Brain-to-speech interfaces have been promising to help paralyzed individuals communicate for years. Unfortunately, many systems have had significant latency that has left them lacking somewhat in the practicality stakes.

A team of researchers across UC Berkeley and UC San Francisco has been working on the problem and made significant strides forward in capability. A new system developed by the team offers near-real-time speech—capturing brain signals and synthesizing intelligible audio faster than ever before.

New Capability

The aim of the work was to create more naturalistic speech using a brain implant and voice synthesizer. While this technology has been pursued previously, it faced serious issues around latency, with delays of around eight seconds to decode signals and produce an audible sentence. New techniques had to be developed to try and speed up the process to slash the delay between a user trying to “speak” and the hardware outputting the synthesized voice.

The implant developed by researchers is used to sample data from the speech sensorimotor cortex of the brain—the area that controls the mechanical hardware that makes speech: the face, vocal chords, and all the other associated body parts that help us vocalize. The implant captures signals via an electrode array surgically implanted into the brain itself. The data captured by the implant is then passed to an AI model which figures out how to turn that signal into the right audio output to create speech. “We are essentially intercepting signals where the thought is translated into articulation and in the middle of that motor control,” said Cheol Jun Cho, a Ph.D student at UC Berkeley. “So what we’re decoding is after a thought has happened, after we’ve decided what to say, after we’ve decided what words to use, and how to move our vocal-tract muscles.”

youtube.com/embed/iTZ2N-HJbwA?…

The AI model had to be trained to perform this role. This was achieved by having a subject, Ann, look at prompts and attempting to “speak ” the phrases. Ann has suffered from paralysis after a stroke which left her unable to speak. However, when she attempts to speak, relevant regions in her brain still lit up with activity, and sampling this enabled the AI to correlate certain brain activity to intended speech. Unfortunately, since Ann could no longer vocalize herself, there was no target audio for the AI to correlate the brain data with. Instead, researchers used a text-to-speech system to generate simulated target audio for the AI to match with the brain data during training. “We also used Ann’s pre-injury voice, so when we decode the output, it sounds more like her,” explains Cho. A recording of Ann speaking at her wedding provided source material to help personalize the speech synthesis to sound more like her original speaking voice.

To measure performance of the new system, the team compared the time it took the system to generate speech to the first indications of speech intent in Ann’s brain signals. “We can see relative to that intent signal, within one second, we are getting the first sound out,” said Gopala Anumanchipalli, one of the researchers involved in the study. “And the device can continuously decode speech, so Ann can keep speaking without interruption.” Crucially, too, this speedier method didn’t compromise accuracy—in this regard, it decoded just as well as previous slower systems.
Pictured is Ann using the system to speak in near-real-time. The system also features a video avatar. Credit: UC Berkeley
The decoding system works in a continuous fashion—rather than waiting for a whole sentence, it processes in small 80-millisecond chunks and synthesizes on the fly. The algorithms used to decode the signals were not dissimilar from those used by smart assistants like Siri and Alexa, Anumanchipalli explains. “Using a similar type of algorithm, we found that we could decode neural data and, for the first time, enable near-synchronous voice streaming,” he says. “The result is more naturalistic, fluent speech synthesis.”

It was also key to determine whether the AI model

was genuinely communicating what Ann was trying to say. To investigate this, Ann was qsked to try and vocalize words outside the original training data set—things like the NATO phonetic alphabet, for example. “We wanted to see if we could generalize to the unseen words and really decode Ann’s patterns of speaking,” said Anumanchipalli. “We found that our model does this well, which shows that it is indeed learning the building blocks of sound or voice.”

For now, this is still groundbreaking research—it’s at the cutting edge of machine learning and brain-computer interfaces. Indeed, it’s the former that seems to be making a huge difference to the latter, with neural networks seemingly the perfect solution for decoding the minute details of what’s happening with our brainwaves. Still, it shows us just what could be possible down the line as the distance between us and our computers continues to get ever smaller.

Featured image: A researcher connects the brain implant to the supporting hardware of the voice synthesis system. Credit: UC Berkeley

hackaday.com/2025/05/01/resear…

Rear-view mirrors are important safety tools, but [Mike Kelly] observed that cyclists (himself included) faced hurdles to using them effectively. His solution? A helmet-mounted dual-mirror system he’s calling the Mantis Mirror that looks eminently DIY-able to any motivated hacker who enjoys cycling.
One mirror for upright body positions, the other for lower positions.
Carefully placed mirrors eliminate blind spots, but a cyclist’s position changes depending on how they are riding and this means mirrors aren’t a simple solution. Mirrors that are aligned just right when one is upright become useless once a cyclist bends down. On top of that, road vibrations have a habit of knocking even the most tightly-cinched mirror out of alignment.

[Mike]’s solution was to attach two small mirrors on a short extension, anchored to a cyclist’s helmet. The bottom mirror provides a solid rear view from an upright position, and the top mirror lets one see backward when in low positions.

[Mike] was delighted with his results, and got enough interest from others that he’s considering a crowdfunding campaign to turn it into a product. In the meantime, we’d love to hear about it if you decide to tinker up your own version.

You can learn all about the Mantis Mirror in the video below, and if you want to see the device itself a bit clearer, you can see that in some local news coverage.

youtube.com/embed/Tc39frZSbwk?…

hackaday.com/2025/05/01/a-dual…

One might be tempted to think that re-creating a film robot from the 1950s would be easy given all the tools and technology available to the modern hobbyist, but as [Mike Ogrinz]’s quest to re-create Robby the Robot shows us, there is a lot moving around inside that domed head, and requires careful and clever work.
The “dome gyros” are just one of the complex assemblies, improved over the original design with the addition of things like bearings.
Just as one example, topping Robby’s head is a mechanical assembly known as the dome gyros. It looks simple, but as the video (embedded below) shows, re-creating it involves a load of moving parts and looks like a fantastic amount of work has gone into it. At least bearings are inexpensive and common nowadays, and not having to meet film deadlines also means one can afford to design things in a way that allows for easier disassembly and maintenance.

Robby the Robot first appeared in the 1956 film Forbidden Planet and went on to appear in other movies and television programs. Robby went up for auction in 2017 and luckily [Mike] was able to take tons of reference photos. Combined with other enthusiasts’ efforts, his replica is shaping up nicely.

We’ve seen [Mike]’s work before when he shared his radioactive Night Blossoms which will glow for decades to come. His work on Robby looks amazing, and we can’t wait to see how it progresses.

youtube.com/embed/Mn8EpX_qRFA?…

hackaday.com/2025/05/01/gaze-u…

La società di sicurezza informatica SentinelOne ha pubblicato un rapporto sui tentativi degli aggressori di accedere ai suoi sistemi. Una violazione di un’organizzazione del genere aprirebbe le porte agli hacker, che potrebbero accedere a migliaia di infrastrutture riservate di tutto il mondo.

“Non ci limitiamo a studiare gli attacchi: li affrontiamo faccia a faccia. I nostri esperti affrontano le stesse minacce che dicono agli altri di contrastare. È questa esperienza plasma il nostro pensiero e il nostro approccio al lavoro”, si legge nel documento.

Sebbene per i fornitori di sicurezza informatica sia tabù discutere degli attacchi informatici contro di loro, una pressione costante sui sistemi di sicurezza aiuta a migliorare i meccanismi di difesa. Negli ultimi mesi gli esperti dell’azienda hanno respinto un’ampia gamma di attacchi: dalle azioni di gruppi criminali finalizzate al guadagno economico a complesse operazioni pianificate dai servizi segreti di vari Paesi.

La campagna più vasta e sofisticata è stata organizzata da specialisti nordcoreani. I ricercatori hanno scoperto una rete di specialisti informatici nordcoreani che operano sotto copertura. Gli aggressori hanno creato circa 360 identità virtuali accuratamente realizzate, ciascuna dotata di una storia professionale, un portfolio e referenze convincenti. Sono state presentate oltre mille candidature per diverse posizioni tecniche in azienda da parte di specialisti inesistenti. In un caso, gli agenti hanno addirittura cercato di ottenere un impiego nel dipartimento di intelligence informatica, la stessa unità che all’epoca si occupava di identificare e analizzare le loro attività.

Un’altra grave minaccia proviene dagli hacker che agiscono per conto del governo cinese. Il gruppo ShadowPad ha attaccato la catena di fornitura compromettendo un partner logistico responsabile della gestione dell’hardware. Da luglio 2024 a marzo 2025, i criminali informatici che hanno utilizzato il malware ScatterBrain si sono infiltrati nei sistemi di oltre 70 organizzazioni in tutto il mondo. Tra le persone colpite figurano aziende industriali, agenzie governative, istituti finanziari, società di telecomunicazioni e centri di ricerca.

La terza grande minaccia è, come sempre, il ransomware. I membri della banda Nitrogen utilizzano un trucco interessante: trovano aziende rivenditori con una procedura di verifica dei clienti semplificata e, utilizzando metodi di ingegneria sociale, acquistano da loro licenze ufficiali. L’obiettivo finale è penetrare nelle piattaforme di sicurezza informatica, tra cui il sistema EDR di SentinelOne. Una volta ottenuto l’accesso, studiano sistematicamente i meccanismi di sicurezza, cercano modi per disattivarli e sviluppano metodi per aggirare i sistemi di rilevamento delle intrusioni.

Parallelamente a Nitrogen, è diventato attivo il gruppo di hacker Black Basta, che ha scelto una tattica diversa. I suoi membri testano metodicamente l’efficacia dei loro strumenti dannosi rispetto alle principali soluzioni di sicurezza. Gli aggressori hanno preso di mira i sistemi di diversi importanti sviluppatori: CrowdStrike, Carbon Black, Palo Alto Networks e SentinelOne. Documentano attentamente i risultati di ogni attacco con prove, perfezionando le loro tecniche di penetrazione.

Sui forum degli hacker compaiono regolarmente annunci pubblicitari per la vendita di accessi temporanei o permanenti alle console di gestione dei sistemi di sicurezza.

Si potrebbe dire che la recente serie di attacchi ha costretto il team SentinelOne a riconsiderare la propria strategia di difesa. Gli ingegneri hanno implementato meccanismi di sicurezza aggiuntivi e creato meccanismi più sofisticati per monitorare l’intera infrastruttura. Particolare attenzione viene ora rivolta non solo al rafforzamento delle loro risorse, ma anche al controllo approfondito di tutte le organizzazioni partner che hanno accesso a dati critici.

L'articolo 1° Maggio: Onorare chi lavora, anche contro gli hacker criminali proviene da il blog della sicurezza informatica.

Vintage hi-fi gear has a look and feel all its own. [ThunderOwl] happened to be playing in this space, turning a heavily-modified Technics stereo stack into an awesome neo-retro PC case. Meet the “TechnicsPC!”
This is good. We like this.
You have to hunt across BlueSky for the goodies, but it’s well worth it. The main build concerned throwing a PC into an old Technics receiver, along with a pair of LCD displays and a bunch of buttons for control. If the big screens weren’t enough of a tell that you’re looking at an anachronism, the USB ports just below the power switch will tip you off. A later addition saw a former Technics tuner module stripped out and refitted with card readers and a DVD/CD drive. Perhaps the most era-appropriate addition, though, is the scrolling LED display on top. Stuffed inside another tuner module, it’s a super 90s touch that somehow just works.

These days, off-the-shelf computers are so fancy and glowy that DIY casemodding has fallen away from the public consciousness. And yet, every so often, we see a magnificent build like this one that reminds us just how creative modders can really be. Video after the break.

“Live test”. All more or less as planned, as “cons” – it does not interrupt ongoing scroll cycle with new stuff, it puts new content info with next cycle, so, kinda “info delays”:

[image or embed]

— ThunderOwl (@thunderowl.one) 10 March 2025 at 07:39

hackaday.com/2025/04/30/vintag…

Negli ultimi anni, la nostra quotidianità è stata invasa da piccoli quadrati pixelati capaci di portarci in un lampo su siti web, attivare applicazioni, aprire contenuti multimediali o avviare pagamenti digitali. I QR-code, acronimo di “Quick Response”, sono diventati il ponte tra il mondo fisico e quello digitale. Tuttavia, questo ponte – spesso considerato innocuo – può trasformarsi in un cavallo di Troia perfettamente mimetizzato, se sfruttato con competenza da un attaccante.

Un messaggio divulgato di recente nel canale Telegram “Social Engineering – Делаем уникальные знания доступными” (tradotto: “Social Engineering – Rendiamo le conoscenze uniche accessibili”) ci offre un’interessante retrospettiva su casi storici e reali in cui proprio il QR-code è stato impiegato come vettore di attacco. Analizziamoli con spirito critico e rigore tecnico.

L’attacco alle Google Glass (2013): l’occhio digitale diventa un bersaglio

Nel maggio 2013, i ricercatori di Lookout Mobile Security scoprirono una vulnerabilità sorprendente: le Google Glass (all’epoca un prodotto innovativo in fase sperimentale) erano progettate per “osservare” automaticamente le immagini potenzialmente utili all’utente. Questa funzione, sfruttata attraverso un QR-code appositamente craftato, consentiva di prendere controllo remoto del dispositivo.

La vulnerabilità fu corretta da Google in poche settimane, ma resta un campanello d’allarme: anche le interfacce “non convenzionali”, come gli smartglass, possono diventare preda di exploit visivi. Se la patch non fosse arrivata in tempo, un attacco in-the-wild avrebbe potuto compromettere dati sensibili, audio, video e localizzazioni dell’utente — tutto a sua insaputa.

ZXing Barcode Scanner (2014): quando un’espressione regolare non basta

Il secondo caso riguarda ZXing Barcode Scanner, un’app open source molto diffusa tra il 2013 e il 2015. Questa applicazione, pur tentando di filtrare contenuti sospetti tramite regex, non discriminava efficacemente i contenuti URI malformati o pericolosi, lasciando passare exploit veicolati via JavaScript.

Un esempio riportato nel messaggio mostra come un codice del tipo:

javascript;alert(“You have won 1000 dollars! Just Click The Open Browser Button”);

venisse bloccato dal filtro. Tuttavia, con lievi modifiche sintattiche, il payload riusciva comunque a superare il controllo, venendo riconosciuto come URI “valido” e aprendo il browser con esecuzione implicita del codice.

Questo scenario rientra pienamente nella categoria dei code injection visuali, in cui l’utente è indotto ad attivare personalmente un codice malevolo, con un click che sembra innocuo ma innesca un comportamento pericoloso.

L’attacco USSD ai Samsung (2012): QR e factory reset in un solo colpo

Nel 2012, il ricercatore Ravishankar Borgaonkar dimostrò come un semplice QR-code potesse contenere un comando USSD nascosto, capace di eseguire un factory reset su alcuni dispositivi Samsung.

Il codice tel:*2767*3855#, se interpretato come un link telefonico, causava un reset totale del dispositivo, cancellando dati, configurazioni e applicazioni. A oggi, questo rappresenta uno dei più eclatanti esempi di come un codice apparentemente inerte possa contenere una bomba logica, sfruttando meccanismi legittimi del sistema operativo.

L’utente curioso: l’anello debole della catena

Infine, il messaggio chiude con un’osservazione tanto banale quanto cruciale: la vera vulnerabilità è l’essere umano. L’utente medio, di fronte a un QR-code sconosciuto, tende a scansionarlo per pura curiosità, dimenticando ogni principio basilare di sicurezza informatica. Studi citati nel testo confermano che, in ambienti controllati, la maggior parte dei soggetti ignari esegue la scansione senza porsi domande.

Questa dinamica rientra nel classico campo del social engineering visivo, dove l’attaccante non forza il sistema, ma manipola il comportamento dell’utente per ottenere un’esecuzione volontaria del codice.

Conclusioni: educazione digitale e threat modeling anche per i QR-code

I casi riportati nel canale Telegram non sono frutto di fantascienza o ipotesi teoriche. Sono incidenti reali, documentati, verificati e – in alcuni casi – ancora oggi possibili, seppur mitigati da patch successive.

Ci ricordano che ogni tecnologia, anche la più banale, può essere arma a doppio taglio, soprattutto quando coinvolge l’interazione tra mondo fisico e digitale.

E allora cosa possiamo fare?

1. Formare gli utenti a non scansionare QR-code da fonti sconosciute o non verificate.
2. Utilizzare app di lettura QR con sandboxing, logging e avvisi su contenuti potenzialmente pericolosi.
3. Integrare l’analisi dei QR-code nei processi di threat intelligence aziendale, soprattutto nei contesti BYOD.
4. Valutare il QR-code come vettore di attacco nel proprio threat model, specialmente in ambiti pubblici (es. aeroporti, eventi, marketing).

Il QR-code, oggi, è diventato uno strumento trasversale e pervasivo. E proprio per questo, va trattato come ogni altro componente della superficie di attacco: con attenzione, consapevolezza e competenze tecniche.

L'articolo QR-code: il cavallo di Troia tascabile. Riflessioni su un vettore di attacco sottovalutato proviene da il blog della sicurezza informatica.

1° Maggio, un giorno per onorare chi lavora, chi lotta per farlo in modo dignitoso e chi, troppo spesso, perde la vita mentre svolge la propria mansione.

Nel 2025, l’Italia continua a piangere ogni anno centinaia di morti sul lavoro. Una ferita profonda che ci ricorda quanto la sicurezza debba essere al centro di ogni politica, di ogni impresa, di ogni processo produttivo.

Difendere il lavoro e i lavoratori nel 2025 significa proteggerli ovunque: sul campo e nel digitale. È per questo che Il 1° Maggio deve essere anche un’occasione per riflettere sulla sicurezza informatica. Oggi il lavoro non è più solo fisico, è anche e sempre più digitale.

Accanto alla sicurezza nei cantieri, nelle fabbriche, sui mezzi e negli ospedali, dobbiamo iniziare a parlare anche di sicurezza nei sistemi, nei dati, nei processi connessi.

Il lavoro è cambiato. Le minacce anche.

Smart working, cloud, strumenti di collaborazione online, home banking, piattaforme SaaS, la digitalizzazione ha migliorato la produttività, ma ha anche aperto nuove porte a minacce invisibili.

Un attacco informatico oggi può:

• bloccare un ospedale, rallentando cure salvavita
• paralizzare un comune, impedendo servizi ai cittadini
• sabotare un’azienda, lasciando fermi lavoratori e commesse
• rubare dati, identità, brevetti: il frutto del lavoro di interi team

e spesso, tutto questo, accade in silenzio, senza clamore. Ma con danni enormi.

La sicurezza è una sola e, fisica o digitale, va garantita ovunque. Sbaglieremmo a contrapporre i due mondi. La sicurezza deve essere una cultura trasversale, concreta, quotidiana.

Così come si lavora (ancora troppo poco) per diminuire le morti e gli incidenti nei luoghi fisici di lavoro bisogna impegnarsi per:

• formare lavoratori e dirigenti sui rischi informatici
• investire in sistemi sicuri, aggiornati, resilienti
• adottare comportamenti consapevoli, dal clic all’allegato alla password al Wi-Fi.

Ogni errore digitale può compromettere un’intera filiera produttiva. Ogni attacco può essere l’inizio di una crisi, economica e umana. Quando un attacco informatico colpisce, il lavoro si ferma

• Un ransomware può bloccare la produzione di un’azienda, costringendo interi reparti a fermarsi
• Una violazione dei dati può compromettere la fiducia dei clienti e mettere a rischio mesi di lavoro commerciale
• Un attacco ai sistemi comunali può sospendere servizi essenziali come l’anagrafe, i pagamenti elettronici o l’assistenza sociale

Oggi un attacco informatico può danneggiare il lavoro come e più di un sabotaggio fisico.

Celebrare il 1° Maggio significa mettere al centro il diritto a un lavoro sicuro e dignitoso. Davvero. Dignità significa non morire mentre si lavora ma significa anche non essere esposti a rischi evitabili, solo perché nessuno ha formato, insegnato, protetto e/o vigilato.

Il futuro del lavoro sarà sempre più digitale e non possiamo permettere che sia un futuro fragile. È tempo che imprese, istituzioni e lavoratori affrontino questi temi non come un obbligo ma come un’opportunità per garantire un futuro professionale più stabile, resiliente e consapevole.

L'articolo Sicurezza è Lavoro: dal cantiere al cloud, dobbiamo proteggere chi costruisce l’Italia! proviene da il blog della sicurezza informatica.

Radiation-induced volumetric expansion (RIVE) is a concern for any concrete structures that are exposed to neutron flux and other types of radiation that affect crystalline structures within the aggregate. For research facilities and (commercial) nuclear reactors, RIVE is generally considered to be one of the factors that sets a limit on the lifespan of these structures through the cracking that occurs as for example quartz within the concrete undergoes temporary amorphization with a corresponding volume increase. The significance of RIVE within the context of a nuclear power plant is however still poorly studied.

A recent study by [Ippei Maruyama] et al. as published in the Journal of Nuclear Materials placed material samples in the LVR-15 research reactor in the Czech Republic to expose them to an equivalent neutron flux. What their results show is that at the neutron flux levels that are expected at the biological shield of a nuclear power plant, the healing effect from recrystallization is highly likely to outweigh the damaging effects of amorphization, ergo preventing RIVE damage.

This study follows earlier research on the topic at the University of Tokyo by [Kenta Murakami] et al., as well as by Chinese researchers, as in e.g. [Weiping Zhang] et al. in Nuclear Engineering and Technology. [Murayama] et al. recommend that for validation of these findings concrete samples from decommissioned nuclear plants are to be examined for signs of RIVE.

Heading image: SEM-EDS images of the pristine (left) and the irradiated (right) MC sample. (Credit: I. Murayama et al, 2022)

hackaday.com/2025/04/30/neutro…

Typewriters aren’t really made anymore in any major quantity, since the computer kind of rained all over its inky parade. That’s not to say you can’t build one yourself though, as [Toast] did in a very creative fashion.

After being inspired by so many typewriters on YouTube, [Toast] decided they simply had to 3D print one of their own design. They decided to go in a unique direction, eschewing ink ribbons for carbon paper as the source of ink. To create a functional typewriter, they had to develop a typebar mechanism to imprint the paper, as well as a mechanism to move the paper along during typing. The weird thing is the letter selection—the typewriter doesn’t have a traditional keyboard at all. Instead, you select the letter of your choice from a rotary wheel, and then press the key vertically down into the paper. The reasoning isn’t obvious from the outset, but [Toast] explains why this came about after originally hitting a brick wall with a more traditional design.

If you’ve ever wanted to build a typewriter of your own, [Toast]’s example shows that you can have a lot of fun just by having a go and seeing where you end up. We’ve seen some other neat typewriter hacks over the years, too. Video after the break.

youtube.com/embed/dcsFx0hjDaU?…

[Thanks to David Plass for the tip!]

hackaday.com/2025/04/30/a-new-…

Most of us learned to design circuits with schematics. But if you get to a certain level of complexity, schematics are a pain. Modern designers — especially for digital circuits — prefer to use some kind of hardware description language.

There are a few options to do similar things with PCB layout, including tscircuit. There’s a walk-through for using it to create an LED matrix and you can even try it out online, if you like. If you’re more of a visual learner, there’s also an introductory video you can watch below.

The example project imports a Pico microcontroller and some smart LEDs. They do appear graphically, but you don’t have to deal with them graphically. You write “code” to manage the connections. For example:
<trace from={".LED1 .GND"} to="net.GND" />

If that looks like HTML to you, you aren’t wrong. Once you have the schematic, you can do the same kind of thing to lay out the PCB using footprints. If you want to play with the actual design, you can load it in your browser and make changes. You’ll note that at the top right, there are buttons that let you view the schematic, the board, a 3D render of the board, a BOM, an assembly drawing, and several other types of output.

Will we use this? We don’t know. Years ago, designers resisted using HDLs for FPGAs, but the bigger FPGAs get, the fewer people want to deal with page after page of schematics. Maybe a better question is: Will you use this? Let us know in the comments.

This isn’t a new idea, of course. Time will tell which HDLs will survive and which will whither.

youtube.com/embed/HAd5_ZJgg50?…

hackaday.com/2025/04/30/layout…

This week, Jonathan Bennett and Dan Lynch chat with Peter van Dijk about PowerDNS! Is the problem always DNS? How did PowerDNS start? And just how big can PowerDNS scale? Watch to find out!

• github.com/PowerDNS/
• github.com/Habbie
• github.com/voorkant/
• 7bits.nl/journal/

youtube.com/embed/mof49aNISg8?…

Did you know you can watch the live recording of the show right on our YouTube Channel? Have someone you’d like us to interview? Let us know, or contact the guest and have them contact us! Take a look at the schedule here.

play.libsyn.com/embed/episode/…

Direct Download in DRM-free MP3.

If you’d rather read along, here’s the transcript for this week’s episode.

Places to follow the FLOSS Weekly Podcast:

• Spotify
• RSS

Theme music: “Newer Wave” Kevin MacLeod (incompetech.com)

Licensed under Creative Commons: By Attribution 4.0 License

hackaday.com/2025/04/30/floss-…

One of the first things that an amateur radio operator is likely to do once receiving their license is grab a dual-band handheld and try to make contacts with a local repeater. After the initial contacts, though, many hams move on to more technically challenging aspects of the hobby. One of those being activating space-based repeaters instead of their terrestrial counterparts. [saveitforparts] takes a look at some more esoteric uses of these radio systems in his latest video.

There are plenty of satellite repeaters flying around the world that are actually legal for hams to use, with most being in low-Earth orbit and making quick passes at predictable times. But there are others, generally operated by the world’s militaries, that are in higher geostationary orbits which allows them to serve a specific area continually. With a specialized three-dimensional Yagi-Uda antenna on loan, [saveitforparts] listens in on some of these signals. Some of it is presumably encrypted military activity, but there’s also some pirate radio and state propaganda stations.

There are a few other types of radio repeaters operating out in space as well, and not all of them are in geostationary orbit. Turning the antenna to the north, [saveitforparts] finds a few Russian satellites in an orbit specifically designed to provide polar regions with a similar radio service. These sometimes will overlap with terrestrial radio like TV or air traffic control and happily repeat them at brief intervals.

[saveitforparts] has plenty of videos looking at other satellite communications, including grabbing images from Russian weather satellites, using leftover junk to grab weather data from geostationary orbit, and accessing the Internet via satellite with 80s-era technology.

youtube.com/embed/PDwiKLkGMjo?…

hackaday.com/2025/04/30/radio-…

Smart glasses are a complicated technology to work with. The smart part is usually straightforward enough—microprocessors and software are perfectly well understood and easy to integrate into even very compact packages. It’s the glasses part that often proves challenging—figuring out the right optics to create a workable visual interface that sits mere millimeters from the eye.

Dev Kennedy is no stranger to this world. He came to the 2024 Hackaday Supercon to give a talk and educate us all on photonics, optical stacks, and the technology at play in the world of smart glasses.

Good Optics

youtube.com/embed/DssK3cYSPCw?…

Dev’s talk begins with an apology. He notes that it’s not possible to convey an entire photonics and optics syllabus in a short presentation, which is understandable enough. His warning, regardless, is that his talk is as dense as possible to maximise the insight into the technical information he has to offer.

Things get heavy fast, as Dev dives into a breakdown of all the different basic technologies out there that can be used for building smart glasses. On one slide, he lays them all out with pros and cons across the board. There are a wide range of different illumination and projection technologies, everything from micro-OLED displays to fancy liquid crystal on silicon (LCOS) devices that are used to create an image with the aid of laser illumination. When you’re building smart glasses, though, that’s only half the story.
Dev explains the various optical technologies involved in AR and their strengths and weaknesses.
Once you’ve got something to make an image, you then need something to put it on in front of the eye. Dev goes on to talk about different techniques for doing this, from reflective waveguides to the amusingly-named birdbath combiners. Ultimately, you’re hunting for something that provides a clear and visible image to the user in all conditions, while still providing a great view of the world around them, too. This can be particularly challenging in high-brightness conditions, like walking around outdoors in daylight.

The talk also focuses on a particular bugbear for Dev—the fact that AR and VR aren’t treated as differently as they should be. “VR is a stack of pancakes,” says Dev. “Why is it a stack of pancakes? It’s because all of the PCBs, the optics, the emissions source for the light—is in front of the user’s nose.” Because VR is just about beaming images into the eye, with no regard for the outside world, it’s a little more straightforward. “It’s basically a stack of technology outward from the eye relief point to the back of the device.” Dev explains.

When it comes to AR, though, the solutions must be more complicated. “What’s different is AR is actually an archer,” says Dev, referring to the way such devices must fling light around. “What an archer does is it shoots light around the side of the arm, and it might have to bend it one way or another, up on the crossbar and spread it out through a waveguide, and at the very exist point… at the coupling out portion… the light has to make one more right turn… towards your eye.” Ultimately, the optics and display hardware involved tend to diverge a long way from what can be used in VR displays. “These technologies are fundamentally different,” says Dev. “It strains me to great extent that people kind of batch them into the same category.”
Snapchat’s fifth-generation Spectacles have some interesting optics, but they’re perhaps not quite market ready in Dev’s opinion.
The talk also steps away from raw hardware chat, and covers some of the devices on the market, and those that left it years ago. Dev makes casual mention of Google Glass, spawned all the way back in 2013, before also noting developments Microsoft made with Hololens over the year. As for the current state of play, Dev namechecks Project Orion from Meta, as well as the fifth-generation of Snapchat Spectacles.

He gives particular credit to Meta for their work on refining input modalities that work with the smart glasses interrface paradigm. Meanwhile, he notes Snapchat needs work on “comfort, weight, and looks,” given how bulky their current product is. Overall, with these products, there are problems to be overcome before they can really become mainstream tools for every day use. “The important part is the relatability of these devices,” Dev goes on to explain. “We don’t see that just yet, as a $25,000 device from Meta and something that is too thick to be socially acceptable from Snapchat.

Fundamentally, as Dev’s talk highlights, AR remains a technology still at a nascent stage of development. It’s worth remembering—it took decades to develop computers that could fit in our pockets (smartphones) or on our wrists (smartwatches). Expect smart glasses to actually go mainstream as soon as the technical and optical issues are worked out, and the software and interface solutions actually help people in day to day life.

hackaday.com/2025/04/30/superc…

Il caso dei numeri di telefono online delle più alte cariche dello Stato

a cura del Prof. Marco Bacini, Direttore Master Intelligence per la Sicurezza Nazionale e Internazionale —

I recenti articoli che riportano la presunta “disponibilità online” di numeri di telefono e mail appartenenti a rappresentanti istituzionali, inclusi quelli del Presidente del Consiglio, del Presidente della Repubblica e di vari ministri, hanno suscitato reazioni pubbliche e interrogativi legittimi sull’integrità e la sicurezza del sistema-Paese. Reputo però necessario distinguere con precisione tra ciò che è tecnicamente una minaccia cyber e ciò che invece, si configura come la conseguenza di una dinamica commerciale ben nota: la raccolta e rivendita di informazioni già di dominio pubblico tramite piattaforme B2B.

Il caso dei numeri di telefono online delle più alte cariche dello Stato va ricondotto alla realtà e l’Agenzia non ha colpe

lamiafinanza.it/2025/04/il-cas…

dicorinto.it/articoli/il-caso-…

As the Common Business Oriented Language, COBOL has a long and storied history. To this day it’s quite literally the financial bedrock for banks, businesses and financial institutions, running largely unnoticed by the world on mainframes and similar high-reliability computer systems. That said, as a domain-specific language targeting boring business things it doesn’t quite get the attention or hype as general purpose programming or scripting languages. Its main characteristic in the public eye appears be that it’s ‘boring’.

Despite this, COBOL is a very effective language for writing data transactions, report generating and related tasks. Due to its narrow focus on business applications, it gets one started with very little fuss, is highly self-documenting, while providing native support for decimal calculations, and a range of I/O access and database types, even with mere files. Since version 2002 COBOL underwent a number of modernizations, such as free-form code, object-oriented programming and more.

Without further ado, let’s fetch an open-source COBOL toolchain and run it through its paces with a light COBOL tutorial.

Spoiled For Choice

It used to be that if you wanted to tinker with COBOL, you pretty much had to either have a mainframe system with OS/360 or similar kicking around, or, starting in 1999, hurl yourself at setting up a mainframe system using the Hercules mainframe emulator. Things got a lot more hobbyist & student friendly in 2002 with the release of GnuCOBOL, formerly OpenCOBOL, which translates COBOL into C code before compiling it into a binary.

While serviceable, GnuCOBOL is not a compiler, and does not claim any level of standard adherence despite scoring quite high against the NIST test suite. Fortunately, The GNU Compiler Collection (GCC) just got updated with a brand-new COBOL frontend (gcobol) in the 15.1 release. The only negative is that for now it is Linux-only, but if your distribution of choice already has it in the repository, you can fetch it there easily. Same for Windows folk who have WSL set up, or who can use GnuCOBOL with MSYS2.

With either compiler installed, you are now ready to start writing COBOL. The best part of this is that we can completely skip talking about the Job Control Language (JCL), which is an eldritch horror that one would normally be exposed to on IBM OS/360 systems and kin. Instead we can just use GCC (or GnuCOBOL) any way we like, including calling it directly on the CLI, via a Makefile or integrated in an IDE if that’s your thing.

Hello COBOL

As is typical, we start with the ‘Hello World’ example as a first look at a COBOL application:
IDENTIFICATION DIVISION.
PROGRAM-ID. hello-world.
PROCEDURE DIVISION.
DISPLAY "Hello, world!".
STOP RUN.
Assuming we put this in a file called hello_world.cob, this can then be compiled with e.g. GnuCOBOL: cobc -x -free hello_world.cob.

The -x indicates that an executable binary is to be generated, and -free that the provided source uses free format code, meaning that we aren’t bound to specific column use or sequence numbers. We’re also free to use lowercase for all the verbs, but having it as uppercase can be easier to read.

From this small example we can see the most important elements, starting with the identification division with the program ID and optionally elements like the author name, etc. The program code is found in the procedure division, which here contains a single display verb that outputs the example string. Of note is the use of the period (.) as a statement terminator.

At the end of the application we indicate this with stop run., which terminates the application, even if called from a sub program.

Hello Data

As fun as a ‘hello world’ example is, it doesn’t give a lot of details about COBOL, other than that it’s quite succinct and uses plain English words rather than symbols. Things get more interesting when we start looking at the aspects which define this domain specific language, and which make it so relevant today.

Few languages support decimal (fixed point) calculations, for example. In this COBOL Basics project I captured a number of examples of this and related features. The main change is the addition of the data division following the identification division:
DATA DIVISION.
WORKING-STORAGE SECTION.
01 A PIC 99V99 VALUE 10.11.
01 B PIC 99V99 VALUE 20.22.
01 C PIC 99V99 VALUE 00.00.
01 D PIC $ZZZZV99 VALUE 00.00.
01 ST PIC $*(5).99 VALUE 00.00.
01 CMP PIC S9(5)V99 USAGE COMP VALUE 04199.04.
01 NOW PIC 99/99/9(4) VALUE 04102034.
The data division is unsurprisingly where you define the data used by the program. All variables used are defined within this division, contained within the working-storage section. While seemingly overwhelming, it’s fairly easily explained, starting with the two digits in front of each variable name. This is the data level and is how COBOL structures data, with 01 being the highest (root) level, with up to 49 levels available to create hierarchical data.

This is followed by the variable name, up to 30 characters, and then the PICTURE(or PIC) clause. This specifies the type and size of an elementary data item. If we wish to define a decimal value, we can do so as two numeric characters (represented by 9) followed by an implied decimal point V, with two decimal numbers (99). As shorthand we can use e.g. S9(5) to indicate a signed value with 5 numeric characters. There a few more special characters, such as an asterisk which replaces leading zeroes and Z for zero suppressing.

The value clause does what it says on the tin: it assigns the value defined following it to the variable. There is however a gotcha here, as can be seen with the NOW variable that gets a value assigned, but due to the PIC format is turned into a formatted date (04/10/2034).

Within the procedure division these variables are subjected to addition (ADD A TO B GIVING C.), subtraction with rounding (SUBTRACT A FROM B GIVING C ROUNDED.), multiplication (MULTIPLY A BY CMP.) and division (DIVIDE CMP BY 20 GIVING ST.).

Finally, there are a few different internal formats, as defined by USAGE: these are computational (COMP) and display (the default). Here COMP stores the data as binary, with a variable number of bytes occupied, somewhat similar to char, short and int types in C. These internal formats are mostly useful to save space and to speed up calculations.

Hello Business

In a previous article I went over the reasons why a domain specific language like COBOL cannot be realistically replaced by a general language. In that same article I discussed the Hello Business project that I had written in COBOL as a way to gain some familiarity with the language. That particular project should be somewhat easy to follow with the information provided so far. New are mostly file I/O, loops, the use of perform and of course the Report Writer, which is probably best understood by reading the IBM Report Writer Programmer’s Manual (PDF).

Going over the entire code line by line would take a whole article by itself, so I will leave it as an exercise for the reader unless there is somehow a strong demand by our esteemed readers for additional COBOL tutorial articles.

Suffice it to say that there is a lot more functionality in COBOL beyond these basics. The IBM ILE COBOL reference (PDF), the IBM Mainframer COBOL tutorial, the Wikipedia entry and others give a pretty good overview of many of these features, which includes object-oriented COBOL, database access, heap allocation, interaction with other languages and so on.

Despite being only a novice COBOL programmer at this point, I have found this DSL to be very easy to pick up once I understood some of the oddities about the syntax, such as the use of data levels and the PIC formats. It is my hope that with this article I was able to share some of the knowledge and experiences I gained over the past weeks during my COBOL crash course, and maybe inspire others to also give it a shot. Let us know if you do!

hackaday.com/2025/04/30/a-gent…

As any Linux chat room or forum will tell you, the most powerful tool to any Linux user is a terminal emulator. Just about every program under the sun has a command line alternative, be it CAD, note taking, or web browsing. Likewise, the digital audio workstation (DAW) is the single most important tool to anyone making music. Therefore, [unspeaker] decided the two should, at last, be combined with a terminal based DAW called Tek.

Tek functions similarly to other DAWs, albeit with keyboard only input. For anyone used to working in Vim or Emacs (we ask you keep the inevitable text editor comment war civil), Tek will be very intuitive. Currently, the feature set is fairly spartan, but plans exist to add keybinds for save/load, help, and more. The program features several modes including a multi-track sequencer/sampler called the “arranger.” Each track in the arranger is color coded with a gradient of colors generated randomly at start for a fresh look every time.

Modern audio workflows often span across numerous programs, and Tek was built with this in mind. It can take MIDI input and output from the JACK Audio Connection Kit, and plans also exist to create a plugin server so Tek could be used with other DAWs like Ardor or Zrythm. Moreover, being a terminal program opens possibilities for complicated shell scripting and other such Linux-fu.

Maybe a terminal DAW is not your thing, so make sure to check out this physical one instead!

hackaday.com/2025/04/30/termin…

Domani celebreremo uno degli elementi più iconici – e al tempo stesso vulnerabili – della nostra vita digitale: la password. Da semplice chiave d’accesso inventata negli anni ’60 per proteggere i primi sistemi informatici multiutente, la password è diventata un simbolo universale della sicurezza online. Ma se una volta bastava una parola segreta per sentirsi al sicuro, oggi non è più così: viviamo in un’epoca in cuihacker, malware, botnet e infostealerpossono violare anche gli account più protetti in pochi secondi.

In questo articolo ripercorreremo le origini delle password – a partire dal lavoro pionieristico di Fernando Corbatò – e racconteremo come si è evoluto (e in molti casi sgretolato) il loro ruolo nella cybersicurezza moderna. Analizzeremo il fenomeno delle credenziali rubate, il mercato nero che le alimenta, l’ascesa degli infostealer, il ruolo delle GPU nel cracking degli hash, e l’apparente “ultima speranza”: l’autenticazione multifattore.

Ma anche questa, oggi, ha i suoi punti deboli. Preparati a scoprire perché la password potrebbe non essere più il tuo scudo, ma il tuo punto debole.

Le origini delle password: Fernando Corbatò e il primo sistema multiutente

Le password, come le conosciamo oggi, hanno una storia che affonda le radici nei primi esperimenti di elaborazione condivisa degli anni ’60. A introdurle fu Fernando J. Corbatò, un informatico del MIT, considerato uno dei padri fondatori della moderna sicurezza informatica.

Corbatò guidava lo sviluppo del CTSS (Compatible Time-Sharing System), uno dei primi sistemi operativi che permetteva a più utenti di lavorare contemporaneamente sullo stesso mainframe. Era una rivoluzione per l’epoca: ogni utente aveva un account personale, accessibile tramite terminale, e necessitava di un modo per proteggere i propri file dagli altri utenti. La soluzione? Un semplice meccanismo d’accesso: la password.
Fernando José Corbató (Oakland, 1º luglio 1926 – Newburyport, 12 luglio 2019) è stato un informatico statunitense e a lui viene accreditata l’invenzione della password.
All’epoca, le password venivano archiviate in un file di testo non cifrato, accessibile da amministratori e tecnici. Questo dettaglio si rivelò presto problematico: nel 1966, un giovane programmatore riuscì a stampare il file contenente tutte le password degli utenti del CTSS (Compatible Time-Sharing System), semplicemente sfruttando un errore di permessi.

Era il primo data breach della storia documentato, e metteva già in luce una delle debolezze strutturali del sistema.

La filosofia di Stallman e la “password blank”

In quegli stessi ambienti del MIT, anni dopo, emerse una figura che avrebbe portato avanti un’idea radicalmente opposta alla protezione tramite password: Richard Stallman, padre del movimento del software libero. Stallman lavorava al progetto GNU e frequentava gli stessi laboratori dove Corbatò aveva sviluppato il CTSS.

Quando le password furono implementate anche sui sistemi ITS (Incompatible Timesharing System), Stallman rifiutò apertamente l’idea. Trovava le restrizioni d’accesso una violazione della cultura collaborativa e aperta della comunità hacker originaria. Per protesta, lasciò il campo della password vuoto, permettendo l’accesso diretto al suo account — un gesto che divenne noto come “password blank”.
Richard Matthew Stallman (New York, 16 marzo 1953) è un programmatore, informatico, hacker e attivista statunitense.
Non solo: Stallman arrivò a scrivere uno script che disabilitava le password e lo condivise tra i colleghi. L’idea era: “Se disabiliti la tua password, chiunque potrà accedere al tuo account. Ma se tutti lo fanno, nessuno potrà abusare del sistema, perché nessuno ha più il controllo esclusivo”.

Un’eredità che ci ha segnato

Sebbene oggi quella visione libertaria sia impraticabile in un mondo digitale pieno di minacce, il dibattito tra apertura e sicurezza è rimasto centrale. L’introduzione delle password è stata un passaggio cruciale nella storia dell’informatica, ma anche il primo segnale che la sicurezza informatica è sempre un compromesso tra accessibilità e protezione.

Oggi, guardando a quell’epoca pionieristica, possiamo apprezzare non solo l’ingegno tecnico di Corbatò, ma anche la tensione ideologica che ha accompagnato l’evoluzione della cybersicurezza sin dalle sue origini.

Crescita, complessità e caduta di efficacia

Nel corso degli anni, la password ha subito un’evoluzione dettata non tanto dall’innovazione, quanto dalla necessità di adattarsi a minacce sempre più sofisticate. Dai semplici codici alfanumerici iniziali si è passati a criteri di complessità crescenti: lettere maiuscole e minuscole, numeri, caratteri speciali, e lunghezze minime obbligatorie.

Ma questa escalation di requisiti ha portato con sé un problema non trascurabile: l’usabilità.

Password complesse… ma prevedibili

Il paradosso è evidente: più complesse sono le password, più l’utente tende a semplificarne la gestione. Questo ha portato alla nascita di pattern ricorrenti, come:

• Sostituzioni prevedibili: P@ssw0rd, Admin123!, Estate2024
• Riutilizzo su più piattaforme: stessa password per email, social e banca (fenomeno del password reuse)
• Varianti incrementali: Password1, Password2, Password3…

Le password iniziarono a essere definite “forti” solo sulla carta, ma in realtà venivano facilmente indovinate, pescate da leak precedenti o craccate offline. Il database di password comuni, come il celebre “rockyou.txt”, è oggi il punto di partenza per gran parte degli attacchi a dizionario.

Il tempo gioca contro le password

Con l’evoluzione dell’hardware, il brute forcing di password protette da hash non è più un processo lungo e inefficiente. Software come Hashcat e John the Ripper, abbinati a GPU potenti, permettono di testare milioni (o anche miliardi) di combinazioni al secondo.

Alcuni esempi pratici (con hardware consumer di fascia alta):

• Una password di 8 caratteri alfanumerica può essere craccata in meno di 1 ora
• Una password da 10 caratteri con simboli può essere craccata in giorni
• Se l’hash non ha salt o usa algoritmi deboli (es. MD5, SHA1), il tempo si riduce drasticamente

Gli algoritmi di hash sono diventati più resistenti (come bcrypt, scrypt, Argon2), ma spesso sono ancora usati con configurazioni deboli o non aggiornate, specialmente su sistemi legacy.

L’illusione della forza apparente

Un’altra trappola è la cosiddetta “entropia apparente”: una password può sembrare forte all’occhio umano perché contiene simboli e numeri, ma se segue una struttura comune (es. NomeCognome@Anno), è in realtà facile da prevedere per un attaccante che usa regole di mutazione nei propri attacchi con dizionario.

Questa evoluzione dimostra come la password, da strumento di protezione, sia diventata un tallone d’Achille: troppo debole se semplice, troppo complicata se sicura — ma in entrambi i casi spesso inefficace se non affiancata da altre misure.

Infostealer, botnet e il mercato nero delle credenziali rubate

Se il furto di password una volta avveniva principalmente tramite attacchi diretti ai server, oggi la vera minaccia arriva dai dispositivi degli utenti, tramite malware specializzati chiamati infostealer. Questi programmi malevoli sono progettati per rubare informazioni sensibili direttamente dai computer infetti, in particolare username, password, cookie di sessione, wallet di criptovalute, token di accesso e dati autofill dei browser.
Schema di infezione da infostealer attraverso una mail di phishing e addizione del sistema infetto ad una botnet controllata da un attaccante (Fonte Red Hot Cyber)

Infostealer: il ladro silenzioso

Gli infostealer operano senza fare rumore, spesso nascosti in allegati e-mail, file craccati, software pirata, generatori di chiavi e strumenti “freemium” apparentemente legittimi. Una volta eseguiti, analizzano il sistema e inviano in tempo reale le informazioni raccolte a server remoti controllati dagli attaccanti.

I più noti e diffusi includono:

• RedLine
• Raccoon Stealer
• Vidar
• Lumma Stealer
• Aurora

Questi malware sono spesso venduti “as a service” nei canali underground, con pannelli di controllo semplici da usare anche per attori non tecnici.

Le botnet: reti di dispositivi compromessi

Molti infostealer vengono distribuiti attraverso botnet, ovvero reti di dispositivi infetti controllati da remoto. Una volta compromesso un dispositivo, viene “arruolato” e può essere utilizzato per:

• Diffondere ulteriormente malware
• Avviare attacchi DDoS
• Rubare altre credenziali e dati bancari
• Vendere accessi remoti (es. RDP, SSH) nel dark web

Botnet come Emotet, Trickbot e Qakbot hanno dominato per anni lo scenario mondiale, agendo come infrastrutture modulari che distribuiscono payload diversi in base agli interessi degli operatori.

Il mercato nero delle credenziali rubate

I dati raccolti da infostealer e botnet alimentano un fiorente mercato nero nei forum underground, nei marketplace onion e nei canali Telegram illegali. Le credenziali vengono vendute in blocco o consultate attraverso strumenti come:

• Logs markets: portali che permettono di cercare login rubati per sito o paese
• Botshop: piattaforme dove è possibile acquistare l’accesso completo a un profilo compromesso, inclusi cookie, fingerprint del browser e sessioni attive
• Access broker: attori specializzati nella vendita di accessi a reti aziendali compromesse, spesso poi rivenduti a gruppi ransomware

Un singolo cookie di sessione valido (es. di Google, Facebook, Instagram o servizi bancari) può valere più di 50$, perché consente l’accesso senza nemmeno conoscere la password.

Non si ruba solo la password: si ruba l’identità digitale

Questa nuova generazione di minacce dimostra che la password non è più l’unico bersaglio. Oggi vengono rubate intere identità digitali, fatte di token, fingerprint del browser, cronologia, geolocalizzazione, e molto altro.

L’infrastruttura criminale è altamente organizzata, con ruoli distinti tra chi sviluppa malware, chi lo diffonde, chi gestisce l’infrastruttura cloud per ricevere i dati, e chi li monetizza. Questo fenomeno si chiama MaasS (Malware as a service) è consente anche a persone alle prime armi di utilizzare soluzioni e strumenti altamente pervasivi pagando una quota di associazione.

Autenticazione MFA: la soluzione (quasi) obbligata

Con l’aumento vertiginoso dei furti di credenziali, la password – da sola – non è più sufficiente a proteggere gli accessi digitali. Da qui nasce l’esigenza di un secondo livello di difesa: l’autenticazione multifattoriale (MFA), oggi considerata una misura fondamentale, se non addirittura obbligatoria, per la sicurezza dei sistemi informativi.

La MFA prevede che, oltre alla password (qualcosa che sai), venga richiesto almeno un secondo fattore, come:

• Qualcosa che hai : smartphone, token hardware, chiave FIDO2/YubiKey, smartcard
• Qualcosa di biologico che possiedi: impronta digitale, riconoscimento facciale o vocale

Le combinazioni più comuni oggi includono:

• App di autenticazione (es. Google Authenticator, Microsoft Authenticator, Authy)
• Codici OTP via SMS o email (meno sicuri)
• Token hardware e soluzioni passwordless basate su FIDO2/WebAuthn

Perché è efficace?

La MFA, anche se imperfetta, riduce drasticamente il rischio di compromissione degli account:

• Anche se la password viene rubata, l’attaccante non può accedere senza il secondo fattore
• Rende inefficaci gran parte degli attacchi di phishing automatici
• Protegge dagli accessi non autorizzati da nuove geolocalizzazioni o dispositivi

Secondo Microsoft, l’MFA blocca oltre il 99% degli attacchi di account takeover se configurata correttamente.

Ma anche la MFA può essere aggirata

Nonostante i suoi benefici, la MFA non è invulnerabile. Oggi esistono strumenti e tecniche in grado di bypassarla, spesso sfruttando l’ingegneria sociale o la debolezza del fattore scelto.

Tecniche di bypass note:

• Attacchi di phishing in tempo reale: sfruttano reverse proxy come Evilginx2, Modlishka o EvilnoVNC per intercettare la sessione MFA al volo
• Richieste push “bombing”: invio ripetuto di notifiche di accesso finché l’utente approva per sfinimento (molto usato contro utenti Microsoft 365)
• SIM swap: clonazione della SIM per ricevere OTP via SMS
• Session hijacking: furto di cookie di sessione già autenticati tramite infostealer
• Malware kit venduti nei mercati underground che includono moduli per il bypass MFA (inclusi plugin Telegram, web panel e raccolta token)

“Oggi gli aggressori non si basano più su malware per violare le difese. Al contrario, sfruttano credenziali rubate e identità trusted per infiltrarsi silenziosamente nelle organizzazioni e muoversi lateralmente tra ambienti cloud, endpoint e di identità—spesso senza essere rilevati. Il Global Threat Report 2025 di CrowdStrike mette in evidenza questo cambiamento: il 79% degli attacchi di accesso iniziale avviene ormai senza l’uso di malware e l’attività degli access broker è aumentata del 50% su base annua. Il World Password Day è un promemoria puntuale per le organizzazioni affinché rivedano il proprio approccio alla sicurezza delle identità. Questo significa andare oltre la semplice igiene delle password tradizionali per adottare un approccio incentrato sull’identità—che applichi i principi dello Zero Trust, monitori continuamente utenti e accessi, rafforzi l’autenticazione con soluzioni MFA e passwordless e rimuova i privilegi non necessari. Integrare il rilevamento delle minacce all’identità basato sull’AI e unificare la visibilità tra endpoint, identità e cloud, aiuta a colmare le lacune su cui gli aggressori fanno affidamento” ha riportato Fabio Fratucello, Field CTO World Wide, CrowdStrike.

Se la MFA non basta è il turno del passkey e autenticazione passwordless

L’autenticazione multifattoriale non è la fine del problema, ma una componente di un approccio difensivo più ampio. Serve ad aumentare il costo dell’attacco, ma va combinata con:

• Monitoraggio continuo dei login e delle anomalie comportamentali (UEBA)
• Soluzioni di Zero Trust Architecture
• Difese contro infostealer (EDR, sandboxing, email security gateway)
• Educazione dell’utente su phishing e attacchi sociali

L’evoluzione naturale della MFA è l’abbandono della password. Le passkey – basate su WebAuthn – consentono di autenticarsi in modo sicuro usando biometria o PIN locali, senza mai inviare segreti al server. Apple, Google e Microsoft stanno già integrando attivamente questa tecnologia.

Conclusioni

Nel giorno del World Password Day, guardare al passato ci aiuta a comprendere quanto sia cambiato – e quanto debba ancora cambiare – il nostro rapporto con l’identità digitale.

Nate negli anni ’60 grazie al lavoro pionieristico di Fernando Corbatò, le password hanno rappresentato per decenni la chiave d’accesso alla dimensione informatica. Ma ciò che un tempo bastava a difendere un sistema multiutente, oggi non è più sufficiente a garantire la sicurezza di individui, aziende e intere infrastrutture critiche.

Con l’aumentare della complessità informatica, delle minacce automatizzate, della potenza computazionale disponibile per il cracking, e la diffusione di infostealer e botnet, le password da sole sono diventate una difesa fragile e facilmente aggirabile.

Le nostre credenziali – sempre più riutilizzate e vulnerabili – non sono più solo password, ma identità digitali composte da token, cookie, fingerprint e sessioni. Un mercato nero multimilionario alimenta il furto di queste identità, rendendo urgente il passaggio a modelli più forti e resilienti.

In questo scenario, l’autenticazione multifattoriale non è più un’opzione: è una necessità minima, un livello di protezione che ogni utente e organizzazione dovrebbe adottare per difendersi. Ma anche la MFA ha limiti e vulnerabilità. Per questo il futuro della sicurezza punta verso modelli passwordless, autenticazione biometrica e architetture zero-trust, dove l’accesso non è mai dato per scontato.

Il messaggio finale è chiaro: Non è più tempo di “password123”. È tempo di cambiare… di evolvere!

E’ arrivato il momento di farlo.

L'articolo Buon World Password Day! Tra MIT, Hacker, Infostealer e MFA. Perchè le Password sono vulnerabili proviene da il blog della sicurezza informatica.

Il team del Google Threat Intelligence Group (GTIG) ha scoperto uno sfruttamento su larga scala di falle critiche del software. Nell’ultimo anno, i criminali informatici hanno sfruttato 75 falle di sicurezza precedentemente sconosciute, le cosiddette vulnerabilità zero-day. Gli aggressori hanno prestato particolare attenzione al software aziendale, in particolare ai sistemi di sicurezza e alle soluzioni di rete.

Le violazioni scoperte sono state classificate in due categorie principali. Nelle tecnologie aziendali, gli esperti hanno rilevato 33 falle critiche, le restanti 42 hanno interessato piattaforme e prodotti per gli utenti finali: dispositivi mobili, sistemi operativi, browser e programmi applicativi.

Rispetto all’anno precedente, il numero totale di attacchi che sfruttano vulnerabilità zero-day è leggermente diminuito, passando da 98 a 75 casi. Tuttavia, gli analisti notano che la tendenza a lungo termine rimane al rialzo. Per fare un paragone: l’anno prima erano stati registrati solo 63 incidenti simili.

Di particolare preoccupazione per i ricercatori sono le attività dei fornitori commerciali di spyware. Questi gruppi migliorano costantemente i metodi per mascherare le loro attività e aumentare il livello di sicurezza operativa, il che rende molto più difficile la loro individuazione e identificazione.

Più della metà delle vulnerabilità individuate dagli esperti di Google sono state sfruttate in operazioni di spionaggio informatico. La situazione era particolarmente tesa nel segmento della tecnologia aziendale: sono stati identificati 20 bug critici nei sistemi di sicurezza e nelle apparecchiature di rete, che rappresentavano oltre il 60% di tutti i casi di attacchi alle infrastrutture aziendali.

Il browser web Chrome di Google è rimasto l’obiettivo principale tra i browser, sebbene il numero complessivo di attacchi a questa categoria di software sia diminuito. Nell’ultimo anno sono state scoperte 11 vulnerabilità zero-day, rispetto alle 17 dell’anno precedente. Una dinamica simile è stata osservata nel segmento dei dispositivi mobili, dove la cifra è scesa a 9.

Il sistema operativo Windows ha mostrato il maggiore incremento nel numero di difetti critici. I ricercatori di Google hanno registrato 22 exploit, in aumento rispetto ai 17 dell’anno precedente. Gli esperti sottolineano che finché questa piattaforma manterrà la sua posizione di leadership sia nell’uso domestico che professionale, continuerà senza dubbio a rappresentare un bersaglio interessante per gli aggressori.

Nel settore aziendale, gli obiettivi più comuni degli attacchi sono stati i servizi cloud Ivanti, il sistema PAN-OS di Palo Alto Networks, il firewall Adaptive Security Appliance di Cisco e la soluzione Connect Secure VPN di Ivanti. In totale sono stati interessati prodotti di 18 diversi produttori di soluzioni aziendali.

Gli analisti sono riusciti a stabilire l’origine di una parte significativa degli attacchi. Gli sviluppatori di spyware commerciali hanno sfruttato otto falle zero-day. Cinque casi hanno coinvolto gruppi sostenuti dalla Cina e dalla Corea del Nord, con gli hacker nordcoreani che perseguivano sia obiettivi di intelligence che finanziari. Altri cinque attacchi sono stati perpetrati da gruppi indipendenti di criminalità informatica. Almeno tre casi di sfruttamento di vulnerabilità critiche sono stati attribuiti alla Russia.

Gli esperti sottolineano la crescente disponibilità di strumenti per individuare e utilizzare gli 0-day. Gli aggressori esplorano attivamente nuove direzioni tecnologiche, attaccando spesso gli sviluppatori meno esperti. Si prevede che tali tecniche saranno utilizzate ancora per molto tempo, poiché consentono operazioni segrete, presenza a lungo termine nei sistemi ed elusione della giustizia.

L'articolo Google scopre 75 vulnerabilità zero-day: lo spionaggio non è mai stato così fuori controllo proviene da il blog della sicurezza informatica.

Ci sono luoghi nel web dove la normalità cede il passo all’illecito, dove l’apparenza di un marketplace moderno e funzionale si trasforma in una vetrina globale per ogni tipo di reato. Sono spazi accessibili solo attraverso la rete TOR, lontani dagli occhi dei motori di ricerca e delle forze dell’ordine. Uno di questi luoghi, nuovo e già particolarmente attivo, si chiama Mist Market.

Lanciato nell’aprile del 2025, Mist Market è un esempio perfetto di come il crimine digitale abbia ormai abbracciato logiche da e-commerce avanzato. A segnalarne la presenza e analizzarne le dinamiche è stato l’Insikt Group, il team di ricerca e threat intelligence di Recorded Future, che ne ha descritto la struttura e l’offerta con la consueta precisione investigativa.

Siamo quindi andati a guardare con il team di DarkLab questo nuovo market per comprenderne il funzionamento. E dopo una registrazione senza la richiesta di email, siamo dentro.

Una vetrina elegante per beni e servizi illeciti

Navigando tra le pagine del sito (accessibile solo tramite onion link su TOR), ci si trova di fronte a un’interfaccia ben organizzata: prodotti suddivisi per categoria, schede dettagliate, immagini, descrizioni e persino recensioni – proprio come su Amazon o eBay. Ma qui non si vendono gadget o elettronica di consumo. Qui si commercia droga, denaro falso, documenti clonati, account compromessi e servizi di hacking personalizzati.

Tra i tanti elementi che colpiscono nella segnalazione di Insikt Group, c’è soprattutto l’offerta di banconote false di alta qualità, descritte come “highly undetectable”. Non stiamo parlando di brutte copie stampate in cantina, ma di falsi professionali che, secondo quanto dichiarato dal venditore, riescono a superare indisturbati i test di verifica nei negozi, nei ristoranti, nelle stazioni ferroviarie e perfino nelle banche. Un’affermazione inquietante, che apre scenari di rischio sistemico per l’economia fisica di intere città.

Droghe da laboratorio e stupefacenti di vecchia data

Ma Mist Market non si limita al denaro contraffatto. In catalogo si trovano sostanze stupefacenti di ogni tipo. Particolarmente degna di nota è la presenza di metanfetamina cristallina, descritta nei dettagli come “polvere bianca cristallina o cristalli bianchi-bluastri”, con uno stock disponibile di ben 2.500 grammi.

Accanto a essa, spunta un nome che sembrava ormai appartenere al passato: Quaalude, in compresse da 300mg, dichiarate come “pharma grade”, ovvero di qualità farmaceutica. Un sedativo ipnotico diventato famoso negli anni ’70 (e poi bandito nella maggior parte dei Paesi), oggi torna a circolare grazie a circuiti paralleli come questo.

L’hacking come servizio

Tra le “offerte digitali”, invece, si fa notare una crescente richiesta e disponibilità di servizi di hacking su commissione. Gli annunci parlano chiaramente: sblocco di account WhatsApp, manipolazione del punteggio di credito (credit score), recupero di wallet Bitcoin e perfino accesso a carte “live” – cioè carte di credito con saldo ancora attivo e utilizzabili online.

Chi le vende, garantisce la validità per un’ora, tempo entro il quale l’acquirente deve verificarne l’effettivo funzionamento. Dopodiché, nessuna garanzia sarà più offerta, né su eventuali fondi residui, né su rimborsi. Un vero e proprio commercio “usa e getta” su cui nessuno risponde mai davvero.

Di seguito un esempio dei servizi offerti:

• Hacker for WhatsApp
• Hacker to Track Live GPS Location
• Hacker for Phone Monitoring Services
• Cheating Partner Monitoring
• Cryptocurrency Transaction Reversal
• Hacker to Hack Social Media Passwords
• Grade Change Hack
• Credit Score Hacker
• Online Exam Hack
• Cryptocurrency Mining Hack
• Change Criminal Record
• Western Union Transfers

Un’economia parallela regolata dalla Monero-economy

Tutte le transazioni su Mist Market avvengono rigorosamente in Monero (XMR), criptovaluta nota per il suo focus sulla privacy e la totale opacità dei flussi. A differenza di Bitcoin, Monero non consente il tracciamento delle transazioni, rendendo di fatto impossibile qualunque tentativo di indagine basata sull’analisi della blockchain. Per questo, è diventata la valuta preferita nei mercati darknet più avanzati.

E anche qui, la piattaforma non si limita a vendere. Offre anche canali di supporto, contatti diretti tramite Jabber, forum di riferimento (come Pitch Forum), e persino una politica commerciale che, almeno in apparenza, assicura “soddisfazione o sostituzione” – almeno entro determinati limiti e condizioni.

Conclusioni: una minaccia invisibile, ma concreta

L’analisi fornita da Insikt Group su Mist Market ci restituisce un quadro molto chiaro: il cybercrime non è più un fenomeno limitato a intrusioni o ransomware. È diventato una macchina commerciale complessa, che fonde criminalità finanziaria, traffico di droga, falsificazione, hacking e truffe digitali in un unico punto di accesso.

La capacità con cui questi venditori sanno creare e gestire “vetrine” funzionali, promozioni, sconti per acquisti all’ingrosso e customer care in stile business-to-business ci dice che siamo di fronte a vere e proprie aziende criminali, con livelli di efficienza e organizzazione allarmanti.

Ed è proprio questo il punto più preoccupante: non si tratta più di singoli attori improvvisati, ma di ecosistemi completi, resilienti, replicabili. In grado di riemergere sotto nuovi nomi anche se chiusi o smantellati. Un mercato nero digitale, che funziona meglio di quello legale.

E ogni giorno, mentre navighiamo tra le pagine di un e-commerce per acquistare un libro o un paio di scarpe, qualcun altro – da un’altra parte del mondo – acquista una banconota falsa, una dose di metanfetamina o un servizio per rubare un’identità. E lo fa con un click.

L'articolo Benvenuti su Mist Market: dove con un click compri droga, identità e banconote false proviene da il blog della sicurezza informatica.

Come riportato il 14 aprile, Microsoft era al lavoro su una nuova tecnologia chiamata hotpatching, progettata per rivoluzionare il modo in cui vengono gestiti gli aggiornamenti di sicurezza nei sistemi Windows. L’obiettivo è ambizioso: eliminare la necessità di riavviare il sistema operativo dopo l’installazione delle patch.

Il meccanismo del hotpatching consente infatti di applicare le correzioni di sicurezza in background, intervenendo direttamente sul codice già caricato in memoria e attivo nei processi in esecuzione. In altre parole, il sistema resta operativo e disponibile durante l’aggiornamento, riducendo al minimo le interruzioni e migliorando la continuità dei servizi, soprattutto in ambienti aziendali e mission-critical.

Inizialmente, la funzione sarà disponibile solo per una specifica versione di Windows 11: Enterprise 24H2, su dispositivi con CPU x64 (AMD/Intel) e gestiti tramite Microsoft Intune. Intanto, Janine Patrick e Artem Pronichkin di Microsoft hanno confermato che hotpatching per Windows Server 2025 uscirà dalla fase di anteprima il 1° luglio.

Secondo Microsoft, questa tecnologia porterà vantaggi concreti al processo di aggiornamento. Il primo: meno riavvii richiesti, quindi maggiore disponibilità dei sistemi. Le patch saranno più leggere e veloci da installare, e grazie all’integrazione con Azure Update Manager, l’intero processo sarà semplificato. Un altro punto cruciale è la riduzione delle “finestre di vulnerabilità” — ovvero il tempo in cui un sistema resta esposto tra la scoperta della falla e il riavvio post-aggiornamento. Questo è fondamentale, soprattutto quando un amministratore tende a posticipare l’applicazione delle patch.

Tuttavia, c’è un aspetto che ha già sollevato discussioni: dal 1° luglio,hotpatching per Windows Server 2025 sarà disponibile solo tramite abbonamento. Chi sarà coinvolto da questo nuovo modello a pagamento? Per poter usare gli aggiornamenti hotpatch senza dover riavviare, Microsoft ha specificato che sarà necessario disporre di Windows Server 2025 Standard o Datacenter, con il server collegato ad Azure Arc. Il dettaglio più controverso è che sarà indispensabile sottoscrivere un abbonamento al servizio Hotpatch.

Attualmente, la funzione è gratuita solo su Windows Server Datacenter: Azure Edition. Per le altre versioni, invece, si passerà a un costo di 1,50 dollari al mese per core di CPU. Sì, proprio così: il prezzo è calcolato per ogni core.

Microsoft ha precisato che, anche con l’hotpatching attivo, saranno comunque richiesti circa quattro riavvii all’anno per aggiornamenti principali, ma il vantaggio è la riduzione del carico legato al tradizionale Patch Tuesday.

Sta agli utenti valutare se questo nuovo servizio valga il costo, dato che rimane opzionale.

L'articolo Le Patch di Microsoft presto Senza Riavvio Ma a Pagamento. La sicurezza si paga 1,50$ a core proviene da il blog della sicurezza informatica.

Recently [Glen Akins] reported on Bluesky that the Zigbee-based sensor he had made for his garden’s rear gate was still going strong after a Summer and Winter on the original 2450 lithium coin cell. The construction plans and design for the unit are detailed in a blog post. At the core is the MS88SF2 SoM by Minew, which features a Nordic Semiconductor nRF52840 SoC that provides the Zigbee RF feature as well as the usual MCU shenanigans.

Previously [Glen] had created a similar system that featured buttons to turn the garden lights on or off, as nobody likes stumbling blindly through a dark garden after returning home. Rather than having to fumble around for a button, the system should detect when said rear gate is opened. This would send a notification to [Glen]’s phone as well as activate the garden lights if it’s dark outside.

Although using a reed relay switch seemed like an obvious solution to replace the buttons, holding it closed turned out to require too much power. After looking at a few commercial examples, he settled for a Hall effect sensor solution with the Ti DRV5032FB in a TO-92 package.

Whereas the average person would just have put in a PIR sensor-based solution, this Zigbee solution does come with a lot more smart home creds, and does not require fumbling around with a smartphone or yelling at a voice assistant to turn the garden lights on.

hackaday.com/2025/04/30/buildi…