If you take two objects with fairly smooth surfaces, and put these together, you would not expect them to stick together. At least not without a liberal amount of adhesive, water or some other substance to facilitate a temporary or more permanent bond. This assumption gets tossed out of the window when it comes to optical contact bonding, which is a process whereby two surfaces are joined together without glue.

The fascinating aspect of this process is that it uses the intermolecular forces in each surface, which normally don’t play a major role, due to the relatively rough surfaces. Before intermolecular forces like Van der Waals forces and hydrogen bonds become relevant, the two surfaces should not have imperfections or contaminants on the order of more than a few nanometers. Assuming that this is the case, both surfaces will bond together in a way that is permanent enough that breaking it is likely to cause damage.

Although more labor-intensive than using adhesives, the advantages are massive when considering that it creates an effectively uninterrupted optical interface. This makes it a perfect choice for especially high-precision optics, but with absolutely zero room for error.

Intermolecular Forces

Thirty-six gauges wrung together and held horizontally. (Credit: Goodrich & Stanley, 1907)
As creatures of the macro world, we are largely only aware of the macro effects of the various forces at play around us. We mostly understand gravity, and how the friction of our hand against a glass prevents it from sliding out of our hand before shattering into many pieces on the floor. Yet add some water on the skin of our hands, and suddenly there’s not enough friction, leading to unfortunate glass slippage, or a lid on a jar of pickles that stubbornly refuses to open because we cannot generate enough friction until we manage to dry our hands sufficiently.

Many of these macro-level interactions are the result of molecular-level interactions, which range from the glass staying in one piece instead of drifting off as a cloud of atoms, to the system property that we refer to as ‘friction‘, which itself is also subdivided into static stiction and dynamic friction. The system of friction can be considered to be analogous to contact binding when we consider two plates with one placed on top of the other. If we proceed to change the angle of these stacked plates, at some point the top plate will slide off the bottom plate. This is the point where the binding forces can no longer compensate for the gravitational pull, with material type and surface finish affecting the final angle.

An interesting example of how much surface smoothness matters can be found in gauge blocks. These are precision ground and lapped blocks of metal or ceramic which match a specific thickness. Used for mainly calibration purposes, they posses the fascinating property due to their smooth surfaces that you can make multiple of them adhere together in a near-permanent manner in what is called wringing. This way you can combine multiple lengths to create a single gauge block with sub-millimeter accuracy.

Enabling all this are intermolecular forces, in particular the Van der Waals forces, including dipole-dipole electrostatic interactions. These do not rely on chemical or similar properties as they depend only on aspects like the mutual repulsion between the electron clouds of the atoms that make up the materials involved. Although these forces are very weak and drop off rapidly with distance, they are generally independent of aspects like temperature.

Hydrogen bonds can also occur if present, with each type of force having its own set of characteristics in terms of strength and effective distance.

Make It Smooth

Surface roughnesses of a SiO2 wafer (left, ≈1.01 nm RMS) and an ULE wafer (right, ≈1.03 nm RMS) (Credit: Kalkowski et al., 2011)
One does not simply polish a surface to a nanometer-perfect sheen, though as computer cooling enthusiasts and kin are aware, you can get pretty far with a smooth surface and various grits of sandpaper all the way up to ridiculously high levels. Giving enough effort and time, you can match the surface finish of something like gauge blocks and shave off another degree or two on that CPU at load.

Achieving even smoother surfaces is essentially taking this to the extreme, though it can be done without 40,000 grit sandpaper as well. The easiest way is probably found in glass and optics production, the latter of which has benefited immensely from the semiconductor industry. A good demonstration of this can be found in a 2011 paper (full PDF) by Fraunhofer researchers G. Kalkowski et al. as published in Optical Manufacturing and Testing.

They describe the use of optical contact bonding in the context of glass-glass for optical and precision engineering, specifically low-expansion fused silica (SiO₂) and ultra-low expansion materials. There is significant overlap between semiconductor wafers and the wafers used here, with the same nanometer level precision, <1 nm RMS surface roughness, a given. Before joining, the surfaces are extensively cleaned of any contaminants in a vacuum environment.

Worse Than Superglue

Once the surfaces are prepared, there comes the tricky part of making both sides join together. Unlike with the gauge blocks, these super smooth surfaces will not come apart again without a fight, and there’s no opportunity to shimmy them around to get that perfect fit like when using adhesive. With the demonstrated method by Kalkowski et al., the wafers were joined followed by heating to 250 ℃ to create permanent Si-O-Si bonds between the two surfaces. In addition bonding pressure was applied for two hours at 2 MPa using either N₂ or O₂ gas.

This also shows another aspect of optical contact binding: although it’s not technically permanent, the bond is still just using intermolecular forces, and, as shown in this study, can be pried apart with a razorblade and some effort. By heating and applying pressure, the two surfaces can be annealed, forming molecular bonds and effectively turning the two parts into one.

Of course, there are many more considerations, such as the low-expansion materials used in the referenced study. If both sides use too dissimilar materials, the bond will be significantly more tenuous than if the materials with the same expansion properties are used. It’s also possible to use chemically activated direct bonding with a chemical activation process, all of which relies on the used materials.

In summary, optical contact bonding is a very useful technique, though you may want to have a well-equipped home lab if you want to give it a spin yourself.

hackaday.com/2025/05/06/optica…

With the ability to independently adjust the thrust of each of their four motors, quadcopters are exceptionally agile compared to more traditional aircraft. But in an effort to create an even more maneuverable drone platform, a group of South Korean researchers have studied adding flying squirrel tech to quadcopters. Combined with machine learning, this is said to significantly increase the prototype’s agility in an obstacle course.

Flying squirrels (tribe Pteromyini)) have large skin flaps (patagium) between their wrists and ankles which they use to control their flight when they glide from tree to tree, along with their fluffy squirrel tail. With flights covering up to 90 meters, they also manage to use said tail and patagium to air brake, which prevents them from smacking with bone jarring velocities into a tree trunk.

By taking these principles and adding a similar mechanism to a quadcopter for extending a patagium-like membrane between its rotors, the researchers could develop a new controller (thrust-wing coordination control, TWCC), which manages the extending of the membranes in coordination with thrust from the brushless motors. Rather than relying on trial-and-error to develop the controller algorithms, the researchers trained a recurrent neural network (RNN) which was pre-trained prior to first flights using simulation data followed by supervised learning to refine the model.

During experiments with obstacle avoidance on a test-track, the RNN-based controller worked quite well compared to a regular quadcopter. A disadvantage is of course that the range of these flying squirrel drones is less due to the extra weight and drag, but if one were to make flying drones that will perch on surfaces between dizzying feats of agility in the air, this type of drone tech might just be the ticket.

youtube.com/embed/tckIF3KCJig?…

hackaday.com/2025/05/06/improv…

Molte persone credono che accedere esclusivamente a siti HTTPS sia sufficiente per garantire la sicurezza durante la navigazione su reti Wi-Fi non protette. Spoiler: anche questa convinzione è un falso senso di sicurezza.

HTTPS: un passo avanti, ma non infallibile

HTTPS (HyperText Transfer Protocol Secure) utilizza protocolli di crittografia come TLS per proteggere la comunicazione tra il browser e il sito web, garantendo riservatezza e integrità dei dati.

Sebbene HTTPS offra quindi una protezione significativa rispetto a HTTP.

In questo articolo della nostra Rubrica WiFi, mostreremo come questa protezione da sola non è sufficiente soprattutto in ambienti non sicuri come le reti Wi-Fi aperte.

Vulnerabilità persistenti su reti Wi-Fi aperte

Nonostante la crittografia garantita dal protocollo HTTPS, la rete aperta e l’accesso facile alle informazioni da parte degli attaccanti ci espone ad:

• Attacchi Man-in-the-Middle (MitM): Un attaccante può intercettare il traffico tra l’utente e il sito web, potenzialmente reindirizzando l’utente a un sito falso che imita quello legittimo.
• Spoofing DNS e ARP poisoning: Tecniche che permettono a un attaccante di manipolare le risposte DNS o la cache ARP, reindirizzando l’utente verso siti malevoli anche se digitati correttamente.
• Intercettazione dei metadati: Anche se il contenuto delle comunicazioni è crittografato, informazioni come i nomi di dominio visitati (DNS queries) possono essere visibili e utilizzate per profilare l’utente.

Come scritto in diversi articoli gli hacker possono sfruttare diverse tecniche per aggirare o compromettere la protezione HTTPS, tra cui:

1. Reindirizzamenti Malevoli
   Con tecniche come lo spoofing DNS, l’attaccante modifica le risposte DNS per reindirizzare l’utente verso un sito web falso, che può avere un certificato HTTPS valido o simulato, facendo credere all’utente di essere al sicuro.
2. Siti HTTPS Falsi (Certificati Contraffatti)
   Un attaccante può creare un sito falso con un certificato SSL/TLS valido utilizzando servizi di certificazione automatizzati o persino ottenendo certificati legittimi per domini che assomigliano a quelli reali (es. typo-squatting). L’utente, vedendo il lucchetto verde o l’indicazione HTTPS, può essere indotto a fidarsi del sito contraffatto.
3. Downgrade dell’HTTPS
   Tramite un attacco chiamato SSL stripping, un hacker può forzare una connessione a un sito HTTPS a utilizzare HTTP, compromettendo la crittografia. Questo attacco sfrutta la possibilità che il sito supporti entrambe le versioni del protocollo.
4. Attacchi ai Certificati di Root
   Se un attaccante riesce a compromettere i certificati di root installati sul dispositivo della vittima (ad esempio tramite malware), può creare certificati personalizzati per qualsiasi sito web, rendendo il traffico completamente vulnerabile anche con HTTPS.

La buona notizia

Partiamo col dire che dai nostri test e analisi di alboratioro: uno degli attacchi più insidiosi degli ultimi anni, l’SSL Stripping, è risultato essere molto meno efficace.

Introdotti nel 2009 da Moxie Marlinspike, questo attacco aveva lo scopo di trasformare una connessione sicura HTTPS in una semplice HTTP, privando l’utente della protezione crittografica senza che se ne accorgesse.

In pratica, l’attaccante si inseriva tra il browser e il sito web – un classico attacco man-in-the-middle – intercettando le comunicazioni e modificandole al volo, con la possibilità di leggere e manipolare tutto ciò che passava.

L’introduzione di HSTS

Per contrastare questo tipo di attacco, nel 2012 è stato introdotto il meccanismo HTTP Strict Transport Security (HSTS). Attraverso l’intestazione Strict-Transport-Security, un server può indicare al browser di accedere al sito esclusivamente tramite connessioni HTTPS per un periodo di tempo specificato. Questo impedisce al browser di effettuare richieste HTTP non sicure verso il sito, riducendo significativamente la superficie di attacco per l’SSL Stripping.

Immaginiamo HSTS come un varco elettronico: una barriera digitale che si apre solo se arrivi con i requisiti giusti — in questo caso, una connessione HTTPS. Se tenti di passare con un collegamento HTTP non cifrato, la sbarra rimane abbassata. Niente accesso.

Il sito web comunica al browser, attraverso una semplice intestazione HTTP, una regola precisa:

“Per entrare qui, devi usare solo HTTPS, sempre. Qualsiasi altra via è bloccata.”

Una volta ricevuto quest’ordine, il browser lo memorizza e da quel momento in poi rifiuta qualsiasi connessione non protetta a quel sito. Nemmeno l’utente può forzarlo: il varco resta chiuso a chi non rispetta i requisiti di sicurezza.

Limitazioni e soluzioni

Una limitazione di HSTS è che la sua efficacia dipende dal fatto che l’utente abbia già visitato il sito almeno una volta tramite HTTPS. Per mitigare questo problema, i principali browser mantengono una lista interna di siti “autorizzati” che devono essere contattati solo e sempre via HTTPS già dalla prima visita. È come se quei siti avessero il badge elettronico pre-configurato: l’accesso sicuro è garantito fin da subito.

Tuttavia, questa lista non può includere tutti i siti web esistenti, lasciando una finestra di vulnerabilità per siti non inclusi.

Ecco perché, per i siti che non sono inclusi in quella lista e non configurano HSTS correttamente, la barriera può restare alzata. E in quel caso, un attaccante potrebbe ancora tentare un downgrade, forzando una connessione HTTP con tecniche come SSL Stripping o DNS Spoofing.

Configurazioni errate e rischi residui

Oltre a quanto già detto, le configurazioni errate possono esporre i siti a ulteriori rischi. Ad esempio, se un sito non implementa correttamente HSTS o non è incluso nella lista pre-caricata dei browser, un attaccante potrebbe ancora tentare un attacco di SSL Stripping. È quindi fondamentale che i siti web configurino correttamente HSTS e che gli utenti siano consapevoli dei rischi associati a connessioni non sicure.

HSTS è uno strumento potente, ma non magico. Funziona molto bene ma se si sodisfano i seguenti criteri:

• Il sito lo ha configurato in modo corretto
• Il dominio è presente nella lista pre-caricata del browser
• L’utente non viene intercettato prima della prima connessione sicura

L’adozione di HTTPS e HSTS ha reso gli attacchi di SSL Stripping significativamente meno efficaci. Tuttavia, la sicurezza completa dipende da una corretta configurazione dei server e dalla consapevolezza degli utenti. È essenziale che i siti web implementino HSTS in modo appropriato e che gli utenti prestino attenzione alla sicurezza delle loro connessioni.

Attenzione

La sicurezza completa non esiste, la consapevolezza e conoscenza di questi limiti ci permette di essere meno esposti. Soprattutto su reti aperte come quelle pubbliche o non protette.Gli attaccanti ci hanno mostrato più di una volta di essere molto ingegnosi e di riuscire a trovare sempre un modo di ottenere quello che vogliono. In questi due laboratori vogliamo dare evidenza di due possibili scenari in cui ci potremmo trovare collegandosi ad una rete aperta:

• Un portale fasullo: laboratorio per superare le cifrature l’HTTPS
  Laboratorio realizzato grazie a Marco Mazzola
• File in chiaro: laboratorio sul degrado della cifratura nei trasferimenti FTP
  Laboratorio realizzato grazie a Manuel Roccon

⚠️ Attenzione le informazioni riportate in calce sono a scopo educativo! Non utilizzarle per attività illegali o senza autorizzazione.⚠️

NB: Tutte le simulazione sono svolte in un ambiente di laboratorio, senza coinvolgere reti o utenti reali.

ARP spoofing

Partiamo da un piccolo accenno sull’arp spoofing che useremo in entrambi i laboratori e che viene usata di frequente nelle reti non sicure.

L’ARP spoofing (o ARP poisoning) è una tecnica di attacco informatico che sfrutta le vulnerabilità del protocollo ARP (Address Resolution Protocol) per associare l’indirizzo MAC dell’attaccante all’indirizzo IP di un altro dispositivo sulla stessa rete locale.

In parole semplici, l’attaccante invia messaggi ARP falsificati sulla rete, convincendo gli altri dispositivi (ad esempio, un computer vittima e il router) che l’indirizzo MAC dell’attaccante corrisponde all’indirizzo IP della vittima (o del router).

In breve possiamo vedere nella tabella di arp dispositivo della vittima, prima dell’attacco ARP, il MAC address corretto associato all IP gateway.

Nei sistemi Windows “arp -a” permette di vedere l’attuale tabella arp creata da precedenti comunicazioni con gli hosts.

Una volta iniziato attacco di arp spoofing, questo mac associato all’IP del gateway è stato sostituito con quello dell’attaccante.

D’ora in poi tutto il traffico che la vittima cercherà di inviare al gateway (192.168.0.1) per raggiungere internet, arriverà tutto all’attaccante, che poi tramite forwarding invierà al router originale e viceversa.

La vittima è già sotto attacco e non si sta accorgendo del problema.

Alcune Considerazioni

ARP spoofing è uno degli attacchi per poter eseguire del MiTM.

Un’altra tecnica potrebbe essere quella di usare il DHCP spoofing, inducendo i client a usare differenti configurazioni DHCP da quelle previste, incluso un gateway diverso che può essere controllato dall’attaccante per sniffare e re-indirizzare il traffico.

LAB 1 – Un portale fasullo: laboratorio per superare le cifrature l’HTTPS

In questo laboratorio analizziamo passo dopo passo un attacco Man-in-the-Middle (MITM) condotto su una rete Wi-Fi non protetta. L’obiettivo è simulare uno scenario reale in cui un attaccante riesce a intercettare il traffico della vittima e manipolarlo, sfruttando l’urgenza e la disattenzione dell’utente. Tutte le operazioni sono svolte in ambiente di laboratorio, a fini esclusivamente formativi.

Descrizione Scenario

1. Connessione del Client alla Rete

• Il dispositivo client si connette a una rete Wi-Fi Free, preparandosi a navigare verso siti web.

1. Intercettazione del Traffico tramite ARP Spoofing

• Utilizzando tecniche di ARP spoofing, l’attaccante manipola le tabelle ARP della rete locale, facendo sì che il traffico del client venga indirizzato attraverso il dispositivo dell’attaccante. Questo posiziona l’attaccante tra il client e il gateway, permettendo l’intercettazione trasparente dei dati.

1. Reindirizzamento delle Richieste DNS (DNS Hijacking)

• L’attaccante manipola le risposte DNS, indirizzando tutte le richieste del client verso un server controllato. Questo permette di presentare al client contenuti falsificati o dirottare le sue richieste verso destinazioni malevole.

1. Presentazione di un Captive Portal Falso

• Il client, tentando di accedere a Internet, viene reindirizzato a un captive portal falso che simula una pagina di accesso. Questo portale può essere utilizzato per indurre l’utente a fornire credenziali o come in questo caso per installare certificati malevoli.

1. Installazione di un Certificato Malevolo

• Il captive portal falso può richiedere l’installazione di un certificato SSL/TLS controllato dall’attaccante. Se l’utente accetta, l’attaccante può decrittare il traffico HTTPS del client, accedendo a informazioni sensibili.

1. Analisi del Traffico in Chiaro

• Con il certificato installato, l’attaccante può monitorare e analizzare il traffico del client, raccogliendo dati come credenziali di accesso, informazioni personali e altri dati sensibili

Descrizione degli strumenti e fasi Operative

In questo laboratorio sia vittima che attaccante si trovano nello stesso segmento di rete non protetta, dove non sono state implementate tecniche protezione lato rete (parleremo di queste mitigazioni nei prossimo articoli )

La vittima

La nostra vittima è un utente con sistema operativo Window 11 aggiornato alle ultime patch disponibili, che si connette ad una rete WIFI aperta. L’utilizzo di una rete non sicura avviene per diversi motivi come già trattato nell’articolo “Reti WiFi Aperte: Un Terreno Fertile per il Cybercrime”.

Ed è proprio questa esigenza di restare connessi a tutti i costi che diventa un’arma molto potente per gli attaccanti.

L’attaccante

L’attaccante opera da una macchina Kali Linux, sulla stessa rete della vittima, e predispone il sistema per intercettare e manipolare il traffico.

Predisposizione del attacco

Fase 1 – Abilitazione del forwarding

Il primo passo consiste nel abilitare il packet forwarding su Kali, trasformandolo in un nodo che inoltra il traffico tra la vittima e il gateway reale.

sudo sysctl -w net.ipv4.ip_forward=1

Fase 2 – Reindirizzamento del traffico HTTP e HTTPS

Utilizziamo iptables per dirottare tutto il traffico in uscita su porte 80 (HTTP) e 443 (HTTPS) verso la porta locale 8080, dove un proxy sarà in ascolto.

sudo iptables -t nat -A PREROUTING -p tcp –dport 80 -j REDIRECT –to-port 8080

sudo iptables -t nat -A PREROUTING -p tcp –dport 443 -j REDIRECT –to-port 8080

Fase 3 – DNS Hijacking con dnsmasq

Per intercettare le richieste di nomi a dominio e forzarle verso l’IP dell’attaccante, configuriamo un DNS Hijacking con dnsmasq.

Modificando o creando il file di configurazione:

sudo nano /etc/dnsmasq.conf

Con il seguente contenuto:

interface=wlan0
no-dhcp-interface=wlan0
bind-interfaces
bogus-priv
log-queries
log-facility=/var/log/dnsmasq.log
address=/#/192.168.1.251

In fine avviamo dnsmasq con:

sudo dnsmasq -C /etc/dnsmasq.conf

Da questo momento tutte le richieste DNS ricevute dall’interfaccia wlan0 restituiranno sempre l’indirizzo IP dell’attaccante (192.168.1.251), simulando un captive portal o un MITM proxy.

Fase 4 – ARP Spoofing

Per intercettare il traffico, l’attaccante esegue un attacco ARP spoofing, facendo credere alla vittima che il suo MAC sia quello del gateway.

sudo arpspoof -i wlan0 -t 192.168.1.113 192.168.1.1

Come visto sopra in questo modo, tutto il traffico destinato al gateway sarà deviato attraverso la macchina dell’attaccante, che agisce da intermediario trasparente.

Fase 5 – Attivazione di mitmproxy

Ora abilitiamo mitmproxy, che agirà da proxy trasparente per intercettare e ispezionare il traffico HTTP e HTTPS.

sudo mitmproxy –mode transparent –showhost –listen-port 8080

NB:Per questo laboratorio abbiamo selezionato “mitmproxy” in quanto dispone di un certificato scaricabile pubblicamente che non deve essere trustato, e quindi semplifica l’ installazione nel client della vittima (mitm.it/)​​.

Azione

Quando la vittima si collega alla rete WiFi aperta e non protetta, tutto il suo traffico finirà nella macchina Kali Linux dell’attaccante. Già questo abbiamo visto nei vari articoli essere un problema di per sé, ma se la vittima non effettuasse ulteriori azioni almeno il traffico HTTPS sarebbe al sicuro.

Presentazione del Captive Portal e Installazione Certificato

Una volta che la vittima apre il browser e prova a navigare, viene automaticamente reindirizzata a un falso captive portal ospitato dall’attaccante.

1. Il portale simula una schermata di accesso alla rete dove viene proposto il download del certificato per poter navigare in modo “sicuro”
2. La vittima a causa della sua esigenza di essere connesso accetta e installa il certificato senza prestare troppa attenzione a quello che sta facendo.
3. Effettua quindi il download del certificato e in pochi semplici passaggi lo installa :
   
   
4. Il portale di login registra questa azione e mette il dispositivo della vittima in white list. In caso di problemi lato script l’attaccante potrebbe vedere per una seconda volta la pagina del portale dove questa volta deve solo cliccare “Ho installato il certificato- Continua”
   
5. La vittima da questo momento può navigare. Ignaro che il suo traffico arriverà all’attaccante che potrà da ora decifrare tutto il traffico cifrato HTTPS.

Analisi del traffico

Come mostrato in figura con il certificato accettato e il traffico in transito attraverso mitmproxy, l’attaccante potrà:

• intercettare credenziali di accesso,
• visualizzare richieste a servizi sensibili (banche, email, social),
• analizzare contenuti originariamente cifrati.

Considerazioni

In conclusione, questo laboratorio rappresenta un’opportunità preziosa per comprendere le tecniche storiche di intercettazione in rete, esplorandone il funzionamento in un ambiente controllato e sicuro. Analizzare questi scenari non significa solo conoscere “come avvenivano gli attacchi”, ma soprattutto capire come prevenirli e rafforzare la sicurezza delle nostre infrastrutture digitali. Solo attraverso lo studio pratico e la consapevolezza possiamo costruire sistemi più resilienti, capaci di resistere alle minacce del passato e del futuro.

LAB 2 – File in chiaro: laboratorio sul degrado della cifratura nei trasferimenti FTP

Come HTTP, il protocollo FTP (File Transfer Protocol) è ormai obsoleto e non sicuro; ma continua a essere utilizzato in molte organizzazioni per il trasferimento di file, inclusi dati sensibili.

Come HTTPS, invece il protocollo FTPS permette di instaurare una connessione cifrata e sicura tra Client e Server; questa estensione del protocollo FTP aggiunge la cifratura TLS o SSL (da non confondere con SFTP), in modo che nessuno a parte server e client possano accedere al contenuto dei dati.

L’FTP (File Transfer Protocol) è un protocollo standard di rete usato per trasferire file tra un client e un server su una rete TCP/IP, come Internet. In pratica, permette di caricare (upload) e scaricare (download) file da un computer remoto.

Questo è ancora molto usato per lo scambio di dati,

per cui è chiaro che anche questi dati che viaggiano nella rete o verso internet dovrebbero essere protetti da cifratura.

In questo tipo di attacco forzeremo la vittima a usare un protocollo debole, FTP downgrade.

Questo attacco può essere sferrato quando la vittima utilizza un client FTP configurato per decidere in autonomia il protocollo più sicuro tra i disponibili.

In questo esempio abbiamo usato FILEZILLA, in cui la configurazione di default prevede che il programma scelga lui in automatico la connessione sicura se presente.

In questo caso connettendosi normalmente il client sarà connesso tramite TLS in automatico, perchè questo capirà che FTP server ha configurato il protocollo TLS.

Vediamo invece che utilizzando un attacco MiTM (Man In The Middle), in cui un aggressore si posizionerà in mezzo alla comunicazione, permetterà di forzare la vittima ad usare il protocollo FTP in chiaro, così da recuperare le credenziali di accesso.

PREPARAZIONE ATTACCO

Prima cosa abilitare il forwarding dei pacchetti, che trasforma l’attaccante in un router IPv4, così come vedremo dopo tutto il traffico della vittima che arriverà verrà girato al vero gateway e vice versa:

echo 1 > /proc/sys/net/ipv4/ip_forward

Installiamo un FTP locale nel dispositivo della vittima. In questo esempio abbiamo installato e avviato pure FTP e configurato in modo che accetti solo connessioni in chiaro (escludendo il TLS).

sudo systemctl start pure-ftpd

Eseguiamo del ARP spoofing (lo spiegheremo meglio qui sotto) tramite il framework MITMf, questo farà in modo che la vittima modifichi il mac address associato all’IP del router sostituendolo con quello della vittima.

MITMf (Man-In-The-Middle Framework) si pone come un potente strumento “tutto in uno” per eseguire attacchi Man-In-The-Middle e manipolare il traffico di rete. La sua forza risiede proprio nell’aver superato le limitazioni di tool precedenti come Ettercap e Mallory, offrendo un’architettura modulare e altamente estensibile.

MITMf rappresenta un’evoluzione significativa nel panorama degli strumenti MITM, offrendo una piattaforma potente, flessibile e aggiornata per l’analisi della sicurezza delle reti e la simulazione di scenari di attacco.

github.com/byt3bl33d3r/MITMf

Useremo il parametro -i per indicare interfaccia connessa alla rete pubblica, –spoof e –arp per questo attacco di arp poisoning e infine –target e –gateway, come è intuibile, per IP di vittima e gateway.

sudo ./mitmf.py -i wlan0 –spoof –arp –target 192.168.0.42 –gateway 192.168.0.1

Come spiegato sopra grazie all’ARP spoofing tutto il traffico che la vittima cercherà di inviare al gateway per raggiungere internet e FTP esterno, arriverà tutto all’attaccante, che poi tramite forwarding invierà al router originale e viceversa.

Il tutto senza che la vittima si accorga di nulla.

Ora per poter intercettare il traffico ftp transitante creiamo una regola di prerouting tramite iptables nel dispositivo dell’attaccante, così tutto quello il traffico che la vittima effettuerà verso la porta 21, verrà dirottato al FTP server locale dell’attaccante.

sudo iptables -t nat -A PREROUTING -p tcp –destination-port 21 -j REDIRECT –to-port 21

DOWNGRADE E RECUPERO DELLE CREDENZIALI FTP

Ora se la vittima si collegasse da qui in poi a un server FTP, l’autenticazione verrà fatta sul server dell’attaccante priva di TLS.

In questo caso questa ultima versione di FILEZILLA avvertirebbe di un problema e di un probabile attacco di downgrade, un altro software potrebbe anche non avere questo controllo e procedere senza avvisi.

Questo perché in precedenza ci siamo collegati tramite TLS, se fosse la prima volta non avrebbe però segnalato il problema.

Se la vittima consentirà a questo messaggio senza farsi molte domande e proseguirà con l’autenticazione, MITMF catturerà le credenziali scambiate in chiaro, incluso IP del server FTP.

Il messaggio che usiamo una connessione non sicura lo vedremo anche su filezilla nei log.

Una conseguenza oltre al furto di credenziali, se l’attaccante avesse configurato un server locale FTP che possa accettare qualunque credenziale passata dalla vittima, potrebbe accedere anche il furto dei dati che la vittima potrebbe provare a inviare all’attaccante.

Ovviamente per questo caso manca il prerouting anche della porta 20 e alcune porte passive.

NB: FileZilla segnala il downgrade solo se in precedenza era avvenuta una connessione FTPS, ma non sempre blocca il tentativo se la configurazione è su “connessione automatica”.

Considerazioni

Con questo laboratorio abbiamo dimostrato come, anche in presenza di protocolli sicuri come FTPS, la sicurezza possa essere compromessa se non si adottano configurazioni adeguate e consapevoli. Attraverso un attacco Man-in-the-Middle (MITM) e tecniche di ARP spoofing, è stato possibile forzare un client FTP, configurato per selezionare automaticamente il protocollo più sicuro disponibile, a retrocedere a una connessione non cifrata (FTP), esponendo così le credenziali e i dati trasmessi.

Questo scenario potrebbe presentarsi anche con i protocolli POP, IMAP, SMTP se il client di posta agisse in automatico a configurarsi il protocollo.

Importante quindi prestare attenzione alle configurazioni dei client per utilizzare esclusivamente connessioni sicure.

Mitigazioni

Per ridurre i rischi legati all’utilizzo di reti pubbliche o non affidabili, esistono diverse tecniche di mitigazione che possono essere applicate a livello infrastrutturale. Tra le più efficaci troviamo:

• Network Isolation – Separazione logica dei dispositivi per limitare la visibilità e l’interazione diretta tra client.
• Private VLAN – Isolamento dei client all’interno della stessa VLAN.
• Dynamic ARP Inspection (DAI) – Protezione contro attacchi di tipo ARP spoofing tramite verifica dell’integrità delle risposte ARP.
• DHCP Snooping – Blocco delle risposte DHCP non autorizzate per prevenire attacchi man-in-the-middle.
• Port Security sugli switch – Limitazione e controllo degli indirizzi MAC connessi alle porte fisiche.
• QoS e Traffic Shaping – Gestione della banda e delle priorità per migliorare l’efficienza e ridurre le superfici di attacco legate al congestionamento.
• Segmentazione della rete – suddivisione dell’infrastruttura in zone separate per contenere le minacce e semplificare il controllo (può essere fatto anche su base login).

Nei prossimi articoli approfondiremo ciascuna di queste soluzioni, analizzando scenari reali, configurazioni consigliate e il loro impatto sulla sicurezza complessiva della rete.

Conclusioni Finali

Come RedWave Team vogliamo sensibilizzare sul fatto che affidarsi ciecamente ai protocolli cifrati o alle configurazioni predefinite può generare un pericoloso senso di sicurezza. Abbiamo infatti visto, come connessioni protette possono essere compromesse se gli strumenti non sono configurati correttamente o se l’utente non è pienamente consapevole dei rischi.

La sicurezza delle comunicazioni non si basa soltanto sull’uso di HTTPS o FTPS, ma sull’adozione di un approccio proattivo che includa configurazioni sicure, formazione continua e buone pratiche operative.

Nel prossimo articolo esploreremo l’uso della VPN come ulteriore livello di protezione su reti non affidabili, e nei successivi analizzeremo strategie di mitigazione concrete per ridurre l’esposizione al rischio anche su reti problematiche come una WiFi aperta.

L'articolo Collegarsi a Wi-Fi pubblici? Anche con HTTPS non sei al sicuro! Scopriamolo con questo tutorial proviene da il blog della sicurezza informatica.

Lots of microcontrollers will accept Python these days, with CircuitPython and MicroPython becoming ever more popular in recent years. However, there’s now a new player in town. Enter PyXL, a project to run Python directly in hardware for maximum speed.

What’s the deal with PyXL? “It’s actual Python executed in silicon,” notes the project site. “A custom toolchain compiles a .py file into CPython ByteCode, translates it to a custom assembly, and produces a binary that runs on a pipelined processor built from scratch.” Currently, there isn’t a hard silicon version of PyXL — no surprise given what it costs to make a chip from scratch. For now, it exists as logic running on a Zynq-7000 FPGA on a Arty-Z7-20 devboard. There’s an ARM CPU helping out with setup and memory tasks for now, but the Python code is executed entirely in dedicated hardware.

The headline feature of PyXL is speed. A comparison video demonstrates this with a measurement of GPIO latency. In this test, the PyXL runs at 100 MHz, achieving a round-trip latency of 480 nanoseconds. This is compared to MicroPython running on a PyBoard at 168 MHz, which achieves a much slower 15,000 nanoseconds by comparison. The project site claims PyXL can be 30x faster than MicroPython based on this result, or 50x faster when normalized for the clock speed differences.

Python has never been the most real-time of languages, but efforts like this attempt to push it this way. The aim is that it may finally be possible to write performance-critical code in Python from the outset. We’ve taken a look at Python in the embedded world before, too, albeit in very different contexts.

player.vimeo.com/video/1074893…

hackaday.com/2025/05/06/hardwa…

Il gruppoAPT TheWizards, legato alla Cina, sfrutta la funzionalità di rete IPv6 per condurre attacchi man-in-the-middle che dirottano gli aggiornamenti software per installare malware su Windows. Secondo gli analisti di ESET, il gruppo è attivo almeno dal 2022 e ha attaccato organizzazioni nelle Filippine, in Cambogia, negli Emirati Arabi Uniti, in Cina e a Hong Kong. Tra le vittime di TheWizards ci sono singoli individui, società di gioco d’azzardo e altre organizzazioni.

Nei loro attacchi, gli hacker criminali utilizzano uno strumento personalizzato chiamato Spellbinder, che sfrutta abusa della funzionalità IPv6 Stateless Address Autoconfiguration (SLAAC) per eseguire attacchi SLAAC. Si tratta di una funzionalità del protocollo di rete IPv6 che consente ai dispositivi di configurare automaticamente i propri indirizzi IP e il gateway predefinito senza utilizzare un server DHCP. Invece, i messaggi Router Advertisement (RA) vengono utilizzati per ottenere indirizzi IP dai router abilitati IPv6.

pellbinder sfrutta questa funzionalità inviando falsi messaggi RA e facendo in modo che i sistemi vicini ottengano automaticamente un nuovo indirizzo IPv6, nuovi server DNS e un nuovo gateway IPv6 preferito. L’indirizzo di questo gateway è l’indirizzo IP di Spellbinder, che consente agli aggressori di intercettare le connessioni e reindirizzare il traffico attraverso i server da loro controllati.

“Spellbinder invia un pacchetto multicast RA ogni 200 ms a ff02::1 (tutti i nodi). I computer Windows sulla rete con IPv6 abilitato si configureranno automaticamente utilizzando la configurazione automatica degli indirizzi stateless (SLAAC) utilizzando le informazioni fornite nel messaggio RA e inizieranno a inviare traffico IPv6 al computer che esegue Spellbinder, dove i pacchetti verranno intercettati, analizzati e, se necessario, verrà fornita una risposta”, spiega ESET.

Secondo i ricercatori, Spellbinder viene distribuito utilizzando l’archivio AVGApplicationFrameHostS.zip, che viene decompresso in una directory che imita un software legittimo: %PROGRAMFILES%\AVG Technologies.

Questa directory contiene AVGApplicationFrameHost.exe, wsc.dll, log.dat e una copia legittima di winpcap.exe. L’eseguibile WinPcap viene utilizzato per caricare il file dannoso wsc.dll, che carica Spellbinder nella memoria.

Una volta infettato un dispositivo, Spellbinder inizia a intercettare e analizzare il traffico di rete, monitorando i tentativi di connessione a diversi domini, come quelli associati ai server di aggiornamento software cinesi.

Secondo gli esperti, il malware traccia i domini appartenenti alle seguenti aziende: Tencent, Baidu, Xunlei, Youku, iQIYI, Kingsoft, Mango TV, Funshion, Youdao, Xiaomi, Xiaomi Miui, PPLive, Meitu, Qihoo 360 e Baofeng.

Lo strumento reindirizza le richieste di download e installazione di aggiornamenti dannosi, che alla fine distribuiscono la backdoor WizardNet sui sistemi delle vittime. Fornisce agli aggressori un accesso permanente al dispositivo infetto e consente loro di installare ulteriore malware.

Per proteggersi da tali attacchi, ESET consiglia alle organizzazioni di monitorare attentamente il traffico IPv6 o di disattivare del tutto il protocollo se non viene utilizzato nella loro infrastruttura.

L'articolo Hacker cinesi usano IPv6 per infettare Windows: il pericoloso attacco di TheWizards proviene da il blog della sicurezza informatica.

Let’s say your CAD workflow is starving for spatial awareness. Your fingers yearn to push, twist, and orbit – not just click. Enter the Nebula Mouse. A 6-DOF DIY marvel, blending 3D printing, magnets, and microcontroller wizardry into a handheld input device that emulates the revered 3DConnexion SpaceMouse – at a hacker price. It’s wireless, RGB-lit, powered by a chunky 1500mAh cell, and fully configurable through standard apps. The catch? You print and build it yourself, with a little help of [DoTheDIY]’s design files.

This isn’t some half-baked enclosure on Thingiverse. The Nebula’s internals are crafted with the kind of precision that makes you file plastic for hours just to fit weights correctly. Hall effect sensors track real-world movement in all axes; a Seeed Xiao nRF52840 handles Bluetooth duty. It’s hefty (280g), intentional, and smartly designed: auto-wake, USB-C, even a diffused LED bezel for night-time geek cred. Just beware that screw lengths matter. Misplace a 20mm and you’ll hear the soft crack of PCB grief. No open firmware either – you’ll get compiled code only, unlocked per build via Discord.

In short: it’s not open source, but it is deeply open-ended. If your fingers itch after having seen the SpaceMouse teardown of last month, this one’s for you.

hackaday.com/2025/05/05/nebula…

3D printing is all well and good for prototyping, and it can even produce useful parts. If you want real strenght in plastics, though, or to produce a LOT of parts, you probably want to step up to injection molding. As it turns out, 3D printing can help in that regard, with injection molding company [APSX] has given us a look at how it printed injection molds for its APSX-PIM machine.

The concept is simple enough—additive manufacturing is great for producing parts with complex geometries, and injection molds fit very much under that banner. To demonstrate, [APSX] shows us a simple injection mold that it printed with a Formlabs Form3+ using Rigid 10K resin. The mold has good surface finish, which is crucial for injection molding nice parts. It’s also fitted with ejection pins for easy part removal after each shot of injection molded plastic. While it’s not able to hold up like a traditional metal injection mold, it’s better than you might think. [APSX] claims it got 500 automatic injection cycles out of the mold while producing real functional parts. The mold was used with the APSX-PIM injection molding machine squirting polypropylene at a cycle time of 65 seconds, producing a round part that appears to be some kind of lid or gear.

This looks great, but it’s worth noting it’s still not cheap to get into this sort of thing. On top of purchasing a Formlabs Form3+, you’ll also need the APSX-PIM V3, which currently retails for $13,500 or so. Still, if you regularly need to make 500 of something, this could be very desirable. You could get your parts quicker and stronger compared to running a farm of many 3D printers turning out the same parts.

We’ve seen similar projects along these lines before. The fact is that injections molds are complicated geometry to machine, so being able to 3D print them is highly desirable. Great minds and all that. Video after the break.

youtube.com/embed/VazxnBSpxJ0?…

hackaday.com/2025/05/05/3d-pri…

If you’re like us and you’ve been wondering where those viral videos of single water drop chemical reactions are coming from, we may have an answer. [yu3375349136], a scientist from Guangdong, has been producing some high quality microchemistry videos that are worth a watch.

While some polyglots out there won’t be phased, we appreciate the captioning for Western audiences using the elemental symbols we all know and love in addition to the Simplified Chinese. Reactions featured are typically colorful, but simple with a limited number of reagents. Being able to watch diffusion of the chemicals through the water drop and the results in the center when more than one chemical is used are mesmerizing.

We do wish there was a bit more substance to the presentation, and we’re aware not all readers will be thrilled to point their devices to Douyin (known outside of China as TikTok) to view them, but we have to admit some of the reactions are beautiful.

If you’re interested in other science-meets-art projects, how about thermal camera landscapes of Iceland, and given the comments on some of these videos, how do you tell if it’s AI or real anyway?

hackaday.com/2025/05/05/water-…

Sometimes, a hack solves a big problem. Sometimes, it’s just to deal with something that kind of bugs you. This hack from [The Stock Pot] is in the latter category, replacing an ugly, redundant downspout with an elegant 3D-printed pipe.

As [The Stock Pot] so introspectively notes, this was not something that absolutely required a 3D print, but “when all you have a hammer, everything is a nail, and 3D printing is [his] hammer.” We can respect that, especially when he hammers out such a lovely print.

By modeling this section of his house in Fusion360, he could produce an elegantly swooping loft to combine the outflow into one downspout. Of course the assembly was too big to print at once, but any plumber will tell you that ABS welds are waterproof. Paint and primer gets it to match the house and hopefully hold up to the punishing Australian sun.

This is the first time we’ve posted work from [The Stock Pot] but we will be watching his career (and YouTube channel) with interest. The video, embedded below, is a good watch and a reminder than not every project has to be some grand accomplishment. Sometimes, it can be as simple as keeping you from getting annoyed when you step into your backyard.

We’ve seen raintwater collection hacks before; some of them a lot less orthodox. Of course when printing with ABS like this, one should always keep in mind the ever-escalating safety concerns with the material.

youtube.com/embed/xw6DmG80SzA?…

hackaday.com/2025/05/05/3d-pri…

You can still get moving-needle meters off the shelf if you desire that old school look in one of you projects. However, if you want a more flexible and modern solution, you could use round displays to simulate the same thing, as [mircemk] demonstrates.

At the heart of the build is an ESP32 microcontroller, chosen for its fast clock rate and overall performance. This is key when drawing graphics to a display, as it allows for fast updates and smooth movement — something that can be difficult to achieve on lesser silicon. [mircemk] has the ESP32 reading an audio input and driving a pair of GC9A01 round displays, which are the perfect form factor for aping the looks of a classic round VU meter. The project write-up goes into detail on the code required to simulate the behavior of a real meter, from drawing the graphics to emulating realistic needle movements, including variable sweep rates and damping.

The cool thing about using a screen like this is the flexibility. You can change the dials to a different look — or to an entirely different kind of readout — at will. We’ve seen some of [mircemk]’s projects before, too, like this capable seismometer. Video after the break.

youtube.com/embed/kKqEtkJZw0g?…

hackaday.com/2025/05/05/round-…

No, see, it’s what’s inside that counts. Believe it or not, [nobutternoparm] retrofitted this innocent, adorable little tikes® so-called “Kidboard” rubber-dome keyboard into a mechanical marvel. Yeah! No, it wasn’t exactly pure, unadulterated fun, nor was it easy to do. But then again nothing worth doing ever is.

Image by [nobutternoparm] via redditFor one thing, the PCB ended up being a bit too wide, so the bottom half of the case is a bit mangled. But that’s okay! Onward and upward.

Next problem: a real PCB and mechanical switches (Gateron Baby Kangaroos) are a lot taller than the previous arrangement. This required spacers, a mounting plate, and longer screws to hold it all together. Now imagine lining all that up and trying to keep it that way during assembly.

And then there’s the keycaps. Guess what? They’re non-standard because they’re for rubber domes. So this meant more adapters and spacers. You’ll see in the gallery.

So we know it looks great, but how does it type? Well… [nobutternoparm] gives the feel a 4/10. The keycaps now have too many points of contact, so they bind up and have to be mashed down. But it’s going to be a great conversation piece.

With a Little Luck, You Could Fly On Wings

Before you ask, unfortunately, Wings doesn’t seem to be open-source, at least not as of this writing. But based on the comments in the reddit thread, [MoreFruit3042] seems willing to build them for some undisclosed cost.

Image by [MoreFruit3042] via redditThat touch pad supports multi-touch gesture operations, so right there, you don’t have to use the mouse as much. And although it’s hard to tell from this picture, there is 6° inward angle between the halves and a 6° front-to-back incline, both of which are designed to match the natural angles of hands.

I really dig the lowered thumb clusters and the fact that they aren’t overloaded with keys. There are low-profile Kailh Chocs under there, which makes for quite a slim keyboard.

Wings runs QMK, has RGB lighting, and supports real-time key-mapping with VIAL. Be sure to check out the build video below.

youtube.com/embed/4I5uRmg3ftQ?…

The Centerfold: A Truly Ergonomic Meal

Image by [Dexter_Lim] via redditAgain, very little detail to go off of here, but the keyboard is a totem. Couldn’t even tell you what’s in the right hand (left hand, if you go by the handle orientation) mug. Water, I suppose. But being a two-fisted drinker myself, I can really appreciate this setup, And although the sammy isn’t really my type, the extreme tenting on it is a nice touch.

Do you rock a sweet set of peripherals on a screamin’ desk pad? Send me a picture along with your handle and all the gory details, and you could be featured here!

Historical Clackers: To the Victor Go the Spoils

Image via The Antikey Chop
The Victor was patented in 1889 and produced until 1892 by the Tilton Manufacturing Company of Boston, Massachusetts. It was invented by Arthur Irving Jacobs.

Probably the most noteworthy factoid about the Victor Type-Writer is that it was the first production typewriter ever to employ a daisy wheel. This significant achievement showed up in typewriters all throughout the 1970s and 80s. My IBM Wheelwriter 5 uses a daisy wheel, as do my Brother machines.

The Victor is of course an index typewriter, as evidenced by the lack of keyboard. To use it, you would simply move the guide to the letter you wanted, which moved the daisy wheel simultaneously. Then you’d press the innermost left-hand key to swing the hammer and strike the daisy wheel against the paper. The outer left-hand key is the Space bar.

Victors were 8″ by 12″ in their footprint and weighed around 5.25 lbs. They came with wooden cases that were either rectangular or contoured to the shape. The Victor cost $15, which is close to $500 in 2025 money.

Finally, There’s Gonna Be a Christopher Latham Sholes Bobblehead

Image via The National Bobblehead Hall of Fame and Museum
So, this happened. Someone went and made a Christopher Latham Sholes bobblehead. You know, the guy who is responsible for the QWERTY layout.

I’m not sure if this is an honor or an insult. But hey, at least it will probably resemble Sholes more than would one of those Funko things. Plus, it’ll actually do something.

Here’s hoping the bobblehead itself looks like this image at least in part. One can only wish that there will be a typewriter involved. (Doesn’t there almost have to be?)

This thing is currently available for pre-order for the low price of $35. You can either have it shipped, or you can pick it up at QWERTYFEST MKE (that means Milwaukee, WI), being held October 3-5.

So what’s the connection? Sholes hailed from Milwaukee, where was a noted newspaper publisher, politician, and of course, a successful commercial typewriter inventor. Do I want one of these? I may or may not be nodding my head right now.

Got a hot tip that has like, anything to do with keyboards? Help me out by sending in a link or two. Don’t want all the Hackaday scribes to see it? Feel free to email me directly.

hackaday.com/2025/05/05/keebin…

Business cards are a simple way to share contact information, but a memorable design can make them stand out. [Jeremy Cook] has been experimenting with adding artistic finishes to PCBs, and has recently applied what he’s learned to make some unique business cards. His write-up consolidates some great resources to get you started in making your own PCB business cards, as well as PCB art in general

To make his cards stand out, he designed them to serve as functional tools beyond sharing contact information. He created two designs: one incorporates an LED and a coin cell battery holder, while the other includes drafting tools, such as a ruler, circle stencils, and a simplified protractor.

While the classic PCB solder mask is green, many board houses now offer alternative finishes and colors to enhance designs. He tested and compared the offerings from various manufacturers, highlighting the importance of researching fabrication options early, as different providers offer a variety of finishes. His creative approach shines in details like using through-hole pads as eyes in a robot illustration, making them stand out against a halftone dot pattern.

If you’re looking for more inspiration, be sure to check out the winners of our 2024 Business Card Challenge.

hackaday.com/2025/05/05/creati…

Once upon a time, typing “www” at the start of a URL was as automatic as breathing. And yet, these days, most of us go straight to “hackaday.com” without bothering with those three letters that once defined the internet.

Have you ever wondered why those letters were there in the first place, and when exactly they became optional? Let’s dig into the archaeology of the early web and trace how this ubiquitous prefix went from essential to obsolete.

Where Did You Go?

The first website didn’t bother with any of that www. nonsense! Credit: author screenshot
It may shock you to find out that the “www.” prefix was actually never really a key feature or necessity at all. To understand why, we need only contemplate the very first website, created by Tim Berners-Lee at CERN in 1990. Running on a NeXT workstation employed as a server, the site could be accessed at a simple URL: “http//info.cern.ch/”—no WWW needed. Berners-Lee had invented the World Wide Web, and called it as such, but he hadn’t included the prefix in his URL at all. So where did it come from?
McDonald’s were ahead of the times – in 1999, their website featured the “mcdonalds.com” domain, no prefix, though you did need it to actually get to the site. Credit: screenshot via Web Archive
As it turns out, the www prefix largely came about due to prevailing trends on the early Internet. It had become typical to separate out different services on a domain by using subdomains. For example, a company might have FTP access on ftp.company.com/feed/, while the SMTP server would be accessed via the smpt.company.com subdomain. In turn, when it came to establish a server to run a World Wide Web page, network administrators followed existing convention. Thus, they would put the WWW server on the www. subdomain, creating company.com/feed/.

This soon became standard practice, and in short order, was expected by members of the broader public as the joined the Internet in the late 1990s. It wasn’t long before end users were ignoring the http:// prefix at the start of domains, as web browsers didn’t really need you to type that in. However, www. had more of a foothold in the public consciousness. Along with “.com”, it became an obvious way for companies to highlight their new fancy website in their public facing marketing materials. For many years, this was simply how things were done. Users expected to type “www” before a domain name, and thus it became an ingrained part of the culture.

Eventually, though, trends shifted. For many domains, web traffic was the sole dominant use, so it became somewhat unnecessary to fold web traffic under its own subdomain. There was also a technological shift when the HTTP/1.1 protocol was introduced in 1999, with the “Host” header enabling multiple domains to be hosted on a single server. This, along with tweaks to DNS, also made it trivial to ensure “www.yoursite.com” and “yoursite.com” went to the same place. Beyond that, fashion-forward companies started dropping the leading www. for a cleaner look in marketing. Eventually, this would become the norm, with “www.” soon looking old hat.
Visit microsoft.com in Chrome, and you might think that’s where you really are… Credit: author screenshot
Of course, today, “www” is mostly dying out, at least as far as the industry and most end users are concerned. Few of us spend much time typing in URLs by hand these days, and fewer of us could remember the last time we felt the need to include “www.” at the beginning. Of course, if you want to make your business look out of touch, you could still include www. on your marketing materials, but people might think you’re an old fuddy duddy.
…but you’re not! Click in the address bar, and Chrome will show you the real URL. www. and all. Embarrassing! Credit: author screenshotHackaday, though? We rock without the prefix. Cutting-edge out here, folks. Credit: author screenshot
Using the www. prefix can still have some value when it comes to cookies, however. If you don’t use the prefix and someone goes to yoursite.com, that cookie would be sent to all subdomains. However, if your main page is set up at yoursite.com/feed/, it’s effectively on it’s own subdomain, along with any others you might have… like store.yoursite.com, blog.yoursite.com, and so on. This allows cookies to be more effectively managed across a site spanning multiple subdomains.

In any case, most browsers have taken a stance against the significance of “www”. Chrome, Safari, Firefox, and Edge all hide the prefix even when you are technically visiting a website that does still use the www. subdomain (like microsoft.com/feed/). You can try it yourself in Chrome—head over to a www. site and watch as the prefix disappears from the taskbar. If you really want to know if you’re on a www subdomain or not, though, you can click into the taskbar and it will give you the full URL, HTTP:// or HTTPS:// included, and all.

The “www” prefix stands as a reminder that the internet is a living, evolving thing. Over time, technical necessities become conventions, conventions become habits, and habits eventually fade away when they no longer serve a purpose. Yet we still see those three letters pop up on the Web now and then, a digital vestigial organ from the early days of the web. The next time you mindlessly type a URL without those three Ws, spare a thought for this small piece of internet history that shaped how we access information for decades. Largely gone, but not yet quite forgotten.

hackaday.com/2025/05/05/what-h…

“La protezione dei diritti di bambini e adolescenti rappresenta una priorità per la Polizia di Stato e richiede un’attenta valutazione delle minacce emergenti, l’impiego di tecnologie innovative e un approccio metodologico e operativo in linea con lo sviluppo dei mezzi di comunicazione che possa consentire nuove prospettive in termini di conoscenza e interazione sociale.

Negli ultimi anni, abbiamo assistito all’incremento di nuovi trend, tra cui l’uso dell’intelligenza artificiale generativa e di strumenti volti a garantire l’anonimato nel web. Queste tecnologie avanzate aprono nuove frontiere per la creatività e l’innovazione, ma allo stesso tempo introducono minacce inedite.

Le competenze della Specialità in materia di tutela dei minori si sono ampliate in questo panorama complesso grazie a disposizioni normative volte a rafforzare il sistema di protezione e a contrastare fenomeni come il cyberbullismo e bullismo, le tendenze giovanili emergenti, incluse le challenge – sfide rischiose diffuse sui social network – che hanno incrementato i pericoli per i ragazzi nel contesto digitale. I social media, le piattaforme di messaggistica e i nuovi strumenti digitali sono considerati dagli adolescenti ambienti privilegiati per creare e mantenere relazioni sociali.

Tuttavia, i pericoli della rete sono numerosi: i minori possono essere vittime di adescamento (grooming) o essere spinti da predatori online a produrre immagini intime, con il rischio di incorrere in minacce come la pedopornografia, il revenge porn e la sextortion.

Possono altresì subire atti di prepotenza, scherzi crudeli e molestie da parte di coetanei, spesso durante le sessioni di gioco online (cyberbullismo), oltre a rischiare violazioni della privacy o truffe informatiche (romance scam). La rete può anche offrire spazi di confronto e supporto emotivo tra coetanei, ma talvolta questi ambienti si trasformano in luoghi di condivisione di disagi psicologici, autolesionismo o disturbi alimentari. Inoltre, contenuti inappropriati risultano facilmente accessibili anche ai più piccoli, diventando un mezzo per esplorare precocemente la sessualità e partecipare a gruppi chiusi in cui si scambiano immagini di ogni genere, comprese rappresentazioni di violenza estrema, come il materiale “gore”.

La Polizia Postale, nel più ampio e complesso scenario della sicurezza online, con l’adozione di metodologie investigative all’avanguardia improntate alla cooperazione internazionale con tutte le Polizie del mondo e attraverso la promozione di una cooperazione sempre più stretta tra il settore pubblico e privato, ha strutturato l’impegno in un incessante monitoraggio della rete per fronteggiare tutti i rischi del web. L’attività preventiva e di contrasto ha posto come obiettivo prioritario la tutela dei minori e delle vittime vulnerabili con particolare attenzione nella fase della crescita della consapevolezza nella navigazione in rete.

La Giornata Nazionale contro la Pedofilia e Pedopornografia è un momento per riaffermare questo impegno e per rinnovare la nostra determinazione nella lotta a un crimine senza confini, che si evolve al passo con la tecnologia.”

Queste le parole riportate dal Direttore del Servizio Polizia Postale e per la sicurezza cibernetica
Ivano Gabrielli nella prefazione del documento “INTERNET, TANTE STORIE DA RACCONTARE INSIEME…” che vi invitiamo a leggere con attenzione.

C’è molto da fare, per questo occorre che tutti quanti facciano la propria parte: genitori, educatori, istituzioni, aziende tech e cittadini e aiutare la Polizia Postale a fare il loro lavoro. Non possiamo voltarci dall’altra parte. È fondamentale comprendere le difficoltà dei ragazzi, ascoltarli, accompagnarli e proteggerli nei loro percorsi digitali. Non bisogna mai aver paura di denunciare: segnalare situazioni sospette o pericolose è un atto di responsabilità e coraggio, non una colpa. La sicurezza dei bambini e degli adolescenti online dipende da un impegno collettivo e concreto, ogni giorno.

L'articolo Bambini e adolescenti nel mirino del web: la Polizia Postale svela le nuove minacce digitali proviene da il blog della sicurezza informatica.

These days, if you’re walking around with a cellphone, you’ve basically fitted an always-on tracking device to your person. That’s even more the case if there happens to be an eavesdropping device in your vicinity. To combat this, the Electronic Frontier Foundation has created Rayhunter as a warning device.

Rayhunter is built to detect IMSI catchers, also known as Stingrays in the popular lexicon. These are devices that attempt to capture your phone’s IMSI (international mobile subscriber identity) number by pretending to be real cell towers. Information on these devices is tightly controlled by manufacturers, which largely market them for use by law enforcement and intelligence agencies.
Rayhunter in use.
To run Rayhunter, all you need is an Orbic RC400L mobile hotspot, which you can currently source for less than $30 USD online. Though experience tells us that could change as the project becomes more popular with hackers. The project offers an install script that will compile the latest version of the software and flash it to the device from a computer running Linux or macOS — Windows users currently have to jump through a few extra hoops to get the same results.

Rayhunter works by analyzing the control traffic between the cell tower and the hotspot to look out for hints of IMSI-catcher activity. Common telltale signs are requests to switch a connection to less-secure 2G standards, or spurious queries for your device’s IMSI. If Rayhunter notes suspicious activity, it turns a line on the Orbic’s display red as a warning. The device’s web interface can then be accessed for more information.

While IMSI catchers really took off on less-secure 2G networks, there are developments that allow similar devices to work on newer cellular standards, too. Meanwhile, if you’ve got your own projects built around cellular security, don’t hesitate to notify the tipsline!

hackaday.com/2025/05/05/rayhun…

WELCOME BACK TO DIGITAL BRIDGE. I'm Mark Scott, and this weekend marked May 4th — also known as Star Wars Day, for those who follow such things. This video plays in my head every time I have to explain the Star Wars basics to a non-fan.

For anyone in Brussels on May 15, I'll be co-hosting a tech policy gathering in the EU Quarter. We're running a waiting list, so add your name here and we'll try to open up some more slots.

— The transatlantic relationship on tech is in the worst shape in decades. Here are some ways to improve it — even if wider political tension remain.

— A far-right candidate won the first round of Romania's presidential election. Europe has not responded well to the digital fall-out.

— Media freedom has been significantly curtailed over the last decade amid people's shift toward social media for their understanding of the world.

Let's get started:

digitalpolitics.co/newsletter0…

Nel vasto arsenale del cybercrimine, una categoria di malware continua ad evolversi con una velocità e una precisione quasi industriale: gli information stealer. Questi strumenti, nati inizialmente per sottrarre dati di autenticazione dai browser, sono ormai diventati sofisticate piattaforme di raccolta dati, persistenti e scalabili. Tra questi, StealC rappresenta una delle implementazioni più dinamiche e pericolose degli ultimi anni.

La versione 2 di StealC, apparsa sul radar a marzo 2025, ne segna un’evoluzione profonda, sia dal punto di vista strutturale che operativo. Questo articolo vuole essere una disamina tecnica completa, arricchita dall’analisi comportamentale visuale ottenuta tramite una sandbox dinamica, e rivolta a professionisti del settore che vogliono comprendere il vero impatto di questo stealer nell’ecosistema delle minacce contemporanee.

Chi è StealC? Breve storia e contesto

StealC è emerso nel 2023 come un infostealer generico, spesso usato da threat actor di medio livello per campagne di phishing e malware-as-a-service (MaaS). Sfruttava già da allora un approccio modulare, basato su loader custom e comunicazioni C2 mascherate.

Negli ultimi mesi del 2024 e nei primi del 2025, gli analisti di Zscaler e altri team di threat intelligence hanno osservato una crescita esponenziale di varianti, con l’introduzione della versione 2 (V2) come vero e proprio salto architetturale. Si tratta, a tutti gli effetti, di un framework di cyber spionaggio: un sistema flessibile, adattivo e dotato di un builder integrato che permette di personalizzare l’eseguibile finale in base al target.

Analisi di StealC V2

C2 e comunicazione: JSON e RC4

Uno dei cambiamenti principali è l’introduzione di una struttura C2 basata su JSON. Il traffico in uscita utilizza pacchetti ben strutturati, con chiavi e valori che rappresentano lo stato del client infetto, i moduli attivi e le richieste di aggiornamento. Tutto il traffico è cifrato in RC4, una scelta apparentemente obsoleta ma ancora efficace per eludere i controlli superficiali (soprattutto nei casi di SSL inspection parziale).

Architettura modulare e distribuzione payload

StealC V2 può distribuire moduli secondari sotto forma di:

• MSI packages (T1218.007 – Trusted Execution Utility: msiexec.exe),
• Script PowerShell (T1059.001 – Command and Scripting Interpreter: PowerShell),
• File eseguibili camuffati con estensioni arbitrarie o DLL caricate in memoria.

Questi payload sono controllati da regole configurabili basate su:

• Geolocalizzazione IP,
• Hardware ID (T1082 – System Information Discovery),
• Software installato (T1518 – Software Discovery).

Persistenza e evasione

I meccanismi di persistenza si appoggiano su:

• Task Scheduler (T1053.005),
• Chiavi Run e RunOnce del registro (T1547.001),
• Caricamento tramite AppInit_DLLs per DLL hijacking (T1546.010).

L’offuscamento del codice è stato migliorato sensibilmente, con funzioni API risolte dinamicamente tramite hashing, per evitare il matching statico da parte degli AV tradizionali. Le configurazioni sono cifrate in AES con chiave embedded, e il codice presenta segmenti crittografati caricati solo in memoria (T1027 – Obfuscated Files or Information).

Nuove funzionalità: screenshot, file grabber e brute-forcing

Tra le funzionalità nuove o migliorate della V2 troviamo:

Screenshot multi-monitor

Il modulo screenshot ora è in grado di mappare più display, salvando una sequenza di immagini in formato compresso e inviandole via C2 in batch crittografati. La funzione può essere innescata manualmente o automatizzata a intervalli.

File Grabber Unificato

Un solo modulo è in grado di:

• Cercare file per estensione (.docx, .xlsx, .kdbx, .pdf),
• Filtrare per path (Desktop, Downloads, OneDrive),
• Analizzare metadati per evitare duplicati.

Brute-Forcing Server-Side

Un’altra novità è la possibilità di sottoporre credenziali raccolte a un modulo server-side di brute force, che sfrutta dizionari aggiornabili e reporta solo quelle effettivamente valide. Questo permette agli operatori di ridurre la rumore di fondo delle esfiltrazioni.

Grafo comportamentale: analisi della telemetria sandbox

Il grafo allegato rappresenta l’esecuzione osservata in un ambiente sandbox. Ecco alcuni elementi chiave:

• Il nodo iniziale StealC.exe attiva una catena di esecuzione parallela. Ogni linea rappresenta un collegamento parent-child tra processi (es. esecuzione o injection).
• Le relazioni con [T1059.001] indicano PowerShell scripts eseguiti, probabilmente per:
  
  • raccogliere info di sistema (T1082),
  • testare la presenza di AV o sandbox (T1497),
  • scaricare ulteriori moduli.

  
  

• Altri nodi (es. [T1055]) fanno riferimento a tecniche di Process Injection, usate per migrare in processi legittimi (es. explorer.exe o svchost.exe).
• Tecniche come [T1071.001] (web protocols) evidenziano comunicazioni con il C2 via HTTP/HTTPS (eventualmente offuscati come traffico legittimo con header personalizzati o parametri randomizzati).
• Alcuni processi secondari si chiudono rapidamente, altri restano attivi in background, suggerendo l’utilizzo di thread asincroni o tecniche di polling remoto.

In sintesi: la struttura modulare e non lineare del malware è pensata per eludere detection comportamentali e confondere l’analisi post-mortem.

Relazione con Amadey e l’ecosistema malware

StealC V2 è stato spesso osservato in combinazione con Amadey, usato come dropper iniziale. In questo schema:

1. Amadey infetta il sistema,
2. Raccoglie informazioni iniziali,
3. Se i criteri sono soddisfatti, viene scaricato StealC,
4. Quest’ultimo prende il controllo della fase di esfiltrazione e persistente C2.

Questa collaborazione tra malware è indicativa di un ecosistema cybercriminale maturo, in cui i payload si specializzano e agiscono in sinergia per massimizzare il profitto.

Considerazioni conclusive

StealC V2 non è uno stealer qualsiasi. È un prodotto professionale, destinato a gruppi APT, gruppi di cybercrime organizzato e a operatori che desiderano campagne customizzabili su larga scala. La sua architettura modulare, la configurabilità granulare, e le tecniche di evasione avanzate lo rendono estremamente pericoloso.

Le difese tradizionali non bastano più. Occorre un approccio multilivello:

• EDR con rilevamento comportamentale e memoria (memory scanning),
• SIEM con correlazione di eventi (esecuzioni PowerShell anomale, connessioni esterne su domini appena registrati),
• Restrizioni su PowerShell (modalità ConstrainedLanguage),
• Network monitoring con ispezione TLS profonda,
• E soprattutto training continuo degli utenti, vero primo anello della catena difensiva.

StealC V2 è solo uno dei tanti segnali che ci ricordano quanto l’industria del malware sia oggi una vera e propria supply chain, con ruoli, moduli, logiche di mercato e aggiornamenti continui. Un malware che evolve come un software, ma con un solo obiettivo: rubare, controllare, monetizzare.

L'articolo StealC V2: anatomia di un malware moderno e modulare proviene da il blog della sicurezza informatica.

The fact that modern-day x86 processors still pretty much support the same operating systems and software as their ancestors did is quite a feat. Much of this effort had already been accomplished with the release of the 80386 (later 386) CPU in 1985, which was not only the first 32-bit x86 CPU, but was also backwards compatible with 8- and 16-bit software dating back to the 1970s. Making this work transparently was anything but straightforward, as [Ken Shirriff]’s recent analysis of the 80386’s main register file shows.
Labelled Intel 80386 die shot. (Credit: Ken Shirriff)
Using die shots of the 386’s registers and surrounding silicon, it’s possible to piece together how backwards compatibility was implemented. The storage cells of the registers are implemented using static memory (SRAM) as is typical, with much of the register file triple-ported (two read, one write).

Most interestingly is the presence of different circuits (6) to support accessing the register file for 8-, 16- or 32-bit writes and reads. The ‘shuffle’ network as [Ken] calls it is responsible for handling these distinct writes and reads, which also leads to the finding that the bottom 16 bits in the registers are actually interleaved to make this process work smoother.

Fortunately for Intel (and AMD) engineers, this feat wouldn’t have to be repeated again with the arrival of AMD64 and x86_64 many years later, when the 386’s mere 275,000 transistors on a 1 µm process would already be ancient history.

Want to dive even deeper in to the 386? This isn’t the first time [Ken] has looked at the iconic chip.

hackaday.com/2025/05/05/the-co…

A group of students from Lancing College in the UK have sent in their Critical Design Review (CDR) for their entry in the UK CanSat project.

Per the competition guidelines the UK CanSat project challenges students aged 14 to 19 years of age to build a satellite which can relay telemetry data about atmospheric conditions such as could help with space exploration. The students’ primary mission is to collect temperature and pressure readings, and these students picked their secondary mission to be collection of GPS data, for use on planets where GPS infrastructure is available, such as on Earth. This CDR follows their Preliminary Design Review (PDR).

The six students in the group bring a range of relevant skills. Their satellite transmits six metrics every second: temperature, pressure, altitude reading 1, altitude reading 2, latitude, and longitude. The main processor is an Arduino Nano Every, a BMP388 sensor provides the first three metrics, and a BE880 GPS module provides the following three metrics. The RFM69HCW module provides radio transmission and reception using LoRa.

The students present their plan and progress in a Gantt chart, catalog their inventory of relevant skills, assess risks, prepare mechanical and electrical designs, breadboard the satellite circuitry and receiver wiring, design a PCB in KiCad, and develop flow charts for the software. The use of Blender for data visualization was a nice hack, as was using ChatGPT to generate an example data file for testing purposes. Mechanical details such as parachute design and composition are worked out along with a shiny finish for high visibility. The students conduct various tests to ensure the suitability of their design and then conduct an outreach program to advertise their achievements to their school community and the internet at large.

We here at Hackaday would like to wish these talented students every success with their submission and we hope you had good luck on launch day, March 4th!

The backbone of this project is the LoRa technology and if you’re interested in that we’ve covered that here at Hackaday many times before, such as in this rain gauge and these soil moisture sensors.

hackaday.com/2025/05/04/lancin…

Morse code can be daunting to learn when you’re new to the game, particularly if you need it to pass your desired radio license. However, these days, there are a great many tools to aid in the learning process. A good example is the Morse Master from [Arnov Sharma].

The Morse Master is a translator for Morse code, which works in two ways. You can access it via a web app, and type in regular letters which it then flashes out as code on its in-built LEDs. Alternatively, you can enter Morse manually using the physical key, and the results will be displayed on the web app. The Morse key itself is built into the enclosure using 3D printed components paired with a Cherry-style keyboard switch. It’s perhaps not the ideal solution for fast keying, with its limited rebound, but it’s a quick and easy way to make a functional key for practice purposes. If you want to go faster, though, you might want to upgrade to something more capable. We’d also love to see a buzzer added, since Morse is very much intended as an auditory method of communication.

We’ve seen some other great Morse code trainers before, too. If you’ve trained yourself in this method of communication, don’t hesitate to share your own learning tips below.

youtube.com/embed/SPpo0Ox4fIw?…

hackaday.com/2025/05/04/train-…

By now, you’ve probably heard about Kosmos 482, a Soviet probe destined for Venus in 1972 that fell a bit short of the mark and stayed in Earth orbit for the last 53 years. Soon enough, though, the lander will make its fiery return; exactly where and when remain a mystery, but it should be sometime in the coming week. We talked about the return of Kosmos briefly on this week’s podcast and even joked a bit about how cool it would be if the parachute that would have been used for the descent to Venus had somehow deployed over its half-century in space. We might have been onto something, as astrophotographer Ralf Vanderburgh has taken some pictures of the spacecraft that seem to show a structure connected to and trailing behind it. The chute is probably in pretty bad shape after 50 years of UV torture, but how cool is that?

Parachute or not, chances are good that the 495-kilogram spacecraft, built to not only land on Venus but to survive the heat, pressure, and corrosive effects of the hellish planet’s atmosphere, will at least partially survive reentry into Earth’s more welcoming environs. That’s a good news, bad news thing: good news that we might be able to recover a priceless artifact of late-Cold War space technology, bad news to anyone on the surface near where this thing lands. If Kosmos 482 does manage to do some damage, it won’t be the first time. Shortly after launch, pieces of titanium rained down on New Zealand after the probe’s booster failed to send it on its way to Venus, damaging crops and starting some fires. The Soviets, ever secretive about their space exploits until they could claim complete success, disavowed the debris and denied responsibility for it. That made the farmers whose fields they fell in the rightful owners, which is also pretty cool. We doubt that the long-lost Kosmos lander will get the same treatment, but it would be nice if it did.

Also of note in the news this week is a brief clip of a Unitree humanoid robot going absolutely ham during a demonstration — demo-hell, amiright? Potential danger to the nearby engineers notwithstanding, the footage is pretty hilarious. The demo, with a robot hanging from a hoist in a crowded lab, starts out calmly enough, but goes downhill quickly as the robot starts flailing its arms around. We’d say the movements were uncontrolled, but there are points where the robot really seems to be chasing the engineer and taking deliberate swipes at the poor guy, who was probably just trying to get to the e-stop switch. We know that’s probably just the anthropomorphization talking, but it sure looks like the bot had a beef to settle. You be the judge.

Also from China comes a report of “reverse ATMs” that accept gold and turn it into cash on the spot (apologies for yet another social media link, but that’s where the stories are these days). The machine shown has a hopper into which customers can load their unwanted jewelry, after which it is reportedly melted down and assayed for purity. The funds are then directly credited to the customer’s account electronically. We’re not sure we fully believe this — thinking about the various failure modes of one of those fresh-brewed coffee machines, we shudder to think about the consequences of a machine with a 1,000°C furnace built into it. We also can’t help but wonder how the machine assays the scrap gold — X-ray fluorescence? Ramann spectroscopy? Also, what happens to the unlucky customer who puts some jewelry in that they thought was real gold, only to be told by the machine that it wasn’t? Do they just get their stuff back as a molten blob? The mind boggles.

And finally, the European Space Agency has released a stunning new image of the Sun. Captured by their Solar Orbiter spacecraft in March from about 77 million kilometers away, the mosaic is composed of about 200 images from the Extreme Ultraviolet Imager. The Sun was looking particularly good that day, with filaments, active regions, prominences, and coronal loops in evidence, along with the ethereal beauty of the Sun’s atmosphere. The image is said to be the most detailed view of the Sun yet taken, and needs to be seen in full resolution to be appreciated. Click on the image below and zoom to your heart’s content.

hackaday.com/2025/05/04/hackad…

L’azienda finlandese Darkglass Electronics ha presentato Anagram, il suo primo processore per chitarra basato su Linux.

Il dispositivo utilizza Buildroot, il server audio JACK2, supporta i plugin LV2 e gli emulatori di amplificatori di rete neurale NAM e AIDA-X. Il pacchetto include numerosi plugin gratuiti, tra cui fil4.lv2 (equalizzatore) e sooperlooper (looper). L’interfaccia è realizzata utilizzando LVGL.

Il progetto si basa in parte sugli sviluppi di MOD Devices, che ha cessato l’attività durante la pandemia. Successivamente Darkglass acquisì parte della sua proprietà intellettuale. Il team di Anagram include l’ex sviluppatore di MOD Filipe Coelho, mentre il fondatore di MOD, Gianfranco Ceccolini, appare nel video di presentazione.

Darkglass, a differenza di MOD, non pubblica schemi completi e firmware con licenza aperta, ma ospita le modifiche open source su GitHub. Non è ancora chiaro se Anagram sarà una piattaforma aperta per sviluppatori terzi.

Il dispositivo costa circa 1000 euro, posizionandosi tra Quad Cortex e Nano Cortex. Il fondatore di Darkglass e Neural DSP, Douglas Castro, non è più coinvolto nella gestione dell’azienda.

L'articolo Darkglass Anagram: il primo processore per chitarra Linux che cambia le regole del gioco proviene da il blog della sicurezza informatica.

In these days of everything-streaming, it’s great to see an old school radio build. It’s even better when it’s not old-school at all, but packed full of modern ICs and driven by a micro-controller like the dsPIC in [Minh Danh]’s dsMP3 build. Best of all is when we get enough details that the author needs two blog posts — one for hardware, and one for firmware — like [Minh Danh] has done.

This build does it all: radio, MP3 playback, and records incoming signals. The radio portion of the build is driven by an Si4735, which allows for receiving both in FM and AM — with all the AM bands, SW, MW and LW available. The FM section does support RDS, though because [Minh Danh] ran out of pins on the dsPIC, isn’t the perfect implementation.
Just look at that thru-hole goodness.
The audio section is a good intro to audio engineering if you’ve never done a project like this: he’s using a TDA1308 for headphones, which feeds into a NS8002 to drive some hefty stereo speakers– and he tells you why he selected those chips, as well as providing broken-out schematics for each. Really, we can’t say enough good things about this project’s documentation.

That’s before we get to the firmware, where he tells us how he manages to get the dsPIC to read out MP3s from a USB drive, and write WAVs to it. One very interesting detail is how he used the dsPIC’s ample analog inputs to handle the front panel buttons on this radio: a resistor ladder. It’s a great solution in a project that’s full of them.

Of course we’ve seen radio receivers before, and plenty of MP3 players, too — but this might be the first time we’ve seen an electronic Swiss army knife with all these features, and we’re very glad [Minh Danh] shared it with us.

youtube.com/embed/qxlcWu3C5f4?…

hackaday.com/2025/05/04/all-ba…

Donald Trump ha pubblicato un’immagine di sé stesso nei panni del pontefice, generata dall’intelligenza artificiale. E questo alla vigilia del conclave che eleggerà il nuovo capo della Chiesa cattolica, che conta 1,4 miliardi di fedeli in tutto il mondo.

E la cosa più grave è che l’account della Casa Bianca ha ripubblicato questo post sul suo account ufficiale di X (ex Twitter).

Ma la domanda che sorge spontanea in questo complesso periodo storico che stiamo vivendo, al netto della politica che ha noi non interessa è: l’era del linguaggio istituzionale, del rispetto reciproco, è completamente finita? Tutto diventa un modo per racimolare influenza anche per le istituzioni o le cariche più alte dello stato?

Il presidente, che non è cattolico e raramente partecipa alle funzioni religiose, ha pubblicato la foto sul suo account social, venerdì sera.

L’immagine generata mostra Trump seduto su una sedia decorata, con addosso le vesti papali bianche e un copricapo, e con l’indice della mano destra alzato. Il suo viso mantiene un’espressione seria.

La pubblicazione provocatoria ha immediatamente scatenato un’ondata di indignazione sui social network. I repubblicani conservatori che promuovono la democrazia e combattono il trumpismo, hanno definito l’immagine “un palese insulto ai cattolici e una presa in giro della loro fede”.

Il portavoce vaticano Matteo Bruni ha rifiutato di rilasciare dichiarazioni durante un briefing sul processo di elezione del nuovo papa, che inizierà il 7 maggio.

“L’immagine insulta i credenti, umilia le istituzioni e mostra il leader della destra mondiale che si diverte a fare il pagliaccio. Nel frattempo, l’economia americana sta attraversando una recessione e il dollaro sta perdendo valore” ha scritto l’ex primo ministro italiano Matteo Renzi su X.

Il post è stato duramente criticato anche dai vescovi cattolici dello Stato di New York: “Non c’è niente di spiritoso o divertente qui, signor Presidente. Abbiamo appena seppellito il nostro amato Papa Francesco e i cardinali si stanno preparando a entrare in un solenne conclave per eleggere un nuovo successore di San Pietro. Non prenderci in giro“.

È interessante notare che pochi giorni prima della pubblicazione, Trump aveva scherzosamente dichiarato che lui stesso avrebbe voluto diventare Papa. Ha poi aggiunto che a New York c’era un candidato “molto valido” per il ruolo, il cardinale Timothy Dolan.

Tuttavia, l’arcivescovo Dolan di New York non è tra i principali contendenti al trono. Tra i possibili candidati c’è anche un altro americano, il cardinale Joseph Tobin, arcivescovo di Newark, nel New Jersey. Tuttavia, vale la pena notare che in tutta la storia della Chiesa cattolica, un rappresentante degli Stati Uniti non è mai diventato Papa.

Molti sostenitori del governo repubblicano, tuttavia, non vedono nulla di riprovevole in queste pubblicazioni. “stava chiaramente scherzando“, ha detto Debbie Macchia, 60 anni, un’ebrea praticante che sabato mattina stava aspettando, insieme a una dozzina di altri sostenitori, l’arrivo del corteo di Trump al suo golf club di West Palm Beach.

L'articolo Donald Trump Papa! L’era del linguaggio istituzionale è finita ed anche molto male proviene da il blog della sicurezza informatica.

We’ve all made a few bad PCBs in our time. Sometimes they’re recoverable, and a few bodge wires will make ’em good. Sometimes they’re too far gone and we have to start again. But what if you could take an existing PCB, make a few mods, and turn it into the one you really want? That’s what “PCB Renewal” aims to do, as per the research paper from [Huaishu Peng] and the research group at the University of Maryland.
The plugin quantifies resource and time savings made by reusing an old board.
The concept is straightforward — PCB Renewal exists as a KiCad plugin that can analyze the differences between the PCB you have and the one you really want. Assuming they’re similar enough, it will generate toolpaths to modify the board with milling and epoxy deposition to create the traces you need out of the board you already have.

Obviously, there are limitations. You’ll never turn a PlayStation motherboard into something you could drop into an Xbox with a tool like this. Instead, it’s more about gradual modifications. Say you need to correct a couple of misplaced traces or missing grounds, or you want to swap one microcontroller for a similar unit on your existing board. Rather than making brand new PCBs, you could modify the ones you already have.

Of course, it’s worth noting that if you already have the hardware to do epoxy deposition and milling, you could probably just make new PCBs whenever you need them. However, PCB Renewal lets you save resources by not manufacturing new boards when you don’t have to.

We’ve seen work from [Huaishu Peng]’s research group before, too, in the form of an innovative “solderless PCB”.

youtube.com/embed/Vnjr6-BfoNI?…

hackaday.com/2025/05/04/pcb-re…

There are a number of plans for DIY boats available online, so [Phil] went in search of one for a custom catamaran to travel the inland waterways of Canada. But none of the plans he found had options for electric motors so he modified one popular plan to include not only that, but plenty of other unique features as well throughout a long series of videos.

This isn’t [Phil]’s first electric boat, either. His first was a monohull with a long canopy above, providing shade for the occupants and a platform to mount solar panels. But that one was top heavy and unstable, so he pivoted to this catamaran design instead which has the perk of not only stability but a small draft. The plans were modified to use a similar propulsion system, though, but mounting the heavy panels on the roof of this boat was much less problematic. The roof itself retracts, and also includes some mosquito netting to enclose the cabin. He’s also added a head which is situated inside one of the hulls and has doors which fit into the retractable roof structure as well.

For navigating the peaceful inland waterways of Canada like the famous Rideau Canal, the Trent Severn Waterway which [Phil] frequents, or even quiet Ontario lake towns like Bobcaygeon we can’t imagine a better way to go that a peaceful, small electric boat like this one.

As summer rolls around in the northern hemisphere we’ll hope to see other solar electric boats like these out on the water, like this smaller electric-assisted kayak or this much larger solar electric houseboat.

youtube.com/embed/UibE43UmJGA?…

hackaday.com/2025/05/04/electr…

Delay line memory is a technology from yesteryear, but it’s not been entirely forgotten. [P-Lab] has developed a demo board for delay-line memory, which shows how it worked in a very obvious way with lots of visual aids.

If you’re unfamiliar with the technology, it’s a form of memory that was used in classic computers like the Univac-I and the Olivetti Programma 101. It’s a sequential-access technology, where data is stored as pulses in some kind of medium, and read out in order. Different forms of the technology exist, such as using acoustic pulses in mercury or torsional waves passing through coiled nickel wire.

In this case, [P-Lab] built a solid state delay line using TTL ICs, capable of storing a full 64 bits of information and running at speeds of up to 150 kHz. It also features a write-queuing system to ensure bits are written at the exact correct time — the sequential-access nature of the technology means random writes and reads aren’t actually possible. The really cool thing is that [P-Lab] paired the memory with lots of LEDs to show how it works. There are lights to indicate the operation of the clock, and the read and write cycles, as well as individual LEDs indicating the status of each individual bit as they roll around the delay line. Combined with the hexadecimal readouts, it makes it easy to get to grips with this old-school way of doing things.

We’ve seen previous work from[P-Lab] in this regard using old-school core rope memory, too.

youtube.com/embed/zLovpIeKoT8?…

[Thanks to Giuseppe for the tip!]

hackaday.com/2025/05/04/a-dela…

Not all clamp meters are the same, and this video shows just that. In a recent teardown by [Kerry Wong], the new Fnirsi DMC-100 proves that affordable doesn’t mean boring. This 10,000-count clamp meter strays from the classic rotary dial in favour of a fully button-based interface – a choice that’s got sparks flying in the comments. And yes, it even auto-resumes its last function after reboot, like it knows you’re busy frying other fish.

What sets this meter apart isn’t just its snappy interface or surprisingly nice gold-tipped probes. It’s the layered UX – a hackable interface where short- and long-presses unlock hidden menus, memory functions, and even a graphing mode. A proper “hold-my-beer” moment comes when you discover it can split-display voltage and current and calculate real-time power (albeit with a minor asterisk: apparent power only, no power factor). Despite a few quirks, like accidentally triggering the flashlight when squeezing the jaw, it holds up well in accuracy tests. Even at higher currents where budget meters usually wobble.

youtube.com/embed/YA1hB-SZbP8?…

hackaday.com/2025/05/04/frnisi…

Sabato 3 maggio, un post pubblicato su un canale Telegram legato al gruppo “Mr Hamza” ha rivendicato un cyberattacco ai danni del Ministero della Difesa italiano. Il messaggio, scritto in arabo e inglese, afferma che gli hacker hanno preso di mira “l’esercito, l’aeronautica, il portale dell’educazione militare e l’Istituto di ricerca sulla difesa”.

Il testo, pubblicato alle 19:47, recita: ““In the past hour, a cyberattack was launched against the Italian Ministry of Defense. We targeted the army, the air force, the military education portal, and the Defense Research Institute. The message has been received… and there’s more to come.”

Il gruppo accompagna la rivendicazione con quattro link alla piattaforma check-host.net, un servizio utilizzato per monitorare la disponibilità online di siti e servizi. Tutti i link presentano un’icona rossa con una “X”, indicando che i servizi monitorati potrebbero essere irraggiungibili o in stato di malfunzionamento al momento della verifica.

La tempistica e la natura del messaggio suggeriscono una campagna coordinata, che il gruppo ha etichettato con l’hashtag #Op Italy, facendo intuire un’operazione più ampia contro infrastrutture italiane.

Un attore noto nel panorama hacktivista?

Il nome “Mr Hamza” non è nuovo nell’ambito delle operazioni hacktiviste. Il gruppo – o individuo – è stato associato in passato a operazioni di tipo politico e ideologico, spesso caratterizzate da defacement, DDoS e divulgazione di dati rubati.

Questa operazione sembrerebbe rientrare in quel contesto, con un focus mirato su enti militari e governativi, potenzialmente come forma di protesta o ritorsione geopolitica.

Al momento non ci sono conferme ufficiali da parte del Ministero della Difesa italiano. Tuttavia, l’utilizzo di strumenti pubblici per dimostrare la riuscita dell’attacco rappresenta una prassi consolidata tra gruppi di hacktivisti, utile per costruire reputazione nel proprio network e intimidire ulteriori obiettivi.

Questo articolo si basa su informazioni, integralmente o parzialmente tratte dalla piattaforma di intelligence di Recorded Future, partner strategico di Red Hot Cyber e punto di riferimento globale nell’intelligence sulle minacce informatiche. La piattaforma fornisce analisi avanzate utili a individuare e contrastare attività malevole nel cyberspazio.

L'articolo Op_Italy: un attacco DDoS di Mr Hamza è stato sferrato contro il Ministero Della Difesa italiana proviene da il blog della sicurezza informatica.

One of the most basic problems with robotic arms and similar systems is keeping the weight down, as more weight requires a more rigid frame and stronger actuators. Cable-driven systems are a classic solution, and a team of researchers from MIT and Zhejiang University recently shared some techniques for designing fully 3D printed cable-driven mechanisms.

The researchers developed a set of four primitive motion components: a bending component, a coil, screw-like, and a compressive component. These components can work together in series or parallel to make much more complicated structures. To demonstrate, the researchers designed a gripping tentacle, a bird’s claw, and a lizard-like walking robot, but much more complicated structures are certainly possible. Additionally, since the cable itself is printed, it can have extra features, such as a one-way ratcheting mechanism or bumps for haptic feedback.

These printed cables are the most novel aspect of the project, and required significant fine-tuning to work properly. To have an advantage over manually-assembled cable-driven systems, they needed to be print-in-place. This required special printer settings to avoid delamination between layers of the cable, cables sticking to other components, or cables getting stuck in the mechanism’s joints. After some experiments, the researchers found that nylon filament gives the best balance between cable strength and flexibility, while not adhering tightly to the PLA structure.

We’ve seen cable-driven systems here a few times before. If you’re interested in a deeper dive, we’ve covered that too.

youtube.com/embed/xk_EUOnGtAg?…

Thanks to [Madeinoz67] for the tip!

hackaday.com/2025/05/03/3d-pri…

We’ve all seen those cheap bench power supply units (PSUs) for sale online, promising specifications that would cost at least a hundred dollars or more if it were a name brand model. Just how much of a compromise are these (usually rebranded) PSUs, and should you trust them with your electronics? Recently [Denki Otaku] purchased a cheap unit off Amazon Japan for a closer look, and found it to be rather lacking.
Internals of the cheap bench PSU reviewed by Denki Otaku on YouTube.
Major compromises include the lack of an output power switch, no way to check the set current limit without shorting the output, very slow drop in output voltage while adjusting due to the lack of a discharge circuit, and other usability concerns. That’s when the electrical performance of the PSU got tested.

Right off the bat a major issue in this cheap switching mode PSU is clear, as it has 200 mV peak-to-peak noise on its output, meaning very little output filtering. The maximum power output rating was also far too optimistic, with a large voltage drop observed. Despite this, it generally worked well, and the internals – with a big aluminium plate as heatsink – look pretty clean with an interesting architecture.

The general advice is to get a bench PSU that has features like an output power button and an easy way to set the voltage and current limits. Also do not connect it to anything that cares about noise and ripple unless you know that it produces clean, filtered output voltages.

youtube.com/embed/b-ziDmnOFcU?…

hackaday.com/2025/05/03/testin…

“If there’s one thing the Commodore 64 is missing, it’s a large language model,” is a phrase nobody has uttered on this Earth. Yet, you could run one, if you so desired, thanks to [ytm] and the Llama2.c64 project!

[ytm] did the hard work of porting the Llama 2 model to the most popular computer ever made. Of course, as you might expect, the ancient 8-bit machine doesn’t really have the stones to run an LLM on its own. You will need one rather significant upgrade, in the form of 2 MB additional RAM via a C64 REU.

Now, don’t get ahead of things—this is no wide-ranging ChatGPT clone. It’s not going to do your homework, counsel you on your failed marriage, or solve the geopolitical crisis in your local region. Instead, you’re getting the 260 K tinystories model, which is a tad more limited. In [ytm]’s words… “Imagine prompting a 3-year-old child with the beginning of a story — they will continue it to the best of their vocabulary and abilities.”

It might not be supremely capable, but there’s something fun about seeing such a model talking back on an old-school C64 display. If you’ve been hacking away at your own C64 projects, don’t hesitate to let us know. We certainly can’t get enough of them!

Thanks to [ytm] for the tip!

hackaday.com/2025/05/03/llm-po…

You know how it is. You’re all cozy in bed but not quite ready to doze off. You’re reading Hackaday (Hackaday is your go-to bedtime reading material, right?) or you’re binge-watching your latest reality TV obsession on your tablet. You feel the tablet growing heavier and heavier as your arms fatigue from holding it inches above your face. You consider the embarrassment you’ll endure from explaining how you injured your nose as the danger of dropping the tablet gradually increases. The struggle is real.

[Will Dana] has been engineering his way out of this predicament for a few years now, and with the recent upgrade to his iPad suspension system he is maximizing his laziness, but not without putting in a fair amount of hard work first.

The first iteration of the device worked on a manual pulley system whereby an iPad was suspended from the ceiling over his bed on three cords. Pulling on a cord beside the bed would raise the bracket used for holding the iPad out of the way while not in use. This new iteration takes that pesky cord pulling out of the user’s hands, replacing it with a motorized winch. A spot of dark ink on one of the cords in combination with a light sensor helps to calibrate the system so that the ESP32 which controls it always knows the proper limits of operation.

Of course, if, like [Will], you’re using an ESP32, and your room is already fully controlled by a voice interface, you may as well integrate the two. After all, there is no sense in wasting precious energy by pressing buttons. Utter a simple command to Alexa once you’re tucked in, and it’s time for hands-free entertainment.

We’ve covered several of [Will]’s previous creations, such as his Motorized Relay Computer and Harry Potter-inspired Sorting Hat.

youtube.com/embed/F-wqWN42dco?…

hackaday.com/2025/05/03/tablet…

If you’ve got a popular 3D printer that has been on the market a good long while, you can probably get any old nozzles you want right off the shelf. If you happen to have an AnyCubic printer, though, you might find it a bit tougher. [Startup Chuck] wanted some specific sized nozzles for his rig, so set about whipping up a solution himself.

[Chuck]’s first experiments were simple enough. He wanted larger nozzles than those on sale, so he did the obvious. He took existing 0.4 mm nozzles and drilled them out with carbide PCB drills to make 0.6 mm and 0.8 mm nozzles. It’s pretty straightforward stuff, and it was a useful hack to really make the best use of the large print area on the AnyCubic Kobra 3.

But what about going the other way? [Chuck] figured out a solution for that, too. He started by punching out the 0.4 mm insert in an existing nozzle. He then figured out how to drive 0.2 mm nozzles from another printer into the nozzle body so he had a viable 0.2 mm nozzle that suited his AnyCubic machine.

The result? [Chuck] can now print tiny little things on his big AnyCubic printer without having to wait for the OEM to come out with the right nozzles. If you want to learn more about nozzles, we can help you there, too.

youtube.com/embed/RKkqJCvMteI?…

youtube.com/embed/rRajmCydjqM?…

hackaday.com/2025/05/03/hackin…

Gli scienziati della Corea del Sud hanno creato un “naso elettronico di nuova generazione” in grado di distinguere gli odori quasi quanto l’olfatto umano e di riconoscerli utilizzando l’intelligenza artificiale. Lo sviluppo si basa sulla tecnologia di conversione delle molecole di odore in segnali elettrici e sull’addestramento dell’intelligenza artificiale sui modelli unici di questi segnali. Il nuovo approccio apre prospettive nella medicina personalizzata, nell’industria cosmetica e nel monitoraggio ambientale.

A differenza dei nasi elettronici esistenti, utilizzati nell’industria alimentare o per rilevare i gas durante la produzione, il nuovo sistema è molto più preciso nel distinguere odori simili e può gestire miscele aromatiche più complesse. Ad esempio, può distinguere le sottili sfumature di un profumo floreale o rilevare il debole odore di un frutto che inizia a marcire, tutti compiti che le tecnologie tradizionali hanno difficoltà a svolgere.

Gli scienziati si sono ispirati a un meccanismo biologico chiamato “codifica combinata”: nel naso umano, una molecola può attivare più recettori contemporaneamente, ed è questo “modello” di attivazione unico che consente al cervello di riconoscere un odore. I ricercatori hanno ricreato questo sistema creando sensori che generano segnali elettrici in risposta alle molecole di odore, dove ogni odore innesca una propria serie di impulsi.

Questi segnali vengono analizzati dall’intelligenza artificiale, che è addestrata per classificare accuratamente gli odori. Il risultato è un sistema olfattivo artificiale altamente efficiente che supera le soluzioni esistenti in termini di precisione e flessibilità. Il dispositivo viene creato utilizzando un laser che elabora un sottile strato di grafene, un materiale di carbonio, e un nanocatalizzatore a base di ossido di cerio. Ciò ha permesso di eliminare ingombranti apparecchiature di produzione e di semplificare la produzione di matrici di sensori flessibili.

Nei test, il prototipo è riuscito a identificare con successo nove fragranze popolari del mondo dei profumi e dei cosmetici con una precisione superiore al 95%. Riuscì anche a determinare la concentrazione di ciascun odore, rendendolo utile nell’analisi precisa delle composizioni aromatiche.

Il naso elettronico è ultrasottile, flessibile ed estremamente resistente: può essere piegato più di 30.000 volte attorno a un raggio di soli 2,5 mm senza perdere prestazioni. Ciò lo rende un candidato ideale per i dispositivi indossabili, ad esempio sotto forma di sottili adesivi da applicare sulla pelle o sugli indumenti.

“Il risultato principale del nostro lavoro è la capacità di combinare più sensori con diverse sensibilità agli odori in un unico dispositivo utilizzando un solo passaggio di elaborazione laser”, afferma il professor Hyuk-jun Kwon, che ha guidato il progetto. “Stiamo attualmente lavorando attivamente alla commercializzazione della tecnologia e alla sua applicazione in medicina, nel controllo ambientale e nell’industria dei profumi.”

L'articolo Se il tuo Smartphone ti implorerà di lavarti le Ascelle non preoccuparti. Le AI hanno iniziato ad annusare proviene da il blog della sicurezza informatica.

Dan Maloney and I were talking on the podcast about his memories of the old electronics magazines, and how they had some gonzo projects in them. One, a DIY picture phone from the 1980s, was a monster build of a hundred ICs that also required you to own a TV camera. At that time, the idea of being able to see someone while talking to them on the phone was pure science fiction, and here was a version of that which you could build yourself.

Still, we have to wonder how many of these were ever built. The project itself was difficult and expensive, but you actually have to multiply that by two if you want to talk with someone else. And then you have to turn your respective living rooms into TV studios. It wasn’t the most practical of projects.

But amazing projects did something in the old magazines that we take a little bit for granted today: they showed what was possible. And if you want to create something new, you’re not necessarily going to know how to do it, but just the idea that it’s possible at all is often enough to give a motivated hacker the drive to make it real. As skateboard hero Rodney Mullen put it, “the biggest obstacle to creativity is breaking through the barrier of disbelief”.

In the skating world, it’s seeing someone else do a trick in a video that lets you know that it’s possible, and then you can make it your own. In our world, in prehistoric times, it was these electronics magazines that showed you what was possible. In the present, it’s all over the Internet, and all over Hackaday. So when you see someone’s amazing project, even if you aren’t necessarily into it, or maybe don’t even fully understand it, your horizons of what’s possible are nonetheless expanded, and that helps us all be more creative.

Keep on pushing!

This article is part of the Hackaday.com newsletter, delivered every seven days for each of the last 200+ weeks. It also includes our favorite articles from the last seven days that you can see on the web version of the newsletter. Want this type of article to hit your inbox every Friday morning? You should sign up!

hackaday.com/2025/05/03/knowin…

In the Microchip tinyAVR 0-series, 1-series, and 2-series we see Configurable Custom Logic (CCL) among the Core Independent Peripherals (CIP) available on the chip. In this YouTube video [Grug Huhler] shows us how to make your own digital logic in hardware using the ATtiny CCL peripheral.

If you have spare pins on your tinyAVR micro you can use them with the CCL for “glue logic” and save on your bill of materials (BOM) cost. The CCL can do simple to moderately complex logic, and it does it without the need for support from the processor core, which is why it’s called a core independent peripheral. A good place to learn about the CCL capabilities in these tinyAVR series is Microchip Technical Brief TB3218: Getting Started with Configurable Custom Logic (CCL) or if you need more information see a datasheet, such as the ATtiny3226 datasheet mentioned in the video.

A tinyAVR micro will have one or two CCL peripherals depending on the series. The heart of the CCL hardware are two Lookup Tables (LUTs). Each LUT can map any three binary inputs into one binary output. This allows each LUT to be programmed with one byte as simple 2-input or 3-input logic, such as NOT, AND, OR, XOR, etc. Each LUT output can optionally be piped through a Filter/Sync function, an Edge Detector, and a Sequencer (always from the lower numbered LUT in the pair). It is also possible to mask-out LUT inputs.

In the source code that accompanies the video [Grug] includes a demonstration of a three input AND gate, an SR Latch using the sequencer, an SR Latch using feedback, and a filter/sync and edge detection circuit. The Arduino library [Grug] uses is Logic.h from megaTinyCore.

We have covered CIP and CCL technology here on Hackaday before, such as back when we showed you how to use an AVR microcontroller to make a switching regulator.

youtube.com/embed/UggNDufmtQI?…

youtube.com/embed/A5J8p6tOBf4?…

hackaday.com/2025/05/03/gettin…

In the Microchip tinyAVR 0-series, 1-series, and 2-series we see Configurable Custom Logic (CCL) among the Core Independent Peripherals (CIP) available on the chip. In this YouTube video [Grug Huhler] shows us how to make your own digital logic in hardware using the ATtiny CCL peripheral.

If you have spare pins on your tinyAVR micro you can use them with the CCL for “glue logic” and save on your bill of materials (BOM) cost. The CCL can do simple to moderately complex logic, and it does it without the need for support from the processor core, which is why it’s called a core independent peripheral. A good place to learn about the CCL capabilities in these tinyAVR series is Microchip Technical Brief TB3218: Getting Started with Configurable Custom Logic (CCL) or if you need more information see a datasheet, such as the ATtiny3226 datasheet mentioned in the video.

A tinyAVR micro will have one or two CCL peripherals depending on the series. The heart of the CCL hardware are two Lookup Tables (LUTs). Each LUT can map any three binary inputs into one binary output. This allows each LUT to be programmed with one byte as simple 2-input or 3-input logic, such as NOT, AND, OR, XOR, etc. Each LUT output can optionally be piped through a Filter/Sync function, an Edge Detector, and a Sequencer (always from the lower numbered LUT in the pair). It is also possible to mask-out LUT inputs.

In the source code that accompanies the video [Grug] includes a demonstration of a three input AND gate, an SR Latch using the sequencer, an SR Latch using feedback, and a filter/sync and edge detection circuit. The Arduino library [Grug] uses is Logic.h from megaTinyCore.

We have covered CIP and CCL technology here on Hackaday before, such as back when we showed you how to use an AVR microcontroller to make a switching regulator.

youtube.com/embed/UggNDufmtQI?…

youtube.com/embed/A5J8p6tOBf4?…

hackaday.com/2025/05/03/gettin…

A common ratchet from your garage may work wonders for tightening hard to reach bolts on whatever everyday projects around the house. However, those over at [Chronova Engineering] had a particularly unusual project where a special ratchet mechanism needed to be developed. And developed it was, an absolutely beautiful machining job is done to create a ratcheting actuator for tendon pulling. Yes, this mechanical steampunk-esk ratchet is meant for yanking on the fleshy strings found in all of us.

The unique mechanism is necessary because of the requirement for bidirectional actuation for bio-mechanics research. Tendons are meant to be pulled and released to measure the movement of the fingers or toes. This is then compared with the distance pulled from the actuator. Hopefully, this method of actuation measurement may help doctors and surgeons treat people with impairments, though in this particular case the “patient” is a chicken’s foot.

Blurred for viewing ease
Manufacturing the mechanism itself consisted of a multitude of watch lathe operations and pantographed patterns. A mixture of custom and commercial screws are used in combination with a peg gear, cams, and a high performance servo to complete the complex ratchet. With simple control from an Arduino, the system completes its use case very effectively.

In all the actuator is an incredible piece of machining ability with one of the least expected use cases. The original public listed video chose to not show the chicken foot itself due to fear of the YouTube overlords.

If you wish to see the actuator in proper action check out the uncensored and unlisted video here.

youtube.com/embed/u22Oe7FugCw?…

Thanks to [DjBiohazard] on our Discord server tips-line!

hackaday.com/2025/05/03/ratche…