Procesan a Michail Chkhikvishvili, presunto líder de secta antisemita

Los fiscales federales de Brooklyn presentaron el martes una amplia acusación por delito grave contra un joven de 20 años que, según dicen, es el jefe de una violenta banda de cabezas rapadas de Europa del Este implicada en una serie de agresiones y ataques en el extranjero, algunos de ellos mortales. La banda, conocida como “Maniac Murder Cult” (Culto Asesino Maníaco) o MKY, está conectada con la red de pedofilia 764, con al menos un asesinato en Rumanía directamente relacionado con MKY.

Culto Asesino Maníaco

Michail Chkhikvishvili, también conocido como «Comandante Carnicero», «Michael» y «Mishka», fue detenido en virtud de una orden de Interpol el 6 de julio en Chișinău, Moldavia, por conspirar presuntamente para solicitar atentados contra personas sin hogar, judíos y otras minorías raciales en Nueva York, distribuir instrucciones para fabricar explosivos y proferir amenazas violentas en conversaciones en línea con un empleado encubierto del FBI. Uno de los planes que, según los fiscales, urdió con el federal encubierto consistía en envenenar a niños judíos repartiendo caramelos contaminados vestido de Santa antes de Año Nuevo en 2023.

Chkhikvishvili permanece detenido en Moldavia, país que ya ha colaborado anteriormente con Estados Unidos en la extradición de extranjeros, y aún no ha sido extraditado a EE UU ni ha comparecido por primera vez ante un tribunal. No se le ha asignado un abogado. Si es declarado culpable, se enfrenta a una posible condena de décadas en una prisión estadounidense.

Los federales alegan que Chkhikvishvili trató de incitar al agente encubierto a cometer nuevos atentados con armas blancas o cocteles molotov y que afirmó que el atentado planeado sería una «acción mayor que la de Breivik», en referencia a Anders Breivik, el neonazi noruego que mató a 77 personas en 2011.

Un crimen para entrar

Según el FBI, MKY se adhiere a una «ideología neonazi aceleracionista y promueve la violencia contra las minorías raciales, la comunidad judía y otros grupos que considera «indeseables». Al igual que otros militantes aceleracionistas como Atomwaffen Division y The Base, MKY busca desestabilizar la sociedad a través de la violencia y el terrorismo. Fue fundada en la ciudad ucraniana de Dnipro por Yegor Krasnov y está acusada de numerosos homicidios y agresiones tanto en Rusia como en Ucrania. En sus canales de Telegram, los miembros de MKY ensalzaban la violencia en persona y distribuían guías sobre cómo cometer asaltos violentos y tiroteos, causar el máximo daño a las víctimas y cómo los autores podían cubrir sus huellas. Cometer y documentar un atentado de este tipo es el criterio de admisión en MKY.

Tres carteles estilo propaganda neonazi.

Cortesía del Departamento de Justicia de EE UU

Existen amplios vínculos entre MKY y 764. Esa alianza fue desarrollada por el propio Chkhikvishvili, en particular a través del contacto con dos miembros de 764 que se hacían llamar «Xor» y «Kush», ambos sin identificar. «Tobbz», un joven alemán problemático que mató a una anciana y apuñaló a un hombre en 2022, también se había unido a MKY, según informes de Der Spiegel y Recorder.

La Fiscalía del Distrito Este de Nueva York también está procesando dos casos relacionados: el caso de abuso de menores y distribución de CSAM (material sobre abuso sexual infantil) contra el miembro de 764 Angel Almeida, cuya detención en otoño de 2021 fue el primer vistazo de los federales al mundo de 764 y MKY; y el caso contra Nicholas Welker, el presunto ex jefe del grupo neonazi Feuerkrieg Division, que fue condenado en abril por amenazar a un periodista de Brooklyn. Según los registros judiciales, Welker y Chkhikvishvili estuvieron en contacto desde julio de 2022 hasta marzo de 2023, cuando Welker fue detenido y acusado.

Chkhikvishvili, de nacionalidad georgiana, estuvo presente en Estados Unidos en 2022, según una declaración jurada de la agente especial del FBI Erica Dobin, del Grupo de Trabajo Conjunto contra el Terrorismo de Nueva York. Las autoridades estadounidenses afirman que visitó a su novia en California en marzo y abril de ese año, información que el FBI conoció tras entrevistar a la joven sobre sus virulentas publicaciones neonazis en las redes sociales. Poco después, Chkhikvishvili viajó a Brooklyn, donde se alojó con sus abuelos y trabajó en un centro de rehabilitación cuidando a un anciano judío ortodoxo: «Trabajo en un centro de rehabilitación privado para una familia judía», envió un mensaje a otro neonazi en julio de 2022, según la denuncia penal. «El gobierno afirma que Chkhikvishvili envió varias imágenes del paciente a su compañero extremista. El paciente murió ese mismo año, aunque el gobierno no alega que Chkhikvishvili le causara la muerte.

No está claro cuándo salió Chkhikvishvili de Estados Unidos. Los fiscales federales indican que su lugar de residencia era Tiflis, Georgia, aunque fue detenido en un país balcánico situado al otro lado del Mar Negro.

Según los fiscales, Chkhikvishvili instó al infiltrado a que cometiera actos violentos y los grabara, e insistió repetidamente en el nivel letal de violencia que los miembros de MKY empleaban en sus ataques: «Nosotros asesinamos en LARP)», escribió supuestamente a otro extremista mientras comparaba a MKY con otro grupo neonazi, refiriéndose a los «juegos de rol de acción en vivo». Según los fiscales, incluso mientras planeaba el plan de envenenamiento masivo con el agente encubierto del FBI, Chkhikvishvili no se amilanó ante la posible «presión» que el agente encubierto advirtió que supondría para MKY: «Eso es exactamente lo que queremos», escribió en respuesta.

Artículo publicado originalmente en WIRED. Adaptado por Mauricio Serfatty Godoy.

CVE-2024-6164

CVE-2024-6164

Título es
CVE-2024-6164

Jue, 18/07/2024 – 06:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6164

Descripción en
The Filter & Grids WordPress plugin before 2.8.33 is vulnerable to Local File Inclusion via the post_layout parameter. This makes it possible for an unauthenticated attacker to include and execute PHP files on the server, allowing the execution of any PHP code in those files.

18/07/2024
18/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-41011

CVE-2024-41011

Título es
CVE-2024-41011

Jue, 18/07/2024 – 07:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41011

Descripción en
In the Linux kernel, the following vulnerability has been resolved:

drm/amdkfd: don't allow mapping the MMIO HDP page with large pages

We don't get the right offset in that case. The GPU has
an unused 4K area of the register BAR space into which you can
remap registers. We remap the HDP flush registers into this
space to allow userspace (CPU or GPU) to flush the HDP when it
updates VRAM. However, on systems with >4K pages, we end up
exposing PAGE_SIZE of MMIO space.

18/07/2024
18/07/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-5964

CVE-2024-5964

Título es
CVE-2024-5964

Jue, 18/07/2024 – 02:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-5964

Descripción en
The Zenon Lite theme for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘url’ parameter within the theme's Button shortcode in all versions up to, and including, 1.9 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

18/07/2024
18/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-5726

CVE-2024-5726

Título es
CVE-2024-5726

Jue, 18/07/2024 – 02:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-5726

Descripción en
The Timeline Event History plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 3.1 via deserialization of untrusted input 'timelines-data' parameter. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject a PHP Object. No known POP chain is present in the vulnerable software. If a POP chain is present via an additional plugin or theme installed on the target system, it could allow the attacker to delete arbitrary files, retrieve sensitive data, or execute code.

18/07/2024
18/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-6705

CVE-2024-6705

Título es
CVE-2024-6705

Jue, 18/07/2024 – 02:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6705

Descripción en
The RegLevel plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 1.2.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.

18/07/2024
18/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-6599

CVE-2024-6599

Título es
CVE-2024-6599

Jue, 18/07/2024 – 02:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6599

Descripción en
The Meks Video Importer plugin for WordPress is vulnerable to unauthorized API key modification due to a missing capability check on the ajax_save_settings function in all versions up to, and including, 1.0.11. This makes it possible for authenticated attackers, with Subscriber-level access and above, to modify the plugin's API keys

18/07/2024
18/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
4.30

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-6175

CVE-2024-6175

Título es
CVE-2024-6175

Jue, 18/07/2024 – 02:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6175

Descripción en
The Booking Ultra Pro Appointments Booking Calendar Plugin plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the multiple functions in all versions up to, and including, 1.1.13. This makes it possible for authenticated attackers, with Subscriber-level access and above, to modify and delete. multiple plugin options and data such as payments, pricing, booking information, business hours, calendars, profile information, and email templates.

18/07/2024
18/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2023-6708

CVE-2023-6708

Título es
CVE-2023-6708

Jue, 18/07/2024 – 03:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2023-6708

Descripción en
The SVG Support plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the SVG upload feature in all versions up to, and including, 2.5.5 due to insufficient input sanitization and output escaping, even when the 'Sanitize SVG while uploading' feature is enabled. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Note that successful exploitation of this vulnerability requires the administrator to allow author-level users to upload SVG files.

18/07/2024
18/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
5.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-39681

CVE-2024-39681

Título es
CVE-2024-39681

Jue, 18/07/2024 – 01:15

Tipo
CWE-352

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-39681

Descripción en
Cooked is a recipe plugin for WordPress. The Cooked plugin for WordPress is vulnerable to Cross-Site Request Forgery (CSRF) in versions up to, and including, 1.7.15.4 due to missing or incorrect nonce validation on the AJAX action handler. This vulnerability could allow an attacker to trick users into performing an action they didn't intend to perform under their current authentication. This issue has been addressed in release version 1.8.0. Users are advised to upgrade. There are no known workarounds for this vulnerability.

18/07/2024
18/07/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

Gravedad 3.1 (CVSS 3.1 Base Score)
5.40

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off