As a Hackaday writer, I see a lot of web pages, social media posts, videos, and other tips as part of my feed. The best ones I try to bring you here, assuming of course that one of my ever-vigilant colleagues hasn’t beaten me to it. Along the way I see the tropes of changing content creator fashion; those ridiculous pea-sized hand held microphones, or how all of a sudden everything has to be found in the woods. Some of them make me laugh, but there’s one I see a lot which has made me increasingly annoyed over the years. I’m talking of course about the craftsman myth.

No. The Last True Nuts And Bolts Are Not Being Made In Japan

If you don’t recognise the craftsman myth immediately, I’m sure you’ll be familiar with it even if you don’t realise it yet. It goes something like this: somewhere in Japan (or somewhere else perceived as old-timey in online audience terms like Appalachia, but it’s usually Japan), there’s a bloke in a tin shed who makes nuts and bolts.

But he’s not just any bloke in a tin shed who makes nuts and bolts, he’s a special master craftsman who makes nuts and bolts like no other. He’s about 120 years old and the last of a long line of nut and bolt makers entrusted with the secrets of nut and bolt making, father to son, since the 8th century. His tools are also mystical, passed down through the generations since they were forged by other mystical craftsmen centuries ago, and his forge is like no other, its hand-cranked bellows bring to life a fire using only the finest cedar driftwood charcoal. The charcoal is also made by a 120 year old master charcoal maker Japanese bloke whose line stretches back to the n’th century, yadda yadda. And when Takahashi-san finally shuffles off this mortal coil, that’s it for nuts and bolts, because the other nuts and bolts simply can’t compare to these special ones.
Something that’s genuinely in decline where this is being written, this craftsman is making a cricket bat in India. Amit.kapil, CC BY-SA 4.0.
Purple prose aside, this type of media annoys me, because while Takahashi-san and his brother craftsmen in Appalachia and anywhere else in the world possess amazing skills and should without question be celebrated, the videos are not about that. Instead they’re using them as a cipher for pushing the line that The World Ain’t What It Used To Be, and along the way they spread the myth that either there are no blokes in tin sheds left wherever you live, or if there are, their skills are of no significance. Perhaps the saddest part of the whole thing is that there are truly disappearing crafts which should be highlighted, but they probably don’t generate half the YouTube clicks so we don’t see much of them.

Celebrate your Local Craftsmen

My dad was a craftsman in a tin shed, just like the ones in the videos but in central southern England. Partly as a result of this I have known and dealt with a lot of blokes in tin sheds throughout my lifetime, and I am certain I would feel right at home standing in that Japanese one.

Part of coming to terms with the disturbed legacy of my own dysfunctional family has come in evaluating what from them I recognise as part of me and what I don’t, and it’s in my dad’s workshop that I realise what made me. Like all of us, he instinctively made things, usually with great success but let’s face it, like all of us too, sometimes where just buying the damn thing would have made more sense. He had truly elite skills in his craft that I will never equal, just as in my line I have mastered construction techniques which weren’t even conceived when he took his apprenticeship.

But here’s the point, my dad was not unique, and all the other blokes in tin sheds were not necessarily the same age as he was. Indeed one of the loose community of blacksmiths around where I grew up was someone who was in another year at the same school as me when I was a teenager. Even the crafts weren’t all of the mystical tools variety, I am immediately thinking of the tin shed full of CNC machine tools, or the bloke running an injection moulding operation. Believe me, both of those last two are invaluable craftsmen to know when you need their services, but they don’t fit the myth, do they? They’re not exotic.

So by all means watch those YouTube videos showing faraway folks in tin sheds and their craft, you’ll see some amazing work. But please don’t buy the mystique, or the premise that they automatically represent a disappearing world. Your part of the world will have blokes in tin sheds doing things just as impressive and useful, whether they be hand-forging steel on the anvil or working it using cutting-edge technology, and we should be seeking them out rather than lamenting a probably made-up tale from the other side of the world.

Early 20th century Japanese craftsman: Elstner Hilton, CC BY 2.0 .

hackaday.com/2025/10/27/explod…

Secondo una nuova ricerca di Barracuda Networks, un nuovo kit particolarmente insidioso e persistente di Phishing-as-a-Service (PhaaS) sta rubando credenziali e token di autenticazione agli utenti di Microsoft 365. Gli esperti di Barracuda stanno monitorando questa nuova minaccia da luglio 2025 e l’hanno denominata Whisper 2FA.

I ricercatori nell’ultimo mese, hanno rilevato quasi un milione di attacchi Whisper 2FA rivolti agli account all’interno di diverse campagne di phishing su larga scala: una cifra che rende Whisper il terzo kit di PhaaS più diffuso dopo Tycoon ed EvilProxy.

L’analisi tecnica di Barracuda dimostra che la funzionalità di Whisper 2FA è sia avanzata sia adattabile. Le sue caratteristiche innovative includono loop continui per rubare i token di autenticazione, diversi livelli di camuffamento e tattiche ingegnose per ostacolare l’analisi del codice malevolo e dei dati rubati. Una minaccia concreta per le organizzazioni che si sta evolvendo rapidamente.

Stando a quanto emerso, le caratteristiche principali di Whisper 2FA comprendono:

• Loop di furto delle credenziali. Whisper 2FA può ripetere continuamente il processo di furto delle credenziali di un account finché gli aggressori non sono certi di aver ottenuto un token di autenticazione a più fattori (MFA) funzionante. Per i difensori, ciò significa che nemmeno i codici scaduti o errati riescono a fermare l’attacco, poiché il kit di phishing continua a richiedere alla vittima di reinserire i propri dati e ricevere un nuovo codice fino a quando gli aggressori non ne ottengono uno funzionante. Inoltre, Whisper 2FA è stato progettato per adattarsi a qualsiasi metodo MFA utilizzato.
• Tattiche complesse per eludere il rilevamento e l’analisi. Queste includono più livelli di offuscamento, come la codifica e la crittografia del codice di attacco, l’impostazione di trappole per gli strumenti di analisi e il blocco delle scorciatoie da tastiera comunemente utilizzate per l’ispezione. Ciò rende difficile per gli addetti alla sicurezza e gli strumenti di difesa analizzare l’attività di Whisper 2FA e rilevare automaticamente azioni sospette e dannose.
• Una tattica di phishing versatile. Il form di phishing di Whisper 2FA invia tutti i dati inseriti dalla vittima ai cyber criminali, indipendentemente dal pulsante premuto dall’utente. I dati rubati vengono rapidamente manipolati e crittografati, rendendo difficile per chiunque monitori la rete rendersi immediatamente conto che i dati di accesso sono stati sottratti.

Il kit di phishing Whisper 2FA sta progredendo rapidamente sia in termini di complessità tecnica sia di strategie anti-rilevamento. L’analisi di Barracuda evidenzia come le prime varianti del kit presentassero commenti testuali aggiunti dagli sviluppatori, alcuni livelli di offuscamento e tecniche anti-analisi che si concentravano principalmente sulla disabilitazione del menu contestuale (tasto destro del mouse), utilizzato nell’ispezione del codice.

Al contrario, le varianti più recenti del kit individuate da Barracuda sono prive di commenti, l’offuscamento è diventato più denso e stratificato e sono state aggiunte nuove protezioni per rendere più difficile ai difensori analizzare o manomettere il sistema. Tra queste figurano trucchi per rilevare e bloccare gli strumenti di debugging, disabilitare le scorciatoie utilizzate dagli sviluppatori e mandare in tilt gli strumenti di ispezione. Inoltre, questa variante consente di convalidare i token di autenticazione in tempo reale attraverso il sistema di comando e controllo degli aggressori.

“Le caratteristiche e le funzionalità di Whisper 2FA dimostrano come i kit di phishing si siano evoluti da semplici strumenti per il furto di credenziali a sofisticate piattaforme di attacco”, afferma Saravanan Mohankumar, Manager, Threat Analysis team di Barracuda. “Combinando l’intercettazione dell’autenticazione multifattoriale in tempo reale, più livelli di offuscamento e tecniche anti-analisi, Whisper 2FA ostacola ulteriormente gli utenti e i team di sicurezza nel rilevamento delle frodi. Per rimanere protette, le organizzazioni devono superare le difese statiche e adottare strategie multilivello: formazione degli utenti, MFA resistente al phishing, monitoraggio continuo e condivisione delle informazioni sulle minacce”.

L’analisi di Whisper 2FA di Barracuda mostra alcune somiglianze con Salty 2FA, un nuovo PhaaS incentrato sul furto delle credenziali M365 segnalato di recente da AnyRun, ma anche notevoli differenze rispetto a rivali più vecchi e affermati come Evil Proxy, tra cui un sistema di furto delle credenziali semplificato e più difficile da rilevare.

Le nuove tecniche di offuscamento dei link malevoli di Tycoon

In un altro report recente, Barracuda ha anche portato alla luce nuove tecniche usate dal kit di Phishing-as-a-Service Tycoon per nascondere link malevoli nelle e-mail. In particolare, queste strategie sono pensate per offuscare, confondere e alterare la struttura dei link o degli URL e ingannare così i sistemi di rilevamento automatico assicurandosi che i link non vengano bloccati. Di seguito, alcuni esempi:

• Inserire una serie di spazi invisibili nel link dannoso, digitando ripetutamente il codice ” ” nella sua barra degli indirizzi;
• Aggiungere al link caratteri insoliti, come un simbolo “Unicode” che assomiglia a un punto ma non lo è;
• Inserire un indirizzo e-mail nascosto o un codice speciale alla fine del link;
• Elaborare un URL solo parzialmente ipertestuale o contenente elementi non validi, come due “https” o l’assenza di “//”, per nascondere la destinazione reale del link, assicurandosi che la parte attiva sembri innocua;
• Utilizzare il simbolo “@” nell’indirizzo del link. Infatti, tutto ciò che precede “@” viene trattato dai browser come “informazione utente”, quindi gli aggressori inseriscono in questa sezione un testo che appare affidabile e attendibile, come ad esempio “office365”. La destinazione effettiva del link si trova invece dopo il simbolo “@”;
• Utilizzare link web con simboli anomali, come barre rovesciate “” o il simbolo del dollaro “$”, che normalmente non vengono usati negli URL. Questi caratteri possono alterare il modo in cui gli strumenti di sicurezza leggono l’indirizzo, aiutando un link malevolo a sfuggire ai sistemi di rilevamento automatico;
• Creare un URL in cui la prima parte è innocua e ipertestuale, mentre la seconda parte, quella dannosa, appare come un semplice testo. Ma, poiché la parte dannosa non è collegata a nulla, non viene letta correttamente dagli strumenti di sicurezza.

L'articolo Whisper 2FA: il nuovo kit di phishing che ruba le credenziali di Microsoft 365 proviene da Red Hot Cyber.