PoC online per le falle 7-Zip: l’exploit consente di eseguire codice arbitrario
E’ stato sviluppato un proof-of-concept di exploit per due vulnerabilità critiche presenti nel noto software di archiviazione 7-Zip; tali vulnerabilità potrebbero essere sfruttate da aggressori per eseguire, mediante l’invio di file ZIP dannosi, codice arbitrario a distanza.
Il loro punteggio CVSS v3.0 è di 7,0 per entrambi, una valutazione che sottolinea l’impatto considerevole che possono avere, al di là della prima impressione di un pericolo meno grave.
Le falle, identificate come CVE-2025-11001 e CVE-2025-11002 , sono state divulgate dalla Zero Day Initiative (ZDI) il 7 ottobre 2025 e derivano dalla gestione impropria dei collegamenti simbolici durante l’estrazione ZIP sui sistemi Windows.
Questi problemi interessano le versioni di 7-Zip dalla 21.02 alla 24.09, dove difetti nel processo di conversione dei link simbolici consentono attacchi di path traversal. Scoperte da Ryota Shiga di GMO Flatt Security Inc., le vulnerabilità sfruttano il modo in cui 7-Zip elabora i link simbolici in stile Linux, convertendoli in equivalenti Windows senza adeguate misure di sicurezza.
In un’analisi dettagliata condivisa dall’esperto di sicurezza pacbypass , i bug si verificano nel modulo ArchiveExtractCallback.cpp, in particolare in funzioni come IsSafePath e CLinkLevelsInfo::Parse.
Successivamente, un controllo in CloseReparseAndFile omette l’esame dettagliato della directory per le variabili che non rappresentano un path, il che permette al collegamento simbolico di essere diretto in maniera casuale. Con la versione 25.00, delle patch sono state applicate, aggiungendo un nuovo overload per IsSafePath, corredato da un flag denominato isWSL e da un’analisi più precisa al fine di individuare con esattezza i percorsi assoluti, andando così a risolvere tali problematiche.
Il problema principale risiede nella logica di estrazione di 7-Zip, che non riesce a convalidare correttamente i target dei link simbolici. Quando si estrae un file ZIP contenente un link simbolico Linux che punta a un percorso assoluto Windows come C:Users, il software lo classifica erroneamente come relativo a causa di un controllo del percorso assoluto difettoso, specifico per ambienti Linux o WSL.
Il PoC, disponibile nel repository GitHub di pacbypass, lo dimostra scompattano una struttura di directory che de referenzia il collegamento simbolico, consentendo scritture di file arbitrarie.
Tuttavia, lo sfruttamento richiede privilegi elevati, la modalità sviluppatore o un contesto di servizio elevato, limitandosi ad attacchi mirati piuttosto che al phishing su larga scala. Funziona solo su Windows, ignorando Linux o macOS.
Gli utenti dovrebbero aggiornare immediatamente a 7-Zip 25.00, poiché risolve questi problemi in modo completo. Disabilitare il supporto dei collegamenti simbolici durante l’estrazione o la scansione degli archivi con strumenti antivirus può ridurre l’esposizione. Queste vulnerabilità evidenziano i rischi persistenti nei gestori di archivi, richiamando precedenti falle di 7-Zip come gli attraversamenti delle directory.
L'articolo PoC online per le falle 7-Zip: l’exploit consente di eseguire codice arbitrario proviene da Red Hot Cyber.
I detenuti hackerano il carcere: pene ridotte, fondi trasferiti e visite non autorizzate
Il sistema penitenziario rumeno si è trovato al centro di un importante scandalo digitale: i detenuti di Târgu Jiu hanno hackerato la piattaforma interna dell’ANP e, per diversi mesi, hanno gestito senza essere scoperti dati su pene detentive, trasferimenti di fondi e condizioni di detenzione. Si tratta del primo caso documentato di detenuti che hanno ottenuto l’accesso al sistema sicuro utilizzato per amministrare tutti gli istituti penitenziari del Paese.
L’incidente è iniziato a luglio, quando un criminale informatico condannato è stato temporaneamente ricoverato presso l’ospedale del carcere di Dej. Lì, ha memorizzato il login e la password di un dipendente con diritti amministrativi. Tornato alla sua struttura, ha utilizzato queste credenziali per accedere ai terminali connessi alla rete interna. Avendo ottenuto l’accesso completo al sistema IMSweb, il detenuto si è connesso quasi quotidianamente al sistema, per un totale di oltre 300 ore.
Secondo il sindacato del personale penitenziario, un gruppo di detenuti ha utilizzato credenziali rubate per alterare le pene detentive, trasferire fondi tra conti, registrare visite non autorizzate e persino interferire con le condizioni di detenzione. Almeno 15 persone hanno tratto vantaggio dalle azioni del principale autore. Uno di loro è riuscito a spendere circa 10.000 lei rumeni (2.300 dollari) utilizzando fondi falsi per acquistare beni online.
Un’impiegata del dipartimento finanziario ha attirato l’attenzione sulle anomalie quando ha notato che i saldi dei conti di alcuni detenuti non diminuivano dopo gli acquisti. Ciò ha innescato un’indagine interna, che ha portato alla luce violazioni diffuse. Oltre ad alterare i dati personali, i detenuti hanno ottenuto l’accesso a foto e documenti relativi alla sicurezza. Inoltre, avevano intenzione di copiare l’intero sistema e venderlo sul mercato nero.
I funzionari dell’ANP hanno confermato l’attacco e hanno dichiarato di averlo prontamente segnalato alle autorità competenti. Tuttavia, l’amministrazione sostiene che l’incidente sia stato isolato. Il direttore dell’ANP, Geo Bogdan Burcu, ha riconosciuto che l’incidente è stato causato dalla negligenza del personale che ha consentito ai prigionieri l’accesso a terminali e tastiere. Ha inoltre osservato che a seguito dell’incidente sarebbero stati adottati provvedimenti disciplinari nei confronti di diversi membri del personale.
Sulla scia di questa situazione, sono emerse altre accuse contro Burcu, tra cui molestie e abuso di potere. Sebbene la dirigenza neghi tutte le accuse, queste non fanno che aumentare la tensione.
Ciò solleva interrogativi sulla sicurezza della piattaforma IMSweb stessa, implementata nel 2023 con finanziamenti UE. Secondo il sindacato, l’implementazione è stata affrettata per evitare di perdere i finanziamenti, senza procedure adeguate. Il sistema è attualmente sottoposto a verifica da parte dell’agenzia di sicurezza informatica competente e l’audit interno dell’ANP sta cercando vulnerabilità.
Gli esperti avvertono che simili attacchi informatici possono avere gravi conseguenze, che vanno da riduzioni incontrollate delle pene alla fuga di informazioni che compromettono la sicurezza nazionale.
L’incidente di Târgu Jiu è diventato un segnale allarmante della vulnerabilità delle infrastrutture digitali carcerarie e della necessità di urgenti riforme della sicurezza informatica.
L'articolo I detenuti hackerano il carcere: pene ridotte, fondi trasferiti e visite non autorizzate proviene da Red Hot Cyber.
Usare una VPN per vedere contenuti per adulti? In Wisconsin sarà un reato
Le autorità del Wisconsin hanno deciso di andare oltre la maggior parte degli altri stati americani nel promuovere la verifica obbligatoria dell’età per l’accesso a contenuti per adulti. L’AB 105 / SB 130 , presentato per la prima volta a marzo e già discusso in Assemblea, è ora all’esame del Senato. Il suo obiettivo è quello di obbligare tutti i siti web che distribuiscono materiale “dannoso per i minori” non solo a implementare un sistema di verifica dell’età, ma anche a bloccare l’accesso agli utenti connessi tramite VPN .
Questo requisito rende di fatto illegale l’utilizzo di una VPN per aggirare i limiti di età nello Stato. Gli autori sostengono che le VPN ostacolano un’efficace sorveglianza consentendo ad adulti e adolescenti di nascondere la propria posizione ed evitare di condividere dati personali con servizi di terze parti. Tuttavia, è proprio questa caratteristica delle VPN a garantire la protezione della privacy, aiutando milioni di persone in tutto il mondo a sentirsi al sicuro online.
Iniziative simili stanno già emergendo in altre regioni. A settembre, i legislatori del Michigan hanno proposto misure analoghe per obbligare i provider di servizi Internet a bloccare le connessioni VPN e vietare la distribuzione di strumenti che aggirano tali blocchi. Proton aveva avvertito all’epoca che tali restrizioni minacciano non solo la libertà online, ma anche il dibattito politico stesso. Anche il Regno Unito ha dichiarato che i servizi VPN creano un “buco” che deve essere colmato.
I critici dell’iniziativa del movimento Fight for the Future hanno indetto una giornata d’azione per la difesa delle VPN, invitando i legislatori a non trasformare le VPN in un bersaglio. Hanno sottolineato che queste tecnologie proteggono attivisti, giornalisti e utenti comuni che hanno a cuore la privacy e la crittografia del traffico.
La questione principale rimane di natura tecnica. Anche se la legge venisse approvata, non è chiaro come i siti web saranno in grado di riconoscere che il traffico proviene dal Wisconsin, poiché l’utilizzo di una VPN rivela solo un indirizzo IP falsificato. Ciò crea il rischio che i proprietari di siti web blocchino indiscriminatamente tutti gli utenti VPN, compresi quelli che si trovano al di fuori dello Stato. Inoltre, il disegno di legge non specifica chi determinerà quali materiali siano considerati “dannosi per i minori” o cosa costituisca esattamente ” contenuto per adulti “.
Non è chiaro se la legge si applicherà anche ai social network in cui gli utenti pubblicano le proprie immagini e video. La formulazione del documento è vaga: propone di imporre un limite di età per qualsiasi contenuto di natura sessuale, a meno che non abbia “un serio valore letterario, artistico, politico o scientifico per i minori”.
Sebbene il disegno di legge sia ancora in fase di discussione, la tendenza è chiara: negli Stati Uniti la pressione sulle tecnologie per l’anonimato è in aumento. Se la legge venisse approvata, il Wisconsin potrebbe diventare il primo stato a rendere reato l’utilizzo di una VPN durante la visione di contenuti per adulti.
L'articolo Usare una VPN per vedere contenuti per adulti? In Wisconsin sarà un reato proviene da Red Hot Cyber.
Operazione SIMCARTEL: 1.200 SIM-box e 40.000 schede SIM fermate da Europol
Il 10 ottobre 2025 le autorità lettoni hanno condotto una giornata di azione che ha portato all’arresto di cinque cittadini lettoni sospettati di gestire un’articolata rete di frodi telematiche. L’operazione, battezzata SIMCARTEL, ha coinvolto anche indagini e attività investigative congiunte con Austria, Estonia, Europol ed Eurojust.
Durante le perquisizioni gli investigatori hanno disattivato cinque server riconducibili all’infrastruttura illecita e sequestrato circa 1.200 dispositivi SIM-box insieme a 40.000 schede SIM attive. Sono inoltre stati individuati e posti sotto controllo centinaia di migliaia di ulteriori schede SIM. Nel corso dell’azione sono stati arrestati altri due sospettati collegati alla stessa rete.
Le forze dell’ordine attribuiscono alla struttura criminale migliaia di episodi di frode: oltre 1.700 casi in Austria e circa 1.500 in Lettonia. Il danno economico complessivo è stimato in diversi milioni di euro, con una perdita quantificata per l’Austria pari a circa 4,5 milioni di euro e per la Lettonia pari a 420.000 euro.
youtube.com/embed/Z-ImysXws-0?…
Sequestri e risorse finanziarie bloccate
Tra i risultati operativi segnalati figurano:
- Effettuate 26 perquisizioni;
- 5 persone arrestate;
- sequestrati circa 1200 dispositivi SIM-box che gestivano 40.000 schede SIM;
- centinaia di migliaia di ulteriori schede SIM sequestrate;
- Sequestrati 5 server con infrastruttura del servizio illegale;
- 2 siti web (gogetsms.com e apisim.com) che offrono il servizio illegale preso in carico dalle forze dell’ordine e vengono visualizzate “splash pages”;
- Congelati 431.000 euro nei conti bancari dei sospettati;
- Congelati 333.000 dollari in conti crittografici di sospettati;
- Sequestrati 4 veicoli di lusso.
Le forze investigative hanno evidenziato che la portata della rete è ancora in via di accertamento: sulla base del servizio illegale offerto dai sospettati sarebbero stati creati oltre 49 milioni di account online.
Funzionamento e impieghi del servizio SIM-box
Secondo gli investigatori, l’infrastruttura era tecnicamente avanzata e permetteva a clienti criminali in tutto il mondo di registrare numeri telefonici intestati a utenti in oltre 80 Paesi. Questo meccanismo facilitava la creazione massiccia di account falsi su social network e piattaforme di comunicazione, nascondendo l’identità reale e la localizzazione degli utilizzatori.
Il servizio di SIM-box è stato impiegato per agevolare una vasta gamma di reati connessi alle telecomunicazioni: in particolare phishing e smishing, che vengono usati per sottrarre credenziali e accessi a e-mail e conti bancari. Il phishing comprende truffe via e-mail, telefonate o siti contraffatti volte a ottenere dati sensibili (password, dati bancari, numeri di carte), mentre lo smishing è la versione via SMS pensata per indurre la vittima a cliccare link dannosi o a fornire informazioni riservate.
Oltre a queste tecniche, la rete avrebbe facilitato frodi commerciali, estorsioni, traffico di migranti e la diffusione di materiale pedopornografico. Tra gli usi documentati vi sono anche truffe sui mercatini dell’usato online, dove account falsi creati tramite il servizio venivano impiegati come punto di partenza per altre frodi.
Contestualizzazione e prospettive investigative
Le autorità ritengono che il danno inflitto alle vittime si misuri in diversi milioni di euro complessivi e che la reale portata delle attività illecite richiederà ulteriori accertamenti. Le attività congiunte con i partner internazionali mirano a ricostruire l’intera catena operativa e a risalire ai clienti che hanno acquistato o utilizzato il servizio.
L'articolo Operazione SIMCARTEL: 1.200 SIM-box e 40.000 schede SIM fermate da Europol proviene da Red Hot Cyber.
Vulnerabilità SSRF in Zimbra Collaboration Suite: aggiornamento urgente necessario
Recentemente è stata individuata una vulnerabilità di sicurezza del tipo Server-Side Request Forgery (SSRF) nella Zimbra Collaboration Suite, tale falla ha destato preoccupazioni riguardo la sicurezza e quindi sollecitato gli amministratori a provvedere con tempestività all’applicazione di patch di sicurezza sui sistemi interessati.
Secondo l’ultimo avviso di Zimbra, questa vulnerabilità critica SSRF riguarda le versioni di Zimbra dalla 10.1.5 alla 10.1.11. I malintenzionati potrebbero sfruttare il problema manipolando le richieste URL per indurre il server a eseguire azioni indesiderate, come l’accesso a endpoint con restrizioni o sistemi interni.
Il problema, rilevato nel modulo di impostazione del proxy della chat, potrebbe permettere a malintenzionati di acquisire accesso non autorizzato a risorse interne e a dati sensibili degli utenti. Nonostante la probabilità di diffusione del problema sia considerata bassa, la sua gravità per la sicurezza è ritenuta alta a causa della possibile esposizione dei dati e dell’abuso di privilegi.
Questo vettore potrebbe consentire agli aggressori di recuperare file di configurazione, token o altri dati sensibili archiviati nei servizi connessi, rappresentando un rischio significativo per la privacy degli utenti aziendali che si affidano a Zimbra per la posta elettronica e la collaborazione.
Zimbra ha rilasciato la versione 10.1.12, che corregge la falla SSRF e introduce diversi aggiornamenti per la stabilità delle prestazioni. I team di sicurezza devono inoltre verificare l’integrità del sistema dopo l’installazione della patch e monitorare i registri di accesso per individuare eventuali richieste interne sospette o non autorizzate che potrebbero indicare una compromissione precedente.
L’applicazione dell’ultimo aggiornamento non solo mitiga la minaccia SSRF, ma migliora anche la resilienza e le prestazioni complessive di Zimbra. La manutenzione periodica delle patch, abbinata a un adeguato rafforzamento della configurazione, resta la migliore difesa contro i vettori di minacce in continua evoluzione che prendono di mira le piattaforme di collaborazione aziendale.
L'articolo Vulnerabilità SSRF in Zimbra Collaboration Suite: aggiornamento urgente necessario proviene da Red Hot Cyber.
Problemi con localhost su Windows 11 dopo aggiornamenti di ottobre
Gli aggiornamenti di ottobre per Windows 11 hanno interrotto la funzionalità localhost, impedendo il corretto funzionamento delle applicazioni che si connettono a 127.0.0.1 tramite HTTP/2.
Sebbene gli sviluppatori utilizzino in genere localhost per testare siti web e per eseguire il debug delle applicazioni, può essere utilizzato anche da applicazioni che devono connettersi a un servizio in esecuzione locale per eseguire azioni o richieste.
Dopo aver installato l’aggiornamento KB5066835 di Windows 11 e l’aggiornamento di anteprima di settembre KB5065789, gli utenti hanno scoperto che le applicazioni non riuscivano più a completare le connessioni HTTP all’indirizzo IP localhost (127.0.0.1). Quando tentavano di connettersi, ricevevano errori come “ERR_CONNECTION_RESET” o “ERR_HTTP2_PROTOCOL_ERROR”.
Il problema è stato segnalato sui forum Microsoft , Stack Exchange e Reddit. Tutti gli utenti interessati segnalano di non essere più in grado di stabilire connessioni HTTP a 127.0.0.1.
Il problema ha interessato molte applicazioni diffuse, tra cui il debug in Visual Studio, l’autenticazione SSMS Entra ID e l’app desktop Duo, che controlla lo stato di sicurezza del dispositivo e richiede la connessione ai server Web in esecuzione su localhost.
“Dopo l’installazione degli aggiornamenti Windows 11 24H2 e 25H2, potresti riscontrare un problema per cui Duo Prompt non riesce ad accedere a Duo Desktop”, afferma il bollettino di supporto Duo. “Ciò potrebbe impedire l’autenticazione (o comportare funzionalità limitate) in situazioni in cui vengono utilizzati endpoint attendibili, criteri come Duo Desktop e integrità dispositivo, Duo Desktop come metodo di autenticazione, Duo Passport, Duo Push verificato con riempimento automatico Bluetooth o verifica di prossimità.”
Il blog di BornCity suggerisce di apportare le seguenti modifiche al registro, che presumibilmente possono aiutare a risolvere il problema disabilitando il protocollo HTTP/2:
[HKEY_LOCAL_MACHINESystemCurrentControlSetServicesHTTPParameters]"EnableHttp2Tls"=dword:00000000
"EnableHttp2Cleartext"=dword:00000000
Un altro metodo che alcuni utenti ritengono efficace è installare l’ultimo aggiornamento delle firme antivirus per Microsoft Defender. Tuttavia, altri segnalano che questo non risolve il problema.
Di conseguenza, l’unico modo affidabile per risolvere l’errore è attualmente disinstallare l’aggiornamento di ottobre KB5066835 e l’aggiornamento di anteprima di settembre KB5065789.
Dopo averli disinstallati e riavviato Windows, l’interfaccia di loopback dovrebbe consentire nuovamente le connessioni HTTP/2, risolvendo i problemi dell’applicazione.
L'articolo Problemi con localhost su Windows 11 dopo aggiornamenti di ottobre proviene da Red Hot Cyber.
Huawei presenta HarmonyOS 6: ecco il nuovo sistema operativo in arrivo il 22 ottobre
E pensare che fino a pochi anni fa Huawei e gran parte del suo ecosistema dipendevano totalmente da Google Android. Poi arrivarono i divieti: prima il ban di Android, poi quello sulle attrezzature per la produzione dei chip e infine sulle tecnologie per l’intelligenza artificiale.
Una strategia USA che, paradossalmente, ha prodotto l’effetto opposto a quello desiderato: invece di indebolire l’azienda, ha alimentato una spinta straordinaria verso l’indipendenza tecnologica.
Nel tentativo di ostacolare la crescita di Huawei, gli Stati Uniti hanno finito per accelerarla, favorendo involontariamente lo sviluppo di un ecosistema tecnologico completamente autonomo.
Huawei ha ufficializzato il lancio di HarmonyOS 6, la nuova versione del suo sistema operativo, che sarà presentata il 22 ottobre alle 14:30 durante un evento dedicato.
Nuove funzionalità e miglioramenti
Secondo Huawei, HarmonyOS 6 introduce una piattaforma più elegante, intuitiva e performante, con un’attenzione particolare alla connettività tra dispositivi e alla riduzione della latenza.
Il sistema integra inoltre un’intelligenza artificiale più avanzata e aperta, progettata per semplificare l’interazione uomo-macchina e migliorare la produttività.
Il framework intelligente HMAF (HarmonyOS Intelligent Body Framework)
rappresenta una delle principali novità: consente aggiornamenti dinamici di app e meta-servizi, ottimizzando la collaborazione tra dispositivi e rendendo l’esperienza utente più naturale e coerente.
Anche Xiaoyi, l’assistente virtuale di Huawei, riceverà un significativo potenziamento con nuove capacità proattive e una maggiore comprensione contestuale.
Anteprime e rilascio per sviluppatori
Nei mesi precedenti, Huawei ha avviato più fasi di test per sviluppatori e early adopters, con diverse sessioni di reclutamento per accedere alle versioni preliminari del sistema.
Le versioni beta hanno già consentito di valutare le nuove funzionalità e la stabilità complessiva della piattaforma, con feedback positivi da parte della community.
La serie Mate 80 sarà la prima con HarmonyOS 6
Secondo alcune indiscrezioni, la serie Huawei Mate 80, attesa per novembre, sarà la prima a integrare ufficialmente HarmonyOS 6.
Non è escluso che durante la conferenza del 22 ottobre venga comunicata anche la data di debutto dei nuovi smartphone.
Dalla fase “NEXT” al rilascio definitivo
Gli utenti che hanno partecipato ai test interni hanno notato che il suffisso “NEXT” è stato rimosso dal nome del sistema, che ora appare semplicemente come HarmonyOS 6.0.
La denominazione “HarmonyOS NEXT” era stata introdotta durante la Huawei Developer Conference dell’agosto 2023, quando l’azienda aveva annunciato l’ingresso nella fase di sviluppo del sistema operativo completamente nativo.
Con il consolidamento dell’ecosistema, Huawei ha deciso di eliminare l’etichetta “NEXT”, segnalando il passaggio definitivo a una piattaforma stabile e completa.
L'articolo Huawei presenta HarmonyOS 6: ecco il nuovo sistema operativo in arrivo il 22 ottobre proviene da Red Hot Cyber.
GAZA. Israele continua i raid e limita gli aiuti umanitari
@Notizie dall'Italia e dal mondo
Gli Stati Uniti respingono le accuse di violazione dei termini del cessate il fuoco mosse da Tel Aviv ad Hamas. I corpi degli ostaggi sono stati consegnati secondo i termini, mentre Israele continua a uccidere palestinesi e tiene chiuso il valico di Rafah
L'articolo GAZA. Israele continua
Perù. Boluarte se ne va, ma in piazza si continua a morire
@Notizie dall'Italia e dal mondo
La caduta di Boluarte non porta cambiamento: il nuovo presidente, vicino ai militari, risponde alle mobilitazioni con la forza. Un giovane artista è stato ucciso durante le protestehttps://pagineesteri.it/2025/10/18/america-latina/peru-boluarte-se-ne-va-ma-in-piazza-si-continua-a-morire/
“La riscoperta dell’America” – di Ned Blackhawk
@Giornalismo e disordine informativo
articolo21.org/2025/10/la-risc…
Un testo imprescindibile per comprendere, con profondità di analisi, una storia finalmente inclusiva dei “primi custodi del giardino” americano. In libreria, con Neri Pozza, per la collana I Colibrì, un saggio di grande impatto sul
ansa.it/sito/notizie/mondo/202…
chissà perché ci avrei scommesso.... alla fine trump è trump. delusa forse ma non stupita. ricordo solo quando trump criticava biden di non aver fatto abbastanza.... perché con uno più deciso come lui sarebbe già dovuta essere finita...
Ucraina, Trump gela Zelensky: 'La guerra finisca senza i Tomahawk' - Mondo - Ansa.it
Alla terza visita del 2025 alla Casa Bianca, il presidente ucraino incassa una nuova delusione. Per il leader americano dare i missili a lungo raggio a Kiev 'sarebbe un'escalation' e rimanda ogni decisione a dopo l'incontro con Putin a Budapest Axios…Agenzia ANSA
Zelensky da Trump, spunta la cravatta 'sospetta' di Hegseth nell'incontro
Il segretario alla Guerra con una cravatta stile bandiera: i colori sono degli Usa, ma anche della Russia...Redazione Adnkronos (Adnkronos)
I rifiuti e la nostra assuefazione
Quand'è che abbiamo iniziato a pensare che vedere rifiuti in giro fosse normale? Ormai non c'è città, paese, spiaggia o bosco dove non se ne trovino. In alcuni casi sono anche tanti.
Per quanto riguarda la mia città, ormai ci avviamo a diventare uno dei centri abitati più luridi d'Italia; non dico che si vedano i mucchi di rifiuti ma ormai in giro si vede di tutto, dal polistirolo a pallini fino ai vestiti.
E' un grave problema a mio avviso, sotto molti punti di vista: anzitutto per l'ambiente, ma anche per l'immagine di una delle amministrazioni la cui corrente qui governa da 80 anni (la sinistra) e che vorrebbe darsi l'immagine di essere "quella giusta", quella che amministra bene.
Io ho l'impressione che ce la cantiamo e ce la suoniamo.
Negli ultimi anni è stata introdotta la raccolta porta a porta, togliendo numerosi bidoni per rifiuti dalla città, e da quel momento le cose sono precipitate. E questo mi porta al secondo punto, la domanda che mi ponevo all'inizio di questa riflessione.
Cosa porta le persone a pensare che va bene gettare a terra i rifiuti a casaccio? Per me c'è un'imbarbarimento collettivo, ma quando cerco di farlo notare, mi si dice a più voci che "i problemi sono altri".
E ignorare il problema che cerco di mettere in luce, nel frattempo, non risolve neanche gli altri.
#rifiuti #inquinamento #spazzatura #inciviltà @Ambiente - Sostenibilità e giustizia climatica
АидяёА ЦZ reshared this.
Simon Perry likes this.
Anche a me. Ormai è diventata la mia abitudine, ogni volta che faccio una passeggiata o quasi porto con me i guanti, un sacco e una pinza per raccogliere i rifiuti (faccio fatica a chinarmi tante volte).
Mai nessuno che dica "ti do una mano", o che l'esempio si diffonda.
Com'era quella faccenda che le persone imparano per emulazione?
RFF20: “La vita va così”: il coraggio di dire “No”
@Giornalismo e disordine informativo
articolo21.org/2025/10/rff20-l…
Un inno al tempo lento che salva la terra Il cinema italiano, quello che sa toccare corde civili e al tempo stesso far vibrare l’anima, ha trovato la sua voce in ‘La vita va così’ di Riccardo Milani. Scelto non a caso come film
KW 42: Die Woche, in der dem Innenministerium die Schwungumkehr misslingt
netzpolitik.org/2025/kw-42-die…
Channel Surfing Nostalgia Machine
As any generation of people get older, they tend to look back fondly on their formative years when there was less responsibility and more wonder. Even if things have objectively improved, we often have a fondness for the past. Such is the case for cable television, where even though ads were everywhere and nothing was on-demand, we can see that something was lost from this era in the modern streaming ecosystem. [Ricardo] brought back the good parts of this golden era of cable TV with this small channel surfing television.
The project attempts to keep the good parts of this era while discarding things we certainly don’t miss. The ability to channel surf is still here, with a rotary encoder standing in for an antique television channel selector knob, but dealing with any telecommunications company is out, including those of the Internet variety. Instead it is a fully offline machine with the user able to curate their own channels and programming with a Flask application, and [Ricardo]’s includes his own collection of commercials from Argentina.
The hardware itself is fairly straightforward as well, with a Raspberry Pi doing the heavy lifting, paired with a small screen and enclosed in a retro-themed television case. It’s a clever throwback to a time where we might not know what we wanted to see but there was always something on. Builds like this are gaining popularity right now as well, and we’ve even seen them recreate the cable company’s preview channel as well.
youtube.com/embed/5saGNbtMNfM?…
Verhaltensscanner im Mannheim: Hier wird die Überwachung getestet, die so viele Städte wollen
netzpolitik.org/2025/verhalten…
Free-to-play, non chiamateli giochini gratis: fanno guadagnare miliardi
L'articolo proviene da #StartMag e viene ricondiviso sulla comunità Lemmy @Informatica (Italy e non Italy 😁)
Nata e confinata su smartphone, la formula dei free-to-play se ben implementata nei videogiochi permette agli editori incassi record anche quando i titoli non hanno particolare diffusione. Sarà questo il futuro dell'industria
RFanciola reshared this.
A New Way to Make (Almost) Holograms with Lasers
The spectrum of laser technologies available to hackers has gradually widened from basic gas lasers through CO2 tubes, diode lasers, and now fiber lasers. One of the newer entries is the MOPA laser, which combines a laser diode with a fiber-based light amplifier. The diode’s pulse length and repetition rate are easy to control, while the fiber amplifier gives it enough power to do interesting things – including, as [Ben Krasnow] found, etch hologram-like diffraction gratings onto stainless steel.
Stainless steel works because it forms a thin oxide layer when heated, with a thickness determined by the temperature it reaches. The oxide layer creates thin-film interference with incoming light, letting the laser mark parts of a steel sheet with different colors by varying the intensity of heating. [Ben] wrote a script to etch color images onto steel using this method, and noticed in one experiment that one area seemed to produce diffraction patterns. More experimentation revealed that the laser could consistently make diffraction gratings out of parallel patterns of oxide lines. Surprisingly, the oxide layer seemed to grow mostly down into the metal, instead of up from the surface.
The pitch of the grating is perpendicular to the direction of the etched lines, and varying the line spacing changes the angle of diffraction, which should in theory be enough control to print a hologram with the laser. [Ben]’s first experiment in this general direction was to create a script that turned black-and-white photographs into shimmering matrices of diffraction-grating pixels, in which each pixel’s grating orientation was determined by its brightness. To add a parallax depth effect, [Ben] spread out images into a gradient in a diffraction grating, so that it produced different images at different angles. The images were somewhat limited by the minimum size required for the grating pixels, but the effect was quite noticeable.
Unfortunately, since the oxide layers grow down into the metal, [Ben] doubts whether the laser can etch molds for diffraction-grating chocolate. If you’re interested in more diffraction optics, check out these custom diffraction lenses or the workings of normal holograms.
youtube.com/embed/RsGHr7dXLuI?…
DIY Telescope Uses Maker Tools
You’ve got a laser cutter. You’ve got a 3D printer. What do you make? [Ayushmaan45] suggests a telescope. The modest instrument isn’t going to do serious astronomy with only 8X worth of optics, but it would make a fine spyglass for a youngster.
The body is cut from MDF, and there are only a few 3D printed parts. The only other things you need are rubber bands and a pair of lenses. You don’t even need glue. We might have spray painted the inside of the scope black or used some black contact paper to cut down on reflections, although it probably wouldn’t make much difference.
Of course, depending on your lenses, you may have to make some changes. Or find new lenses, for that matter. We like that it doesn’t take any exotic parts. We also appreciate that it is easy for kids to take apart and put back together. It would be interesting to see how a motivated kid might alter the design, as well.
If a kid gets interested, you could move on to a more sophisticated telescope. Or maybe you’d prefer a nice microscope.
Radio Astronomy in the Palm of Your Hand
When you think of a radio telescope, you usually think of a giant dish antenna pointing skyward. But [vhuvanmakes] built Wavy-Scope, a handheld radio telescope that can find the Sun and the Moon, among other things.
The build is relatively straightforward, using a commercial LNB to detect signals in the 10-12 GHz range. The detector is a simple satellite finder, although you could also connect it to a software-defined radio, if you wanted something more sophisticated.
The sci-fi style unit is 3D printed, of course, and made us think of a 1950s-era ray gun. There are several videos of the device in action, including one of it detecting the sun that you can see below.
One of the videos shows the instrument detecting otherwise invisible satellites. Of course, it will also detect anything that emits sufficient RF energy for the LNA to detect. When you aren’t using it to snoop on the sky, it would make a fair addition to your Halloween costume.
We’ve seen small radio telescopes before, but not this small. You probably won’t be tracking down hydrogen lines with this, but it could still be a lot of fun.
youtube.com/embed/IbHRXGjD830?…
This week, we discuss crowdsourced resistance and a big government data dump.#BehindTheBlog
Behind the Blog: Engaging the Public
This is Behind the Blog, where we share our behind-the-scenes thoughts about how a few of our top stories of the week came together. This week, we discuss crowdsourced resistance and a big government data dump.SAM: I don’t want to say it’s rare that we publish positive stories. We post more of those than people probably even realize, because the gnarly stories are the ones that go viral, or are talked about by your friends or aggregated by other news outlets. A “scoop” is almost never a happy story because often they’re predicated on information someone in a position of power didn’t want the world to know. But it’s definitely less common for us to report on things that makes you feel good or hopeful than things that make you go “oh shit” or “Jesus fucking Christ,” I will admit.
This post is for subscribers only
Become a member to get access to all content
Subscribe now
"What if I could create Théâtre D’opéra Spatial as if it were physically created by hand? Not actually, of course."#News #AI
Creator of Infamous AI Painting Tells Court He's a Real Artist
In 2022, Jason Allen outraged artists around the world when he won the Colorado State Fair Fine Arts Competition with a piece of AI-generated art. A month later, he tried to copyright the pictures, got denied, and started a fight with the U.S. Copyright Office (USCO) that dragged on for three years. In August, he filed a new brief he hopes will finally give him a copyright over the image Midjourney made for him, called Théâtre D’opéra Spatial. He’s also set to start selling oil-print reproductions of the image.A press release announcing both the filing and the sale claims these prints “[evoke] the unmistakable gravitas of a hand-painted masterwork one might find in a 19th-century oil painting.” The court filing is also defensive of Allen’s work. “It would be impossible to describe the Work as ‘garden variety’—the Work literally won a state art competition,” it said.
playlist.megaphone.fm?p=TBIEA2…
“So many have said I’m not an artist and this isn’t art,” Allen said in a press release announcing both the oil-print sales and the court filing. “Being called an artist or not doesn’t concern me, but the work and my expression of it do. I asked myself, what could make this undeniably art? What if I could create Théâtre D’opéra Spatial as if it were physically created by hand? Not actually, of course, but what if I could achieve that using technology? Surely that would be the answer.”Allen’s 2022 win at the Colorado State Fair was an inflection point. The beta version for the image generation software Midjourney had launched a few months before the competition and AI-generated images were still a novelty. We were years away from the nightmarish tide of slop we all live with today, but the piece was highly controversial and represented one of the first major incursions of AI-generated work into human spaces.
Théâtre D’opéra Spatial was big news at the time. It shook artistic communities and people began to speak out against AI-generated art. Many learned that their works had been fed into the training data for these massive data hungry art generators like Midjourney. About a month after he won the competition and courted controversy, Allen applied for a copyright of the image. The USCO rejected it. He’s been filing appeals ever since and has thus far lost every one.
The oil-prints represent an attempt to will the AI-generated image into a physical form called an “elegraph.” These won’t be hand painted versions of the picture Midjourney made. Instead, they’ll employ a 3D printing technique that uses oil paints to create a reproduction of the image as if a human being made it, complete—Allen claimed—with brushstrokes.
“People said anyone could copy my work online, sell it, and I would have no recourse. They’re not technically wrong,” Allen said in the press release. “If we win my case, copyright will apply retroactively. Regardless, they’ll never reproduce the elegraph. This artifact is singular. It’s real. It’s the answer to the petulant idea that this isn’t art. Long live Art 2.0.”
The elegraph is the work of a company called Arius which is most famous for working with museums to conduct high quality scans of real paintings that capture the individual brushstrokes of masterworks. According to Allen’s press release, Arius’ elegraphs of Théâtre D’opéra Spatial will make the image appear as if it is a hand painted piece of art through “a proprietary technique that translates digital creation into a physical artifact indistinguishable in presence and depth from the great oil paintings of history…its textures, lighting, brushwork, and composition, all recalling the timeless mastery of the European salons.”
Allen and his lawyers filed a request for a summary judgement with the U.S. District Court of Colorado on August 8, 2025. The 44 page legal argument rehashes many of the appeals and arguments Allen and his lawyers have made about the AI-generated image over the past few years.
“He created his image, in part, by providing hundreds of iterative text prompts to an artificial intelligence (“AI”)-based system called Midjourney to help express his intellectual vision,” it said. “Allen produced this artwork using ‘hundreds of iterations’ of prompts, and after he ‘experimented with over 600 prompts,’ he cropped and completed the final Work, touching it up manually and upscaling using additional software.”
Allen’s argument is that prompt engineering is an artistic process and even though a machine made the final image, he says he should be considered the artist because he told the machine what to do. “In the Board’s view, Mr. Allen’s actions as described do not make him the author of the Midjourney Image because his sole contribution to the Midjourney Image was inputting the text prompt that produced it,” a 2023 review of previous rejections by the USCO said.
During its various investigations into the case, the USCO did a lot of research into how Midjourney and other AI-image generators work. “It is the Office’s understanding that, because Midjourney does not treat text prompts as direct instructions, users may need to attempt hundreds of iterations before landing upon an image they find satisfactory. This appears to be the case for Mr. Allen, who experimented with over 600 prompts,” its 2023 review said.
This new filing is an attempt by Allen and his lawyers to get around these previous judgements and appeal to higher courts by accusing the USCO of usurping congressional authority. “The filing argues that by attempting to redefine the term “author” (a power reserved to Congress) the Copyright Office has acted beyond its lawful authority, effectively placing itself above judicial and legislative oversight.”
We’ll see how well that plays in court. In the meantime, Allen is selling oil-prints of the image Midjourney made for him.
AI Slop Is a Brute Force Attack on the Algorithms That Control Reality
Generative AI spammers are brute forcing the internet, and it is working.Jason Koebler (404 Media)
Ministero dell'Istruzione
#NoiSiamoLeScuole questa settimana è dedicato all’ITS Academy Campania Moda. Grazie ai fondi del #PNRR destinati alla realizzazione di laboratori professionalizzanti e all’ampliamento delle attività didattiche degli ITS, l’Istituto ha potuto migliora…Telegram
Post-exploitation framework now also delivered via npm
Incident description
The first version of the AdaptixC2 post-exploitation framework, which can be considered an alternative to the well-known Cobalt Strike, was made publicly available in early 2025. In spring of 2025, the framework was first observed being used for malicious means.
In October 2025, Kaspersky experts found that the npm ecosystem contained a malicious package with a fairly convincing name: https-proxy-utils. It was posing as a utility for using proxies within projects. At the time of this post, the package had already been taken down.
The name of the package closely resembles popular legitimate packages: http-proxy-agent, which has approximately 70 million weekly downloads, and https-proxy-agent with 90 million downloads respectively. Furthermore, the advertised proxy-related functionality was cloned from another popular legitimate package proxy-from-env, which boasts 50 million weekly downloads. However, the threat actor injected a post-install script into https-proxy-utils, which downloads and executes a payload containing the AdaptixC2 agent.
Metadata for the malicious (left) and legitimate (right) packages
OS-specific adaptation
The script includes various payload delivery methods for different operating systems. The package includes loading mechanisms for Windows, Linux, and macOS. In each OS, it uses specific techniques involving system or user directories to load and launch the implant.
In Windows, the AdaptixC2 agent is dropped as a DLL file into the system directory C:\Windows\Tasks. It is then executed via DLL sideloading. The JS script copies the legitimate msdtc.exe file to the same directory and executes it, thus loading the malicious DLL.
Deobfuscated Windows-specific code for loading AdaptixC2
In macOS, the script downloads the payload as an executable file into the user’s autorun directory: Library/LaunchAgents. The postinstall.js script also drops a plist autorun configuration file into this directory. Before downloading AdaptixC2, the script checks the target architecture (x64 or ARM) and fetches the appropriate payload variant.
Deobfuscated macOS-specific code for loading AdaptixC2
In Linux, the framework’s agent is downloaded into the temporary directory /tmp/.fonts-unix. The script delivers a binary file tailored to the specific architecture (x64 or ARM) and then assigns it execute permissions.
Deobfuscated Linux-specific code for loading AdaptixC2
Once the AdaptixC2 framework agent is deployed on the victim’s device, the attacker gains capabilities for remote access, command execution, file and process management, and various methods for achieving persistence. This both allows the attacker to maintain consistent access and enables them to conduct network reconnaissance and deploy subsequent stages of the attack.
Conclusion
This is not the first attack targeting the npm registry in recent memory. A month ago, similar infection methods utilizing a post-install script were employed in the high-profile incident involving the Shai-Hulud worm, which infected more than 500 packages. The AdaptixC2 incident clearly demonstrates the growing trend of abusing open-source software ecosystems, like npm, as an attack vector. Threat actors are increasingly exploiting the trusted open-source supply chain to distribute post-exploitation framework agents and other forms of malware. Users and organizations involved in development or using open-source software from ecosystems like npm in their products are susceptible to this threat type.
To stay safe, be vigilant when installing open-source modules: verify the exact name of the package you are downloading, and more thoroughly vet unpopular and new repositories. When using popular modules, it is critical to monitor frequently updated feeds on compromised packages and libraries.
Indicators of compromise
Package name
https-proxy-utils
Hashes
DFBC0606E16A89D980C9B674385B448E – package hash
B8E27A88730B124868C1390F3BC42709
669BDBEF9E92C3526302CA37DC48D21F
EDAC632C9B9FF2A2DA0EACAAB63627F4
764C9E6B6F38DF11DC752CB071AE26F9
04931B7DFD123E6026B460D87D842897
Network indicators
cloudcenter[.]top/sys/update
cloudcenter[.]top/macos_update_arm
cloudcenter[.]top/macos_update_x64
cloudcenter[.]top/macosUpdate[.]plist
cloudcenter[.]top/linux_update_x64
cloudcenter[.]top/linux_update_arm
F/0.38 Camera Lens Made With Oil Immersion Microscope Objective
Over on YouTube [Applied Science] shows us how to make an f/0.38 camera lens using an oil immersion microscope objective.
The f-number of a lens indicates how well it will perform in low-light. To calculate the f-number you divide the focal length by the diameter of the aperture. A common f-number is f/1.4 which is generally considered “fast”.
We are told the fastest commercial lens ever used had f/0.7 and was used by Stanley Kubrick to shoot the film Barry Lyndon which was recorded only with candle light.
A microscope objective is a crucial lens that gathers and magnifies light to form an image. It plays a key role in determining the quality and clarity of the final magnified image produced by a microscope.
In this case the microscope objective is optically coupled to the CMOS image sensor using a drop of oil. The oil has better refractive properties than an air-gap. In order to get the closest coupling possible the protective glass sheet on the top of the image sensor was removed. This process resulted in a lot of broken image sensors! Apparently the yield was only two working image sensors from eight attempts at removing the glass.
Of course we’ve seen f-number hacking here at Hackaday before, such as with the A Low F Number Lens, From Scratch which achieved f/0.5.
youtube.com/embed/DQv0nlGsW-s?…
RFanciola
in reply to simona • • •