@jack is back with a weekend project. Yes, that Jack. [Jack Dorsey] spent last weekend learning about Bluetooth meshing, and built Bitchat, a BLE mesh encrypted messaging application. It uses X25519 for key exchange, and AES-GCM for message encryption. [Alex Radocea] took a look at the current state of the project, suspects it was vibe coded, and points out a glaring problem with the cryptography.

So let’s take a quick look at the authentication and encryption layer of Bitchat. The whitepaper is useful, but still leaves out some of the important details, like how the identity key is tied to the encryption keys. The problem here is that it isn’t.

Bitchat has, by necessity, a trust-on-first-use authentication model. There is intentionally no authentication central authority to verify the keys of any given user, and the application hasn’t yet added an out-of-band authentication method, like scanning QR codes. Instead, it has a favorites system, where the user can mark a remote user as a favorite, and the app saves those keys forever. There isn’t necessarily anything wrong with this approach, especially if users understand the limitations.

The other quirk is that Bitchat uses ephemeral keys for each chat session, in an effort to have some forward secrecy. In modern protocols, it’s desirable to have some protection against a single compromised encryption key exposing all the messages in the chain. It appears that Bitchat accomplishes this by generating dedicated encryption keys for each new chat session. But those ephemeral keys aren’t properly verified. In fact, they aren’t verified by a user’s identity key at all!

The attack then, is to send a private message to another user, present the public key of whoever your’re trying to impersonate, and include new ephemeral encryption keys. Even if your target has this remote user marked as a favorite, the new encryption keys are trusted. So the victim thinks this is a conversation with a trusted person, and it’s actually a conversation with an attacker. Not great.

Now when you read the write-up, you’ll notice it ends with [Alex] opening an issue on the Bitchat GitHub repository, asking how to do security reports. The issue was closed without comment, and that’s about the end of the write-up. It is worth pointing out that the issue has been re-opened, and updated with some guidance on how to report flaws.

Post-Quantum Scanning

There’s a deadline coming. Depending on where you land on the quantum computing skepticism scale, it’s either the end of cryptography as we know it, or a pipe dream that’s always going to be about 10 years away. My suspicion happens to be that keeping qubits in sync is a hard problem in much the same way that factoring large numbers is a hard problem. But I don’t recommend basing your cryptography on that hunch.

Governments around the world are less skeptical of the quantum computer future, and have set specific deadlines to migrate away from quantum-vulnerable algorithms. The issue here is that finding all those uses of “vulnerable” algorithms is quite the challenge. TLS, SSH, and many more protocols support a wide range of cryptography schemes, and only a few are considered Post Quantum Cryptography (PQC).

Anvil Secure has seen this issue, and released an Open Source tool to help. Pqcscan is a simple idea: Scan a list of targets and collect their supported cryptography via an SSH and TLS scan. At the end, the tool generates a simple report of how many of the endpoints support PQC. This sort of compliance is usually no fun, but having some decent tools certainly helps.

Citrixbleed 2

Citrix devices have a problem. Again. The nickname for this particular issue is CitrixBleed 2, which hearkens all the way back to Heartbleed. The “bleed” here refers to an attack that leaks little bits of memory to attackers. We know that it’s related to an endpoint called doAuthentication.do.

The folks at Horizon3 have a bit more detail, and it’s a memory management issue, where structures are left pointing to arbitrary memory locations. The important thing is that an incomplete login message is received, the code leaks 127 bytes of memory at a time.

What makes this vulnerability particularly bad is that Citrix didn’t share any signs of attempted exploitation. Researchers have evidence of this vulnerability being used in the wild back to July 1st. That’s particularly a problem because the memory leak is capable of revealing session keys, allowing for further exploitation. Amazingly, in an email with Ars Technica, Citrix still refused to admit that the flaw was being used in the wild.

Opossum

We have a new TLS attack, and it’s a really interesting approach. The Opossum Attack is a Man in the Middle (MitM) attack that takes advantage of of opportunistic TLS. This TLS upgrade approach isn’t widely seen outside of something like email protocols, where the StartTLS command is used. The important point here is that these connections allow a connection to be initiated using the plaintext protocol, and then upgrade to a TLS protocol.

The Opossum attack happens when an attacker in a MitM position intercepts a new TCP connection bound for a TLS-only port. The attacker then initiates a plaintext connection to that remote resource, using the opportunistic port. The attacker can then issue the command to start a TLS upgrade, and like an old-time telephone operator, patch the victim through to the opportunistic port with the session already in progress.

The good news is that this attack doesn’t result in encryption compromise. The basic guarantees of TLS remain. The problem is that there is now a mismatch between exactly how the server and client expect the connection to behave. There is also some opportunity for the attacker to poison that connection before the TLS upgrade takes place.

TSAs

AMD has announced yet another new Transient Execution attack, the Transient Scheduler Attack. The AMD PDF has a bit of information about this new approach. The newly discovered leak primitive is the timing of CPU instructions, as instruction load timings may be affected by speculative execution.

The mitigation for this attack is similar to others. AMD recommends running the VERW instruction when transitioning between Kernel and user code. The information leakage is not between threads, and so far appears to be inaccessible from within a web browser, cutting down the real-world exploitability of this new speculative execution attack significantly.

Bits and Bytes

The majority of McDonald’s franchises uses the McHire platform for hiring employees, because of course it’s called “McHire”. This platform uses AI to help applicants work through the application process, but the issues found weren’t prompt injection or anything to do with AI. In this case, it was a simple default username and password 123456:123456 that gave access to a test instance of the platform. No real personal data, but plenty of clues to how the system worked: an accessible API used a simple incrementing ID, and no authentication to protect data. So step backwards through all 64 million applications, and all that entered data was available to peruse. Yikes! The test credentials were pulled less than two hours after disclosure, which is an impressive turn-around to fix.

When you’ve been hit by a ransomware attack, it may seem like the criminals on the other side are untouchable. But once again, international law enforcement have made arrests of high-profile ransomeware gangs. This time it’s members of Scattered Spider that were arrested in the UK.

And finally, the MCP protocol is once again making security news. As quickly as the world of AI is changing, it’s not terribly surprising that bugs and vulnerabilities are being discovered in this very new code. This time it’s mcp-remote, which can be coerced to run arbitrary code when connecting to a malicious MCP server. Connect to server, pop calc.exe. Done.

hackaday.com/2025/07/11/this-w…

[Sylvain Fortin] recently wrote in to tell us about his Homebrew CPU Project, and the story behind this one is truly remarkable.

He began working on this toy CPU back in 1994, over thirty years ago. After learning about the 74LS181 ALU in college he decided to build his own CPU. He made considerable progress back in the 90s and then shelved the project until the pandemic hit when he picked it back up again and started adding some new features. A little later on, a board house approached him with an offer to cover the production cost if he’d like to redo the wire-wrapped project on a PCB. The resulting KiCad files are in the GitHub repository for anyone who wants to play along at home.
An early prototype on breadboard
The ALU on [Sylvain]’s CPU is a 1-bit ALU which he describes as essentially a selectable gate: OR, XOR, AND, NOT. It requires more clock steps to compute something like an addition, but, he tells us, it’s much more challenging and interesting to manage at the microcode level. On his project page you will find various support software written in C#, such as an op-code assembler and a microcode assembler, among other things.

For debugging [Sylvain] started out with das blinkin LEDs but found them too limiting in short order. He was able to upgrade to a 136 channel Agilent 1670G Benchtop Logic Analyzer which he was fortunate to score for cheap on eBay. You can tell this thing is old from the floppy drive on the front panel but it is rocking 136 channels which is seriously OP.

The PCB version is a great improvement but we were interested in the initial wire-wrapped version too. We asked [Sylvain] for photos of the wire-wrapping and he obliged. There’s just something awesome about a wire-wrapped project, don’t you think? If you’re interested in wire-wrapping check out Wire Wrap 101.

hackaday.com/2025/07/11/this-h…

Secondo Trellix, il gruppo DoNot APT ha recentemente condotto una campagna di spionaggio informatico in più fasi, prendendo di mira il Ministero degli Affari Esteri italiano. Il gruppo, attribuito da diverse società di intelligence sulle minacce informatiche all’India, si è spacciato per funzionari della difesa europei, menzionando la loro visita in Bangladesh, e ha indotto le sue vittime a cliccare su un link dannoso di Google Drive.

DoNot APT, noto anche come APT-C-35, Mint Tempest, Origami Elephant, SECTOR02 e Viceroy Tiger, è attivo almeno dal 2016. Il gruppo si concentra tradizionalmente su campagne di spionaggio informatico con interessi geopolitici nell’Asia meridionale. Le sue operazioni sono caratterizzate da sorveglianza persistente, esfiltrazione di dati e accesso a lungo termine. Il gruppo è noto per l’utilizzo dimalware Windows personalizzati, tra cui backdoor come YTY e GEdit, spesso diffusi tramite e-mail di spear-phishing o documenti dannosi.

L’obiettivo finale dell’attacco era quello di stabilire un punto d’appoggio nell’infrastruttura del bersaglio e sottrarre informazioni sensibili. L’analisi del payload ha rivelato la sua associazione con il malware LoptikMod, uno strumento utilizzato esclusivamente dal gruppo APT DoNot dal 2018.

“Sebbene storicamente focalizzato sull’Asia meridionale, questo incidente che ha preso di mira le ambasciate dell’Asia meridionale in Europa indica una chiara espansione dei loro interessi verso le comunicazioni diplomatiche e l’intelligence europea”, hanno affermato i ricercatori di Tellix in un rapporto dell’8 luglio .
Catena di infezione (Fonte Trellix)
L’ultimo attacco DoNot APT identificato da Trellix è iniziato con un’email di spear-phishing proveniente da un indirizzo Gmail, int.dte.afd.1@gmail[.]com, che impersonava corrispondenza diplomatica ufficiale. Il bersaglio era un ente governativo italiano operante nel settore diplomatico. L’e-mail ha fatto leva su temi diplomatici legati al coordinamento degli addetti alla difesa tra Italia e Bangladesh.

Sebbene il contenuto esatto del messaggio non sia stato raccolto nei risultati, l’oggetto “Visita dell’addetto alla Difesa italiano a Dhaka, Bangladesh” suggerisce un’esca studiata per apparire come legittima corrispondenza diplomatica, che ragionevolmente conterrebbe allegati o link a documenti. L’e-mail conteneva un collegamento a Google Drive che indirizzava il destinatario a un archivio RAR dannoso denominato SyClrLtr.rar.

“Il recente attacco a un ministero degli esteri europeo evidenzia la portata crescente di DoNot APT e il suo persistente interesse nel raccogliere informazioni sensibili, sottolineando la necessità di una maggiore vigilanza e di solide misure di sicurezza informatica”, ha concluso il rapporto Trellix.

L'articolo Il Ministero degli Esteri italiano preso di mira in una campagna di spionaggio da Gruppo DoNot APT proviene da il blog della sicurezza informatica.

TapTrap sfrutta le animazioni dell’interfaccia utente per aggirare il sistema di autorizzazioni di Android, consentendo di accedere a dati sensibili o di indurre l’utente a compiere azioni distruttive, come il ripristino delle impostazioni di fabbrica del dispositivo. L’attacco TapTrap è un tipo di tapjacking, l’equivalente mobile del clickjacking. In questi attacchi, l’aggressore induce l’utente a cliccare su un elemento apparentemente innocuo, ma che in realtà causa un’azione indesiderata in background.

Tuttavia, a differenza del tapjacking tradizionale con overlay, TapTrap può essere utilizzato anche da app con zero permessi, consentendo loro di avviare attività trasparenti apparentemente innocue su quelle dannose. Inoltre, questo metodo funziona anche su Android 15 e 16.

TapTrap è stato sviluppato da un team dell’Università Tecnica di Vienna (TU Wien) e dell’Università di Bayreuth. La nuova tecnica sarà presentata il mese prossimo al Simposio sulla Sicurezza USENIX. Tuttavia, i ricercatori hanno già pubblicato un white paper che descrive l’attacco e creato un sito web che ne illustra i dettagli principali.

TapTrap sfrutta la gestione delle transizioni tra le attività da parte di Android mediante animazioni personalizzate per creare un’incoerenza visiva tra ciò che l’utente vede e ciò che accade realmente sullo schermo del dispositivo. Un’app dannosa installata sul dispositivo di destinazione avvia una schermata di sistema con informazioni sensibili (ad esempio una richiesta di autorizzazione o impostazioni di sistema) per conto di un’altra app chiamando startActivity() ed eseguendo un’animazione personalizzata con quasi totale trasparenza.

“La chiave di TapTrap è l’uso di animazioni che rendono l’attività target praticamente invisibile”, spiegano i ricercatori. “Questo risultato si ottiene tramite un’animazione personalizzata con i valori alfa iniziale e finale impostati su valori molto bassi, come 0,01. Questo rende l’attività dannosa o rischiosa quasi completamente trasparente. Inoltre, un’animazione zoom può essere utilizzata per ingrandire un elemento specifico dell’interfaccia (come un pulsante di autorizzazione) e visualizzarlo a schermo intero, aumentando la probabilità che l’utente lo tocchi.”

Sebbene il prompt avviato accetti tutti i tocchi, l’utente vede solo l’interfaccia principale dell’applicazione, sopra la quale si trova un’attività praticamente trasparente con la quale interagisce realmente. Credendo di avere a che fare con un’applicazione innocua, l’utente potrebbe cliccare su determinate aree dello schermo, senza rendersi conto che sta premendo pulsanti come “Consenti” o “Autorizza” in una finestra quasi invisibile.

Un video pubblicato dai ricercatori dimostra come un’app di gioco può utilizzare TapTrap per accedere alla telecamera tramite il browser Chrome per conto di un sito web. Per scoprire se TapTrap funzionasse con le app del Google Play Store, l’app store ufficiale di Android, i ricercatori hanno analizzato quasi 100.000 app. È emerso che il 76% di esse era vulnerabile perché conteneva attività che soddisfacevano le seguenti condizioni:

• possono essere avviati da un’altra applicazione;
• vengono eseguiti nello stesso task dell’applicazione chiamante;
• non sovrascrivere l’animazione di transizione;
• iniziare a rispondere alle azioni dell’utente prima che l’animazione sia completata.

Secondo i ricercatori, nell’ultima versione di Android le animazioni sono abilitate di default. A meno che l’utente non le disattivi tramite le impostazioni sviluppatore o le opzioni di accessibilità, il dispositivo rimane vulnerabile a TapTrap.

Sebbene l’attacco fosse stato inizialmente creato per Android 15 (la versione corrente all’epoca), in seguito, con il rilascio di Android 16, gli esperti hanno testato TapTrap anche su di esso. Il team ha quindi testato TapTrap su Google Pixel 8a con Android 16, e il problema si è riscontrato anche nell’ultima versione del sistema operativo. I rappresentanti di Google hanno dichiarato ai media che TapTrap verrà risolto in un futuro aggiornamento.

L'articolo Attacco TapTrap: come farti cliccare cose che nemmeno tua madre approverebbe proviene da il blog della sicurezza informatica.

Testo preparato con Peppe Brescia

Grazie a un’inaspettata nota divulgata il 9 Luglio, l’istituto Superiore di Sanità (Iss) ha annunciato l’avvio della prima sperimentazione italiana sugli utilizzi medici della psilocibina, il principio attivo dei cosiddetti funghi magici nell’ambito della cura di patologie depressive resistenti ai trattamenti tradizionali. Lo studio, che ha ultimato la fase di test preclinici, ha ricevuto l’autorizzazione da parte dell’Agenzia Italiana per i Farmaci (Aifa).

La ricerca verrà sviluppata in modalità multicentrica, mediante una collaborazione tra la Clinica Psichiatrica dell’Ospedale di Chieti, il Dipartimento di Neuroscienze, Imaging e Scienze Cliniche dell’Università “Gabriele D’Annunzio” di Chieti, l’ASL Roma 5 e l’Azienda Ospedaliero-Universitaria “Ospedali Riuniti” di Foggia. L’Iss assumerà invece le funzioni di coordinamento dello studio.

Per il progetto, che prevede durata biennale, sono stati arruolati 68 pazienti affetti da depressione resistente che riceveranno somministrazioni di psilocibina in un ambiente controllato e supervisionato da personale clinico specializzato.

La valutazione dei risultati del trial, finalizzato alla definizione di nuovi modelli di approccio psichiatrico, sarà effettuata tramite il ricorso a tecniche di neuroimaging e neurofisiologia, propedeutici all’identificazione di biomarcatori cerebrali di rilievo.

L’annuncio dell’Iss è stato accolto con generale entusiasmo da parte dei professionisti del settore coinvolti nella sperimentazione. Secondo Giovanni Martinotti, Professore Ordinario di Psichiatria all’Università di Chieti, si tratta di “un cambio di paradigma più scientifico che culturale”, nonché di “una grande occasione per la ricerca italiana e per migliorare le cure per la salute mentale” utile a produrre conoscenze che “potranno rendere l’impiego delle nuove molecole ancora più sicuro, accettabile e accessibile per l’applicazione in ambito clinico”.

Anche Francesca Zoratto, ricercatrice dell’Iss e Principal Investigator del progetto, ha posto l’accento sulle inedite peculiarità dell’esperimento, sottolineando la possibilità di sondare “forme innovative, come quelle non psichedeliche che potrebbero mantenere il potenziale terapeutico eliminando gli effetti allucinogeni”.

La psilocibina, trasformata a livello metabolico in psilocina, svolge la propria azione sui recettori della serotonina mediante un’attività di riorganizzazione delle reti cerebrali responsabili di umore e percezioni.

Le potenzialità terapeutiche finora dimostrate dalla psilocibina hanno attirato interesse anche in ambito europeo, all’inizio del 2024 è infatti in corso PsyPal il primo progetto pan-europeo di studio psichedelico finanziato dalla Commissione europea che, tra le altre cose, valuterà l’idoneità della psilocibina nella gestione del disagio psicologico ed esistenziale derivante da quattro diverse patologie progressive: la broncopneumopatia cronica ostruttiva, la sclerosi multipla, la sclerosi laterale amiotrofica e i disturbi parkinsoniani avanzati e atipici.

Secondo i dati raccolti dall’Iss nel 2024, circa il 6% della popolazione italiana riferisce sintomi depressivi, riconducibili alla depressione maggiore nella metà dei casi.

Altre sono le condizioni per cui la ricerca scientifica o i trial clinici con gli psichedelici potrebbe dare risultati incoraggianti, per questo l’Associazione Luca Coscioni continua a portare avanti il suo impegno a favore della sperimentazione delle molecole allucinogene: nei mesi scorsi è stato lanciato L’Italia apra alle terapie psichedeliche, un appello in quattro punti indirizzato ai ministri Schillaci e Crosetto.

Le richieste prevedono la prescrivibilità degli psichedelici nell’ambito delle cure palliative e in quanto terapie compassionevoli, l’istituzione di un progetto pilota incentrato sullo studio della sindrome da stress post-traumatico del personale militare impiegato in missioni internazionali, infine un confronto istituzionale con una delegazione di esperti.

L’appello è al momento giunto a circa 15000 sottoscrizioni tra cittadini e operatori del settore. Il 27 settembre a La Spezia l’Associazione terrà un evento pre-congressuale dedicato agli psichedelici e continua a partecipare alla mobilitazione di Psychedelicare.eu l’iniziativa civica che chiede alla Commissione europea adeguati finanziamenti e un impegno internazionale per ritabellizzare gli psichedelici. L’iniziativa può essere sottoscritta qui.

L'articolo Al via la prima sperimentazione italiana con la psilocibina proviene da Associazione Luca Coscioni.

We’re all used to crystal resonators — they provide pretty accurate frequency references for oscillators with low enough drift for most of our purposes. As the quartz equivalent of a tuning fork, they work by vibrating at their physical resonant frequency, which means that just like a tuning fork, it should be possible to listen to them.

A crystal in the MHz might be difficult to listen to, but for a 32,768 Hz watch crystal it’s possible with a standard microphone and sound card. [SimonArchipoff] has written a piece of software that graphs the frequency of a watch crystal oscillator, to enable small adjustments to be made for timekeeping.

Assuming a microphone and sound card that aren’t too awful, it should be easy enough to listen to the oscillation, so the challenge lies in keeping accurate time. The frequency is compared to the sound card clock which is by no means perfect, but the trick lies in using the operating system clock to calibrate that. This master clock can be measured against online NTP sources, and can thus become a known quantity.

We think of quartz clocks as pretty good, but he points out how little it takes to cause a significant drift over month-scale timings. if your quartz clock’s accuracy is important to you, perhaps you should give it a look. You might need it for your time reference.

Header: Multicherry, CC BY-SA 4.0.

hackaday.com/2025/07/11/listen…

La Generative AI, inclusi strumenti come Cursor e Claude Code, stanno abbattendo drasticamente i costi e i tempi dello sviluppo software. Quello che una volta richiedeva centinaia o migliaia di dollari per token ora può essere realizzato con poche decine di centesimi, determinando un ribaltamento delle dinamiche del settore.

Il paragone con il mondo dei media è illuminante: così come Internet e YouTube hanno infranto il modello della TV a pagamento, allo stesso modo l’AI sta modificando in profondità il panorama della programmazione. Se prima le aziende detenevano il monopolio sulle competenze e l’accesso al mercato, oggi la barriera di ingresso è crollata.

Nel mondo dei contenuti, la riduzione delle barriere ha favorito la nascita di milioni di nuovi creatori: da poche migliaia di canali a oltre 113 milioni su YouTube, con oltre 32 300 creator che hanno più di un milione di iscritti. Costare circa 25 000 $/per avviare un programma televisivo, rispetto ai 3 000 $ consumati per lanciare un canale di successo su YouTube, è un cambiamento radicale – e lo stesso vale per l’AI nel coding .

In ambito software, mentre prima scrivere migliaia di righe richiedeva budget importanti, ora bastano poche centinaia di dollari per generare milioni di righe grazie all’AI. Alcuni detrattori sostengono che qualità, adattamento al mercato e distribuzione rimangano fattori distintivi, ma l’articolo sostiene che questa visione è miope: se la produzione software diventa illimitata, quale valore potrà approdare da un unico fornitore?.

Le aziende tradizionali potrebbero dover affrontare margini in diminuzione: fino a oggi il software garantiva profitti del 90%, ma l’abbondanza di soluzioni generative renderà i margini sempre più sottili. In futuro, la competizione punterà su marketing e vendite, oltre che su integrazioni e servizi, ma sarà una “corsa al ribasso”, in cui solo chi si adatta sopravvivrà .

Infine, l’aspetto più filosofico: il software rischia di diventare un elemento secondario rispetto all’hardware. Se il codice diventa generabile all’infinito, a prevalere sarà la potenza computazionale, ossia i chip e l’infrastruttura.

In un futuro dominato dall’AI, il valore si sposterà verso dispositivi sempre più potenti, con software su misura già integrati, un po’ come avvenuto nelle prime grandi macchine informatiche .

Va da se che l’articolo, fa una riflessione di contesto che a molti non potrà piacere. L’introduzione massiccia dell’intelligenza artificiale nello sviluppo software sta infatti scardinando modelli consolidati e mettendo in crisi chi ha sempre fondato la propria competitività solo sulla manodopera o sulla rendita di posizione. Non si tratta solo di automatizzare righe di codice, ma di cambiare radicalmente il modo in cui progettiamo, testiamo e distribuiamo applicazioni, con un impatto diretto su prezzi, ruoli professionali e dinamiche di mercato.

Questa trasformazione, se da un lato spaventa per la velocità e la portata, dall’altro apre opportunità enormi per chi saprà adattarsi: più spazio per la creatività, più margine per sperimentare e una barriera d’ingresso più bassa per startup e innovatori proprio come è avvenuto nei media tradizionali.

L'articolo L’AI porrà fine all’industria del software tradizionale come Internet ha cambiato i media tradizionali proviene da il blog della sicurezza informatica.