Siete pronti ad una nuova faccia di Lazarus?

In Corea del Nord si sta creando un centro scientifico specializzato, che opererà 24 ore su 24 e svilupperà nuove tecnologie di attacco informatico utilizzando l’intelligenza artificiale. L’unità si chiama Centro di ricerca 227 e fa capo alla Direzione principale dell’intelligence (GRU) delle forze armate del Paese.

Secondo fonti della RPDC, la decisione di crearlo è stata presa personalmente da Kim Jong-un alla fine di febbraio. Il comandante in capo ordinò il rafforzamento delle capacità di guerra informatica all’estero, cosa che portò alla costituzione formale del centro il 9 marzo. Il comando fu trasmesso tramite la Direzione delle Operazioni al quartier generale del GRU.

Il centro avrà sede nel distretto di Mangyongdae, a differenza della sede principale del GRU, che si trova nel distretto di Hyongyesan di Pyongyang. Ciò evidenzia che la struttura sarà separata dalle divisioni esistenti. Mentre alcuni all’interno dell’agenzia ritengono che la sua missione primaria sia la raccolta di informazioni, la fonte sottolinea che l’attenzione sarà rivolta alle capacità di hacking offensive.

Tra i compiti del centro ci saranno lo sviluppo di programmi e metodi volti ad hackerare e neutralizzare i sistemi di sicurezza informatica occidentali, rubare dati e risorse finanziarie e implementare strumenti automatizzati di analisi delle informazioni. Particolare attenzione sarà rivolta alle tecnologie che utilizzano l’intelligenza artificiale, anche per la sicurezza informatica e lo spionaggio e la creazione di strumenti dannosi autogestiti.

Il centro manterrà una comunicazione costante con le unità hacker nordcoreane che operano all’estero per rispondere in tempo reale alle informazioni in arrivo. Ciò garantirà che le risorse e il personale in grado di accelerare il ciclo di sviluppo e implementazione di nuove soluzioni di attacco siano concentrati in un unico luogo.

Il reclutamento degli specialisti per il centro è già iniziato. Si prevede di attrarre circa 90 esperti che hanno dimostrato risultati eccellenti nelle università e nelle scuole post-laurea. Si tratta di programmatori, specialisti dell’automazione e della sicurezza informatica, laureati presso i principali istituti di istruzione e ricerca del Paese.

Va notato che non stiamo parlando di combattenti sul fronte dell’informazione che operano all’estero, ma di sviluppatori che creano strumenti offensivi nazionali. Si prevede che in futuro il loro lavoro amplierà significativamente il potenziale del GRU nel campo delle operazioni informatiche.

Da anni la Corea del Nord dimostra un successo allarmante nelle operazioni di cyber-offensiva. Per questo motivo, il famoso Gruppo Lazarus è associato a numerosi attacchi contro istituzioni finanziarie in tutto il mondo. Gli esperti sottolineano che è lui il responsabile di una serie di furti di criptovalute di alto profilo, i cui danni totali ammontano già a miliardi di dollari.

Uno degli ultimi episodi è stato Hackeraggio dello scambio di criptovalute Bybit, grazie al quale gli aggressori sono riusciti a prelevare asset digitali per un valore di circa 1,5 miliardi di dollari. Tali operazioni dimostrano l’elevato livello di sofisticatezza tecnica delle unità informatiche nordcoreane e rendono lo sviluppo di infrastrutture come il Centro 227 ancora più pericoloso per la sicurezza digitale globale.

L'articolo La Corea Del Nord avvia il Centro Scientifico 227. L’obiettivo? Creare attacchi informatici con le AI proviene da il blog della sicurezza informatica.

You’re cutting yourself a single slice of cake. You grab a butter knife out of the drawer, hack off a moist wedge, and munch away to your mouth’s delight. The next day, you’re cutting forty slices of cake for the whole office. You grab a large chef’s knife, warm it with hot water, and cube out the sheet cake without causing too much trauma to the icing. Next week, you’re starting at your cousin’s bakery. You’re supposed to cut a few thousand slices of cake, week in, week out. You suspect your haggardly knifework won’t do.

In the home kitchen, any old knife will do the job when it comes to slicing cakes, pies, and pastries. When it comes to commercial kitchens, though, presentation is everything and perfection is the bare minimum. Thankfully, there’s a better grade of cutting tool out there—and it’s more high tech than you might think.

Shake It

Knives are very good at cutting food into distinct separate pieces. However, they have one major problem—food is sticky, and so are they. If you’ve ever cut through a cheesecake, you’ve seen this in action. Unless you’re very careful and deft with your slicing, the cake tends to grip the blade of the knife as it comes through. Try as you might, you’re almost always going to leave some marred edges unless you work very slowly.

While most home chefs and cafes can turn a blind eye to these sorts of things, that’s not the case in the processed food industry. For one thing, consumers expect each individually-packed morsel of food to be as cosmetically perfect as the last. For another, cutting processes have to be robust to work at speed. A human can compensate as they cut, freeing the blade from sticking and fettling the final product to hide their mistakes. Contrast that to a production line that slices ice cream bars from a sheet all day. All it takes is one stuck piece to completely mess up the production line and ruin the product.

youtube.com/embed/G_hPMZ2aNXQ?…

This is where ultrasonic food processing comes in. Ultrasonic cutting blades exist for one primary reason—they enable the cutting of all kinds of different foods without sticking, squashing, or otherwise marring the food. These blades most commonly find themselves used in processed food production lines, where a bulk material must be cut into individual bars or slices for later preparation or packaging.

It’s quite something to watch these blades in action. Companies like Dukane and MeiShun have demo videos that show the uncanny ability of their products to slice through even the stickiest foods without issue. You can watch cheesecakes get evenly sectored into perfect triangular slices, or a soft brie cheese being sliced without any material being left on the blade. The technique works on drier materials too—it’s possible to cut perfectly nice slices of bread with less squishing and distortion using ultrasonic blades. Even complex cakes, like the vanilla slice, with layers of stiff pastry and smooth custard, can be cut into neat polygons with appropriate ultrasonic tooling.

youtube.com/embed/0cwpbKnfO2Y?…

youtube.com/embed/xaM2N-DGCys?…

The mechanism of action is well-understood. An ultrasonic cutting blade is formally known as a sonotrode, and is still sharpened to an edge to do its job. However, where it varies from a regular blade is that it does not use mere pressure to slice through the target material. Instead, transducers in the sonotrode vibrate it at an ultrasonic frequency—beyond the range of human hearing, typically from 20 kHz to 40 kHz. When the sonotrode comes into contact with the material, the high-frequency vibrations allow it to slice through the material without sticking to it. Since the entire blade is vibrating, it continues to not stick as it slides downwards, allowing for an exceptionally clean cut.

Generally, the ultrasonic sonotrode is paired with a motion platform to move the food precisely through the cutting process, and an actuator to perform the cutting action itself. However, there are also handheld ultrasonic knives that can be purchased for those looking to use the same technique manually.

The technique isn’t solely applied to the food industry. The same techniques work for many other difficult-to-cut materials, like rubber. The technique can also be applied to various textiles or plastic materials, too. In some cases, the sonotrode can generate enough heat as it cuts through the materials to melt and seal the edges of the material it’s cutting through.

youtube.com/embed/0CesZLfD5fU?…

If you’re simply looking to cut some cake at home, this technique might be a little overly advanced for you. At the same time, there’s nothing stopping you from rigging up some transducers with a blade and a DIY CNC platform seeing what you can achieve. If you want the most perfectly cubed sheet cake at your next office party, this might just be the technology you’re looking for.

hackaday.com/2025/03/21/high-f…

We’re firmly in Europe this week on the Hackaday podcast, as Elliot Williams and Jenny List are freshly returned from Berlin and Hackaday Europe. A few days of mingling with the Hackaday community, going through mild panic over badges and SAOs, and enjoying the unique atmosphere of that city.

After discussing the weekend’s festivities we dive right into the hacks, touching on the coolest of thermal cameras, wildly inefficient but very entertaining wireless power transfer, and a restrospective on the capacitor plague from the early 2000s. Was it industrial espionage gone wrong, or something else? We also take a moment to consider spring PCB cnnectors, as used by both one of the Hackaday Europe SAOs, and a rather neat PCB resistance decade box, before looking at a tryly astounding PCB blinky that sets a new miniaturisation standard.

In our quick roundup the standouts are a 1970s British kit synthesiser and an emulated 6502 system written in shell script, and in the can’t-miss section we look at a new contender fro the smallest microcontroller, and the posibility that a century of waste coal ash may conceal a fortune in rare earth elements.

Follow the link below, to listen along!

html5-player.libsyn.com/embed/…

Want the podcast in MP3? Get it in MP3!

Where to Follow Hackaday Podcast

Places to follow Hackaday podcasts:

• iTunes
• Spotify
• Stitcher
• RSS
• YouTube
• Check out our Libsyn landing page

Episode 312 Show Notes:

What’s that Sound?

• If you know what that sound was, and we think you probably do, put your name down here to be in the drawing for the t-shirt.

Interesting Hacks of the Week:

• The Capacitor Plague Of The Early 2000s
• Make Your Cheap Thermal Camera Into A Microscope
• Transmitting Wireless Power Over Longer Distances
• A Decade Resistance Box From PCBs
• World’s Smallest Blinky, Now Even Smaller
• Writing A GPS Receiver From Scratch

Quick Hacks:

• Elliot’s Picks:
  
  • Reviving A Maplin 4600 DIY Synthesizer From The 1970s
  • Make Fancy Resin Printer 3D Models FDM-Friendly
  • Chemistry Meets Mechatronics In This Engaging Art Piece
  • Current Mirrors Tame Common Mode Noise
  • Speeding Up Your Projects With Direct Memory Access

  
  

• Jenny’s Picks:
  
  • Pick Up A Pebble Again
  • Turning Down The Noise On SMPS
  • A 6502, In The Shell
  • Repairing A Kodak Picture Maker Kiosk

  
  

Can’t-Miss Articles:

• 
  
  • Ask Hackaday: What Would You Do With The World’s Smallest Microcontroller?
  • From The Ashes: Coal Ash May Offer Rich Source Of Rare Earth Elements

  
  

hackaday.com/2025/03/21/hackad…

Amazon ha affermato che rimuoverà un’opzione di privacy meno popolare che consentiva agli utenti dei suoi smart speaker Echo di impedire l’invio di richieste vocali al cloud dell’azienda.

A partire dal 28 marzo 2025, Amazon non supporterà più l’opzione “Non inviare registrazioni vocali”, che impedisce l’invio di audio al cloud Amazon ed elabora le richieste localmente sul dispositivo.

In un’e-mail inviata ai clienti che hanno utilizzato questa opzione, Amazon ha affermato di aver deciso di “non supportare più questa funzionalità” in quanto amplia le capacità di Alexa con funzionalità di intelligenza artificiale generativa eseguite nel cloud.

Vale la pena notare che la funzionalità è stata introdotta solo su tre dispositivi dell’azienda (Echo Dot di quarta generazione, Echo Show 10 ed Echo Show 15) e funzionava solo per gli utenti statunitensi i cui dispositivi erano impostati in inglese. Secondo Amazon, meno dello 0,03% dei possessori di Echo utilizza questa funzionalità.

Dopo il 28 marzo, le persone che hanno utilizzato la funzione “Non condividere registrazioni vocali” passeranno automaticamente alla funzione “Non salvare registrazioni”. Tuttavia, non sarà possibile creare un ID vocale per i singoli utenti “per ottenere l’accesso a funzionalità più personalizzate”.

“Utilizzare Alexa significa proteggere la privacy dei nostri clienti e mantenere i loro dati al sicuro, e questo non cambierà. Ci siamo concentrati sugli strumenti e sui controlli della privacy che i nostri clienti utilizzano più spesso e che funzionano bene con l’intelligenza artificiale generativa, supportata dalla potenza di calcolo del cloud sicuro di Amazon”, ha affermato l’azienda in una nota.

L'articolo Tutto ciò che dici ad Alexa, sarà inviato ad Amazon dal 28 Marzo proviene da il blog della sicurezza informatica.

Microsoft rilasciato L’avviso più allarmante mai realizzato per gli utenti di Windows 10 che non hanno effettuato l’aggiornamento a Windows 11. L’azienda ha chiarito: il supporto di Windows 10 terminerà il 14 ottobre 2025 e coloro che rimangono sul vecchio sistema rischiano furti di dati, attacchi e altre terribili conseguenze.

“Quando il sistema operativo non riceve più gli aggiornamenti di sicurezza critici, è come lasciare la porta di casa aperta”, si legge nelle e-mail che Microsoft ha iniziato a inviare agli utenti questa settimana. A coloro che ricevono tali messaggi viene chiesto di verificare se il proprio computer è idoneo per un aggiornamento o di valutare l’acquisto di un nuovo dispositivo.

Secondo Statcounter, Windows 10 continua a essere utilizzato su circa 800 milioni di dispositivi. Microsoft sottolinea che, con l’avvicinarsi della fine del supporto, questi computer diventeranno “bersagli facili” per malware e attacchi informatici.

L’azienda sottolinea che gli aggiornamenti di sicurezza sono come le “serrature sulle porte”: proteggono dagli intrusi. E dato che l’aggiornamento di Windows di marzo ha nuovamente corretto le vulnerabilità zero-day, i rischi di rimanere su un sistema obsoleto sono in aumento.

Per le aziende e le organizzazioni, Microsoft offrirà un supporto esteso a pagamento per 30 dollari all’anno, ma questa opzione non è ancora apparsa sui mass media, forse perché teme che molti scelgano di pagare piuttosto che effettuare l’aggiornamento.

L’aggiornamento a Windows 11 rimane gratuito per i possessori di dispositivi con licenza idonea. Microsoft sottolinea che la combinazione del nuovo sistema e dell’hardware più moderno garantisce un livello di protezione notevolmente più elevato.

“Non aspettare che sia troppo tardi”, avverte l’azienda. “L’aggiornamento proteggerà i tuoi dati e ti garantirà tranquillità per la tua vita digitale.”

L'articolo Windows 10 Sta Per Scomparire! Corri o Sarai Hackerato Prima di Finire il Caffè proviene da il blog della sicurezza informatica.

La Corte, chiamata a pronunciarsi sulla disciplina dell'adozione internazionale che non include le persone singole fra coloro che possono adottare, ha affermato che tale esclusione si pone in contrasto con gli articoli 2 e 117, primo comma, della Costituzione, quest'ultimo in relazione all'articolo 8 della Convenzione europea dei diritti dell'uomo.

C'è voluta la Corte Costituzionale per stabilire che per un bambino orfano è meglio avere un genitore adottivo che non averne neanche uno e dover restare in un istituto.

agi.it/cronaca/news/2025-03-21…

Humans weren’t the first organisms on this planet to figure out how to turn the abundance of nitrogen in the atmosphere into a chemically useful form; that honor goes to some microbes that learned how to make the most of the primordial soup they called home. But to our credit, once [Messrs. Haber and Bosch] figured out how to make ammonia from thin air, we really went gangbusters on it, to the tune of 8 million tons per year of the stuff.

While it’s not likely that [benchtop take on the Haber-Bosch process demonstrated by [Marb’s lab] will turn out more than the barest fraction of that, it’s still pretty cool to see the ammonia-making process executed in such an up close and personal way. The industrial version of Haber-Bosch uses heat, pressure, and catalysts to overcome the objections of diatomic nitrogen to splitting apart and forming NH₃; [Marb]’s version does much the same, albeit at tamer pressures.

[Marb]’s process starts with hydrogen made by dripping sulfuric acid onto zinc strips and drying it through a bed of silica gel. The dried hydrogen then makes its way into a quartz glass reaction tube, which is heated by a modified camp stove. Directly above the flame is a ceramic boat filled with catalyst, which is a mixture of aluminum oxide and iron powder; does that sound like the recipe for thermite to anyone else?

A vial of Berthelot’s reagent, which [Marb] used in his recent blood ammonia assay, indicates when ammonia is produced. To start a run, [Marb] first purges the apparatus with nitrogen, to prevent any hydrogen-related catastrophes. After starting the hydrogen generator and flaring off the excess, he heats up the catalyst bed and starts pushing pure nitrogen through the chamber. In short order the Berthelot reagent starts turning dark blue, indicating the production of ammonia.

It’s a great demonstration of the process, but what we like about it is the fantastic tips about building lab apparatus on the cheap. Particularly the idea of using hardware store pipe clamps to secure glassware; the mold-it-yourself silicone stoppers were cool too.

youtube.com/embed/31jpvFuUQBI?…

hackaday.com/2025/03/21/bencht…

Last Friday Github saw a supply chain attack hidden in a popular Github Action. To understand this, we have to quickly cover Continuous Integration (CI) and Github Actions. CI essentially means automatic builds of a project. Time to make a release? CI run. A commit was pushed? CI run. For some projects, even pull requests trigger a CI run. It’s particularly handy when the project has a test suite that can be run inside the CI process.

Doing automated builds may sound straightforward, but the process includes checking out code, installing build dependencies, doing a build, determining if the build succeeded, and then uploading the results somewhere useful. Sometimes this even includes making commits to the repo itself, to increment a version number for instance. For each step there are different approaches and interesting quirks for every project. Github handles this by maintaining a marketplace of “actions”, many of which are community maintained. Those are reusable code snippets that handle many CI processes with just a few options.

One other element to understand is “secrets”. If a project release process ends with uploading to an AWS store, the process needs an access key. Github stores those secrets securely, and makes them available in Github Actions. Between the ability to make changes to the project itself, and the potential for leaking secrets, it suddenly becomes clear why it’s very important not to let untrusted code run inside the context of a Github Action.

And this brings us to what happened last Friday. One of those community maintained actions, tj-actions/changed-files, was modified to pull an obfuscated Python script and run it. That code dumps the memory of the Github runner process, looks for anything there tagged with isSecret, and writes those values out to the log. The log, that coincidentally, is world readable for public repositories, so printing secrets to the log exposes them for anyone that knows where to look.

Researchers at StepSecurity have been covering this, and have a simple search string to use: org:changeme tj-actions/changed-files Action. That just looks for any mention of the compromised action. It’s unclear whether the compromised action was embedded in any other popular actions. The recommendation is to search recent Github Action logs for any mention of changed-files, and start rotating secrets if present.

Linux Supply Chain Research

The folks at Fenrisk were also thinking about supply chain attacks recently, but specifically in how Linux distributions are packaged. They did find a quartet of issues in Fedora’s Pagure web application, which is used for source code management for Fedora packages. The most severe of them is an argument injection in the logging function, allowing for arbitrary file write.

The identifier option is intended to set the branchname for a request, but it can be hijacked in a request, injecting the output flag: [url=http://pagure.local/test/history/README.md?identifier=--output=/tmp/foo.bar]http://pagure.local/test/history/README.md?identifier=--output=/tmp/foo.bar[/url]. That bit of redirection will output the Git history to the file specified. Git history consists of a git hash, and then the short commit message. That commit message has very little in the way of character scrubbing, so Bash booleans like || can be used to smuggle a command in. Add the cooked commit to your local branch of something, query the URL to write the file history to your .bashrc file, and then attempt to SSH in to the Pagure service. The server does the right thing with the SSH connection, refusing to give the user a shell, but not before executing the code dropped into the .bashrc file. This one was disclosed in April 2024, and was fixed within hours of disclosure by Red Hat.

Pagure was not the only target, and Fenrisk researchers also discovered a critical vulnerability in OpenSUSE’s Open Build Service. It’s actually similar to the Fedora Pagure issue. Command options can be injected into the wget command used to download the package source file. The --output-document argument can be used to write arbitrary data to a file in the user’s home directory, but there isn’t an obvious path to executing that file. There are likely several ways this could be accomplished, but the one chosen for this Proof of Concept (PoC) was writing a .proverc file in the home directory. Then a second wget argument is injected, using --use-askpass to trigger the prove binary. It loads from the local rc file, and we have arbitrary shell code execution. The OpenSUSE team had fixes available and rolled out within a few days of the private disclosure back in June of 2024.

Breaking Ransomware Encryption

What do you do when company data is hit with Akira ransomware, and the backups were found wanting? If you’re [Yohanes Nugroho], apparently you roll up your sleeves and get to work. This particular strain of Akira has a weakness that made decryption and recovery seemingly easy. The encryption key was seeded by the current system time, and [Yohanes] had both system logs and file modification timestamps to work with. That’s the danger of using timestamps for random seeds. If you know the timestamp, the pseudorandom sequence can be derived.

It turns out, it wasn’t quite that easy. This strain of Akira actually used four separate nanosecond scale time values in determining the per-file encryption key. Values we’ll call t3 and t4 are used to seed the encryption used for the first eight bytes of each file. If there’s any hope of decrypting these files, those two values will have to be found first. Through decompiling the malware binaries, [Yohanes] knew that the malware process would start execution, then run a fixed amount of code to generate the t3 key, and a fixed amount of code before generating the t4 key. In an ideal world, that fixed code would take a fixed amount of time to run, but multi-core machines, running multi-threaded operations on real hardware will introduce variations in that timing.

The real-world result is a range of possible time offsets for both those values. Each timestamp from the log results in about 4.5 quadrillion timestamp pairs. Because the timing is more known, once t3 and t4 are discovered, finding t1 and t2 is much quicker. There are some fun optimizations that can be done, like generating a timestamp to pseudorandom value lookup table. It works well ported to CUDA, running on an RTX 4090. In the end, brute-forcing a 10 second slice of timestamps cost about $1300 dollars when renting GPUs through a service like vast.ai. The source code that made this possible isn’t pretty, but [Yohanes] has made it all available if you want to attempt the same trick.

Github and Ruby-SAML — The Rest of the Story

Last week we briefly talked about Github’s discovery of the multiple parser problem in Ruby-SAML, leading to authentication bypass. Researchers at Portswigger were also working on this vulnerability, and have their report out with more details. One of those details is that while Github had already moved away from using this library, Gitlab Enterprise had not. This was a real vulnerability on Gitlab installs, and if your install is old enough, maybe it still is.

The key here is a CDATA section wrapped in an XML comment section is only seen by one of the parsers. Include two separate assertion blocks, and you get to drive right through the difference between the two parsers.

Paragon

There’s a new player in the realm of legal malware. Paragon has reportedly targeted about 90 WhatsApp users with a zero-click exploit, using a malicious PDF attachment to compromise Android devices. WhatsApp has mitigated this particular vulnerability on the server side.

It’s interesting that apparently there’s something about the process of adding the target user to the WhatsApp group that was important to making the attack work. Paragon shares some similarities with NSO Group, but maintains that it’s being more careful about who those services are being offered to.

Bits and Bytes

We have a pair of local privilege escalation attacks. This is useful when an attacker has unprivileged access to a machine, but can use already installed software to get further access. The first is Google’s Web Designer, that starts a debug port, and exposes an account token and file read/right to the local system. The other is missing quotation marks in Plantronics Hub, which leads to the application attempting to execute C:\Program.exe before it descends into Program Files to look for the proper location.

This is your reminder, from Domain Guard, to clean up your DNS records. I’ve now gone through multiple IP address changes of my “static” IP Addresses. At the current rate of IPv4 exhaustion, those IPs are essentially guaranteed to be given out to somebody else. Is it a problem to have dangling DNS records? It’s definitely not a good situation, because it enables hacks from cross-site scripting vulnerabilities, to cookie stealing, to potentially defeating domain verification schemes with the errant subdomain.

MacOS has quite a fine history of null-pointer dereference vulnerabilities. That’s when a pointer is still set to NULL, or 0, and the program errantly tries to access that memory location. It used to be that a clever attacker could actually claim memory location 0, and take advantage of the bogus dereference. But MacOS put an end to that technique in a couple different ways, the most effective being disallowing 32 bit processes altogether in recent releases. It seems that arbitrary code execution on MacOS as result of a NULL Pointer Dereference is a thing of the past. And yes, we’re quite aware that this statement means that somehow, someone will figure out a way to make it happen.

And Finally, watchTowr is back with their delightful blend of humor and security research. This time it’s a chain of vulnerabilities leading to an RCE in Kentico, a proprietary web Content Management System. This vulnerability has one of my least favorite data formats, SOAP XML. It turns out Kentico’s user authentication returns an empty string instead of a password hash when dealing with an invalid username. And that means you can craft a SOAP authenticaiton token with nothing more than a valid nonce and timestamp. Whoops. The issue was fixed in a mere six days, so good on Kentico for that.

hackaday.com/2025/03/21/this-w…

[Mikey Sklar] had a problem—namely, running low on the brass material typically used for making PCB stencils. Thankfully, a replacement material was not hard to find. It turns out you can use aluminum business card blanks to make viable PCB stencils.

Why business card blanks? They’re cheap, for a start—maybe 15 cents each in quantity. They’re also the right thickness, at just 0.8 mm, and they’re flat, unlike rolled materials that can tend to flip up when you’re trying to spread paste. They’re only good for small PCBs, of course, but for many applications, they’ll do just fine.

To cut these, you’ll probably want a laser cutter. [Mikey] was duly equipped in that regard already, which helped. Using a 20 watt fiber laser at a power of 80%, he was able to get nice accurate cuts for the stencils. Thanks to the small size of the PCBs in question, the stencils for three PCBs could be crammed on to a single card.

If you’re not happy with your existing PCB stencil material, you might like to try these aluminium blanks on for size. We’ve covered other stenciling topics before, too.

youtube.com/embed/vPO3uMIyp_U?…

hackaday.com/2025/03/21/alumin…

Negli ultimi anni, sempre più persone ricevono telefonate da numeri sconosciuti in cui, al momento della risposta, nessuno parla. In alcuni casi si tratta di errori tecnici o chiamate perse da call center, ma in altri può essere il segnale di un’attività ben più subdola: la verifica della validità del numero per futuri tentativi di truffa o attacchi informatici. In questo articolo approfondiremo due tecniche in particolare: le chiamate di ricognizione per spam e frodi e il war dialing, una metodologia nata negli anni ‘80 e ancora oggi utilizzata in diverse varianti.

Chiamate di Ricognizione per Spam e Frodi

Queste chiamate, a prima vista innocue, hanno uno scopo preciso: verificare se un numero è attivo e se il destinatario è propenso a rispondere. Una volta confermata la validità del numero, viene inserito in liste che possono essere vendute a call center aggressivi, spammer o persino a organizzazioni criminali che si occupano di truffe telefoniche.

Come funzionano?

Le chiamate di ricognizione vengono effettuate in maniera sistematica attraverso:

1. Software automatici di dialer che compongono numeri in sequenza o scelti da database precedenti.
2. Algoritmi che generano numeri casuali con prefissi specifici per colpire zone geografiche mirate.
3. Bot che registrano le risposte umane per capire se il numero è effettivamente attivo.

Se rispondi alla chiamata e rimani in linea per qualche secondo, il sistema conferma che il numero è in uso e lo classifica come “valido”. A quel punto, il tuo contatto può essere:

• Rivenduto a call center per campagne di telemarketing aggressive.
• Utilizzato per tentativi di phishing telefonico (ad esempio, truffe bancarie o falsi supporti tecnici).
• Sfruttato per attacchi basati sull’ingegneria sociale.

In alcuni casi, dopo una chiamata muta, potresti iniziare a ricevere tentativi di truffa più elaborati, come falsi operatori che ti avvisano di un presunto problema con la tua banca o il tuo operatore telefonico.

Perché nessuno parla?

Le telefonate mute possono essere il risultato di due strategie diverse:

• Test di numeri validi: il sistema si limita a verificare se la chiamata va a buon fine e se il destinatario risponde.
• Chiamata automatica senza operatore: in alcuni casi, se rispondi, la chiamata viene inoltrata a un operatore umano che però potrebbe non essere disponibile immediatamente.

Segnali di allarme

Se ricevi più chiamate mute nel giro di pochi giorni, potresti essere finito nel mirino di una campagna di verifica numeri. Altri segnali sospetti includono:

• Chiamate da numeri con prefissi insoliti o internazionali.
• Telefonate ricevute sempre in determinati orari della giornata.
• Tentativi di richiamata automatica se non rispondi subito.

War Dialing: La Tecnica di Scansione dei Numeri Telefonici

Il war dialing è una tecnica utilizzata sin dagli anni ‘80 per trovare numeri telefonici associati a modem, fax o sistemi VoIP vulnerabili. Sebbene oggi gli attacchi siano meno frequenti rispetto al passato, esistono ancora varianti moderne di questa strategia.

Origine del War Dialing

Negli anni ’80 e ‘90, quando le aziende e gli enti governativi utilizzavano modem per collegarsi a sistemi remoti, gli hacker impiegavano software specializzati per chiamare in sequenza numeri di telefono alla ricerca di linee di accesso remoto. Se trovavano un modem attivo, potevano tentare di:

• Forzare l’accesso con password deboli.
• Intercettare comunicazioni non cifrate.
• Accedere a reti aziendali protette solo da autenticazioni telefoniche.

Questa tecnica venne resa popolare dal film WarGames (1983), in cui un giovane hacker scansionava numeri casuali fino a trovare un sistema militare.

Il War Dialing Oggi

Oggi il war dialing viene usato in contesti diversi, ma il concetto di base è lo stesso. Alcuni degli obiettivi moderni includono:

• Individuare numeri VoIP vulnerabili che potrebbero essere sfruttati per attacchi di intercettazione o frodi telefoniche.
• Testare PBX (Private Branch Exchange) aziendali alla ricerca di configurazioni errate o numeri con accesso remoto non protetto.
• Scansionare reti di telefonia mobile per trovare SIM con accessi amministrativi deboli.

Alcuni cybercriminali combinano il war dialing con altre tecniche, come il caller ID spoofing, per far apparire le chiamate provenienti da numeri legittimi e aumentare le probabilità che qualcuno risponda.

Chi è a rischio?

• Aziende con sistemi telefonici VoIP non sicuri.
• Operatori telefonici con infrastrutture vulnerabili.
• Persone con numeri facilmente generabili da algoritmi sequenziali.

Come Proteggersi?

1. Non Rispondere a Numeri Sconosciuti

Se ricevi una chiamata da un numero sospetto e nessuno parla, evita di rispondere nuovamente o di richiamare. Se è una chiamata legittima, chi ha davvero bisogno di te troverà un altro modo per contattarti.

2. Attiva Filtri Antispam e Blocca i Numeri Sospetti

Molti smartphone e operatori offrono servizi di blocco automatico per le chiamate sospette. App come TrueCaller o le impostazioni native di iOS e Android possono aiutarti a identificare chiamate spam.

3. Proteggi il Tuo Numero

• Evita di condividere il tuo numero su siti pubblici o social network.
• Non usare il tuo numero personale per iscrizioni a siti non sicuri.
• Se usi un sistema VoIP aziendale, assicurati che sia configurato correttamente con autenticazione robusta.

4. Segnala i Numeri Sospetti

Se ricevi molte chiamate mute, segnala il numero alle autorità competenti (ad esempio il Garante per la Privacy in Italia o servizi di segnalazione spam).

Essere Consapevoli per Essere Protetti

Le telefonate mute possono sembrare insignificanti, ma in molti casi rappresentano il primo tassello di un piano più ampio di attacco. Capire che dietro questi semplici squilli si nascondono strategie di verifica per truffe e attacchi informatici è essenziale per proteggere la propria privacy e sicurezza economica.

Viviamo in un’epoca in cui il furto di dati personali è diventato una delle principali minacce digitali, e il telefono è una delle porte principali di accesso alla nostra identità. Ignorare queste chiamate, adottare sistemi di filtraggio e segnalare eventuali attività sospette può fare la differenza tra un semplice fastidio e una perdita di denaro o identità digitale.

In un mondo sempre più connesso, la sicurezza inizia dalla consapevolezza.

L'articolo Il mistero delle Telefonate Mute. Arriva il War Dialing: Strategie di Ricognizione per Spam e Frodi proviene da il blog della sicurezza informatica.