Split keyboards are becoming more popular, but because they’re still relatively niche, they can be rather expensive if you want to buy one. So why not make your own? Sure, you could assemble one from a kit, but why not take a cheap mechanical keyboard, slice it in half and just [em]waves hands[/em] connect the two halves back together? If this thought appeals to you, then [nomolk]’s literal hackjob video should not be ignored. Make sure to enable English subtitles for the Japanese-language video.
Easy split keyboard tip: just reconnect both halves… (Credit: nomolk, YouTube)
In it, the fancy (but cheap) mechanical keyboard with Full RGB functionality is purchased and tested prior to meeting its demise. Although the left side with the cable and controller still works, the right side now needs to be connected, which is where a lot of tedious wires have to be soldered to repair traces.

Naturally this will go wrong, so it’s important to take a (sushi) break and admire the sunset before hurling oneself at the tracing of faulty wiring. This process and the keyboard matrix is further detailed on the blog entry (in Japanese) for this process.

Although this was perhaps easier than the other split keyboard project involving a membrane keyboard, this tongue-in-cheek project demonstrates the limits of practicality with this approach even if it could be cleaned up more with fancier wiring.

We give it full points for going the whole way, however, and making the keyboard work again in the end.

youtube.com/embed/8VDWwFVJIfA?…

hackaday.com/2025/03/29/diy-sp…

The Pomdoro technique of time management has moved on a little from the tomato-shaped kitchen timer which gave it a name, as [Rukenshia] shows us with this nifty ESP32 and e-paper design. It’s relatively simple in hardware terms, being a collection of off-the-shelf modules in a 3D printed case, but the software has a custom interface for the friend it was built for.

At its heart is a NodeMCU board and a Waveshare display module, with a rotary encoder and addressable LED as further interface components. A lot of attention has been paid to the different options for the interface, and to make the front end displayed on the screen as friendly and useful as possible. Power comes via USB-C, something that should be available in most working environments here in 2025.

We’ve tried a variant on this technique for a while now with varying success, maybe because a mobile phone doesn’t make for as good a timer as a dedicated piece of hardware such as this. Perhaps we should follow this example. If we did, the Hackaday timer couldn’t possibly use an ESP32.

hackaday.com/2025/03/29/an-esp…

Quando Jeffrey Goldberg dell’Atlantic ha fatto trapelare accidentalmente un messaggio di gruppo privato di alti funzionari statunitensi su un possibile attacco contro gli Houthi nello Yemen, ha suscitato molto scherno sui social media.

Ma al di là dell’imbarazzo e del commento politico, l’incidente ha lanciato un messaggio importante: le agenzie di intelligence americane utilizzano Signal, una popolare app crittografata, e ritengono che sia sicura.

Sebbene siano regolarmente in corso dibattiti sulla sicurezza della crittografia nei servizi di messaggistica come Signal, Telegram e WhatsApp, il fatto che vengano utilizzati anche dagli ufficiali dei servizi segreti parla da sé. Soprattutto se si considera che alla recente chat a porte chiuse di Signal erano presenti il ​​vicepresidente J.D. Vance, il direttore dell’intelligence Tulsi Gabbard, il segretario alla Difesa Pete Hegseth, il direttore della CIA John Ratcliffe, il consigliere per la sicurezza nazionale Mike Waltz e altri funzionari dell’amministrazione.

Come ha ammesso Waltz su Fox News, è stato lui stesso a creare il gruppo e ad aggiungervi inavvertitamente Goldberg, poiché il numero era salvato nei suoi contatti con un nome diverso, presumibilmente quello di un dipendente governativo.

Il problema non è Signal, ma il modo in cui le persone gestiscono i contatti. Come notato Secondo il professor Ryan Ellis della Northeastern University, nessuna protezione potrà mai salvarvi se qualcuno invia segreti al destinatario sbagliato.

Durante un’audizione al Senato del 25 marzo, il direttore della CIA Ratcliffe ha confermato che Signal era stato installato sul computer della sua azienda, come quello della maggior parte dei dipendenti, fin dall’inizio del suo mandato presso l’agenzia. L’applicazione è ufficialmente approvata per la corrispondenza interna e viene utilizzata non solo dalla CIA, ma anche da altre agenzie governative.

È stato addirittura raccomandato dalla Casa Bianca e dalla CISA, l’agenzia statunitense per la sicurezza informatica, per i funzionari che potrebbero essere presi di mira dalle agenzie di intelligence straniere.

Signal non è l’unico in questa lista. Professore Frederick Scholl della Quinnipiac University aggiunge , tra i messenger sicuri troviamo anche Briar, Session, SimpleX, Telegram, Threema, Viber, Wire e altri. Ed è in pieno svolgimento anche il passaggio di massa ai messaggi RCS criptati al posto dei normali SMS: ora anche Apple e Google supportano una protezione compatibile dei messaggi tra le loro piattaforme.

Tuttavia, la popolarità della crittografia suscita anche critiche. I giornalisti dell’Associated Press hanno scoperto che i servizi di messaggistica sicura sono utilizzati attivamente da funzionari a tutti i livelli, dai governatori ai senatori, fino ai consigli scolastici. Ciò solleva il timore che il processo decisionale si stia spostando nell’ombra, al di fuori dei canali ufficiali. Ma nonostante ciò, le agenzie governative continuano a insistere sul fatto che la sicurezza richiede la crittografia, soprattutto nell’era dello spionaggio digitale.

Nessuno può dare la garanzia assoluta che nessun messenger verrà hackerato. Una cosa è certa: se anche la CIA consiglia di utilizzare Signal, allora vale sicuramente la pena prenderlo in considerazione. La cosa principale è controllare attentamente chi aggiungi alla chat.

L'articolo Signal è abbastanza sicuro per la CIA e per il CISA. Lo è anche per te? proviene da il blog della sicurezza informatica.

When the AMSAT-OSCAR 7 (AO-7) amateur radio satellite was launched in 1974, its expected lifespan was about five years. The plucky little satellite made it to 1981 when a battery failure caused it to be written off as dead. Then, in 2002 it came back to life. The prevailing theory being that one of the cells in the satellites NiCd battery pack, in an extremely rare event, shorted open — thus allowing the satellite to run (intermittently) off its solar panels.

In a recent video by [Ben] on the AE4JC Amateur Radio YouTube channel goes over the construction of AO-7, its operation, death and subsequent revival are covered, as well as a recent QSO (direct contact).
The battery is made up of multiple individual cells.
The solar panels covering this satellite provided a grand total of 14 watts at maximum illumination, which later dropped to 10 watts, making for a pretty small power budget. The entire satellite was assembled in a ‘clean room’ consisting of a sectioned off part of a basement, with components produced by enthusiasts associated with AMSAT around the world. Onboard are two radio transponders: Mode A at 2 meters and Mode B at 10 meters, as well as four beacons, three of which are active due to an international treaty affecting the 13 cm beacon.

Positioned in a geocentric LEO (1,447 – 1,465 km) orbit, it’s quite amazing that after 50 years it’s still mostly operational. Most of this is due to how the satellite smartly uses the Earth’s magnetic field for alignment with magnets as well as the impact of photons to maintain its spin. This passive control combined with the relatively high altitude should allow AO-7 to function pretty much indefinitely while the PV panels keep producing enough power. All because a NiCd battery failed in a very unusual way.

youtube.com/embed/7wSEgHYWmMI?…

hackaday.com/2025/03/29/amsat-…

We recently got a note in the tips line from [Tavis Gustafson], who is one of the developers of Tronbyt — a replacement firmware and self-hosted backend that breaks the Tidbyt smart display free from its cloud dependency. When they started the project, [Tavis] says the intent was simply to let privacy-minded users keep their data within the local network, which was itself a goal worthy enough to be featured on these pages.

But now that Tidbyt has been acquired by Modal and has announced they’ll no longer be producing new units, things have shifted slightly. While the press release says that the Tidbyt backend is going to stay up and running for existing customers, the writing is clearly on the wall. It’s now possible that the Tronbyt project will be able to keep these devices from ending up in landfills when the cloud service is inevitably switched off, especially if they can get the word out to existing users before then.

What’s that? You say you haven’t heard of Tidbyt? Well, truth be told, neither had we. So we did some digging, and this is where things get really interesting.

A look inside the original Tidbyt.
It turns out, Tidbyt started its life as a project on Hackaday.io by [Rohan Singh] back in 2020. The hardware consists of a 64×32 HUB75 LED panel and a small custom PCB holding an ESP32 inside of a wooden box, and while it doesn’t appear to have ever been an open source device per se, how it worked internally was hardly a secret. The software side of things however was released on GitHub, which likely made creating the custom firmware that much easier for [Travis] and co.

By March of 2021, Tidbyt was on Kickstarter, where it blew past its goal in 48 hours and ultimately brought in just shy of one million dollars. In October of 2023, they were back on Kickstarter with a second generation of Tidbyt hardware, and this time brought in even more money than the first time.

So what’s the takeaway from all of this? Well, first of all we can’t believe this whole thing was developed right under our noses without us even realizing it. This seems like a good time as any to remind folks to drop us a line if you’re working on something cool and you want to share it with the class. We would’ve loved to connect with [Rohan] as Tidbyt was on the rise.
Rohan Singh (center) poses with Modal founders, three years after posting the project on Hackaday.io
But more importantly, it’s a great example of just how much better devices that were developed in the open can weather a storm than their proprietary counterparts. [Rohan] kept enough of Tidbyt open to the community that they were able to successfully create their own firmware and backend — a decision which now might end up being the only thing keeping some of these devices up and running in the future.

Oh yeah, and keep starting awesome projects on Hackaday.io and turning them into multi-million dollar ventures too. We like that also.

hackaday.com/2025/03/29/open-s…

Gli scienziati del Korea Institute of Science and Technology di Daegu hanno creato una batteria nucleare compatta in grado di generare elettricità per decenni senza i rischi solitamente associati alla radioattività.

Il nuovo dispositivo è una cella a colorante beta-voltaico alimentata dal carbonio-14, un isotopo radioattivo che emette particelle beta. Queste particelle, essenzialmente elettroni ad alta energia, colpiscono un semiconduttore di biossido di titanio rivestito con un colorante a base di rutenio, facendone uscire gli elettroni e creando una corrente elettrica.

L’emivita del carbonio-14 è di circa 5.730 anni, il che consente teoricamente alla batteria di conservare metà della sua capacità iniziale dopo migliaia di anni. Ma nella pratica la produzione diminuisce molto più rapidamente: i materiali sono ancora soggetti a distruzione. Tuttavia, il potenziale della tecnologia è impressionante. Il prototipo attuale fornisce 20,75 nanowatt per centimetro quadrato per millicurie con un’efficienza del 2,86%. In parole povere, questa batteria delle dimensioni di un’aspirina fornisce circa lo 0,4% della potenza necessaria per far funzionare una calcolatrice tascabile. Per funzionare, sarebbero necessari altri 240 elementi circa.

Sebbene la sua potenza sia modesta, è sufficiente ad alimentare dispositivi medici impiantabili come pacemaker o sensori per la raccolta di dati ambientali. La tecnologia può essere utilizzata anche per alimentare tag RFID, microcircuiti e caricare condensatori in dispositivi che richiedono un impulso energetico breve ma potente. Questa direzione è promettente per l’elettronica ad altissima efficienza energetica, ma è ancora nelle prime fasi di sviluppo.

Il vantaggio principale è la sicurezza. Contrariamente a quanto si pensa comunemente del termine “nucleare“, il dispositivo non richiede una protezione complessa. Le particelle beta del carbonio-14 sono deboli e si trovano ovunque, anche nel corpo umano. Per la schermatura è sufficiente uno strato sottile di alluminio. La batteria è completamente solida, priva di materiali infiammabili e, in termini di sicurezza, può addirittura superare le batterie agli ioni di litio, soggette a surriscaldamento ed esplosioni.

In generale, l’idea delle batterie nucleari non è nuova. I primi dispositivi di questo tipo apparvero negli anni ’50, quando negli USA venne sviluppato un elemento basato sullo stronzio-90. Successivamente, negli anni ’60, i generatori termoelettrici a radioisotopi con plutonio-238 iniziarono a essere utilizzati nelle missioni spaziali. Uno dei primi esempi fu il satellite Transit 4A, utilizzato in uno dei primi sistemi di navigazione satellitare, il predecessore del GPS.

Negli ultimi anni l’interesse per le batterie nucleari è tornato a crescere. Ad esempio, Betavolt ha introdotto una batteria da 3 volt con nichel-63 e un semiconduttore al diamante, progettata per durare 50 anni. E Arkenlight sta sviluppando batterie basate sui diamanti al carbonio-14. Sebbene i principi rimangano gli stessi, i progressi nei materiali e nella sicurezza stanno avvicinando la tecnologia all’uso nel mondo reale, senza la necessità di costruire reattori nucleari.

L'articolo Batterie nucleari sicure? Gli scienziati creano una batteria che può durare migliaia di anni proviene da il blog della sicurezza informatica.

We ran a story about a wall-mounted plotter bot this week, Mural. It’s a simple, but very well implemented, take on a theme that we’ve seen over and over again in various forms. Two lines, or in this case timing belts, hang the bot on a wall, and two motors drive it around. Maybe a servo pulls the pen in and out, but that’s about it. The rest is motor driving and code.

We were thinking about the first such bot we’ve ever seen, and couldn’t come up with anything earlier than Hektor, a spray-painting version of this idea by [Juerg Lehni]. And since then, it’s reappeared in numerous variations.

Some implementations mount the motors on the wall, some on the bot. There are various geometries and refinements to try to make the system behave more like a simple Cartesian one, but in the end, you always have to deal with a little bit of geometry, or just relish the not-quite-straight lines. (We have yet to see an implementation that maps out the nonlinearities using a webcam, for instance, but that would be cool.) If you’re feeling particularly reductionist, you can even do away with the pen-lifter entirely and simply draw everything as a connected line, Etch-a-Sketch style. Maslow CNC swaps out the pen for a router, and cuts wood.

What I love about this family of wall-plotter bots is that none of them are identical, but they all clearly share the same fundamental idea. You certainly wouldn’t call any one of them a “copy” of another, but they’re all related, like riffing off of the same piece of music, or painting the same haystack in different lighting conditions: robot jazz, or a study in various mechanical implementations of the same core concept. The collection of all wall bots is more than the sum of its parts, and you can learn something from each one. Have you made yours yet?

(Fantastic plotter-bot art by [Sarah Petkus] from her write-up ten years ago!)

This article is part of the Hackaday.com newsletter, delivered every seven days for each of the last 200+ weeks. It also includes our favorite articles from the last seven days that you can see on the web version of the newsletter. Want this type of article to hit your inbox every Friday morning? You should sign up!

hackaday.com/2025/03/29/contag…

Tektronix must have been quite a place to work back in the 1980s. The company offered a bewildering selection of test equipment, and while the digital age was creeping in, much of their gear was still firmly rooted in the analog world. And some of the engineering tricks the Tek wizards pulled off are still the stuff of legend.

One such gem of analog design was the SG505, an ultra-low-distortion oscillator module that [Paul] is trying to replicate with modern parts. That’s a tall order since not only did the original specs on this oscillator call for less than 0.0008% total harmonic distortion over a frequency range of 20 Hz to 20 kHz, but a lot of the components it used are no longer manufactured. Tek also tended to use a lot of custom parts, especially mechanical ones like the barrel switch used to select attenuation levels in the SG505, leaving [Paul] no choice but to engineer his way around them.

So far, [Paul] has managed to track down most of the critical components or source suitable substitutes. One major win was locating the original J-FET Tek used in the oscillator’s AGC circuit. One part that’s proven more elusive is the potentiometer that Tek used to adjust the frequency; who knew that finding a dual-gang precision wirewound 10k single-turn pot with no physical stop would be such a chore?

[Paul] still seems to be very much in the planning stages of this project yet, and that’s probably for the best since projects such as these live and die on proper planning. We’re keen to see how this develops, and we’re very much looking forward to seeing the FFT results. We also imagine he’ll be busting out his custom curve tracer at some point in the build, too.

hackaday.com/2025/03/29/recrea…

As everyone knows, no matter how many drill bits one owns, one inevitably needs a size that isn’t on hand. Well, if you ever find yourself needing to drill a hole that’s precisely 13 mm, here’s a trick from [AvE] to keep in mind for doing it with a 1/2″ bit. It’s a hack that only works in certain circumstances, but hey, it just may come in handy some day.

So the first step in making a 13 mm hole is to drill a hole with a 1/2″ bit. That’s easy enough. Once that’s done, fold a few layers of tinfoil over into a small square and lay it over the hole. Then put the drill bit onto the foil, denting it into the hole (but not puncturing it) with the tip, and drill at a slow speed until the foil wraps itself around the bit like a sheath and works itself into the hole. The foil enlarges the drill bit slightly and — as long as the material being drilled cooperates — resizes the hole a tiny bit bigger in the process. The basic idea can work with just about any drill bit.

It’s much easier demonstrated than described, so watch it in action in the video around the 2:40 mark which will make it all very clear.

It’s not the most elegant nor the most accurate method (the hole in the video actually ends up closer to 13.4 mm) but it’s still something worth keeping in the mental toolbox. Just file it away along with laying your 3D printer on its side to deal with tricky overhangs.

youtube.com/embed/RJ6IapMp6R8?…

hackaday.com/2025/03/29/how-to…

Ogni mese diventa sempre più evidente: le password non funzionano più. Gli hacker hanno imparato a eludere anche la protezione a due fattori sfruttando sessioni rubate e milioni di dati compromessi. In questo contesto, sempre più aziende stanno passando a un sistema di accesso senza password, non solo per comodità, ma anche per sopravvivere nella nuova realtà.

Uno dei segnali più allarmanti è stata l‘apparizione di una macchina di hacking automatizzata Atlantis AIO. È in grado di lanciare attacchi a oltre 140 servizi online, dalla posta allo streaming fino alla consegna di cibo. Funziona così: milioni di login e password rubati vengono acquistati sul darknet, dopodiché la macchina inizia a testarli in massa in modalità automatica. Atlantis dispone di moduli appositamente studiati per servizi specifici, con la possibilità di aggirare i CAPTCHA, intercettare le caselle di posta e persino ripristinare automaticamente l’accesso. Tutto ciò rende il furto di account non solo possibile, ma anche più scalabile che mai.

Gli esperti di Abnormal Security lo dicono chiaramente: questi strumenti trasformano anche i più inesperti pirati informatici in una minaccia a livello aziendale. Sono particolarmente vulnerabili gli account che utilizzano le stesse password, combinazioni deboli o una protezione a due fattori obsoleta. Secondo un nuovo rapporto di HYPR, il 49% delle aziende ha già subito violazioni dovute a vulnerabilità nei sistemi di identità e il 47% degli attacchi informatici è direttamente correlato alla compromissione delle password.

Ma ci sono anche buone notizie. Sempre più aziende stanno passando a metodi di accesso senza password, tra cui le passkey (chiavi di accesso) secondo lo standard FIDO. Tali tecnologie sono già supportate sia da Microsoft che da Google. HYPR chiama questo fenomeno “Rinascimento dell’identità”, in cui la sicurezza non è determinata dalla complessità della password ma dalla sua generale resistenza agli attacchi informatici.

Microsoft ha annunciato il lancio di un nuovo metodo di accesso per oltre un miliardo di utenti. Entro la fine di aprile, la maggior parte degli utenti Windows, Xbox e Microsoft 365 riceverà un’interfaccia aggiornata che darà priorità alla passkey rispetto alla password. Inoltre, se crei un nuovo account, non dovrai più pensare a una password: ti basterà inserire il tuo indirizzo email e confermarlo con un codice. In futuro il sistema offrirà la possibilità di salvare la passkey come metodo di accesso principale.

Google, a sua volta, ha ampliato l’area geografica di distribuzione delle sue chiavi di sicurezza fisiche Titan: ora sono disponibili in 22 Paesi, tra cui Australia, Irlanda, Singapore e Paesi Bassi. Sebbene l’utilizzo di tali chiavi sia meno comodo di quello di un passkey, aumenta notevolmente il livello di protezione.

Il risultato è semplice. Mentre alcune aziende stanno aggiornando i propri sistemi di sicurezza, altre continuano a vivere nel passato, affidandosi a password e a forme deboli di protezione a due fattori. E sono proprio queste organizzazioni le prime a essere attaccate. Abbandonare le password non è più un’utopia, ma un passo necessario da compiere subito.

L'articolo Addio alle password! La rivoluzione della sicurezza informatica è già iniziata proviene da il blog della sicurezza informatica.

Il gruppo Hellcat si ritrova al centro delle indagini di KELA, che ha rivelato le vere identità di due personaggi chiave, “Rey” e “Pryx”.

Originariamente il gruppo era noto come ICA Group, ma verso la fine del 2024 operava con il nuovo marchio Hellcat, dimostrando un elevato livello di coordinamento e aggressività. Il gruppo ha acquisito notorietà per attacchi di alto profilo come Schneider Elettric, Telefonica e Orange Romania.

Rey ha iniziato la sua carriera con il nome di “Hikki-Chan” sul forum BreachForums, dove pubblicava presunte fughe di notizie esclusive, alcune delle quali si sono poi rivelate essere delle rivendite di vecchi dati. Nonostante la sua reputazione danneggiata, Rey continuò le sue attività sotto un nuovo soprannome e divenne l’amministratore di Hellcat.

Rey ha utilizzato attivamente Telegram e il social network X per pubblicare fughe di notizie e criticare gli operatori delle telecomunicazioni, nonché per distribuire messaggi e strumenti di attacco informatico. Affermava di essere specializzato in crittografia e iniziò la sua carriera di hacker deturpando i siti web. Tra i suoi metodi, spiccano in particolare le seguenti tattiche: sfruttare i dati jira per accedere alle informazioni aziendali.

Utilizzando i dati provenienti dall’archivio di KELA, è stato possibile stabilire che Rey è stato infettato due volte dagli infostealer Redline e Vidar all’inizio del 2024.

Uno dei computer infetti sembra essere stato condiviso con i membri della sua famiglia. Questo è ciò che ha portato a stabilire un collegamento con un giovane di nome Saif, originario di Amman, in Giordania, la cui identità potrebbe corrispondere a quella di Rey. In precedenza aveva utilizzato gli alias “ggyaf” e “o5tdev“, partecipando attivamente ai forum RaidForums e BreachForums e dichiarando inoltre di essere affiliato ad Anonymous Palestine.

Il secondo membro di Hellcat è Pryx, che ha iniziato le sue attività nell’estate del 2024. È passato rapidamente dalle fughe di notizie dalle istituzioni educative agli attacchi ai sistemi governativi nei paesi del Golfo e dei Caraibi e, in seguito, alle aziende private. Inoltre, Pryx ha sviluppato il proprio ransomware basato su AES256 e ha scritto guide per forum, tra cui XSS. Gestiva anche i siti web pryx.pw e pryx.cc.

Secondo KELA, Pryx parlava arabo ed era coinvolto nel carding dal 2018. Ha rilasciato dichiarazioni offensive e provocatorie, tra cui una minaccia di attaccare l’Università di Harvard. Uno degli sviluppi di Pryx è stato un server stealer che sfrutta i servizi Tor per accedere segretamente ai sistemi infetti. Questa tattica ha consentito all’aggressore di ridurre al minimo le tracce ed evitare di essere scoperto, trasmettendo i dati al proprio server senza connessioni in uscita attive.

L’analisi tecnica di uno degli strumenti malware Pryx ha portato al dominio pato.pw, precedentemente posizionato come risorsa per i ricercatori di sicurezza. Tuttavia, le somiglianze nei contenuti e nel codice hanno permesso di collegare direttamente il sito a Pryx. Il sito ospitava guide e istruzioni, i cui contenuti apparivano poi sui forum sotto il suo nickname. Sono stati trovati anche repository GitHub e indirizzi email che corrispondevano ai dati di Telegram e di altre fonti, indicando una persona di nome Adem, che vive negli Emirati Arabi Uniti.

Un’analisi più approfondita ha rivelato la connessione di Pryx con un altro pirata informatico — WeedSec. Tramite Telegram siamo riusciti a trovare account, corrispondenza con un altro amministratore di BlackForums e partite che utilizzavano gli stessi dati di accesso. È stato anche confermato che questa persona aveva utilizzato il nome Adem in altri contesti, rafforzando ulteriormente il collegamento tra Pryx e la persona reale.

Nonostante il loro progresso tecnologico e la loro aggressività, entrambi i membri di Hellcat alla fine sono rimasti vittime degli stessi infostealer su cui facevano affidamento per le loro attività di criminalità informatica. Ciò ha permesso ai ricercatori di stabilire connessioni chiave e forse avvicinarsi alla de-anonimizzazione di uno dei gruppi di hacker più importanti degli ultimi anni.

L'articolo Gli Hacker di Hellcat traditi dai Loro Stessi Infostealer proviene da il blog della sicurezza informatica.

Mozilla ha rilasciato aggiornamenti di sicurezza per correggere una vulnerabilità critica che ha interessato il browser Firefox su Windows. Questo intervento arriva pochi giorni dopo che Google ha risolto una falla simile su Chrome, precedentemente sfruttata attivamente come zero-day.

Un attacco riuscito potrebbe consentire a un processo figlio compromesso di ottenere privilegi elevati dal processo principale, determinando l’uscita dalla sandbox. La vulnerabilità, che ha interessato sia Firefox che Firefox ESR, è stata risolta con le versioni Firefox 136.0.4, Firefox ESR 115.21.1 e Firefox ESR 128.8.1.

Al momento, non ci sono evidenze di exploit attivi della CVE-2025-2857.

La vulnerabilità, identificata come CVE-2025-2857, è stata descritta come un errore nella gestione dei permessi, il quale potrebbe portare a una fuga dalla sandbox di sicurezza.

“In seguito alla recente violazione della sandbox di Chrome (CVE-2025-2783), diversi sviluppatori di Firefox hanno individuato un problema analogo nel nostro sistema di comunicazione inter-processo (IPC)”, ha dichiarato Mozilla in un comunicato.

Anche il team del progetto Tor ha rilasciato un aggiornamento di sicurezza per Tor Browser (versione 14.0.8) per proteggere gli utenti Windows dalla stessa falla.

Nel frattempo, Google ha distribuito la versione 134.0.6998.177/.178 di Chrome per correggere CVE-2025-2783, che è stata sfruttata in attacchi mirati contro media, istituzioni accademiche e enti governativi in Russia.

la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto la falla al suo catalogo delle vulnerabilità note sfruttate (KEV), richiedendo alle agenzie federali di applicare le misure di mitigazione necessarie entro il 17 aprile 2025.

L'articolo Nuova minaccia su Firefox e Chrome: scoperta un’altra falla critica, aggiornate subito! proviene da il blog della sicurezza informatica.

Il gruppo informatico cinese UNC3886 ha hackerato i vecchi router MX di Juniper Networks utilizzando backdoor nascoste. Secondo i dati Mandiant, gli aggressori utilizzano backdoor attive e passive, disabilitano la registrazione e mantengono l’accesso alle reti delle vittime.

UNC3886 è noto dal 2022 e attacca i dispositivi di rete e la virtualizzazione, prendendo di mira aziende di difesa, tecnologia e telecomunicazioni negli Stati Uniti e in Asia. I dispositivi sul perimetro della rete solitamente non vengono monitorati, il che consente agli hacker di agire inosservati.

Gli ultimi attacchi utilizzano backdoor basate su Tiny SHell. Consentono di caricare e scaricare file, intercettare pacchetti, infiltrarsi nei processi di Junos OS ed eseguire comandi. Gli hacker criminali quindi aggirano la sicurezza di Junos OS Verified Exec utilizzando credenziali rubate per iniettare codice nei processi di sistema.

L’obiettivo principale degli attacchi è disattivare la registrazione prima di connettere l’operatore e ripristinarla una volta completato il lavoro.

Oltre alle backdoor, UNC3886 utilizza i rootkit Reptile e Medusa, le utilità PITHOOK (per rubare le credenziali SSH) e GHOSTTOWN (per rimuovere le tracce degli attacchi).

Gli esperti consigliano di aggiornare Juniper MX alle versioni più recenti e di utilizzare Juniper Malware Removal Tool (JMRT). È inoltre importante rafforzare il monitoraggio dell’attività di rete e utilizzare strumenti di rilevamento delle anomalie per prevenire attacchi simili in futuro.

L'articolo Hacker cinesi violano router Juniper MX con backdoor invisibili: allarme cybersecurity! proviene da il blog della sicurezza informatica.

How do you get images downlinked from 30 km up? Hams might guess SSTV — slow scan TV — and that’s the approach [desafloinventor] took. If you haven’t seen it before (no pun intended), SSTV is a way to send images over radio at a low frame rate. Usually, you get about 30 seconds to 2 minutes per frame.

The setup uses regular, cheap walkie-talkies for the radio portion on a band that doesn’t require a license. The ESP32-CAM provides the processing and image acquisition. Normally, you don’t think of these radios as having a lot of range, but if the transmitter is high, the range will be very good. The project steals the board out of the radio to save weight. You only fly the PC board, not the entire radio.

If you are familiar with SSTV, the ESP-32 code encodes the image using Martin 1. This color format was developed by a ham named [Martin] (G3OQD). A 320×256 image takes nearly two minutes to send. The balloon system sends every 10 minutes, so that’s not a problem.

Of course, this technique will work anywhere you want to send images over a communication medium. Hams use these SSTV formats even on noisy shortwave frequencies, so the protocols are robust.

Hams used SSTV to trade memes way before the Internet. Need to receive SSTV? No problem.

hackaday.com/2025/03/28/pictur…

[ombates] shares a step-by-step method for making a conductive bio-string from scratch, no fancy equipment required. She demonstrates using it to create a decorative top with touch-sensitive parts, controlling animations on an RGB LED pendant. To top it off, it’s even biodegradable!

The string is an alginate-based bioplastic that can be made at home and is shaped in a way that it can be woven or knitted. Alginate comes primarily from seaweed, and it gels in the presence of calcium ions. [ombates] relies on this to make a goopy mixture that, once extruded into a calcium chloride bath, forms a thin rubbery length that can be dried into the strings you see here. By adding carbon to the mixture, the resulting string is darkened in color and also conductive.

There’s no details on what the actual resistance of a segment of this string can be expected to measure, but while it might not be suitable to use as wiring it is certainly conductive enough to act as a touch sensor in a manner similar to the banana synthesizer. It would similarly be compatible with a Makey Makey (the original and incredibly popular hardware board for turning household objects into touch sensors.)

What you see here is [ombates]’ wearable demonstration, using the white (non-conductive) string interwoven with dark (conductive) portions connected to an Adafruit Circuit Playground board mounted as an LED pendant, with the conductive parts used as touch sensors.

Alginate is sometimes used to make dental molds and while alginate molds lose their dimensional accuracy as they dry out, for this string that’s not really a concern. If you give it a try, visit our tip line to let us know how it turned out!

hackaday.com/2025/03/28/make-d…

Back in the early 1900s, before calculators lived in our pockets, crunching numbers was painstaking work. Adding machines existed, but they weren’t exactly convenient nor cheap. Enter Vilin Vinson and his Maximal Multi-Divi, a massive multiplication and division table that turned math into an industrialized process. Originally published in Sweden in the 1910’s, and refined over decades, his book was more than a reference. It was a modular calculating instrument, optimized for speed and efficiency. In this video, [Chris Staeker] tells all about this fascinating relic.

What makes the Multi-Divi special isn’t just its sheer size – handling up to 9995 × 995 multiplications – but its clever design. Vinson formatted the book like a machine, with modular sections that could be swapped out for different models. If you needed an expanded range, you could just swap in an extra 200 pages. To sell it internationally, just replace the insert – no translation needed. The book itself contains zero words, only numbers. Even the marketing pushed this as a serious calculating device, rather than just another dusty math bible.

While pinwheel machines and comptometers were available at the time, they required training and upkeep. The Multi-Divi, in contrast, required zero learning curve – just look up the numbers for instant result. And it wasn’t just multiplication: the book also handled division in reverse, plus compound interest, square roots, and even amortizations. Vinson effectively created a pre-digital computing tool, a kind of pocket calculator on steroids (if pockets were the size of briefcases).

Of course, no self-respecting hacker would take claims of ‘the greatest invention ever’ at face value. Vinson’s marketing, while grandiose, wasn’t entirely wrong – the Multi-Divi outpaced mechanical calculators in speed tests. And if you’re feeling adventurous, [Chris Staeker] has scanned the entire book, so you can try it yourself. Take a look at the full video here and see how it stacks up against your favorite retro calculators!

youtube.com/embed/56AA1yxFoQs?…

hackaday.com/2025/03/28/math-o…

The sun is our planet’s source of natural illumination, and though we’ve mastered making artificial light sources, it remains extremely difficult to copy our nearby star. As if matching the intensity wasn’t enough, its spectral quality, collimation, and atmospheric scattering make it an special challenge. [Victor Poughon] has given it a go though, using a bank of LEDs and an interesting lens system.

We’re used to lenses being something that can be bought off-the-shelf, but this design eschews that convenience by having the lenses manufactured and polished as an array, by JLC. The scattering is taken care of by a sheet of inkjet printer film, and the LEDs are mounted on a set of custom PCBs.

The result is certainly a very bright light, and one whose collimation delivers a sun-like effect of coming from a great distance. It may not be as bright as the real thing, but it’s certainly something close. If you’d like something to compare it to, it’s not the first such light we’ve featured.

hackaday.com/2025/03/28/an-art…

When we think of 8-bit computers, it’s natural to start with home computers. That’s where they live on in the collective memory. But a Z80, a 6502, or similar was more likely to be found unseen in a piece of industrial machinery, doing the job for which we’d today reach for a microcontroller. Sometimes these two worlds intersected, and thus we come to the EuroBEEB, a derivative of Acorn’s BBC Micro on a Eurocard. [Steve Crozier] has performed extensive research into this system and even produced a recreated PCB, providing a fascinating window into embedded computing in the early 1980s.

The EuroBEEB was the work of Control Universal, a Cambridge-based company specialising in embedded computers. They produced systems based upon 6502 and 6809 processors, and joining their product line to the then-burgeoning BBC Micro ecosystem would have been an obvious step. The machine itself is a Eurocard with a simple 6502 system shipped with ACORN BBC Basic on ROM, and could be seen as a cut-down BBC Micro with plenty of digital I/O, accesible through a serial port. It didn’t stop there though, as not only could it export its graphics to a “real” BBC Micro, it had a range of expansion Eurocards that could carry the missing hardware such as analogue input, Teletext, or high-res graphics.

The reverse-engineered PCB comes from analysis of surviving schematics, and included a couple of gate array logic chips to replace address decoding ROMs in the original. If it seems overkill for anyone used to a modern microcontroller, it’s worth remembering that by the standards of the time this was a pretty simple system. Meanwhile if you only fancy trying BBC BASIC, there’s no need to find original hardware.

hackaday.com/2025/03/28/take-a…

Lo studio legale californiano Greenberg Glusker ha raggiunto attraverso un tribunale arbitrale la possibilità di recuperare 33 milioni di dollari da T-Mobile. La causa denuncia gravi violazioni della sicurezza che hanno portato al successo di un attacco di scambio di SIM (SIM Swap).

L’incidente è avvenuto il 21 febbraio 2020, quando un dipendente della T-Mobile ha trasferito il numero di telefono del cliente Joseph “Josh” Jones su una scheda SIM controllata da un aggressore. L’attacco ha portato al furto di oltre 1.500 Bitcoin e di circa 60.000 Bitcoin Cash, per un valore di 38 milioni di dollari al momento del furto.

L’account T-Mobile di Jones era dotato di misure di sicurezza avanzate, tra cui un PIN di otto cifre che avrebbe dovuto impedire qualsiasi modifica. Ciò ha portato la vittima a credere che gli aggressori avessero utilizzato vulnerabilità nei sistemi dell’operatore di telefonia mobile per ottenere il controllo sul suo account.

La petizione di Greenberg Glusker, depositata presso il tribunale di Los Angeles, rivela che un’indagine delle forze dell’ordine ha accertato il coinvolgimento nell’attacco informatico di un adolescente di 17 anni a cui è stata diagnosticata l’ADHD. Secondo le informazioni disponibili, era associato agli hacker Nima Fazeli e Joseph O’Connor, coinvolti nell’hacking di decine di account Twitter nello stesso 2020.

Il caso T-Mobile è stato tenuto segreto dall’autunno del 2023. Lo studio legale ha affermato che l’operatore di telefonia mobile stava cercando di mantenere riservati i dettagli delle sue falle di sicurezza.

Paul Blechner di Greenberg Glusker ha sottolineato che il problema dello scambio di SIM è rimasto una vulnerabilità irrisolta per molti anni. Ha affermato che gli operatori, tra cui T-Mobile, erano a conoscenza del problema ma non hanno preso sufficienti precauzioni per proteggere i propri clienti.

Gli attacchi di scambio di SIM rappresentano una seria minaccia perché i numeri di telefono vengono spesso utilizzati per l’autenticazione a due fattori in vari servizi online. Una volta che gli aggressori prendono il controllo del numero, possono modificare i dettagli di accesso e assumere il controllo degli account degli utenti.

Uno dei casi più noti dell’uso di questa tecnica divenne importante negli hack di Twitter del 2020. Gli hacker hanno attaccato 130 account e ne sono stati catturati 45, tra cui quelli di personaggi famosi: Bill Gates, Jeff Bezos, Joe Biden, Elon Musk e Mike Bloomberg.

L'articolo T-Mobile Condannata: 33 Milioni di dollari per un SIM Swap da Record proviene da il blog della sicurezza informatica.