ICYMI

During the August 24th meeting, it was announced that the United States Pirate Party would begin hosting new member meetings for anyone interested in joining the party.

While our Pirate National Committee meetings over IRC (hosted bi-weekly on weeks between our meetings livestreamed to YouTube) are open to the public, we understand some people might feel more comfortable asking questions in a more direct, personable manner.

As well, not everyone who wants to get involved with the party knows where to start or, in some cases, feel comfortable joining the US Pirate Party Discord Server (which is otherwise the most effective way to get in contact with the party).

The answer? On the first Friday of every month, the United States Pirate Party will host not one, not three, but TWO meetings for those interested in getting involved with the USPP.

The meetings will provide a low stress, open invitation opportunity for those who have questions or inquiries about their state party, information on how to get involved, on-the-ground work and everything in-between.

The meetings will be held the first Friday on the month, starting Sept. 5th, with the two meetings taking place at NoonET and 5pmET.

You are encouraged to be there, or lest you invoke your status as a “square”.

And as always, thank you for your continued support of the United States Pirate Party.

Vote Pirate. Victory is Arrrs.

uspirates.org/icymi-new-monthl…

Mentre Microsoft sta promuovendo la sua linea di prodotti Copilot basata sull’intelligenza artificiale per rendere gli utenti più produttivi e pratici, è stata scoperta una falla preoccupante in M365 che mina le fondamenta della sicurezza e della trasparenza legale. Il problema è che Copilot è riuscito ad accedere ai file degli utenti senza lasciare alcuna traccia nei registri di controllo, e Microsoft non ha provveduto a informare i clienti.

La vulnerabilità è stata scoperta per caso: il 4 luglio, un ricercatore di sicurezza di Pistachio ha notato che, utilizzando Copilot per recuperare un riepilogo da un file, la richiesta veniva visualizzata correttamente nel registro di controllo. Tuttavia, se la richiesta era formulata in modo diverso, in modo che Copilot non restituisse un collegamento al file, l’accesso scompariva completamente dal registro. Ciò creava una falla che consentiva a un aggressore di leggere il contenuto del documento senza lasciare traccia digitale.

Successivamente è emerso che un problema simile era stato scoperto un anno prima dal CTO di Zenity. Ciononostante, Microsoft ha corretto il bug solo nell’agosto 2025, dopo una seconda segnalazione indipendente.

Tuttavia, anche dopo aver riconosciuto il problema, l’azienda ha rifiutato di inviare una notifica o di rilasciare un CVE, l’identificatore di vulnerabilità comunemente utilizzato. La spiegazione fornita tramite il Microsoft Incident Response Center (MSRC) era che la correzione veniva distribuita automaticamente e non richiedeva l’intervento del cliente.

Questo approccio ha creato confusione tra gli esperti. In primo luogo, Microsoft ha chiaramente violato le proprie regole di gestione degli incidenti: pur disponendo di una guida formale, l’azienda non ha segnalato le modifiche nelle fasi di revisione di una segnalazione e si è comportata come se gli stati formali esistessero solo per finta, non riflettendo la reale situazione.

In secondo luogo, classificare la vulnerabilità come “importante” ma non “critica” viene utilizzato come scusa per evitare la divulgazione, ignorando un fatto fondamentale: la mancanza di voci di registro può verificarsi accidentalmente, senza intenti malevoli, semplicemente a causa del comportamento di Copilot.

La comunità quindi ha iniziato a pensare chee implicazioni potrebbero riguardare qualsiasi organizzazione che abbia utilizzato M365 Copilot prima del 18 agosto 2025. Se un’azienda si affida al registro di controllo per conformarsi a normative come l’HIPAA o per condurre indagini interne sugli incidenti, rischia di prendere decisioni incomplete o errate. Ciò è particolarmente pericoloso per gli utenti aziendali, in cui i dati relativi all’accesso a file sensibili possono essere critici in caso di audit, cause legali o verifiche.

Mentre Microsoft continua ad ampliare l’uso dell’intelligenza artificiale nei suoi prodotti, la domanda rimane: quanti altri di questi “problemi silenziosi” si nascondono dietro le interfacce intuitive di Copilot?

L'articolo Microsoft sotto Accusa! Un bug critico in M365 Copilot scatena la polemica proviene da il blog della sicurezza informatica.

Con la Threat Intelligence Olympos Consulting supporta le aziende per una cybersecurity predittiva.

Nel panorama della cybersecurity contemporanea, la differenza tra un approccio reattivo e uno proattivo può determinare il successo o il fallimento di una strategia difensiva. Mentre gli Indicatori di Compromissione (IoC) rappresentano ormai uno strumento consolidato ma limitato principalmente a certificare un’attacco già avvenuto, gli Indicatori di Attacco (IoA) sono emersi come un vero e proprio game changer nella lotta alle minacce informatiche.

La vera rivoluzione degli IoA risiede nella loro capacità di interpretare il comportamento dei Threat Actor piuttosto che limitarsi a catalogare evidenze postume. Si tratta di un cambio di paradigma fondamentale: se gli IoC ti dicono “sei stato attaccato” (sigh!), gli IoA ti avvertono “stanno per attaccarti”.

Gli IoA infatti rappresentano pattern di attività che indicano un attacco in corso o in fase di preparazione, ancor prima che l’attacco raggiunga il suo obiettivo. Gli IoA si basano sull’osservazione di tecniche, tattiche e procedure (TTP) utilizzate dai threat actor.

CrowdStrike, colosso americano della cybersecurity focalizzato su threat intelligence e rilevamento proattivo delle minacce, spiega la differenza tra IoC e IoA con un esempio efficace: in una rapina in banca, gli IoC sono le tracce lasciate dopo l’evento – come un cappello dei Baltimore Ravens, un trapano e dell’azoto liquido. Ma cosa accade se lo stesso rapinatore torna con un cappello da cowboy e un piede di porco? In quel caso, riesce comunque nel colpo, perché chi sorveglia si è basato solo su vecchi indicatori (gli IoC), ormai inutili per fermarlo.

Come scritto prima un IoA riflette, al contrario, una serie di azioni che un cybercriminale (o rapinatore) deve necessariamente compiere per avere successo: entrare nella banca, disattivare gli allarmi, accedere alla cassaforte, e così via.

Il punto di forza dell’approccio basato sugli IoA è la capacità di osservare e analizzare in tempo reale ciò che accade sulla rete, monitorando i comportamenti mentre si manifestano. In questo modo, a differenza degli IoC che reagiscono a un attacco già avvenuto, gli IoA consentono di intervenire in anticipo e bloccare l’attacco prima che provochi danni.

I threat actor utilizzano tecniche sempre più sofisticate, rapide e mirate. Per eludere i controlli, modificano continuamente gli IoC e sfruttano file legittimi del sistema operativo (i cosiddetti LOLBin), che non possono essere semplicemente bloccati senza compromettere il funzionamento dei sistemi. Al contrario, le TTP (Tattiche, Tecniche e Procedure) su cui si basano – come lo sfruttamento di vulnerabilità note o l’uso malevolo di strumenti legittimi, ad esempio msbuild.exe per eseguire codice dannoso direttamente in memoria e aggirare gli antivirus – sono molto più difficili da mascherare. Per questo motivo, risultano più affidabili e durature nel tempo per individuare comportamenti anomali e prevenire gli attacchi.

Adottare un approccio basato sul comportamento dei Threat Actor permette di identificare attività sospette in tempo reale, bloccare attacchi nella loro fase iniziale e rilevare anche minacce sconosciute come gli zero-day.

Gli IoA sono categorizzati in base allo scopo delle azioni osservate: ad esempio, scansioni di porte non autorizzate suggeriscono attività di Reconnaissance, mentre tentativi di brute-force su RDP o accessi da località insolite indicano spesso una fase di Initial Access. Allo stesso modo, comunicazioni anomale verso server esterni possono rivelare la presenza di un canale C2 (Command and Control Server).

Un caso d’uso esemplificativo è quello di Morphing Meerkat.

Nel 2024 è stato identificato un Threat Actor noto con il nome in codice Morphing Meerkat, specializzato nell’offerta di servizi di phishing-as-a-service (PHaaS). La loro piattaforma, scoperta grazie a un’attività di OSINT e threat hunting avanzato, consente a chiunque, dietro pagamento, di lanciare campagne di phishing sofisticate, con moduli pronti all’uso.

es. di analisi comportamentale del Threat Actor Morphing Meerkat

Grazie all’analisi degli IoA è stato possibile identificare attività anomale tra le quali possiamo ricordare la falsificazione del mittente email; l’adozione del protocollo DoH (DNS over HTTPS) per cifrare le richieste DNS; la creazione di pagine phishing dinamiche sfruttando informazioni ottenute interrogando i record MX DNS e reindirizzamento verso infrastrutture legittime

È proprio in questo contesto che l’esperienza di Olympos Consulting fa la differenza. Combinando behavioral analysis avanzato con threat intelligence derivata da fonti OSINT e dark web, il nostro approccio trasforma dati apparentemente eterogenei in un sistema di Early Warning efficace.

In questo specifico caso abbiamo generato alert tempestivi per i clienti prima che l’attacco avesse effetto ed abbiamo suggerito tecniche di rilevamento comportamentale fornendo una lista azioni per interrompere la kill chain al primo passo.

Esempi di azioni suggerite: disabilitare l’uso di DoH nei browser permessi in azienda attraverso Group Policy; filtrare i DNS per bloccare gli endpoint DoH noti (es. Cloudflare, Google, Quad9); abilitare la decrittaura SSL/TLS sui Secure Web Gateway (SWG) per analizzare il traffico cifrato DoH.

Questa metodologia trasforma la cybersecurity da costoso esercizio di remediation a strategia predittiva.

Come si può capire dagli esempi fatti, l’utilizzo degli IoA permette di passare dalla reazione all’azione. Una cybersecurity proattiva si basa sulla capacità di prevedere i comportamenti del nemico ed interrompere la kill chain prima che l’attacco raggiunga la fase finale, migliorando la resilienza aziendale.

In un mondo dove gli attacchi zero-day e le campagne polimorfiche (ed il nome Morphing Meerkat la dice lunga) sono diventati la norma. Affidarsi a soluzioni convenzionali significa condannarsi all’obsolescenza. Olympos Consulting, con il suo mix unico di competenze tecniche e intelligence operativa, offre alle aziende la possibilità non solo di difendersi, ma di farlo con un vantaggio temporale che spesso fa la differenza tra un incidente contenuto e una violazione catastrofica.

La cybersecurity del futuro non sarà decisa da chi ha i migliori strumenti per documentare gli attacchi subiti, ma da chi saprà interpretare per primo le intenzioni degli avversari. In questa nuova era, l’analisi comportamentale dei cybercriminali rappresenta la chiave di volta e Olympos Consulting si conferma come partner strategico per quelle organizzazioni che intendono davvero trasformare la propria postura di sicurezza da passiva a predittiva. Gli Indicatori di Attacco rappresentano il tassello mancante per costruire una difesa davvero efficace. Vuoi scoprire come? Scrivici oggi stesso a “info [@] olymposconsulting [.] it” e a trasforma la tua strategia di cybersecurity con l’aiuto dei nostri esperti.

L'articolo Gli Indicator of Attack (IoA): la protezione proattiva in ambito cybersecurity proviene da il blog della sicurezza informatica.

Ever ruin a perfectly serviceable piece of toast by trying (and failing) to spread a little pat of rock-solid butter? [John Dingley] doesn’t! Not since he created the Butta Melta to cozily snug a single butter serving right up against a warm beverage, softening it just enough to get nice and spreadable. Just insert one of those foil-wrapped pats of butter into the Melta, hang its chin on the edge of your mug, and you’ll have evenly softened butter in no time.

The Butta Melta is intentionally designed with a bit of personality, but also has a features we think are worth highlighting. One is the way it’s clearly designed with 3D printing in mind, making it an easy print on just about any machine in no time at all. The second is the presence of the hinge point which really helps the Butta Melta conform to a variety of cup designs, holding the payload as close as possible to the heat regardless of cup shape. A couple of minutes next to a hot beverage is all it takes for the butter to soften enough to become easily spreadable.

You may remember [John] (aka [XenonJohn]) from his experimental self-balancing scooters, or from a documentary he made about domestic ventilator development during COVID. He taught himself video editing and production to make that, and couldn’t resist using those skills to turn a video demo of the Butta Melta into a mock home shopping style advertisement. Watch it below, embedded just under the page break, then print one and save yourself from the tyranny of torn toast.

youtube.com/embed/hc3DUhguNoI?…

hackaday.com/2025/08/25/butta-…

We’re used to interfaces such as I2C and one-wire as easy ways to hook up sensors and other peripherals to microcontrollers. While they’re fine within the confines of a small project, they do have a few limitations. [Vinnie] ran straight into those limitations while using a Raspberry Pi with agricultural sensors. The interfaces needed to work over long cable runs, and to be protected from ESD due to lightning strikes. The solution? A custom Pi interface board packing differential drivers and protection circuits aplenty.

The I2C connection is isolated using an ISO1541 bus isolator from TI, feeding a PCA9615DP differential I2C bus driver from NXP. 1-wire is handled by a Dallas DS2482S 1-wire bus master and an ESD protection diode network. Even the 5-volt power supply is delivered through an isolated module.

Whether or not you need this Raspberry Pi board, this is still an interesting project for anyone working with these interfaces. If you’re interested, we’ve looked at differential I2C in the past.

hackaday.com/2025/08/25/pi-por…

Last time, I showed you how to throw together a few modules and make a working macropad that could act like a keyboard or a mouse. My prototype was very simple, so there wasn’t much to debug. But what happens if you want to do something more complex? In this installment, I’ll show you how to add the obligatory blinking LED and, just to make it interesting, a custom macro key.

There is a way to print data from the keyboard, through the USB port, and into a program that knows how to listen for it. There are a few choices, but the qmk software can do it if you run it with the console argument.

The Plan

In theory, it is fairly easy to just add the console feature to the keyboard.json file:
{
...
"features": {
"mousekey": true,
"extrakey": true,
"nkro": false,
"bootmagic": false,
"console": true
},
...

That allows the console to attach, but now you have to print.

Output

The code in a keyboard might be tight, depending on the processor and what else it is doing. So a full-blown printf is a bit prohibitive. However, the system provides you with four output calls: uprint,uprintf, dprint, and dprintf.

The “u” calls will always output something. The difference is that the normal print version takes a fixed string while the printf version allows some printf-style formatting. The “d” calls are the same, but they only work if you have debugging turned on. You can turn on debugging at compile time, or you can trigger it with, for example, a special key press.

To view the print output, just run:
qmk console
Note that printing during initialization may not always be visible. You can store things in static variables and print them later, if that helps.

Macros

You can define your own keycodes in keymap.c. You simply have to start them at SAFE_RANGE:
enum custom_keycodes {
SS_STRING = SAFE_RANGE
};

You can then “catch” those keys in a process_record_user function, as you’ll see shortly. What you do is up to you. For example, you could play a sound, turn on some I/O, or anything else you want. You do need to make a return value to tell qmk you handled the key.

An Example

In the same Git repo, I created a branch rp2040_led. My goal was to simply flash the onboard LED annoyingly. However, I also wanted to print some things over the console.

Turning on the console is simple enough. I also added a #define for USER_LED at the end of config.h (GP25 is the onboard LED).

A quick read of the documentation will tell you the calls you can use to manipulate GPIO. In this case, we only needed gpio_set_pin_output and the gpio_write_pin* functions.

I also sprinkled a few print functions in. In general, you provide override functions in your code for things you want to do. In this case, I set up the LED in keyboard_post_init_user. Then, at first, I use a timer and the user part of the matrix scan to periodically execute.

Notice that even though the keyboard doesn’t use scanning, the firmware still “scans” it, and so your hook gets a call periodically. Since I’m not really using scanning, this works, but if you were trying to do this with a real matrix keyboard, it would be smarter to use housekeeping_task_user(void) which avoids interfering with the scan timing, so I changed to that.

Here’s most of the code in keymap.c:
#include QMK_KEYBOARD_H
enum custom_keycodes {
SS_STRING = SAFE_RANGE
};
const uint16_t PROGMEM keymaps[][MATRIX_ROWS][MATRIX_COLS] = {
[0] = LAYOUT(
// 4 buttons
KC_KB_VOLUME_UP, KC_KB_MUTE, KC_KB_VOLUME_DOWN, SS_STRING,
// Mouse
QK_MOUSE_CURSOR_UP, QK_MOUSE_CURSOR_DOWN, QK_MOUSE_CURSOR_LEFT, QK_MOUSE_CURSOR_RIGHT, QK_MOUSE_BUTTON_1),
};

void keyboard_pre_init_user(void) {
// code that runs very early in the keyboard initialization
}

void keyboard_post_init_user(void) {
// code that runs after the keyboard has been initialized
gpio_set_pin_output(USER_LED);
gpio_write_pin_high(USER_LED);
uprint("init\n");
}

#if 1 // in case you want to turn off that $<em>$</em># blinking
void housekeeping_task_user(void) {
static uint32_t last;
static bool on;
uint32_t now = timer_read32();
uprintf("scan tick %lu\n",now);
if (TIMER_DIFF_32(now, last) > 500) { // toggle every 500 ms
last = now;
on = !on;
if (on)
gpio_write_pin_high(USER_LED);
else
gpio_write_pin_low(USER_LED);
}
}
#endif

bool process_record_user(uint16_t keycode, keyrecord_t *record) {
switch (keycode) {
case SS_STRING:
if (record->event.pressed) {
SEND_STRING("http://www.hackaday.com\n");
}
return false;
}
return true;
}

You’ll notice the process_record_user function is now in there. It sees every keycode an when it finds the custom keycode, it sends out your favorite website’s URL.

More Tips

I mentioned last time that you have to let the CPU finish loading even after the flash utility says you are done. There are some other tips that can help you track down problems. For one thing, the compile script is pretty lax about your json. So you may have an error in your json file that is stopping things from working, but it won’t warn you. You can use jq to validate your json:
jq . keyboard.json
Another thing to do is use the “lint” feature of qmx. Just replace the compile or flash command with lint, and it will do some basic checks to see if there are any errors. It does require a few arbitrary things like a license header in some files, but for the most part, it catches real errors.

Get Started!

What are you waiting for? Now you can build that monster keyboard you’ve dreamed up. Or the tiny one. Whatever. You might want to read more about the RP2040 support, unless you are going to use a different CPU. Don’t forget the entire directory is full of example keyboards you can — ahem — borrow from.

You might think there’s not much you can do with a keyboard, but there are many strange and wonderful features in the firmware. You can let your keyboard autocorrect your common misspellings, for example. Or interpret keys differently when you hold them versus tapping them. Want a key that inserts the current time and date? Code it. If you want an example of getting the LCD to work, check out the rp2040-disp branch.

One thing interesting about qmk, too, is that many commercial keyboards use it or, at least, claim to use it. After all, it is tempting to have the firmware ready to go. However, sometimes you get a new keyboard and the vendor hasn’t released the source code yet, so if that’s your plan, you should find the source code before you plunk down your money!

You’ll find plenty of support for lighting, of course. But there are also strange key combinations, layers, and even methods for doing stenography. There’s only one problem. Once you start using qmk there is a real chance you may start tearing up your existing keyboards. You have been warned.

hackaday.com/2025/08/25/debugg…

The Bendix G-15 refurbished by [David at Usagi Electric] is well known as the oldest digital computer in North America. The question [David] gets most is “what can you do with it?”. Well, as a general-purpose computer, it can do just about anything. He set out to prove it. Can a 1950s-era vacuum tube computer handle modern physics problems? This video was several years in the making, was a journey from [David’s] home base in Texas all the way to CERN’s Large Hadron Collider (LHC) in Switzerland.

The G-15 can run several “high-level” programming languages, including Algol. The most popular, though, was Intercom. Intercom is an interactive programming language – you can type your program in right at the typewriter. It’s much closer to working with a basic interpreter than, say, a batch-processed IBM 1401 with punched cards. We’re still talking about the 1950s, though, so the language mechanics are quite a bit different from what we’re used to today.

To start with, [Usagi’s] the G-15 is a numeric machine. It can’t even handle the full alphabet. What’s more, all numbers on the G-15 are stored as floating-point values. Commands are sent via operation codes. For example, ADD is operation 43. You have to wrangle an index register and an address as well. Intercom feels a bit like a cross between assembler and tokenized BASIC.

If you’d like to play along, the intercom manual is available on Bitsavers. (Thanks [Al]!)

In the second half of the video, things take a modern turn. [David’s] friend [Lloyd] recently wrote a high-speed algorithm for the ATLAS detector running at the Large Hadron Collider at CERN. [Lloyd] was instrumental in getting the G-15 up and running. Imagine a career stretching from the early days of computing to modern high-speed data processing. Suffice to say, [Lloyd] is a legend.

There are some hardcore physics and high speed data collection involved in ATLAS. [Allison] from SMU does a great job of explaining it all. The short version is: When particles are smashed together, huge amounts of information is collected by detectors and calorimeters. On the order of 145 TB/s (yes, TerraBytes per second). It would be impossible to store and analyze all that data. Topoclustering is an algorithm that determines if any given event is important to the researchers or not. The algorithm has to run in less than 1 microsecond, which is why it’s highly pipelined and lives inside an FPGA.

Even though it’s written in Verilog, topoclustering is still an algorithm. This means the G-15, being a general-purpose computer, can run it. To that end, [Lloyd] converted the Verilog code to C. But the Bendix doesn’t run C code. That’s where G-15 historian [Rob Kolstad] came in. Rob ported the C code to Intercom. [David] punched the program and a sample dataset on a short tape. He loaded up Intercom, then Topoclustering, and sent the run command. The G-15 sprang to life and performed flawlessly, proving that it is a general-purpose computer capable of running modern algorithms.

youtube.com/embed/2y0DO8d7Az0?…

Curious about the history of this particular Bendix G-15? Check out some of our earlier articles!

hackaday.com/2025/08/25/cerns-…

APT36, noto anche come Transparent Tribe, ha intensificato una nuova campagna di spionaggio contro organizzazioni governative e di difesa in India. Il gruppo, legato al Pakistan, è attivo almeno dal 2013 e utilizza regolarmente e-mail di spear phishing e furti di credenziali per accedere a sistemi chiusi. Questa volta, gli aggressori hanno implementato una nuova tecnica di infezione, utilizzando file “.desktop” di Linux camuffati da documenti che scaricano malware da Google Drive e stabiliscono un canale di comando e controllo nascosto.

Secondo CloudSEK, l’attacco inizia con l’invio di archivi ZIP contenenti file falsi con un’icona PDF, sebbene in realtà si tratti di collegamenti Linux eseguibili. Una volta avviato, il file avvia il download del payload crittografato da un servizio remoto, lo decrittografa e lo posiziona in una directory temporanea.

Quindi i diritti di accesso vengono modificati e il componente scaricato viene avviato in background. Per nascondere tracce di attività e ridurre i sospetti, la vera documentazione PDF falsa viene aperta simultaneamente nel browser Firefox. Visivamente, tutto sembra legittimo, sebbene a questo punto venga installato un modulo dannoso nascosto.

Il file scaricato è un modulo binario compilato staticamente e scritto in Go che, una volta attivato, verifica l’ambiente per il debug o l’esecuzione in una sandbox per evitare l’analisi. Se non vengono rilevati segnali sospetti, il programma persiste nel sistema e si imposta per avviarsi automaticamente all’accesso dell’utente.

Crea quindi una connessione al server di comando e controllo tramite WebSocket e mantiene un canale persistente per lo scambio di comandi. Questa tecnica consente agli aggressori di controllare segretamente i dispositivi infetti e di raccogliere dati sensibili per un lungo periodo di tempo.

Per camuffare l’attacco vengono utilizzate diverse tecniche, tra cui l’uso di icone incorporate per far sembrare il file un normale documento e la sostituzione del nome dell’eseguibile con un titolo PDF visibile. L’attività dannosa viene accuratamente nascosta: il terminale non si apre all’avvio e le notifiche di sistema non vengono visualizzate. Questo rende l’attacco particolarmente pericoloso per le organizzazioni che lavorano con ambienti Linux e presuppongono un elevato livello di sicurezza per le proprie workstation.

Il team che ha condotto l’analisi sottolinea che l’utilizzo di Google Drive come fonte per la distribuzione del payload è indicativo dello sviluppo degli strumenti del gruppo e della difficoltà di rilevarli. La scelta dell’oggetto delle email di phishing che menzionano approvvigionamenti e forniture militari è rivolta ai dipendenti di agenzie governative e dipartimenti della Difesa, il che aumenta la probabilità di apertura dei file infetti.

In caso di compromissione, gli aggressori sono in grado di controllare i sistemi a lungo termine, costruendo una catena di sorveglianza e intercettazione dei dati. Gli esperti raccomandano di bloccare l’accesso al dominio di controllo interessato, di verificare i registri delle attività per individuare connessioni sospette e di utilizzare un’analisi avanzata degli allegati nei sistemi di posta elettronica.

È inoltre importante rafforzare il controllo sugli endpoint, implementare il monitoraggio del traffico di rete e verificare regolarmente le workstation utilizzate per rilevare segnali di intrusione. La portata della minaccia è valutata come significativa, poiché la campagna colpisce strutture critiche e aumenta il rischio di fughe di informazioni classificate.

L'articolo Stai pianificando il passaggio da Windows a Linux? Allora passa, APT36 è già lì ad aspettarti! proviene da il blog della sicurezza informatica.

Even in the early days of the Cold War, it quickly became apparent that simply having hundreds or even thousands of nuclear weapons would never be a sufficient deterrent to atomic attack. For nuclear weapons to be anything other than expensive ornaments, they have to be part of an engineered system that guarantees that they’ll work when they’re called upon to do so, and only then. And more importantly, your adversaries need to know that you’ve made every effort to make sure they go boom, and that they can’t interfere with that process.

In practical terms, nuclear deterrence is all about redundancy. There can be no single point of failure anywhere along the nuclear chain of command, and every system has to have a backup with multiple backups. That’s true inside every component of the system, from the warheads that form the sharp point of the spear to the systems that control and command those weapons, and especially in the systems that relay the orders that will send the missiles and bombers on their way.

When the fateful decision to push the button is made, Cold War planners had to ensure that the message got through. Even though they had a continent-wide system of radios and telephone lines that stitched together every missile launch facility and bomber base at their disposal, planners knew how fragile all that infrastructure could be, especially during a nuclear exchange. When the message absolutely, positively has to get through, you need a way to get above all that destruction, and so they came up with the Emergency Rocket Communication System, or ERCS.

Above It All

The ERCS concept was brutally simple. In the event of receiving an Emergency Action Message (EAM) with a valid launch order, US Air Force missile launch commanders would send a copy of the EAM to a special warhead aboard their ERCS missiles. The missiles would be launched along with the other missiles in the sortie, but with flight paths to the east and west, compared to over-the-pole trajectories for the nuclear-tipped missiles. The ERCS trajectories were designed to provide line-of-sight coverage to all of Strategic Air Command’s missile fields and bomber bases in North America, and also to SAC bases in Europe. Once the third stage of the missile was at apogee, the payload would detach from the launch vehicle and start transmitting the EAM on a continuous loop over one of ten pre-programmed UHF frequencies, ensuring that all strategic assets within sight of the transmitter would get the message even if every other means of communication had failed.
ERCS mission profile schematic. From launch to impact of the AN/DRC-9 payload back on the surface would only be about 30 minutes, during which time the EAM would be transmitted to SAC forces on the ground and in the air from Western Europe to the middle of the Pacific Ocean. Source: ERCS Operation Handbook.
Even by Cold War standards, ERCS went from operational concept to fielded system in a remarkably short time. The SAC directive for what would become ERCS was published in September of 1961, and a contract was quickly awarded to Allied Signal Aerospace Communications to build the thing. In just four months, Allied had a prototype ready for testing. Granted, the design of the payload was simplified considerably by the fact that it was on a one-way trip, but still, the AN/DRC-9, as it was designated, was developed remarkably quickly.

The 875-pound (397-kg) payload, which was to be carried to the edge of space at the tip of an ICBM, contained a complete “store and forward” communications system with redundant UHF transmitters, along with everything needed to control the deployment of the package into space, to manage the thermal conditions inside the spacecraft, and to keep it on a stable trajectory after release. In addition, the entire package was hardened against the effects of electromagnetic pulse, ensuring its ability to relay launch orders no matter what.
AN/DRC-9 on display at the Air Force Museum. This is mounted upside down relative to how it was mounted in the rocket; note the spiral antenna at the top, which would be pointing down toward the surface. The antenna struts are mounted to the twin zinc-silver batteries. The exciter and final amp for one of the transmitters are in the gold boxes at the lower left. Source: US Air Force.
The forward section of the package, just aft of the nose cone, mainly contained the equipment to activate the payload’s batteries. As was common in spacecraft of the day, the payload was powered by silver-zinc batteries, which were kept in a non-activated state until needed. To activate them, a gas generator in the forward section would be started about 45 seconds prior to launch. This would provide the pressure needed to force about seven liters of potassium hydroxide electrolyte solution from a reservoir in the forward section through tubes to the pair of batteries in the aft section of the payload. The batteries would immediately supply the 45 VDC needed by the payload’s power converters, which provided both the regulated 28 VDC supply for powering most of the comms equipment, plus the low-voltage, high-current AC supplies needed for the filaments of the tubes used in the RF power amplifiers. In the interest of redundancy, there were two separate power converters, one for each battery.

Also for redundancy and reliability, the payload used a pair of identical transmitters, located in the aft section. These were capable of operating on ten different channels in the UHF band, with the frequency controlled by a solid-state crystal-controlled oscillator. The specific channel was selected at the time of launch and fixed for the duration of the mission. The oscillators fed an exciter circuit, also solid state, that amplified and modulated the carrier signal for the driver amplifiers, before sending them to a series of RF cavity amps that used vapor-cooled tetrodes to boost the signal to about a kilowatt.

Both transmitters were connected to a passive diplexer to couple the two signals together into a common feed line for the payload’s single antenna, which sat behind a fiberglass radome, which was pressurized to reduce the risk of corona discharge, at the very aft of the vehicle. The antenna was an Archimedian spiral design, which is essentially a dipole antenna wound into a spiral with the two legs nested together. This resulted in a right-hand circularly polarized signal that covered the entire frequency range of the transmitter.

Whiskey Tango Foxtrot

Since the business of all this hardware was to transmit EAMs, the AN/DRC-9 was equipped with a recorder-processor system. This was shockingly simple — essentially just a continuous-loop tape deck with its associated amplifiers and controllers. The tape deck had separate playback and record/erase heads, over which the tape moved at a nominal 5 inches per second, or 40 ips when it needed to rapidly cycle back to the beginning of the message. The loop was long enough to record an EAM up to 90 seconds long, which was recorded by the missile combat crew commander (MCCC) over a standard telephone handset on a dedicated ERCS console in the launch complex. The EAM, a long series of NATO phonetic alphabet characters, was dictated verbatim and checked by the deputy MCCC for accuracy; if the MCCC flubbed his lines, the message was recorded over until it was perfect.

youtube.com/embed/JsSPHOle7O0?…

The recorder-processor was activated in playback mode once the transmitter was activated, which occurred about 31 seconds after thrust termination of the third stage of the rocket and after spin motors had fired to spin-stabilize the payload during the ballistic phase of its flight. Test flights over the Pacific launched from Vandenberg Air Force Base in California showed that transmissions were readable for anywhere from 14 to 22 minutes, more than enough to transmit a complete EAM multiple times.
Decommissioned LGM-30F Minuteman II missile in its silo. The ERCS payload would have looked exactly like the mock fairing at the tip of the missile shown here. Source: Kelly Michaels, CC-BY-NC 2.0.
As was common with many Cold War projects, work on ERCS started before the launch vehicle it was intended for, the Minuteman II, was even constructed. As an interim solution, the Air Force mounted the payloads to their Blue Scout launch vehicles, a rocket that had only been used for satellites and scientific payloads. But it performed well enough in a series of tests through the end of 1963 that the Air Force certified the Blue Scout version of ERCS as operational and deployed it to three sites in Nebraska on mobile trailer launchers. The Blue Scout ERCS would serve until the Minuteman version was certified as operational in 1968, greatly improving readiness by putting the system in a hardened silo rather than in vulnerable above-ground launch trailers.

By the mid-70s, ten Minuteman II ERCS sorties were operational across ten different launch facilities at Whiteman Air Force Base in Missouri. Luckily, they and their spicier cousins all stayed in their silos through even the hottest days of the Cold War, only emerging in 1991 when the entire Minuteman II force was ordered to stand down by President George H.W. Bush. By that point, global military communications had advanced considerably, and the redundancy offered by ERCS was deemed no longer worth the expense of maintaining the 1960s technology that provided it. All ERCS payloads were removed from their missiles and deactivated by the end of 1991.

hackaday.com/2025/08/25/radio-…

Gli attacchi di phishing stanno diventando sempre più sofisticati e ora prendono di mira non solo gli utenti, ma anche le difese automatizzate basate sull’intelligenza artificiale. I ricercatori hanno scoperto una campagna in cui gli aggressori incorporano istruzioni nascoste nelle e-mail per confondere i sistemi di intelligenza artificiale utilizzati dai SOC per classificare e filtrare le minacce.

L’email in sé aveva un aspetto tradizionale: l’oggetto era “Avviso di scadenza accesso 20/08/2025 16:56:21”, il testo era una notifica sull’imminente scadenza della password ad un indirizzo di posta elettronica con la proposta di confermare o aggiornare urgentemente i dati. Questa tecnica si basa su elementi familiari dell’ingegneria sociale : pressione del tempo, imitazione di messaggi ufficiali e falsificazione del marchio Gmail.

Ma l’interno dell’email conteneva un elemento molto più interessante: un blocco di testo nella sezione MIME, scritto nello stile dei prompt per LLM come ChatGPT o Gemini. Includeva riferimenti a “ragionamento multilivello“, “generazione di 10 prospettive diverse” e “sintesi ottimizzata”. Questi riferimenti sono nascosti agli utenti, ma durante l’analisi di un’email, l’IA potrebbe essere distratta da queste istruzioni e non rilevare evidenti segnali di phishing.

Se tali algoritmi sono correlati all’automazione dei processi (tagging, escalation, apertura di ticket), tale interferenza può portare a ritardi, falsi negativi o dashboard SOC contaminate.

La catena di distribuzione in sé è una copia della campagna precedente con piccole modifiche. Le email sono state inviate tramite SendGrid, superando SPF/DKIM ma non DMARC, il che ha permesso loro di aggirare i filtri e accedere alle caselle di posta. Gli aggressori hanno utilizzato Microsoft Dynamics come reindirizzamento intermedio per rendere il messaggio più credibile. La vittima è stata quindi accolta da un dominio con un captcha che bloccava sandbox e crawler, e la pagina finale imitava un modulo di accesso a Gmail con JavaScript offuscato.

Il loader della prima fase conteneva un codice AES-CBC crittografato; la chiave e l’IV (i primi 16 byte del blocco) erano nascosti in Base64. Una volta decifrati, veniva eseguito uno script che controllava il processo di accesso fittizio: verifica della password, simulazione di errori 2FA e prolungamento dell’interazione per estorcere dati. Inoltre, il sito raccoglieva indirizzi IP, ASN e geolocalizzazione, e inviava beacon per distinguere gli utenti reali e per l’analisi automatizzata.

Tra gli indicatori di compromissione figurano i domini assets-eur.mkt.dynamics.com, bwdpp.horkyrown.com e glatrcisfx.ru, nonché l’accesso al servizio get.geojs.io per la profilazione. Gli esperti rilevano diversi segnali indiretti che indicano la potenziale affiliazione degli operatori con l’Asia meridionale. I record WHOIS dei domini attaccanti contengono informazioni di contatto provenienti dal Pakistan e gli URL contengono parole caratteristiche dell’hindi e dell’urdu (“tamatar” (“pomodoro”), “chut” (una parola oscena), il che indica la possibile origine dell’attacco dall’Asia meridionale, sebbene i ricercatori segnalino la possibilità di una falsificazione delle tracce.

La principale differenza tra questa campagna e quelle precedenti è il tentativo esplicito di attaccare due obiettivi contemporaneamente: esseri umani e intelligenza artificiale. La vittima viene spinta a inserire le credenziali e il sistema di intelligenza artificiale viene ingannato da prompt incorporati. Questo “doppio strato” rende il phishing molto più pericoloso: ora non solo gli utenti devono proteggersi, ma anche gli strumenti di sicurezza stessi.

I ricercatori sottolineano che tali tecniche sono ancora rare, ma la loro comparsa dimostra che il phishing è entrato nella fase degli attacchi “a più livelli che tengono conto dell’intelligenza artificiale”. Ora le aziende dovranno costruire difese in tre direzioni contemporaneamente: contro l’ingegneria sociale, contro la manipolazione dell’intelligenza artificiale e contro l’abuso delle infrastrutture di reindirizzamento e beacon.

L'articolo Il Phishing per le AI è arrivato! ChatGPT, clicca subito qui per non perdere l’accesso! proviene da il blog della sicurezza informatica.

Negli ultimi dodici mesi, gli esperti di sicurezza hanno notato un incremento degli attaccanti che utilizzano le funzionalità di pianificazione di Windows, previste per la gestione sistemistica, al fine di stabilizzare la loro presenza all’interno di sistemi già stati violati. All’interno dei processi di Task Scheduler vengono integrati comandi dannosi che si attivano in concomitanza con l’avvio, l’accesso o a intervalli di tempo prestabiliti, permettendo agli aggressori di acquisire un accesso occulto e persistente, in grado di eludere con frequenza i sistemi di rilevamento standard.

A differenza dei rootkit elaborati o degli exploit zero-day, queste tecniche sfruttano le funzionalità integrate del sistema, consentendo agli autori delle minacce di persistere senza dover distribuire file binari aggiuntivi o toolchain complesse. Le infezioni iniziali solitamente si manifestano tramite e-mail di phishing o exploit kit che distribuiscono loader leggeri che diventano rapidamente persistenti.

Dopo aver ultimato l’esecuzione sull’endpoint, i ricercatori di sicurezza hanno rilevato che gli aggressori utilizzano il file binario schtasks.exe o i cmdlet di PowerShell al fine di programmare nuove attività o variare quelle già presenti. Ulteriore complessità nel rilevamento è data dal fatto che queste attività possono utilizzare l’account SYSTEM. In numerosi casi, i team di risposta agli incidenti hanno scoperto attività denominate in modo da imitare servizi Windows legittimi, come “TelemetryUpdater” o “HealthCheck”, ma che puntavano a file eseguibili archiviati in directory non convenzionali in C:ProgramDataSystem.

I primi campioni erano mirati agli istituti finanziari, mentre le campagne più recenti si sono estese ai settori delle infrastrutture critiche, evidenziando l’ampia applicabilità e i bassi costi operativi dell’abuso delle attività pianificate. Gli analisti di DFIR Spot hanno notato che il malware si affida a trigger come LogonTriggere TimeTrigger, configurati per essere eseguiti ogni cinque minuti o a ogni accesso dell’utente.

Questo approccio consente ai componenti dannosi di integrarsi nelle normali attività del sistema, ritardando l’analisi e la correzione. I payload successivi forniti tramite queste attività spaziano dai binari per il coin mining agli strumenti di amministrazione remota. Una volta registrate, le attività spesso si aggiornano automaticamente richiamando script di PowerShell che estraggono moduli aggiuntivi o modificano gli argomenti della riga di comando.

Poiché i registri di Task Scheduler possono essere cancellati o disabilitati dagli aggressori, molte organizzazioni hanno avuto difficoltà a ricostruire le tempistiche senza la telemetria EDR arricchita. Dopo la creazione, il processo viene eseguito con privilegi di SISTEM, avviando un loader di secondo stadio che contatta un C2 remoto o un repository di payload.

Incorporando l’eseguibile in percorsi non standard e sfruttando in modo improprio le funzionalità di pianificazione native, gli autori delle minacce ottengono la persistenza senza richiedere framework di sfruttamento aggiuntivi. Le strategie di rilevamento devono includere una rigorosa definizione delle attività pianificate legittime, il monitoraggio dei registri TaskScheduler/Operational per l’ID evento 106 (attività registrata) e l’applicazione di policy di audit avanzate per acquisire le voci dell’ID evento 4698.

Combinando questi registri con l’analisi della discendenza dei processi basata su EDR è possibile individuare modelli anomali di creazione di attività che si discostano dalle normali operazioni amministrative.

L'articolo Perché il Task Scheduler è diventato il peggior incubo dei team di sicurezza proviene da il blog della sicurezza informatica.

(ovvero: si può mandare un vocale per email?!)

Ci stiamo abituando a mandare tutto via chat.
Foto, video, audio, documenti di testo... per non parlare dei vocali, con cui riempiamo letteralmente le memorie dei telefoni!

Molto spesso non c'è bisogno di conservare tutto (conversazioni che un tempo sarebbero avenute per tefefono ora diventano interminabili scambi di vocali), o meglio: anziché ricordare il contenuto di una conversazione, ci capita di dover cercare e riascoltare i vocali dove si dicono cose importanti, persi in mezzo a quelli che potevamo benissimo cancellare...

E se vi dicessi che ci sono modi per inviare facilmente tutte queste cose con un link anche al di fuori delle chat?
Per chi, come me, ha deciso di uscire dal mondo Meta – e rinunciare perciò anche a WhatsApp, scoprire di poter inviare messagi vocali, oltre che ogni sorta di file, con un semplice link (e senza registrarsi o accedere a servizi) può fare la differenza e rendere la transizione molto più agevole.

Per esempio, inviare un'immagine come SMS ha un costo (nel mio caso, 50 centesimi), e lo stesso vale per ogni contenuto che usa il formato MMS. Per inviare un link, invece, basta un semplice SMS (solitamente incluso nel proprio piano standard).
Per quanto riguarda le email, lo spazio di archiviazione spesso finisce a causa di allegati pesanti che potevano benissimo essere inviati con un servizio temporaneo – e poi eventualmente salvati in locale dal ricevente.

Le soluzioni che presento sono molto più snelle dei servizi generici di trasferimento file, sono in genere dedicate a un solo tipo di contenuto e offrono una scadenza breve, perfetta per scambi rapidi o in tempo reale.

Per ognuna di esse troverete nelle immagini una guida intuitiva all'utilizzo.
Raccomando di fare attenzione a diffondere dati sensibili poiché questi servizi non sono in genere crittografati e i link (per quanto anonimi e costituiti da sequenze casuali) sono accessibili pubblicamente.

1) MESSAGGI VOCALI e file audio (Vocaroo)

Questo sito permette di registrare audio in tempo reale e conservarlo online, fornendo infine un link da inviare per permettere ad altri di ascoltarlo.
N.B.: dalle mie prove, l'audio risulta migliore disabilitando l'opzione "Rimuovi il rumore di fondo", accessibile toccando l'icona a forma di ingranaggio.

Con il pulsante Carica/Registra in alto a destra si può passare alla funzione di caricamento di un file audio già esistente.

2) VIDEO (Streamable)

I video sono i maggiori responsabili del consumo di memoria su tutti i nostri dispositivi e spesso li vediamo una volta sola, ma rimangono nel telefono per sempre.
Con Streamable si può caricare un video con un clic e senza registrazione e ottenere un link dove sarà visibile (senza sottoscrizione) per 2 giorni. Registrando un account gratuito, i video possono rimanere online per 90 giorni e si otengono alcuni vantaggi. Il sito offre piani a pagamento per soluzioni avanzate di hosting video.

3) IMMAGINI e album fotografici (Lutim)

Lutim è un'applicazione web open source ed è l'unico servizio tra quelli presentati che crittografa il contenuto dei file sul server (le immagini restano comunque visibili pubblicamente a chi ha il link).
È possibile caricare in modo semplice numerose immagini in una sola operazione (basta selezionarle insieme all'atto del caricamento) e condividere il link alla galleria che le contiene tutte.

È presente in varie istanze, che differiscono a volte per le possibilità che offrono (scelta del tempo di permanenza online e altro).

Istanze senza registrazione:
lutim.lagout.org
pic.infini.fr
img.tedomum.net

4) ALTRI FILE (Litterbox)

Questo servizio di upload temporaneo è il modo più rapido per inviare (quasi) ogni tipo di file* (dal pdf, al documento OpenDocument, ad altri tipi inclusi immagini, audio e video), purché di dimensione inferiore a 1 Gb. La scadenza va da un'ora a 3 giorni (si può decidere al momento del caricamento). I file non sono crittografati.

*) sono esclusi: .exe, .scr, .cpl, .doc*, .jar

IT'S MONDAY, AND THIS IS DIGITAL POLITICS. I'm Mark Scott, and a new report from the Coalition for Independent Tech Research about the struggle to keep public-interest research alive is worth a look if your summer reading lists are running low.

— The United States, China and European Union are squaring up with different "AI stacks" in the race for global AI dominance.

— Everything you need to know about the US-EU trade framework when it comes to tech and the almost certain future transatlantic tensions.

— The AI Divide is real. That's as true for where research is funded as it is for the critical infrastructure underpinning ther emerging technology.

Let's get started.

digitalpolitics.co/newsletter0…

We often marvel at the many things a 555 can do. But [Zafer Yildiz] shows us that it can even take the place of a PCB. You’ll see what we mean in the video below. The timer relay circuit is built “dead bug” style with the 555 leads bent out to provide wiring terminals.

Honestly, these kinds of circuits are fun, but we would be reticent to use this type of construction for anything that had to survive in the real world. Solder joints aren’t known for being mechanically stable, so this is good for experiments, but maybe not something you want to do all the time.

Radio Shack IC board
That said, the workmanship is neat. We would probably have grabbed a little universal PCB instead. Or, some people use Manhattan-style construction, where you glue little bits of PCB material down to make terminals.

Honestly, our favorites were some little boards we used to get at Radio Shack (see image of one we found on some random project). If you know where we can still find these, mention it in the comments. And, sure, it would be easy enough to make a batch or two.

Still, if you just need quick and dirty, deadbug construction does work. We will warn you, though. Deadbug construction can make you go nuts.

youtube.com/embed/7vrs3QMRQ08?…

hackaday.com/2025/08/25/dead-b…

Nasce una nuova stella all’interno dell’ecosistema di Red Hot Cyber, un progetto pianificato da tempo che oggi vede finalmente la sua realizzazione. Si tratta di un laboratorio all’avanguardia dedicato alla ricerca sulle minacce informatiche, con un focus specifico sui malware. Red Hot Cyber è orgogliosa di annunciare la nascita di Malware Forge, il nuovo gruppo specializzato nell’analisi e nello studio approfondito dei software malevoli.

Questo laboratorio nasce come punto di riferimento per professionisti e appassionati che vogliono approfondire il funzionamento del software malevolo, comprenderne le logiche di sviluppo e anticiparne le possibili evoluzioni. Con un approccio collaborativo e internazionale, Malware Forge porta all’interno della community una competenza tecnica mirata alla dissezione dei malware e alla diffusione delle conoscenze per rafforzare la resilienza digitale collettiva.

La Missione di Malware Forge

La missione del laboratorio è chiara e in linea con il manifesto di Red Hot Cyber: analizzare i malware con l’obiettivo di fornire alla comunità informazioni utili per proteggersi meglio. Attraverso attività di reverse engineering, analisi dinamiche e statiche, studio delle famiglie di malware emergenti e pubblicazione di report tecnici, il team si impegna a trasformare il codice malevolo in informazioni utili alla difesa.

Non si tratta solo di identificare minacce, ma di rendere comprensibile la loro natura anche a chi non è un addetto ai lavori. Malware Forge vuole infatti tradurre la complessità del malware in conoscenza condivisa, così da aiutare organizzazioni, professionisti e cittadini a proteggersi in maniera più consapevole.

L’Approccio di Malware Forge

L’approccio distintivo del laboratorio si concentra su tre pilastri fondamentali:

• Analisi tecnica dei malware: identificare, smontare e comprendere ogni componente dei software malevoli per individuarne le tecniche, tattiche e procedure.
• Condivisione della conoscenza: pubblicare articoli, report e insight che possano fornire alla community strumenti concreti per riconoscere e difendersi dalle minacce digitali.
• Collaborazione attiva: lavorare insieme ad analisti, ricercatori e appassionati di tutto il mondo per creare un network di competenze orientato alla protezione collettiva.

Malware Forge riconosce che la sicurezza informatica non è solo una questione di strumenti tecnologici, ma soprattutto di cultura e consapevolezza. Per questo motivo, accanto alle analisi tecniche, il laboratorio promuove attività divulgative e formative: workshop, articoli di approfondimento e report, corsi di formazione ed esercitazioni e studi di casi reali.

L’obiettivo è semplice ma ambizioso: rendere la conoscenza sul malware accessibile a tutti, permettendo a chiunque – dal professionista IT al semplice utente – di sviluppare un livello più alto di attenzione e protezione verso le minacce informatiche.

Il laboratorio è composto da analisti e ricercatori che condividono la passione per la cybersecurity e la volontà di contribuire attivamente alla difesa del cyberspazio. Ogni membro porta con sé esperienze e competenze specifiche, creando così un gruppo dinamico e multidisciplinare.

Alcuni dei nomi di analisti che fanno parte del laboratorio malware Forge :

• Agostino Pellegrino
• Bajram Zeqiri (Aka Frost)
• Manuel Roccon
• Alessio Stefan
• Bernardo Simonetto
• Gianluca Braga
• Andrea Mongelli
• Crescenzo Cuoppolo
• Sandro Sana
• Massimiliano Brolli

Candidature

Se sei un analista di malware, un ricercatore o semplicemente un appassionato con competenze consolidate nel settore, Malware Forge ti offre l’opportunità di entrare a far parte di un laboratorio unico nel suo genere. Un ambiente collaborativo dove esperti di cybersecurity condividono conoscenze, strumenti e metodologie per analizzare i malware e comprendere a fondo le minacce digitali.

Partecipare a Malware Forge significa contribuire attivamente alla creazione di report, studi e approfondimenti destinati alla community di Red Hot Cyber, accrescere le tue competenze e confrontarti con professionisti del settore. Il tuo lavoro non resterà solo teoria, ma sarà parte integrante di un network operativo orientato alla protezione e alla consapevolezza digitale.

Se sei interessato, invia il tuo curriculum a redazione@redhotcyber.com. I nostri esperti valuteranno la tua candidatura e, se selezionato, entrerai a far parte di un team dinamico, innovativo e fortemente collaborativo, pronto a fare la differenza nella lotta alle minacce informatiche.

L'articolo Malware Forge: Nasce il laboratorio di Malware Analysis di Red Hot Cyber proviene da il blog della sicurezza informatica.

Pointing at stars may seem easy on the surface—just mount a telescope to a tripod and you’re done, right? As anyone who’s spent time with a telescope can tell you, it’s not that simple, given that the Earth is always spinning. [Sven] set out to make his own mount to compensate for the rotation of the Earth, which led to some pretty amazing results.

In this project, [Sven] designed a GoTo mount, which is a telescope equatorial mount capable of being pointed at specific parts of the sky and tracking them to allow for long-exposure photos with minimal blur due to the Earth’s movement. He first went down the path of finding the correct harmonic gearbox for the steppers used. A harmonic drive system would allow smooth, precise movement without backlash, and the 100:1 stepdown would provide for the slightest of adjustments.

The steppers are controlled by a custom PCB [Sven] designed around an ESP32-S3. The first PCB had a mistake in the power delivery circuit. After a small tweak, V2 boards arrived and work great. The PCB runs OnStepX, a great open-source project centered around pointing telescopes, cutting down a lot of the software workload on this project.

After all the work put in, you may be wondering how well it works. [Sven] was able to get a pointing accuracy of 1-2 arcseconds from his mount. To get an idea of how great that is, 1 arcsecond is about the same as pointing at a penny from 4 km (2.5 miles) away. Fantastic results, [Sven], and thank you for sending in this great project—be sure to head over to his site and read all the details of this impressive build. If you found this interesting, be sure to check out some of our other telescope-related projects.

hackaday.com/2025/08/25/diy-te…

Il tema dell’hacking e del furto di auto tramite Flipper Zero è tornato alla ribalta in tutto il mondo e anche noi ne abbiamo parlato con un recente articolo. Questa volta, gli hacker hanno affermato di vendere un “firmware segreto” per il gadget, che potrebbe essere utilizzato contro Ford, Audi, Volkswagen, Subaru, Hyundai, Kia e molti altri marchi.

Dal nbostro articolo venivano pubblicate informazioni relative alle prove presentate sul canale YouTube “Talking Sasquach” che aveva messo mano sul famigerato firmware presente nelle underground. Sembrerebbe che tale mod per flipper zero sia stata sviluppato da un hacker di nome Daniel, che presumibilmente vive in Russia, e dal suo socio Derrow, che ha sviluppato e vende sul darknet il firmware denominato Unleashed per Flipper Zero.

Daniel ha affermato di aver acquistato da altre persone vari frammenti di codice sorgente necessari per creare il firmware. Ha aggiunto che il firmware potrebbe effettivamente essere utilizzato per i furti d’auto, ma è anche molto diffuso tra le officine meccaniche.

Gli hacker sostengono che il dispositivo modificato possa intercettare i segnali provenienti dai telecomandi e calcolare il codice successivo per sbloccare l’auto, creando una “copia ombra della chiave originale”. Secondo la documentazione fornita, tali attacchi funzionano contro quasi 200 modelli di auto, tra cui le versioni 2025 di Ford, Audi, Volkswagen, Subaru, Hyundai, Kia, Fiat, Mitsubishi, Suzuki, Peugeot, Citroën e Skoda.

Sono disponibili due versioni del firmware: quella base a 600 dollari (solo la versione attuale) e quella estesa a 1000 dollari (con aggiornamenti e supporto futuri); il pagamento è accettato in criptovaluta.

Allo stesso tempo, il firmware è presumibilmente associato a un dispositivo specifico tramite un numero di serie per impedirne la distribuzione non autorizzata. Per farlo, gli acquirenti sono tenuti a fornire foto della confezione del Flipper Zero, che mostrano il numero di serie del dispositivo, e una foto di una parte specifica delle impostazioni del gadget.

Daniel ha dichiarato ai giornalisti di aver venduto la tecnologia a circa 150 clienti in due anni, mentre Darrow afferma che “le vendite sono alle stelle”.

Ovviamente la community dell’automotive e della cybersecurity ha espresso preoccupazione per il fatto che, se questa tecnologia possa diffondersi, e quindi portare a un’impennata dei furti d’auto. La pubblicazione scrive che nel 2026, “i Kia Boys potrebbero diventare Flipper Boys”, riferendosi alla nota tendenza dei giovani a rubare auto Kia e Hyundai.

In risposta a numerosi resoconti dei media, uno degli autori di Flipper Zero, Pavel Zhovner, ha pubblicato un lungo messaggio sul blog ufficiale.

“Alcuni negozi darknet hanno iniziato a vendere il cosiddetto firmware ‘privato’ per Flipper Zero, sostenendo che possa essere utilizzato per hackerare innumerevoli auto.In realtà, tutti questi metodi sono stati pubblicati più di 10 anni fa. Niente di nuovo. Gli autori di tali firmware si limitano a rielaborare vulnerabilità note, spacciandole per “nuovi hack”. E, cosa importante, queste vulnerabilità non hanno nulla a che fare con i veri furti d’auto, poiché impediscono l’avviamento del motore”, scrive Zhovner.

Lo sviluppatore spiega che KeeLoq è stato sviluppato negli anni ’80 e utilizzato principalmente nei sistemi di accesso più datati (come le porte dei garage e i primi allarmi per auto). Si tratta di un sistema a codice variabile (o a salto), in cui ogni trasmissione utilizza un nuovo segnale univoco crittografato con una chiave del produttore a 64 bit.

Secondo Zhovner, il punto debole di KeeLoq è la chiave del produttore. Il problema è che le case automobilistiche spesso utilizzavano la stessa chiave per l’intera gamma di modelli. Se questa chiave venisse divulgata, gli aggressori sarebbero in grado di intercettare i segnali di qualsiasi telecomando di questa marca.

“Gli autori del firmware ‘hacker’ si limitano a distribuire vecchie chiavi rubate a diverse case automobilistiche. Non è una novità, vulnerabilità di questo tipo sono state descritte in dettaglio già nel 2006”, spiega il creatore di Flipper. “Da allora, le case automobilistiche sono passate a protocolli radio più moderni con autenticazione bidirezionale, in cui l’auto e la chiave si scambiano messaggi per verificarne l’autenticità.”

Zhovner ribadisce poi i punti che gli autori di Flipper Zero avevano spiegato in dettaglio nel 2024, quando il governo canadese annunciò l’intenzione di vietare la vendita di Flipper Zero e di dispositivi simili nel Paese perché avrebbero potuto essere utilizzati per rubare automobili.

In particolare, ricorda che i veri ladri d’auto di solito prendono di mira i sistemi di apertura e avviamento senza chiave. Utilizzano ripetitori e trasmettitori che trasmettono un segnale dalla vera chiave, inducendo l’auto a credere che la vera chiave si trovi nelle vicinanze. “Se la tua auto può essere hackerata con Flipper Zero, può essere hackerata anche con un pezzo di filo“, conclude Zhovner.

L'articolo 200 modelli di auto vulnerabili? Sul darknet spunta il firmware ‘killer’ per Flipper Zero proviene da il blog della sicurezza informatica.

F6 ha segnalato un forte aumento delle frodi in cui i criminali sfruttano i minori per accedere ai conti bancari dei genitori. Secondo gli analisti, nella prima metà del 2025 sono stati registrati circa 3.500 casi di questo tipo. Il colpo principale è stato inferto ai bambini di età compresa tra 10 e 14 anni. Ciò è facilitato dal libero accesso a smartphone e computer, in un contesto di scarsa alfabetizzazione digitale.

Gli scenari di attacco variano da brevi a lunghi mesi e dipendono dalla possibilità del bambino di accedere ai dispositivi e alle informazioni finanziarie degli adulti. A dicembre 2024, gli specialisti di F6 hanno contato circa un centinaio di episodi di questo tipo e, nella prima metà del 2025, il numero medio mensile di attacchi è quasi sestuplicato, raggiungendo circa 580.

Gli aggressori si avvicinano ai bambini nei luoghi in cui trascorrono la maggior parte del tempo. Attirano i bambini più piccoli in conversazioni su giochi popolari come Roblox, Minecraft e Standoff 2, spesso fingendosi blogger e streamer e promettendo premi o valuta di gioco.

Gli adolescenti vengono spesso attirati attraverso il sistema FakeBoss, fingendosi dipendenti di scuole, agenzie governative, operatori di telecomunicazioni o servizi di consegna e richiedendo codici tramite SMS.

Segue l’intimidazione con storie di hacking e “responsabilità penale” dei genitori e una serie di istruzioni su come accedere alle applicazioni bancarie. I bambini vengono convinti a scattare discretamente una foto dello schermo di un telefono sbloccato con icone bancarie, a spiare un codice PIN, a trasferire denaro o persino a richiedere un prestito.

Gli episodi notturni sono particolarmente degni di nota, quando a un bambino viene chiesto di appoggiare il dito del genitore addormentato su un sensore se i dati biometrici sono abilitati sul dispositivo.

Secondo F6, gli attacchi tramite bambini sono tra i sei schemi fraudolenti più pericolosi. L’azienda osserva che i criminali utilizzano le stesse tecniche di pressione degli adulti e fanno sempre più affidamento sull’intimidazione.

Gli esperti raccomandano alle banche di affidarsi all’analisi comportamentale e a regole di rilevamento aggiornate per riconoscere tempestivamente scenari anomali. Si consiglia ai genitori di combinare l’uso dei gadget con le norme di igiene digitale fin dalla tenera età, abilitare il parental control, garantire la massima privacy sui social network, spiegare il divieto di trasferimento di codici da SMS e di qualsiasi dato bancario e mantenere un dialogo riservato con i bambini in modo che segnalino immediatamente i contatti sospetti.

F6 sottolinea che una prevenzione efficace richiede di parlare con gli adolescenti in un linguaggio che comprendano e attraverso canali familiari: social network, blogger, giochi e cartoni animati.

L’azienda afferma di stare sviluppando strumenti per contrastare tali schemi e di aggiornare i modelli di rilevamento delle minacce basati su segnali comportamentali.

L'articolo “Figliuolo, accedi allo smartphone di tuo padre!” Forte aumento delle Frodi che utilizzano i minori proviene da il blog della sicurezza informatica.