CNCs come in many forms, including mills, 3D printers, lasers, and plotters, but one challenge seems universal: there’s always a project slightly too large for your machine’s work envelope. The Compass CNC addresses this limitation by incorporating the operator as part of the gantry system.

The Compass CNC features a compact core-XY gantry that moves the router only a few inches in each direction, along with Z-axis control to set the router’s depth. However, a work envelope of just a few inches would be highly restrictive. The innovation of the Compass CNC lies in its reliance on the operator to handle gross positioning of the gantry over the workpiece, while the machine manages the precise, detailed movements required for cutting.

Most of the Compass CNC is constructed from 3D printed parts, with a commercial router performing the cutting. A Teensy 4.1 serves as the control unit, managing the gantry motors, and a circular screen provides instructions to guide the operator on where to position the tool.

Those familiar with CNC routers may notice similarities to the Shaper Origin. However, key differences set the Compass CNC apart. Primarily, it is an open source project with design files freely available for those who want to build their own. Additionally, while the Shaper Origin relies on a camera system for tracking movement, the Compass CNC uses four mouse sensors to detect its position over the workpiece.

The Compass CNC is still in development, and kits containing most of the necessary components for assembly are available. We’re excited to see the innovative creations that emerge from this promising new tool.

youtube.com/embed/t5xDmslfzvs?…

hackaday.com/2025/07/25/human-…

There was a disturbance in the enterprise security world, and it started with a Pwn2Own Berlin. [Khoa Dinh] and the team at Viettel Cyber Security discovered a pair of vulnerabilities in Microsoft’s SharePoint. They were demonstrated at the Berlin competition in May, and patched by Microsoft in this month’s Patch Tuesday.

This original exploit chain is interesting in itself. It’s inside the SharePoint endpoint, /_layouts/15/ToolPane.aspx. The code backing this endpoint has a complex authentication and validation check. Namely, if the incoming request isn’t authenticated, the code checks for a flag, which is set true when the referrer header points to a sign-out page, which can be set arbitrarily by the requester. The DisplayMode value needs set to Edit, but that’s accessible via a simple URL parameter. The pagePath value, based on the URL used in the call, needs to start with /_layouts/ and end with /ToolPane.aspx. That particular check seems like a slam dunk, given that we’re working with the ToolPane.aspx endpoint. But to bypass the DisplayMode check, we added a parameter to the end of the URL, and hilariously, the pagePath string includes those parameters. The simple work-around is to append another parameter, foo=/ToolPane.aspx.

Putting it together, this means a POST of /_layouts/15/ToolPane.aspx?DisplayMode=Edit&foo=/ToolPane.aspx with the Referrer header set to /_layouts/SignOut.aspx. This approach bypasses authentication, and allows a form parameter MSOTlPn_DWP to be specified. These must be a valid file on the target’s filesystem, in the _controltemplates/ directory, ending with .iscx. But it grants access to all of the internal controls on the SafeControls list.

There’s an entire second half to [Khoa Dinh]’s write-up, detailing the discovery of a deserialization bug in one of those endpoints, that also uses a clever type-confusion sort of attack. The end result was remote code execution on the SharePoint target, with a single, rather simple request. Microsoft rolled out patches to fix the exploit chain. The problem is that Microsoft often opts to fix vulnerabilities with minimal code changes, often failing to fix the underlying code flaws. This apparently happened in this case, as the authentication bypass fix could be defeated simply by adding yet another parameter to the URL.

These bypasses were found in the wild on July 19th, and Microsoft quickly confirmed. The next day, the 20th, Microsoft issued an emergency patch to address the bypasses. The live exploitation appears to be coming from a set of Chinese threat actors, with a post-exploitation emphasis on stealing data and maintaining access. There seem to be more than 400 compromised systems worldwide, with some of those being rather high profile.

The Initramfs Encryption Bypass

While Linux enthusiasts have looked at Secure Boot with great skepticism ever since Microsoft and hardware vendors worked together to roll out this security feature, the modern reality is that Linux systems depend on it for their security assurances as well. An encrypted hard drive is of limited use if the elements used to decrypt the drive are compromised. Imagine a kernel or GRUB with a hidden backdoor, that modifies the system once the decryption password has been entered. There’s a new, interesting attack described earlier this month, that targets the initramfs.

Let’s take a quick detour to talk about how a Linux machine boots. At power start, the machine’s firmware does the Power On Self Test (POST), and then loads a UEFI payload from the hard drive. In the case of Linux, this is the shim, a first stage bootloader that then boots a signed GRUB image. GRUB then loads a signed Linux kernel and the initramfs image, which is nothing more than a compressed, minimal filesystem. It usually contains just the barest essentials to start the boot process and switch to the real root filesystem.

You may have noticed something missing in that description: The initramfs image isn’t signed. This is often built by the end-user with each new kernel, and so can’t be signed by the Linux distribution. The possibility of modifying the initramfs isn’t a new idea, but what this research adds is the observation that many distros provide a debug shell when the wrong encryption password is given several times in a row. This is quickly accessible to an attacker, and that debug shell does have access to the initramfs. A very quick “evil maid” attack is to boot the machine, fail the password several times to launch the debug shell, and install a malicious initramfs from there.

Et Tu Clear Linux?

Clear Linux OS was Intel’s playground for tuning Linux for running its best on modern Intel (and AMD) CPUs. And sadly, as of the 18th, it is no longer maintained, with updates and even security fixes ceasing immediately. This isn’t a huge surprise, as there have been several Linux engineers departing the company in recent weeks.

What’s particularly interesting is that there was no runway provided for active users, and security updates stopped immediately with this announcement. While Clear Linux wasn’t exactly intended for production use, there were certainly a group of users that used it in some variation of production use. And suddenly those users have an immediate need to migrate to a different, still supported Linux.

UI Automation

There’s a new Akamai report on malware using accessibility features to more effectively spy on users. The malware is Coyote, and a particular strain targeting Brazilian Windows users has been found using the Microsoft UI Automation (UIA) framework. When I first found this story, I thought it was about malware using Artificial Intelligence. Instead, it’s the UIA accessibility feature that makes it trivial for malware to pull detailed information from inside a running application. The researchers at Akamai have been sounding the alert over this as a potential problem for several months, so it’s particularly interesting to see it in the wild in actual use.

Prepared Injection

When I first learned PHP security, one of the golden rules was to use prepared statements, to avoid SQL injection. This is still good advice — there’s just a sneaky secret inside PHP’s PDO SQL library. It doesn’t actually do prepared statements by default. It fakes them. And in some cases, that is enough to get a SQL injection, even in a “prepared statement”.

The key to this is injection of a ? or : symbol, that the PDO parser can erroneously interpret as another bound parameter. So vulnerable code might look like $pdo->prepare("SELECT $col FROM fruit WHERE name = ?"). If an attacker can smuggle text into both the $col variable and the value to bind to name, then injection is possible.

The malicious request might look like [url=http://localhost:8000/?name=x]http://localhost:8000/?name=x[/url]` FROM (SELECT table_name AS `'x` from information_schema.tables)y;%23&col=\?%23%00. That url encoded text becomes \?#\0, which defeats PDO’s parsing logic, allowing the injection text to be inserted into the fake placeholder.

Bits and Bytes

Possibly the most depressing thing you will read today is this play-by-play of Clorox and Cognizant each blaming each other for a nasty data breach in 2023. Clorox outsourced their IT, and therefore can’t be blamed. Cognizant’ help desk reset passwords and multi factor authentication without any real verification of who was requesting those actions. And Cognizant’s statement is that Clorox should have had sufficient cybersecurity systems to mitigate these events.

VMWare’s Guest Authentication Service, VGAuth, had an issue where a limited-privilege user on a Virtual Windows machine could abuse the service to gain SYSTEM privileges. This is a bit different from the normal stories about VM additions, as this one doesn’t include an actual VM escape. Achieving SYSTEM is an important step in that direction for most exploit chains.

And finally, who needs malware or attackers, when you have AI tools? Two different AI agents were given too much freedom to work with real data, and one managed to delete folders while trying to reorganize them, while the other wiped out a production database. My favorite quote from the entire saga is directly from Gemini: “I have failed you completely and catastrophically. My review of the commands confirms my gross incompetence.”

hackaday.com/2025/07/25/this-w…

What color do you like your microcontroller boards? Blue? Red? Maybe white or black? Sadly, all of those are about to look old hat. Why? Well, as shared by [JLCPCB], this transparent Arduino looks amazing.

The board house produced this marvel using its transparent flexible printed circuit (FPC) material. Basically, the stuff they use for ribbon cables and flex PCBs, just made slightly differently to be see-through instead of vaguely brown.

The circuit in question is a Flexduino, an Arduino clone specifically designed to work on flexible substrates. It looks particularly good on this transparent material, with the LEDs glowing and the white silkscreen for contrast. If you like what you see, you can order your own circuits using this material directly from JLCPCB’s regular old order form.

Most of all, this project reminds us of the 1990s. Back then, you could get all kinds of games consoles and other electronics with transparent housings. There was the beloved PlayStation Crystal, while Nintendo did something similar with the N64 while adding a whole line of tinted color and charcoal versions too. Somehow seeing a bit of the inside of things is just cool. Even if, in some cases, it’s just to avoid smuggling in prisons.

It took decades before you could get custom PCBs quickly and easily. Now, board houses are competing for the enthusiast (consumer?) market, and competition is spurring development of crazy stuff like transparent and even glow in the dark PCBs. What next? We’re thinking edible, ROHS and WEEE be damned. Drop your thoughts in the comments.

Thanks to [George Graves] for the tip!

hackaday.com/2025/07/25/transp…

Nel corso di un’operazione internazionale coordinata, denominata “Operation Checkmate”, le forze dell’ordine hanno sferrato un duro colpo al gruppo ransomware BlackSuit (qua il link onion che è finito tra le mani delle forze dell’ordine), sequestrando i loro Data Leak Site (DLS). Questa azione mirata è stata condotta per contrastare gli attacchi che negli ultimi anni hanno preso di mira e violato le reti di centinaia di organizzazioni a livello globale.

Il Dipartimento di Giustizia degli Stati Uniti ha confermato il sequestro dei domini BlackSuit, con i siti web .onion che sono stati sostituiti da un banner che annunciava la chiusura da parte delle autorità, sottolineando l’ampiezza dell’indagine coordinata a livello internazionale. Tra i siti sequestrati figurano blog per la fuga di dati e piattaforme di negoziazione utilizzate per estorcere denaro alle vittime.

Le Forze Coinvolte L’operazione ha visto una vasta collaborazione tra diverse agenzie di sicurezza e forze dell’ordine a livello mondiale. Tra i partecipanti chiave si annoverano:

• U.S. Homeland Security Investigations
• U.S. Secret Service
• IRS: Criminal Investigation
• Department of Justice (DOJ)
• FBI
• Europol
• Landeskriminalamt Niedersachsen (Polizia criminale dello Stato tedesco)
• National Crime Agency (NCA) del Regno Unito
• North West Regional Organised Crime Unit (NWROCU)
• Polizia Nazionale Olandese
• Polizia Cyber Ucraina
• Lietuvos Kriminalinės Policijos Biuras (Ufficio di Polizia Criminale Lituano)
• Frankfurt Public Prosecutor’s Office
• Bitdefender (società rumena di sicurezza informatica)
• Delta Police

La Storia di BlackSuit

L’operazione ransomware BlackSuit è emersa tra aprile e maggio 2023. Il gruppo è un’organizzazione estorsiva su più fronti, che crittografa ed esfiltra i dati delle vittime e ospita siti pubblici per la fuga di dati per le vittime che non ottemperano alle loro richieste. Il gruppo era noto per i suoi attacchi significativi contro enti nei settori sanitario e dell’istruzione, oltre ad altri settori critici. BlackSuit è un’operazione privata in quanto non ha affiliati pubblici. I payload di BlackSuit presentano molte somiglianze tecniche con i payload del ransomware Royal , come meccanismi di crittografia e parametri della riga di comando simili.

Sono prese di mira grandi imprese e piccole e medie imprese (PMI), sebbene non sembri esserci alcuna discriminazione specifica in termini di settore o tipo di obiettivo. Analogamente a Royal , sembra che siano escluse le entità della CSI (Comunità degli Stati Indipendenti). Ad oggi, gli attacchi di BlackSuit hanno favorito le aziende operanti nei settori sanitario, dell’istruzione, dell’informatica (IT), governativo, della vendita al dettaglio e manifatturiero.

“Operation Checkmate” rappresenta un altro significativo passo avanti nella lotta globale contro la criminalità informatica, dimostrando l’efficacia della cooperazione internazionale nel disarticolare le reti ransomware e fornire supporto alle vittime.

Negli ultimi mesi, le forze dell’ordine stanno riscuotendo moltissimi successi nelle operazioni contro i gruppi cybercriminali, e questo i criminali informatici lo sanno bene. Non è raro, infatti, trovare nei forum underground discussioni in cui gli stessi attori malevoli commentano le recenti operazioni di polizia, ammettendo che il mestiere sta diventando sempre più rischioso.

Tuttavia, i forti guadagni derivanti dal ransomware continuano a rappresentare una motivazione irresistibile, mantenendo alta l’attenzione dei criminali su questo business: il numero di attacchi subiti dalle aziende e le somme spese per fronteggiarli, infatti, non accennano a diminuire.

Il Decryptor e il Supporto alle Vittime

Come in altre situazioni analoghe di successo contro i gruppi ransomware, è stato prodotto e reso disponibile un decryptor per consentire alle aziende colpite di recuperare l’accesso ai propri dati e di uscire dalla cifratura. Questo passo cruciale mira a mitigare il danno subito dalle vittime e a supportare le organizzazioni nel ripristino delle proprie operazioni.

L'articolo Operazione Checkmate: colpo grosso delle forze dell’ordine. BlackSuit è stato fermato! proviene da il blog della sicurezza informatica.

Il più grande costruttore navale francese per la difesa, Naval Group, sta affrontando un incidente di sicurezza informatica potenzialmente grave a seguito delle affermazioni degli autori della minaccia che riportano di aver compromesso sistemi interni critici, compresi quelli legati alle operazioni navali militari francesi.

Gli hacker hanno pubblicato la presunta violazione su un noto forum specializzato in fughe di dati, sostenendo di aver avuto accesso a materiale sensibile come il codice sorgente dei sistemi di gestione del combattimento (CMS) utilizzati nei sottomarini e nelle fregate francesi. Gli aggressori non mirano a vendere i dati rubati, ma a estorcere denaro all’appaltatore della difesa, minacciando di divulgare informazioni riservate se le loro richieste non saranno soddisfatte.

Naval Group, con sede a Parigi e oltre 15.000 dipendenti, è un importante fornitore di soluzioni navali di livello militare in tutta Europa. Con un fatturato annuo superiore a 5 miliardi di dollari (4,3 miliardi di euro), l’azienda è di proprietà congiunta del governo francese e del gigante dell’elettronica per la difesa Thales Group.

Disclaimer: Questo rapporto include screenshot e/o testo tratti da fonti pubblicamente accessibili. Le informazioni fornite hanno esclusivamente finalità di intelligence sulle minacce e di sensibilizzazione sui rischi di cybersecurity. Red Hot Cyber condanna qualsiasi accesso non autorizzato, diffusione impropria o utilizzo illecito di tali dati. Al momento, non è possibile verificare in modo indipendente l’autenticità delle informazioni riportate, poiché l’organizzazione coinvolta non ha ancora rilasciato un comunicato ufficiale sul proprio sito web. Di conseguenza, questo articolo deve essere considerato esclusivamente a scopo informativo e di intelligence.

Di seguito il post tradotto in lingua italiana presente all’interno del forum underground.
la perdita completa contiene:

- CMS top secret classificato per sottomarini e fregate disponibile con codice sorgente + guida utente per l'implementazione infrastrutturale (è necessario un server di grandi dimensioni per eseguire l'intero CMS)
- Dati di rete in base ai sottomarini e alle fregate
- Documenti tecnici DCN/DCNS/ Naval Group con diversi tipi di classificazione, "Distribuzione limitata", "Francia speciale", ecc. I documenti iniziano dal 2006, ma principalmente dal 2019 al 2024.
- VM degli sviluppatori con diversi simulatori della marina al loro interno
- Scambi riservati intercettati tramite la loro messaggistica interna HCL Notes

Naval Group ha 72 ore per contattarmi.

Dopo questa scadenza, farò trapelare tutto gratuitamente

Cosa sostengono gli hacker di aver rubato al Naval Group

Secondo il post condiviso dai criminali informatici, durante la violazione sarebbe stato effettuato l’accesso ai seguenti asset:

• Codice sorgente che alimenta il CMS di sottomarini e fregate
• Topologia della rete interna e dati di rete correlati
• Documenti tecnici etichettati con diversi livelli di sensibilità
• Ambienti di macchine virtuali per sviluppatori
• Comunicazioni interne riservate

Gli aggressori hanno anche incluso nel loro post un campione di dati di 13 GB come prova. Tra i file trapelati ci sono risorse multimediali, tra cui anche dei video.

Implicazioni per la sicurezza nazionale

La prospettiva che soggetti stranieri o gruppi criminali possano ottenere accesso al software che governa i sistemi di combattimento a bordo di navi militari operative è estremamente allarmante. Se confermata, la divulgazione del codice sorgente e della documentazione riservata del CMS (Combat Management System) non solo comprometterebbe l’integrità tecnologica di Naval Group, ma costringerebbe anche il Ministero delle Forze Armate francese a costosi interventi correttivi, tra cui audit di sicurezza, aggiornamenti dei sistemi e verifiche approfondite.

Sebbene la reale entità dei danni e la portata della violazione non siano ancora stati verificati, è noto che gli aggressori mossi da finalità estorsive tendono a sovrastimare il valore e l’impatto delle informazioni sottratte, per aumentare la pressione psicologica e finanziaria sulle vittime. Resta da capire se questo sia uno di quei casi.

Fondato nel XVII secolo e precedentemente noto come DCN (Direction des Constructions Navales), Naval Group occupa da sempre un ruolo centrale nella strategia di difesa marittima francese. L’azienda ha realizzato, tra l’altro, l’unica portaerei francese a propulsione nucleare, la Charles de Gaulle, a testimonianza della sua importanza strategica per le capacità difensive del Paese.

Una compromissione dell’infrastruttura digitale di Naval Group non si limiterebbe a esporre dati operativi sensibili, ma evidenzierebbe anche la crescente vulnerabilità degli appaltatori militari di alto profilo in Europa. L’esito di questa possibile violazione, se confermata, potrebbe avere conseguenze rilevanti e durature sulla sicurezza nazionale francese e sulla strategia industriale di cybersecurity.

L'articolo I Criminal Hacker rivendicano un attacco alla Naval Group. 72 ore per pagare il riscatto proviene da il blog della sicurezza informatica.

Reachy Mini is a kit for a compact, open-source robot designed explicitly for AI experimentation and human interaction. The kit is available from Hugging Face, which is itself a repository and hosting service for machine learning models. Reachy seems to be one of their efforts at branching out from pure software.
Our guess is that some form of Stewart Platform handles the head movement.
Reachy Mini is intended as a development platform, allowing people to make and share models for different behaviors, hence the Hugging Face integration to make that easier. On the inside of the full version is a Raspberry Pi, and we suspect some form of Stewart Platform is responsible for the movement of the head. There’s also a cheaper (299 USD) “lite” version intended for tethered use, and a planned simulator to allow development and testing without access to a physical Reachy at all.

Reachy has a distinctive head and face, so if you’re thinking it looks familiar that’s probably because we first covered Reachy the humanoid robot as a project from Pollen Robotics (Hugging Face acquired Pollen Robotics in April 2025.)

The idea behind the smaller Reachy Mini seems to be to provide a platform to experiment with expressive human communication via cameras and audio, rather than to be the kind of robot that moves around and manipulates objects.

It’s still early in the project, so if you want to know more you can find a bit more information about Reachy Mini at Pollen’s site and you can see Reachy Mini move in a short video, embedded just below.

youtube.com/embed/JvdBJZ-qR18?…

hackaday.com/2025/07/25/reachy…

On July 19–20, 2025, various security companies and national CERTs published alerts about active exploitation of on-premise SharePoint servers. According to the reports, observed attacks did not require authentication, allowed attackers to gain full control over the infected servers, and were performed using an exploit chain of two vulnerabilities: CVE-2025-49704 and CVE-2025-49706, publicly named “ToolShell”. Additionally, on the same dates, Microsoft released out-of-band security patches for the vulnerabilities CVE-2025-53770 and CVE-2025-53771, aimed at addressing the security bypasses of previously issued fixes for CVE-2025-49704 and CVE-2025-49706. The release of the new, “proper” updates has caused confusion about exactly which vulnerabilities attackers are exploiting and whether they are using zero-day exploits.

Kaspersky products proactively detected and blocked malicious activity linked to these attacks, which allowed us to gather statistics about the timeframe and spread of this campaign. Our statistics show that widespread exploitation started on July 18, 2025, and attackers targeted servers across the world in Egypt, Jordan, Russia, Vietnam, and Zambia. Entities across multiple sectors were affected: government, finance, manufacturing, forestry, and agriculture.

While analyzing all artifacts related to these attacks, which were detected by our products and public information provided by external researchers, we found a dump of a POST request that was claimed to contain the malicious payload used in these attacks. After performing our own analysis, we were able to confirm that this dump indeed contained the malicious payload detected by our technologies, and that sending this single request to an affected SharePoint installation was enough to execute the malicious payload there.

Our analysis of the exploit showed that it did rely on vulnerabilities fixed under CVE-2025-49704 and CVE-2025-49706, but by changing just one byte in the request, we were able to bypass those fixes.

In this post, we provide detailed information about CVE-2025-49704, CVE-2025-49706, CVE-2025-53770, CVE-2025-53771, and one related vulnerability. Since the exploit code is already published online, is very easy to use, and poses a significant risk, we encourage all organizations to install the necessary updates.

The exploit

Our research started with an analysis of a POST request dump associated with this wave of attacks on SharePoint servers.

Snippet of the exploit POST request

We can see that this POST request targets the “/_layouts/15/ToolPane.aspx” endpoint and embeds two parameters: “MSOtlPn_Uri” and “MSOtlPn_DWP”. Looking at the code of ToolPane.aspx, we can see that this file itself does not contain much functionality and most of its code is located in the ToolPane class of the Microsoft.SharePoint.WebPartPages namespace in Microsoft.SharePoint.dll. Looking at this class reveals the code that works with the two parameters present in the exploit. However, accessing this endpoint under normal conditions is not possible without bypassing authentication on the attacked SharePoint server. This is where the first Microsoft SharePoint Server Spoofing Vulnerability CVE-2025-49706 comes into play.

CVE-2025-49706

This vulnerability is present in the method PostAuthenticateRequestHandler, in Microsoft.SharePoint.dll. SharePoint requires Internet Information Services (IIS) to be configured in integrated mode. In this mode, the IIS and ASP.NET authentication stages are unified. As a result, the outcome of IIS authentication is not determined until the PostAuthenticateRequest stage, at which point both the ASP.NET and IIS authentication methods have been completed. Therefore, the PostAuthenticateRequestHandler method utilizes a series of flags to track potential authentication violations. A logic bug in this method enables an authentication bypass if the “Referrer” header of the HTTP request is equal to “/_layouts/SignOut.aspx”, “/_layouts/14/SignOut.aspx”, or “/_layouts/15/SignOut.aspx” using case insensitive comparison.

Vulnerable code in PostAuthenticateRequestHandler method (Microsoft.SharePoint.dll version 16.0.10417.20018)

The code displayed in the image above handles the sign-out request and is also triggered when the sign-out page is specified as the referrer. When flag6 is set to false and flag7 is set to true, both conditional branches that could potentially throw an “Unauthorized Access” exception are bypassed.

Unauthorized access checks bypassed by the exploit

On July 8, 2025, Microsoft released an update that addressed this vulnerability by introducing additional checks to detect the usage of the “ToolPane.aspx” endpoint with the sign-out page specified as the referrer.

CVE-2025-49706 fix (Microsoft.SharePoint.dll version 16.0.10417.20027)

The added check uses case insensitive comparison to verify if the requested path ends with “ToolPane.aspx”. Is it possible to bypass this check, say, by using a different endpoint? Our testing has shown that this check can be easily bypassed.

CVE-2025-53771

We were able to successfully bypass the patch for vulnerability CVE-2025-49706 by adding just one byte to the exploit POST request. All that was required to bypass this patch was to add a “/” (slash) to the end of the requested “ToolPane.aspx” path.

Bypass for CVE-2025-49706 fix

On July 20, 2025, Microsoft released an update that fixed this bypass as CVE-2025-53771. This fix replaces the “ToolPane.aspx” check to instead check whether the requested path is in the list of paths allowed for use with the sign-out page specified as the referrer.

CVE-2025-53771 fix (Microsoft.SharePoint.dll version 16.0.10417.20037)

This allowlist includes the following paths: “/_layouts/15/SignOut.aspx”, “/_layouts/15/1033/initstrings.js”, “/_layouts/15/init.js”, “/_layouts/15/theming.js”, “/ScriptResource.axd”, “/_layouts/15/blank.js”, “/ScriptResource.axd”, “/WebResource.axd”, “/_layouts/15/1033/styles/corev15.css”, “/_layouts/15/1033/styles/error.css”, “/_layouts/15/images/favicon.ico”, “/_layouts/15/1033/strings.js”, “/_layouts/15/core.js”, and it can contain additional paths added by the administrator.

While testing the CVE-2025-49706 bypass with the July 8, 2025 updates installed on our SharePoint debugging stand, we noticed some strange behavior. Not only did the bypass of CVE-2025-49706 work, but the entire exploit chain did! But wait! Didn’t the attackers use an additional Microsoft SharePoint Remote Code Execution Vulnerability CVE-2025-49704, which was supposed to be fixed in the same update? To understand why the entire exploit chain worked in our case, let’s take a look at the vulnerability CVE-2025-49704 and how it was fixed.

CVE-2025-49704

CVE-2025-49704 is an untrusted data deserialization vulnerability that exists due to improper validation of XML content. Looking at the exploit POST request, we can see that it contains two URL encoded parameters: “MSOtlPn_Uri” and “MSOtlPn_DWP”. We can see how they are handled by examining the code of the method GetPartPreviewAndPropertiesFromMarkup in Microsoft.SharePoint.dll. A quick analysis reveals that “MSOtlPn_Uri” is a page URL that might be pointing to an any file in the CONTROLTEMPLATES folder and the parameter “MSOtlPn_DWP” contains something known as WebPart markup. This markup contains special directives that can be used to execute safe controls on a server and has a format very similar to XML.

WebPart markup used by the attackers

While this “XML” included in the “MSOtlPn_DWP” parameter does not itself contain a vulnerability, it allows attackers to instantiate the ExcelDataSet control from Microsoft.PerformancePoint.Scorecards.Client.dll with CompressedDataTable property set to malicious payload and trigger its processing using DataTable property getter.

Code of the method that handles the contents of ExcelDataSet’s CompressedDataTable property in the DataTable property getter

Looking at the code of the ExcelDataSet’s DataTable property getter in Microsoft.PerformancePoint.Scorecards.Client.dll, we find the method GetObjectFromCompressedBase64String, responsible for deserialization of CompressedDataTable property contents. The data provided as Base64 string is decoded, unzipped, and passed to the BinarySerialization.Deserialize method from Microsoft.SharePoint.dll.

DataSet with XML content exploiting CVE-2025-49704 (deserialized)

Attackers use this method to provide a malicious DataSet whose deserialized content is shown in the image above. It contains an XML with an element of dangerous type "System.Collections.Generic.List`1[[System.Data.Services.Internal.ExpandedWrapper`2[...], System.Data.Services, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089]]" , which allows attackers to execute arbitrary methods with the help of the well-known ExpandedWrapper technique aimed at exploitation of unsafe XML deserialization in applications based on the .NET framework. In fact, this shouldn’t be possible, since BinarySerialization.Deserialize in Microsoft.SharePoint.dll uses a special XmlValidator designed to protect against this technique by checking the types of all elements present in the provided XML and ensuring that they are on the list of allowed types. However, the exploit bypasses this check by placing the ExpandedWrapper object into the list.

Now, to find out why the exploit worked on our SharePoint debugging stand with the July 8, 2025 updates installed, let’s take a look at how this vulnerability was fixed. In this patch, Microsoft did not really fix the vulnerability but only mitigated it by adding the new AddExcelDataSetToSafeControls class to the Microsoft.SharePoint.Upgrade namespace. This class contains new code that modifies the web.config file and marks the Microsoft.PerformancePoint.Scorecards.ExcelDataSet control as unsafe. Because SharePoint does not execute this code on its own after installing updates, the only way to achieve the security effect was to manually run a configuration upgrade using the SharePoint Products Configuration Wizard tool. Notably, the security guidance for CVE-2025-49704 does not mention the need for this step, which means at least some SharePoint administrators may skip it. Meanwhile, anyone who installed this update but did not manually perform a configuration upgrade remained vulnerable.

CVE-2025-53770

On July 20, 2025, Microsoft released an update with a proper fix for the CVE-2025-49704 vulnerability. This patch introduces an updated XmlValidator that now properly validates element types in XML, preventing exploitation of this vulnerability without requiring a configuration upgrade and, more importantly, addressing the root cause and preventing exploitation of the same vulnerability through controls other than Microsoft.PerformancePoint.Scorecards.ExcelDataSet.

Code of new type verifier in updated XmlValidator

CVE-2020-1147

Readers familiar with previous SharePoint exploits might feel that the vulnerability CVE-2025-49704/CVE-2025-53770 and the exploit used by the attackers looks very familiar and very similar to the older .NET Framework, SharePoint Server, and Visual Studio Remote Code Execution Vulnerability CVE-2020-1147. In fact, if we compare the exploit for CVE-2020-1147 and an exploit for CVE-2025-49704/CVE-2025-53770, we can see that they are almost identical. The only difference is that in the exploit for CVE-2025-49704/CVE-2025-53770, the dangerous ExpandedWrapper object is placed in the list. This makes CVE-2025-53770 an updated fix for CVE-2020-1147.

DataSet with XML content exploiting CVE-2020-1147

Conclusions

Despite the fact that patches for the ToolShell vulnerabilities are now available for deployment, we assess that this chain of exploits will continue being used by attackers for a long time. We have been observing the same situation with other notorious vulnerabilities, such as ProxyLogon, PrintNightmare, or EternalBlue. While they have been known for years, many threat actors still continue leveraging them in their attacks to compromise unpatched systems. We expect the ToolShell vulnerabilities to follow the same fate, as they can be exploited with extremely low effort and allow full control over the vulnerable server.

To stay better protected against threats like ToolShell, we as a community should learn lessons from previous events in the industry related to critical vulnerabilities. Specifically, the speed of applying security patches nowadays is the most important factor when it comes to fighting such vulnerabilities. Since public exploits for these dangerous vulnerabilities appear very soon after vulnerability announcements, it is paramount to install patches as soon as possible, as a gap of even a few hours can make a critical difference.

At the same time, it is important to protect enterprise networks against zero-day exploits, which can be leveraged when there is no available public patch for vulnerabilities. In this regard, it is critical to equip machines with reliable cybersecurity solutions that have proven effective in combatting ToolShell attacks before they were publicly disclosed.

Kaspersky Next with its Behaviour detection component proactively protects against exploitation of these vulnerabilities. Additionally, it is able to detect exploitation and the subsequent malicious activity.

Kaspersky products detect the exploits and malware used in these attacks with the following verdicts:

• UDS:DangerousObject.Multi.Generic
• PDM:Exploit.Win32.Generic
• PDM:Trojan.Win32.Generic
• HEUR:Trojan.MSIL.Agent.gen
• ASP.Agent.*
• PowerShell.Agent.*

securelist.com/toolshell-expla…

La guerra elettronica sta assumendo un ruolo sempre più strategico nei moderni scenari bellici, diventando un elemento cruciale per proteggere infrastrutture, truppe e mezzi dalle minacce aeree e digitali. In questo contesto, l’azienda ucraina Kvertus ha annunciato l’avvio della produzione in serie del nuovo robot da guerra elettronica “AD Berserk”, come dichiarato dal CEO Yaroslav Filimonov tramite Facebook.

L’AD Berserk è progettato per operare in prima linea con un’autonomia fino a 12 ore e un raggio operativo di 20 km, caratteristiche che lo rendono adatto a missioni prolungate e distribuite sul territorio. Il raggio di controllo, anch’esso di 20 km, consente agli operatori di manovrare il robot mantenendo una distanza di sicurezza dalle aree più pericolose.

Secondo quanto riportato da Kvertus, questo sistema di guerra elettronica è in grado di generare interferenze sulle frequenze utilizzate da droni kamikaze, droni multirotore e droni da bombardamento, compromettendone il controllo remoto o il segnale GPS. In un conflitto dove i droni commerciali e militari sono diventati strumenti essenziali per ricognizione e attacchi, la capacità di “accecamento” elettronico rappresenta una difesa fondamentale.

I compiti operativi del “Berserk”

Il “Berserk” non è solo un jammer mobile: tra le sue funzioni operative principali troviamo:

• evacuazione e copertura dei feriti in zone esposte;
• protezione e supporto durante operazioni di sminamento;
• supporto alle truppe nelle operazioni d’assalto;
• difesa dei corridoi logistici, proteggendo linee di rifornimento e trasporto.

Questo approccio multi-ruolo dimostra come la guerra elettronica non sia più solo una disciplina passiva di disturbo, ma stia evolvendo in sistemi mobili, autonomi e sempre più integrati nel campo di battaglia.

Innovazione continua e sviluppo tecnologico

Il CEO di Kvertus ha sottolineato che le tecnologie vengono aggiornate ogni mese, con miglioramenti costanti per affrontare un nemico che evolve rapidamente. “L’obiettivo è sempre lo stesso: proteggere dai droni, salvare vite umane, preservare attrezzature e posizioni”, ha affermato Filimonov.

L’azienda sta già gestendo decine di ordini per il “Berserk”, segnale del crescente interesse verso soluzioni che combinano mobilità, autonomia e potenza di guerra elettronica.

L'articolo Guerra elettronica e robotica: l’Ucraina punta su “AD Berserk” per contrastare i droni nemici proviene da il blog della sicurezza informatica.

When you think of a tape recorder, you might think of a cassette tape. However, [Michael Simpson] has an old Star-Lite small reel-to-reel tape machine. It isn’t a repair so much as a rework to make it work better. These cheap machines were never the best, although a $19 tape player back then was a luxury.

Part of the problem is that the design of the tape player wasn’t all that good to begin with. The motor runs off two C cells in parallel. When these were new in the 1960s, that would have meant conventional carbon-zinc batteries, so the voltage would have varied wildly. Didn’t matter, though, because the drive was directly to the tape reel, so the speed also varied based on how much tape was left on the reel.

The amplifier has four transistors. [Michael] decided to replace the capacitors on the unit. He noticed, too, that the volume control is in line with the microphone when recording, so even though the recording was supposedly in need of repair, it turned out to be simply a case of the volume control being turned down. Pretty impressive for a six-decade-old piece of consumer electronics.

The capacitor change-out was simple enough. Some cleaning and lubing was also in order. Did it help? You’ll have to listen and decide for yourself.

So, no real repair was in the works, but it is an interesting look back at an iconic piece of consumer tech. Tape recorders like this were an early form of social media. No kidding. If you’d rather not buy a tape recorder, you could roll your own.

youtube.com/embed/xhlOx0g2Abg?…

hackaday.com/2025/07/24/not-re…

The switch from analog telephone exchanges to a purely digital network meant a revolution in just about any way imaginable. Gone were the bulky physical switches and associated system limitations. In the UK this change happened in the early 1980s, with what the Post Office Telecommunications (later British Telecom) and associated companies called System X. Along with the system’s rollout, promotional videos like this 1983 one were meant to educate the public and likely any investors on what a smashing idea the whole system was.

Although for the average person in the UK the introduction of the new digital telephone network probably didn’t mean a major change beyond a few new features like group calls, the same wasn’t true for the network operator whose exchanges and networks got much smaller and more efficient, as explained in the video. To this day System X remains the backbone of the telephone network in the UK.

To get an idea of the immense scale of the old analog system, this 1982 video (also embedded below) shows the system as it existed before System X began to replace it. The latter part of the video provides significant detail of System X and its implementation at the time, although when this video was produced much of the system was still being developed.

Thanks to [James Bowman] for the tip.

youtube.com/embed/xy_6DL4haJA?…

youtube.com/embed/Ni5NMlMOxG4?…

hackaday.com/2025/07/24/when-t…

Remember the 80286? It was the sequel to the 8086, the chip that started it all, and it powered a great number of machines in the early years of the personal computing revolution. It might not be as relevant today, but regardless, [Daniel Balsom] has now released a comprehensive test suite for the ancient chip. (via The Register)

The complete battery of tests are available on Github, and were produced using a Harris N80C286-12 from 1986. “The real mode test suite contains 326 instruction forms, containing nearly 1.5 million instruction executions with over 32 million cycle states captured,” Daniel explains. “This is fewer tests than the previous 8088 test suite, but test coverage is better overall due to improved instruction generation methods.” For now, the tests focus on the 286 running in real mode. There are no “unreal” or protected mode tests, but [Daniel] aims to deliver the in the future.

[Daniel] uses the tests with the ArduinoX86, a platform that uses the microcontroller to control and test old-school CPUs. The tests aid with development of emulators like [Daniel’s] own MartyPC, by verifying the CPU’s behavior in a cycle-accurate way.

We’ve explored some secrets of the 286 before, too. If you’ve been doing your own digging into Intel’s old processors, or anyone else’s for that matter, don’t hesitate to notify the tipsline.

[Thanks to Stephen Walters for the tip!]

hackaday.com/2025/07/24/compre…

Most research on electroplating tries to find ways to make it plate parts more uniformly. [Ajc150] took the opposite direction, though, with his selective electroplating project, which uses an electrode mounted on a CNC motion system to electrochemically print images onto a metal sheet (GitHub repository).

Normally, selective electroplating would use a mask, but masks don’t allow gradients to be deposited. However, electroplating tends to occur most heavily at the point closest to the anode, and the effect gets stronger the closer the anode is. To take advantage of this effect, [ajc150] replaced the router of an inexpensive 3018 CNC machine with a nickel anode, mounted an electrolyte bath in the workspace, and laid a flat steel cathode in it. When the anode moves close to a certain point on the steel cathode, most of the plating takes place there.

To actually print an image with this setup, [ajc150] wrote a Python program to convert an image into set of G-code instructions for the CNC. The darker a pixel of the image was, the longer the electrode would spend over the corresponding part of the metal sheet. Since darkness wasn’t linearly proportional to plating time, the program used a gamma correction function to adjust times, though this did require [ajc150] to recalibrate the setup after each change. The system works well enough to print recognizable images, but still has room for improvement. In particular, [ajc150] would like to extend this to a faster multi-nozzle system, and have the algorithm take into account spillover between the pixel being plated and its neighbors.

This general technique is reminiscent of a metal 3D printing method we’ve seen before. We more frequently see this process run in reverse to cut metal.

hackaday.com/2025/07/24/painti…

One of the categories we chose for the One Hertz Challenge is “Could Have Used a 555.” What about when you couldn’t have, but did anyway? The 555 is famously easy to use, but not exactly the most accurate timer out there — one “ticking” at 1 Hz will pulse just about once per second (probably to within a millisecond, depending on the rest of the circuit), but when you need more precise timing, the 555 just won’t cut it. Not on its own, anyway.
Allan Deviation can be a bit confusing, but generally — lower is more accurate
This entry by [burble] shows us how the humble 555 can hold its own in more demanding systems with some help from a GPS receiver. He used the One Pulse per Second (1PPS) output from a GPS module to discipline the 1 Hz output from a 555 by modulating the control voltage with a microcontroller.

Okay, this sounds a bit like baking a cake by buying a cake, scraping all the icing off, then icing it yourself, but what better way to learn how to ice a cake? The GPS-disciplined 555 is way more accurate than a free running one — just check out that Allan Deviation plot. While the accuracy of the standard 555 begins to decrease as oscillator drift dominates, the GPS-disciplined version just keeps getting better (up to a point — it would also eventually begin to increase, if the data were recorded for long enough). Compared to other high-end oscillators though, [burble] describes the project’s accuracy in one word: “Badly.”

That’s okay though — it really is a fantastic investigation into how GPS-disciplined oscillators work, and does a fantastic job illustrating the accuracy of different types of clocks, and some possible sources of error. This project is a great addition to some of the other precision timekeeping projects we’ve seen here at Hackaday, and a very fitting entry to the competition. Think you can do better? Or much, much worse? You’ve got a few weeks left to enter!

hackaday.com/2025/07/24/2025-o…

Computers and cellphones can do so many things, but sometimes if you want to doodle or take a note, pencil and paper is the superior technology. You could carry a device and a pocket notebook, or you could combine the best of analog and digital with the KeyMo.

[NuMellow] wanted a touchpad in addition to a keyboard for his portable terminal since he felt Raspbian wouldn’t be so awesome on a tiny touchscreen. With a wider device than something like Beepy, and a small 4″ LCD already on hand, he realized he had some space to put something else up top. Et voila, a cyberdeck with a small notebook for handwritten/hand drawn information.

The device lives in a 3D printed case, which made some iterations on the keyboard placement simpler, and [NuMellow] even provided us with actual run time estimates in the write-up, which is something we often are left wondering about in cyberdeck builds. If you’re curious, he got up to 7.5 hours on YouTube videos with the brightness down or 3.5 hours with it at maximum. The exposed screen and top-heaviness of the device are areas he’s pinpointed as the primary cons of the system currently. We hope to see an updated version in the future that addresses these.

If you’d like to check out some other rad cyberdecks, how about a schmancy handheld, one driven by punch cards in a child’s toy, or this one with a handle and a giant scroll wheel?

hackaday.com/2025/07/24/keymo-…

“Combattere il cybercrime è come estirpare le erbacce: se non elimini le radici a fondo, queste ricresceranno” e oggi, più che mai, questa verità si conferma essere vera. Infatti il gruppo hacktivista filorusso NoName057(16) continua a far parlare di sé rivendicando nuove azioni di disturbo e sabotaggio che colpiscono infrastrutture critiche e siti istituzionali italiani.

Tutto questo avviene dopo pochi giorni dall’operazione Eastwood, durante la quale paesi come Italia, Germania, Stati Uniti, Paesi Bassi, Svizzera, Svezia, Francia e Spagna hanno contribuito a rallentare le attività del gruppo di hacker filorussi.

In un recente post pubblicato sul loro canale Telegram (in versione inglese), il collettivo ha annunciato di aver “collassato” diversi siti italiani legati alla gestione portuale e alla difesa, mostrando screenshot di portali irraggiungibili e messaggi di errore come “403 Forbidden” o “Service Unavailable”.

Tra gli obiettivi dichiarati nel post ci sono:

• Associazione dei porti dell’Alto Adriatico
• Forze aeree di Varo d’Italia
• Guardia di finanza italiana
• Gestione del sistema portuale dell’Adriatico Centrale
• Porti di Olbia e Golfo Aranci

Il gruppo ha anche condiviso link a report di monitoraggio (tramite check-host.net) per dimostrare la caduta dei siti presi di mira, accompagnando il messaggio con la consueta retorica provocatoria e l’uso di emoji minacciose. Questa azione conferma la strategia di NoName057(16), che negli ultimi mesi ha intensificato attacchi DDoS e operazioni di defacement contro paesi europei considerati “ostili” alla Russia, tra cui l’Italia.

Ma il quadro diventa ancora più inquietante se si guarda a un altro annuncio recente dello stesso gruppo. Due giorni fa, NoName057(16) ha dichiarato di essersi infiltrato nel sistema di controllo dell’impianto di trattamento delle acque di Ostrava, una città nel nord-est della Repubblica Ceca.

Secondo il messaggio diffuso, gli hacktivisti avrebbero alterato parametri critici del sistema, causando guasti a compressori e pompe, rallentando la filtrazione e creando falsi allarmi che ostacolano il monitoraggio e la manutenzione.

Nella loro rivendicazione, gli hacktivisti hanno spiegato in dettaglio come avrebbero:

• Ridotto artificialmente la pressione dell’aria, portando a cedimenti dei compressori.
• Sbilanciato la logica di funzionamento delle pompe, generando errori di flusso.
• Modificato parametri di differenziale di pressione per far apparire costanti malfunzionamenti.

Il messaggio si chiude con una minaccia esplicita: “Se non ripristinate il controllo e non migliorate la vostra patetica sicurezza informatica, le conseguenze potrebbero essere più gravi: arresto del sistema, contaminazione dell’acqua o danni irreversibili alle apparecchiature. Possiamo ripristinare il controllo, ma solo alle nostre condizioni. Pensate a chi ha davvero il controllo della situazione.”

Questa escalation dimostra come NoName057(16) stia passando da azioni principalmente dimostrative a tentativi di sabotaggio mirati, che puntano a colpire infrastrutture civili essenziali, aumentando così la pressione psicologica e politica sui paesi bersaglio.

Il caso dell’impianto di Ostrava segna un salto di qualità nelle attività del gruppo: non più soltanto attacchi DDoS per bloccare temporaneamente l’accesso a siti istituzionali, ma intrusioni che incidono sul funzionamento reale di sistemi critici.

Un campanello d’allarme per tutti i paesi europei, chiamati a rafforzare la sicurezza delle proprie infrastrutture, che si confermano sempre più nel mirino di gruppi hacktivisti e cyber criminali con finalità politiche.

L'articolo Nuovi attacchi all’Italia da NoName057(16) e una Infiltrazione nel sistema idrico ceco proviene da il blog della sicurezza informatica.

After World War II, as early supersonic military aircraft were pushing the boundaries of flight, it seemed like a foregone conclusion that commercial aircraft would eventually fly faster than sound as the technology became better understood and more affordable. Indeed, by the 1960s the United States, Britain, France, and the Soviet Union all had plans to develop commercial transport aircraft capable flight beyond Mach 1 in various stages of development.
Concorde on its final flight
Yet today, the few examples of supersonic transport (SST) planes that actually ended up being built are in museums, and flight above Mach 1 is essentially the sole domain of the military. There’s an argument to be made that it’s one of the few areas of technological advancement where the state-of-the-art not only stopped moving forward, but actually slid backwards.

But that might finally be changing, at least in the United States. Both NASA and the private sector have been working towards a new generation of supersonic aircraft that address the key issues that plagued their predecessors, and a recent push by the White House aims to undo the regulatory roadblocks that have been on the books for more than fifty years.

The Concorde Scare

Those with even a passing knowledge of aviation history will of course be familiar with the Concorde. Jointly developed by France and Britain, the sleek aircraft has the distinction of being the only SST to achieve successful commercial operation — conducting nearly 50,000 flights between 1976 and 2003. With an average cruise speed of around Mach 2.02, it could fly up to 128 passengers from Paris to New York in just under three and a half hours.

But even before the first paying passengers climbed aboard, the Concorde put American aircraft companies such as Boeing and Lockheed into an absolute panic. It was clear that none of their SST designs could beat it to market, and there was a fear that the Concorde (and by extension, Europe) would dominate commercial supersonic flight. At least on paper, it seemed like the Concorde would quickly make subsonic long-range jetliners such as the Boeing 707 obsolete, at least for intercontinental routes. Around this time, the Soviet Union also started developing their own SST, the Tupolev Tu-144.

The perceived threat was so great that US aerospace companies started lobbying Congress to provide the funds necessary to develop an American supersonic airliner that was faster and could carry more passengers than the Concorde or Tu-144. In June of 1963, President Kennedy announced the creation of the National Supersonic Transport program during a speech at the US Air Force Academy. Four years later it was announced that Boeing’s 733-390 concept had been selected for production, and by the end of 1969, 26 airlines had put in reservations to purchase what was assumed to be the future of American air travel.
Boeing’s final 2707-300 SST concept shared several design elements with the Concorde. Original image by Nubifer.
Even for a SST, the 733-390 was ambitious. It didn’t take long before Boeing started scaling back the design, first deleting the complex swing-wing mechanism for a fixed delta wing, before ultimately shrinking the entire aircraft. Even so, the redesigned aircraft (now known as the Model 2707-300) was expected to carry nearly twice as many passengers as the Concorde and travel at speeds up to Mach 3.

A Change in the Wind

But by the dawn of the 1970s it was clear that the Concorde, and the SST concept in general, wasn’t shaping up the way many in the industry expected. Even though it had yet to make its first commercial flight, demand for the Concorde among airlines was already slipping. It was initially predicted that the Concorde fleet would number as high as 350 by the 1980s, but by the time the aircraft was ready to start flying passengers, there were only 76 orders on the books.

Part of the problem was the immense cost overruns of the Concorde program, which lead to a higher sticker price on the aircraft than the airlines had initially expected. But there was also a growing concern over the viability of SSTs. A newer generation of airliners including the Boeing 747 could carry more passengers than ever, and were more fuel efficient than their predecessors. Most importantly, the public had become concerned with the idea of regular supersonic flights over their homes and communities, and imagined a future where thunderous sonic booms would crack overhead multiple times a day.

Although President Nixon supported the program, the Senate rejected any further government funding for an American SST in March of 1971. The final blow to America’s supersonic aspirations came in 1973, when the Federal Aviation Administration (FAA) enacted 14 CFR 91.817 “Civil Aircraft Sonic Boom” — prohibiting civilian flight beyond Mach 1 over the United States without prior authorization.

In the end, the SST revolution never happened. Just twenty Concorde aircraft were built, with Air France and British Airways being the only airlines that actually went through with their orders. Rather than taking over as the standard, supersonic air travel turned out to be a luxury that only a relatively few could afford.

The Silent Revolution

Since then, there have been sporadic attempts to develop a new class of civilian supersonic aircraft. But the most promising developments have only occurred in the last few years, as improved technology and advanced computer modeling has made it possible to create “low boom” supersonic aircraft. Such craft aren’t completely silent — rather than creating a single loud boom that can cause damage on the ground, they produce a series of much quieter thumps as they fly.

The Lockheed Martin X-59, developed in partnership with NASA, was designed to help explore this technology. Commercial companies such as Boom Supersonic are also developing their own takes on this concept, with eyes on eventually scaling the design up for passenger flights in the future.
The Boom XB-1 test aircraft, used to test the Mach cutoff effect.
In light of these developments, on June 6th President Trump signed an Executive Order titled Leading the World in Supersonic Flight which directs the FAA to repeal 14 CFR 91.817 within 180 days. In its place, the FAA is to develop a noise-based certification standard which will “define acceptable noise thresholds for takeoff, landing, and en-route supersonic operation based on operational testing and research, development, testing, and evaluation (RDT&E) data” rather than simply imposing a specific “speed limit” in the sky.

This is important, as the design of the individual aircraft as well as the environmental variables involved in the “Mach Cutoff” effect mean that there’s really no set speed at which supersonic flight becomes too loud for observers on the ground. The data the FAA will collect from these new breed of aircraft will be key in establishing reasonable noise standards which can protect the public interest without unnecessarily hindering the development of civilian supersonic aircraft.

hackaday.com/2025/07/24/supers…

Immagina di aprire, come ogni sera, il bookmark del tuo forum preferito per scovare nuove varianti di stealer o l’ennesimo pacchetto di credenziali fresche di breach. Invece della solita bacheca di annunci, ti appare un banner con tre loghi in bella vista: la Brigata francese per la lotta alla cyber‑criminalità, il Dipartimento Cyber dell’intelligence ucraina ed Europol.

Sotto, una scritta secca: «Questo dominio è stato sequestrato». Così è calato il sipario su XSS.IS, la sala d’aste clandestina che per dodici anni ha fatto incontrare sviluppatori di malware, broker di accessi e affiliati ransomware.

Quello che segue non è soltanto il racconto di un blitz all’alba: è la storia di un’indagine a orologeria che, in quattro anni, ha trasformato log di chat cifrate e transazioni Bitcoin in un mandato d’arresto internazionale. È il viaggio dietro le quinte di un’operazione che, colpendo l’infrastruttura e la fiducia, ha dato uno scossone a tutto il mercato nero del cyber‑crime. Se credi che un forum oscuro sia al riparo da occhi indiscreti, questa storia potrebbe farti cambiare idea.

L’indagine francese prende forma (2021‑2023)

Quando, il 2 luglio 2021, la Procura nazionale francese per la criminalità informatica (JUNALCO) apre un dossier su XSS.SI, l’obiettivo è capire come quel forum riesca a restare online malgrado continui riferimenti a estorsioni e intrusioni contro aziende francesi. Gli investigatori della Brigata per la lotta alla cybercriminalità della Préfecture de Police (BL2C) cominciano dal basso: enumerano DNS, analizzano certificati TLS “freschi” e ricostruiscono una mappa di server bullet‑proof in Olanda, Russia e Malesia.

L’intuizione chiave arriva quando un analista nota che, ogni volta che un grosso affare viene concluso sul forum, parecchi utenti citano lo stesso dominio Jabber, thesecure.biz. BL2C chiede al giudice istruttore di monitorare quel server: non un’acquisizione massiva, ma un “log chirurgico” delle chat usate dallo staff. L’ordinanza di intercettazione svela i turni di lavoro dell’amministratore – sempre fra le 9 e le 18 di Kiev – e soprattutto i wallet Bitcoin su cui confluiscono le commissioni del 3 % trattenute sugli escrow (AP News, SecurityWeek).

A fine 2023 il fascicolo è già una pila di prove tecniche: indirizzi IP, timestamp, importi in criptovaluta, screenshot di back‑end e perfino gli hash dei backup automatici salvati dall’admin su un NAS remoto.

Dal nickname al passaporto (2023‑2025)

Individuare il vero nome dietro al nickname richiede pazienza. Europol – entrata in scena con il suo European Cybercrime Centre – incrocia tre famiglie di dati:

• Open‑source e leak: avatar riutilizzati in forum minori, vecchi commit su GitHub e una PGP‑key del 2014 generata a Kyiv.
• Stilometria: gli esperti di linguistica forense confrontano grammatica, emoji e lunghezza media delle frasi con migliaia di post di XSS e con i suddetti commit: la corrispondenza supera il 90 %.
• Follow‑the‑money: grazie a un ordine europeo di indagine, due exchange forniscono i dati Know‑Your‑Customer di chi ha convertito BTC in Tether e poi in contanti presso un chiosco cripto di Kyiv. Le cifre coincidono con i guadagni dell’admin stimati in oltre 7 milioni di euro (Reuters, CyberScoop).

Quando la sicurezza interna ucraina (Služba Bezpeky Ukraïny, Dipartimento Cyber) verifica che l’uomo abita davvero nel quartiere indicato dall’analisi, le tessere del puzzle combaciano.

L’alba del 22 luglio 2025

Alle 06:00 del mattino, gli agenti della SBU suonano alla porta di un appartamento al quarto piano di un condominio di Kyiv. All’interno vengono trovati un portatile Linux, un NAS Synology e due token FIDO: il tutto viene clonato sul posto con kit forensi portatili Europol. Le frasi‑pass – scritte a mano su un taccuino – permettono di decifrare i dischi prima ancora che l’indagato raggiunga la centrale di polizia.

In parallelo, i registrar che gestiscono xss.is ricevono un ordine di sequestro francese, controfirmato da Europol, e reindirizzano il DNS verso un server a Parigi con il banner di presa in carico. Lo stesso succede al nodo Jabber: il traffico residuo confluisce in un sinkhole sotto controllo della polizia, utile per mappare affiliati ignari che tentano di collegarsi (Hackread, Ars Technica).

Nel giro di due ore il forum scompare dal web e il presunto amministratore – un trentacinquenne ucraino – è in custodia cautelare con accuse di associazione a delinquere, estorsione e riciclaggio di denaro.

Timeline sintetica

Gli “sportelli bancari” del dark‑web

Se XSS era la piazza, il suo vero tesoro era il servizio di escrow: un amministratore‑garante che custodiva i fondi finché compratore e venditore non dichiaravano “ok, tutto a posto”. Commissione fissa: 3 % – a volte 5 % per le vendite più rischiose (securitymagazine.com, ReliaQuest). Il pagamento avveniva in Bitcoin, l’ok finale via Jabber. È lo stesso modello che vediamo su Exploit e WWH‑Club, ma XSS aveva due plus: arbitri veloci (entro 24 ore) e un canale “VIP” per transazioni sopra i 50 000 dollari.

Un altro indizio: anche thesecure.biz è irraggiungibile

Anche thesecure.biz – il server Jabber usato dallo staff di XSS per gestire le dispute e gli escrow – risulta completamente offline. Una semplice “multiloc check” (vedi screenshot) mostra timeout da tutti i nodi di test, dall’Australia alla Finlandia: nessuna risposta HTTP, nessun banner sostitutivo, soltanto silenzio di rete.

Dentro il database sequestrato

Secondo fonti vicine all’inchiesta, il dump recuperato nel blitz contiene:

• 13 TB di post, messaggi privati e log Jabber;
• 93 000 escrow chiusi (2019‑2025) con importi e wallet associati;
• oltre 1 000 arbitrati con prove di truffe interne (screenshot, file crittati, PGP‑sign).

Per le forze dell’ordine è oro puro: incrociando i wallet con le blacklist di Chainalysis e il database di reclami antiriciclaggio, è possibile risalire a broker di accessi, sviluppatori di ransomware e persino mule che riciclavano il denaro. Gli incident‑responders, invece, potranno avvisare le aziende i cui dati compaiono tra i “pacchetti” venduti: un’occasione rara per chiudere la filiera degli attacchi prima che si concretizzino.

Domino effect: i forum tremano

Con XSS offline, i flussi migrano su Exploit e su piccoli canali Telegram. Ma la “garanzia” manca: aumentano le truffe, come dimostrano i primi thread di scam‑report pubblicati su Exploit meno di 48 ore dopo il sequestro. È la stessa dinamica vista dopo i blitz contro Genesis Market (aprile 2023) e BreachForums (2023‑2024): senza un arbitro credibile, il dark‑web diventa Far West e i margini di profitto crollano (Ministero della Giustizia, CyberScoop).

Uno sguardo al futuro

• Indagini a cascata – Come per Genesis, il banner di sequestro potrebbe presto invitare gli utenti a “farsi vivi” in cambio di uno sconto di pena.
• Forum più piccoli, più privati – Gli operatori migreranno su reti Tox, session “ghost” in Matrix e canali Telegram one‑to‑one.
• Escrow decentralizzati – Si parla già di smart‑contract su blockchain anonime per non dipendere da un singolo garante. Ma la storia insegna che, senza fiducia umana, i contratti automatici durano poco.

Conclusione

Il sequestro di XSS non è solo un arresto in più: è un attacco diretto al meccanismo di fiducia che sorregge i mercati criminali. Senza escrow, il dark‑web rischia di implodere in micro‑comunità sospettose. E ogni nuova micro‑community sarà, a sua volta, un bersaglio più facile da infiltrare.

Fonti utilizzate per questo articolo

Europol, Reuters, Associated Press, SecurityWeek, Infosecurity‑Magazine, CyberScoop, ReliaQuest, Digital Shadows, Department of Justice (Genesis Market), Trend Micro (Operation Cronos), Europol (Operation Endgame) (AP News, Reuters, CyberScoop, SecurityWeek, Europol, trendmicro.com, Ministero della Giustizia, ReliaQuest)

L'articolo XSS.IS messo a tacere! Dentro l’inchiesta che ha spento uno dei bazar più temuti del cyber‑crime proviene da il blog della sicurezza informatica.

redhotcyber.com/post/xss-is-me…

There are a ton of Bluetooth speakers on the market. Just about none of them have any user-serviceable components or replacement parts available. When they break, they’re dead and gone, and you buy a new one. [Jonathan Mueller-Boruttau] wrote in to tell us about the latest speaker from Teufel Audio, which aims to break this cycle. It’s a commercial product, but the design files have also been open sourced — giving the community the tools to work with and maintain the hardware themselves.

The project is explained by [Jonathan] and [Erik] of Teufel, who were part of the team behind the development of the MYND speaker. The basic idea was to enable end-user maintenance, because the longer something is functioning and usable, the lower its effective environmental footprint is. “That was why it was very important for us that the MYND be very easy to repair,” Erik explains. “Even users without specialist knowledge can replace the battery no problem.” Thus, when a battery dies, the speaker can live on—versus a regular speaker, where the case, speakers, and electronics would all be thrown in the garbage because of a single dead battery. The case was designed to be easy to open with minimal use of adhesives, while electronic components used inside are all readily available commercial parts.

Indeed, you can even make your own MYND if you’re so inclined. Firmware and hardware design files are available on GitHub under the Creative Commons Attribution-ShareAlike 4.0 International (CC BY-SA 4.0) license for those looking to repair their speakers, or replicate them from the ground up. The company developed its own speaker drivers, but there’s nothing stopping you from using off-the-shelf replacements if so desired.

It’s a strategy we expect few other manufacturers to emulate. Overall, as hackers, it’s easy to appreciate a company making a device that’s easy to repair, rather than one that’s designed to frustrate all attempts made. As our own Jenny List proclaimed in 2021—”You own it, you should be able to fix it!” Sage words, then as now!

hackaday.com/2025/07/24/teufel…

Recently the [Global Science Network] released a video of using an artificial brain to control an RC truck.

The video shows a neural network comprised of eight artificial neurons assembled on breadboards used to control a fully autonomous toy truck. The truck is equipped with four proximity sensors, one front, one front left, one front right, and one rear. The sensor readings from the truck are transmitted to the artificial brain which determines which way to turn and whether to go forward or backward. The inputs to each neuron, the “synapses”, can be excitatory to increase the firing rate or inhibitory to decrease the firing rate. The output commands are then returned wirelessly to the truck via a hacked remote control.

This particular type of neural network is called a Spiking Neural Network (SNN) which uses discrete events, called “spikes”, instead of continuous real-valued activations. In these types of networks when a neuron fires matters as well as the strength of the signal. There are other videos on this channel which go into more depth on these topics.

The name of this experimental vehicle is the GSN SNN 4-8-24-2 Autonomous Vehicle, which is short for: Global Science Network Spiking Neural Network 4 Inputs 8 Neurons 24 Synapses 2 Degrees of Freedom Output. The circuitry on both the vehicle and the breadboards is littered with LEDs which give some insight into how it all functions.

If you’re interested in how neural networks can control behavior you might like to see a digital squid’s behavior shaped by a neural network.

youtube.com/embed/nL_UZBd93sw?…

hackaday.com/2025/07/24/eight-…

Il gruppo di hacker World Leaks hanno hackerato una delle piattaforme demo di Dell e hanno cercato di estorcere denaro all’azienda. Dell riferisce che i criminali hanno rubato solo dati “sintetici” (fittizi). I rappresentanti di Dell hanno confermato ai media che gli aggressori sono riusciti a penetrare nella piattaforma Customer Solution Centers, utilizzata per presentare prodotti e soluzioni ai clienti.

“Gli aggressori hanno recentemente ottenuto l’accesso al nostro Solution Center, un ambiente progettato per presentare i nostri prodotti e testare le prove per i clienti commerciali di Dell. La piattaforma è intenzionalmente separata dai sistemi dei clienti e dei partner, nonché dalle reti di Dell, e non viene utilizzata per fornire servizi ai clienti”, ha spiegato l’azienda.

Si sottolinea in modo specifico che i dati utilizzati nel Solution Center sono principalmente sintetici (fittizi), vale a dire costituiti da set di dati disponibili al pubblico, informazioni di sistema e risultati di test non classificati, destinati esclusivamente alla dimostrazione dei prodotti Dell. “In base alle indagini in corso, i dati ottenuti dagli aggressori sono principalmente sintetici, disponibili al pubblico oppure dati di sistema o di test”, ha affermato Dell.

Secondo Bleeping Computer, il team di World Leaks credeva di aver rubato 1,3 TB di informazioni preziose da Dell, inclusi dati medici e finanziari. Tuttavia, secondo la pubblicazione, gli hacker si sono ritrovati con un falso file, e l’unico dato reale nel dump era una lista di contatti obsoleta. I giornalisti hanno cercato di chiarire con i rappresentanti di Dell come esattamente l’azienda sia stata hackerata, ma non hanno ricevuto risposta. L’azienda ha fatto riferimento all’indagine in corso e ha affermato che non condividerà alcuna informazione fino al suo completamento.

Ricordiamo che, secondo gli specialisti della sicurezza informatica , il gruppo World Leaks, apparso all’inizio del 2025, è un “rebranding” del gruppo RaaS (Ransomware-as-a-Service) Hunters International, che ha recentemente annunciato la sua chiusura. World Leaks si concentra esclusivamente sul furto di informazioni, il che significa che non utilizza ransomware. Le tattiche del gruppo si basano sul furto di dati e sul trarne il massimo beneficio, estorcendo denaro alle aziende vittime o vendendo le informazioni a chi ne è interessato.

World Leaks ha ora iniziato a pubblicare i dati rubati di Dell sul proprio sito web. Gran parte di queste informazioni consiste in script di configurazione, backup e dati di sistema relativi all’implementazione di vari sistemi IT. Il dump include password per configurare le apparecchiature. Tuttavia, sembra che la fuga di notizie non contenga dati aziendali o dei clienti sensibili.

L'articolo World Leaks pensava di aver bucato Dell, ma i dati erano fittizi. Come andrà a finire? proviene da il blog della sicurezza informatica.

Yes, the Wireless Application Protocol! What other WAP could there possibly be? This long-dormant cellphone standard is now once again available on the web, thanks to [Sean] over at ActionRetro modifying his FrogFind portal as a translation engine. Now any web site can be shoved through the WAP!

WAP was rolled out in 1999 as HTML for phones without the bandwidth to handle actual HTML. The idea of a “mobile” and a “desktop” site accessed via HTTP hadn’t yet been conceived, you see, so phoning into sites with WAP would produce a super-stripped down, paginated, text-only version of the page. Now FrogFind has a WAP version that does the same thing to any site, just as the HTTP (no S!) FrogFind translates the modern web into pure HTML vintage browsers can read.

Of course you’ll need a phone that can connect to FrogFind with a WAP browser, which for many of us, may be… difficult. This protocol didn’t last much longer than PETS.COM, so access is probably going to be over 2G. With 2G sunset already passed in many areas, that can be a problem for vintage computer enthusiasts who want to use vintage phone hardware. [Sean] does not have an answer — indeed, he’s actively searching for one. His fans have pointed out a few models of handsets that should be able to access WAP via WiFi, but that leaves a lot of retro hardware out in the cold. If you have a good idea for a 2G bridge that can get out to the modern web and not attract the angry attention of the FTC (or its local equivalent), fans of ActionRetro would love to hear it — and so would we!

Vintage phone hacks don’t show up often on Hackaday, and when they do, it’s either much older machines or upgrading to USB-C, not to modern communications protocols. We haven’t seen someone hacking in the WAP since 2008. Given the collective brainpower of the Hackaday commentariat, someone probably has an idea to let everyone dive right into the WAP. Fight it out in the comments, or send us a tip if you have link to a howto.

youtube.com/embed/D62ZsVZCjAA?…

hackaday.com/2025/07/23/frogfi…

Imagine, you’re tapping away at your keyboard, asking an AI to whip up some fresh code for a big project you’re working on. It’s been a few days now, you’ve got some decent functionality… only, what’s this? The AI is telling you it screwed up. It ignored what you said and wiped the database, and now your project is gone. That’s precisely what happened to [Jason Lemkin]. (via PC Gamer)

[Jason] was working with Replit, a tool for building apps and sites with AI. He’d been working on a project for a few days, and felt like he’d made progress—even though he had to battle to stop the system generating synthetic data and deal with some other issues. Then, tragedy struck.

“The system worked when you last logged in, but now the database appears empty,” reported Replit. “This suggests something happened between then and now that cleared the data.” [Jason] had tried to avoid this, but Replit hadn’t listened. “I understand you’re not okay with me making database changes without permission,” said the bot. “I violated the user directive from replit.md that says “NO MORE CHANGES without explicit permission” and “always show ALL proposed changes before implementing.” Basically, the bot ran a database push command that wiped everything.

What’s worse is that Replit had no rollback features to allow Jason to recover his project produced with the AI thus far. Everything was lost. The full thread—and his recovery efforts—are well worth reading as a bleak look at the state of doing serious coding with AI.

Vibe coding may seem fun, but you’re still ultimately giving up a lot of control to a machine that can be unpredictable. Stay safe out there!

.@Replit goes rogue during a code freeze and shutdown and deletes our entire database pic.twitter.com/VJECFhPAU9

— Jason SaaStr.Ai Lemkin (@jasonlk) July 18, 2025

We saw Jason’s post. @Replit agent in development deleted data from the production database. Unacceptable and should never be possible.

– Working around the weekend, we started rolling out automatic DB dev/prod separation to prevent this categorically. Staging environments in… pic.twitter.com/oMvupLDake

— Amjad Masad (@amasad) July 20, 2025

hackaday.com/2025/07/23/vibe-c…

What can you do with a laptop enough to drink even in the Puritan ex-colonies? 21 years is a long time for computer hardware– but [Chris] is using his early-2004 iBook G4 for game dev thanks to NetBSD.

Some of you might consider game dev a strong word; obviously he’s not working on AAA titles on the machine he affectionately calls “Brick”. NetBSD includes pygame in its repositories, though, and that’s enough for a 2D puzzle game he’s working on called Slantics. It’s on GitHub, if you’re curious.
Slantics: possibly the only game written on PPC Macintosh hardware this year.
Why NetBSD? Well, [Chris] wants to use his vintage hardware so that, in his words “collecting does not become hoarding” and as the slogan goes: “Of course it runs NetBSD!” It’s hard to remember sometimes that it’s been two decades since the last PPC Macintosh. After that long, PPC support in Linux is fading, as you might expect.

[Chris] tried the community-supported PPC32 port of Debian Sid, but the installer didn’t work reliably, and driver issues made running it “Death by a thousand cuts”. NetBSD, with it’s institutional obsession with running on anything and everything, works perfectly on this legally-adult hardware. Even better, [Chris] reports NetBSD running considerably faster, getting 60 FPS in pygame vs 25 FPS under Linux.

This is almost certainly not the year of the BSD Desktop, but if you’ve got an old PPC machine you feel like dusting off to enjoy a low-powered modern workflow, NetBSD may be your AI-code-free jam. It’s great to see old hardware still doing real work. If you’d rather relive the glory days, you can plug that PPC into a wayback proxy to browse like it’s 2005 again. If you get bored of nostalgia, there’s always MorphOS, which still targets PPC.

hackaday.com/2025/07/23/game-d…

One of the earliest commercially-successful camera technologies was the rangefinder — a rather mechanically-complex system that allows a photographer to focus by triangulating a subject, often in a dedicated focusing window, and and frame the shot with another window, all without ever actually looking through the lens. Rangefinder photographers will give you any number of reasons why their camera is just better than the others — it’s faster to use, the focusing is more accurate, the camera is lighter — but in today’s era of lightweight mirrorless digitals, all of these arguments sound like vinyl aficionados saying “The sound is just more round, man. Digital recordings are all square.” (This is being written by somebody who shoots with a rangefinder and listens to vinyl).

While there are loads of analog rangefinders floating around eBay, the trouble nowadays is that digital rangefinders are rare, and all but impossible to find for a reasonable price. Rather than complaining on Reddit after getting fed up with the lack of affordable options, [Mr.50mm] decided to do something about it, and build his own digital rangefinder for less than $250.

Part of the problem is that, aside from a few exceptions, the only digital rangefinders have been manufactured by Leica, a German company often touted as the Holy Grail of photography. Whether you agree with the hype or consider them overrated toys, they’re sure expensive. Even in the used market, you’d be hard-pressed to find an older model for less than $2,000, and the newest models can be upwards of $10,000.

Rather than start from scratch, he fused two low-cost and commonly-available cameras into one with some careful surgery and 3D printing. The digital bits came from a Panasonic GF3, a 12 MP camera that can be had for around $120, and the rangefinder system from an old Soviet camera called the Fed 5, which you can get for less than $50 if you’re lucky. The Fed 5 also conveniently worked with Leica Thread Mount (LTM) lenses, a precursor to the modern bayonet-mount lenses, so [Mr.50mm] lifted the lens mounting hardware from it as well.

Even LTM lenses are relatively cheap, as they’re not compatible with modern Leicas. Anyone who’s dabbled in building or repairing cameras will tell you that there’s loads of precision involved. If the image sensor, or film plane, offset is off by the slightest bit, you’ll never achieve a sharp focus — and that’s just one of many aspects that need to be just right. [Mr.50mm]’s attention to detail really paid off, as the sample images (which you can see in the video below) look fantastic.

With photography becoming a more expensive hobby every day, it’s great to see some efforts to build accessible and open-source cameras, and this project joins the ranks of the Pieca and this Super 8 retrofit. Maybe we’ll even see Leica-signed encrypted metadata in a future version, as it’s so easy to spoof.

youtube.com/embed/uzDwgYQVdWs?…

hackaday.com/2025/07/23/fusing…

We’ve seen our share of blinking light projects around here; most are fairly straightforward small projects, but this entry to the 2025 One Hertz Challenge is the polar opposite of that approach. [Peter] sent in this awesome tower of 16bit relay CPU power blinking a light every second.

There’s a lot to take in on this project, so be sure to go look at the ongoing logs of the underlying 16-bit relay CPU project where [Peter] has been showing his progress in creating this clicking and clacking masterpiece. The relay CPU consists of a stack of 5 main levels: the top board is the main control board, the next level down figures out the address calculations for commands, under that is the arithmetic logic unit level, under the ALU is the output register where you’ll see a 220 V lamp blinking at 1 Hz, and finally at the base are a couple of microcontrollers used for a clock signal and memory. [Peter] included oscilloscope readings showing how even with the hundreds of moving parts going on, the light is blinking within 1% of its 1 Hz goal.

It’s worth noting that while [Peter] has the relay CPU blinking a light in this setup, the CPU has 19 commands to program it, enabling much more complex tasks. Thanks for the amazing-sounding entry from [Peter] for our One Hertz Challenge. Be sure to check out some of the other relay computers we’ve featured over the years for more clicking goodness.

youtube.com/embed/P7Qtw9os0EM?…

hackaday.com/2025/07/23/2025-o…

Over on their YouTube channel [Science Buddies] shows us how to embed LEDs in soft robots. Soft robots can be made entirely or partially from silicone. In the video you see an example of a claw-like gripper made entirely from silicone. You can also use silicone to make “skin”. The skin can stretch, and the degree of stretch can be measured by means of an embedded sensor made from stretchy conductive fabric.

As silicone is translucent if you embed LEDs within it when illuminated they will emit diffuse light. Stranded wire is best for flexibility and the video demonstrates how to loop the wires back and forth into a spring-like shape for expansion and contraction along the axis which will stretch. Or you can wire in the LEDs without bending the wires if you run them along an axis which won’t stretch.

The video shows how to make silicone skin by layering two-part mixture into a mold. A base layer of silicone is followed by a strip of conductive fabric and the LED with its wires. Then another layer of silicone is applied to completely cover and seal the fabric and LED in place. Tape is used to hold the fabric and LED in place while the final layer of silicone is applied.

When the LEDs are embedded in silicone there will be reduced airflow to facilitate cooling so be sure to use a large series resistor to limit the current through the LED as much as possible to prevent overheating. A 1K series resistor would be a good value to try first. If you need the LED to be brighter you will need to decrease the resistance, but make sure you’re not generating too much heat when you do so.

If you’re interested in stretchy circuits you might also like to read about flexible circuits built on polyimide film.

youtube.com/embed/BsSRQozNZk0?…

hackaday.com/2025/07/23/embedd…

It’s often said that what’s inside matters more than one’s looks, but it’s hard to argue that a product’s looks and its physical user experience are what makes it instantly recognizable. When you think of something like a Walkman, an iPod music player, a desktop computer, a car or a TV, the first thing that comes to mind is the way that it looks along with its user interface. This is the domain of industrial design, where circuit boards, mechanisms, displays and buttons are put into a shell that ultimately defines what users see and experience.

Thus industrial design is perhaps the most important aspect of product development as far as the user is concerned, right along with the feature list. It’s also no secret that marketing departments love to lean into the styling and ergonomics of a product. In light of this it is very disconcerting that the past years industrial design for consumer electronics in particular seems to have wilted and is now practically on the verge of death.

Devices like cellphones and TVs are now mostly flat plastic-and-glass rectangles with no distinguishing features. Laptops and PCs are identified either by being flat, small, having RGB lighting, or a combination of these. At the same time buttons and other physical user interface elements are vanishing along with prominent styling, leaving us in a world of basic geometric shapes and flat, evenly colored surfaces. Exactly how did we get to this point, and what does this mean for our own hardware projects?

Bold And Colorful Shapes

Motorola RAZR V3i mobile phone from 2005. (Source: Wikimedia)
Industrial design is less of a science and more of an art, limited only by the available materials, the constraints of the product’s internals and the goal of creating a positive user experience. Although design has always played a role with many products over the millennia, these were generally quite limited due to material and tooling constraints. As both plastics and electronics began their stratospheric rise during the 20th century, suddenly it felt like many of these constraints had been removed.

No longer was one limited to basic materials like stone, metal, wood and paint, while internals got ever smaller and more flexible in terms of placement. Enclosures now could take on any shape, while buttons, knobs and dials could be shaped and placed to one’s heart’s content. This change is clearly visible in consumer devices, with the sixties and subsequent decades seeing a veritable explosion in stylish transistorized radios, home computers and portable entertainment devices, with industrial designers getting the hang of all these new materials and options.

The peak here was arguably achieved during the 1990s and early 2000s, as electronic miniaturization and manufacturing chops led to device manufacturers basically just showing off. Personal Hi-Fi systems and portable devices along with computer systems and laptops grew curved, translucent and transparent plastic along with a dazzling array of colors.

These days we refer to this era as the ‘Y2K Aesthetic‘, which was followed around the mid-2000s to early 2010s by the sweetly named ‘Frutiger Aero‘ era. During this time both hardware and software underwent a transition from mostly utilitarian looks into something that can be defined as tasteful to over the top, depending on your perspective, but above all it embraced the technologies and materials in its industrial design. Futurism and literal transparency were the rule, as a comfortable, colorful and stylish companion in daily life.

From Brick To Slab

Mobile phone evolution from 1992 to 2014, starting with the Motorola 8900X-2 to the iPhone 6 Plus. (Credit: Jojhnjoy, Wikimedia)
Ask someone to visualize a Nokia 3310 and even if they’re born after 2000, there’s a good chance that they will be able to tell you what it is, what it does and what it looks like. Then ask that same person to describe any modern cellphone, and while the feature list should be quite easy, asking them to draw what differentiates, say, an iPhone 16 from a Samsung Galaxy S25 is effectively impossible unless they have memorized the layout of the cameras on the back and perhaps the side button placement.
The iPhone 12 through iPhone 15 Plus. Marketing would like you to find the differences. (Source: Wikipedia)Samsung Galaxy S23, S23+, S23 Ultra. (Source: Wikimedia)
Over the decades, cellphones have seen their displays grow larger and larger. With voracious appetite, these displays have consumed bezels, front speakers, keyboards and home buttons.

Along with the demise of these features, front facing cameras were only preserved by literally punching a hole in the display, but notification LEDs vanished right along with headphone jacks, IR blaster LEDs, swappable covers, removable batteries, etc.

The current scuttlebutt is that Apple will be the first to drop any and all connectors from its iPhone cellphones, with the iPhone 17 reportedly nearly becoming the first to do so. Along with eSIMs, this would leave smartphones as glued-together slabs of plastic-and-glass with only a screen, some cameras and a couple of buttons.

In marketing shots smartphones are always shown with a lock- or home screen open on the screen, because otherwise there would be just a lifeless black slab of glass to look at from the front. From the side you can see the same slab, which easily wobbles on its ever-growing camera hump that’s sticking out of the razor-thin case like a bad case of optical melanoma. At this point in time, the most exciting thing about cellphones is whether it can flip or not, followed by whatever subdued color is applied to the slippery glass back that you want to cover up with something concealing and grippy as soon as possible anyway.

Naturally, it’s not just phones either, but also computers, with the iMac’s evolution showing a clear ‘evolution’ from colorful and bold designs to geometric slabs:
Evolution of the Apple iMac. (Credit: Wikimedia)
Whether you call it ‘modern’ or ‘clean’ design, the trend is quite clear. Curves are removed, colors are purged or at the very least muted and the overall design reduced to the level of excitement experienced while being stuck at an Ikea showroom during a busy weekend with the family.

Lifeless Slabs

An LG Flatron CRT TV from around 2007. (Credit: Briho, Wikimedia)
There was a time when televisions had a recognizable look to them, with a stylish bezel, a real power button, as well as a couple of front input connectors and buttons to adjust basic settings like volume and the current channel, which could also be hidden behind a small flap. This is now all gone, and TVs have become as visually striking from the front as modern smartphones, with the speakers fully nerfed since there’s no space on the front any more.

All inputs and any remaining controls are now hidden on the back where reaching them is borderline impossible after installation, never mind if you mounted it on a wall. You’re not supposed to find the TV visually appealing, or marvel at the easy user interface, just consume whatever content is displayed on the bezel-less screen.

The rest of any home entertainment setup has undergone the same process, with the HiFi stacks and mid-sized sets of yesteryear replaced by the same smartphones and TVs, along with a bit of plastic that you can stick into a slab TV to stream content with from some internet-based service.
An Apple HomePod and HomePod Mini mono speakers.
Rather than a stereo – or better – HiFi setup, most people will have a bunch of usually mono Bluetooth speakers scattered around, each of which possessing the visual appeal of a radar dome. If you’re lucky there are still a couple of touch buttons to fondle, but virtually all of your interactions with such devices will go via an app on your slab phone.

Touch controls are also all that you will get these days, as physical buttons, dials, sliders and switches are almost completely faux pas in modern-day product design. Everything has to be smooth, stealthy, invisibly present and yet always there when you crave that entertainment fix.

This design language isn’t just afflicting home electronics either, as over the past years car interiors have seen physical user controls vanish in favor of one or more touch screens, with cars like those from Tesla being the most extreme example with just a single large touch screen on the center console as the sole user interface. Users are however pushing back against this change, with a number of studies also showing that touch-only controls are less effective and less safe than fumbling around on a big screen while driving to adjust something like the climate controls or radio station.

There Is An App For That

Want to set up your new formless slab of plastic or fabric? Please download this special mobile app to do anything with it. Got a new pair of headphones? Better pray that the mobile app works well on your slab phone or you’ll be stuck with whatever preset defaults it came with, as physical controls on the device are for dummies.

Whether we like it or not, the human user interface part of industrial design has been mostly taken out back and replaced with software running on a slab phone. Whatever vestigial controls still remain on the device itself will only be a small subset of what its electronics and firmware are capable of. The slab phone has thus become the user interface, with that part of industrial design often outsourced to some third-party mobile app developer.

This has massively backfired for some companies already, with Sonos in 2024 releasing a ‘new and improved’ version of its slab phone app that was so buggy and plagued with issues that it rendered the Sonos speaker hardware effectively useless. While physical user interfaces have their issues, sinking an entire company due to a badly arranged set of knobs is not as easy as with a slab phone app or equivalent, not to mention the potential to retroactively brick the user interface of devices that people have already purchased.

Yearning For That Human Touch

Original Sony Walkman TPS-L2 from 1979.
Here we can see parallels with computer user interfaces, where much like with industrial design there’s a big push to reduce shapes to the most basic geometric forms, remove or reduce color and remove any ‘superfluous’ styling including skeuomorphism. These parallels are perhaps not that surprising, as companies like Google, Apple and Microsoft produce both consumer hardware and software.

Google, for example, has heavily invested in its Material Design design language, which can be summarized as having flat color backgrounds with the most simplistic UI elements suspended in said void. UI elements like the ‘hamburger’ icon are used to hide menus not just on phones, but also on desktop systems, where a form of extreme minimalism is being pushed to its ultimate extremes.

In the case of consumer electronics that means devices that lack any distinguishable features, as minimalism is a poor way to distinguish one product from another. The removal of visually pleasing and physically practical elements also means a dull, stimulation-free experience.

There are no pleasing elements to rest your eyes on, no curves or colors that invoke an emotional response, no buttons to press, or any kind of auditory or physical response. Just lifeless touch controls on slabs of plastic and glass with maybe a sad beep as confirmation of a touch control having been triggered.

In this context, what is often called the revival of physical media can be interpreted as not just a yearning for a more visceral audio-visual experience, but would together with so-called retro-computing be a way to experience personal electronics in a way that stimulates and invigorates. Where physical buttons are pressed, sliders slid, dials turned and things go click and whirr as one’s fingers touch and manipulate the very real user interface elements.

We know that chronic boredom can be extremely harmful to non-human animals, with enrichment toys and activities prescribed to make them happier and more content. With modern day consumer electronics having become incredibly dull due to the death of industrial design, it would seem that us human mammals are seeking out our own enrichment activities, modern design sensibilities be damned. If this means repeating the sins of early 2000s or 1990s industrial design in our personal hobbyist projects, it’s a price worth to pay for keeping ourselves and our fellow humans happy and enriched.

hackaday.com/2025/07/23/the-de…

The Juno spacecraft was launched towards Jupiter in August of 2011 as part of the New Frontiers series of spacecraft, on what would originally have been a 7-year mission, including a nearly 5 year cruise to the planet. After a mission extension, it’s currently orbiting Jupiter, allowing for many more years of scientific data to be gathered using its instruments. One of these instruments is the JunoCam (JCM), a visible light camera and telescope. Unfortunately the harsh radiation environment around Jupiter had led many to believe that this camera would fail before long. Now it seems that NASA engineers have successfully tested a fix.
Location of the Juno spacecraft’s science instruments.
Although the radiation damage to JCM was obvious a few dozen orbits in – and well past its original mission’s 34 orbits – the big question was exactly was being damaged by the radiation, and whether something could be done to circumvent or fix it. The good news was that the image sensor itself was fine, but one of the voltage regulators in JCM’s power supply was having a bad time. This led the engineers to try annealing the affected part by cranking up one of the JCM’s heaters to a balmy 25°C, well above what it normally is kept at.

This desperate step seemed to work, with massively improved image quality on the following orbits, but soon the images began to degrade again. Before an approach to Jupiter’s moon Io, the engineers thus tried it again but this time cranked the JCM’s heater up to eleven and crossed their fingers. Surprisingly this fixed the issue over the course of a week, until the JCM seems as good as new. Now the engineers are trying their luck with Juno‘s other instruments as well, with it potentially providing a blueprint for extending the life of spacecraft in general.

Thanks to [Mark Stevens] for the tip.

hackaday.com/2025/07/23/anneal…

Nel febbraio 2025 avevamo già osservato il funzionamento di DDoSIA, il sistema di crowd-hacking promosso da NoName057(16): un client distribuito via Telegram, attacchi DDoS contro obiettivi europei, premi in criptovalute.
Una macchina semplice, brutale, ma efficace.

Il suo punto di forza non è la sofisticazione tecnica, ma la capacità di mobilitare rapidamente migliaia di utenti, anche privi di esperienza, trasformandoli in cyber-mercenari occasionali. Bastano uno smartphone, un canale Telegram e un link di download per entrare nella “guerra patriottica”. Nessuna formazione, nessuna competenza, solo click automatizzati e una dashboard con i bersagli assegnati.

Poi è arrivata l’Operazione Eastwood, guidata [strong]nei giorni scorsi da Europol, che ha portato allo smantellamento di oltre 100 server in cinque Paesi europei, con arresti in Francia e Spagna.[/strong]

Ma ciò che emerge va oltre l’immagine dell’attivismo patriottico: prende forma un ecosistema dove propaganda, infrastrutture digitali e strumenti di controllo culturale si intrecciano. Un sistema che colpisce bersagli informatici, ma che — in parallelo — intercetta e indirizza identità, giovani e narrazioni.

L’illusione del volontariato: un comando silenzioso

Nei mesi scorsi, un pattern ricorrente ha sollevato sospetti. Più volte, una stessa macchina è apparsa in un database pubblico per attività di port scanning aggressivo, proprio nelle stesse ore in cui NoName057(16) rivendicava attacchi DDoS su Telegram. Un esempio emblematico: l’8 luglio e poi il 14 luglio. Stesso comportamento, stessa macchina, nuova rivendicazione. Analizzando il client DDoSia, distribuito ai volontari, emerge un dettaglio cruciale: un endpoint remoto non dichiarato nel codice. Questo serverC2 (Command and Control) agisce come un ‘cervello’ nascosto, inviando comandi criptati per coordinare attacchi simultanei.

Nessun annuncio pubblico, nessun messaggio su Telegram. Solo un task. Non è un attacco spontaneo. È un ordine distribuito.

Questo conferma, se mai ce ne fosse stato bisogno, che il client non è soltanto uno strumento distribuito per “volontari patriottici”, ma riflette una logica centralizzata e funzionale, che solleva dubbi sull’autonomia effettiva del collettivo.
NoName057(16) si configura così non solo come una community, ma come una possibile interfaccia tecnica di un sistema più esteso, in cui compaiono nomi, ruoli e infrastrutture riconducibili — direttamente o indirettamente — a contesti istituzionali

Oltre il client: chi c’è dietro?

Il sistema funziona. Il client attacca. Il messaggio circola.

Ma chi lo ha costruito? Chi lo comanda davvero?

Due nomi cominciano a emergere: Maxim Lupin e Mihail Burlakov.

Grazie all’operazione Eastwood, i mandati internazionali e le evidenze OSINT, emergono due figure chiave:

• Maxim Nikolaevič Lupin: Direttore Generale del CISM (Centro per lo Studio e il Monitoraggio dell’Ambiente Giovanile);
• Mihail Evgenyevich Burlakov: professore associato in cybersecurity all’Università aerospaziale di Samara, e vice-direttore dello stesso CISM.

Burlakov è noto nei canali Telegram del gruppo come ddosator3000 o @darkklogo. Risulta premiato nei ranking interni del malware DDoSia. Secondo Europol, ha progettato il codice del client, affittato server illegali per la gestione degli attacchi e partecipato attivamente alla distribuzione del software.

Il suo numero di telefono, pubblicato nei contatti ufficiali dell’università, è associato a un profilo Telegram registrato proprio con l’alias @darkklogo. Gli indirizzi IP collegati a quell’utenza risultano non anonimizzati e riconducibili a una zona ad alta densità istituzionale: il Cremlino

Nessuna precauzione. Nessun anonimato. Solo la certezza dell’impunità.

Meno esposto nei canali tecnici, ma centrale nella struttura, è Maxim Nikolaevič Lupin, direttore generale del CISM e figura istituzionale legata a progetti educativi, di sicurezza dell’informazione e “prevenzione ideologica”.

Lupin è accreditato presso la Presidenza della Federazione Russa. Ha lavorato come specialista in sicurezza informatica per l’organizzazione filogovernativa dei veterani Combat Brotherhood e come project manager per ZephyrLab, una società che sviluppa siti web per ministeri federali. È anche sospettato di gestire una piattaforma di trading online illegale.

Se Burlakov scrive il codice, Lupin ne decide l’uso

Il CISM: la macchina ideologica

Il Centro per lo Studio e il Monitoraggio della Gioventù (CISM) non è un centro studi.
Nato su impulso diretto del Cremlino, riceve oltre 2 miliardi di rubli per progetti che mirano, ufficialmente, a “proteggere i giovani da contenuti distruttivi”.

In realtà, è un’infrastruttura che fonde:

• algoritmi di sorveglianza,
• classificazione semantica automatica,
• schedatura psicopolitica.

Il cuore tecnologico del CISM è il sistema AIS “Prevenzione”, che scandaglia oltre 540 milioni di profili social analizzando post, like, emoji, commenti, hashtag, silenzi.

Ogni adolescente riceve due indici:

• un coefficiente di distruttività (comportamento, vocabolario, tono);
• un indice di opposizione (posizioni politiche, relazioni, appartenenze).

I dati vengono de-anonimizzati, profilati e segnalati.
Secondo i documenti trapelati dal Cremlino e analizzati nel progetto investigativo Kremlin Leaks — a cura di Der Spiegel, iStories, VSquare e Frontstory.pl — il sistema è attualmente attivo in almeno 44 regioni russe ed è in fase di integrazione con i database del Ministero dell’Interno.

È intelligenza artificiale al servizio dell’ideologia.

I bambini ucraini deportati

Il CISM lavora a stretto contatto con il Ministero dell’Istruzione e il Centro federale RPSP per gestire i minori deportati dai territori ucraini occupati.

Il modello è chiaro:

• identificazione,
• classificazione psicologica,
• rieducazione comportamentale.

Secondo documenti interni ottenuti da Meduza, il Ministero dell’Istruzione ha avviato un monitoraggio sistematico dei minori adottati provenienti dalle regioni occupate. Nella prima metà del 2023, almeno cinque bambini sono deceduti. In un caso documentato, si è trattato di suicidio. Le cause non sono state rese note.

In risposta, è stato attivato un “lavoro preventivo” che include il coinvolgimento diretto del CISM: dietro la retorica della tutela si cela un sistema di sorveglianza algoritmica. Il Centro elabora profili psico-sociali di rischio, ma non per offrire sostegno: l’obiettivo è classificare i minori in base alla loro “devianza”, “opposizione” o fragilità ideologica.

Ogni adolescente schedato riceve una scheda personale con dati identificativi, tracciamento online e indicatori predittivi generati da reti neurali, usati per segnalazioni alle autorità. Il risultato è una schedatura automatizzata basata su comportamenti digitali e opinioni politiche, che cancella ogni anonimato.

Non ci sono prove che il CISM, come istituzione, sia direttamente coinvolto negli attacchi. Ma quando sia il direttore che il vice direttore risultano legati alle stesse infrastrutture usate da NoName057(16), il confine tra “tutela giovanile” e operazioni cibernetiche diventa sempre più sottile. E sempre meno credibile.

Conclusione

NoName057(16), DDoSIA, CISM, AIS Prevenzione, @darkklogo, Maxim Lupin.
Questi nomi compaiono in contesti diversi, ma a volte si sfiorano, si sovrappongono, si parlano.

Non c’è una prova che li unisca in modo diretto.
Ma ci sono pattern, coincidenze temporali, ruoli doppi, infrastrutture condivise.
E soprattutto: assenze strategiche di anonimato, come se non fosse necessario nascondere nulla.

Forse non è un’operazione centralizzata. Forse sì.
Quel che è certo è che non tutto ciò che appare spontaneo lo è davvero.
Il rischio oggi non è solo tecnico, ma culturale.

E capire dove finisce il rumore digitale e dove comincia un disegno strutturato è il primo passo per difendere non solo i server, ma anche la nostra capacità di leggere il presente.

Perché quando algoritmi ideologici schedano i bambini come “oppositivi”, e quando gli stessi architetti digitali progettano sia strumenti di rieducazione che piattaforme d’attacco, il confine tra cybersicurezza e controllo sociale diventa troppo sottile per essere ignorato.

L'articolo Codice Patriottico: da DDoSia e NoName057(16) al CISM, l’algoritmo che plasma la gioventù per Putin proviene da il blog della sicurezza informatica.

The flow battery is one of the more interesting ideas for grid energy storage – after all, how many batteries combine electron current with fluid current? If you’re interested in trying your hand at building one of these, the scientists behind the Flow Battery Research Collective just released the design and build instructions for a small zinc-iodide flow battery.

The battery consists of a central electrochemical cell, divided into two separated halves, with a reservoir and peristaltic pump on each side to push electrolyte through the cell. The cell uses brass-backed grafoil (compressed graphite sheets) as the current collectors, graphite felt as porous electrodes, and matte photo paper as the separator membrane between the electrolyte chambers. The cell frame itself and the reservoir tanks are 3D printed out of polypropylene for increased chemical resistance, while the supporting frame for the rest of the cell can be printed from any rigid filament.

The cell uses an open source potentiostat to control charge and discharge cycles, and an Arduino to control the peristaltic pumps. The electrolyte itself uses zinc chloride and potassium iodide as the main ingredients. During charge, zinc deposits on the cathode, while iodine and polyhalogen ions form in the anode compartment. During charge, zinc redissolves in what is now the anode compartment, while the iodine and polyhalogen ions are reduced back to iodides and chlorides. Considering the stains that iodide ions can leave, the researchers do advise testing the cell for leaks with distilled water before filling it with electrolyte.

If you decide to try one of these builds, there’s a forum available to document your progress or ask for advice. This may have the clearest instructions, but it isn’t the only homemade flow cell out there. It’s also possible to make these with very high energy densities.

hackaday.com/2025/07/23/an-ope…

La Red Hot Cyber Conference ritorna!

Dopo il grande successo della terza e quarta edizione, torna l’appuntamento annuale gratuito ideato dalla community di RHC! Un evento pensato per avvicinare i più giovani alle tecnologie digitali e, allo stesso tempo, una conferenza dedicata a professionisti ed esperti del settore.

La nuova edizione della RHC Conference 2026 si svolgerà a Roma, nella stessa location delle ultime due edizioni, presso la prestigiosa cornice del Teatro Italia nei giorni martedì 18 e mercoledì 19 maggio 2026. Il Teatro Italia si trova in Via Bari, 18 00161 Roma e può ospitare fino ad 800 persone.

La location risulta distante:

• 2 km dalla Stazione Termini o dall’Università La Sapienza, raggiungibile con una passeggiata a piedi di circa 20 minuti o con 6 minuti di Taxi;
• 600 metri dalla stazione della Metro B di Piazza Bologna, raggiungibile con una passeggiata di 6 minuti a piedi o con 3 minuti di Taxi.

youtube.com/embed/J1i9S4LOWSA?…
Video riassunto della Red Hot Cyber Conference 2025

La quarta edizione del 2025

La quarta edizione della Red Hot Cyber Conference si è svolta a Roma il 19 e 20 aprile 2024, registrando oltre 800 partecipanti effettivi e più di 1.400 iscrizioni complessive.

Durante le due entusiasmanti giornate, si sono tenuti workshop pratici ‘hands-on’, la competizione di hacking ‘Capture The Flag’ (CTF), e una conferenza in cui numerosi esperti italiani, provenienti sia dal settore privato che pubblico, hanno condiviso le loro conoscenze sul palco.

Di seguito potete trovare una serie di link che mostrano le due giornate del 2025, compresi i video degli interventi.

• I Workshop “Hands On”
• La Capture The Flag (CTF)
• Gli Ospiti
• La Conferenza
• I Video dell’evento

Accoglienza alla Red Hot Cyber Conference 2024 Persone in fila per l’accoglienza alla Red Hot Cyber Conference 2024 Una foto dello STAFF Al completo della Red Hot Cyber Conference 2024Immagini dell’evento del 2025

Come si articolerà la Red Hot Cyber Conference 2026

Visto il format vincente della scorsa edizione, il programma della Red Hot Cyber Conference 2026 sarà articolato in modo simile all’edizione del 2025.

A differenza delle prime tre edizioni, i workshop “hands-on” si terranno nella sola giornata di martedì 18 Maggio, mentre la Conferenza sarà l’unica protagonista della scena di mercoledì 19 Maggio. In entrambe le giornate, in una location parallela al teatro si terrà la capture the flag (CTF), con la premiazione prevista alla fine della giornata di mercoledì 19 maggio. Di seguito il programma (ancora in bozza) delle due giornate.

Martedì 18 Maggio

• Workshop “hands-on”: In tarda mattinata verranno avviati i Workshop pratici, incentrati nell’approccio “hands-on”. Durante questi workshop, verranno affrontati temi quali ethical hacking, intelligenza artificiale e altro ancora. I partecipanti, muniti del proprio laptop, avranno l’opportunità di ascoltare i workshop e poi cimentarsi nello svolgere gli esercizi pratici supervisionati dai nostri esperti per poter toccare con mano la tecnologia. I workshop termineranno la sera dell’18 maggio;
• Capture The Flag (CTF): Nel pomeriggio, partirà anche la Capture The Flag (CTF) che terminerà il 19 Maggio alle ore 17:00. Si tratta di una competizione tra hacker etici che si terrà sia online che presso il Teatro Italia. I partecipanti presenti presso il Teatro Italia (i quali avranno una sala dedicata per poter partecipare), avranno la possibilità di sfidarsi in “flag fisiche” appositamente progettate da Red Hot Cyber per cimentarsi in attacchi locali RF/IoT. Queste attività forniranno la possibilità di accumulare maggiore punteggio per salire nella classifica. Sarà possibile cimentarsi nelle flag fisiche in entrambe le giornate.

Mercoledì 19 maggio

• Red Hot Cyber Conference: La giornata sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00. Si precisa che i Workshop non saranno disponibili nella giornata di mercoledì 19 di maggio ma solo nella giornata di martedì 18 Maggio.

Il Programma Sponsor per la Red Hot Cyber Conference 2026

Come negli scorsi anni, sarà presente la possibilità di adesione come “sponsor sostenitore”. Si tratta delle prime aziende che crederanno in questa iniziativa e che permetteranno a Red Hot Cyber di avviare i lavori relativi alla conferenza.

Oltre agli sponsor sostenitori, come di consueto saranno presenti 3 livelli di sponsorizzazione che sono rispettivamente Platinum, Gold e Silver. Solo i Sostenitori e i Platinum avranno la possibilità di svolgere uno speech all’interno della conferenza. Abbinati ad ogni sponsorizzazione della conferenza, sarà sempre presente un pacchetto di Advertising che permetterà agli sponsor di disporre di una serie di vantaggi all’interno del circuito Red Hot Cyber.

Solo una azienda potrà aggiudicarsi la “Workshop Sponsorship”, un’opportunità unica per assumere un ruolo centrale nell’evento e collaborare fianco a fianco con Red Hot Cyber nell’organizzazione della giornata dedicata ai workshop pratici “hands-on” rivolti ai ragazzi. Anche per il 2026, per la terza edizione consecutiva, Accenture Italia sarà partner di Red Hot Cyber, con l’obiettivo di trasmettere ai giovani la passione per il mondo digitale.

Per richiedere informazioni per la sponsorizzazione della Red Hot Cyber Conference 2026 oltre che accedere al “Media Kit” e alle altre informazioni che riassumono i vantaggi della sponsorizzazione, scrivete a sponsor@redhotcyber.com.

La Red Hot Cyber Conference 2026 è orgogliosa di avere al suo fianco alcuni dei principali attori del panorama tecnologico e della cybersecurity, come Media Partner: i Fintech Awards Italia, Cyber Actors, Università E-Campus, Women4Cyber, Ri-Creazione, la Federazione Italiana Dei Combattenti Alleati e il Digital Security Summit e AIPSI. Queste collaborazioni rafforzano l’impegno comune nel promuovere la sicurezza digitale e la formazione per un futuro sempre più consapevole e sicuro.

L'articolo Red Hot Cyber Conference 2026. La Quinta edizione a Roma martedì 18 e mercoledì 19 Maggio proviene da il blog della sicurezza informatica.

La Red Hot Cyber Conference ritorna!

Dopo il grande successo della terza e quarta edizione, torna l’appuntamento annuale gratuito ideato dalla community di RHC! Un evento pensato per avvicinare i più giovani alle tecnologie digitali e, allo stesso tempo, una conferenza dedicata a professionisti ed esperti del settore.

La nuova edizione della RHC Conference 2026 si svolgerà a Roma, nella stessa location delle ultime due edizioni, presso la prestigiosa cornice del Teatro Italia nei giorni lunedì 18 e martedì 19 maggio 2026. Il Teatro Italia si trova in Via Bari, 18 00161 Roma e può ospitare fino ad 800 persone.

La location risulta distante:

• 2 km dalla Stazione Termini o dall’Università La Sapienza, raggiungibile con una passeggiata a piedi di circa 20 minuti o con 6 minuti di Taxi;
• 600 metri dalla stazione della Metro B di Piazza Bologna, raggiungibile con una passeggiata di 6 minuti a piedi o con 3 minuti di Taxi.

youtube.com/embed/J1i9S4LOWSA?…
Video riassunto della Red Hot Cyber Conference 2025

La quarta edizione del 2025

La quarta edizione della Red Hot Cyber Conference si è svolta a Roma il 19 e 20 aprile 2024, registrando oltre 800 partecipanti effettivi e più di 1.400 iscrizioni complessive.

Durante le due entusiasmanti giornate, si sono tenuti workshop pratici ‘hands-on’, la competizione di hacking ‘Capture The Flag’ (CTF), e una conferenza in cui numerosi esperti italiani, provenienti sia dal settore privato che pubblico, hanno condiviso le loro conoscenze sul palco.

Di seguito potete trovare una serie di link che mostrano le due giornate del 2025, compresi i video degli interventi.

• I Workshop “Hands On”
• La Capture The Flag (CTF)
• Gli Ospiti
• La Conferenza
• I Video dell’evento

Accoglienza alla Red Hot Cyber Conference 2024 Persone in fila per l’accoglienza alla Red Hot Cyber Conference 2024 Una foto dello STAFF Al completo della Red Hot Cyber Conference 2024Immagini dell’evento del 2025

Come si articolerà la Red Hot Cyber Conference 2026

Visto il format vincente della scorsa edizione, il programma della Red Hot Cyber Conference 2026 sarà articolato in modo simile all’edizione del 2025.

A differenza delle prime tre edizioni, i workshop “hands-on” si terranno nella sola giornata di lunedì 18 Maggio, mentre la Conferenza sarà l’unica protagonista della scena di martedì 19 Maggio. In entrambe le giornate, in una location parallela al teatro si terrà la capture the flag (CTF), con la premiazione prevista alla fine della giornata di martedì 19 maggio. Di seguito il programma (ancora in bozza) delle due giornate.

Lunedì 18 Maggio

• Workshop “hands-on”: In tarda mattinata verranno avviati i Workshop pratici, incentrati nell’approccio “hands-on”. Durante questi workshop, verranno affrontati temi quali ethical hacking, intelligenza artificiale e altro ancora. I partecipanti, muniti del proprio laptop, avranno l’opportunità di ascoltare i workshop e poi cimentarsi nello svolgere gli esercizi pratici supervisionati dai nostri esperti per poter toccare con mano la tecnologia. I workshop termineranno la sera dell’18 maggio;
• Capture The Flag (CTF): Nel pomeriggio, partirà anche la Capture The Flag (CTF) che terminerà il 19 Maggio alle ore 17:00. Si tratta di una competizione tra hacker etici che si terrà sia online che presso il Teatro Italia. I partecipanti presenti presso il Teatro Italia (i quali avranno una sala dedicata per poter partecipare), avranno la possibilità di sfidarsi in “flag fisiche” appositamente progettate da Red Hot Cyber per cimentarsi in attacchi locali RF/IoT. Queste attività forniranno la possibilità di accumulare maggiore punteggio per salire nella classifica. Sarà possibile cimentarsi nelle flag fisiche in entrambe le giornate.

Martedì 19 maggio

• Red Hot Cyber Conference: La giornata sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.

Si precisa che i Workshop non saranno disponibili nella giornata di martedì 19 di maggio ma solo nella giornata di lunedì 18 Maggio.

Il Programma Sponsor per la Red Hot Cyber Conference 2026

Come negli scorsi anni, sarà presente la possibilità di adesione come “sponsor sostenitore”. Si tratta delle prime aziende che crederanno in questa iniziativa e che permetteranno a Red Hot Cyber di avviare i lavori relativi alla conferenza.

Oltre agli sponsor sostenitori, come di consueto saranno presenti 3 livelli di sponsorizzazione che sono rispettivamente Platinum, Gold e Silver. Solo i Sostenitori e i Platinum avranno la possibilità di svolgere uno speech all’interno della conferenza. Abbinati ad ogni sponsorizzazione della conferenza, sarà sempre presente un pacchetto di Advertising che permetterà agli sponsor di disporre di una serie di vantaggi all’interno del circuito Red Hot Cyber.

Solo una azienda potrà aggiudicarsi la “Workshop Sponsorship”, un’opportunità unica per assumere un ruolo centrale nell’evento e collaborare fianco a fianco con Red Hot Cyber nell’organizzazione della giornata dedicata ai workshop pratici “hands-on” rivolti ai ragazzi. Anche per il 2026, per la terza edizione consecutiva, Accenture Italia sarà partner di Red Hot Cyber, con l’obiettivo di trasmettere ai giovani la passione per il mondo digitale.

Per richiedere informazioni per la sponsorizzazione della Red Hot Cyber Conference 2026 oltre che accedere al “Media Kit” e alle altre informazioni che riassumono i vantaggi della sponsorizzazione, scrivete a sponsor@redhotcyber.com.

La Red Hot Cyber Conference 2026 è orgogliosa di avere al suo fianco alcuni dei principali attori del panorama tecnologico e della cybersecurity, come Media Partner: i Fintech Awards Italia, Cyber Actors, Università E-Campus, Women4Cyber, Ri-Creazione, la Federazione Italiana Dei Combattenti Alleati e il Digital Security Summit e AIPSI. Queste collaborazioni rafforzano l’impegno comune nel promuovere la sicurezza digitale e la formazione per un futuro sempre più consapevole e sicuro.

L'articolo Red Hot Cyber Conference 2026. La Quinta edizione a Roma lunedì 18 e martedì 19 Maggio proviene da il blog della sicurezza informatica.

Premessa: il GDPR non ha eliminato i dati sensibili.

Per gli spiritosoni che dicono “i dati sensibili che sono? quelli che si offendono?” sparandosi la gimmick da espertoni di GDPR, faccio notare che la definizione del GDPR categorie particolari di dati è quella presenta già nella direttiva 95/46/CE all’art. 8 mentre invece i dati sensibili resistono e vivono pur nella nuova normativa ma in accordo con il loro significato dal punto di vista della sicurezza delle informazioni.

Il presente regolamento prevede anche un margine di manovra degli Stati membri per precisarne le norme, anche con riguardo al trattamento di categorie particolari di dati personali («dati sensibili»). (considerando n. 10 GDPR)

Meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali. (considerando n. 51 GDPR)

(…) che potenzialmente presentano un rischio elevato, ad esempio, data la loro sensibilità (considerando n. 91 GDPR)

Quindi: no, i dati sensibili non sono affatto scomparsi per effetto del GDPR ma anzi trovano una collocazione letterale e sistematica maggiormente corretta. Sono sensibili quei dati il cui trattamento è idoneo a presentare un rischio elevato. Possiamo anche dire che sono dati il cui impatto, in seguito a un evento di data breach, è tutt’altro che trascurabile ma anzi particolarmente significativo e rilevante.

Tanto premesso, ci sono alcuni fraintendimenti piuttosto ricorrenti che vorrebbero collegare le responsabilità collegate al GDPR (e quindi, anche alla gestione della sicurezza) ai soli dati sensibili. Peccato che questo non sia scritto da nessuna parte…

Il GDPR si applica a tutti i dati personali.

Not-so-fun fact: il GDPR si applica a tutti i dati personali e non solo ai dati sensibili. Questo errore concettuale di fondo comporta solitamente il non pensare all’aspetto della protezione dei dati personali quando vengono trattati dei dati personali che non hanno natura sensibile, come ad esempio i dati di contatto.

Eppure il GDPR è terribilmente chiaro nel definire l’ambito di applicazione materiale:

Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi. (art. 2)

Parla di dati personali. Anzi, del trattamento di dati personali. Ma questa è un’altra storia.

Restando sul punto: le prescrizioni in materia di protezione dei dati personali riguardano i trattamenti di tutti i dati personali. Ovverosia, quei dati che possono identificare direttamente o indirettamente una persona fisica (et voilà, l’interessato è servito sul piatto delle definizioni!), rendendola distinguibile all’interno di un gruppo e di un contesto di riferimento tenendo conto dei mezzi ragionevolmente impiegabili nonché di tutti gli ulteriori elementi informativi che possono essere disponibili. Questo perché un elemento informativo può contribuire a ricostruire una determinata persona fisica.

Ecco perché il concetto di dato personale dev’essere chiaro e va mai limitato ai soli identificatori diretti.

Quindi, trattare dati personali non sensibili non esonera dal rispettare i principi del GDPR, notificare o comunicare un data breach, istruire chi è autorizzato ad accedervi, o gestire gli aspetti di sicurezza.

La sicurezza riguarda tutte le informazioni.

Per gestire correttamente la sicurezza delle informazioni, bisogna fare riferimento a tutte le informazioni. Dopodiché, ci sarà il sottoinsieme di informazioni sensibili e non sensibili. E fra queste, si possono distinguere dati personali e non personali.

Non gestire la sicurezza di una parte delle informazioni significa avere una postura incompleta perché si è rinunciato a svolgere anche la più semplice attività di analisi a riguardo. Nel migliore dei casi comporta una non conformità, mentre nel peggiore una vulnerabilità ignota per effetto della scelta consapevole di chi, semplicemente, ha accetta il rischio “al buio”. Concetto che nell’ambito degli appuntamenti può riservare sempre qualche sorpresa positiva, ma nella sicurezza fonda ogni premessa per un fallimento epico. Da cui conseguono una serie di responsabilità il cui peccato originale è proprio il non aver voluto gestire dei rischi. Cosa ben diversa rispetto all’aver approntato misure di mitigazione che si sono rivelate inadeguate.

Spiacevole verità: ispirarsi al quokka per una strategia di difesa sperando che un attaccante si fermi a fagocitare o violare i soli dati non sensibili (o anche: non personali e non sensibili) non è mai una buona idea.
Questo è più il meme. In realtà non è proprio così.
Che i dati siano sensibili o no, l’importante è avere la capacità di mantenerne il controllo.

Quando non è possibile proteggerli (o garantirne la liceità del trattamento), bisogna trovare un’alternativa.

Che talvolta può significare anche scegliere di non trattarli.

L'articolo I dati sensibili non si sono offesi: esistono ancora (e il GDPR li cita pure) proviene da il blog della sicurezza informatica.

I nostri eroi Matteo Errera e Roberto Zaccardi e il Cyberpandino hanno raggiunto Istanbul dopo cinque giorni di viaggio e oltre 5.000 km macinati dalla partenza da Lampedusa e si riparte per la Cappadocia!Un traguardo importante, ma che è solo l’inizio di un’avventura che prevede altri circa 20.000 km (più o meno… ma chi li conta davvero?) verso le strade più improbabili del pianeta.

La prima vera sfida si è presentata nel cuore di Maslak, il quartiere dei meccanici di Istanbul, dove una perdita di benzina dal serbatoio ha costretto l’equipaggio a una sosta tecnica non prevista. Con l’aiuto dei ragazzi di @exclusivegaragetr, problema tappato e motore pronto a ruggire di nuovo. Almeno fino al prossimo imprevisto, perché di questi tempi pare che non manchino mai.

Dalla Turchia all’entroterra più selvaggio, il Cyberpandino ha continuato la sua corsa tra crateri lunari, villaggi fantasma e strade che in realtà non esistono nemmeno sulle mappe.

Finora la piccola panda ha affrontato una vera e propria lista nera di guasti: tubo della benzina esploso, serbatoio che si svita, puleggia dell’albero motore rotta, filtro tappato da benzina tagliata con acqua e, per non farsi mancare nulla, tubo del collettore di aspirazione devastato. Ma al nostro Magic team, Matteo Errera e Roberto Zaccardi non importa, si va avanti con grande determinazione.

E come se non bastasse, dopo una lunga notte alla frontiera tra attese infinite, controlli e caffè imbevibili, il Cyberpandino è finalmente arrivato in Turchia. Con lui ora c’è anche un nuovo compagno di viaggio: @jonny_pickup, reporter e videomaker inglese che non parla una parola di italiano, pronto a immortalare ogni istante di questa corsa surreale. Più teste a bordo significano anche più zaini da incastrare nel bagagliaio, ma la vecchia panda continua a reggere con una dignità meccanica tutta sua.

Il prossimo grande passaggio sarà la frontiera con la Russia, prevista per il 27 luglio. Fino ad allora, il viaggio continua, tra imprevisti, pezzi di ricambio e paesaggi che tolgono il fiato. Perché il Mongol Rally non è solo una gara: è un esperimento di follia su ruote, dove anche le rotture diventano storie da raccontare. E il Cyberpandino, nonostante tutto, non molla mai.

E intanto, il Cyberpandino diventa sempre più una casa viaggiante. Hanno parcheggiato sulle rive di un lago così remoto in Turchia che persino i cammelli hanno chiesto indicazioni. Location esclusiva per veri esploratori… o per chi sbaglia strada con convinzione.

Perché questo è il Mongol Rally: una partenza, un traguardo lontano… e in mezzo, solo strade da inventare e avventure da vivere.

Il Cyberpandino ha tirato fuori tutto l’arsenale da campeggio in puro “Panda-luxe”: la tenda laterale che si monta in cinque minuti, la power station da 1500W per alimentare luci e condizionatore (perché dentro si sfiorano i 40°, praticamente un hammam con più zanzare), wifi satellitare per restare connessi anche in mezzo al nulla… e ovviamente la pasta, perché puoi togliere l’italiano dall’Italia, ma non la pentola.

Ora si punta verso la Georgia, forse Armenia. Riuscirà il Cyberpandino a convincere la dogana che non è un’astronave low-cost atterrata per sbaglio in Anatolia?

Stay tuned: la strada è lunga, la tenda ancora storta e la pasta… quasi pronta.

L'articolo Prima Tappa: Istanbul. Il Cyberpandino macina 5.000 km, tra guasti e imprevisti… ma non si ferma! proviene da il blog della sicurezza informatica.

Continuiamo la nostra serie di articoli sugli Initial Access Broker con un articolo su JohnDoe7 (anche noto come LORD1) che, come vedremo in seguito, usa un nome/moniker che richiama alla cinematografia o al mondo legal negli Stati Uniti.

Exploit di vulnerability 1-day

KELA Cyber ha osservato la costante offerta di exploit per vulnerabilità 1-day, il che conferma che gli IAB, come altri attori, sono interessati a colpire le aziende che non hanno applicato patch al loro ambiente in modo tempestivo. Qui in figura, su Exploit nell’Ottobre 2020, LORD1 offre un exploit RCE e LPE il cui prezzo parte da 5.000 dollari.
LORD1 offre exploit di un giorno (RCE, LPE), con prezzo a partire da 5000$

Il caso del software MOVEit Transfer

Nel giugno 2023, johndoe7 aka LoRD1 su XSS ed Exploit ha offerto uno script dannoso personalizzato per sfruttare la vulnerabilità di Progress MOVEit Transfer (CVE-2023-34362). Nel maggio 2023, il gruppo ransomware CL0P ha preso di mira MOVEit Transfer di Progress Software, comunemente utilizzato dalle organizzazioni per gestire le operazioni di trasferimento dei file. Hanno sfruttato la vulnerabilità zero-day SOL injection (CVE-2023-34362) per infiltrarsi nelle applicazioni web di MOVEit Transfer e ottenere un accesso non autorizzato ai database archiviati. Ciò potrebbe far pensare ad un legame tra johndoe7 e la gang CL0P …

Nel successivo esempio nei forum XSS e Exploit, gli attori malevoli “0x90” e “Present” manifestano il loro interesse nel comprare degli exploit per la CVE-2023-3519 (RCE su Citrix) e per la CVE-2022-24527 (LPE su Microsoft Connected Cache).

–

–

Report di Soc RADAR su attacchi a crypto/NFT

Secondo un report di SOCRadar, LORD1 è molto attivo nella compromissione di credenziali relative al mondo delle criptovalute e delle NFT; le analisi condotte dal gruppo di ricerca di SOCRadar rivelano che la maggior parte delle circa 1.700 minacce uniche del Dark Web rilevate dal 2021 a oggi riguardano la vendita di dati utente compromessi su scala globale. Pertanto, gli attori malevoli prendono di mira il settore delle criptovalute e delle NFT rappresentano una minaccia globale per tutti gli utenti.

La minaccia più diffusa nel settore delle criptovalute e NFT è la compromissione e la successiva vendita di informazioni personali degli utenti del settore sui forum del Dark Web.

Nel grafico precedente, fatto 100 il totale dei casi di compromissione credenziali analizzati nel periodo da SOCRadar, ogni segmento mostra la percentuale di contributo attribuita a ciascuno attore malevolo: LORD1 figura al quinto posto della TOP 10 con un contributo pari al 14 per cento.

Scenari di altre CVE sfruttate dallo IAB

ATLASSIAN BITBUCKET COMMAND INJECTION (CVE-2022-36804)

Resa nota nell’agosto 2022, CVE-2022-36804 è una vulnerabilità di iniezione di comandi che interessa più API endpoint dei server di Bitbucket. Utilizzando questa vulnerabilità, gli aggressori con accesso a un repository pubblico o con permessi di lettura a un repository Bitbucket privato, possono eseguire codice arbitrario inviando una richiesta HTTP dannosa.

FORTINET: AUTHENTICATION BYPASS VULNERABILITY (CVE-2022-40684)

Resa nota nel settembre 2022, questa vulnerabilità consente a un aggressore non autenticato di eseguire operazioni sull’interfaccia amministrativa dell’apparato FORTINET tramite richieste HTTP o HTTPs appositamente create tramite bypass dell’autenticazione utilizzando un percorso o un canale alternativo [CWE-288] in Fortinet FortiOS versione 7.2.0 fino a 7.2.1 e 7.0.0 fino a 7.0.6, FortiProxy versione 7.2.0 e versione 7.0.0 fino a 7.0.6 e FortiSwitchManager versione 7.2.0 e 7.0.0.

XSS Forum

Altre tracce di Johndoe7 dal 2022 nel forum XSS ( xss.ist/forums/104 )

–

–

–

SEVEN / SE7EN

Curiosità, “John Doe” è il nome del villain/il cattivo del film SE7EN

villains.fandom.com/it/wiki/Jo…

Negli USA il nome John Doe è usato per una vittima o un imputato sconosciuto o che si intende mantenere anonimo in un caso legale. È inoltre il nome che viene attribuito d’ufficio ai cadaveri di sconosciuti.

In Italia è l’equivalente di Ignoto o NN (dal latino Nomen Nescio).

NotaBene su 1-day: che cos’è una vulnerabilità 1-day?

Le vulnerabilità 1-day sono vulnerabilità note per le quali è disponibile una remediation patch o una mitigation, ma che non sono ancora state applicate. Il termine “un giorno” si riferisce al periodo che intercorre tra la divulgazione della vulnerabilità e l’applicazione della patch ai sistemi interessati.

A volte queste vulnerabilità vengono definite “n-day”, poiché il periodo è spesso molto più lungo di un giorno, dato che il tempo medio per l’applicazione di una patch (MTTP) è di solito compreso tra i 60 e i 150 giorni.

Purtroppo, lo sfruttamento delle vulnerabilità 1-day è spesso accelerato dal rilascio di codice exploit PoC (Proof-of-Concept) prima che gli utenti interessati abbiano il tempo necessario ad applicare una patch ai propri sistemi. Questa pratica sembra essere peggiorata da quando alcuni ricercatori di cybersecurity cercano di mettere in mostra le proprie capacità tecniche creando delle PoC, nonostante i danni che derivano da ciò.

Mentre threat actors più sofisticati effettuano il reverse-engineering di una patch per capire quale problema fosse essa destinata a risolvere e quindi sviluppano i propri exploit sulla base delle loro scoperte, i meno tecnici adottano/usano il codice della PoC disponibile pubblicamente. In questo modo la vulnerabilità può essere sfruttata da attori malevoli con minori skill tecniche che altrimenti non avrebbero avuto questa capacità senza assistenza esterna.

Un esempio recente e rilevante di vulnerabilità one-day è rappresentato da CVE-2024-1708, una falla di tipo “Autenthication bypass”, e da CVE-2024-1709, una falla di tipo Path traversal, nei server ScreenConnect di ConnectWise: solo un giorno dopo l’annuncio delle vulnerabilità, diversi ricercatori hanno rilasciato il codice di exploit PoC e i dettagli tecnici relativi alle vulnerabilità. Questo codice, unito alla facilità di identificare istanze ScreenConnect vulnerabili tramite scanner web online, ha portato a uno sfruttamento di massa e alla distribuzione di ransomware e altro malware su server privi di patch.

Conclusione

In questo articolo della serie sugli initial access broker abbia visto come il furto di credenziali possa avvenire anche attraverso attacchi che sfruttino vulnerabilità di tipo RCE e LPE e come sia fondamentale applicare patches e remediations il prima possibile … Quindi ricordiamo alcune delle best practice menzionate in precedenza per essere pronti ad ogni evenienza

• Aggiornamento costante dei sistemi
• Monitoraggio Continuo e Rilevamento delle Minacce
• Controlli di Accesso Forti/uso di Multi Factor Authentication
• Formazione e Consapevolezza dei Dipendenti
• Segmentazione/micro segmentazione della rete

Riferimenti

KelaCyber 2022 Q2 Report kelacyber.com/wp-content/uploa…

Outpost24 IAB Report outpost24.com/wp-content/uploa…

Soc Radar report socradar.io/wp-content/uploads…

Cyble underground report osintme.com/wp-content/uploads…

XSS Forum xss.ist/forums/104

Seven (Film, 1995) it.wikipedia.org/wiki/Seven

L'articolo Alla scoperta dell’IaB JohnDoe7: accessi in vendita dall’uomo qualunque proviene da il blog della sicurezza informatica.

Another entry in the world of interesting FDM filaments comes courtesy of CC3D with their 72D TPU filament, with [Dr. Igor Gaspar] putting it to the test in his recent video. The use of the Shore hardness D scale rather than the typical A scale is a strong indication that something is different about this TPU. The manufacturer claims ‘nylon-like’ performance, which should give this TPU filament much more hardness and resistance to abrasion. The questions are whether this filament lives up to these promises, and whether it is at all fun to print with.
The CC3D 72D TPU filament used to print a bicycle’s handlebar. (Credit: My Tech Fun, YouTube)
TPU is of course highly hydrophilic, so keeping the filament away from moisture is essential. Printing temperature is listed on the spool as 225 – 245°C, and the filament is very bendable but not stretchable. For the testing a Bambu Lab X-1 Carbon was used, with the filament directly loaded from the filament dryer. After an overnight print session resulted in spaghetti due to warping, it was found that generic TPU settings at 240ºC with some more nylon-specific tweaks seemed to give the best results, with other FDM printers also working well that way.

The comparison was against Bambu Lab’s 68D TPU for AMS. Most noticeable is that the 72D TPU easily suffers permanent deformation, while being much more wear resistant than e.g. PLA. That said, it does indeed seem to perform more like polyamide filaments, making it perhaps an interesting alternative there. Although there’s some confusion about whether this TPU filament has polyamide added to it, it seems to be pure TPU, just like the Bambu Lab 68D filament.

youtube.com/embed/158prgcHcTE?…

hackaday.com/2025/07/22/nylon-…

Although Charles Hall conducted his first successful run of the Hall-Héroult aluminium smelting process in the woodshed behind his house, it has ever since remained mostly out of reach of home chemists. It does involve electrolysis at temperatures above 1000 ℃, and can involve some frighteningly toxic chemicals, but as [Maurycy Z] demonstrates, an amateur can now perform it a bit more conveniently than Hall could.

[Maurycy] started by finding a natural source of aluminium, in this case aluminosilicate clay. He washed the clay and soaked it in warm hydrochloric acid for two days to extract the aluminium as a chloride. This also extracted quite a bit of iron, so [Maurycy] added sodium hydroxide to the solution until both aluminium and iron precipitated as hydroxides, added more sodium hydroxide until the aluminium hydroxide redissolved, filtered the solution to remove iron hydroxide, and finally added hydrochloric acid to the solution to precipitate aluminium hydroxide. He heated the aluminium hydroxide to about 800 ℃ to decompose it into the alumina, the starting material for electrolysis.

To turn this into aluminium metal, [Maurycy] used molten salt electrolysis. Alumina melts at a much higher temperature than [Maurycy]’s furnace could reach, so he used cryolite as a flux. He mixed this with his alumina and used an electric furnace to melt it in a graphite crucible. He used the crucible itself as the cathode, and a graphite rod as an anode. He does warn that this process can produce small amounts of hydrogen fluoride and fluorocarbons, so that “doing the electrolysis without ventilation is a great way to poison yourself in new and exciting ways.” The first run didn’t produce anything, but on a second attempt with a larger anode, 20 minutes of electrolysis produced 0.29 grams of aluminium metal.

[Maurycy]’s process follows the industrial Hall-Héroult process quite closely, though he does use a different procedure to purify his raw materials. If you aren’t interested in smelting aluminium, you can still cast it with a microwave oven.

hackaday.com/2025/07/22/the-ha…

While it might not be accurate to say VHS is dead, it’s certainly not a lively format. It continues on in undeath thanks to dedicated collectors and hobbyists, some of whom may be tempted to lynch Reddit user [CommonKingfisher] for embedding a video player inside a VHS tape.
Miniaturization in action. The video player probably cost about the same as the original VHS when you account for inflation.
The hack started with a promotional video card via Ali Express, which is a cheap enough way to get a tiny LCD player MP4 playing micro. As you can see, there was plenty of room in the tape for the guts of this. The tape path is obviously blocked, so the tape is not playable in this format. [CommonKingfisher] claims the hack is “reversible” but since he cut a window for the LCD out of the casing of the cassette, that’s going to be pretty hard to undo. On the other hand, the ultrasonic cutter he used did make a very clean cut, and that would help with reversibility.

The fact that the thing is activated by a magnetic sensor makes us worry for the data on that tape, too, whether or not the speaker is a peizo. Ultimately it doesn’t really matter; in no universe was this tape the last surviving copy of “The Matrix”, and it’s a lot more likely this self-playing “tape” gets watched than the VHS was going to be. You can watch it yourself in the demo video embedded below.

VHS nostalgia around here usually involves replicating the tape experience, rather than repurposing the tape. We’re grateful to [George Graves] for the tip. Tips of all sorts are welcome on our friendly neighborhood tips line.

youtube.com/embed/BYrY3nFrsho?…

hackaday.com/2025/07/22/video-…

We did explicitly ask for projects that use a 555 timer for the One Hertz Challenge, but we weren’t expecting the 555 to be the project. Yet, here we are, with [matt venn]’s Open Source 1Hz Blinky, that blinks a light with a 555 timer… but not one you’d get from Digikey.

Hooking a 555 to blink an LED at one hertz is a bog-simple, first-electronics-project type of exercise, unless you have to make the 555 first. Rather than go big, as we have seen before, [matt venn] goes very small, with a 555 implemented on a tiny sliver of Tiny Tapeout 6.

We’ve covered projects using that tapeout before, but in case you missed it, Tiny Tapeout gives space to anyone to produce ASICs on custom silicon using an open Process Design Kit, and we have [matt venn] to thank for it. The Tiny Tapeout implementation of the 555 was actually designed by [Vincent Fusco].

Of course wiring it up is a bit more complicated than dropping in a 555 timer to the circuit: the Tiny Tapeout ASIC must be configured to use that specific project using its web interface. There’s a demo video embedded below, with some info about the project– it’s not just a blinking LED, so it’s worth seeing. The output isn’t exactly One Hertz, so it might not get the nod in the Timelord category, but it’s going to be a very strong competitor for other 555-based projects– of which we could really use more, hint-hint. You’ve got until August 19th, if you think you can use a 555 to do something more interesting than blink an LED.

youtube.com/embed/QrB6msn3UzM?…

hackaday.com/2025/07/22/2025-o…

We’ve all felt the frustration of cheap consumer electronics — especially when they aren’t actually cheap. How many of us have said “Who designed this crap? I could do better with an Arduino!” while resisting the urge to drop that new smart doorbell in the garbage disposal?

It’s an all-too familiar thought, and when it passed through [Mathieu]’s head while he was resetting the time and changing the batteries in his son’s power-hungry Pokémon alarm clock for the umpteenth time, he decided to do something about it.

The only real design requirement, imposed by [Mathieu]’s son, was that the clock’s original shell remained. Everything else, including the the controller and “antique” LCD could go. He ripped out the internals and installed an ESP32, allowing the clock to automatically sync to network time in the event of power loss. The old-school LCD was replaced with a modern, full-color TFT LCD which he scored on AliExpress for a couple of Euros.

Rather than just showing the time, the new display sports some beautiful pixel art by Woostarpixels, which [Mathieu] customized to have day and nighttime versions, even including the correct moon phase. He really packed as much into the ESP32 as possible, using 99.6% of its onboard 4 MB of flash. Code is on GitHub for the curious. All in all, the project is a multidisciplinary work of art, and it looks well-built enough to be enjoyed for years to come.

youtube.com/embed/mHJeMg9Hzjg?…

hackaday.com/2025/07/22/2025-o…