dretsdigitals.bsky.social

7 Sept

Malwarebytes, empresa estatunidenca de seguretat informàtica, ha publicat un article de l'analista Pieter Arntz @MetallicaMVP que cita la meva investigació (thread analysis research) sobre bots a @X d'SPAM per promoure contingut per a adults

La setmana passada Protecció de la Frontera Electrònica va denunciar Adif davant la Fiscalia espanyola perquè investigui com a censura prèvia el bloqueig d’una web per part d'Adif. Faig fils explicant diferents aspectes de la denúncia. En aquest, els delictes de censura 🧵⬇️

El tercer subjecte a investigar són els departaments de seguretat i ciberseguretat d’ADIF. El president els va vincular al tancament al Congrés, i la resolució atribueix l’origen de l’actuació a "mecanismos operativos de detección y respuesta" de l’ens.

Els responsables d’aquests departaments són funcionaris a efectes penals encara que tinguin contracte laboral, com va establir el Suprem el 2020. La llei els atribueix la seguretat de la informació d’un operador de serveis essencials

Segons la resolució, aquest procediment regula "la información gestionada por Adif", no la publicació d’un tercer, que, en tot cas, tècnicament, Adif no té manera de tombar només per acció automàtica dels seus sistemes de classificació. És impossible.

La resolució d'Adif justifica la confidencialitat per "la imposibilidad de verificar con certeza el origen de los datos difundidos". Segons PFE, no poder verificar l’origen de les dades d’un tercer no és cap categoria de seguretat.

PFE demana a la Fiscalia que requereixi a ADIF la instrucció o la decisió per la qual es va acordar actuar sobre la web. Hi ha de constar qui la va proposar, qui la va adoptar i qui la va executar

El segon subjecte és ADIF com a entitat, a efectes de notificar-li la petició de documents. El procediment de classificació és d’ADIF, i va ser ADIF qui va reconèixer la intervenció davant la premsa

PFE demana a la denúncia 3 investigats. El primer és Luis Pedro Marco de la Peña, president d’ADIF, per la posició que ocupa. L’estatut de l’ens li atribueix proposar-ne l’estructura, nomenar el personal directiu i dirigir tot el personal. https://www.boe.es/buscar/act.php?id=BOE-A-2004-21913

PFE també ho fonamenta en el que sabia el president. Va parlar del tancament al Congrés el 24 de març amb la paraula "cierre" i, quatre mesos més tard, va signar la resolució administrativa que descriu l’examen i el qualifica de pauta estable

El primer és que el 24 de març, al Congrés espanyol, el president d’ADIF va admetre "un problema de sensibilidad con el cierre de la web" i va dir que era el segon que això passava dins Adif https://www.congreso.es/public_oficiales/L15/CONG/DS/CO/DSCD-15-CO-520.PDF

El segon és que al maig ADIF va publicar en un visor obert la mena d’informació que havia qualificat de no publicable per massa sensible per al públic general https://web.archive.org/web/20260503114026/https://ltv-adif.hub.arcgis.com/

Adif no té atribuïda per cap llei la facultat d’interrompre una web aliena. Quan el legislador vol donar aquesta facultat a una administració, ho fa per llei, com en el cas del regulador estatal del joc, per exemple, o reguladors en casos de medicaments

La denúncia veu el coneixement de la injustícia en dos fets.

La llei espanyola de serveis de la societat de la informació també diu reservar als jutges el segrest o la restricció de pàgines web quan afecti la llibertat d’informació, com era el cas https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758

El Tribunal Suprem espanyol va establir el 2022 que els llocs web són "otros medios de información" i que "lo constitucionalmente prohibido es que el secuestro lo decida por sí sola la Administración"

PFE hi afegeix que l’examen no va recaure sobre un contingut concret, sinó sobre tota una categoria d’informació, la de les limitacions de velocitat, que canvia cada dia. Amb una pràctica estable, l’efecte arriba també al que es publiqui més endavant

La segona perspectiva d'encarar-ho és la interrupció, sense ordre judicial, de l’accés a un mitjà d’informació que ja circulava. La Constitució espanyola reserva als jutges el segrest de publicacions i d’altres mitjans d’informació

Segons la denúncia, els tres elements hi són, tot i ser un web. L’examen és la frase de la resolució, el poder públic és Adif i els valors abstractes són els quatre nivells del procediment intern, aplicats a una publicació aliena. El resultat va ser el tancament del web

Totes aquelles persones que no havien accedit al web fins llavors no havien tingut cap contacte previ amb les informacions que hi havia dins la publicació censurada

PFE remarca que el verb usat a l'articulat del codi penal, "establir", apunta a una pràctica i no a un fet aïllat. La resolució d’ADIF descriu precisament una pràctica habitual i estable

El Tribunal Constitucional espanyol va definir el 1999 la censura prèvia com l’examen previ d’una obra per part d’un poder públic, segons uns valors abstractes i restrictius de la llibertat, per autoritzar-ne o negar-ne la publicació

Aquest procediment classifica la informació en quatre nivells: públic, ús intern, restringit i confidencial. La resolució qualifica l’actuació de "práctica habitual" i de "pauta de actuación estable"

La denúncia encara aquests fets des de dues perspectives. La primera és la censura prèvia, que l’article 20.2 de la Constitució espanyola prohibeix sense excepcions.

ADIF va confirmar a El País que el web que PFE titlla de censurat va deixar de funcionar arran de la intervenció de l’entitat i que no va recórrer a cap òrgan judicial. Tenim info de amb quin criteri gràcies a Transparència.

En una resolució de transparència del 20 de juliol instada per PFE, Adif diu entre altres coses que va detectar la publicació i que "la información publicada fue examinada" d’acord amb un procediment intern de classificació de la informació

La denúncia, del 21 d’octubre, inclou set delictes. Aquest fil va sobre el de censura prèvia, que des de PFE es demana que s'investigui sobre 3 denunciats: el president d’ADIF, ADIF com a entitat i els departaments de seguretat i ciberseguretat de l’ens.

L’article 538 del Codi Penal espanyol diu castigar l’autoritat o el funcionari que estableixi la censura prèvia o que, fora dels casos que permeten la Constitució i les lleis, retiri edicions de llibres o diaris o en suspengui publicacions https://www.boe.es/buscar/act.php?id=BOE-A-1995-25444#a538

lol he de confessar que el meu cap ha tricat 5-7 segons ben bons a entendre la broma

BarraDeFerro_alCAP@barradeferroalcap.bsky.social

No és fer-ne un gra massa la pena de mort per un forat de seguretat?

Tricat. He dit tricat. En fi

Primeres execucions confirmades de php2shell. En un honeypot.

L’atac encadenava quatre peticions: pressió de memòria, desbordament de memòria a través d’una cookie de sessió, més pressió i, finalment, l’etapa d’execució. L’informe vincula aquest atac a CVE-2026-109618, no a la via del CVE-2026-109619

github.comhoneypot-data/reports/php2shell/2026-10-24-confirmed-rce.md at main · 0x4D31/honeypot-data🍯 Public honeypot datasets containing HTTP and TLS fingerprint data 🫆 - 0x4D31/honeypot-data

L'informe complet https://github.com/0x4D31/honeypot-data/blob/main/reports/php2shell/2026-10-24-confirmed-rce.md és a GitHub

Primeres execucions confirmades de php2shell. En un honeypot.

hack.luhack.lu 2026Hack.lu is an open convention/conference where people can discuss about computer security, privacy, information technology and its cultural/technical implication on society. It’s the 20th edition (20th -> 23rd October) of hack.lu in Luxembourg.

Karimi va treballar una dècada en detecció i resposta a Google, Salesforce i Niantic, ara és a OpenAI, i va crear eines de honeypot obertes molt usades, com Galah i Venator. Ha presentat la seva feina a conferències com DEFCON i

Els honeypot de l’informe, anomenats phpot, eren servidors d’un sol worker amb PHP 8.4.26, una versió anterior al pedaç. 35 peticions HTTP d’execució van coincidir amb 35 execucions d’un intèrpret de comandes (/bin/sh) engendrades directament pels workers d’Apache.

Primeres execucions confirmades de php2shell. En un honeypot.

Amazon veu arribar la petició i en pot llegir el payload, l’adreça d’origen, l’eina usada, però el que registra és un intent, el trànsit que entra, no el resultat dins d’un servidor PHP de veritat

github.comGitHub - 0x4D31/honeypot-data: 🍯 Public honeypot datasets containing HTTP and TLS fingerprint data 🫆🍯 Public honeypot datasets containing HTTP and TLS fingerprint data 🫆 - 0x4D31/honeypot-data

Però ahir un informe va documentar una execució confirmada. L’autor de l'informe és Adel Karimi, enginyer de seguretat sènior conegut amb l’àlies 0x4D31, que publica les dades al repositori honeypot-data

Primeres execucions confirmades de php2shell. En un honeypot.

aws.amazon.comAmazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot | Amazon Web ServicesAmazon Threat Intelligence identified a PHP2Shell exploitation attempt dating to Oct. 17, 2026, in MadPot telemetry, four days before public disclosure of CVE-2026-109618 and CVE-2026-109619. The exploit attempt originated from an IP address associated with a commercial anonymization network. While the vulnerability was under embargo, the targeting of a honeypot from an anonymized IP address […]

Amazon va datar un primer intent d'explotar aquesta vulnerabilitat el 17 d’octubre, quatre dies abans de la divulgació, al seu sistema de honeypots MadPot, però va dir que no podia saber si hauria funcionat en sistemes reals

Els honeypots son servidors vulnerables que simulen ser víctimes: no hi ha res real darrera del servidor, només és un servidor voluntàriament vulnerable posat a Internet perquè l'ataquin i així sabem si l'atac s'usa realment o no :)

Primeres execucions confirmades de php2shell. En un honeypot.

El 21 d’octubre el projecte PHP va publicar els pedaços d’emergència i va qualificar les dues vulnerabilitats de 9,2 sobre 10 (crític).

Les van descobrir investigadors de l'empresa de seguretat Wiz, i d’OpenAI, i la via de risc més alt és Apache amb mod_php, on l’atac és exitós ja abans que s’executi cap codi de l’aplicació, en la capa de PHP

Primeres execucions confirmades de php2shell. En un honeypot.

PHP2Shell és el nom amb què la indústria de seguretat agrupa les dues vulnerabilitats crítiques del nucli de PHP, CVE-2026-109618 i CVE-2026-109619, que han causat una onada de pànic i d'actualitzacions a correcuita de servidors aquesta setmana