Anyone will tell you that as hard as it is to create a working system, the real trick is making two systems talk to each other, especially if you created only one or none of them. That’s why tools that let you listen in on two systems talking are especially valuable.

If you were a well-funded lab back in the RS232 days, you might have an HP4957A protocol analyzer. The good news is that if you still use RS232, these kinds of things are now cheap on the surplus market. [IMSAI Guy] got one of these decidedly cool devices and shows it to us in the video below.

The look of these was pretty neat for their time—a folded-up instrument with a cute keyboard and a CRT-100. You can load different interpreters from ROM to RAM, such as the VT-100, which is essentially an application for the device. Of course, now you could rig one of these up in a few minutes with a PC or even a Pi Pico. But it wouldn’t have the same charm, we are sure you would agree.

You can find a lot of old RS232 gear around, from breakout boxes to advanced sniffers like this one. Too bad we couldn’t afford them when we really needed them.

This could be handy if you have a lot of ports. Either real or virtual. Or, do it yourself.

youtube.com/embed/Sk-8_QMKBHY?…

hackaday.com/2025/03/30/protoc…

Another day, another Internet-connected gadget that gets abandoned by its creators. This time it’s Jooki — a screen-free audio player that let kids listen to music and stories by placing specific tokens on top of it. Parents would use a smartphone application to program what each token would do, and that way even very young children could independently select what they wanted to hear.

Well, until the company went bankrupt and shutdown their servers down, anyway. Security researcher [nuit] wrote into share the impressive work they’ve done so far to identify flaws in the Jooki’s firmware, in the hopes that it will inspire others in the community to start poking around inside these devices. While there’s unfortunately not enough here to return these devices to a fully-functional state today, there’s several promising leads.

It probably won’t surprise you to learn the device is running some kind of stripped down Linux, and [nuit] spends the first part of the write-up going over the partitions and peeking around inside the filesystem. From there the post briefly covers how over-the-air (OTA) updates were supposed to work when everything was still online, which may become useful in the future when the community has a new firmware to flash these things with.

Where things really start getting interesting is when the Jooki starts up and exposes its HTTP API to other devices on the local network. There are some promising endpoints such as /flags which let’s you control various aspects of the device, but the real prize is /ll, which is a built-in backdoor that runs whatever command you pass it with root-level permissions! It’s such a ridiculous thing to include in a commercial product that we’d like to think they originally meant to call it /lol, but in any event, it’s a huge boon to anyone looking to dig deeper in to the device.
The inside of a second-generation Jooki
But wait, there’s more! The Jooki runs a heartbeat script that regularly attempts to check in with the mothership. The expected response when the box pings the server is your standard HTTP 200 OK, but in what appears to be some kind of hacky attempt at implementing a secondary OTA mechanism, any commands sent back in place of the HTTP status code will be executed as root.

Now as any accomplished penguin wrangler will know, if you can run commands as root, it doesn’t take long to fire up an SSH server and get yourself an interactive login. Either of these methods can be used to get into the speaker’s OS, and as [nuit] points out, the second method means that whoever can buy up the Jooki domain name would have remote root access to every speaker out there.

Long story short, it’s horrifyingly easy to get root access on a Jooki speaker. The trick now is figuring out how this access can be used to restore these devices to full functionality. We just recently covered a project which offered a new firmware and self-hosted backend for an abandoned smart display, hopefully something similar for the Jooki isn’t far off.

hackaday.com/2025/03/30/can-ha…

Il 28 marzo 2025, un utente del noto forum di cybersecurity BreachForums, con lo pseudonimo ThinkingOne, ha rivelato quello che potrebbe essere il più grande data breach mai registrato nel mondo dei social media. Secondo quanto riportato, un archivio contenente i dati di 2.8 miliardi di utenti di Twitter (ora X) sarebbe stato sottratto e reso pubblico, con molte probabilità da un dipendente scontento nel bel mezzo di una serie di licenziamenti di massa all’interno dell’azienda.

Il Threat Actors afferma anche che avrebbe “provato prima a contattare X tramite diversi metodi senza ottenere risposta”.

Ciò che rende questa violazione ancora più grave è la fusione dei nuovi dati con il già noto Twitter Breach del 2023, che aveva esposto informazioni su 200 milioni di utenti. Questa operazione di correlazione dei dati ha portato alla creazione di un nuovo file combinando le informazioni del 2023 con quelle recenti.

Il post di Gennaio 2025

Già il 25 gennaio 2025, ThinkingOne aveva pubblicato un primo post in cui segnalava che i dati erano stati rilasciati pubblicamente, ma nessuno sembrava prestare la giusta attenzione alla questione. Nel suo messaggio, aveva sottolineato che sebbene il dataset non contenesse email, indirizzi, numeri di telefono o password, la sua dimensione di 2.8 miliardi di record lo rendeva comunque la fuga di dati più ampia mai registrata nei social media. Nei giorni successivi, aveva aggiornato il post, evidenziando che il leak era stato pubblicato da un account anonimo tramite un link magnetico e successivamente condiviso online.

In un’ulteriore modifica al post del 10 marzo 2025, ThinkingOne aveva avanzato l’ipotesi che i dati fossero stati sottratti all’inizio del 2025 da un dipendente, mentre il 15 marzo 2025, dopo un’analisi più approfondita, aveva concluso che il dataset era stato raccolto durante il periodo in cui i dipendenti di Twitter temevano licenziamenti di massa. Inoltre, aveva ipotizzato che i dati fossero stati successivamente modificati prima della loro diffusione, segnalando una possibile “post-elaborazione” del contenuto.

La fuga di dati del 2022

Questa nuova raccolta di dati è il risultato della fusione di diverse violazioni che hanno colpito X (ex Twitter). In particolare, il threat actor ha combinato la recente fuga di dati con quella del 2022, dimostrando come l’arricchimento delle informazioni sia essenziale per ricostruire un profilo digitale dettagliato di ogni individuo.

Questo non solo facilita operazioni di intelligence malevola, ma permette anche di affinare le strategie di attacco, aumentando l’efficacia delle frodi mirate.

Dati Esfiltrati

A differenza della fuga di dati del 2023, che X aveva minimizzato definendola “dati pubblicamente accessibili”, il nuovo database include informazioni molto più dettagliate. Secondo ThinkingOne, ogni record ora comprende:

• ID univoco dell’utente
• Nome utente (screen name)
• Nome completo
• Email associata all’account
• Biografia e descrizione
• URL personali
• Lingua dell’account
• Numero di follower e seguiti (con dati storici)
• Data di creazione dell’account
• Ultimo tweet pubblicato (con timestamp e origine del tweet)
• Indicazione se l’account è verificato o privato

L’archivio complessivo ha una dimensione di 34GB in formato CSV, riducibile a 9GB in forma compressa.

Conseguenze e Rischi per gli Utenti

Per gli utenti di X, questa fuga di dati rappresenta una minaccia concreta. I dati trapelati potrebbero essere utilizzati per:

• Frodi e truffe online tramite campagne mirate di phishing.
• Attacchi di credential stuffing (tentativi di accesso con password già compromesse).
• Doxxing e stalking online, mettendo a rischio la privacy e la sicurezza personale.

Come Proteggersi

• Cambia immediatamente la password e attiva l’autenticazione a due fattori (2FA).
• Verifica se il tuo account è stato compromesso utilizzando servizi come Have I Been Pwned.
• Diffida da email sospette che potrebbero tentare di sfruttare le informazioni trapelate.
• Evita di condividere dati personali sensibili su piattaforme pubbliche.

Conclusioni

Il leak da 2.8 miliardi di dati utente rappresenta un nuovo campanello d’allarme per la sicurezza dei social media. Se confermato, sarebbe il più grande data breach mai registrato nel settore. Il silenzio di X e l’incapacità di rispondere prontamente a queste segnalazioni dimostrano la vulnerabilità della piattaforma nei confronti di minacce interne ed esterne. Gli utenti dovrebbero agire rapidamente per proteggere i propri account, mentre la comunità della sicurezza informatica osserva attentamente eventuali sviluppi su questo incidente.

L'articolo X/Twitter nel Caos! Un Threat Actors pubblica 2.8 Miliardi di Account Compromessi proviene da il blog della sicurezza informatica.

When attempting to secure something, whether it’s a computer, sensitive data, or valuables, there’s always going to be a way to break that security. It might be impossibly hard, like taking centuries to brute-force an encryption algorithm, but it’s weakness is still there. And, like the future might make certain encryption obsolete, modern electronics has made security of the past somewhat obsolete as well. [Startup Chuck] has been using tools the creators of safes from the late 1800s could probably not have imagined.

The tool that [Startup Chuck] has come up with is known as an autodialer in the safe-cracking world, and as its name suggests it automates the process of opening the safe by trying as many combinations as possible. The autodialer attaches to the safe with three magnetic feet and couples to the dial through a chuck attached to a magnetic clutch, which allows the autodialer to disengage as soon as the correct combination is found. It’s driven with a stepper motor which can test out combinations so fast that [Startup Chuck] needed to take 240 fps video and slow it down to make sure that the mechanism was behaving properly.

The autodialer itself can’t actually open the safe, though. The last step of the process is taken care of by a bungie cord, attached to the safe handle to pre-tension it enough so that when the correct combination is finally entered the safe pops open automatically. For anyone looking to duplicate the project, [Startup Chuck] has added the program code to a GitHub page. If you’re looking at a more modern safe, though, there are of course ways to crack their security systems as well.

youtube.com/embed/BcfdyP5HKWw?…

hackaday.com/2025/03/30/automa…

Ever want to get into reverse engineering but don’t know where to start? You’re in luck — [Hash] just dropped a case study in chip glitching that should get you off on the right foot.

The object of this reverse engineering effort in the video below is a Microchip SAM4C32C, removed from one of the many smart electrical meters [Hash] loves to tear into. This microcontroller was supposed to be locked to prevent anyone from sniffing around in the code, but after soldering the chip to a target board and plugging it into a Chip Whisperer, [Hash] was able to find some odd-looking traces on the oscilloscope. Of particular interest was an unusual pattern on the scope while resetting the chip, which led him to an AI-assisted search for potential vulnerabilities. This allowed him to narrow down the target time for a power glitch, and in only a few seconds, the chip was forced to bypass its security bit and drop into its boot loader. With the keys to the kingdom, [Hash] was able to read the firmware and find all sorts of interesting tidbits.

Obviously, chip glitching isn’t always as easy as this, and even when a manufacturer leaves a vector like this in the chip, exploiting it does take some experience and finesse. But, if you’re going to get started glitching, it makes sense to start with the low-hanging fruit, and having [Hash] along for the ride doesn’t hurt either.

youtube.com/embed/IOD5voFTAz8?…

hackaday.com/2025/03/30/chip-g…

Ieri sono stata al concerto di #CristianoDeAndré a #Locarno con mia mamma.
Come lascia facilmente intendere il nome del tour "De André canta De André", Cristiano ripercorre e tiene vive le canzoni di suo padre.
Certo, avrei tanto voluto sentire l'originale, ma è stato comunque emozionante, soprattutto per il fatto di essere lì con mia mamma, che finalmente riesce a prendersi un po' di tempo per sé.
Durante il concerto ha raccontato alcuni aneddoti, dei suoi ricordi personali e parlato degli arrangiamenti delle canzoni (a me personalmente sono piaciuti! 😊).
I miei momenti preferiti? Oltre al discorso sulla Palestina prima di "Disamistade", sicuramente "Smisurata Preghiera", "Nella mia ora di libertà" e "Un giudice".
Proprio su quest’ultima canzone ho io un aneddoto.
Quando eravamo piccoli e la mamma in auto ascoltava Non al denaro non all’amore né al cielo, noi aspettavamo trepidanti "Un giudice" solo per sghignazzare alla parola culo, che in quel periodo era vietata in casa nostra (così come altre parole volgari).
Lei, invece di sgridarci, ogni santa volta ci spiegava il messaggio della canzone e perché De André avesse scelto di usare proprio la parola che tanto ci faceva ridere.
Mia mamma ci ha sempre spiegato le canzoni che ascoltava: La locomotiva, Primavera di Praga, La Guerra di Piero e tante, tante altre.

Sempre ieri al corso di formazione FIDE abbiamo parlato di cosa ci muove e motiva a seguire la formazione e in generale nell'accogliere persone migranti.
Beh, la mia infanzia, signori. 🤷‍♀️

p.s. poche foto e brutte. perché odio stare ai concerti col cellulare in mano.

Il 29 marzo 2025 si tenne a Roma un congresso di partito. Vi sono intervenuti vari ben vestiti nutriti più o meno bene, per motivi che in questa sede non è né necessario né utile descrivere nel dettaglio.
Circolarono alcune dichiarazioni di un certo Carlo Calenda in cui si assicurava che "l'unico modo per avere a che fare con il Movimento 5 Stelle è cancellarlo".

Carlo Calenda non è propriamente un Machiavelli e sul suo conto esistono molti scritti sprezzanti. Vive in un mondo in cui vigono comportamenti di consumo già eccepibili per conto proprio.
Solo per fare un esempio, alcuni anni fa in un "paese" in cui l'ascensore sociale sta portando allo sprofondo milioni di sudditi e con i redditi in picchiata da decenni, non trovò di meglio che affidare un lavoretto di ramazzamento voti a un certo Roman Pastore, che credette bene svolgere l'incombenza con al polso un pezzo di metallo che segna le ore ma che costa quanto un appartamento.
Il "partito" di questo Calenda gioca nel democratismo rappresentativo. E quelli del democratismo rappresentativo tacciano da decenni di terrorista chiunque non procuri loro un reddito, così come considerano comunismo qualsiasi cosa non gli piaccia. Se intende davvero farsi largo in quel contesto, magari a spese di un Movimento 5 Stelle che ha l'unica colpa oggettiva di essersi rivolto ai sudditi in modo più efficace, sarà il caso che prenda in considerazione un registro linguistico diverso.