get weaponized against you, and not just against you, but also your loved ones." ®

Con la piena entrata in vigore del Regolamento UE 1083/2024 sulla libertà dei media, noto come European Media Freedom Act (EMFA), si può sostenere che l’8 agosto ha rappresentato un momento di svolta per la tutela della libertà di informazione nell’Unione europea. L’UE ha stabilito un quadro normativo vincolante e innovativo per proteggere il pluralismo, l’indipendenza e l’integrità del sistema mediatico in tutti gli Stati membri. Indice degli argomenti L’European Media Freedom Act (EMFA) entrerà in vigore l’8 maggio 2027. L’unica disposizione ancora pendente è l’articolo 20 sul diritto degli utenti a personalizzare la fruizione dell’offerta mediatica sui propri dispositivi (in sostanza l’assegnazione dei canali ai vari media). La libertà di informazione è un pilastro fondamentale di ogni democrazia. Con l’entrata in vigore del European Media Freedom Act (EMFA), l’Unione Europea si propone di rafforzare questa libertà proteggendo i giornalisti, le loro fonti e l’indipendenza dei media da pressioni politiche, sorveglianza e disinformazione. Questo regolamento non tutela soltanto chi fa informazione, ma innanzitutto i cittadini, garantendo loro un accesso più libero, trasparente e pluralista alle notizie. In un’epoca in cui le minacce al diritto all’informazione corretta sono sempre più diffuse, l’EMFA rappresenta uno strumento concreto per assicurare che l’informazione rimanga uno spazio sicuro e affidabile per tutta la società europea. Uno dei capisaldi dell’EMFA è la protezione delle fonti giornalistiche, riconosciuta come condizione essenziale per la libertà di informazione. Senza la garanzia che le fonti possano parlare in sicurezza, il giornalismo d’inchiesta e il controllo sul potere rischiano di essere neutralizzati. Il regolamento (art. 4) stabilisce fra l’altro un divieto generale dell’uso di software di sorveglianza, spyware o tecniche invasive contro giornalisti e le loro fonti. Tale divieto è assoluto, salvo eccezioni rigorosamente circoscritte: solo in caso di reati di particolare gravità, come terrorismo, criminalità organizzata o minacce alla sicurezza dello Stato, e sempre previa autorizzazione di un’autorità giudiziaria indipendente. La decisione deve essere motivata in base ai principi di necessità e proporzionalità, con limiti precisi nel tempo e nell’ambito di applicazione. Questa tutela si estende a tutti i giornalisti, indipendentemente dal loro status contrattuale: non solo ai redattori in regola con un’azienda editoriale, ma anche ai freelance, ai collaboratori occasionali e a chiunque svolga in modo professionale attività di informazione. L’EMFA riconosce così che la funzione di controllo sociale non ha confini contrattuali. L’ordinamento italiano già prevede forme di protezione delle fonti, in particolare attraverso l’articolo 200 del codice di procedura penale e la legge n. 69/1963, che riconoscono al giornalista il diritto di non rivelare l’identità della fonte. Tuttavia, l’EMFA sottolinea l’importanza del controllo giudiziario e una maggiore chiarezza sulle condizioni di deroga. In Italia, la rivelazione della fonte è ammessa solo se indispensabile per l’accertamento della verità in un procedimento penale e limitatamente a reati gravi. La richiesta deve essere autorizzata da un giudice, che ha il compito di bilanciare il diritto alla giustizia con il diritto del pubblico a essere informato. In teoria un quadro giuridico già sulla linea dei principi europei anche se vicende recenti, da Pegasus, su cui si è attivato il Parlamento europeo, al recente Paragon che in entrambi i casi hanno interessato anche giornalisti lascia intendere come la questione sia ambivalente e non solo in Italia. L’EMFA impone quindi un miglioramento concreto delle condotte. La riservatezza delle fonti non è solo una questione giuridica, ma anche tecnologica e organizzativa. L’European Media Freedom Act (EMFA) si integra pienamente con il Regolamento UE 2016/679 (GDPR), che consente il trattamento di dati personali nell’ambito dell’attività giornalistica, purché nel rispetto dei principi di necessità, proporzionalità e finalità legittime. Inoltre, per le attività di indagine penale, si applica la Direttiva UE 2016/680, recepita in Italia con il decreto legislativo 51/2018, che disciplina il trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati. La protezione delle fonti richiede non solo un quadro giuridico solido, ma anche strumenti tecnologici avanzati: comunicazioni crittografate, sistemi di archiviazione sicura, reti protette e formazione continua del personale. La sicurezza informatica diventa così un elemento centrale della deontologia giornalistica. In questo contesto, il Garante per la protezione dei dati personali si trova a svolgere un ruolo cruciale. Ha più volte ribadito l’importanza di limitare al massimo le interferenze con la riservatezza delle fonti e di garantire un controllo giudiziario rigoroso. A livello europeo, il Garante partecipa al Comitato europeo per la protezione dei dati (EDPB) che dovrebbe impostare proficui contatti con il Comitato europeo per i servizi di media (Media board), organismo previsto dall’European Media Freedom Act (EMFA), per assicurare un’attuazione coerente e rispettosa dei diritti fondamentali e che raccolgie il testimone dal precedente Gruppo dei regolatori europei per i servizi di media audiovisivi. Composto da un rappresentante per ciascuno Stato membro, designato tra le autorità nazionali competenti in materia di media o protezione dei dati, il Media Board è affiancato da esperti indipendenti nominati dalla Commissione europea. Opera con piena autonomia, senza ingerenze politiche, e dispone di una segreteria tecnica fornita dalla Commissione. Pur non avendo potere sanzionatorio diretto, il Media Board può esercitare un’influenza strategica attraverso il monitoraggio strutturale della situazione dei media in Europa. Ha il compito di rilevare minacce all’indipendenza editoriale, segnalare concentrazioni di potere mediatico, analizzare l’uso di spyware e valutare l’impatto delle pubblicità pubbliche sul pluralismo. Su queste basi, può emettere pareri o fungere da mediatore nei confronti delle entità coinvolte. Inoltre, elabora una relazione annuale sulla libertà dei media nell’UE, che può innescare procedure di infrazione in caso di violazioni sistemiche. La sua forza risiede nella trasparenza, nell’indipendenza e nell’autorevolezza tecnica, che ne fanno un riferimento essenziale per giornalisti, autorità nazionali e cittadini. In oltre, gli operatori dei media sono tenuti a rispettare la privacy: in materia si evidenziano il Codice privacy – Titolo XII “ Giornalismo, libertà di informazione e di espressione” nonché le Regole deontologiche sull’attività giornalistica emanate dal Garante privacy. L’European Media Freedom Act (Emfa) rafforza la tutela delle fonti e la protezione dei whistleblower, rafforzando la cogenza della Direttiva UE 2019/1937 sulla protezione dei segnalanti e del relativo recepimento nel diritto dei diversi Paesi (in Italia con il decreto legislativo 24/2023. In particolare la normativa sul whistleblowing tutela della riservatezza del whistleblower anche nel caso di divulgazione pubblica (art. 15), al ricorrere di alcune condizioni, aggiungendo che “Restano ferme le norme sul segreto professionale degli esercenti la professione giornalistica, con riferimento alla fonte della notizia”. Tale tutela trova ulteriore protezione dall’art. 4 comma 3 dell’EMFA secondo cui “Gli Stati membri provvedono affinché le fonti giornalistiche e le comunicazioni riservate siano efficacemente protette” e vietando fra l’altro l’uso di spyware senza autorizzazione giudiziaria. La protezione delle fonti giornalistiche prevista dall’EMFA diventa così uno strumento complementare e potenziato per i whistleblower che scelgono di rivolgersi ai media quando non siano risultati percorribili i canali interno ed esterno o in casi di particolare gravità. Il divieto EMFA di sorveglianza invasiva e l’obbligo di autorizzazione giudiziaria proteggono non solo il giornalista, ma anche chi decide di parlare. Inoltre, la trasparenza sulla proprietà dei media e sui finanziamenti pubblici rende più difficile il ritorsione occulte contro chi osa denunciare. In sinergia con la normativa sul whistleblowing, l’EMFA contribuisce a creare un ecosistema di accountability in cui la divulgazione di informazioni sensibili è protetta, incoraggiata e resa più efficace. I media non sono più solo canali passivi di informazione, ma attori attivi nella difesa dell’integrità istituzionale. L’EMFA non è solo una norma tecnica: è un atto giuridico di riaffermazione dei valori democratici. In un’epoca in cui la disinformazione, la polarizzazione e le ingerenze esterne minacciano la coesione sociale, il regolamento riafferma che un sistema mediatico libero, pluralista e indipendente è una condizione necessaria per la sopravvivenza della democrazia. Il suo impatto va oltre la redazione o il singolo giornalista: tocca il cittadino, che ha diritto a un’informazione veritiera e pluralista; tocca le istituzioni, che devono rendere conto del proprio operato; tocca l’Unione stessa, che dimostra di saper agire come garante dei diritti fondamentali anche nei settori più complessi. In questo scenario, il ruolo dei Data Protection Officer (DPO) nelle redazioni e nelle imprese editoriali assume un valore strategico. Essi non sono più semplici tecnici della compliance, ma custodi della libertà di informazione, chiamati a garantire che le redazioni rispettino i nuovi standard di protezione delle fonti, sicurezza informatica e trasparenza. Devono formare il personale, progettare canali sicuri di comunicazione, supportare il management nelle interazioni con le autorità e contribuire a costruire una cultura aziendale basata sulla responsabilità e sulla fiducia. Il successo dell’EMFA dipenderà dalla capacità di tradurre questi principi in pratica quotidiana. Non basta avere norme avanzate. Occorre volontà politica, investimenti in sicurezza, formazione e una collaborazione attiva tra autorità nazionali, istituzioni europee e mondo dell’informazione. Il Media Board, i Garanti nazionali, i giornalisti e i DPO sono chiamati a collaborare in un nuovo modello di governance condivisa della libertà dei media. L’EFMA è solo un punto di partenza Con l’EMFA, l’Europa ha tracciato una rotta chiara: bisogna seguirla. Il disegno regolamentare, direttamente applicabile nei Paesi dell’UE, per essere realtà necessita però di alcuni interventi per diventare anche realtà. È utile ricordare alcuni dei principali snodi che ogni Paese dovrebbe garantire: garanzie per il funzionamento indipendente dei fornitori di media di servizio pubblico (art. 5); l’istituzione di una banca dati nazionale sui proprietari dei media e degli introiti pubblicitari pubblici (anche di altri Paesi); la definizione di norme sostanziali e procedurali che consentono una valutazione delle concentrazioni del mercato dei media che potrebbero avere un impatto significativo sul pluralismo dei media e sull’indipendenza editoriale (art. 22); sistemi di misurazione dell’audience che rispettino i principi di trasparenza, imparzialità, inclusività, proporzionalità, non discriminazione, comparabilità e verificabilità. Solo garantendo questi presupposti sarà possibile rendere l’EMFA non solo una cornice normativa, ma un modello operativo europeo di libertà mediatica. Un fine tuning andrebbe, al riguardo, effettuato in ogni Paese, anche in Italia. Un aspetto ancora poco esplorato, ma cruciale anche per l’attuazione dell’EMFA, riguarda i DPO operanti dell’apparato magistratura – intelligence – forze dell’ordine. Laddove l’attività investigativa possa interferire con la sfera di protezione delle fonti giornalistiche, il DPO è chiamato a svolgere una funzione di garanzia interna: vigilare affinché ogni trattamento di dati avvenga nel pieno rispetto dei principi di proporzionalità, necessità e finalità legittima. La loro presenza diventa essenziale in almeno quattro direttrici operative: Controllo delle misure invasive. I DPO dovrebbero essere coinvolti nella definizione di processi e procedure inerenti all’uso di strumenti ad alto impatto (per esempio, spyware, intercettazioni digitali, sorveglianza occulta) verificando che ciò avvenga previo atto di autorizzazione giudiziaria motivato, limitato nel tempo e circoscritto all’oggetto dell’indagine. Coordinamento inter-istituzionale. In situazioni che coinvolgono giornalisti o whistleblower, il DPO delle forze dell’ordine dovrebbe favorire un dialogo istituzionalizzato con i DPO delle redazioni, promuovendo linee guida condivise per la gestione sicura dei dati senza compromettere la libertà di stampa. Formazione e sensibilizzazione. I DPO hanno anche il compito di promuovere programmi di formazione destinati agli operatori di polizia e sicurezza, illustrando i limiti imposti dall’EMFA, le garanzie per le fonti e le conseguenze legali delle violazioni. Le nuove disposizioni dell’EMFA incidono direttamente sulle modalità operative delle forze dell’ordine, imponendo un ripensamento degli strumenti tecnologici nei confronti degli operatori dei media informativi: il divieto di spyware indiscriminato e l’obbligo di autorizzazione giudiziaria stringente obbligano a integrare sistemi di sorveglianza più mirati, con registrazione delle operazioni e verifiche indipendenti. In questo scenario, il DPO non rappresenta solo un presidio formale di conformità, ma una figura di responsabilità sostanziale, capace di bilanciare le esigenze investigative con la tutela dei diritti fondamentali, riducendo il rischio di contenziosi e di violazioni sistemiche che potrebbero minare la fiducia dei cittadini.

First Wap: A Surveillance Computer You’ve Never Heard Of Mother Jones has a long article on surveillance arms manufacturers, their wares, and how they avoid export control laws: Operating from their base in Jakarta, where permissive export laws have allowed their surveillance business to flourish, First Wap’s European founders and executives have quietly built a phone-tracking empire, with a footprint extending from the Vatican to the Middle East to Silicon Valley. It calls its proprietary system Altamides, which it describes in promotional materials as “a unified platform to covertly locate the whereabouts of single or multiple suspects in real-time, to detect movement patterns, and to detect whether suspects are in close vicinity with each other.” Altamides leaves no trace on the phones it targets, unlike spyware such as Pegasus. Nor does it require a target to click on a malicious link or show any of the telltale signs (such as overheating or a short battery life) of remote monitoring. Its secret is shrewd use of the antiquated telecom language Signaling System No. 7, known as SS7, that phone carriers use to route calls and text messages. Any entity with SS7 access can send queries requesting information about which cell tower a phone subscriber is nearest to, an essential first step to sending a text message or making a call to that subscriber. But First Wap’s technology uses SS7 to zero in on phone numbers and trace the location of their users. Much more in this Lighthouse Reports analysis.

Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione. Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica. C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale. Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/

It’s easy to think your defenses are solid — until you realize attackers have been inside them the whole time. The latest incidents show that long-term, silent breaches are becoming the norm. The best defense now isn’t just patching fast, but watching smarter and staying alert for what you don’t expect. Here’s a quick look at this week’s top threats, new tactics, and security stories shaping the landscape. ⚡ Threat of the Week F5 Exposed to Nation-State Breach — F5 disclosed that unidentified threat actors broke into its systems and stole files containing some of BIG-IP's source code and information related to undisclosed vulnerabilities in the product. The company said it learned of the incident on August 9, 2025, although it's believed that the attackers were in its network for at least 12 months. The attackers are said to have used a malware family called BRICKSTORM, which is attributed to a China-nexus espionage group dubbed UNC5221. GreyNoise said it observed elevated scanning activity targeting BIG-IP in three waves on September 23, October 14, and October 15, 2025, but emphasized the anomalies may not necessarily relate to the hack. Censys said it identified over 680,000 F5 BIG-IP load balancers and application gateways visible on the public internet, with the majority of hosts located in the U.S., followed by Germany, France, Japan, and China. Not all identified systems are necessarily vulnerable, but each represents a publicly accessible interface that should be inventoried, access-restricted, and patched proactively as a precautionary measure. "Edge infrastructure and security vendors remain prime targets for long-term, often state-linked threat actors," John Fokker, vice president of threat intelligence strategy at Trellix, said. "Over the years, we have seen nation-state interest in exploiting vulnerabilities in edge devices, recognizing their strategic position in global networks. Incidents like these remind us that strengthening collective resilience requires not only hardened technology but also open collaboration and intelligence sharing across the security community." Zero Trust + AI: Thrive in the AI Era and Empower Your Workforce It’s no surprise, hackers are using AI in creative ways to compromise users and breach organizations. Zscaler Zero Trust + AI helps defeat ransomware and AI-power attacks today by enabling you to detect and block advanced threats, and discover and classify sensitive data everywhere. Learn more about Zscaler Zero Trust + AI ➝ 🔔 Top News N. Korea Uses EtherHiding to Hide Malware Inside Blockchain Smart Contracts — North Korean threat actors have been observed leveraging the EtherHiding technique to distribute malware and enable cryptocurrency theft, marking the first time a state-sponsored hacking group has embraced the method. The activity has been attributed to a cluster tracked as UNC5342 (aka Famous Chollima). The attack wave is part of a long-running campaign codenamed Contagious Interview, wherein the attackers approach potential targets on LinkedIn by posing as recruiters or hiring managers, and trick them into running malicious code under the pretext of a job assessment after shifting the conversation to Telegram or Discord. In the latest attack waves observed since February 2025, the threat actors use a JavaScript downloader that interacts with a malicious BSC smart contract to download JADESNOW, which subsequently queries the transaction history associated with an Ethereum address to fetch the JavaScript version of InvisibleFerret. LinkPro Linux Rootkit Spotted in the Wild — An investigation into the compromise of an Amazon Web Services (AWS)-hosted infrastructure led to the discovery of a new GNU/Linux rootkit dubbed LinkPro. The backdoor features functionalities relying on the installation of two extended Berkeley Packet Filter (eBPF) modules to conceal itself and to be remotely activated upon receiving a magic packet - a TCP SYN packet with a specific window size (54321) that signals the rootkit to await further instructions within a one-hour window, allowing it to evade traditional security defenses. The commands supported by LinkPro include executing /bin/bash in a pseudo-terminal, running a shell command, enumerating files and directories, performing file operations, downloading files, and setting up a SOCKS5 proxy tunnel. It's currently not known who is behind the attack, but it's suspected that the threat actors are financially motivated. Zero Disco Campaign Targets Cisco Devices with Rootkits — A new campaign has exploited a recently disclosed security flaw impacting Cisco IOS Software and IOS XE Software to deploy Linux rootkits on older, unprotected systems. The activity, codenamed Operation Zero Disco by Trend Micro, involves the weaponization of CVE-2025-20352 (CVSS score: 7.7), a stack overflow vulnerability in the Simple Network Management Protocol (SNMP) subsystem that could allow an authenticated, remote attacker to execute arbitrary code by sending crafted SNMP packets to a susceptible device. The operation primarily impacted Cisco 9400, 9300, and legacy 3750G series devices, Trend Micro said. The intrusions have not been attributed to any known threat actor or group. Pixnapping Attack Leads to Data Theft on Android Devices — Android devices from Google and Samsung have been found vulnerable to a side-channel attack that could be exploited to covertly steal two-factor authentication (2FA) codes, Google Maps timelines, and other sensitive data without the users' knowledge pixel-by-pixel. The attack has been codenamed Pixnapping. Google is tracking the issue under the CVE identifier CVE-2025-48561 (CVSS score: 5.5). Patches for the vulnerability were issued by the tech giant as part of its September 2025 Android Security Bulletin, with additional fixes forthcoming in December. Chinese Threat Actors Exploited ArcGIS Server as Backdoor — Threat actors with ties to China have been attributed to a novel campaign that compromised an ArcGIS system and turned it into a backdoor for more than a year. The activity is the handiwork of a Chinese state-sponsored hacking group called Flax Typhoon, which is also tracked as Ethereal Panda and RedJuliett. "The group cleverly modified a geo-mapping application's Java server object extension (SOE) into a functioning web shell," ReliaQuest said. "By gating access with a hardcoded key for exclusive control and embedding it in system backups, they achieved deep, long-term persistence that could survive a full system recovery." The attack chain involved the threat actors targeting a public-facing ArcGIS server that was linked to a private, internal ArcGIS server by compromising a portal administrator account to deploy a malicious SOE, thereby allowing them to blend in with normal traffic and maintain access for extended periods. The attackers then instructed the public-facing server to create a hidden directory to serve as the group's "private workspace." They also blocked access to other attackers and admins with a hard-coded key. The findings demonstrate Flax Typhoon's consistent modus operandi of quietly turning an organization's own tools against itself rather than using sophisticated malware or exploits. ️🔥 Trending CVEs Hackers move fast. They often exploit new vulnerabilities within hours, turning a single missed patch into a major breach. One unpatched CVE can be all it takes for a full compromise. Below are this week’s most critical vulnerabilities gaining attention across the industry. Review them, prioritize your fixes, and close the gap before attackers take advantage. This week’s list includes — CVE-2025-24990, CVE-2025-59230 (Microsoft Windows), CVE-2025-47827 (IGEL OS before 11), CVE-2023-42770, CVE-2023-40151 (Red Lion Sixnet RTUs), CVE-2025-2611 (ICTBroadcast), CVE-2025-55315 (Microsoft ASP.NET Core), CVE-2025-11577 (Clevo UEFI firmware), CVE-2025-37729 (Elastic Cloud Enterprise), CVE-2025-9713, CVE-2025-11622 (Ivanti Endpoint Manager), CVE-2025-48983, CVE-2025-48984 (Veeam), CVE-2025-11756 (Google Chrome), CVE-2025-49201 (Fortinet FortiPAM and FortiSwitch Manager), CVE-2025-58325 (Fortinet FortiOS CLI), CVE-2025-49553 (Adobe Connect collaboration suite), CVE-2025-9217 (Slider Revolution plugin), CVE-2025-10230 (Samba), CVE-2025-54539 (Apache ActiveMQ), CVE-2025-41703, CVE-2025-41704, CVE-2025-41706, CVE-2025-41707 (Phoenix Contact QUINT4), and CVE-2025-11492, CVE-2025-11493 (ConnectWise Automate). 📰 Around the Cyber World Microsoft Unveils New Security Improvements — Microsoft revealed that "parts of the kernel in Windows 11 have been rewritten in Rust, which helps mitigate against memory corruption vulnerabilities like buffer overflows and helps reduce attack surfaces." The company also noted that it's taking steps to secure AI-powered agentic experiences on the operating system by ensuring that they operate with limited permissions and only obtain access to resources users' explicitly provide permission to. In addition, Microsoft said agents that integrate with Windows must be cryptographically signed by a trusted source so that they can be revoked if found to be malicious. Each AI agent will also run under its own dedicated agent account that's distinct from the user account on the device. "This facilitates agent-specific policy application that can be different from the rules applied to other accounts like those for human users," it said. SEO Campaign Uses Fake Ivanti Installers to Steal Credentials — A new attack campaign has leveraged SEO poisoning to lure users into downloading a malicious version of the Ivanti Pulse Secure VPN client. The activity targets users searching for legitimate software on search engines like Bing, redirecting them to attacker-controlled lookalike websites (ivanti-pulsesecure[.]com or ivanti-secure-access[.]org). The goal of this attack is to steal VPN credentials from the victim's machine, enabling further compromise. "The malicious installer, a signed MSI file, contains a credential-stealing DLL designed to locate, parse, and exfiltrate VPN connection details," Zscaler said. "The malware specifically targets the connectionstore.dat file to steal saved VPN server URIs, which it combines with hardcoded credentials for exfiltration. Data is sent to a command-and-control (C2) server hosted on Microsoft Azure infrastructure." Qilin's Ties with BPH Providers Exposed — Cybersecurity researchers from Resecurity examined Qilin ransomware group's "close affiliation" with underground bulletproof hosting (BPH) operators, finding that the e-crime actor has not only relied on Cat Technologies Co. Limited. (which, in turn, is hosted on an IP address tied to Aeza Group) for hosting its data leak site, but also advertised services like BEARHOST Servers (aka Underground) on its WikiLeaksV2 site, where the group publishes content about their activities. BEARHOST has been operational since 2016, offering its services for anywhere from $95 to $500. While BEARHOST abruptly announced the stoppage of its service on December 28, 2024, it is assessed that the threat actors have taken the BPH service into private mode, catering only to trusted and vetted underground actors. On May 8, 2025, it resurfaced as Voodoo Servers, only for the operators to terminate the service again towards the end of the month, citing political reasons. "The actors decided to disappear through an 'exit scam' scenario, keeping the underground audience completely clueless," Resecurity said. "Notably, the legal entities behind the service continue their operations." Notably, Cat Technologies Co. Limited. also shares links to shadowy entities like Red Bytes LLC, Hostway, Starcrecium Limited, and Chang Way Technologies Co. Limited, the last of which has been associated with extensive malware activity, hosting command-and-control (C2) servers of Amadey, StealC, and Cobalt Strike used by cybercriminals. Another entity of note is Next Limited, which shares the same Hong Kong address as Chang Way Technologies Co. Limited and has been attributed to malicious activity in connection with Proton66. U.S. Judge Bars NSO Group from Targeting WhatsApp — A U.S. judge barred NSO Group from targeting WhatsApp users and cut the punitive damages verdict awarded to Meta by a jury in May 2025 to $4 million, because the court did not have enough evidence to determine that NSO Group's behavior was "particularly egregious." The permanent injunction handed out by U.S. District Judge Phyllis Hamilton means that the Israeli vendor cannot use WhatsApp as a way to infect targets' devices. As a refresher, Meta sued the NSO Group in 2019 over the use of Pegasus spyware by exploiting a then-zero-day flaw in the messaging app to spy on 1,400 people from 20 countries, including journalists and human rights activists. It was fined close to $168 million earlier this May. The proposed injunction requires NSO Group to delete and destroy computer code related to Meta's platforms, and she concluded that the provision is "necessary to prevent future violations, especially given the undetectable nature of defendants' technology." Google's Privacy Sandbox Initiative is Officially Dead — In 2019, Google launched an initiative called Privacy Sandbox to come up with privacy-enhancing alternatives to replace third-party cookies on the web. However, with the company abandoning its plans to deprecate third-party tracking cookies, the project appears to be winding down. To that end, the tech giant said it's retiring the following Privacy Sandbox technologies citing low levels of adoption: Attribution Reporting API (Chrome and Android), IP Protection, On-Device Personalization, Private Aggregation (including Shared Storage), Protected Audience (Chrome and Android), Protected App Signals, Related Website Sets (including requestStorageAccessFor and Related Website Partition), SelectURL, SDK Runtime and Topics (Chrome and Android). In a statement shared with Adweek, the company said it will continue to work to improve privacy across Chrome, Android, and the web, but not under the Privacy Sandbox branding. Russia Blocks Foreign SIM Cards — Russia said it's taking steps to temporarily block mobile internet for foreign SIM cards, citing national security reasons. The new rule imposes a mandatory 24-hour mobile internet blackout for anyone entering Russia with a foreign SIM card. Flaw in CORS headers in Web Browsers Disclosed — The CERT Coordination Center (CERT/CC) disclosed details of a vulnerability in cross-origin resource sharing (CORS) headers in Chromium, Google Chrome, Microsoft Edge, Safari, and Firefox that enables the CORS policy to be manipulated. This can be combined with DNS rebinding techniques to issue arbitrary requests to services listening on arbitrary ports, regardless of the CORS policy in place by the target. "An attacker can use a malicious site to execute a JavaScript payload that periodically sends CORS headers in order to ask the server if the cross-origin request is safe and allowed," CERT/CC explained. "Naturally, the attacker-controlled hostname will respond with permissive CORS headers that will circumvent the CORS policy. The attacker then performs a DNS rebinding attack so that the hostname is assigned the IP address of the target service. After the DNS responds with the changed IP address, the new target inherits the relaxed CORS policy, allowing an attacker to potentially exfiltrate data from the target." Mozilla is tracking the vulnerability as CVE-2025-8036. Phishing Campaigns Use Microsoft's Logo for Tech Support Scams — Threat actors are exploiting Microsoft's Name and branding in phishing emails to lure users into fraudulent tech support scams. The messages contain links that, when clicked, take the victims to a fake CAPTCHA challenge, after which they are redirected to a phishing landing page to unleash the next stage of the attack. "After passing the captcha verification, the victim is suddenly visually overloaded with several pop-ups that appear to be Microsoft security alerts," Cofense said. "Their browser is manipulated to appear locked, and they lose the ability to locate or control their mouse, which adds to the feeling that the system is compromised. This involuntary loss of control creates a faux ransomware experience, leading the user to believe their computer is locked and to take immediate action to remedy the infection." From there, users are instructed to call a number to reach Windows Support, at which they are connected to a bogus technician to take the attack forward. "The threat actor could exploit further by asking the user to provide account credentials or persuade the user to install remote desktop tools, allowing full access to their system," the company said. Taxpayers, Drivers Targeted in Refund and Road Toll Smishing Scams — A smishing campaign has leveraged at least 850 newly-registered domain names in September and early October to target people living in the U.S., the U.K., and elsewhere with phishing links that use tax refunds, road toll charges, or failed package deliveries as a lure. The websites, designed to be loaded only when launched from a mobile device, claim to provide information about their tax refund status or obtain a subsidy of up to £300 to help offset winter fuel costs (note: this is a real U.K. government initiative), only to prompt them to provide personal details such as name, home address, telephone number and email address, as well as payment card information. The entered data is exfiltrated to the attackers over the WebSocket protocol. Some of the scam websites have also been found to target Canadian, German, and Spanish residents and visitors, per Netcraft. Meta's New Collage Feature May Use Photos in Phone's Camera Roll — Meta is officially rolling out a new opt-in feature to Facebook users in the U.S. and Canada to suggest the best photos and videos from users' camera roll and create collages and edits. "With your permission and the help of AI, our new feature enables Facebook to automatically surface hidden gems – those memorable moments that get lost among screenshots, receipts, and random snaps – and edit them to save or share," the company said. The feature was first tested back in late June 2025. The social media company emphasized that the suggestions are private and that it does not use media obtained from users' devices via the camera roll to train its models, unless users opt to edit the media with their AI tools or publish those suggestions to Facebook. Users who wish to opt out of the feature can do so by navigating Settings and Privacy > Settings > Preferences > Camera Roll Sharing Suggestions. Fake Homebrew, TradingView, LogMeIn Sites Serve Stealer Malware Targeting Macs — Threat actors are employing social engineering tactics to trick users into visiting fake websites impersonating trusted platforms like as Homebrew, TradingView, and LogMeIn, where they are instructed to copy and run a malicious command on the Terminal app as part of ClickFix-style attacks, resulting in the deployment of stealer malware such as Atomic Stealer and Odyssey Stealer. "More than 85 phishing domains were identified, connected through shared SSL certificates, payload servers, and reused infrastructure," Hunt.io said. "The findings suggest a coordinated and ongoing campaign in which operators continuously adapt their infrastructure and tactics to maintain persistence and evade detection within the macOS ecosystem." It's suspected that users are driven to these websites via sponsored ads on search engines like Bing and Google. Dutch Data Protection Watchdog Fines Experian $3.2 Million for Privacy Violations — The Dutch Data Protection Authority (DPA) imposed a fine of €2.7 million ($3.2 million) on Experian Netherlands for collecting data in contravention of the E.U. General Data Protection Regulation (GDPR). The DPA said the consumer credit reporting company gathered information on people from both public and non-public sources and failed to make it clear why the collection of certain data was necessary. In addition to the penalty, Experian is expected to delete the database of personal data by the end of the year. The company has also ceased its operations in the country. "Until January 1, 2025, Experian provided credit assessments about individuals to its clients," the DPA said. "To do this, the company collected data such as negative payment behavior, outstanding debts, or bankruptcies. The AP found that Experian violated the law by unlawfully using personal data." Threat Actors Send Fake Password Manager Breach Alerts — Bad actors are sending phishing alerts claiming that their password manager accounts for 1Password and Lastpass have been compromised in order to trick users into providing their passwords and hijack their accounts. In response to the attack, LastPass said it has not been hacked and that it's an attempt on the part of the attackers to generate a false sense of urgency. In some cases spotted by Bleeping Computer, the activity has also been found to urge recipients to install a more secure version of the password manager, resulting in the deployment of a legitimate remote access software called Syncro. The software vendor has since moved to shut down the malicious accounts to prevent further installs. SocGholish MaaS Detailed — LevelBlue has published an analysis of a threat activity cluster known as SocGholish (aka FakeUpdates), which is known to be active since 2017, leveraging fake web browser update prompts on compromised websites as a lure to distribute malware. Victims are typically routed through Traffic Distribution Systems (TDS) like Keitaro and Parrot TDS to filter users based on specific factors such as geography, browser type, or system configuration, ensuring that only the intended targets are exposed to the payload. It's offered under a malware-as-a-service (MaaS) by a financially motivated cybercrime group called TA569. SocGholish stands out for its ability to turn legitimate websites into large-scale distribution platforms for malware. Acting as an initial access broker (IAB), its operations profit from follow-on compromises by other actors. "Once executed, its payloads range from loaders and stealers to ransomware, allowing for extensive follow-up exploitation," LevelBlue said. "This combination of broad reach, simple delivery mechanisms, and flexible use by multiple groups makes SocGholish a persistent and dangerous threat across industries and regions." One of its primary users is Evil Corp, with the malware also used to deliver RansomHub in early 2025. 🎥 Cybersecurity Webinars The Practical Framework to Govern AI Agents Without Slowing Innovation → AI is changing everything fast — but for most security teams, it still feels like a fight just to keep up. The goal isn’t to slow innovation with more controls; it’s to make those controls work for the business. By building security into AI from the start, you can turn what used to be a bottleneck into a real accelerator for growth and trust. The Future of AI in GRC: Turning Risk Into a Compliance Advantage - AI is changing how companies manage risk and compliance — fast. It brings big opportunities but also new challenges. This webinar shows you how to use AI safely and effectively in GRC, avoid common mistakes, and turn complex rules into a real business advantage. Workflow Clarity: How to Blend AI and Human Effort for Real Results - Too many teams are rushing to “add AI” without a plan — and ending up with messy, unreliable workflows. Join us to learn a clearer approach: how to use AI thoughtfully, simplify automation, and build systems that scale securely. 🔧 Cybersecurity Tools Beelzebub - It turns honeypot deployment into a powerful, low-code experience. It uses AI to simulate real systems, helping security teams detect attacks, track emerging threats, and share insights through a global threat intelligence network. NetworkHound - It maps your Active Directory network from the inside out. It discovers every device — domain-joined or shadow-IT — validates SMB and web services, and builds a full BloodHound-compatible graph so you can see and secure your environment clearly. Disclaimer: These tools are for educational and research use only. They haven’t been fully security-tested and could pose risks if used incorrectly. Review the code before trying them, test only in safe environments, and follow all ethical, legal, and organizational rules. 🔒 Tip of the Week Most Cloud Breaches Aren’t Hacks — They’re Misconfigurations. Here’s How to Fix Them — Cloud storage buckets like AWS S3, Azure Blob, and Google Cloud Storage make data sharing easy — but one wrong setting can expose everything. Most data leaks happen not because of hacking, but because someone left a public bucket, skipped encryption, or used a test bucket that never got locked down. Cloud platforms give you flexibility, not guaranteed safety, so you need to check and control access yourself. Misconfigurations usually happen when permissions are too broad, encryption is disabled, or visibility is lost across multiple clouds. Doing manual checks doesn’t scale — especially if you manage data in AWS, Azure, and GCP. The fix is using tools that automatically find, report, and even fix unsafe settings before they cause damage. ScoutSuite is a strong starting point for cross-cloud visibility. It scans AWS, Azure, and GCP for open buckets, weak IAM roles, and missing encryption, then creates an easy-to-read HTML report. Prowler goes deeper into AWS, checking S3 settings against CIS and AWS benchmarks to catch bad ACLs or unencrypted buckets. For ongoing control, Cloud Custodian lets you write simple policies that automatically enforce rules — for example, forcing all new buckets to use encryption. And CloudQuery can turn your cloud setup into a searchable database, so you can monitor changes, track compliance, and visualize risks in one place. The best approach is to combine them: run ScoutSuite or Prowler weekly to find issues, and let Cloud Custodian handle automatic fixes. Even a few hours spent setting these up can stop the kind of data leaks that make headlines. Always assume every bucket is public until proven otherwise — and secure it like it is. Conclusion The truth is, no tool or patch will ever make us fully secure. What matters most is awareness — knowing what’s normal, what’s changing, and how attackers think. Every alert, log, or minor anomaly is a clue. Keep connecting those dots before someone else does.

Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione. Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica. C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale. Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/

Apple’s New Memory Integrity Enforcement Apple has introduced a new hardware/software security feature in the iPhone 17: “Memory Integrity Enforcement,” targeting the memory safety vulnerabilities that spyware products like Pegasus tend to use to get unauthorized system access. From Wired: In recent years, a movement has been steadily growing across the global tech industry to address a ubiquitous and insidious type of bugs known as memory-safety vulnerabilities. A computer’s memory is a shared resource among all programs, and memory safety issues crop up when software can pull data that should be off limits from a computer’s memory or manipulate data in memory that shouldn’t be accessible to the program. When developers—even experienced and security-conscious developers—write software in ubiquitous, historic programming languages, like C and C++, it’s easy to make mistakes that lead to memory safety vulnerabilities. That’s why proactive tools like special programming languages have been proliferating with the goal of making it structurally impossible for software to contain these vulnerabilities, rather than attempting to avoid introducing them or catch all of them. […] With memory-unsafe programming languages underlying so much of the world’s collective code base, Apple’s Security Engineering and Architecture team felt that putting memory safety mechanisms at the heart of Apple’s chips could be a deus ex machina for a seemingly intractable problem. The group built on a specification known as Memory Tagging Extension (MTE) released in 2019 by the chipmaker Arm. The idea was to essentially password protect every memory allocation in hardware so that future requests to access that region of memory are only granted by the system if the request includes the right secret. Arm developed MTE as a tool to help developers find and fix memory corruption bugs. If the system receives a memory access request without passing the secret check, the app will crash and the system will log the sequence of events for developers to review. Apple’s engineers wondered whether MTE could run all the time rather than just being used as a debugging tool, and the group worked with Arm to release a version of the specification for this purpose in 2022 called Enhanced Memory Tagging Extension. To make all of this a constant, real-time defense against exploitation of memory safety vulnerabilities, Apple spent years architecting the protection deeply within its chips so the feature could be on all the time for users without sacrificing overall processor and memory performance. In other words, you can see how generating and attaching secrets to every memory allocation and then demanding that programs manage and produce these secrets for every memory request could dent performance. But Apple says that it has been able to thread the needle.

Si chiama Memory Integrity Enforcement (MIE) la funzione che Apple ha introdotto sui nuovi modelli di iPhone, per contrastare in modo diretto lo sviluppo e l’uso di spyware. Impatto rilevante non solo sui tentativi di intrusione remota tramite strumenti di sorveglianza come Pegasus o Graphite , ma anche sulle tecniche forensi quali GrayKey o Cellebrite L'articolo Apple contro gli spyware Pegasus e Graphite: così l’iPhone 17 resiste alla tecnosorveglianza proviene da Cyber Security 360 .

WhatsApp has patched a critical zero-day vulnerability it believes was exploited in a sophisticated attack. The messaging giant revealed in a security advisory late last week that CVE-2025-55177 relates to “incomplete authorization of linked device synchronization messages.” The firm added: “It could have allowed an unrelated user to trigger processing of content from an arbitrary URL on a target’s device. We assess that this vulnerability, in combination with an OS-level vulnerability on Apple platforms (CVE-2025-43300), may have been exploited in a sophisticated attack against specific targeted users.” The Apple bug in question was described by the tech giant as an “out-of-bounds write issue” when it patched it on August 20. “Processing a malicious image file may result in memory corruption,” it said at the time. “Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals.” Given the messaging from both firms, it’s highly likely that the bugs were exploited as part of a commercial spyware campaign. In fact, this was confirmed by Donncha Ó Cearbhaill, head of the security lab at Amnesty International, where he hunts for spyware used to target civil society. In April 2023, for example, security researchers found a zero-click, zero-day exploit that targeted iPhone users with commercial spyware a couple of years previously. In that campaign, malware designed by secretive Israeli firm QuaDream was used. These exploits are particularly dangerous as they require no user interaction to work, meaning victims are completely unaware that their every move is being watched. Once installed, spyware such as this, or the infamous Pegasus variant from NSO Group, is designed to access the device camera, microphone, messages, photos and much more. NSO Group was ordered to pay $167m in damages earlier this year after a long-running legal battle with WhatsApp. It stemmed from a 2019 discovery that Pegasus had been used to target over a thousand WhatsApp users, including human rights activists, journalists and diplomats. CVE-2025-55177 impacts WhatsApp for iOS prior to v2.25.21.73, WhatsApp Business for iOS v2.25.21.78 and WhatsApp for Mac v2.25.21.78. Image credit: MardeFondos / Shutterstock.com

Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione. Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica. C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale. Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/

Cybersecurity researchers have detailed the inner workings of an Android banking trojan called ERMAC 3.0, uncovering serious shortcomings in the operators' infrastructure. "The newly uncovered version 3.0 reveals a significant evolution of the malware, expanding its form injection and data theft capabilities to target more than 700 banking, shopping, and cryptocurrency applications," Hunt.io said in a report. The latest iteration of the malware can send SMS or initiate phone calls to a phone number, set up call forwarding to a specified number, display custom push notification with, fetch Gmail email subject lines, take pictures using the front camera, launch overlays on top of financial apps, capture contact lists, SMS messages, installed apps, and remove itself from the device. ERMAC was first documented by ThreatFabric in September 2021, detailing its ability to conduct overlay attacks against hundreds of banking and cryptocurrency apps across the world. Attributed to a threat actor named DukeEugene, it's assessed to be an evolution of Cerberus and BlackRock. Other commonly observed malware families – including Hook (ERMAC 2.0), Pegasus, and Loot – possess a shared lineage: An ancestor in the form of ERMAC from which source code components have been passed down and modified through generations. Hunt.io said it managed to obtain the complete source code associated with the malware-as-a-service (MaaS) offering from an open directory on 141.164.62[.]236:443, right down to its PHP and Laravel backend, React-based frontend, Golang exfiltration server, and Android builder panel. The functions of each of the components are listed below - Backend C2 server - Provides operators the ability to manage victim devices and access compromised data, such as SMS logs, stolen accounts, and device data Frontend panel - Allows operators to interact with connected devices by issuing commands, managing overlays, and accessing stolen data Exfiltration server - A Golang server used for exfiltrating stolen data and managing information related to compromised devices ERMAC backdoor - An Android implant written in Kotlin that offers the ability to control the compromised device and collect sensitive data based on incoming commands from the C2 server, while ensuring that the infections don't touch devices located in the Commonwealth of Independent States (CIS) nations ERMAC builder - A tool to help customers configure and create builds for their malware campaigns by providing the application name, server URL, and other settings for the Android backdoor Besides an expanded set of app targets, ERMAC 3.0 adds new form injection methods, an overhauled command-and-control (C2) panel, a new Android backdoor, and AES-CBC encrypted communications. "The leak revealed critical weaknesses, such as a hardcoded JWT secret and a static admin bearer token, default root credentials, and open account registration on the admin panel," the company said. "By correlating these flaws with live ERMAC infrastructure, we provide defenders with concrete ways to track, detect, and disrupt active operations."

Security researchers attending the upcoming Pwn2Own competition in Cork have the chance to win $1m if they can find a high-impact exploit in WhatsApp. The competition organizers, Trend Micro’s Zero Day Initiative (ZDI), explained late last week that only zero-click vulnerabilities that lead to code execution would be considered for the six-figure cash prize, although smaller awards will be available for other WhatsApp exploits. “We introduced this category last year, but no one attempted it. Perhaps a number with two commas will provide the needed motivation,” said ZDI head of threat awareness, Dustin Childs. The upcoming event, which will take place in Trend Micro’s Cork office from October 21 to 24, is the second time the competition will be held in Ireland. It is focused on consumer products, with eight categories selected: Mobile phones Messaging The SOHO Smashup Smart home devices Printers NAS devices Surveillance system devices Wearables Meta is the main sponsor of the event this year, with Synology and QNAP also putting money into the competition, as well as helping to set up and configure devices for contestants to probe for bugs. As always, the idea is to incentivize some of the world’s most talented security researchers to find exploits in a range of products. This information will then be responsibly disclosed for the relevant vendors to fix, while enabling Trend Micro to protect customers with virtual patches until a full update is available. “We’ve tweaked the mobile category a bit by adding a new USB attack vector for the phones. Hopefully, we’ll see some interesting research come in demonstrating what could happen if a threat actor has physical access to your device,” said Childs. “Last year, we awarded $1,066,625 for over 70 unique zero-day vulnerabilities at the contest. We can’t wait to see if 2025 tops that number – especially with a million-dollar bounty on the table.” Mobile handsets will sit at the “heart of this event,” with contestants able to hack a Samsung Galaxy S25, Google Pixel 9 and an Apple iPhone 16. Other products in the competition will include QNAP, Ubiquiti and Nest SOHO devices, Amazon, Philips and Sonos smart home devices, Meta Quest headsets and Ray-Ban Smart Glasses. Zero-click WhatsApp exploits are often discovered and monetized by commercial spyware companies like NSO Group, which used it to deliver its notorious Pegasus malware. Image credit: Diego Thomazini / Shutterstock.com

Negli ultimi anni, la cybersecurity ha visto emergere minacce sempre più sofisticate, capaci di compromettere dispositivi e dati personali senza che l’utente compia alcuna azione. Tra queste, i cosiddetti zero-click exploit rappresentano una delle forme di attacco più insidiose e difficili da rilevare. Questi exploit permettono agli hacker di prendere il controllo di un dispositivo semplicemente inviando un messaggio o interagendo con il sistema in modi invisibili all’utente. A differenza degli attacchi tradizionali, che richiedono qualche tipo di interazione – come cliccare un link o aprire un allegato – i zero-click exploit sfruttano vulnerabilità nascoste all’interno di software o protocolli di comunicazione. Questo significa che anche senza alcuna consapevolezza o azione da parte della vittima, il malware o spyware può essere installato e attivato, con conseguenze potenzialmente gravissime sulla privacy e sicurezza. In questo articolo analizzeremo come funzionano questi attacchi invisibili, i dispositivi più a rischio, e quali strategie di protezione adottare per difendersi efficacemente. Capire come agiscono i zero-click exploit è il primo passo per mettere in sicurezza i propri dati in un mondo sempre più connesso e vulnerabile. Uno zero-click exploit è un tipo di attacco informatico che non richiede alcuna azione da parte della vittima per compromettere un dispositivo. A differenza dei classici attacchi phishing o malware, dove l’utente deve cliccare un link o aprire un file, in questo caso basta solo che il dispositivo riceva un messaggio o una comunicazione appositamente creata per attivare la vulnerabilità. Questi exploit sfruttano bug di sicurezza nei software di sistema, nelle app di messaggistica o nei protocolli di comunicazione. Ad esempio, un messaggio di testo o una chiamata VoIP possono nascondere un codice malevolo che viene eseguito automaticamente. Questo rende gli zero-click exploit estremamente pericolosi, perché invisibili e difficili da rilevare da antivirus o sistemi di protezione tradizionali. Per capire meglio, puoi approfondire cosa sono le vulnerabilità software e come funzionano gli exploit visitando risorse come il National Vulnerability Database (NVD) o leggere i report di sicurezza di aziende come Google Project Zero. La crescente sofisticazione degli zero-click exploit li rende una minaccia concreta per dispositivi mobili, computer e persino dispositivi IoT. Gli zero-click exploit sfruttano vulnerabilità tecniche complesse nei sistemi operativi e nelle applicazioni. Questi attacchi si basano sull’esecuzione automatica di codice malevolo appena il dispositivo riceve un input specifico, senza che l’utente debba interagire. Un meccanismo comune è l’uso di buffer overflow, dove un codice dannoso supera la capacità di memoria prevista, permettendo all’attaccante di eseguire comandi arbitrari. Altri metodi includono l’iniezione di codice in protocolli di messaggistica come SMS, iMessage, o WhatsApp, che non richiedono l’apertura del messaggio per attivare l’exploit. I vettori di attacco più diffusi sono i messaggi di testo, le chiamate VoIP e le notifiche push. Ad esempio, un exploit potrebbe attivarsi semplicemente ricevendo una chiamata che sfrutta una falla nel protocollo SIP, o un messaggio cifrato che contiene codice nascosto nel payload. Questi attacchi possono compromettere il dispositivo completamente, dando accesso a dati personali, microfono, fotocamera e molto altro. Uno degli esempi più famosi di zero-click exploit è il software spia Pegasus, sviluppato dalla società israeliana NSO Group. Pegasus ha sfruttato vulnerabilità zero-click per infiltrarsi in smartphone di attivisti, giornalisti e politici, senza che questi compissero alcuna azione. L’attacco veniva eseguito semplicemente tramite messaggi o chiamate, rendendo la sua individuazione molto difficile. Le vulnerabilità zero-day sono falle di sicurezza ancora sconosciute ai produttori e prive di patch. Spesso queste falle vengono scoperte e sfruttate proprio attraverso exploit zero-click. Un esempio recente è stato il bug scoperto in iMessage che ha permesso l’installazione remota di spyware semplicemente ricevendo un messaggio. Apple ha rilasciato tempestivamente una patch per correggere il problema, ma nel frattempo molti dispositivi erano vulnerabili. Altri casi noti includono exploit zero-click contro WhatsApp, dove una chiamata poteva infettare il dispositivo anche se non rispondeva. Nel 2019, questa vulnerabilità ha portato a un intervento urgente di aggiornamento da parte di WhatsApp per fermare gli attacchi di spyware altamente sofisticati. Questi esempi evidenziano come gli zero-click exploit non siano solo teorie, ma minacce reali e attive che colpiscono milioni di dispositivi nel mondo. Gli attaccanti sfruttano queste tecniche per spiare, rubare dati o prendere il controllo totale di smartphone e computer senza lasciare tracce evidenti. Infine, la difficoltà di rilevamento di questi attacchi li rende particolarmente pericolosi. Spesso le vittime non si accorgono di nulla fino a quando non è troppo tardi. Gli zero-click exploit rappresentano una delle sfide più complesse per la sicurezza informatica. La loro difficoltà di difesa nasce principalmente dal fatto che non richiedono alcuna azione o interazione da parte dell’utente. Senza un clic, un’apertura di file o un consenso, i tradizionali sistemi di protezione basati sul comportamento dell’utente risultano inefficaci. Un altro motivo è che questi exploit sfruttano vulnerabilità spesso sconosciute, chiamate zero-day, per le quali non esistono patch o aggiornamenti immediati. Gli hacker possono sfruttare queste falle prima che i produttori di software abbiano il tempo di intervenire, lasciando dispositivi e sistemi esposti per periodi più o meno lunghi. Inoltre, i zero-click exploit utilizzano metodi altamente sofisticati per nascondersi. Il codice malevolo viene spesso integrato in messaggi o comunicazioni cifrate, rendendo difficile l’analisi da parte degli antivirus o degli strumenti di sicurezza tradizionali. Questa “invisibilità” permette agli attaccanti di operare indisturbati e di agire in modo mirato contro specifiche vittime. La complessità tecnica di questi attacchi richiede soluzioni di difesa avanzate, come sistemi di rilevamento basati su intelligenza artificiale e monitoraggio continuo del comportamento del dispositivo. Tuttavia, anche queste tecnologie non garantiscono una protezione totale, soprattutto se le vulnerabilità sono sconosciute o appena scoperte. Infine, la rapidità con cui vengono sviluppati e utilizzati nuovi zero-click exploit rende difficile per le aziende di sicurezza e per gli utenti tenere il passo. La prevenzione, quindi, passa anche da un aggiornamento costante dei dispositivi, da una configurazione attenta delle applicazioni e da una consapevolezza elevata sulle minacce emergenti. Gli exploit zero-click zero-day non sono solo strumenti usati dagli hacker, ma vere e proprie merci scambiate in un mercato sotterraneo dai valori altissimi. Aziende come Zerodium hanno costruito un business sulla compravendita di vulnerabilità sconosciute, offrendo ricompense che possono arrivare anche a milioni di dollari per singolo exploit funzionante. I prezzi di questi exploit sono così alti perché sfruttano falle ignote e difficili da individuare. Ad esempio, Zerodium ha offerto cifre superiori al milione di dollari per vulnerabilità zero-click su sistemi operativi come iOS e Android, considerate le più preziose perché permettono di compromettere un dispositivo senza alcuna interazione da parte dell’utente. Questi exploit non vengono solo usati da criminali informatici. Spesso finiscono nelle mani di aziende che sviluppano spyware sofisticati, come NSO Group, che sviluppano sistemi di sorveglianza che finisco nelle mani di governi che vogliono sorvegliare persone considerate “di interesse”. È un mercato legale in alcuni paesi, ma eticamente controverso perché permette attività di spionaggio che possono violare diritti fondamentali. Il valore degli exploit zero-click zero-day nasce anche da un motivo più profondo: l’informazione è potere. Chi possiede un exploit di questo tipo può accedere a dati riservati, conversazioni private e segreti industriali. In un’epoca in cui la privacy e la sicurezza dei dati sono sempre più centrali, questa possibilità diventa inestimabile. Alla base di tutto c’è un equilibrio fragile tra ricerca sulla sicurezza, interesse economico e rischi per i diritti civili. Finché esisterà un mercato disposto a pagare così tanto per queste vulnerabilità, gli exploit zero-click zero-day continueranno a essere sviluppati, venduti e usati, alimentando una corsa senza fine tra chi attacca e chi difende. La crescente diffusione degli zero-click exploit impone un cambiamento radicale nel modo di affrontare la sicurezza informatica. Il modello tradizionale, basato principalmente sulla reazione agli attacchi, non è più sufficiente. Serve una strategia proattiva che anticipi le minacce prima che possano colpire. Ma il problema è: come poter anticipare una minaccia sconosciuta? Le tecnologie basate sull’intelligenza artificiale e sull’apprendimento automatico stanno diventando sempre più centrali nella difesa contro attacchi invisibili come gli zero-click exploit. Questi sistemi analizzano continuamente il comportamento dei dispositivi e delle reti, individuando anomalie sospette anche in assenza di segnali evidenti di attacco. Un altro elemento chiave è la collaborazione tra aziende di sicurezza, governi e sviluppatori di software. La condivisione tempestiva delle informazioni sulle vulnerabilità e sugli exploit permette di creare contromisure più rapide ed efficaci, riducendo il tempo in cui i dispositivi restano esposti. Anche la formazione degli utenti rimane un pilastro fondamentale, anche se gli zero-click exploit non richiedono azioni dirette da parte delle vittime. Essere consapevoli delle minacce, mantenere aggiornati i dispositivi e adottare buone pratiche di sicurezza aiutano a minimizzare i rischi complessivi. Infine, il futuro della cybersicurezza richiederà un approccio integrato, che combini tecnologie avanzate, policy di sicurezza rigorose e una cultura della sicurezza diffusa. Solo così sarà possibile proteggere efficacemente dati, dispositivi e privacy in un mondo sempre più connesso e vulnerabile. Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione. Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica. C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale. Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/

It will be interesting to watch what will come of this private lawsuit : Google on Thursday announced filing a lawsuit against the operators of the Badbox 2.0 botnet, which has ensnared more than 10 million devices running Android open source software. These devices lack Google’s security protections, and the perpetrators pre-installed the Badbox 2.0 malware on them, to create a backdoor and abuse them for large-scale fraud and other illicit schemes. This reminds me of Meta’s lawauit against Pegasus over its hack-for-hire software (which I wrote about ...

Apple ha avvisato una dozzina di iraniani che i loro iPhone potrebbero aver subito degli attacchi spyware, con la responsabilità diretta del Governo di Teheran. Il monito di Apple Apple ha avvisato diversi cittadini iraniani di possibili attacchi spyware sugli iPhone. Secondo TechCrunch, alcuni ricercatori nel campo della sicurezza avrebbero poi ricollegato la provenienza di questi spyware, puntando il dito direttamente sul Governo di Teheran. Il tema non sarebbe una novità. Oltre ad averne scritto Bloomberg, di questo si è occupato il Miaan Group, un’organizzazione per i diritti digitali che studia Iran. Inoltre Hamid Kashfi (un ricercatore iraniano nel campo della sicurezza informatica che vive in Svezia) ha affermato di aver parlato con diversi iraniani che hanno ricevuto notifiche simili nell’ultimo anno. Più in generale, alla luce delle attuali complessità di quel quadrante geografico, in Iran comunicare attraverso il cellulare e le applicazioni di messaggistica è spesso complesso. Le responsabilità di Teheran Martedì scorso, il Miaan Group ha pubblicato un rapporto sullo stato della sicurezza informatica della società civile iraniana. Gli estensori dello studio avrebbero identificato tre casi di attacchi spyware governativi contro cittadini iraniani. Di questi, due in Iran e uno in Europa, che sono stati avvisati nell’Aprile di quest’anno. Amir Rashidi, direttore dei diritti digitali e della sicurezza del Miaan Group ha detto a TechCrunch: “Credo che ci siano state tre ondate di attacchi. Abbiamo visto solo la punta dell’iceberg”. Sempre secondo Rashidi, nonostante la necessità di ulteriori indagini, il ruolo di Teheran è evidente. “Non vedo alcun motivo per cui i membri della società civile debbano essere presi di mira da qualcuno che non sia l’Iran”, ha affermato. La difficoltà delle indagini Al netto di quello che da più parti si è interpretato come un clima ‘politico’ ben definito, gli scenari sono molto più complessi. Non è chiaro infatti quale produttore di spyware sia responsabile di questi attacchi. Negli ultimi anni, infatti, Apple ha inviato diverse serie di notifiche alle persone che ritiene siano state prese di mira da spyware governativi. Tra i vari casi, anche Pegasus di NSO Group o Graphite di Paragon. Questo tipo di malware è noto anche come spyware “mercenario” o “commerciale”. Nella sua pagina di supporto, Apple ha dedicato un capitolo a quelle che l’azienda definisce “notifiche di minaccia”, aggiornata l’ultima volta ad Aprile. Il gigante tecnologico ha affermato che dal 2021 ha inviato notifiche di merito agli utenti in “oltre 150 paesi”. Questo aspetto ha dimostrato quanto sia diffuso l’uso di spyware governativi. Tuttavia, Apple non ha rivelato i nomi dei Paesi né il numero totale di persone a cui ha inviato la notifica.