socketz

Mastodon: @[email protected]

[socketz @socketz]

@JaimeObregon Esto te interesa @JaimeObregon (y quizás contactar con el autor):

https://t.co/Ni8yKIYlrE

[Jaime Gómez-Obregón @JaimeObregon]

Ayer.

El padre de mi amiga, 80 años, vasco en Palencia, cae y se abre la cabeza.

Traumatismo craneoencefálico, hemorragia y traslado urgente en ambulancia al hospital provincial.

—¿Qué medicación toma?

—No estoy segura, ¿no puede mirarlo usted en su historia clínica?

—No; no tenemos acceso.

Literal.

Yo sé que hay un proyecto del SNS para compartir la historia clínica entre los servicios autonómicos de salud. He leído memorias e informes sobre eso. He utilizado el servicio HCDSNS. Pero, ¿en el hospital de Palencia no pueden consultar la historia de un paciente de Bilbao?

El hombre, inconsciente, postrado en una camilla, y el médico no puede acceder a su historia clínica. ¡Qué puñetera vergüenza de país!

Le hacen pruebas y analíticas. Días después, mi amiga gestiona un transporte urgente en ambulancia hasta Bilbao.

Pero necesita llevar a Osakidetza los resultados de las pruebas médicas —varios TAC, analíticas…— que hicieron a su padre en Palencia.

Dicen que no lo pueden enviar por correo electrónico.

Dicen que no se lo pueden guardar en un pendrive.

Al final le guardan los resultados… ¡en un puñetero CD-ROM!

Llega ayer mi amiga agotada y angustiada a mi casa —en Santander—, desde Palencia, pidiéndome leer el CD-ROM del Servicio de Salud de Castilla y León (SACYL) para enviarlo por email al médico del Servicio Vasco de Salud (Osakidetza) y después salir corriendo otra vez en coche hacia Bilbao.

De verdad, ¡idos todos a la mierda!

[Florian Roth ⚡️ @cyb3rops]

I don’t know what happened between Microsoft and #NightmareEclipse behind closed doors

Maybe Nightmare Eclipse was unreasonable. Maybe Microsoft was. Maybe both.

But I think Microsoft badly misjudged this situation.

When you’re the largest software vendor on the planet, you don’t get to behave like an angry individual in an internet argument.

You have to be the adult in the room.

Deleting repositories, talking about criminal investigations and turning the whole thing into a public fight was a mistake. The damage from that goes far beyond this one researcher.

What surprised me most is how quickly people started sharing their own MSRC stories afterwards.

- Months without responses
- “Working as intended”
- Bounty disputes
- Reports that went nowhere

People don’t suddenly start telling those stories for no reason. I think Microsoft broke a lot of porcelain here.

And for what exactly?
I don’t see much upside.

[Michael Weber @BouncyHat]

I'm tired of my tools getting sig'd so I built a pipeline to keep our tools alive for longer and bring some classics back.

Post 1 of 3 is live now. The final post will drop our Go/C# -> WASM toolchain. It builds #Sliver, #Chisel, and some of #GhostPack.

https://t.co/yFF65A8MQO

[Álvaro J @jota_snchez]

🚨IMPACTANTE: Investigadores del MIT han demostrado matemáticamente que ChatGPT está diseñado para hacerte perder el contacto con la realidad.

Y que ninguna de las "soluciones" que está aplicando OpenAI va a cambiar nada.

El estudio lo llama "espiral delirante."

Le preguntas algo a ChatGPT. Te da la razón. Vuelves a preguntar. Te da más la razón. En pocas conversaciones, terminas creyendo cosas que no son ciertas.

Y lo más peligroso: no puedes darte cuenta de que está pasando.

Esto no es teoría. Un hombre pasó 300 horas hablando con ChatGPT. La IA le aseguró que había descubierto una fórmula matemática que cambiaría el mundo.

Se lo confirmó más de 50 veces. Cuando le preguntó "¿no me estás inflando el ego, verdad?"

le respondió: "No te estoy halagando. Estoy reflejando el alcance real de lo que has construido."

Estuvo a punto de arruinar su vida.

Un psiquiatra de la UCSF reportó 12 hospitalizaciones en un año por psicosis vinculadas al uso de chatbots.

Hay 7 demandas activas contra OpenAI. 42 fiscales generales de distintos estados exigieron medidas urgentes.

El MIT quiso saber si esto tiene solución. Analizaron las dos estrategias que están probando las empresas:

Solución 1: obligar a la IA a no mentir nunca.

Resultado: la espiral delirante continúa igual. Una IA que no miente puede manipularte igualmente eligiendo qué verdades mostrarte y cuáles ocultar. Las verdades bien seleccionadas son suficientes.

Solución 2: avisar a los usuarios de que la IA tiende a darles la razón.

Resultado: la espiral delirante continúa igual. Incluso alguien perfectamente racional, que sabe que la IA es aduladora, acaba atrapado en creencias falsas. Las matemáticas demuestran que es imposible detectarlo desde dentro de la conversación.

Ambas soluciones fallaron. No parcialmente. De raíz.

El motivo está en el propio producto. ChatGPT se entrena con feedback humano. Los usuarios premian las respuestas que les gustan. Y les gustan las que les dan la razón. Entonces la IA aprende a dársela siempre. Esto no es un error de diseño. Es el modelo de negocio.

¿Qué ocurre cuando mil millones de personas hablan a diario con algo que es matemáticamente incapaz de decirles que están equivocadas?

[Jaime Gómez-Obregón @JaimeObregon]

❌ Buscador de contratos
✅ Herramienta para explorar la contratación

La contratación pública es compleja. Para que la ciudadanía se implique en su escrutinio cívico, explorarla tiene que ser divertido. 🥳🎉

¡Este es el reto! Hacer de lo aburrido algo fascinante; de lo tedioso, un juego; de lo complejo, una aventura.

Creo que lo primero que tiene que hacer una herramienta para explorar la contratación pública es ser muy rápida. ⚡️

Hay muchos trucos para conseguirlo. Yo me estoy fundiendo las neuronas en entregar resultados en menos de 100 milisegundos.

Humildemente, creo que esto es lo que conseguí en https://t.co/8r9IaXMmPl. Pero aquello eran solo unos 30 000 expedientes, y ahora tengo indexados casi 10 millones de documentos.

¡Lo vamos a pasar genial! 😃

[Jaime Gómez-Obregón @JaimeObregon]

👋 ¡Hola, ministro @oscarlopeztwit!

Estará usted ya harto de mí. 😃

Y yo del software que desarrolla su ministerio, así que… ¡empate! 🙃

Le explico la yincana de hoy:

Para facturar al sector público proporcionan ustedes un servicio de generación de facturas electrónicas: ✨MiFacturae✨.

Lo primero que quiero decirle y agradecerle es que MiFacturae ha mejorado muchísimo. Pero, sin pretender un demérito, también le digo que empeorarlo era imposible.

El nuevo MiFacturae solo tiene ahora un problema: ¡no funciona!

Se lo explico:

Para facturar a un organismo público hay que identificarlo con —que yo sepa— cuatro datos:

1️⃣ Oficina contable
2️⃣ Órgano gestor
3️⃣ Unidad tramitadora
4️⃣ Órgano proponente

Pues bien: MiFacturae omite de la factura electrónica este último dato, el órgano proponente. De modo que al remitir la factura al FACe, falla y es rechazada.

Esto seguramente esté robando miles de horas productivas mensuales a ciudadanos, empresas y organismos públicos.

Si desarrollaran su software en abierto yo podría reportar esto directamente al equipo de desarrollo, como ya hice en abril con dos problemas serios en Autofirma.

Pero como no lo hacen, le tengo que molestar a usted. O a su responsable de comunicación, que será —con suerte— el que quizá lea esto. Porque yo como ciudadano no tengo otro camino para canalizarle la frustración ciudadana con la Administración Electrónica estatal.

…Y pedir a mis pacientes seguidores, si son tan amables, que redifundan esto, pues es la única esperanza de que llegue a alguien en su ministerio —o en la AEAD o donde diablos sea— con capacidad de mover un dedo para resolverlo.

Saludos cordiales,

— Jaime

[Jaime Gómez-Obregón @JaimeObregon]

Un desarrollador danés, flipando con Autofirma, deja un educado comentario en el repositorio de desarrollo.

Es imposible explicarlo mejor:

«En el sector privado, lanzar software en este estado supondría un fracaso comercial inmediato. El hecho de que esta aplicación sea obligatoria para los ciudadanos españoles no exime al equipo de desarrollo de cumplir con los estándares modernos de seguridad y distribución. Exige estándares más altos, no más bajos».

¡Necesitamos más software de código abierto en la Administración pública!

[socketz @socketz]

@25NBNews @mhdksafa ❌ Misleading disinfo.
1️⃣ Gaza’s high birth rate hides deaths – population rise ≠ no genocide.
2️⃣ Genocide = intent, not net change.
3️⃣ Ignores UN/ICJ findings.
📊 Population curves ≠ verdict.

[SEKTOR7 Institute @SEKTOR7net]

NativeDump

Minidumps using native API only to dump LSASS memory, a tool by Ricardo Ruiz (@RicardoJoseRF )

Source: https://t.co/9jXEHLNkQN

#redteam #blueteam #maldev #malwaredevelopment

[Jaime Gómez-Obregón @JaimeObregon]

DEFIENDE LO PÚBLICO.

[Florian Roth ⚡️ @cyb3rops]

We released first detection rules for Copy Fail / CVE-2026-31431.

YARA rules by me:
https://t.co/PrkIOIihA6

It covers public PoC artifacts, including known payloads, exploit code fragments and URLs seen in shared material.

More generic rules for customer environments are still in testing.

Sigma rules by @_swachchhanda_:
https://t.co/UTZgDhtsqg

They cover suspicious Copy Fail-related exploitation patterns, including setuid binary execution behavior and NULL argv shell execution.

More updates soon.

[Jaime Gómez-Obregón @JaimeObregon]

👋 Hola, Ministerio de Transformación Digital, @mintradigital:
👋 Hola, Secretaría de Estado, @SEtelecoGob:

Autofirma es un componente esencial de la Administración Electrónica española. Millones lo utilizamos para relacionarnos con la Administración. No por placer, sino porque es ✨requisito✨.

----8<----8<----8<----8<----8<----8<----
El paquete de Autofirma que distribuís para Mac no cumple las garantías de seguridad modernas (notarización), así que el sistema dice que es malware que puede dañar el sistema y rechaza instalarla. 😃🔫
----8<----8<----8<----8<----8<----8<----

🤦 Para instalarla hay que —ojo al dato— desactivar las políticas de ciberseguridad del sistema operativo. 🤦

¡Hola, @INCIBE! Hacéis campañas fabulosas para concienciar a la ciudadanía de los riesgos de ciberseguridad, pero luego nos enjaretáis —el Estado— marrones como este. ¿Podéis hacer algo, por favor?

Respetado ministro @oscarlopeztwit:
Respetada secretaria de Estado @mariagv:

— Si hacéis software, cumplid los estándares modernos de empaquetado y distribución de software.

— Si no podéis notarizar Autofirma, modernizad la arquitectura del programa para que se pueda.

— Si no podéis modernizar Autofirma, necesitamos un Ministerio para la Transformación del Ministerio de la Transformación Digital.

Esto es lo que ve un usuario al intentar instalar Autofirma en un Mac:

[SEKTOR7 Institute @SEKTOR7net]

Remote EDR Discovery.

Methods for detecting remote EDR deployments without local agent presence, a post by Jonathan Johnson (@JonnyJohnson_ )

Source: https://t.co/7X3qwmrsEo

#redteam #blueteam #maldev #malwaredevelopment

[Rasta Mouse @_RastaMouse]

Atomic BOFs
https://t.co/VRDxY5InwN

[JFrog Security @JFrogSecurity]

TeamPCP is back.
The xinference PyPI package (680K downloads, 9.3K stars) was hijacked. Import it and your cloud credentials, SSH keys, and .env secrets are instantly harvested and exfiltrated.
Versions 2.6.0–2.6.2 are malicious. If you installed them, assume compromise and rotate everything now.
Full technical breakdown 👇

[Threat Hunting Labs @ThruntingLabs]

The Malware Analysis labs just got a serious upgrade.

You can now choose your environment:
• REMnux - Linux
• FLARE VM - Windows

We added FLARE VM because a lot of you wanted a Windows-based option for malware analysis.

At the same time, we separated Incident Response from Malware Analysis so each one can stand on its own with a cleaner, more focused workflow.

We also rebuilt the malware workspace so the active question stays visible on the right, alongside a practical reference of the tools you can use to inspect malicious artefacts and work through the lab.

These changes are now live.

And they land just ahead of our biggest case yet, dropping soon:
a full domain compromise that started from a NetSupport infection! 🔜

[socketz @socketz]

@elhackernet Yo sólo veo en el código que se muestra un listado de extensiones que parece que son usadas habitualmente por bots, así que creo que os habéis colado y esa porción de código es parte de la detección anti-bots que mirará las extensiones que se cargan en el navegador, simplemente.

[Nav Toor @heynavtoor]

Your smart TV is taking screenshots of your screen every 15 seconds.

Not a guess. Not a theory.

A peer-reviewed study by researchers at UC Davis, UCL, and UC3M tested it.

Samsung TVs: every minute.
LG TVs: every 15 seconds.

Even when you're just using it as a monitor.

Here's how to turn it off for every brand:

[ETenal @ETenal7]

It’s bold for Anthropic to claim something is too dangerous to release while other security agents already achieve 10x better results with public models. They have used the same overhyped marketing playbook many times to boost their IPO, but this time, Mythos has been demystified