ZProtocol Srl

📩 ClickFix: cosa fa e come proteggersi 🛡

Il gruppo di hacker russi Star Blizzard e noto anche con i nomi di ColdRiver, UNC4057 e Callisto, tra giugno e settembre, ha introdotto nuovi malware chiamati NoRobot e MaybeRobot: si tratta di attacchi di ingegneria sociale noti come ClickFix, nei quali le vittime vengono indotte a eseguire codice maligno credendo invece di completare un test CAPTCHA.

L’ignara vittima finisce su un sito web (spesso mostrato tra i risultati dei motori di ricerca e simile a quello legittimo) e vede un CAPTCHA oppure un messaggio relativo ad un presunto bug del browser da risolvere (da cui il nome ClickFix). Il sito è stato compromesso con l’iniezione di codice JavaScript infetto.
Dopo aver cliccato sul CAPTCHA o sul messaggio, l’utente vede le istruzioni da seguire, ovvero premere le combinazioni di tasti Win + R (che apre la finestra Esegui), Ctrl + V (che copia negli appunti un codice PowerShell) e Invio. Il codice PowerShell, eseguito in background, scarica quindi una serie di file, installa il malware sul computer e aggiunge una chiave al registro di Windows per la persistenza (esecuzione ad ogni riavvio e login).
La variante FileFix chiede di copiare il comando PowerShell nella barra degli indirizzi di Esplora file. La vittima vede solo un innocuo percorso.

I cybercriminali distribuiscono così infezioni tra cui infostealer e RAT (Remote Access Trojan). Se non è presente nessuna soluzione di sicurezza, gli utenti “regalano” numerosi dati sensibili e perdono anche il controllo del computer.

Come difendersi?

1. Evita pagine web dannose e sospette. Utilizza browser aggiornati ed esamina sempre attentamente le email con allegati o link indesiderati, in particolare quelle che vi invitano a "salvare" file con estensioni sconosciute. Controlla errori di battitura nel dominio e falsi certificati SSL prima di interagire con i prompt di download o caricamento.

2. Rendi visibili le estensioni dei file.

3. Modifica dell'associazione del file .hta al Blocco note: Impostando il sistema in modo che apra i file .hta con Blocco note (o un altro editor di testo non invasivo), li si neutralizza completamente.

4. Disabilita Mshta.exe per bloccare l'esecuzione di tutte le applicazioni HTML.

5. Mantieni aggiornato il sistema operativo.



Fonti:
https://www.hwupgrade.it/news/sicurezza-software/attacco-%E2%80%9Cclickfix-la-trappola-che-ti-fa-cliccare-%E2%80%9Cnon-sono-un-robot-e-infetta-il-pc_145158.html
https://www.punto-informatico.it/clickfix-pericoloso-attacco-ingegneria-sociale/
https://windowsforum.com/threads/filefix-attack-how-to-protect-your-windows-pc-from-a-new-zero-day-vulnerability.372450/

Foto di Janos Perian da Pixabay

🧑‍💻 Il codice che evolve con te 🚀

In un'epoca in continua evoluzione, anche il codice deve adattarsi alle nuove esigenze, mantenendosi affidabile.

L'architettura a microservizi delle nostre applicazioni suddivide le funzionalità in basi di codice indipendenti e separate, offrendo i seguenti vantaggi:

- Scalabilità migliorata: i singoli servizi possono essere adattati in base alle esigenze, consentendo un utilizzo più efficiente delle risorse.

- Maggiore flessibilità: i team possono utilizzare tecnologie diverse per servizi diversi e aggiornarli indipendentemente l'uno dall'altro.

- Migliore tolleranza ai guasti: il guasto di un servizio non si ripercuote necessariamente sull'intera applicazione.

Costruiamo le sezioni frontend utilizzando Javascript, PHP invece è il linguaggio dei nostri backend.

🧐 Perché abbiamo scelto questi linguaggi?

JS e PHP garantiscono un ottimo rapporto tra velocità di esecuzione del codice e stabilità dell'applicazione. Inoltre, i due linguaggi sono costantemente controllati e aggiornati da una community attiva, il cui lavoro è visibile da tutti.
Chi sviluppa con questi linguaggi può attivamente contribuire al miglioramento del codice stesso:

- Nel sito ufficiale di PHP è presente un'apposita sezione per contribuire al miglioramento del codice, aperta a tutti gli sviluppatori con conoscenza di C: https://www.php.net/get-involved.php

- Per monitorare il gradimento di Javascript da parte di chi l'ha utilizzato quest'anno è disponibile un questionario online: https://survey.devographics.com/it-IT/survey/state-of-js/2025

Con un’architettura moderna e linguaggi solidi, continuiamo a sviluppare soluzioni affidabili e pronte a crescere insieme alle esigenze dei nostri clienti.



Foto di Antonio Janeski su Unsplash

💻 IA, è legge in Italia! ⚖️

Sicurezza, diritti, investimenti: ecco cosa succede.
Il provvedimento si compone di 28 articoli e regola ricerca, sperimentazione, sviluppo, adozione e applicazione di sistemi e di modelli di intelligenza artificiale. Entro un anno il governo dovrà adottare uno o più decreti legislativi per adeguare la normativa italiana all’AI Act europeo e per definire una disciplina sull’utilizzo di dati e algoritmi per l’addestramento dei sistemi di IA.
Manca un vero stanziamento di denaro. Il provvedimento autorizza l’utilizzo di 1 miliardo di euro, già a disposizione di Cdp Venture Capital, per l’investimento nel settore dell’IA e della cybersicurezza ma anche nelle tecnologie quantistiche e nelle telecomunicazioni.

Dove si applica?
1. Lavoro: si attiva l'Osservatorio nazionale e si stabilisce che è obbligatorio che il committente o lo stesso datore di lavoro informi il lavoratore dell’utilizzo dell’IA. Idem da parte dei professionisti nei confronti del cliente.

2. Sanità: l’utilizzo dell’IA è consentito a determinate condizioni come supporto per diagnosi e cure ma lasciando impregiudicata la decisione finale dei medici e comunque con il diritto dei pazienti ad essere informati.

3. Giustizia: introduce il reato di «illecita diffusione di contenuti generati o manipolati con sistemi di IA», punito da uno a 5 anni «se dal fatto deriva un danno ingiusto». L’impiego di sistemi di IA con modalità insidiosa aumenta di un terzo le pene nei casi di sostituzione di persona, truffa, riciclaggio, autoriciclaggio, aggiotaggio. Il ministero della Giustizia potrà rimuovere contenuti generati illecitamente e inibirne la diffusione.

4. Copyright: anche le opere create con l’ausilio di strumenti di intelligenza artificiale sono protette dal diritto d’autore, a condizione che la loro creazione derivi del lavoro intellettuale dell’autore.

Per il sottosegretario all’Innovazione, Alessio Butti, «la legge consente l’allineamento all’AI Act e di innovare in un contesto normativo solido. C’è a disposizione un miliardo di euro e viene affidato ad Acn (Autorità per la cybersicurezza nazionale) e Agid (Autorità nazionali all’Agenzia per l’Italia digitale) un presidio chiaro su sicurezza, qualità e trasparenza dei sistemi».



Fonte: https://www.ilsole24ore.com/art/ia-via-libera-finale-senato-e-legge-sicurezza-diritti-investimenti-ecco-cosa-cambia-AHADBgfC

Immagine: foto di fabrikasimf su https://it.freepik.com/

🛡 Crittografia: come difendiamo i tuoi dati 📲

Dal cifrario di Cesare, passando per la macchina Enigma fino alla crittografia quantistica: la crittografia è una disciplina in continua evoluzione che si occupa di proteggere le informazioni trasformando i dati in un formato illeggibile per chi non possiede (almeno) una chiave segreta per decifrarle.

Ha quattro caratteristiche fondamentali:

1. Riservatezza: le informazioni crittografate sono accessibili solo alla persona a cui sono destinate.
2. Integrità: queste informazioni non possono essere modificate durante l'archiviazione o l'invio tra il mittente e il destinatario previsto.
3. Non ripudio: il mittente di informazioni crittografate deve confermare la propria intenzione di inviare le informazioni.
4. Autenticazione: le identità del mittente e del destinatario, nonché l'origine e la destinazione delle informazioni sono confermate.
Esistono due tipi di crittografia:

- A chiave simmetrica: utilizza la stessa chiave segreta sia per la crittografia che per la decrittografia. Il mittente e il destinatario delle informazioni devono avere concordato in precedenza la chiave segreta (ovviamente in forma sicura).
- A chiave pubblica o asimmetrica. Più moderna, utilizza una coppia di chiavi: una chiave pubblica (utilizzata per crittografare i dati) e una chiave privata (mantenuta segreta dal “proprietario”, è utilizzata per decrittografare i dati ricevuti). Sono necessarie entrambe le chiavi per accedere ai dati.
La utilizziamo in molti contesti:

-comunicazioni su Internet: reti private virtuali (VPN), protocollo https, ecc.
- sistemi di autenticazione
- archiviazione dei dati



Fonti:
https://www.ibm.com/it-it/topics/cryptography
https://www.insic.it/privacy-e-sicurezza/information-security/la-crittografia-che-cose-e-come-funziona/

Immagine: Foto di Christian Lendl su unsplash.com

Torni dalle vacanze e il telefono aziendale squilla già troppo?

Sarebbe bello che i clienti si registrassero autonomamente sul tuo e-commerce B2B: zero costi di segreteria e possibilità di registrarsi H24. Sì, ma chi lo crea?
Ci pensa ZP.

Vorresti che il cliente gestisca i propri ordini con pochi click?
Ci pensa ZP.

E ai clienti esigenti che vorrebbero visualizzare volantini o altro materiale pubblicitario per la propria attività?
Ci pensa ZP.

Vorrebbero sfogliare la lista di brand disponibili prima di vedere l'elenco prodotti?
Ci pensa ZP.

Vorresti modificare il tuo catalogo ed evadere gli ordini comodamente da smartphone?
Ci pensa ZP.

E con il tempo che risparmi, ZP ti fa tornare ancora un po' in vacanza.

No, non possiamo prenotarti il prossimo volo. Però possiamo far decollare il tuo business on-line.



Foto: https://www.freepik.com/free-photo/two-starfish-piggy-bank-with-sunglasses-beach-blanket_991292.htm =cross_selling__photo