Imagine you want to monitor a pot on the stove to see if it’s boiling over for just a few minutes, but you don’t want to have a dedicated permanent IP webcam solution in your kitchen. [Sebastian Duell]’s FlyingCam hijacks an IKEA lamp gooseneck to become something you never knew you needed: a wireless camera for short-term random remote observation. It’s a beautiful combination of 3D printing and commercial device re-use, and when paired with his DIY wireless screen, it’s a complete solution.

The guts of this project aren’t critical, or expensive. It’s built around one of those ESP32 single-board webcams, with an added fan, battery pack, antenna, and a power switch. You turn it on, and the AP in the ESP32 fires up, or optionally connects to your network. Point the camera at your target and you’re set, at least if you want to sit by your computer. But [Sebastian] also designed a nice simple remote screen, so you can keep tabs on your spaghetti wherever you roam around the house.

We love the attention to keeping the design simple here, both in form and in function. It’s a one-task device, so it’s important that it be extremely easy to use, and it’s hard to beat just pointing the thing and turning on a switch. And it doesn’t hurt that it’s good looking to boot.

IKEA stuff is cheap and cheerful, but often it’s missing just that one functionality that we want. What good is an air-quality sensor without MQTT logging capability, for instance? Or a standing desk that can’t remember set heights? Get hacking!

hackaday.com/2025/03/12/flying…

Secondo i dati del rapporto Proton, giganti della tecnologia come Google, Meta e Apple sono diventati strumenti chiave per le agenzie di intelligence e le forze dell’ordine americane. Negli ultimi anni la quantità di dati trasferiti è aumentata in modo esponenziale e le aziende stesse non possono rifiutarsi di collaborare senza danneggiare il proprio modello di business.

Dal 2014 al 2024, il numero di account i cui dati sono stati trasferiti alle forze dell’ordine è aumentato di centinaia di punti percentuali: Google del 530%, Meta* del 675%, Apple del 621%. In totale, durante questo periodo, le autorità americane hanno ricevuto informazioni su circa 3,16 milioni di utenti. Questi dati non includono le richieste ai sensi delForeign Intelligence Surveillance Act (FISA), che consente richieste segrete di informazioni.

Secondo i dati disponibili, negli ultimi 12 mesi le agenzie statunitensi hanno inoltrato quasi 500.000 richieste a Google e Meta, ovvero più di tutte le altre nazioni dell’alleanza FiveEyes messe insieme. Ciò conferma che gli Stati Uniti utilizzano le principali aziende informatiche come sistema di sorveglianza globale.

Le aziende sono tenute a raccogliere quante più informazioni possibili sui propri utenti perché i loro modelli di business si basano sulla pubblicità mirata. Nel 2024, il giornalista del Times ha richiesto i suoi dati da Meta e ha ricevuto 20 mila pagine di informazioni, comprese azioni su siti e applicazioni non correlate al social network.

Una volta entrati nell’ecosistema Big Tech, gli utenti perdono il controllo sui propri dati. Apple, Google e Meta monitorano praticamente ogni attività online svolta da una persona e potrebbero condividere tali informazioni con terze parti o agenzie governative.

Tecnicamente, la maggior parte delle richieste necessita dell’approvazione giudiziaria, ma esistono delle scappatoie. Ad esempio, le richieste FISA possono essere presentate senza revisione giudiziaria e i cosiddetti “mandati di cattura inversi” consentono alle forze dell’ordine di raccogliere dati sugli utenti senza identificare specifici sospettati.

Negli ultimi anni il numero di richieste FISA è aumentato drasticamente: del 2171% per Meta, del 594% per Google e del 274% per Apple. Spesso queste richieste restano classificate e le aziende IT sono tenute a soddisfarle. Sebbene le aziende tecnologiche dichiarino di avere a cuore la privacy, la loro dipendenza finanziaria dalla pubblicità rende difficile implementare una crittografia end-to-end completa. Nel 2023, la pubblicità ha generato il 98% dei ricavi di Meta, il 77% per Alphabet (Google) e Apple sta aumentando attivamente i suoi ricavi pubblicitari.

Di conseguenza, il governo degli Stati Uniti ottiene l’accesso a enormi quantità di dati senza adeguati controlli e gli utenti si ritrovano in una posizione in cui le loro informazioni personali sono di fatto nelle mani di agenzie di intelligence e aziende.

L'articolo Sotto Sorveglianza: 3,16 Milioni di Utenti Sorvegliati da Meta, Google e Apple nel Rapporto di Proton proviene da il blog della sicurezza informatica.

More and more of the ‘smart’ gadgets like watches and phones that we carry around with us these days come with features that we’d not care to ever need. Since these are devices that we strap onto our wrists and generally carry in close proximity to our bodies, they can use their sensors to make an estimation of whether said body is possibly in the process of expiring. This can be due to a severe kinetic event like a car crash, or something more subtle like the cessation of the beating of one’s heart.

There is a fairly new Loss of Pulse Detection (LoPD) feature in Google’s Pixel Watch 3 that recently got US FDA approval, allowing it to be made available in the US after previously becoming available in over a dozen European countries following its announcement in August of 2024. This opt-in feature regularly polls whether it can detect the user’s pulse. If not found, it cascades down a few steps before calling emergency services.

The pertinent question here is always whether it is truly detecting a crisis event, as nobody wants to regularly apologize for a false alert to the overworked person staffing the 911 or equivalent emergency line. So how do you reliably determine that your smart watch or phone should dial emergencies forthwith?

Budget Medical Devices

One of the amazing things about technological progress is that sensors and processing capabilities that were rather exotic a few decades ago are now being included in just about any smart device you can strap on your wrist. This includes motion sensors, pulse- and oxygen level meters, making these devices in theory capable of acting like ambulatory cardiac monitors and similar medical devices that monitor health parameters and respond to emergencies.

While for a long time the gold standard for heart function monitoring over a longer period outside a hospital setting involved a portable electrocardiogram (ECG) recorder, recently wrist-worn monitoring devices based around photoplethysmography (PPG) have prove themselves to acceptable substitutes. In a 2018 study by Francesco Sartor et al. in BMC Sports Science, Medicine and Rehabilitation the researchers found that the wrist-worn PPG was not as accurate as the ECG-based chest strap monitor, but came close enough to be practical.

Here the difference is such that applications where precision actually matters the chest strap ECG is still the optimal choice, but wrist-worn PPG devices as integrated into many fitness bands and smart watches are an acceptable substitute, such as when monitoring heart rate for signs of atrial fibrillation. A 2022 study by Christopher Ford et al. in JACC: Clinical Electrophysiology examined two smart watches (Apple Watch 4, KardiaBand) for this purpose, finding that their accuracy here was 91% and 87% respectively.

Together with additional sensors like the commonly integrated motion sensor, these devices seem accurate enough to at least determine whether the person wearing them is suffering a cardiac event that requires immediate intervention.

Health Check

The idea of an automatic emergency call isn’t new, with for example the EU making such a system (called eCall) mandatory in new cars since 2018. The idea is that when a serious collision is detected, emergency services are contacted and provided with location and sensor data. Google added its Car Crash Detection feature to the Pixel 3 smartphone in 2019, and Apple added Crash Detection to its Apple Watch and iPhones in 2022. These use sensor data from gyroscopes, GPS, microphones, and accelerometers to determine whether a crash just occurred.

What users of these devices discovered, however, was that activities such as going on a rollercoaster ride could activate this feature, as well as snowmobile rides, skiing, and similar activities. In response, Apple had to adjust its algorithms on these devices to reduce the number of false positives. Despite this, rescue workers in e.g. Canada are still reporting a large number of false positives. One reason cited is that although there’s a time-out before emergency line is called with audible alarm, this can be hard to hear when you’re on a snowmobile.

As it turns out, defining what seems like a pretty clear event to us when you’re limited to just this handful of sensors is much trickier than it seems. After all, what is different between the sensor data from a rollercoaster ride, a car crash, dropping one’s phone or smart watch onto a concrete floor or forgetting said phone on the roof of the car?

In this context, the idea of taking a simple activity like measuring heart rate and pulse, and extrapolating from these that if they cease, an emergency has occurred is fraught with pitfalls as well.

Merging Data

How do you know as a human being that someone has just suffered cardiac arrest? You confirm that they don’t have a noticeable (carotid) pulse, and the reason why you checked is because they clearly collapsed. This is when you’d pull out your phone and dial emergency services. The LoPD feature that Google has introduced has to do effectively exactly these steps, except that it starts from the loss of pulse (LoP) rather than from seeing someone pass out and collapse to the ground.

Thus the tricky part is establishing whether said collapsing has occurred, not whether the pulse has been lost. After all, the user may have simply taken the watch off. According to Google, to verify their algorithms they hired stunt actors to simulate LoP using a tourniquet (cutting off blood flow) and simulating falls like a person suffering cardiac arrest would suffer.

On the sensor side they use the heart rate monitor (PPG sensor), which initially uses the green light to check for pulse, but can switch to infrared and red lights when a LoP condition is triggered. Simultaneously the motion sensor data is consulted, with a lack of motion taken as a sign that we’re dealing with a LoPD. This starts an auditory alarm and visual countdown on the screen before emergency services are contacted with an automated message plus the user’s location.

To calibrate the response to this merged sensor data with clinical data on e.g. cardiological events before trialing the result with said stunt actors and volunteers. An article on this research was also published in Nature (paywalled, gift article), detailing the algorithm and the way they tested its effectiveness. In the paper the authors note one false positive event and subsequent emergency call across 21.67 user-years across two studies, with a sensitivity of 67.23%.

A Matter Of Time

Chain of survival in case of cardiac arrest. (Credit: European Resuscitation Council)
In the case of cardiac arrest, time is of the absolute essence. This is also clearly noted in the Google paper on the LoPD feature, who note that ideally there is a witness on-site who can immediately begin CPR or (ideally) get a nearby automated external defibrillator (AED). Unfortunately in most cases of cardiac arrest, this event goes initially unnoticed. The LoPD feature on a smart watch thus would be for cases where nobody is around to notice the emergency and respond to it. Although it isn’t explicitly mentioned, it seems that the watch can also detect whether it’s being worn or not, which should prevent false positives there.

With each year over half a million US citizens alone suffering cardiac arrest and over half of these occurring outside of a hospital setting, this could potentially save thousands of lives each year. Following cardiac arrest and in the absence of resuscitation the lack of blood (and oxygen) being circulated means that within minutes organs begin to suffer the harmful effects, depending on their oxygen requirements. The brain is generally the first to suffer ill effects, which is why the application of CPR is so crucial.

Because of the intense urgency following a major cardiac event like this, the practical use of this LoPD feature will be highly dependent on the location where the emergency occurs. In the case of e.g. someone collapsing while alone at home in their city house or apartment, this could conceivably save their life if emergency services can arrive within minutes. Even faster and more useful in less urban settings would probably be having your smart device notify nearby people who can then perform CPR while calling 911 or equivalent.

That said, perhaps the real killer feature that’s missing here is an integrated AED in smartphones since everyone has one of those things on them at all times, or even smart watches that can automatically perform defibrillation while also notifying emergency services.

hackaday.com/2025/03/12/pixel-…

Nella giornata di oggi, la banda di criminali informatici di FUNKSEC rivendica all’interno del proprio Data Leak Site (DLS) un attacco informatico all’università italiana di Modena e di Reggio Emilia. Nel post pubblicato nel loro blog presente nel clear web (e nelle underground) i criminali informatici riportato che la gang è in possesso di 1GB di dati, esfiltrati dalle infrastrutture IT dell’azienda. Minacciano la pubblicazione tra 7 giorni ed 11 ore.

Al momento, non possiamo confermare la veridicità della notizia, poiché l’organizzazione non ha ancora rilasciato alcun comunicato stampa ufficiale sul proprio sito web riguardo l’incidente. Pertanto, questo articolo deve essere considerato come ‘fonte di intelligence’.

I criminali informatici, per poter attestare che l’accesso alle infrastrutture informatiche è avvenuto con successo, riportano una serie di documenti (samples) afferenti all’azienda.

Questo modo di agire – come sanno i lettori di RHC – generalmente avviene quando ancora non è stato definito un accordo per il pagamento sul riscatto richiesto da parte dei criminali informatici. In questo modo, i criminali minacciando la pubblicazione dei dati in loro possesso, aumentano la pressione verso l’organizzazione violata, sperando che il pagamento avvenga più velocemente.

Da tenere in considerazione che questa cybergang, a differenza delle altre, ha un sito web esposto sulla rete internet, pertanto risulta accessibile nel clear web a chiunque, ed indicizzabili dai motori di ricerca.

Visto che (come scopriremo più avanti) FUNKSEC spesso ha riciclato informazioni di precedenti data leak o attività di hacktivismo, rimane da capire quanto questa rivendicazione sia fondata e pertanto deve essere considerata come “informazione di intelligence”.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

La cybergang Funk Sec

Il gruppo ransomware FunkSec è emerso pubblicamente per la prima volta alla fine del 2024 (come riportano i ricercatori di CheckPoint) e ha rapidamente guadagnato notorietà pubblicando oltre 85 vittime dichiarate, più di qualsiasi altro gruppo ransomware nel solo mese di dicembre. Presentandosi come una nuova operazione Ransomware-as-a-Service (RaaS), FunkSec sembra non avere connessioni note con gang ransomware precedentemente identificate e sono attualmente disponibili poche informazioni sulle sue origini o operazioni.

L’attività del gruppo indica che i numeri impressionanti di vittime pubblicate potrebbero mascherare una realtà più modesta sia in termini di vittime effettive che di livello di competenza del gruppo. La maggior parte delle operazioni principali di FunkSec sono probabilmente condotte da attori inesperti. Inoltre, è difficile verificare l’autenticità delle informazioni trapelate poiché l’obiettivo principale del gruppo sembra essere quello di ottenere visibilità e riconoscimento. Le prove suggeriscono che in alcuni casi le informazioni trapelate sono state riciclate da precedenti fughe di notizie correlate ad attività di attivismo, sollevando dubbi sulla loro autenticità.

FunkSec a legami con il mondo dell’hacktivismo e utilizzano strumenti pubblici , tra cui un ransomware personalizzato probabilmente sviluppato da un autore di malware relativamente inesperto con sede in Algeria. I risultati indicano che lo sviluppo degli strumenti del gruppo, incluso il ransomware, è stato probabilmente assistito dall’intelligenza artificiale, il che potrebbe aver contribuito alla loro rapida iterazione nonostante l’apparente mancanza di competenza tecnica dell’autore

Questo caso evidenzia la linea sempre più sfocata tra hacktivismo e criminalità informatica, sottolineando le sfide nel distinguere l’uno dall’altro. Se tale distinzione esista realmente, o se gli operatori ne siano consapevoli o siano interessati a definirla, resta incerto. Ancora più importante, mette anche in discussione l’affidabilità degli attuali metodi per valutare il rischio rappresentato dai gruppi ransomware, soprattutto quando tali valutazioni si basano sulle affermazioni pubbliche degli stessi attori.

L’Università di Modena e di Reggio Emilia

Fin dalle sue origini risalenti al lontano 1175, l’Ateneo ha rappresentato il fulcro della vita scientifica, culturale e sociale e, seppur con fortune alterne legate ai locali mutamenti politici susseguitisi nel corso dei secoli, l’Ateneo si è progressivamente ampliato per diventare una Università multidisciplinare, attiva e dinamica.

Con circa 30.000 studentesse e studenti iscritti ai corsi di studio di I, II e III livello e oltre 1.400 dipendenti tra personale docente, ricercatore e tecnico-amministrativo, Unimore rientra tra gli Atenei di grandi dimensioni, è organizzata a rete di sedi (Modena e Reggio Emilia) ed è costituita da 13 Dipartimenti e 2 Facoltà/Scuole a cui si affiancano le città di Mantova e Carpi (sedi accreditate di Corsi di laurea), oltre che da centri interdipartimentali dislocati sul territorio delle due province di Modena e di Reggio Emilia, dove si svolgono attività di didattica, ricerca, terza missione e relativi servizi a supporto e di trasferimento tecnologico.

Cos’è il ransomware as a service (RaaS)

Il ransomware, è una tipologia di malware che viene inoculato all’interno di una organizzazione, per poter cifrare i dati e rendere indisponibili i sistemi. Una volta cifrati i dati, i criminali chiedono alla vittima il pagamento di un riscatto, da pagare in criptovalute, per poterli decifrare.

Qualora la vittima non voglia pagare il riscatto, i criminali procederanno con la doppia estorsione, ovvero la minaccia della pubblicazione di dati sensibili precedentemente esfiltrati dalle infrastrutture IT della vittima.

Per comprendere meglio il funzionamento delle organizzazioni criminali all’interno del business del ransomware as a service (RaaS), vi rimandiamo a questi articoli:

• Il ransomware cos’è. Scopriamo il funzionamento della RaaS
• Perché l’Italia è al terzo posto negli attacchi ransomware
• Difficoltà di attribuzione di un attacco informatico e false flag
• Alla scoperta del gruppo Ransomware Lockbit 2.0
• Intervista al rappresentante di LockBit 2.0
• Il 2021 è stato un anno difficile sul piano degli incidenti informatici
• Alla scoperta del gruppo Ransomware Darkside
• Intervista al portavoce di Revil UNKNOW, sul forum XSS
• Intervista al portavoce di BlackMatter

Come proteggersi dal ransomware

Le infezioni da ransomware possono essere devastanti per un’organizzazione e il ripristino dei dati può essere un processo difficile e laborioso che richiede operatori altamente specializzati per un recupero affidabile, e anche se in assenza di un backup dei dati, sono molte le volte che il ripristino non ha avuto successo.

Infatti, si consiglia agli utenti e agli amministratori di adottare delle misure di sicurezza preventive per proteggere le proprie reti dalle infezioni da ransomware e sono in ordine di complessità:

• Formare il personale attraverso corsi di Awareness;
• Utilizzare un piano di backup e ripristino dei dati per tutte le informazioni critiche. Eseguire e testare backup regolari per limitare l’impatto della perdita di dati o del sistema e per accelerare il processo di ripristino. Da tenere presente che anche i backup connessi alla rete possono essere influenzati dal ransomware. I backup critici devono essere isolati dalla rete per una protezione ottimale;
• Mantenere il sistema operativo e tutto il software sempre aggiornato con le patch più recenti. Le applicazioni ei sistemi operativi vulnerabili sono l’obiettivo della maggior parte degli attacchi. Garantire che questi siano corretti con gli ultimi aggiornamenti riduce notevolmente il numero di punti di ingresso sfruttabili a disposizione di un utente malintenzionato;
• Mantenere aggiornato il software antivirus ed eseguire la scansione di tutto il software scaricato da Internet prima dell’esecuzione;
• Limitare la capacità degli utenti (autorizzazioni) di installare ed eseguire applicazioni software indesiderate e applicare il principio del “privilegio minimo” a tutti i sistemi e servizi. La limitazione di questi privilegi può impedire l’esecuzione del malware o limitarne la capacità di diffondersi attraverso la rete;
• Evitare di abilitare le macro dagli allegati di posta elettronica. Se un utente apre l’allegato e abilita le macro, il codice incorporato eseguirà il malware sul computer;
• Non seguire i collegamenti Web non richiesti nelle e-mail;
• Esporre le connessione Remote Desktop Protocol (RDP) mai direttamente su internet. Qualora si ha necessità di un accesso da internet, il tutto deve essere mediato da una VPN;
• Implementare sistemi di Intrusion Prevention System (IPS) e Web Application Firewall (WAF) come protezione perimetrale a ridosso dei servizi esposti su internet.
• Implementare una piattaforma di sicurezza XDR, nativamente automatizzata, possibilmente supportata da un servizio MDR 24 ore su 24, 7 giorni su 7, consentendo di raggiungere una protezione e una visibilità completa ed efficace su endpoint, utenti, reti e applicazioni, indipendentemente dalle risorse, dalle dimensioni del team o dalle competenze, fornendo altresì rilevamento, correlazione, analisi e risposta automatizzate.

Sia gli individui che le organizzazioni sono scoraggiati dal pagare il riscatto, in quanto anche dopo il pagamento le cyber gang possono non rilasciare la chiave di decrittazione oppure le operazioni di ripristino possono subire degli errori e delle inconsistenze.

La sicurezza informatica è una cosa seria e oggi può minare profondamente il business di una azienda.

Oggi occorre cambiare immediatamente mentalità e pensare alla cybersecurity come una parte integrante del business e non pensarci solo dopo che è avvenuto un incidente di sicurezza informatica.

L'articolo FUNKSEC rivendica un attacco Informatico All’Università di Modena e Reggio Emilia. Scopri i dettagli proviene da il blog della sicurezza informatica.

LEDs are getting smaller and smaller, and the newest generations of indexable RGB LEDs are even fiddlier to use than their already diminutive predecessors. [Alex Lorman] has written some notes about the minuscule SK6805-EC10 series of LEDs, which may be helpful to those wanting to learn how to deal with these in a more controlled manner.

Most hardware types will be very familiar with the 5050-sized devices, sold as Neopixels in some circles, which are so-named due to being physically 5.0 mm x 5.0 mm in the horizontal dimensions. Many LEDs are specified by this simple width by depth manner. As for addressable RGB LEDs (although not all addressable LEDs are RGB, there are many weird and wonderful combinations out there!) the next most common standard size down the scale is the 2020, also known as the ‘Dotstar.’ These are small enough to present a real soldering challenge, and getting a good placement result needs some real skills.

[Alex] wanted to use the even smaller EC10 or 1111 devices, which measure a staggering 1.1 mm x 1.1 mm! Adafruit’s product page mentions that these are not intended for hand soldering, but we bet you want to try! Anyway, [Alex] has created a KiCAD footprint and a handy test PCB for characterizing and getting used to handling these little suckers, which may help someone on their way. They note that hot air reflow soldering needs low temperature paste (this scribe recommends using MG Chemicals branded T3 Sn₄₂Bi₅₇Ag₁ paste in this application) and a very low heat to avoid cracking the cases open. Also, a low air flow rate to prevent blowing them all over the desk would also be smart. Perhaps these are more suited to hot plate or a proper convection oven?

As a bonus, [Alex] has previously worked with the slightly larger SK6805-1515 device, with some good extra notes around an interesting nonlinearity effect and the required gamma correction to get good colour perception. We’ll leave that to you readers to dig into. Happy soldering!

We’ve not yet seen many projects using these 1111 LEDs, but here’s one we dug up using the larger 1515 unit.

hackaday.com/2025/03/12/some-u…

E non sono purtroppo mancati anche i decessi: la Romania ne ha registrati 18 attribuiti al morbillo, e l'Irlanda uno.

rainews.it/articoli/2025/03/mo…

agi.it/economia/news/2025-03-1…

Tra i prodotti inclusi nella lista (ancora in via di definizione): la soia, proveniente in particolare da Stati come la Louisiana, feudo dello speaker della Camera Mike Johnson. È già oggetto di ritorsioni da parte di altri Paesi. Carne bovina e pollame; settori chiave per Stati a maggioranza repubblicana come il Nebraska e il Kansas;

[...]

Le iconiche Harley-Davidson, già bersaglio di precedenti contromisure europee, e per cui Bruxelles incoraggio le alternative made in Europe. E ancora: prodotti in legno, fondamentali per l'economia di Stati come Georgia, Virginia e Alabama, e ritenuti input strategici per il settore manifatturiero Usa.

L'obiettivo, spiegano da Bruxelles, è chiaro: "Colpire settori cruciali per l'economia statunitense, molti dei quali situati in stati politicamente sensibili, senza danneggiare l'interesse europeo".

Kaspersky provides rapid and fully informed incident response services to organizations, ensuring impact analysis and effective remediation. Our annual report shares anonymized data about the investigations carried out by the Kaspersky Global Emergency Response Team (GERT), as well as statistics and trends in targeted attacks, ransomware and adversaries’ tools that our experts observed throughout the year in real-life incidents that required both comprehensive IR unit support and consulting services aimed at assisting organizations’ in-house expert teams.

Download the full version of the report.

Regions and industries of incident response requests

In 2024, we saw the share of incident response requests rise in most of the regions, with the majority of investigations conducted in the CIS (50.6%), the Middle East (15.7%) and Europe (10.8%).

Geographic distribution of incident response requests, 2024

The distribution of IR requests by industry followed the 2023 pattern, keeping industrial (23.5%), government (16.3%) and financial (13.3%) organizations in the top three most targeted industries. However, this year, the majority of requests came from industrial enterprises, whereas the government agencies were targeted less often than in 2023. We also observe a growing tendency in incidents related to the transportation industry — the number of requests for IR services has doubled since 2023.

Distribution of organizations that requested IR assistance, by industry, 2024

Key 2024 trends and statistics

In 2024, ransomware attacks saw an increase of 8.3 p.p. from the 2023 numbers and amounted to 41.6% of incidents overall. Our GERT experts estimate that ransomware will persist as the main threat to organizations worldwide in the upcoming year, continuing the trend of the recent years, as we observe this threat holding top positions among incidents in organizations. In the majority of infections, we encountered samples of the LockBit family (43.6%), followed by Babuk (9.1%) and Phobos (5.5%). Our investigations also revealed new ransomware families, such as ShrinkLocker and Ymir. What is more, GERT experts discovered noteworthy malicious campaigns like Tusk and a set of incidents with CVE-2023-48788 exploited.

Another alarming trend identified in real incident response cases is wider use of such tools as Mimikatz (21.8%) and PsExec (20.0%). They are commonly used during post-exploitation for password extraction and lateral movement. We also observe a strengthening tendency for data leakage to be the second most common reason for an incident response request, amounting to 16.9% of all incidents, which correlates with our assumptions regarding trends in credential access techniques.

Recommendations for preventing incidents

To protect your organization against cyberthreats and minimize the damage in the case of an attack, Kaspersky GERT experts recommend:

• Implementing a strong password policy and using multi-factor authentication
• Removing management ports from public access
• Adopting secure development practices to prevent insecure code from reaching production environments
• Establishing a zero-tolerance policy for patch management, or having compensation measures in place for public-facing applications
• Ensuring that employees maintain a high level of security awareness
• Implementing rules to detect utilities commonly used by adversaries
• Conducting frequent, regular compromise assessment activities
• Employing a security tool set that includes EDR-like telemetry
• Constantly testing the security operations team’s response times with simulated attacks
• Prohibiting the use of any software being used within the corporate network that is known to be used by attackers
• Regularly backing up your data
• Working with an Incident Response Retainer partner to address incidents with fast SLAs
• Implementing strict security programs for applications that handle personal information
• Implementing security access control over important data using DLP
• Continuously training your incident response team to maintain their expertise and stay up-to-date with the evolving threat landscape

The full 2024 Incident Response Report features additional information about real-life incidents, including new threats discovered by Kaspersky experts. We also take a closer look at APT activities, providing statistics for the most prolific groups. The report includes comprehensive analysis of initial attack vectors in correlation with the MITRE ATT&CK tactics and techniques and the full list of vulnerabilities that we detected during incident response engagements.

securelist.com/kaspersky-incid…

While the Bus Pirate 5 is an impressive piece of hardware, the software is arguably where the project really shines. Creator [Ian Lesnet] and several members of the community are constantly working to add new features and capabilities to the hardware hacking multi-tool, to the point that if your firmware is more than a few days old there’s an excellent chance there’s a fresher build available for you to try out.

One of the biggest additions from the last week or so of development has been the I2C sniffer — a valuable tool for troubleshooting or reverse engineering devices using the popular communications protocol. [Ian] has posted a brief demo video of it in action.

It’s actually a capability that was available in the “classic” versions of the Bus Pirate, but rather than porting the feature over from the old firmware, [Ian] decided to fold the MIT licensed pico_i2c_sniffer from [Juan Schiavoni] into the new codebase. Thanks to the RP2040’s PIO, the sniffer works at up to 500 kHz, significantly outperforming its predecessor.

Admittedly, I2C sniffing isn’t anything you couldn’t do with a cheap logic analyzer. But that means dealing with captures and making sure the protocol decoder is setup properly, among other bits of software tedium. In comparison, once you start the sniffer program on the Bus Pirate 5, I2C data will be dumped out to the terminal in real-time for as long as you care to see it. For reverse engineering, it’s also very easy to move quickly from sniffing I2C packets to replaying or modifying them within the Bus Pirate’s interface.

If you already have a Bus Pirate 5, all you need to do is flash the latest firmware from the automated build system, and get sniffing. On the fence about picking one up? Perhaps our hands-on review will help change your mind.

hackaday.com/2025/03/12/i2c-sn…

Il mese di Marzo si apre con una pioggia di patch critiche da parte di Microsoft, che con il suo consueto Patch Tuesday ha rilasciato aggiornamenti per ben 57 vulnerabilità, tra cui 6 Zero-Day attivamente sfruttate. L’aggiornamento interessa Windows, Microsoft Office, Azure e altri componenti essenziali dell’ecosistema Microsoft.

Le vulnerabilità risolte

Oltre alle 6 falle zero-day, il bollettino di sicurezza di questo mese copre:

• 23 vulnerabilità di elevazione dei privilegi
• 3 vulnerabilità di bypass delle funzionalità di sicurezza
• 23 vulnerabilità di esecuzione remota di codice (RCE)
• 4 vulnerabilità di divulgazione di informazioni
• 1 vulnerabilità di denial of service (DoS)
• 3 vulnerabilità di spoofing

Le 6 vulnerabilità Zero-Day

Per definizione, una Zero-Day è una vulnerabilità sfruttata attivamente o divulgata pubblicamente prima che venga rilasciata una patch ufficiale. In questo aggiornamento, Microsoft ha corretto sei di queste falle critiche:

1. CVE-2025-24983 – Windows Win32 Kernel Subsystem Elevation of Privilege
   
   • Una race condition consente a un attaccante locale di ottenere privilegi SYSTEM. Questa vulnerabilità è stata rilevata da ESET, che ha osservato il suo sfruttamento attraverso il backdoor PipeMagic, mirato a versioni meno recenti di Windows come 8.1 e Server 2012 R2, ma presente anche in Windows 10 e Server 2016.

   
   

2. CVE-2025-24984 – Windows NTFS Information Disclosure
   
   • Un attaccante con accesso fisico al dispositivo può estrarre porzioni di memoria heap attraverso l’inserimento di una chiavetta USB malevola.

   
   

3. CVE-2025-24985 – Windows Fast FAT File System Driver Remote Code Execution
   
   • Un mix di integer overflow e heap-based buffer overflow in Fast FAT può permettere l’esecuzione remota di codice.

   
   

4. CVE-2025-24991 – Windows NTFS Information Disclosure
   
   • Simile alla CVE-2025-24984, questa vulnerabilità permette il furto di dati sensibili attraverso attacchi NTFS mirati.

   
   

5. CVE-2025-24993 – Windows NTFS Remote Code Execution
   
   • Un attaccante potrebbe ingannare una vittima inducendola a montare un disco virtuale malevolo, esponendola all’esecuzione di codice o alla divulgazione di memoria.

   
   

6. CVE-2025-26633 – Microsoft Management Console Security Feature Bypass
   
   • Il bypass della sicurezza avviene tramite un attacco social engineering, in cui la vittima viene convinta ad aprire un file o un link dannoso per ottenere accesso a strumenti amministrativi riservati.

   
   

Altre vulnerabilità critiche risolte

Tra le patch più importanti del mese spiccano:

• CVE-2025-24045 e CVE-2025-24035 – Vulnerabilità critiche nei Windows Remote Desktop Services (RDS), sfruttabili attraverso una race condition per eseguire codice arbitrario.
• CVE-2025-24044 – Elevazione di privilegi nel Windows Win32 Kernel Subsystem, con un exploit basato su una race condition che consente l’accesso a privilegi SYSTEM.
• CVE-2025-24064 – RCE nel servizio Windows DNS, con rischio di compromissione remota.
• CVE-2025-24084 – RCE nel kernel di Windows Subsystem for Linux 2 (WSL2).

Il consiglio? Patch subito!

Con sei Zero-Day già sfruttate e una lista di vulnerabilità critiche di tutto rispetto, ignorare questo aggiornamento non è un’opzione. Gli amministratori di sistema e i professionisti della sicurezza devono applicare immediatamente queste patch per mitigare il rischio di attacchi, prima che sia troppo tardi.

Il Patch Tuesday di marzo 2025 non è solo una routine: è un campanello d’allarme. Chi non aggiorna, rischia grosso.

L'articolo E ora del Riavvio! Patch Tuesday 03-2025: 6 Zero-Day attivamente sfruttate e 57 vulnerabilità risolte proviene da il blog della sicurezza informatica.