Sysmon verrà finalmente integrato in Windows 11 e Windows Server 2025 nel 2026
Microsoft ha annunciato che integrerà il popolare strumento Sysmon direttamente in Windows 11 e Windows Server 2025 nel 2026. L’annuncio è stato fatto dal creatore di Sysinternals, Mark Russinovich.
Sysmon (System Monitor) è uno strumento gratuito di Microsoft Sysinternals per il monitoraggio e il blocco di attività sospette in Windows. Gli eventi vengono registrati nel registro eventi di Windows, rendendo lo strumento indispensabile per rilevare minacce e diagnosticare problemi.
Per impostazione predefinita, Sysmon tiene traccia di eventi di base come la creazione e la terminazione dei processi, ma è possibile utilizzare file di configurazione personalizzati per monitorare manomissioni dei processi, query DNS, creazione di file eseguibili, modifiche agli appunti, backup automatici dei file eliminati e altro ancora.
Attualmente, Sysmon deve essere installato individualmente su ciascun dispositivo, rendendone difficile la gestione in ambienti IT di grandi dimensioni.
Il supporto nativo dovrebbe risolvere questo problema, poiché gli utenti potranno installare lo strumento tramite le funzionalità opzionali di Windows 11 e ricevere gli aggiornamenti direttamente tramite Windows Update.
Microsoft promette di mantenere tutte le funzionalità standard, incluso il supporto per configurazioni personalizzate e il filtraggio avanzato degli eventi.
Una volta installato, gli amministratori potranno abilitare Sysmon tramite la riga di comando ( sysmon -io per il monitoraggio con una configurazione personalizzata sysmon -i ).
I rappresentanti di Microsoft hanno inoltre annunciato che pubblicheranno la documentazione completa di Sysmon nel 2026, aggiungendo nuove funzionalità di gestione per le aziende e capacità di rilevamento delle minacce tramite intelligenza artificiale.
L'articolo Sysmon verrà finalmente integrato in Windows 11 e Windows Server 2025 nel 2026 proviene da Red Hot Cyber.
Sneaky2FA: il phishing che ruba credenziali con attacchi browser-in-the-browser
Gli specialisti di Push Security hanno notato che la piattaforma di phishing Sneaky2FAora supporta attacchi browser-in-the-browser, che consentono la creazione di finestre di accesso false e il furto di credenziali e sessioni.
Sneaky2FA e gli altri PhaaS (phishing-as-a-service)
Sneaky2FA è uno dei servizi PhaaS (phishing-as-a-service) più diffusi tra i criminali informatici. Insieme a Tycoon2FA e Mamba2FA, Sneaky2FA e mira principalmente al furto di account Microsoft 365.
Questo kit di phishing è noto per gli attacchi che utilizzano SVG e la tattica “attacker-in-the-middle”: il processo di autenticazione viene inoltrato tramite una pagina di phishing al servizio reale, consentendo agli aggressori di intercettare i token di sessione.
Di conseguenza, anche con l’autenticazione a due fattori (2FA) abilitata, gli aggressori ottengono l’accesso all’account della vittima.
La tecnica dell’attacco browser-in-the-browser (BitB)
La tecnica di attacco browser-in-the-browser (BitB) è stata descritta per la prima volta nel 2022 da un ricercatore di sicurezza noto con lo pseudonimo mr.d0x. Ha dimostrato che il browser-in-the-browser consente la creazione di moduli di accesso di phishing utilizzando finestre di browser false.
L’attacco si basa sul fatto che, quando si accede a un sito web, spesso viene visualizzato un messaggio che richiede di effettuare l’accesso utilizzando un account Google, Microsoft, Apple, Twitter, Facebook, Steam e altri. Cliccando su un pulsante di questo tipo (ad esempio, “Accedi con Google“), viene visualizzata una finestra di Single Sign-On (SSO) nel browser, che richiede di inserire le proprie credenziali e di accedere con quell’account.
Queste finestre vengono troncate, mostrando solo il modulo di accesso e una barra degli indirizzi che mostra l’URL. Questo URL verifica che l’accesso al sito avvenga tramite un dominio reale (ad esempio, google.com), rafforzando ulteriormente la fiducia dell’utente nel processo.
In sostanza, gli aggressori creano finestre di browser false all’interno di finestre di browser reali e presentano alle vittime pagine di accesso o altri moduli per rubare credenziali o codici di accesso monouso (OTP).
Sneaky2F e browser-in-the-browser (BitB)
BitB è ora attivamente utilizzato in Sneaky2F: la pagina falsa si adatta dinamicamente al sistema operativo e al browser della vittima (ad esempio, imitando Edge su Windows o Safari su macOS).
L’attacco funziona come segue:
- viene richiesto di accedere con un account Microsoft per visualizzare il documento;
- Dopo aver cliccato, viene visualizzata una finestra BitB falsa con una barra degli indirizzi Microsoft falsa;
- All’interno della finestra viene caricata una pagina di phishing reverse proxy che sfrutta il vero processo di accesso per rubare le credenziali e un token di sessione.
In sostanza, l’uso della tecnica di BitB aggiunge un ulteriore livello di inganno alle capacità già esistenti di Sneaky2FA.
I ricercatori notano che il kit di phishing utilizza un offuscamento avanzato di HTML e JavaScript per eludere il rilevamento statico (il testo è intervallato da tag invisibili e gli elementi dell’interfaccia sono immagini codificate). Sebbene tutto appaia normale all’utente, questo ostacola il funzionamento degli strumenti di sicurezza. Inoltre, Sneaky2FA reindirizza bot e ricercatori a una pagina separata e innocua.
L'articolo Sneaky2FA: il phishing che ruba credenziali con attacchi browser-in-the-browser proviene da Red Hot Cyber.
Beni digitali comuni, cosa farà l’Unione europea (e l’Italia)
L'articolo proviene da #StartMag e viene ricondiviso sulla comunità Lemmy @Informatica (Italy e non Italy 😁)
La Commissione europea istituirà il Dc-Edic, un consorzio per un'infrastruttura europea sui beni digitali comuni. L'obiettivo è rafforzare l'autonomia dell'Unione in un settore startmag.it/innovazione/dc-edi…
reshared this
Microsoft Open Sources Zork I, II and III
The history of the game Zork is a long and winding one, starting with MUDs and kin on university mainframes – where students entertained themselves in between their studies – and ending with the game being ported to home computers. These being pathetically undersized compared to even a PDP-10 meant that Zork got put to the axe, producing Zork I through III. Originally distributed by Infocom, eventually the process of Microsoft gobbling up game distributors and studies alike meant that Microsoft came to hold the license to these games. Games which are now open source as explained on the Microsoft Open Source blog.
Although the source had found its way onto the Internet previously, it’s now officially distributed under the MIT license, along with accompanying developer documentation. The source code for the three games can be found on GitHub, in separate repositories for Zork I, Zork II and Zork III.
We previously covered Zork’s journey from large systems to home computers, which was helped immensely by the Z-machine platform that the game’s code was ported to. Sadly the original games’s MDL code was a bit much for 8-bit home computers. Regardless of whether you prefer the original PDP-10 or the Z-machine version on a home computer system, both versions are now open sourced, which is a marvelous thing indeed.
Vietato disturbare Giorgia Meloni.
Il messaggio è arrivato chiaro anche al Parlamento europeo, tanto che con un blitz in Conferenza dei presidenti il capogruppo e presidente del Partito Popolare Europeo, Manfred Weber, ha chiesto e ottenuto, con l’aiuto dell’estrema destra, il blocco di una missione in Italia dell’Eurocamera con focus sullo stato di diritto, la libertà di stampa e la giustizia.
Lo stop ordinato, e ottenuto, dal Ppe non solo getta l’istituzione europea di nuovo nell’imbarazzo e fa gridare opposizioni, ma non solo, al servilismo dell’Ue nei confronti di alcuni governi, ma rappresenta il terzo punto di rottura all’interno della maggioranza Ursula, con i Popolari che per la terza volta usano le destre per far passare le proprie posizioni.
Leggi l’articolo completo di Gianni Rosini su Il Fatto Quotidiano:
ilfattoquotidiano.it/2025/11/2…
Berlino, a George Soros il Premio europeo per i diritti civili • Imola Oggi
imolaoggi.it/2025/11/21/berlin…
How to Use That Slide Rule
You have that slide rule in the back of the closet. Maybe it was from your college days. Maybe it was your Dad’s. Honestly. Do you know how to use it? Really? All the scales? That’s what we thought. [Amen Zwa, Esq.] not only tells you how slide rules came about, but also how to use many of the common scales. You can also see his collection and notes on being a casual slide rule collector and even a few maintenance tips.
The idea behind these computing devices is devilishly simple. It is well known that you can reduce a multiplication operation to addition if you have a table of logarithms. You simply take the log of both operands and add them. Then you do a reverse lookup in the table to get the answer.
For a simple example, you know the (base 10) log of 10 is 1 and the log of 1000 is 3. Adding those gives you 4, and, what do you know, 104 is 10,000, the correct answer. That’s easy when you are working with numbers like 10 and 1000 with base 10 logarithms, but it works with any base and with any wacky numbers you want to multiply.
The slide rule is essentially a log table on a stick. That’s how the most common scales work, at least. Many rules have other scales, so you can quickly, say, square or cube numbers (or find roots). Some specialized rules have scales for things like computing power.
We collect slide rules, too. Even oddball ones. We’ve often said that the barrier of learning to use a slide rule weeded out many bad engineers early.
L'amas ouvert des Pléiades, M45
Les Pléiades, M45, est un amas dominé par des étoiles bleues chaudes et lumineuses qui se sont formées au cours des 100 derniers millions d'années. Il est situé dans le constellation du Taureau. À une distance d'environ 444 années-lumière, il fait partie des amas d'étoiles les plus proches de la Terre. Il fait 8 années-lumière de diamètre et se caractérise par la poussière spatiale enveloppante illuminée par les étoiles.
Les soleils les plus brillants sont: Alcyone, Atlas, Electre, Maia, Mérope, Taygeta, Pléione, Celaeno et Astérope.
On pensait autrefois que les nébuleuses de réflexion autour des étoiles les plus brillantes restaient du matériel de leur formation, mais sont maintenant considérées comme susceptibles d'être un nuage de poussière sans rapport avec le milieu interstellaire à travers lequel les étoiles passent actuellement. On estime que ce nuage de poussière se déplace à une vitesse d'environ 18 km/s par rapport aux étoiles de l'amas.
Des simulations informatiques ont montré que les Pléiades étaient probablement formées à partir d'une configuration compacte qui ressemblait à la nébuleuse d'Orion. Les astronomes estiment que l'amas survivra encore environ 250 millions d'années, après quoi il se dispersera en raison des interactions gravitationnelles avec son voisinage galactique.
L'amas contient plus de 3000 membres confirmés, un chiffre qui exclut un nombre supplémentaire probable non résolu d'étoiles binaires. Sa lumière est dominée par de jeunes étoiles bleues chaudes, dont jusqu'à 14 peuvent être vues à l'œil nu.
La masse totale contenue dans l'amas est estimée à environ 800 masses solaires et est dominée par des étoiles plus faibles et plus rouges.
Une estimation de la fréquence des étoiles binaires dans les Pléiades est d'environ 57%.
arxiv.org/pdf/astro-ph/0101139
En analysant des images dans l'infrarouge profond obtenues par le télescope spatial Spitzer et le télescope Gemini North, les astronomes ont découvert que l'une des étoiles de l'amas, HD 23514, qui a une masse et une luminosité légèrement supérieures à celles du Soleil, est entourée d'un nombre extraordinaire de particules de poussière chaudes. Cela pourrait être une preuve de la formation de planètes autour de HD 23514.
sciencedaily.com/releases/2007…
Pour savoir où est située HD 23514, allez sur l'image de la page suivante et utilisez la molette de votre souris pour élargir le champ. Vous verrez que cette étoile est très modeste dans l'amas. Notre Soleil paraît aussi modeste vu des Pléiades.
Making Actually Useful Schematics in KiCad
[Andrew Greenberg] has some specific ideas for how open-source hardware hackers could do a better job with their KiCad schematics.
In his work with students at Portland State University, [Andrew] finds his students both reading and creating KiCad schematics, and often these schematics leave a little to be desired.
To help improve the situation he’s compiling a checklist of things to be cognisant of when developing schematics in KiCad, particularly if those schematics are going to be read by others, as is the hope with open-source hardware projects.
In the video and in his checklist he runs us through some of the considerations, covering: visual design best practices; using schematic symbols rather than packages; nominating part values; specific types of circuit gotchas; Design for Test; Design for Fail; electric rule checks (ERC); manufacturer (MFR), part number (MPN), and datasheet annotations for Bill of Materials (BOM); and things to check at the end of a design iteration, including updating the date and version number.
(Side note: in the video he refers to the book The Visual Display of Quantitative Information which we have definitely added to our reading list.)
Have some best practices of your own you would like to see on the checklist? Feel free to add your suggestions!
If you’re interested in KiCad you might like to read about what’s new in version 9 and how to customize your KiCad shortcut keys for productivity.
youtube.com/embed/X0hd_v8qRiY?…
Debby ⁂ ❤️🐧📎 likes this.
Wiring Up The Railway, All The Live-Long Day
For those of you who haven’t spent time in North America around this time of year, you may be unaware of two things: one, the obligatory non-stop loop of “All I Want For Christmas Is You” retail workers are subjected to starting November first, and two: there is a strong cultural association between Christmastime and model railroading that may not exist elsewhere. That may down to childhood memories of when we got our first trainsets, or an excellent postwar marketing campaign by Lionel. Either way, now that Mariah Carey is blaring, we’re thinking about our holiday track layouts. Which makes this long presentation on Wiring for Small Layouts by [Chicago Crossing Model Railroad] quite timely.
There are actually three videos in this little course; the first focuses mostly on the tools and hardware used for DCC wiring (that’s Digital Command Control), which will be of less interest to our readers– most of you are well aware how to perform a lineman’s splice, crimp connectors onto a wire, and use terminal blocks.
The second two videos are actually about wiring, in the sense of routing all the wires needed for a modern layout– which is a lot more than “plug the rheostat into the tracks in one spot” that our first Lionel boxed set needed. No, for the different accessories there are multiple busses at 5V, 12V and 24V along with DCC that need to be considered. Unsurprisingly enough given those voltages, he starts with an ATX power supply and breaks out from there.
Even if you’re not into model railroading, you might learn something from these videos if you haven’t done many projects with multiple busses and wire runs before. It’s far, far too easy to end up with a rats nest of wires, be they DCC, I2C or otherwise. A little planning can save some big headaches down the line, and if this is a new skill for you [Chicago Crossing Model Railroad] provides a good starting point for that planning. Just skip ahead a couple minutes for him to actually start talking if you don’t want the musical cliff notes montage at the start of the videos.
If you don’t have any model trains, don’t worry, you can 3D print them. Lack of room isn’t really an excuse.
youtube.com/embed/McZgSs4Be78?…
Arms supplier to press murderers welcomes press murderer to DC
Dear Friend of Press Freedom,
Rümeysa Öztürk has been facing deportation for 241 days for co-writing an op-ed the government didn’t like. Read on for more about the federal government targeting noncitizen journalists for what they write, say and think.
Journalist-hating president kisses up to journalist-killing crown prince
President Donald Trump shamefully welcomed Saudi Crown Prince Mohammed bin Salman to the White House this week. He brushed aside questions about Crown Prince Mohammed’s role in the gruesome 2018 murder of Washington Post journalist Jamal Khashoggi, commenting that “things happen” and “You don’t have to embarrass our guest by asking a question like that.”
Freedom of the Press foundation (FPF) Director of Advocacy Seth Stern remarked:
“Somehow calling a female reporter ‘piggy’ was only the second-most offensive anti-press utterance to come out of the president’s mouth in recent days. And somehow Biden’s infamous fist bump is now only the second-most disgusting public display of flattery by a U.S. president to journalist-murderer Mohammed bin Salman.”
DHS targets journalists for speaking out about Gaza
Texas journalist Ya’akub Ira Vijandre and British journalist and commentator Sami Hamdi are the two latest examples of the Department of Homeland Security targeting journalists.
Hamdi self-deported to England after 18 days enduring inhumane conditions in Immigration and Customs Enforcement custody. Vijandre, a Filipino American Deferred Action for Childhood Arrivals recipient who has lived in the U.S. since 2021, remains in custody as he awaits deportation proceedings.
Hamdi and his wife, Soumaya, joined us for an online event this week alongside attorneys and friends of both Hamdi and Vijandre. As Hamdi said, “If the American public finds out the realities of what’s happening, ICE will be dismantled in an instant.”
A $50 lesson in press freedom
Prosecutors in Kentucky have finally dropped charges against journalist Madeline Fening, who was arrested while covering a July protest on the Roebling Bridge for CityBeat.
But, as Stern wrote in an op-ed for CityBeat, the damage is already done. Kenton County drew condemnation from civil liberties advocates across the country and sacrificed any credibility it had when it came respecting First Amendment rights — and all to recover a combined grand total of $50 from Fening and her colleague, Lucas Griffith.
Journalists targeted at Oregon protests
You’ve probably seen the inflatable frogs, the dance parties, the naked bike ride. Maybe you’ve also seen the darker images: a federal officer aiming a weapon at protesters, or federal agents hurling tear gas and flash bangs into peaceful demonstrations at a Portland, Oregon, immigration facility.
FPF Senior Adviser Caitlin Vogus writes about how journalists in Portland have been attacked for bringing images like these to the world.
Court suspends journalist injunction in Chicago
A judicial order won by Chicago area journalists that limited protest policing tactics by federal law enforcement was put on hold this week, with a federal appellate court calling the order overbroad.
As Stern told FPF’s U.S. Press Freedom Tracker, “It is difficult to understand how it is overbroad to ‘enjoin all law enforcement officers within the Executive Branch’ when the president, who last I checked runs the executive branch, expressly demands that those under him brutalize, censor and arrest activists and journalists who interfere with their narrative — the exact conduct restricted by the injunction.”
Immigration agents claim routine reporting violates federal law
Independent news outlet Status Coup reported Wednesday that federal immigration agents threatened its reporter, Jon Farina, with arrest for following and filming them, despite well-established First Amendment protections.
Stern said in a statement, “It looks like these officers believe transparency itself is obstructive to their operations, which is a pretty good indicator that their operations are in need of obstruction. The First Amendment is intended to obstruct government abuses. … If they’re too thin-skinned for the public scrutiny that comes with being a part of that, they can go find a job that doesn’t involve abducting people for an authoritarian regime.”
What we’re reading
The secrecy surrounding the Trump’s immigration agenda (NPR). FPF’s Daniel Ellsberg Chair on Government Secrecy joined NPR’s “1A” to talk about the shroud of secrecy at virtually every level of the immigration system.
Vindman demands release of Trump-Mohammed bin Salman call after Khashoggi murder: ‘You will be shocked’ (The Hill). This is exhibit “A” for why the National Security Council should be subject to the Freedom of Information Act.
Larry Ellison discussed axing CNN hosts with White House in takeover bid talks (The Guardian). So the president went from feigning outrage about allegedly biased public media to making deals with centibillionaire friends to make corporate media more biased. Got it.
After Donald Trump’s attack on correspondent Mary Bruce, White House goes after ABC again with ‘fake news’ press release (Deadline). It looks like $16 million – the amount ABC paid to settle Trump’s frivolous lawsuit last year – only buys you so much protection these days.
Will Trump destroy the BBC? (Unherd). “So I presume by the name of your organization that you’re not very keen on sitting presidents suing news organizations.” That’s correct! Listen to our interview with Unherd about Trump’s lawsuit threat against BBC.
The SLAPP Back Initiative (First Amendment Watch). Congratulations to First Amendment Watch at New York University for launching the first database in the U.S. documenting alleged strategic lawsuits against public participation.
This week, we discuss how data is accessed, AI in games, and more.#BehindTheBlog
Behind the Blog: A Risograph Journey and Data Musings
This is Behind the Blog, where we share our behind-the-scenes thoughts about how a few of our top stories of the week came together. This week, we discuss how data is accessed, AI in games, and more.JOSEPH: This was a pretty big week for impact at 404 Media. Sam’s piece on an exposed AI porn platform ended up with the company closing off those exposed images. Our months-long reporting and pressure from lawmakers led to the closure of the Travel Intelligence Program (TIP), in which a company owned by the U.S.’s major airlines sold flyers data to the government for warrantless surveillance.
For the quick bit of context I have typed many, many times this year: that company is Airlines Reporting Corporation (ARC), and is owned by United, American, Delta, Southwest, JetBlue, Alaska, Lufthansa, Air France, and Air Canada. ARC gets data, including a traveler’s name, credit card used, where they’re flying to and from, whenever someone books a flight with one of more than 10,000 travel agencies. Think Expedia, especially. ARC then sells access to that data to a slew of government agencies, including ICE, the FBI, the SEC, the State Department, ATF, and more.
This post is for subscribers only
Become a member to get access to all content
Subscribe now
Campania, Puglia, Veneto. Si vota: portiamo le nostre battaglie in consiglio regionale!
Il 23 e il 24 di novembre i cittadini e le cittadine di Campania, Puglia e Veneto andranno a votare per il rinnovo del Consiglio Regionale e del Presidente di Regione.
Se puoi votare o conosci qualcuno che può votare in queste Regioni, puoi sostenere le candidature espresse o appoggiate da Possibile. Aiutaci a portare nei consigli regionali le persone che portano avanti le battaglie in cui crediamo! Passaparola: il tuo sostegno è fondamentale!
CAMPANIA
Per una Campania più giusta e più verde, in cui nessuno sia lasciato indietro, in cui nessuno sia costretto a emigrare, barra il simbolo della lista Alleanza Verdi e Sinistra con Roberto Fico Presidente. A Napoli e provincia scrivi il nome di Andrea Davide e Souzan Fatayer (detta Susan). Ti basta scrivere “Davide” e “Susan” nell’apposito spazio per le preferenze.
PUGLIA
In Puglia, barra il simbolo della lista Alleanza Verdi e Sinistra con Antonio Decaro Presidente. A Taranto e provincia scrivi il nome di Rosa d’Amato. A Bari e provincia scrivi il nome di Francesca Sbiroli.
VENETO
In Veneto, per cambiare passo alla Regione, barra il simbolo della lista Alleanza Verdi e Sinistra con Giovanni Manildo Presidente. A Padova e provincia scrivi il nome di Elena Ostanel. A Vicenza e provincia scrivi il nome di Carlo Cunegato.
Puoi esprimere fino a due preferenze purché siano in alternanza di genere.
L'articolo Campania, Puglia, Veneto. Si vota: portiamo le nostre battaglie in consiglio regionale! proviene da Possibile.
#Scuola, il Ministro Giuseppe Valditara ha firmato il decreto da 223,7 milioni per il Piano antincendio e per interventi urgenti di messa in sicurezza.
Qui tutti i dettagli ▶️ mim.gov.
Ministero dell'Istruzione
#Scuola, il Ministro Giuseppe Valditara ha firmato il decreto da 223,7 milioni per il Piano antincendio e per interventi urgenti di messa in sicurezza. Qui tutti i dettagli ▶️ https://www.mim.gov.Telegram
Commodore’s Most Popular Computer gets DOOM-style Shooter
When people talk about the lack of a DOOM being the doom Commodore home computers, they aren’t talking about the C64, which was deep into obsolescence when demon-slaying suddenly became the minimal requirement for all computing devices. That didn’t stop [Kamil Wolnikowski] and [Piotr Kózka] from hacking together Grey a ray-cast first-person shooter for the Commodore 64.
Grey bares more than a passing resemblance to id-software’s most-ported project. It apparently runs at 16 frames per second on a vanilla C64 — no super CPU required. The secret to the speedy game play is the engine’s clever use of the system’s color mapping functionality: updating color maps is faster than redrawing the screen. Yeah, that makes for rather “blockier” graphics than DOOM, but this is running on a Commodore 64, not a 386 with 4 MB of RAM. Allowances must be made. Come to think of it, we don’t recall DOOM running this smooth on the minimum required hardware — check out the demo video below and let us know what you think.
The four-level demo currently available is about 175 kB, which certainly seems within the realms of possibility for disk games using the trusty 1541. Of course nowadays we do have easier ways to get games onto our vintage computers.
If you’re thinking about Commodore’s other home computer, it did eventually get a DOOM-clone.
youtube.com/embed/LWKhitviPDI?…
Thanks to [Stephen Walters] for the tip.
Hackaday Podcast Episode 346: Melting Metal in the Microwave, Unlocking Car Brakes and Washing Machines, and a Series of Tubes
Wait, what? Is it time for the podcast again? Seems like only yesterday that Dan joined Elliot for the weekly rundown of the choicest hacks for the last 1/52 of a year. but here we are. We had quite a bit of news to talk about, including the winners of the Component Abuse Challenge — warning, some components were actually abused for this challenge. They’re also a trillion pages deep over at the Internet Archive, a milestone that seems worth celebrating.
As for projects, both of us kicked things off with “Right to repair”-adjacent topics, first with a washing machine that gave up its secrets with IR and then with a car that refused to let its owner fix the brakes. We heated things up with a microwave foundry capable of melting cast iron — watch your toes! — and looked at a tiny ESP32 dev board with ludicrously small components. We saw surveyors go to war, watched a Lego sorting machine go through its paces, and learned about radar by spinning up a sonar set from first principles.
Finally, we wrapped things up with another Al Williams signature “Can’t Miss Articles” section, with his deep dive into the fun hackers can have with the now-deprecated US penny, and his nostalgic look at pneumatic tube systems.
html5-player.libsyn.com/embed/…
Download this 100% GMO-free MP3.
Where to Follow Hackaday Podcast
Places to follow Hackaday podcasts:
Episode 346 Show Notes:
News:
- Congratulations To The 2025 Component Abuse Challenge Winners
- Meet The Shape That Cannot Pass Through Itself
- Internet Archive Hits One Trillion Web Pages
What’s that Sound?
- [Andy Geppert] knew that was the annoying sound of the elevator at the Courtyard by Marriot hotel in Pasadena.
Interesting Hacks of the Week:
- Reverse Engineering The Miele Diagnostic Interface
- Hyundai Paywalls Brake Pad Changes
- The Simplest Ultrasound Sensor Module, Minus The Module
- Good Vibrations: Giving The HC-SR04 A Brain Transplant
- Bend It Like (Sonar) Beacon With A Phased Array
- Fundamentals Of FMCW Radar Help You Understand Your Car’s Point Of View
- Casting Metal Tools With Kitchen Appliances
- Possibly-Smallest ESP32 Board Uses Smallest-Footprint Parts
- WWII Secret Agents For Science
Quick Hacks:
- Elliot’s Picks
- Damn Fine (Solar Powered) Coffee
- Humane Mousetrap Lets You Know It’s Caught Something
- In Praise Of Plasma TVs
- Exploring The Performance Gains Of Four-Pin MOSFETs
- Dan’s Picks:
- Making A Machine To Sort One Million Pounds Of LEGO
- The King Of Rocket Photography
- Cheap VHF Antenna? Can Do!
Can’t-Miss Articles:
hackaday.com/2025/11/21/hackad…
Sweet Sound Sculpture Helps You Sleep Soundly
Have trouble sleeping, or getting to sleep in the first place? You’ve no doubt heard of white noise machines, but know it would be much cooler to make your own. Enter Noise Maker, a DIY sound sculpture by [optimus103733], who wanted to learn something in the process of creating.
The best thing about this sound sculpture aside from the looks is that you can not only play five different sounds (e.g. birds, traffic, water, frog, white noise), you can mix them together into a rich but relaxing cacophony.
As you can probably see from the picture, Noise Maker is based on the ESP32 and uses an SD card module, an amplifier, and five pots. Be sure to check out the pictures, because there are three layers of copper connections and a lot of careful bending to make it all come together. In the video after the break, you can hear it in action.
It seems [optimus103733] isn’t completely satisfied and wants to make a few improvements in the future, such as a voltage regulator, a power switch, and a timer to automatically stop playback once (we assume) sleep has come. Evidently the ESP32 struggles a little with mixing six audio sources, but hey, lesson learned.
Wait, why do we sleep in the first place?
youtube.com/embed/aQic2eBXzWk?…
TamperedChef: malware tramite falsi installer di app
La campagna su larga scala TamperedChef sta nuovamente attirando l’attenzione degli specialisti, poiché gli aggressori continuano a distribuire malware tramite falsi programmi di installazione di applicazioni popolari.
Questa truffa, mascherata da software legittimo, aiuta a ingannare gli utenti e a ottenere un accesso persistente ai dispositivi. Il team Acronis sottolinea che l’attività continua: vengono scoperti nuovi file e l’infrastruttura associata rimane operativa.
Il metodo si basa sull’ingegneria sociale. Utilizza nomi di utility note, annunci con clic falsi, ottimizzazione per i motori di ricerca e falsi certificati digitali. I ricercatori Darrell Virtusio e József Gegenyi spiegano che questi elementi aumentano la fiducia negli installatori e aiutano a bypassare i meccanismi di sicurezza.
La campagna è stata soprannominata TamperedChef perché i falsi installer creati fungono da tramite per il malware omonimo. Questa attività è considerata parte di una serie più ampia di operazioni EvilAI che utilizzano esche collegate a strumenti basati sull’intelligenza artificiale.
Per dare credibilità alle app false, il gruppo di operatori utilizza certificati rilasciati a società fittizie negli Stati Uniti, a Panama e in Malesia. Quando i vecchi certificati vengono revocati, ne vengono emessi di nuovi con un nome aziendale diverso. Acronis sottolinea che questa infrastruttura assomiglia a un processo di produzione organizzato, consentendo l’emissione continua di nuove chiavi e l’occultamento di codice dannoso dietro build firmate.
È importante notare che diverse aziende hanno identificato diverse minacce sotto il nome TamperedChef: alcuni team di ricerca utilizzano la denominazione BaoLoader e il file dannoso originale con questo nome era incorporato in una falsa app di ricette sviluppata da EvilAI.
Un tipico scenario di infezione inizia con un utente che cerca manuali hardware o utility in formato PDF. I risultati contengono link pubblicitari o risultati falsificati, che rimandano a domini dell’aggressore registrati tramite NameCheap. Dopo aver scaricato ed eseguito il programma di installazione, all’utente viene presentato un contratto standard e, al termine, un messaggio di ringraziamento viene visualizzato in una nuova finestra del browser.
A questo punto, sulla macchina viene creato un file XML che incorpora nel sistema un componente JavaScript nascosto con esecuzione ritardata. Questo modulo si connette a un nodo esterno e invia gli identificatori di base del dispositivo e della sessione come pacchetto JSON crittografato e codificato tramite HTTPS.
Gli obiettivi degli operatori rimangono poco chiari. Alcune versioni del malware sono state utilizzate in campagne pubblicitarie ingannevoli, il che indica un tentativo di trarre profitto diretto. È anche possibile che l’accesso venga venduto ad altri gruppi criminali o utilizzato per raccogliere dati riservati da rivendere successivamente sui mercati ombra.
Secondo i dati di telemetria, gli Stati Uniti hanno registrato il maggior numero di infezioni. Gli attacchi hanno colpito numeri minori anche in Israele, Spagna, Germania, India e Irlanda. Le organizzazioni dei settori sanitario, edile e manifatturiero sono le più colpite. Gli esperti attribuiscono ciò al fatto che i dipendenti di queste aziende cercano regolarmente online manuali di istruzioni per attrezzature specializzate, rendendoli vulnerabili a tali trappole.
L'articolo TamperedChef: malware tramite falsi installer di app proviene da Red Hot Cyber.
Bug critico da score 10 per Azure Bastion. Quando RDP e SSH sul cloud sono in scacco matto
Una vulnerabilità di tipo authentication bypass è stata individuata in Azure Bastion (scoperta da RHC grazie al monitoraggio costante delle CVE critiche presente sul nostro portale), il servizio gestito di Microsoft che consente connessioni RDP e SSH sicure verso macchine virtuali in Azure senza esporle direttamente a Internet.
La falla, identificata come CVE-2025-49752, permette potenzialmente a un attaccante remoto di ottenere privilegi amministrativi su tutte le VM accessibili tramite Bastion.
Dettagli tecnici
Il CVE-2025-49752 rientra nella categoria CWE-294 – Authentication Bypass by Capture-Replay, che consiste nell’intercettazione e riutilizzo di token o credenziali valide per ottenere accesso non autorizzato.
Nel caso di Azure Bastion, ciò potrebbe consentire l’escalation di privilegi a livello amministrativo, senza necessità di interazione da parte dell’utente.
La vulnerabilità è remotamente sfruttabile, non richiede privilegi preesistenti e ha un punteggio CVSS di 10.0, il massimo, poiché l’attacco può essere condotto esclusivamente via rete.
Ad oggi, non sono stati pubblicati dettagli sul codice sorgente né proof-of-concept, e non ci sono segnalazioni di sfruttamento attivo in ambiente reale.
Sistemi interessati
- Tutte le implementazioni di Azure Bastion precedenti all’aggiornamento di sicurezza rilasciato il 20 novembre 2025.
- Nessuna limitazione specifica per versione o SKU è stata indicata negli avvisi ufficiali.
- Tutte le configurazioni che utilizzano Bastion per RDP o SSH sono considerate potenzialmente vulnerabili.
Contesto storico della sicurezza Microsoft Azure
Nel 2025, Microsoft Azure ha già affrontato altre vulnerabilità critiche di escalation privilegi, tra cui:
- CVE-2025-54914 – Azure Networking, CVSS 10.0
- CVE-2025-29827 – Azure Automation, CVSS 9.9
- CVE-2025-55241 – Azure Entra ID, CVSS 9.0
Microsoft mantiene un ciclo mensile di aggiornamenti e ha avviato l’iniziativa Secure Future per rafforzare la sicurezza nello sviluppo dei servizi cloud. Nonostante questi sforzi, vulnerabilità di autenticazione e escalation di privilegi continuano a emergere in diversi servizi Azure.
Cos’è Azure Bastion
Azure Bastion è un servizio gestito da Microsoft che consente agli utenti di connettersi in modo sicuro a macchine virtuali (VM) su Azure tramite RDP (Remote Desktop Protocol) o SSH, senza esporre le VM direttamente a Internet. Grazie a questa soluzione, le aziende possono ridurre significativamente i rischi di attacchi esterni e proteggere le credenziali di accesso.
Azure Bastion agisce come ponte sicuro tra l’utente e la macchina virtuale. L’accesso avviene tramite il portale Azure, utilizzando una connessione crittografata. Questo elimina la necessità di aprire porte pubbliche sulle VM, riducendo il rischio di intrusioni.
Azure Bastion è ampiamente adottato da organizzazioni che necessitano di un accesso amministrativo sicuro alle VM, in contesti come: sviluppo software, ambienti di test, gestione di server cloud e supporto IT remoto.
L'articolo Bug critico da score 10 per Azure Bastion. Quando RDP e SSH sul cloud sono in scacco matto proviene da Red Hot Cyber.
Ma fuggire dall'AI come se fosse il demonio non è un errore uguale (a meno del segno) al buttarsi tra le sue braccia come se fosse una panacea?
Perché alla fine c'è pur sempre la possibilità di usarla con il caro vecchio "grano salis".
Poliversity - Università ricerca e giornalismo reshared this.
Quando in platea ci sono gli studenti
@Giornalismo e disordine informativo
articolo21.org/2025/11/quando-…
Centinaia di ragazzi di varie età. Delle scuole medie inferiori e superiori. Di istituti diversi. Questo ho avuto di fronte a me il 21 novembre mattina a Gualdo Tadino alla Festa Nazionale di Articolo21. Ogni volta incontrare i ragazzi è sfidante. È un momento
Giornalismo e disordine informativo reshared this.
Giornalismo e disordine informativo reshared this.
Il nuovo video di Pasta Grannies: youtube.com/watch?v=nP70SrnWTw…
@Cucina e ricette
(HASHTAG)
Cucina e ricette reshared this.
Per il garantismo
….RITENUTA quindi l’infondatezza della notizia di reato in quanto gli elementi acquisiti nelle indagini preliminari non appaiono idonei a sostenere l’accusa in giudizio, visti gli artt. 408/411 c.p.p., 125 D.Lv. 271/89 CHIEDE che il Giudice per le indagini preliminari in sede voglia disporre l’archiviazione del procedimento e ordinare la conseguente restituzione degli atti al proprio ufficio. Milano, 2 maggio 2017.IL PROCURATORE DELLA REPUBBLICA Tiziana Siciliano – sost. Sara Arduini
D’altronde la stessa Corte di Cassazione recentemente ha stabilito che: “Non integra il reato di alterazione di stato previsto dall’art. 567 comma 2 c.p., la trascrizione in Italia di un atto di nascita legittimamente formato all’estero, non potendosi considerare ideologicamente falso il certificato conforme alla legislazione del paese di nascita del minore, neppure nel caso in cui la procreazione sia avvenuta con modalità non consentite in Italia….., per tali motivi, ritenuto quindi che la notizia di reato è infondata; visti gli artt. 408/411 c.p.p., 125 d.lgs. n. 271/1989, chiede che il Giudice per le indagini preliminari in sede voglia disporre l’archiviazione del procedimento e ordinare la conseguente restituzione degli atti all’ufficio in intestazione.IL PUBBLICO MINISTERO
Sussistono i presupposti di legge per l’archiviazione del procedimento penale in epigrafe. …..Ciò che è emerso è la presenza di THC ma senza indicare una percentuale, per cui, essendo lecita la vendita di cannabis sativa purché con un contenuto di THC inferiore allo 0,6%, potrebbe operare una causa di esclusione dell’antigiuridicità”.Da qui l’istanza della Procura “di disporre l’archiviazione del procedimento” (artt. 408, 411 c.p.p.).
Nel secondo anniversario della morte di Sibilla Barbieri, avvenuta in Svizzera, la Procura della Repubblica di Roma ha notificato all’avvocata Filomena Gallo, difensore degli indagati Marco Cappato, Vittorio Parpaglioni e Marco Perduca, l’avviso di richiesta di archiviazione per l’autodenuncia presentata dai tre dopo aver aiutato la regista romana ad accedere alla morte assistita volontaria.La richiesta di archiviazione riguarda l’ipotesi di “aiuto al suicidio”, in seguito all’iniziativa dei tre esponenti dell’Associazione Luca Coscioni, che avevano accompagnato Sibilla Barbieri in Svizzera nel 2023, dopo il rifiuto della ASL 1 di Roma di autorizzare la procedura in Italia. Spetterà ora al giudice per le indagini preliminari (GIP) decidere se accogliere la richiesta della Procura o disporre un’udienza per valutare un’eventuale imputazione coatta. Solo dopo la pubblicazione delle motivazioni del Pubblico Ministero sarà possibile comprendere le basi giuridiche della richiesta di archiviazione.
E così via.
Gli esempi citati sono di richieste di archiviazione da parte di chi rappresenta l’accusa nel processo penale in Italia. È un fenomeno molto frequente: il 64% (quasi 2 su tre) dei procedimenti che escono dalle procure dopo la fine delle indagini preliminari non va a giudizio ma viene archiviato.
Ciò che caratterizza l’accusatore italiano così spesso descritto come un mastino, è in realtà una prima importante funzione di garanzia per l’Imputato. Se non convinto della colpevolezza l’accusatore, [il pubblico ministero (P.M.)] la cui carriera si vuole ora separare da quella dei giudici, è libero di chiedere il proscioglimento e spesso lo fa, proprio perché la cultura in cui si è formato ed opera è quella di capire come sono davvero andate le cose. Non di ottenere una condanna.
In altre parole, nell’ordinamento attuale e salvo eccezioni che sempre esistono, il P.M. prima di esser un accusatore è un magistrato che cerca di capire. Perdere tale cultura e formazione non farà bene alla giustizia. E soprattutto se il P.M. divenisse dipendente dagli indirizzi governativi (p.es su temi come i diritti civili perseguiti negli esempi) potrebbe trovarsi in difficoltà a chiedere un’archiviazione qualora lo ritenesse necessario.
Il Ministro Nordio afferma che finché ci sarà lui come Ministro della Giustizia, questo rischio di riduzione dell’indipendenza del P.M. non si porrà. E bisogna credergli. Ma una volta scardinate le funzioni di garanzia affidate agli accusatori dalla Costituzione e protette dai complessi meccanismi di revisione della Carta costituzionale, la graduale sottoposizione di quei magistrati accusatori al Governo potrebbe facilmente diventare possibile con leggi ordinarie, votabili dal Parlamento in seduta singola da semplici maggioranze parlamentari del 51% su indicazione di qualunque futuro Presidente del Consiglio e/o Ministro della Giustizia.
Per ammissione degli stessi proponenti, la legge 253 del 30 ottobre 2025 sulla separazione delle carriere poco o nulla contribuirà a rendere la giustizia più efficace e veloce. Cosa questa sì, più che mai urgente per noi tutti. Visto che una giustizia che arriva tardi non è mai vera giustizia.
Le misure per ottenerla sono note e richieste da anni a tutti i governi ma da nessuno di questi ultimi mai messe in opera come si dovrebbe. Suggerendo ciò che una giustizia rapida ed efficace interessa a (troppo) pochi.
- Piante organiche a completamento (magistrati, cancellieri e personale amministrativo)
- Ambienti (Uffici, Aule) adeguati
- Strumenti informatici adeguati, sottoposti a manutenzione regolare ed interventi tecnici tempestivi
- Più multe e misure alternative, meno carcere
- Condizioni carcerarie adeguate ad un paese civile
- Residenze per l’Esecuzione delle Misure di Sicurezza (REMS) adeguate ad un paese civile
- Limite ad accusa e difesa di parole scritte per tipologia di reato e posizione esaminata
- Limite ad accusa e difesa di tempo di arringa per tipologia di reato e posizione esaminata
- Limite ad accusa e difesa della possibilità di impugnazione ai soli casi più gravi (con pene previste più alte), rendendo le decisioni di primo grado subito definitive per quelli meno gravi (con pene previste più basse)
Senza fare questo, la velocità dei processi non cambierà e la separazione dei P.M. dai giudici non farà altro che diminuire le garanzie per i cittadini. Per questo io voterò NO al referendum confermativo.
L'articolo Per il garantismo proviene da Associazione Luca Coscioni.
Si è concluso ieri il Salone dello Studente di Roma! Il #MIM ha partecipato con un info point...
Si è concluso ieri il Salone dello Studente di Roma! Il #MIM ha partecipato con un info point per l'orientamento, spazi per conoscere gli ITS Academy e un'area dedicata al progetto #MadeinMIM.
Ministero dell'Istruzione
Si è concluso ieri il Salone dello Studente di Roma! Il #MIM ha partecipato con un info point per l'orientamento, spazi per conoscere gli ITS Academy e un'area dedicata al progetto #MadeinMIM.Telegram
This Week in Security: Cloudflare Wasn’t DNS, BADAUDIO, and Not a Vuln
You may have noticed that large pieces of the Internet were down on Tuesday. It was a problem at Cloudflare, and for once, it wasn’t DNS. This time it was database management, combined with a safety limit that failed unsafe when exceeded.
Cloudflare’s blog post on the matter has the gritty details. It started with an update to how Cloudflare’s ClickHouse distributed database was responding to queries. A query of system columns was previously only returning data from the default database. As a part of related work, that system was changed so that this query now returned all the databases the given user had access to. In retrospect it seems obvious that this could cause problems, but it wasn’t predicted to cause problems. The result was that a database query to look up bot-management features returned the same features multiple times.
That featurelist is used to feed the Cloudflare bot classification system. That system uses some AI smarts, and runs in the core proxy system. There are actually two versions of the core proxy, and they behaved a bit differently when the featurelist exceeded the 200 item limit. When the older version failed, it classified all traffic as a bot. The real trouble was the newer Rust code. That version of the core proxy threw an error in response, leading to 5XX HTTP errors, and the Internet-wide fallout.
Dangling Azure
There’s a weird pitfall with cloud storage when a storage name is used and then abandoned. It’s very much like what happens when a domain name is used and then allowed to expire: Someone else can come along and register it. Microsoft Azure has its own variation on this, in the form of Azure blob storage. And the folks at Eye Security’s research team found one of these floating blobs in an unexpected place: In Microsoft’s own Update Health Service.
The 1.0 version of this tool was indeed exploitable. A simple payload hosted on one of these claimed blob endpoints could trigger an explorer.exe execution with an arbitrary parameter, meaning trivial code execution. The 1.1 version of the Update Health Service isn’t vulnerable by default, requiring a registry change before reaching out to the vulnerable blob locations. That said, there are thousands of machines looking to these endpoints that would be vulnerable to takeover. After the problem was reported, Microsoft took over the blob names to prevent any future misuse.
BADAUDIO
There’s a new malware strain from APT24, going by the name BADAUDIO. Though “new” is a bit of a misnomer here, as the first signs of this particular malware were seen back in 2022. What is new is that Google Threat Intelligence reporting on it. The campaign uses multiple techniques, like compromising existing websites to serve the malware in “watering hole” attacks, to spam and spearphishing.
Notable here is how obfuscated the BADAUDIO malware loader is, using control flow flattening to resist analysis. First consider how good code uses functions to group code into logical blocks. This technique does the opposite, putting code into blocks randomly. The primary mechanism for execution is DLL sideloading, where a legitimate application is run with a malicious DLL in its search path, again primarily to avoid detection. It’s an extraordinarily sneaky bit of malware.
Don’t Leave The Defaults
There’s an RCE (Remote Code Execution) in the W3 Total Cache WordPress plugin. The vulnerability is an eval() that can be reached by putting code in a page to be cached. So if a WordPress site allows untrusted comments, and has caching enabled, there’s just one more hurdle to clear. And that is the W3TC_DYNAMIC_SECURITY value, which seems to be intended to stave off exactly this sort of weakness. So here’s the lesson, don’t leave this sort of security feature default.
Not a Vulnerability
We have a trio of stories that aren’t technically vulnerabilities. The first two are in the mPDF library, that takes HTML code and generates PDFs — great for packaging documentation. The first item of interest in mPDF is the handling of @import css rules. Interestingly, these statements seem to be evaluated even outside of valid CSS, and are handled by passing the URL off to curl to actually fetch the remote content. Those URLs must end in .css, but there’s no checking whether that is in a parameter or not. So evil.org/?.css is totally valid. The use of curl is interesting for another reason, that the Gopher protocol allows for essentially unrestricted TCP connections.
The next quirk in mPDF is in how .svg files are handled. Specifically, how an image xlink inside an svg behaves, when it uses the phar:// or php:// prefixes. These are PHP Archive links, or a raw php link, and the mPDF codebase already guards against such shenanigans, matching links starting with either prefix. The problem here is that there’s path mangling that happens after that guard code. To skip straight to the punchline, :/phar:// and :/php:// will bypass that filter, and potentially run code or leak information.
Now the big question: Why are neither of those vulnerabilities? Even when one is a bypass for a CVE fix from 2019? Because mPDF is only to be used with sanitized input, and does not do that sanitization as part of its processing. And that does check out. It’s probably the majority of tools and libraries that will do something malicious if fed malicious input.
There’s one more “vulnerable” library, esbuild, that has an XSS (Cross Site Scripting) potential. It comes down to the use of escapeForHTML(), and the fact that function doesn’t sanitize quotation marks. Feed that malicious text, and the unescaped quotation mark allows for plenty of havoc. So why isn’t this one a vulnerability? Because the text strings getting parsed are folder names. And if you can upload an arbitrary folder to the server where esbuild runs, you already have plenty of other ways to run code.
Bits and Bytes
There’s another Fortinet bug being exploited in the wild, though this one was patched with FortiWeb 8.0.2. This one gets the WatchTowr treatment. It’s a path traversal that bypasses any real authentication. There are a couple of validation checks that are straightforward to meet, and then the cgi_process() API can be manipulated as any user without authentication. Ouch.
The Lite XL text editor seems pretty nifty, running on Windows, Linux, and macOS, and supporting lua plugins for extensibility. That Lua code support was quite a problem, as opening a project would automatically run the .lua configuration files, allowing direct use of os.execute(). Open a malicious project, run malicious code.
And finally, sometimes it’s the easy approach that works the best. [Eaton] discovered A Cracker Barrel administrative panel built in React JS, and all it took to bypass authentication was to set isAuthenticated = true in the local browser. [Eaton] started a disclosure process, and noticed the bug had already been fixed, apparently discovered independently.
Dogfooding is usually a good thing: That’s when a company uses their own code internally. It’s not so great when it’s a cloud company, and that code has problems. Oracle had this exact problem, running the Oracle Identity Governance Suite. It had a few authentication bypasses, like the presence of ?WSDL or ;.wadl at the end of a URL. Ah, Java is magical.
Rischio sventato per milioni di utenti Microsoft! La falla critica in Microsoft SharePoint da 9.8
Microsoft ha reso nota una vulnerabilità critica in SharePoint Online (scoperta da RHC grazie al monitoraggio costante delle CVE critiche presente sul nostro portale), identificata come CVE-2025-59245, con un punteggio CVSS v3.1 di 9.8/10.
La falla riguarda la deserializzazione di dati non attendibili (CWE‑502) e permette a un attaccante remoto di ottenere un’elevazione di privilegi senza necessità di credenziali o interazione dell’utente. Se sfruttata attivamente da criminali informatici, questa vulnerabilità potrebbe mettere a rischio milioni di utenti.
L’episodio sottolinea come, dopo gli incidenti su servizi cloud come AWS, Azure e Cloudflare, il cloud stia sempre più diventando un “single point of failure”, dove un singolo bug critico può compromettere enormi quantità di dati aziendali e personali.
Modalità e impatto dell’attacco
La vulnerabilità sfrutta la deserializzazione di dati provenienti da fonti non attendibili. In pratica, un attaccante può manipolare oggetti serializzati che SharePoint Online deserializza in modo insicuro, ottenendo la possibilità di eseguire codice arbitrario o elevare i propri privilegi. Questo rende possibile il controllo amministrativo sulla piattaforma, compromettendo documenti, flussi aziendali e dati sensibili. Il punteggio CVSS riflette sia la facilità di sfruttamento sia l’impatto grave su confidenzialità, integrità e disponibilità.
Diffusione e contesto aziendale
SharePoint Online è un servizio cloud ampiamente utilizzato da aziende, pubbliche amministrazioni e organizzazioni internazionali per gestione documentale e collaborazione. La compromissione di un tenant può portare a accesso non autorizzato ai dati, manipolazione dei documenti e interruzioni operative, con potenziali conseguenze legali e reputazionali. La mancanza di requisiti di autenticazione e interazione utente aumenta ulteriormente il rischio di sfruttamento remoto.
La vulnerabilità è stata riservata su NVD a settembre 2025 e pubblicata ufficialmente il 20 novembre 2025, con aggiornamento il 21 novembre. Microsoft l’ha inclusa nel proprio Security Update Guide, ma al momento della pubblicazione non erano disponibili exploit pubblici né patch. Il servizio essendo cloud-based, la gestione delle mitigazioni e degli aggiornamenti dipende direttamente dal provider, rendendo cruciale il monitoraggio da parte delle organizzazioni.
Misure di protezione consigliate
Anche se SharePoint Online è un servizio cloud e Microsoft applicherà direttamente le patch lato server, le organizzazioni non devono abbassare la guardia. È fondamentale verificare lo stato del proprio tenant, monitorare eventuali attività sospette e assicurarsi che controlli di accesso, privilegi e integrazioni API siano configurati correttamente. Queste misure riducono il rischio residuo derivante da configurazioni errate o da eventuali tentativi di sfruttamento precedenti all’applicazione della patch, garantendo così la sicurezza dei dati aziendali anche in ambienti cloud gestiti.
Conclusione: urgenza e prevenzione
La CVE‑2025‑59245 evidenzia quanto la sicurezza del cloud aziendale sia critica.
Con un punteggio di 9.8, sfruttabile da remoto senza autenticazione, la vulnerabilità rappresenta un pericolo reale per la confidenzialità, integrità e disponibilità dei dati. Organizzazioni e amministratori devono agire subito, implementando controlli, mitigazioni e monitoraggio costante per prevenire accessi non autorizzati e possibili danni operativi o reputazionali.
L'articolo Rischio sventato per milioni di utenti Microsoft! La falla critica in Microsoft SharePoint da 9.8 proviene da Red Hot Cyber.
Chi ha staccato Cloudflare durante l’interruzione ha messo a rischio la sua infrastruttura
Un’importante interruzione dell’infrastruttura di Cloudflare ha messo inaspettatamente alla prova la solidità del cloud e dei suoi sistemi di sicurezza per molte aziende. Il 18 novembre, le interruzioni del servizio hanno causato la disconnessione di siti web in tutto il mondo più volte e alcuni clienti hanno tentato di abbandonare temporaneamente la piattaforma per mantenere la disponibilità delle risorse.
Questa manovra forzata ha anche comportato la perdita per diverse ore da parte delle applicazioni web del tradizionale filtro del traffico dannoso, che Cloudflare in genere blocca ai margini della rete.
I problemi sono iniziati intorno alle 6:30 EST (11:30 UTC), quando sulla pagina di stato è apparsa una notifica relativa al degrado dei servizi interni. Nelle ore successive, le risorse sono tornate online, per poi tornare nuovamente non disponibili. La situazione è stata complicata dal fatto che il portale di Cloudflare era frequentemente inattivo e molti domini si affidavano anche al servizio DNS dell’azienda , rendendo tecnicamente difficile il passaggio a soluzioni alternative.
Ciononostante, alcuni proprietari di siti web hanno comunque modificato il routing, ed è stato questo tentativo di garantire la disponibilità senza fare affidamento sul perimetro di sicurezza di Cloudflare a rendere la loro infrastruttura più vulnerabile agli aggressori.
Esperti terzi sottolineano che la piattaforma mitiga efficacemente i tipi più comuni di attacchi a livello applicativo , tra cui attacchi brute-force alle credenziali, attacchi SQL injection, tentativi di bypass dei controlli API e numerosi scenari di traffico automatizzato. Pertanto, l’improvvisa perdita di questo livello ha rivelato vulnerabilità nascoste, nei controlli di sicurezza locali a compromissioni di lunga data nei controlli lato applicazione.
In un caso, l’aumento del volume dei log è stato così significativo che l’azienda sta ancora cercando di determinare quali eventi fossero veri e propri tentativi di intrusione e quali fossero solo rumore.
Gli analisti sottolineano che durante il periodo in cui alcuni importanti siti web sono stati costretti a operare senza Cloudflare, qualsiasi osservatore avrebbe potuto notare cambiamenti nei record DNS e rendersi conto che la linea difensiva era scomparsa.
Per i gruppi criminali, tali periodi rappresentano un’opportunità per lanciare attacchi precedentemente bloccati a livello perimetrale, soprattutto se il bersaglio era già sotto sorveglianza. Pertanto, le organizzazioni che hanno reindirizzato il traffico verso percorsi alternativi devono ora esaminare attentamente i registri eventi per assicurarsi che non siano emerse presenze nascoste di aggressori dopo il ripristino della rete predefinita.
Cloudflare ha successivamente pubblicato un’analisi dell’incidente. L’azienda ha dichiarato che l’interruzione non era correlata ad attacchi o attività dannose. Piuttosto, era stata causata da un errore di autorizzazione in uno dei suoi database interni, che aveva generato un gran numero di voci in un file di configurazione separato per il sistema di gestione dei bot.
Il file ha raddoppiato le sue dimensioni ed è stato quindi propagato automaticamente in tutta la rete, innescando una cascata di errori. Considerando che i servizi Cloudflare sono utilizzati da circa un quinto di Internet, tali incidenti dimostrano quanto i servizi web moderni siano vulnerabili a errori isolati provenienti da un singolo provider.
La questione dell’affidamento su singoli punti di errore sta attirando ulteriore attenzione. I consulenti considerano questo incidente come un ulteriore promemoria della necessità di distribuire le funzioni di sicurezza su più zone e provider. A tal fine, suggeriscono di implementare strumenti di filtraggio, protezione DDoS e manutenzione DNS su diverse piattaforme, segmentare le applicazioni per evitare che un errore sul lato di un provider provochi una reazione a catena e monitorare regolarmente le dipendenze critiche per identificare tempestivamente l’impatto delle reti mono-fornitore.
L'articolo Chi ha staccato Cloudflare durante l’interruzione ha messo a rischio la sua infrastruttura proviene da Red Hot Cyber.
Ivan Bk
in reply to Max - Poliverso 🇪🇺🇮🇹 • • •Max - Poliverso 🇪🇺🇮🇹
in reply to Ivan Bk • •@Ivan Bk
Ma infatti, io leggo quasi solo di gente che fa di tutto per scappare e di altri che te la vendono come se fosse il sol dell'avvenir.
Ivan Bk
in reply to Max - Poliverso 🇪🇺🇮🇹 • • •