It is hard to remember a time when no one had a spreadsheet. Sure, you had big paper ledgers if you were an accountant. But most people just scribbled their math on note paper or, maybe, an engineering pad. [Christopher Drum] wanted to look at what the state of the art in 1978 spreadsheet technology could do. So he ran VisiCalc.

Surprisingly, VisiCalc got a lot of things right that we still use today. One thing we don’t see much of is the text-based menu. As [Christopher] puts it, when you press the slash key, “what first appears to be ‘the entire alphabet’ pops up at the top of the screen.” In reality, it is a menu of letters that each correspond to some command. For example, C will clear the sheet (after prompting you, of course).

Interestingly, VisiCalc of the day didn’t do a natural order of evaluation. It would process by rows or by columns, your choice. So if cell A1 depended on cell B5, you’d probably get a wrong answer since A1 would always be computed before B5. Interestingly, the old Apple didn’t have up and down keys, so you had to toggle what the right and left keys did using the space bar. Different times!

This is a great look into a very influential piece of software and its tutorials. If you have old VisiCalc files you want to drag into the 21st century, [Christopher] explains the convoluted process to get mostly there.

We’ve been known to abuse spreadsheets pretty badly, although we’ve seen worse.

hackaday.com/2025/10/26/spread…

Gli specialisti di BI.ZONE hanno identificato due vulnerabilità (CVE-2025-62592 e CVE-2025-61760) in Oracle VirtualBox. Combinate assieme consentivano a un aggressore di uscire da una macchina virtuale e raggiungere il sistema host macOS basato su ARM.

Si sottolinea che questa è la prima catena di vulnerabilità di questo tipo di cui si abbia notizia pubblica dal rilascio della versione 7.1.0 di VirtualBox nel 2024, che ha introdotto il supporto ARM in macOS.

La vulnerabilità CVE-2025-62592 (punteggio CVSS 6.0) è stata scoperta nella scheda grafica virtuale QemuRamFB nel gestore di lettura MMIO qemuFwCfgMmioRead. Consente a un aggressore di leggere una quantità illimitata di memoria oltre i limiti dell’array. Di conseguenza, l’aggressore può accedere a dati sensibili, inclusi indirizzi base randomizzati di programmi e librerie. La vulnerabilità riguarda solo VirtualBox per macOS su un processore ARM.

CVE-2025-61760 (punteggio CVSS 7,5) è una vulnerabilità di buffer overflow basata sullo stack nella funzione virtioCoreR3VirtqInfo. Un aggressore può sfruttare questa vulnerabilità utilizzando le informazioni ottenute sfruttando il CVE-2025-62592. L’aggressore può quindi uscire dalla macchina virtuale ed eseguire codice arbitrario sull’host, assumendo il controllo dell’hypervisor e di altre macchine virtuali.

Di conseguenza, l’aggressore può accedere al microfono e alla fotocamera del dispositivo, leggere e modificare qualsiasi file, compresi quelli di altre applicazioni. Può anche avviare nuovi processi, ottenendo di fatto il controllo quasi completo del sistema operativo host.

“Quando si sviluppa un exploit per applicazioni moderne, gli aggressori hanno spesso bisogno di due vulnerabilità: una per far trapelare ASLR e una per corrompere le strutture di memoria dei processi. Le vulnerabilità scoperte dal nostro team sono autosufficienti per questa catena. Il loro sfruttamento è in qualche modo ostacolato da mitigazioni protettive come NX (No-eXecute) e stack canary, ma è possibile sovrascrivendo altre variabili locali della funzione virtioCoreR3VirtqInfo”, commenta Pavel Blinnikov, responsabile del team di ricerca sulle vulnerabilità.

Le informazioni sulle vulnerabilità sono state segnalate al fornitore e il 21 ottobre 2025 Oracle ha rilasciato un aggiornamento critico della patch che risolve entrambi i problemi.

L'articolo Vulnerabilità in Oracle VirtualBox: rischio di fuga da macchina virtuale proviene da Red Hot Cyber.

Gli specialisti di Google hanno rimosso da YouTube oltre 3.000 video che diffondevano informazioni nascoste mascherate da software hackerato e trucchi per videogiochi. I ricercatori di Check Point hanno soprannominato questa campagna ” YouTube Ghost Network” e hanno riferito che era attiva dal 2021, con un forte aumento nel 2025, quando il numero di video dannosi è triplicato.

Secondo i ricercatori, gli autori di questi attacchi hanno dirottato account YouTube legittimi e, sfruttando le loro identità, hanno pubblicato tutorial che promettevano versioni pirata gratuite di Photoshop e FL Studio, oltre a trucchi e hack per Roblox. Invece del software promesso, le vittime hanno ricevuto gli infostealer Rhadamanthys e Lumma, che hanno rubato credenziali e portafogli crittografici.

La rete fantasma di YouTube si avvaleva di migliaia di account falsi e compromessi che operavano in sinergia. Alcuni account pubblicavano video con link dannosi, altri manipolavano i “Mi piace” e i commenti per creare l’illusione di attività, e altri ancora condividevano link a questi video tramite la funzione “Community” di YouTube.

“Questa campagna ha sfruttato i segnali di fiducia (visualizzazioni, Mi piace, commenti) per far apparire sicuri i contenuti dannosi”, spiegano i ricercatori di Check Point. “Quello che sembrava un tutorial utile si è rivelato una trappola informatica accuratamente congegnata”.

Agli utenti caduti nella trappola dei truffatori veniva chiesto di disattivare il software antivirus e di scaricare un archivio da Dropbox, Google Drive o MediaFire. Invece del software previsto, l’archivio conteneva un malwareche, una volta avviato, rubava i dati della vittima e li trasmetteva ai server degli hacker.

I ricercatori segnalano che un canale hackerato con 129.000 iscritti ha pubblicato un video che promuoveva una versione hackerata di Adobe Photoshop, ottenendo quasi 300.000 visualizzazioni e oltre 1.000 “Mi piace”. Un altro canale ha preso di mira gli utenti di criptovalute, reindirizzandoli a pagine di phishing su Google Sites.

L’esca più popolare di YouTube Ghost Network erano i trucchi di Roblox, ma erano popolari anche i video con versioni hackerate di Microsoft Office, Lightroom e strumenti Adobe. Si noti che gli operatori di questa campagna hanno modificato regolarmente i payload e aggiornato i link, anticipando l’eliminazione di video e account e creando un ecosistema resiliente in grado di riprendersi rapidamente in caso di blocco dell’account.

La struttura modulare della rete, con uploader, commentatori e distributori di link, ha permesso alla YouTube Ghost Network di sopravvivere per anni. Check Point nota somiglianze tra questa campagna e la Stargazers Ghost Network, scoperta su GitHub lo scorso anno. Questo servizio utilizza migliaia di account di sviluppatori falsi per ospitare repository dannosi.

“Nel panorama delle minacce odierno, un video popolare può essere pericoloso quanto un’email di phishing”, affermano gli esperti. “Questo evidenzia che anche le piattaforme affidabili non sono immuni agli abusi”.

L'articolo YouTube Ghost Network: la rete fantasma che ha infettato milioni di utenti proviene da Red Hot Cyber.

In our modern semi-dystopia, it seems like most companies add automation features to their products to lock them down and get consumers to buy even more proprietary, locked-down components. The few things that are still user-upgradable are getting fewer and farther between, but there are still a few things that can be modified and improved to our own liking like this control panel for a heat recovery ventilator (HRV).

HRVs are systems that exchange fresh, outside air with stale, inside air while passing them both through a heat exchanger to keep from wasting energy. Many systems run continuously but they aren’t always needed, so some automation is beneficial. This upgrade from [vincentmakes] improves the default display for a Zehnder Comfoair Q350 HRV with a color display as well as adding it in to a home automation system, letting a user control fan speeds remotely as well as alerting the user when it’s time for filter replacements and providing up-to-date information from all the sensors in the HRV.

The project builds on a previous project which adapted an ESP32 to interact with the CAN bus used on these devices. With these upgrades the user can forgo the $300 proprietary upgrade that would be needed to get the same functionality otherwise. It’s also fully open-source so all that’s needed is to flash the firmware, replace the display, and enjoy the fresh air. There’s other modern HVAC equipment that can benefit from new controllers and a bit of automation as well.

youtube.com/embed/69VF5-dpnYU?…

hackaday.com/2025/10/26/erv-ge…

Un’indagine condotta dall’Unione Europea di Radiodiffusione (EBU), con il supporto della BBC, ha messo in luce che i chatbot più popolari tendono a distorcere le notizie, modificandone il senso, confondendo le fonti e fornendo dati non aggiornati.

Il progetto, a cui hanno preso parte 22 redazioni di 18 nazioni, ha visto gli esperti sottoporre ChatGPT, Microsoft Copilot, Google Gemini e Perplexity a migliaia di query standardizzate, comparando le risposte ottenute con quelle pubblicate effettivamente.

I risultati emersi sono stati piuttosto inquietanti: circa la metà delle risposte presentava errori significativi, mentre in otto casi su dieci sono state riscontrate piccole imprecisioni.

Secondo il rapporto, il 45% delle risposte presentava problemi significativi, il 31% fonti confuse e il 20% errori gravi come dati inventati e date errate.

Il controllo delle referenze ha rivelato che Gemini ha ottenuto i risultati peggiori: il 72% delle sue risposte presentava fonti errate o non verificate. A titolo di confronto, ChatGPT presentava errori di questo tipo nel 24% dei casi, mentre Perplexity e Copilot ne presentavano il 15% ciascuno.

Nel frattempo, l’uso delle reti neurali per l’informazione è in crescita. Secondo un sondaggio Ipsos condotto su 2.000 residenti nel Regno Unito, il 42% si affida ai chatbot per la fornitura di riassunti e, tra gli utenti sotto i 35 anni, la percentuale scende a quasi la metà. Tuttavia, l’84% degli intervistati ha affermato che anche un solo errore fattuale riduce drasticamente la fiducia in tali sistemi. Per i media, questo significa una cosa: più il pubblico si affida ai riassunti automatici, maggiore è il rischio di danni alla reputazione derivanti da eventuali inesattezze.

Esempi illustrativi dello studio sono stati forniti anche dai ricercatori. Mentre Gemini ha affermato con insistenza che la NASA non ha mai avuto astronauti bloccati nello spazio, nonostante due di loro abbiano trascorso nove mesi a bordo della ISS in attesa di rientro, ChatGPT ha dichiarato che Papa Francesco prosegue il suo ministero anche a distanza di settimane dalla sua scomparsa.

E’ emerso persino un caso in cui il bot ha sconsigliato espressamente di prendere la finzione per realtà, rappresentando un esempio chiaro di come un tono di sicurezza possa celare l’ignoranza.

Il progetto è diventato il più grande studio sull’accuratezza degli assistenti giornalistici. Questa scala – decine di redazioni, migliaia di risposte – esclude coincidenze casuali e dimostra che i problemi sono sistemici. Modelli diversi commettono errori diversi, ma sono fondamentalmente simili per un aspetto: tendono a “indovinare” la risposta, anche quando non sono sicuri.

Gli sviluppatori stessi lo riconoscono in parte. A settembre, OpenAI ha pubblicato un rapporto in cui si afferma che l’addestramento dei modelli a volte incoraggia congetture piuttosto che oneste ammissioni di ignoranza. E a maggio, gli avvocati di Anthropic sono stati costretti a scusarsi con il tribunale per documenti contenenti citazioni false generate dal loro modello Claude. Queste storie spiegano chiaramente perché un testo scorrevole non garantisce la veridicità.

Per ridurre l’incidenza di tali errori, i partecipanti al progetto hanno preparato una serie di raccomandazioni pratiche per sviluppatori e redazione. Descrive i requisiti per fonti trasparenti, i principi per la gestione dei dati discutibili e un meccanismo di verifica pre-pubblicazione. L’idea principale è semplice: se il sistema non è sicuro, dovrebbe segnalarlo all’utente, anziché inventare una risposta.

L’Unione Europea di Radiodiffusione avverte che quando le persone non riescono più a distinguere un’informazione affidabile da un’imitazione convincente, la fiducia nelle notizie in generale crolla. Per evitare questo, le redazioni e le aziende tecnologiche dovranno concordare standard comuni: l’accuratezza dovrebbe avere priorità sulla velocità e la verifica dovrebbe avere priorità sull’impatto.

L'articolo Mentre Papa Francesco è Vivo e continua il suo ministero, la disinformazione Galoppa proviene da Red Hot Cyber.