The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Hackaday Links: August 4, 2024
poliverso.org/display/0477a01e…
Hackaday Links: August 4, 2024 Good news, bad news for Sun watchers this week, as our star launched a solar flare even bigger than the one back in May space.com/sun-solar-flare-far-… that gave us an amazing display of aurora that dipped down into pretty low latitudes. This was a big one; where the earlier outburst was only an X8.9 class, the one on July 23 was X14. That


Hackaday Links: August 4, 2024

Hackaday Links Column Banner

Good news, bad news for Sun watchers this week, as our star launched a solar flare even bigger than the one back in May that gave us an amazing display of aurora that dipped down into pretty low latitudes. This was a big one; where the earlier outburst was only an X8.9 class, the one on July 23 was X14. That sure sounds powerful, but to put some numbers to it, the lower end of the X-class exceeds 10-4 W/m2 of soft X-rays. Numbers within the class designate a linear increase in power, so X2 is twice as powerful as X1. That means the recent X14 flare was about five times as powerful as the May flare that put on such a nice show for us. Of course, this all pales in comparison to the strongest flare of all time, a 2003 whopper that pegged the needle on satellite sensors at X17 but was later estimated at X45.

So while the X14 last week was puny by comparison, it still might have done some damage if it had been Earth-directed. As it was, the flare and its associated coronal mass ejection occurred on the far side of the Sun, sending all that plasma off into the void, since pretty much all the planets were on this side of the Sun at the time. That’s the bad news part of this story, at least for those of us who enjoy watching aurora, not to mention the potential for a little doomsday. But fear not; the sunspot region that spawned this monster flare is transiting the far side of the Sun as we speak, and might just emerge with all its destructive potential intact.

Then again, why wait for the Sun to snuff communications when you can just start your own fiber optic apocalypse? Perhaps that was the motivation when saboteurs in France broke into cabinets in several locations on the night of July 28 and 29 to cut fiber cables. These must have been proper cables, since telecomms insiders say it would have taken an axe or angle grinder to cut through them. While the saboteurs were obviously motivated and organized, they appear not to have been familiar enough with the network topology to cause a widespread outage, nor did they succeed in disrupting the Paris Olympics, the most obvious nearby target. Then again, maybe they weren’t looking for that much attention. Probing attack much?

A couple of weeks back we featured a story (third item) about a GMRS system that had a questionable interaction with Federal Communications Commission investigators, resulting in their system of linked repeaters being taken offline. It seemed pretty clear to us at the time that the FCC regulations regarding the General Mobile Radio Service allowed for repeaters, but prohibited linking them together with pretty much any kind of network. Our friend Josh (KI6NAZ) over at Ham Radio Crash Course is weighing in on the issue now, and seems to have come to the same conclusion. However, the FCC didn’t really do themselves or the GMRS community any favors with the wording of 47 CFR §95.1733, which prohibits “Messages which are both conveyed by a wireline control link and transmitted by a GMRS station.” That “wireline” bit seems to be the part GMRS operators latched onto, thinking somehow that this only meant landline telephones and that linking repeaters through the Internet was all good.

youtube.com/embed/dyikR1lZXnQ?…

A friend of ours once related his plans for the weekend, which included, “Going home, flipping on cable, and turning on CSPAN.” He knew this was pretty sad, and even had a name for it: “Loser Entertainment Television”, or LET. We’re not sure what other channels were on his LET list, but if NASA TV had been available at the time, we’re pretty sure he would have included it. Sadly, or luckily depending on your viewpoint, NASA is shutting down their cable channel in a couple of weeks. You say you had no idea that NASA had a cable channel? We didn’t either — we haven’t had cable or satellite service in at least a decade now — so don’t feel too bad. Our condolences if NASA TV was a part of your life, but you can at least take comfort that much of the same content will still be available on the NASA+ streaming service, which we also didn’t know was a thing. Are we so out of touch?

And finally, if you need something to play with during these dog days of (northern hemisphere) summer, you could do worse than React Flight Tracker, and open-source 3D visualizer for everything that flies. And we mean everything; not only does it track civil and military aviation globally, it also shows the obit of everything from satellites in LEO to dead comms birds in parking geosynchronous parking orbits. You can even zoom way out and see bits of space flotsam like boosters and fairing out about halfway to the Moon. The nice thing about it is the Google Earth-like interface, which gives you a unique perspective on flight. We always knew that the best path from Istanbul to Seattle was (almost) over the North Pole, but seeing it on a 3D globe really brings the point home. It’s also interesting to watch planes from Tokyo to Frankfurt skirting around Russian airspace. Have fun.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Your ESP32 As A USB Bluetooth Dongle
poliverso.org/display/0477a01e…
Your ESP32 As A USB Bluetooth Dongle Using Bluetooth on a desktop computer is now such a seamless process; it’s something built-in and just works. Behind that ubiquity is a protocol layer called HCI, or Host Controller Interface, a set of commands allowing a host computer to talk to a Bluetooth interface. That interface doesn’t have to be special, and [Dakhnod] is here to show us that it can


Your ESP32 As A USB Bluetooth Dongle

Using Bluetooth on a desktop computer is now such a seamless process; it’s something built-in and just works. Behind that ubiquity is a protocol layer called HCI, or Host Controller Interface, a set of commands allowing a host computer to talk to a Bluetooth interface. That interface doesn’t have to be special, and [Dakhnod] is here to show us that it can be done with an ESP32 microcontroller through its USB interface.

The linked repository doesn’t tell us which of the ESP32 variants it works with, but since not all of them have a USB peripheral we’re guessing one of the newer variety. It works with Linux computers, and we’re told it should work with Windows too if a HCI driver is present. We might ask ourselves why such a project is necessary given the ubiquity of Bluetooth interfaces, but for us it’s provided the impetus to read up on how it all works.

We can’t find anyone else in our archive who’s made a Bluetooth dongle in this way, but we’ve certainly seen sniffing of HCI commands to reverse engineer a speaker’s communications.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

All The Air Ducting Parts You Could Ever Need
poliverso.org/display/0477a01e…
All The Air Ducting Parts You Could Ever Need If you have ever planned an air duct or dust extraction system for your shop, you’ll know just how difficult it can be to accommodate all but the simplest of arrangements. Off the shelf systems are intended for use in home heating or other domestic systems, and offer little flexibility of choice. Of course you could 3D print an adapter or


All The Air Ducting Parts You Could Ever Need

If you have ever planned an air duct or dust extraction system for your shop, you’ll know just how difficult it can be to accommodate all but the simplest of arrangements. Off the shelf systems are intended for use in home heating or other domestic systems, and offer little flexibility of choice. Of course you could 3D print an adapter or two, but [Fabian] has taken it to the next level with a comprehensive library of 3D-printable pipe system adapters and accessories. We’re not sure we’ve seen such a complete collection.

The pipes are mostly at 125 mm diameter, with the full array of elbows and joints, alongside adapters for fans and smaller pipes, and different splitter options. It becomes particularly interesting in the accessories department though, because he’s also made a set of smart addons, packing ESP32s for sensors, and even valves.

It sometimes shocks us to go into hackerspaces and see nothing in the way of extraction around tools that really need it. Airborne smoke and particulates are a proven hazard, and thus we like this project a lot. If you don’t have adequate ventilation or extraction on your bench, consider printing yourself a solution. Take a look at how one hackerspace did it.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

PC-9800 Boot Sounds for Modern Computers!
poliverso.org/display/0477a01e…
PC-9800 Boot Sounds for Modern Computers! There have been many computers that played a little jingle to greet you upon booting. The NEC PC-9800 is a famous example, though almost all the Macintosh computers played either the soothing “booting” chord or sometimes the Sad Mac “error” chord. And of course, consoles have long played music on startup, with the original PlayStation boot music


PC-9800 Boot Sounds for Modern Computers!

There have been many computers that played a little jingle to greet you upon booting. The NEC PC-9800 is a famous example, though almost all the Macintosh computers played either the soothing “booting” chord or sometimes the Sad Mac “error” chord. And of course, consoles have long played music on startup, with the original PlayStation boot music heralding a whole new era of video games. But modern machines don’t do anything, except maybe a single beep if you’re lucky. So why not pop in this M.2 card (JP) and bring some quirky flair to your PC?

While this particular card is aimed at the Japanese market and specifically evokes the PC-9800, we hope to see some hackers creating projects bringing other custom boot sounds to laptops and PCs around the rest of the world! A simple microcontroller, DAC, speaker and flash storage for the waveform would be all that’s required. It could even be capacitively coupled into the system’s sound output for some extra nerd points. You could pull the ultimate prank and have your friend’s laptop play the opening notes to “Never Gonna Give You Up” upon boot. Or you could have your favourite hacker movie quote play – “I can trace her physical location by looking at the binary!”. Brilliant!

In the meantime, if you want one of these cards, you’ll likely have to use a Japanese mail forwarding service as the cards are only available from Japanese retailer Kadenken — though for only ¥2880, or just under $20 USD, which is a great deal.

[via Techspot]


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Detecting Faster Than Light Travel by Extraterrestrials
poliverso.org/display/0477a01e…
Detecting Faster Than Light Travel by Extraterrestrials The idea of traveling faster than the speed of light (FTL) has been a popular idea long before [Alcubierre] came up with the first plausible theoretical underpinnings for such a technology. Yet even if such an FTL drive is possible, it may be hundreds of years before humanity manages to develop its first prototype. This


Detecting Faster Than Light Travel by Extraterrestrials

The idea of traveling faster than the speed of light (FTL) has been a popular idea long before [Alcubierre] came up with the first plausible theoretical underpinnings for such a technology. Yet even if such an FTL drive is possible, it may be hundreds of years before humanity manages to develop its first prototype. This does however not prevent us from for looking for possible FTL drive signatures in the spacetime around us. Such a concept was recently proposed by [Katy Clough] and colleagues in a recent article (Arxiv preprint).

For a friendly but detailed explanation the PBS Space Time video (embedded below) on the paper comes highly recommended. The gotcha with detecting an FTL warp drive is that it is undetectable until it collapses in some fashion. By simulating what this collapse might look like, the researchers were able to speculate about the properties to look for. These include gravitational waves, which would not be detectable by an existing gravitational wave detector like LIGO, but we might be able to build one that can.

Ultimately we’d be acting on conjecture on what a warp bubble would look like and how it would behave when it collapses so we might just as well mistake something far less intelligent for Vulcans passing through our solar system. It might also be our first sign of extraterrestrial life, possibly ogling some primitive civilization on a Class M planet until it’s ready for First Contact.

youtube.com/embed/8hvzF5oQe1g?…


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

Conversione automatica da C a Rust. Il DARPA scommette su TRACTOR
poliverso.org/display/0477a01e…
Conversione automatica da C a Rust. Il DARPA scommette su TRACTOR DARPA sta accelerando la transizione verso linguaggi di programmazione memory-safe con il progetto TRACTOR, che mira a convertire automaticamente il codice C in Rust. Questo progetto sviluppa strumenti di apprendimento automatico per automatizzare la traduzione del codice C legacy in Rust.Il problema


Conversione automatica da C a Rust. Il DARPA scommette su TRACTOR

DARPA sta accelerando la transizione verso linguaggi di programmazione memory-safe con il progetto TRACTOR, che mira a convertire automaticamente il codice C in Rust. Questo progetto sviluppa strumenti di apprendimento automatico per automatizzare la traduzione del codice C legacy in Rust.

Il problema della sicurezza della memoria è una delle principali cause di vulnerabilità nelle codebase di grandi dimensioni. La DARPA spera che i modelli di intelligenza artificiale aiutino a tradurre i linguaggi di programmazione per rendere il software più sicuro.

I giganti della tecnologia come Google e Microsoft mettono in guardia ormai da anni sui problemi legati ai bug di sicurezza della memoria e chiedono l’uso di linguaggi di programmazione che non richiedano la gestione manuale della memoria, come Rust.

Ciò ha attirato l’attenzione di agenzie governative come la Casa Bianca e la US Cybersecurity and Infrastructure Agency (CISA), che ora raccomandano l’uso di linguaggi di programmazione sicuri per la memoria, tra cui Rust, C#, Go, Java, Python e Swift.

I sostenitori di C e C++ sostengono che la corretta aderenza agli standard ISO e l’uso di strumenti di test possono produrre risultati comparabili. Tuttavia, la DARPA ritiene che i problemi di sicurezza della memoria in questi linguaggi rimangano rilevanti.

Rust, rilasciato nel 2015, è sicuro per la memoria e adatto alla programmazione di sistemi ad alta prestazione. Il linguaggio è diventato popolare grazie a iniziative che mirano a riscrivere il codice critico, incluso il demone Network Time Protocol (NTP), in Rust per ridurre i rischi per la sicurezza.

Il progetto TRACTOR sta attirando l’attenzione anche nel settore privato. Ad esempio, Code Metal, una società di conversione di codici hardware, ritiene che il progetto DARPA sia promettente e tempestivo. Tuttavia, la traduzione automatizzata del codice rimane una sfida, soprattutto a causa delle funzionalità di gestione dei puntatori di C, che sono vietate in Rust.

DARPA ospiterà un evento per coloro che intendono presentare proposte per il progetto TRACTOR il 26 agosto 2024. I partecipanti dovranno registrarsi entro il 19 agosto .

L'articolo Conversione automatica da C a Rust. Il DARPA scommette su TRACTOR proviene da il blog della sicurezza informatica.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

Il Pakistan Introduce un nuovo Firewall Internet: Sicurezza o Censura?
poliverso.org/display/0477a01e…
Il Pakistan Introduce un nuovo Firewall Internet: Sicurezza o Censura? Il Pakistan si sta preparando voanews.com/a/pakistani-minist… a introdurre un firewall Internet, ma le autorità negano che limiterà la libertà di parola. Venerdì, il ministro pakistano dell’Informazione e delle


Il Pakistan Introduce un nuovo Firewall Internet: Sicurezza o Censura?

Il Pakistan si sta preparando a introdurre un firewall Internet, ma le autorità negano che limiterà la libertà di parola. Venerdì, il ministro pakistano dell’Informazione e delle Telecomunicazioni, Shaza Fatima Khawaja, ha confermato che il governo sta introducendo un nuovo sistema di regolamentazione di Internet, definendolo “una migliore sicurezza informatica”.

È un sistema, non un muro fisico. Non limiterà nulla”, ha detto Khawaja. Ha sottolineato che questa decisione è stata presa a causa degli attacchi informatici quotidiani contro il Paese.

L’ultimo budget del Pakistan ha stanziato più di 70 milioni di dollari per la sua iniziativa sulle infrastrutture critiche. Tuttavia, i critici e gli attivisti per i diritti digitali temono che il firewall venga utilizzato per reprimere il dissenso. Da diversi mesi le autorità pakistane hanno accennato alla possibilità di introdurre uno strumento di censura, ma hanno tardato a rilasciare dichiarazioni ufficiali.

A gennaio, il primo ministro ad interim del Pakistan, Anwar-ul-Haq Kakar, ha annunciato in un’intervista ad un canale di notizie che presto sarebbe stato implementato un firewall nazionale. A giugno, un alto funzionario ha confermato che il governo di Shehbaz Sharif stava lavorando alla creazione di uno strumento per monitorare il traffico Internet e filtrare i contenuti.

Allo stesso tempo, il governo di Sharif ha evitato spiegazioni dettagliate e sta cercando di minimizzare le preoccupazioni sulla censura. Il ministro dell’Informazione e della radiodiffusione Attaullah Tarrar ha dichiarato in un briefing che il firewall riguarderà solo la sicurezza informatica e dei dati e non influirà sulla libertà di parola.

Giovedì, il media pakistano The News ha riferito che i problemi riscontrati dagli utenti durante l’invio di messaggi tramite il messenger WhatsApp di proprietà di Meta erano il risultato di test del firewall. Un portavoce dell’Autorità indipendente per le telecomunicazioni del Pakistan ha rifiutato di commentare, affermando che i suoi sistemi funzionavano normalmente e che i problemi potrebbero essere stati causati da un problema tecnico.

L'articolo Il Pakistan Introduce un nuovo Firewall Internet: Sicurezza o Censura? proviene da il blog della sicurezza informatica.


The Privacy Post ha ricondiviso questo.

Minority Report è qui! L’Argentina adotta sistemi basati su AI di Polizia Predittiva
poliverso.org/display/0477a01e…
Minority Report è qui! L’Argentina adotta sistemi basati su AI di Polizia Predittiva La settimana scorsa, il governo del presidente Javier Miley in Argentina ha annunciato la creazione di un gruppo di intelligenza artificiale redhotcyber.com/post/che-cose-… all’interno


Minority Report è qui! L’Argentina adotta sistemi basati su AI di Polizia Predittiva

La settimana scorsa, il governo del presidente Javier Miley in Argentina ha annunciato la creazione di un gruppo di intelligenza artificiale all’interno della direzione per la criminalità informatica e gli affari informatici del paese che utilizzerà software statistici per prevedere la criminalità.

La missione dell’Unità di Intelligenza Artificiale Applicata alla Sicurezza (UIAAS) è prevenire, individuare, indagare e perseguire i crimini e le loro connessioni utilizzando l’intelligenza artificiale“, ha affermato il Dipartimento di Sicurezza nella risoluzione .

L’UIASS monitorerà Internet e il dark web per indagare sui crimini e identificare i criminali, analizzare immagini e video dalle telecamere a circuito chiuso in tempo reale e utilizzare algoritmi di apprendimento automatico per analizzare i dati storici sulla criminalità e prevedere crimini futuri.

Come ha notato El País , il governo argentino, nonostante i tagli alle agenzie governative, sta creando una nuova agenzia per prevedere i crimini, che ricorda la trama del Minority Report di Philip K. Dick, dove le persone vengono perseguitate per crimini che non hanno ancora commesso.

Tuttavia, il Ministero della Sicurezza argentino cita un’altra fonte di ispirazione: “Paesi come Stati Uniti, Cina, Regno Unito, Israele, Francia, Singapore, India e altri sono pionieri nell’uso dell’intelligenza artificiale nel governo e nelle forze di sicurezza”.

I rapporti mostrano che le previsioni effettuate attraverso la polizia predittiva si sono rivelate piuttosto imprecise. Secondo un rapporto di The Markup dello scorso anno, le previsioni sui crimini effettuate nel 2018 dalla polizia di Plainfield hanno avuto un tasso di successo inferiore allo 0,5%.

New York ha recentemente iniziato a testare un sistema di rilevamento delle armi basato sull’intelligenza artificiale nella metropolitana.

Sui social media, il Centro per lo Studio della Libertà di Espressione e l’Accesso all’Informazione dell’Università di Palermo a Buenos Aires ha espresso preoccupazione per la mancanza di trasparenza nell’acquisizione e nell’impiego di tecnologia da parte del governo argentino, rilevando che tecnologie simili sono state utilizzato in passato per profilare accademici, giornalisti, politici e attivisti.

Non tutti i programmi predittivi sono imprecisi o contraffatti. I ricercatori dell’Università di Chicago nel 2022 hanno affermato di aver sviluppato un algoritmo che prevede le scene del crimine una settimana prima che si verifichino con una precisione del 90%. Lo studio ha anche scoperto che i crimini commessi nelle aree più ricche portano a più arresti rispetto ai crimini commessi nelle aree svantaggiate: un difetto istituzionale, non tecnico.

Gli accademici argentini ed europei considerano un successo il sistema di intelligenza artificiale predittiva Prometea, sviluppato dalla Procura della città di Buenos Aires. In un rapporto del 2020, Juan G. Corvalan ed Enzo Maria Le Fevre Servini hanno affermato che Prometea “prevede la risoluzione di un caso giudiziario in meno di 20 secondi con una precisione del 96%”.

L'articolo Minority Report è qui! L’Argentina adotta sistemi basati su AI di Polizia Predittiva proviene da il blog della sicurezza informatica.


The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

NSO Group nel mirino! BlackMeta attacca il dominio centrale del produttore di Spyware
poliverso.org/display/0477a01e…
NSO Group nel mirino! BlackMeta attacca il dominio centrale del produttore di Spyware Il gruppo Pro-Palestina BlackMeta (o DarkMeta) ha annunciato, nella giornata del 1 Agosto 2024, sul loro canale telegram ufficiale t.me/SN_Darkmeta di aver condotto un attacco distruttivo sull’infrastruttura del gruppo NSO, incluso il dominio centrale.


NSO Group nel mirino! BlackMeta attacca il dominio centrale del produttore di Spyware

Il gruppo Pro-Palestina BlackMeta (o DarkMeta) ha annunciato, nella giornata del 1 Agosto 2024, sul loro canale telegram ufficiale di aver condotto un attacco distruttivo sull’infrastruttura del gruppo NSO, incluso il dominio centrale. Assieme al sito del gruppo intelligence Israeliano anche il sito Europol ha subito lo stesso trattamento subendo un forte attacco DDoS.


Il 3 Agosto, BlackMeta ha voluto aggiornare la situazione dell’attacco dichiarando che entrambi i siti sono rimasti unreachable per almeno 24 ore. Il gruppo ha voluto precisare anche i metodi di mitigazione d’ermegenza avviato da Europol vantandosi dei loro fallimenti di fronte ai loro attacchi.

Attacchi passati di BlackMeta


DarkMeta non è nuovo ad attacchi ad assrt digitali israeliani, il tutto è iniziato nel mese di Aprile 2024 con l’attacco alla telecom Orange Israel portando a forti lag e disservizi. Nella rivendicazione hanno promesso di continuare i loro attacchi ad Israele a causa “del genocidio corrente e dei crimini di guerra commessi nella striscia di Gaza”. Più di 150 domini subirono disservizi e le API dell’azienda non furono utilizzabili in 6 stati diversi per tutta la durata dell’attacco

Le loro promesse sono state mantenute ben prima del recente attacco all’infrastruttura NSO, come a Israeli Bank ed il giornale Jerusalem Post. Il gruppo è molto influenzato dalla guerra Israelo-Palestinese e dichiarano di aver una lista di almeno 7 target come future vittime, incluso il Reattore Nucleare di Dimona.

NSO ed il suo destriero


NSO (acronimo dei 3 fondatori Niv, Shalev e Omri) è una azienda privata israeliana specializzata in soluzioni di cyber-intelligence, il gruppo accetta come clienti solo ed unicamente governi con la premessa di creare strumenti per il contrasto al crimine e terroristico. Il prodotto più famoso dell’azienda è lo spyware Pegasus, un sofisticato malware che sfrutta una vulnerabilità 0-click presenti in specifiche versioni di iOS e Android. Una volta lanciato l’exploit, Pegasus viene installato nel dispositivo della vittima permettendo di estrarre dati dalle app di messagistica più comuni, chiamate, SMS, locazione in tempo reale e molto altro con un’alta affidabilità. Per chi volesse approfondire può visionare il report di CitizenLab che furono tra i primi watchdog a scoprire ed analizzare il malware. Israele definisce Pegasus come arma necessitando di una approvazione diretta dal governo per l’uso e lo sviluppo di varianti, tra le controversie riguardanti NSO molte riguardano l’utilizzo di questo malware.

Pegasus è stato usato contro giornalisti, politici e difensori dei diritti umani creando problemi agli equilibri geopolitici portando gli USA a blacklistare non solo lo spyware ma il gruppo NSO nella sua interezza proibendo alle aziende americane a vendere le proprie tecnologie all’azienda [1].

Conclusioni


Nel Dicembre 2023, NSO ha rilasciato un rapporto sulla trasparenza dichiarando (sull’introduzione, scritta direttamente dal CEO) come l’attacco terroristico Palestinese del 7 Ottobre 2023 evidenzi la necessita di uno strumento come Pegasus e specificando cosa non fa e non è Pegasus.

Tali dichiarazioni sembrano presagire un possibile ritorno (silenzioso) dell’utlizzo dello spyware sia fuori che dentro i confini dei paesi in conflitto. Questa potrebbe essere la motivazione del gruppo DarkMeta ad aggiungere NSO alla lista dei loro target.

Il landscape GeoPolitico sta influenzando sempre di più le motivazioni di diversi gruppi (apparentemente) indipendenti portandoli a non temere obbiettivi grossi ed ambiti. Questo tipo di attacchi si posizionano nella linea grigia tra giusto e sbagliato lasciando spazio a quesiti su come giudicare i diversi soggetti coinvolti. Uno dei dilemmi da affrontare, quando la situazione di guerra in Europa e Medio Oriente si stabilizzerà, sarà giudicare se la definizione Ethical Hacking e White Hat debbano essere aggiornate o persino considerate inutili ed estremamente limitanti.

L'articolo NSO Group nel mirino! BlackMeta attacca il dominio centrale del produttore di Spyware proviene da il blog della sicurezza informatica.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Bringing The UMPCs Back With A Pi Zero
poliverso.org/display/0477a01e…
Bringing The UMPCs Back With A Pi Zero Miss PDAs and UMPCs? You wouldn’t be the only one, and it’s a joy to see someone take the future into their own hands. [Icepat]’s dream is reviving UMPCs as a concept, and he’s bringing forth a pretty convincing hardware-backed argument in form of the Pocket Z project. hackaday.io/project/196625-poc… For the


Bringing The UMPCs Back With A Pi Zero

The UMPC powered up, case-less showing the black PCB, with the display standing upwards and showing a blue colour scheme desktop with a CLI terminal open. To the right of it is one of the UMPCs that served as an inspiration for this project.

Miss PDAs and UMPCs? You wouldn’t be the only one, and it’s a joy to see someone take the future into their own hands. [Icepat]’s dream is reviving UMPCs as a concept, and he’s bringing forth a pretty convincing hardware-backed argument in form of the Pocket Z project. For the hardware design, he’s hired two engineers, [Adam Nowak] and [Marcin Turek], and the 7-inch Pocket Z7 version is coming up quite nicely!

The Hackaday.io project shows an impressive gallery of inspiration devices front and center, and with these in mind, the first version of the 7-inch UMPC sets the bar high. With a 1024×600 parallel RGB (DPI) touchscreen display, an ATMega32U4-controlled keyboard, battery-ready power circuitry, and a socketed Pi Zero for brains, this device shows a promising future for the project, and we can’t wait to see how it progresses.

While it’s not a finished project just yet, this effort brings enough inspiration all around, from past device highlights to technical choices, and it’s worth visiting it just for the sentiment alone. Looking at our own posts, UMPCs are indeed resurfacing, after a decade-long hiatus – here’s a Sidekick-like UMPC with a Raspberry Pi, that even got an impressive upgrade a year later! As for PDAs, the Sharp memory LCD and Blackberry keyboard combination has birthed a good few projects recently, and, who can forget about the last decade’s introductions to the scene.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Steam Deck, Or Single Board Computer?
poliverso.org/display/0477a01e…
Steam Deck, Or Single Board Computer? With a number of repair-friendly companies entering the scene, we have gained motivation to dig deeper into devices they build, repurpose them in ways yet unseen, and uncover their secrets. One such secret was recently discovered by [Ayeitsyaboii] on Reddit reddit.com/r/SteamDeck/comment… – turns out, you


Steam Deck, Or Single Board Computer?

Steamdeck motherboard standing upright propped onto a USB-C dock it's wired up to, showing just how little you need to make the steamdeck board work.

With a number of repair-friendly companies entering the scene, we have gained motivation to dig deeper into devices they build, repurpose them in ways yet unseen, and uncover their secrets. One such secret was recently discovered by [Ayeitsyaboii] on Reddit – turns out, you can use the Steam Deck mainboard as a standalone CPU board for your device, no other parts required aside from cooling.

All you need is a USB-C dock with charging input and USB/video outputs, and you’re set – it doesn’t even need a battery plugged in. In essence, a Steam Deck motherboard is a small computer module with a Ryzen CPU and a hefty GPU! Add a battery if you want it to work in UPS mode, put an SSD or even an external GPU into the M.2 port, attach WiFi antennas for wireless connectivity – there’s a wide range of projects you can build.

Each such finding brings us closer to the future of purple neon lights, where hackers spend their evenings rearranging off-the-shelf devices into gadgets yet unseen. Of course, there’s companies that explicitly want us to hack their devices in such a manner – it’s a bet that Framework made to gain a strong foothold in the hacker community, for instance. This degree of openness is becoming a welcome trend, and it feels like we’re only starting to explore everything we can build – for now, if your Framework’s or SteamDeck’s screen breaks, you always have the option to build something cool with it.

[Via Dexerto]


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Pixel Art and the Myth of The CRT Effect
poliverso.org/display/0477a01e…
Pixel Art and the Myth of The CRT Effect The ‘CRT Effect’ myth says that the reason why pixel art of old games looked so much better is due to the smoothing and blending effects of cathode-ray tube (CRT) displays, which were everywhere until the early 2000s. In fits of mistaken nostalgia this has led both to modern-day extreme cubism pixel art and video game ‘CRT’ filters that respectively


Pixel Art and the Myth of The CRT Effect

The ‘CRT Effect’ myth says that the reason why pixel art of old games looked so much better is due to the smoothing and blending effects of cathode-ray tube (CRT) displays, which were everywhere until the early 2000s. In fits of mistaken nostalgia this has led both to modern-day extreme cubism pixel art and video game ‘CRT’ filters that respectively fail to approach what pixel art was about, or why old games looked the way they did back with our NES and SNES game consoles. This is a point which [Carl Svensson] vehemently argues from a position of experience, and one which is likely shared by quite a few of our readers.

Although there is some possible color bleed and other artefacts with CRTs due to the shadow mask (or Sony’s Trinitron aperture grille), there was no extreme separation between pixels or massive bleed-over into nearby pixels to create some built-in anti-aliasing as is often claimed unless you were using a very old/cheap or dying CRT TV. Where such effects did happen was mostly in the signal being fed into the CRT, which ranged from the horrid (RF, composite) to the not-so-terrible (S-Video, component) to the sublime (SCART RGB), with RGB video (SCART or VGA) especially busting the CRT effect myth.

Where the pixel art of yester-year shines is in its careful use of dithering and anti-aliasing to work around limited color palettes and other hardware limitations. Although back in the Atari 2600 days this led to the extreme cubism which we’re seeing again in modern ‘retro pixel art’ games, yesterday’s artists worked with the hardware limitations to create stunning works of arts, which looked great on high-end CRTs connected via RGB and decent via composite on the kids’ second-hand 14″ color set with misaligned electron guns.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Need A USB Sniffer? Use Your Pico!
poliverso.org/display/0477a01e…
Need A USB Sniffer? Use Your Pico! Ever wanted to sniff USB device communications? The usual path was buying an expensive metal box with USB connectors, using logic analyzers, or wiring devboards together and hacking some software to make them forward USB data.Now, thanks to [ataradov]’s work, github.com/ataradov/usb-sniffe… you can simply use a Pi Pico – you only need to tap the D+


Need A USB Sniffer? Use Your Pico!

D+ and D- wires from a USB cable connected to GPIO pins on the Pi Pico, using a female header plugged onto the jumper wires

Ever wanted to sniff USB device communications? The usual path was buying an expensive metal box with USB connectors, using logic analyzers, or wiring devboards together and hacking some software to make them forward USB data.

Now, thanks to [ataradov]’s work, you can simply use a Pi Pico – you only need to tap the D+ and D- pins, wire them to RP2040’s GPIOs, and you can sniff communication between your computer and any low-speed (1.1 Mbps) or full-speed (12 Mbps) devices. On the RP2040 side, plug the Pico into your computer, open the virtual serial port created, and witness the USB packets streaming in – for the price of a Pico, you get an elegant USB sniffer, only a little soldering required.

[ataradov] also offers us a complete board design with a RP2040 and a USB hub on it, equipped with USB sockets that completely free us from the soldering requirement; it’s an open-source KiCad design, so you can simply order some sniffers made from your favourite fab! This project is a great learning tool, it’s as cheap and easy to make as humanly possible, and it has big potential for things like reverse-engineering old and new systems alike. Just couple this hack with another Pico doing USB device or host duty, maybe get up to date with USB reverse-engineering fundamentals, and you could make a Facedancer-like tool with ease.

Need to reach 480 Mbit/s? [ataradov] has a wonderful board for you as well, that we have covered last year – it’s well worth it if a device of yours can only do the highest speed USB2 can offer, and, it offers WireShark support. Want WireShark support and to use a Pico? Here’s a GitHub project by another hacker, [tana]. By now, merely having a Pi Pico gives you so many tools, it’s not even funny.

We thank [Julianna] for sharing this with us!


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Homebrew Relay Computer Features Motorized Clock
poliverso.org/display/0477a01e…
Homebrew Relay Computer Features Motorized Clock Before today, we probably would have said that scratch-built relay computers were the sole domain of only the most wizardly of graybeards. But this impressive build sent in by [Will Dana] youtube.com/watch?v=KP4FK6AMIo… shows that not only are there young hardware hackers out there that are still bold enough to leave the


Homebrew Relay Computer Features Motorized Clock

Before today, we probably would have said that scratch-built relay computers were the sole domain of only the most wizardly of graybeards. But this impressive build sent in by [Will Dana] shows that not only are there young hardware hackers out there that are still bold enough to leave the transistor behind, but that they can help communicate how core computing concepts can be implemented with a bungle of wires and switches.

Created for his YouTube channel WillsBuilds, every component of this computer was built by [Will] himself. Each of the nine relay-packed protoboards inside the machine took hours to solder, and when that was done, he went out to the garage to start cutting the wood that would become the cabinet they all get mounted in.

The entire build process is documented in the video, and is interwoven with short segments that go deeper into the various concepts at play. If you’ve never been able to figure out how a box full of relays can add numbers together, this might be the video that finally makes it click for you (no pun intended).

We were particularly impressed with [Will]’s determination to not let any modern technology sneak into his build. When researching other relay builds, he found that some of them relied on anachronistic components like the 555 timer or quartz crystals to generate the clock signal. That simply wouldn’t do, so he initially tried to put together a variation of the clock circuit that [Paul Law] used in his gorgeous relay computer. In the end he couldn’t quite get it working the way he wanted, so he went really old school and came up with a clock module that uses a motorized cam and microswitch to generate the necessary pulses.

In the era of the 10 cent microcontroller, when it’s often easier to write a few lines of code to get something working than figuring out how to do it with discrete components, this project is certainly refreshing. Especially when it’s coming from a younger maker. [Will] definitely came away from this build with several new skills under his belt and a new appreciation for concepts that many of us take for granted these days, and we’re looking forward to seeing what he comes up with next.

youtube.com/embed/KP4FK6AMIoc?…


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

ALPHA TEAM ha in mano 5 milioni di dati di italiani! Rivendica un attacco a 77 Aziende italiane
poliverso.org/display/0477a01e…
ALPHA TEAM ha in mano 5 milioni di dati di italiani! Rivendica un attacco a 77 Aziende italiane Alpha Team è un gruppo di redhotcyber.com/post/i-padri-f… criminali che abbiano incontrato in passato. Spesso li abbiamo visti colpire con efficacia le aziende italiane. Abbiano anche conosciuto più


ALPHA TEAM ha in mano 5 milioni di dati di italiani! Rivendica un attacco a 77 Aziende italiane

Alpha Team è un gruppo di hacker criminali che abbiano incontrato in passato. Spesso li abbiamo visti colpire con efficacia le aziende italiane. Abbiano anche conosciuto più da vicino il gruppo attraverso l’intervista al loro leader Z0rg.

Questa volta il gruppo ha rilevato un altro bug di sicurezza non documentato (0day) che affligge diverse piattaforme di Content Management System (CMS). Attraverso questo bug hanno iniziato ad utilizzarlo per rendere pubblica la falla di sicurezza individuata.

Su alcuni social sono iniziate a circolare delle print screen che riportano la violazione di alcune APP/backend con specifiche notifiche push.

La rivendicazione di Alpha Team


All’interno del noto forum underground Breach forum, Alpha Team ha pubblicato un post dove riporta una serie di aziende che utilizzano questa tecnologia CMS che è risultata essere affetta da tale bug di sicurezza.

Si parla di moltissime testate giornalistiche che utilizzano un preciso CMS su Cloud.

Alpha team ha riportato che ha a disposizione il database di 77 aziende e tra i dati disponibili sono presenti email, password, date di nascita e altro ancora.

Per attestare che i dati sottratti sono effettivamente reali, la cyber gang riporta all’interno del post dei samples che possono essere scaricati per verificarne la violazione.

Il gruppo Alpha Team


Il gruppo Alpha Team ha violato in precedenza diversi obiettivi italiani. Ricordiamo che Alpha Team ha violato in passato 10 organizzazioni italiane sempre con un bug di sicurezza non documentato. Successivamente ha rivendicato un attacco informatico alla Avantgate e a Federprivacy.

L'articolo ALPHA TEAM ha in mano 5 milioni di dati di italiani! Rivendica un attacco a 77 Aziende italiane proviene da il blog della sicurezza informatica.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

How About Privacy and Hackability?
poliverso.org/display/0477a01e…
How About Privacy and Hackability? Many smart electric meters in the US use the 900 MHz band to broadcast their usage out to meter readers as they walk the neighborhood. [Jeff Sandberg] used an RTL-SDR dongle and some software to integrate this data into his own home automation system pdx.su/blog/2024-03-17-reading…, which lets him keep track of his home’s


How About Privacy and Hackability?

Many smart electric meters in the US use the 900 MHz band to broadcast their usage out to meter readers as they walk the neighborhood. [Jeff Sandberg] used an RTL-SDR dongle and some software to integrate this data into his own home automation system, which lets him keep track of his home’s power usage.

Half of the comment section was appalled that the meters broadcast this data in the clear, and these readers thought this data should be encrypted even if the reach is limited to the home-owner’s front yard. But that would have stopped [Jeff] from accessing his own data as well, and that would be a shame. So there’s clearly a tradeoff in play here.

We see this tradeoff in a lot of hardware devices as well – we want to be able to run our firmware on them, but we don’t want criminals to do the same. We want the smart device to work with the cloud service, but to also work with our own home automation system if we have one. And we want to be able to listen in to our smart meters, but don’t necessarily want others to do so.

The solution here is as easy as it is implausible that it will get implemented. If the smart meters transmitted encrypted, each with their own individual password, then everyone would win. The meter reader would have a database of passwords linked to meter serial numbers or addresses, and the home owner could just read it off of a sticker, optimally placed on each unit. Privacy and usability would be preserved.

This issue isn’t just limited to electric meters. Indeed, think of all of the data that is being sent out from or about you, and what percentage of it is not encrypted and should be, but also about what data is sent out encrypted that you could use access to. The solution is to put you in control of the encryption, by selecting a password or having access to one that’s set for you. Because after all, if it’s your data, it should be your data: private and usable.

This article is part of the Hackaday.com newsletter, delivered every seven days for each of the last 200+ weeks. It also includes our favorite articles from the last seven days that you can see on the web version of the newsletter. Want this type of article to hit your inbox every Friday morning? You should sign up!


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Get Your Glitch on With a PicoEMP and a 3D Printer
poliverso.org/display/0477a01e…
Get Your Glitch on With a PicoEMP and a 3D Printer We’re not sure what [Aaron Christophel] calls his automated chip glitching setup built from a 3D printer youtu.be/tcqLgjmzUzM, but we’re going to go ahead and dub it the “Glitch-o-Matic 9000.” Has a nice ring to it.Of course, this isn’t a commercial product, or even a rig that’s necessarily intended for repeated use. It’s


Get Your Glitch on With a PicoEMP and a 3D Printer

We’re not sure what [Aaron Christophel] calls his automated chip glitching setup built from a 3D printer, but we’re going to go ahead and dub it the “Glitch-o-Matic 9000.” Has a nice ring to it.

Of course, this isn’t a commercial product, or even a rig that’s necessarily intended for repeated use. It’s more of a tactical build, which is still pretty cool if you ask us. It started with a proof-of-concept exploration, summarized in the first video below. That’s where [Aaron] assembled and tested the major pieces, which included a PicoEMP, the bit that actually generates the high-voltage pulses intended to scramble a running microcontroller temporarily, along with a ChipWhisperer and an oscilloscope.

The trouble with the POC setup was that glitching the target chip, an LPC2388 microcontroller, involved manually scanning the business end of the PicoEMP over the package. That’s a tedious and error-prone process, which is perfect for automation. In the second video below, [Aaron] has affixed the PicoEMP to his 3D printer, giving him three-axis control of the tip position. That let him build up a heat map of potential spots to glitch, which eventually led to a successful fault injection attack and a clean firmware dump.

It’s worth noting that the whole reason [Aaron] had to resort to such extreme measures in the first place was the resilience of the target chip against power supply-induced glitching attacks. You might not need to build something like the Glitch-o-Matic, but it’s good to keep in mind in case you run up against such a hard target.

youtube.com/embed/q9o9sKY2hk8?…

youtube.com/embed/tcqLgjmzUzM?…


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

Gli Hacktivisti Israeliani Rivendicano le Interruzioni di Internet in Iran
poliverso.org/display/0477a01e…
Gli Hacktivisti Israeliani Rivendicano le Interruzioni di Internet in Iran Gli hacktivisti redhotcyber.com/post/che-cose-… israeliani hanno rivendicato la responsabilità delle attuali interruzioni di Internet in Iran. Il gruppo, noto come WeRedEvils, esiste


Gli Hacktivisti Israeliani Rivendicano le Interruzioni di Internet in Iran

Gli hacktivisti israeliani hanno rivendicato la responsabilità delle attuali interruzioni di Internet in Iran. Il gruppo, noto come WeRedEvils, esiste dall’ottobre 2023 ed è apparso probabilmente in risposta all’attacco di Hamas contro Israele che ha portato all’attuale guerra a Gaza.

Sulla loro pagina Telegram, WeRedEvils ha annunciato: “ Nei prossimi minuti attaccheremo sistemi e provider Internet in Iran. Si prevede un colpo potente .” Secondo loro, l’attacco ha avuto successo: sono riusciti a penetrare nei sistemi informatici iraniani, a rubare dati e a causare un’interruzione di Internet. Gli hacktivisti affermano di aver fornito informazioni rubate al governo israeliano.

Come prova, WeRedEvils ha sottolineato che il sito web del Ministero iraniano delle tecnologie dell’informazione e delle comunicazioni (ict.gov.ir) era inattivo, così come la maggior parte degli altri siti web del ministero iraniano che mostrano un errore “tempo di risposta troppo lungo“. Alcuni siti hanno mostrato anche un errore 403, che potrebbe indicare l’accesso negato.

WeRedEvils ha inoltre dichiarato su Telegram: “ Sappiamo che tra voi ci sono sostenitori del Corpo delle Guardie della Rivoluzione Islamica e desideriamo contattarvi personalmente. Smettila di alzare bandiere rosse e inizia ad alzare quelle bianche. Questa follia vi porterà tutti nella pattumiera della storia. L’Iran brucerà, Israele vincerà ”.

Tuttavia, non è noto quanti danni abbiano effettivamente causato WeRedEvils e se siano interamente responsabili delle attuali interruzioni di Internet, data la natura chiusa dell’Iran in tali questioni.

Il gruppo ha anche affermato di aver attaccato la rete elettrica iraniana lo scorso ottobre e di averla messa fuori uso per due ore. I WeRedEvils sono diventati così famosi anche in Israele che a giugno l’agenzia di sicurezza israeliana Shin Bet ha arrestato “diversi membri” del gruppo con l’accusa di spionaggio.

L'articolo Gli Hacktivisti Israeliani Rivendicano le Interruzioni di Internet in Iran proviene da il blog della sicurezza informatica.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Linux Handheld Packs Dual Batteries So It’s Never out of Juice
poliverso.org/display/0477a01e…
Linux Handheld Packs Dual Batteries So It’s Never out of Juice There was a time — not so long ago — when a handheld terminal would have been an expensive and exotic piece of kit. Now, all it takes is a Raspberry Pi and an off-the-shelf TFT display, as [ZitaoTech]github.com/ZitaoTech/Hackberry….


Linux Handheld Packs Dual Batteries So It’s Never out of Juice

There was a time — not so long ago — when a handheld terminal would have been an expensive and exotic piece of kit. Now, all it takes is a Raspberry Pi and an off-the-shelf TFT display, as [ZitaoTech] shows us.
The resemblance to a Blackberry isn’t a coincidence
Admittedly, we are now seeing these all over the place, but this build looks well thought out. It looks suspiciously like a Blackberry, which isn’t a bad thing. It also has an interesting dual-battery system that lets you swap between two identical Nokia BL-5C batteries without missing a beat.

The device looks like a Blackberry because it uses the Q10 or Q20 Blackberry keyboard. There is a pass-through switch that lets you use the keyboard and pointer as a USB device on a different host computer.

Rounding out the design are three USB ports, an I2C port, and a TF card slot. Size-wise, the device is about 140 mm tall and 82 mm wide. The thickness is less than 16 mm. Even with the batteries, it weighs a lot less than 200 grams.

In the “Something-you-can-try” directory, there are images for Windows 3.1, mini VMAC, and — of course — DOOM. As you might expect, most of the project is 3D printing the intricate case.

We’ve seen similar projects, including one that has a case inspired by the ZX Spectrum. Then there is Beepy.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Sai davvero cosa vuol dire Hacktivismo? E’ un “messaggio speciale di speranza!”
poliverso.org/display/0477a01e…
Sai davvero cosa vuol dire Hacktivismo? E’ un “messaggio speciale di speranza!” “Hacktivism, un messaggio speciale di speranza.” Così inizia la “Dichiarazione di Hacktivismo” web.archive.org/web/2009050205…, redhotcyber.com/post/i-padri-f…


Sai davvero cosa vuol dire Hacktivismo? E’ un “messaggio speciale di speranza!”

“Hacktivism, un messaggio speciale di speranza.” Così inizia la Dichiarazione di Hacktivismo”, pubblicata il 4 luglio del 2001 dal celebre gruppo hacker Cult of the dead Cow (chiamati anche cDc o Omega).

“La libertà di parola è sotto assedio ai margini di internet. Parecchi paesi stanno censurando l’accesso al web…”

Inizialmente c’era l’attivismo


Si trattava di quell’attività che tenta di promuovere, impedire, dirigere o intervenire nelle riforme sociali, in quelle politiche ed economiche, con il desiderio principale di avviare dei forti cambiamenti all’interno di una società attraverso manifestazioni, sit-in, scioperi della fame e tanto altro ancora.

A seguito dell’avvento dei microcomputer e l’incremento della “cultura hacker”, si pensò che l’utilizzo dei computer per fini di attivismo, fosse un potente mezzo di protesta, che permettesse una maggiore efficacia. Pertanto dall’unione dei due termini appunto Hacking e Actvivism nacque Hacktivism.

L’idea generale dell’hacktivismoè stata articolata per la prima volta da John Perry Barlow, co-fondatore della Electronic Frontier Foundation, nella sua “Dichiarazione di indipendenza nel cyberspazio” del 1996, della quale abbiamo parlato su RHC.

Ma nessuno utilizzò questa parola prima del 1998, quando Omega (pseudonimo di Misha Kubecka), un membro di lunga data dei cDc, la cominciò ad utilizzare come fosse una sorta di battuta. Oxblood Ruffin, un membro dei cDc riporta in un documento: “in origine questa parola era più una battuta o uno scherzo. Ma dal primo momento in cui l’ho sentita dire da Omega, sapevo che avrebbe avuto un significato profondo, non solo per il cDc, ma per milioni di persone su Internet”.


Oxblood Ruffin

La parola Hacktivism inizia a diffondersi nel web


Quasi immediatamente “hacktivism” si diffuse a macchia d’olio. La parola suonava così bella che tutti volevano usarla come un parola di tendenza, anche se i giornalisti e gli attivisti avevano da poco scoperto la posta elettronica. All’improvviso, tutti sono diventati “hacktivist“. Nessuno aveva la più pallida idea di cosa significasse, ma suonava bene dirlo.

Le persone dei cDc principalmente interessate all’hacktivism erano Omega, Reid Fleming, Count Zero, Nightstalker, Tweety Fish e Oxblood Ruffin e ne discutevano sul loro listserv, attraverso e-mail private e alle convention di hacker, uno dei pochi posti in cui si sono incontrati fisicamente.

Fu Reid Fleming che portò sul tavolo la parola hacktivism, qualcosa di unico e nuovo, con quel tocco tecnologico che in quel periodo non guastava affatto. Reid creò hacktivism.org che conteneva una citazione dalla Dichiarazione universale dei diritti umani delle Nazioni Unite (UNDHR). Era l’articolo 19 e diceva: “Ogni individuo ha diritto alla libertà di opinione e di espressione; questo diritto include la libertà di avere opinioni senza interferenze e di cercare, ricevere e diffondere informazioni e idee attraverso qualsiasi media indipendentemente dalle frontiere”.

L’Hacktivista non è motivato da un guadagno economico


E l‘”indipendentemente senza frontiere” era l’elemento focale, il cyberspace è immateriale, come la radio e la televisione. Subito dopo i membri di cDc hanno iniziato a registrare i domini di primo livello. Count Zero ha preso hacktivism.net mentre Fleming prenotò, senza mai finire hacktivism.com.

L’Hacktivista non è motivato da un guadagno economico, ma da tutto ciò che viene considerato come “sbagliato” o “ingiusto”. Le motivazioni includono anche la vendetta, incentivi politici o sociali, ideologia, protesta, il desiderio di mettere in imbarazzo governi e le organizzazioni. Più precisamente, L’hacktivismo è un atto di attivismo sociale o politico che viene realizzato irrompendo e scatenando il caos all’interno di un sistema informatico ritenuto sicuro.

L’hacktivismo di solito è diretto verso obiettivi aziendali o governativi e le persone o i gruppi che svolgono attività di hacktivismo vengono definiti hacktivisti. Si tratta dell’utilizzo della tecnologia come mezzo dell’attivismo. Gli atti di hacktivismo generalmente ostacolano in qualche modo la normale attività dei sistemi causano quelli che chiamiamo “deface” (defacciamento in italiano), o significative perdite di dati.


Deface all’FBI del 22 dicembre 2016

cDc ha da sempre descritto come siamo finiti nel caos in cui ci troviamo oggi, dove i governi e società detengono un potere immenso sugli individui e come stiamo finalmente combattendo. Siamo disgustati da queste gravi violazioni delle informazioni e dei diritti umani. Ma gli hacker non sono disposti a guardare.

Gli attivisti sono criminali informatici? Molte persone la pensano in modo diverso.

Se sei l’unico a beneficiarne, non stai facendo hacking e tanto meno hacktivism.

Tu come la pensi a riguardo?

Di seguito la traduzione in italiano di “A Special Message of Hope” dei Cult Of The Dead Cow (cDc) realizzata da Olivia Terragni.
Hacktivismo: uno speciale messaggio di speranza
“Rogo internazionale di libri in corso”

4 luglio, 2001, Lubbock, Texas. La libertà di parola è sotto assedio, ai margini di Internet. Un bel po' di paesi stanno censurando l'accesso al Web tramite il filtraggio DNS [Domain Name Service]. Questo è un processo in cui le informazioni politicamente scorrette sono bloccate dall’indirizzo di dominio – il nome che appare prima del suffisso dot com.
Altri impiegano il filtraggio che nega politicamente o socialmente temi difficili da affrontare
In base al loro contenuto.

Hacktivismo e CULT OF THE DEAD COW hanno deciso che questo è troppo. Siamo hacker e sostenitori della libertà di parola, e stiamo sviluppando tecnologie per sfidare la censura di Internet sponsorizzata dallo stato.

La maggior parte dei paesi utilizza intimidazioni e filtri di un tipo o dell’altro che includono la Repubblica popolare cinese, Cuba e molti paesi islamici. La maggior parte afferma di bloccare i contenuti pornografici. Ma il vero motivo è impedire la diffusione di contenuti impegnativi attraverso regimi repressivi. Ciò include informazioni che vanno dalle opinioni politiche alle notizie "straniere", dalle questioni femminili ai lavori accademici, dalle informazioni religiose a quelle che riguardano i gruppi etnici sfavoriti e le notizie sugli abusi dei diritti umani, documenti che presentano le droghe in una luce positiva, nonché contenuti sui gay e lesbiche, tra gli altri.

La capricciosità della censura statale è di ampia portata.

[1]*Nello Zambia il governo ha tentato di censurare le informazioni rivelando i loro piani per referendum costituzionali.

* In Mauritania – come nella maggior parte dei paesi – i proprietari dei cybercafè sono tenuti a fornire agli agenti dell'intelligence governativa copie della posta elettronica inviati o ricevuti presso i loro stabilimenti.

*Anche governi meno draconiani, come quello della Malesia, hanno minacciato gli editori del web per aver violato le loro licenze di pubblicazione pubblicando aggiornamenti frequenti: le informazioni – tempestive e pertinenti – sono viste come una minaccia.

* La legge sulla sicurezza nazionale della Corea del Sud vieta ai sudcoreani di avere contatti, incluso il contatto su Internet, con i loro vicini nordcoreani.

* Lo Sri Lanka ha minacciato i siti di informazione di possibile revoca delle loro licenze in caso che la copertura di un'elezione presidenziale non sia a favore del partito del presidente uscente.

I rischi connessi all’accesso o alla diffusione delle informazioni sono spesso elevati.

* In Ucraina si ritiene che un corpo decapitato rinventuo vicino al villaggio di Tarachtcha sia quello di Georgiy Gongadze, fondatore ed editore di un quotidiano on-line critico nei confronti delle autorità.

* Nell'agosto del 1998 il diciottenne turco Emre Ersoz fu ritenuto colpevole di "insulto alla polizia nazionale" in un forum Internet dopo aver partecipato ad una manifestazione repressa violentemente dalla polizia. Il suo ISP ha fornito alle autorità il suo indirizzo.

* Il giornalista Miroslav Filipovic ha il triste primato di essere stato il primo giornalista accusato di spionaggio a causa di articoli pubblicati su Internet – in questo caso descrivendo dettagliatamente gli abusi di alcune unità dell'esercito jugoslavo in Kosovo.

Siamo disgustati da queste vergognose violazioni dell'informazione e dei diritti umani. Le democrazie liberali sono di gran lunga migliori a parole che nei fatti sull'accesso alle informazioni. Ma gli hacker non sono disposti a guardare i custodi della
Convenzione Internazionale sui diritti civili e politici e della Dichiarazione Universale dei Diritti Umani trasformarsi in una farsa. Noi vogliamo far seguire le parole ai fatti.

Hacktivismo e CULT OF THE DEAD COW pubblicano la HACKTIVISMO DECLARATION come dichiarazione di sdegno e dichiarazione di intenti. È la nostra Magna Carta per il diritto all’informazione. Le persone hanno un diritto ad un accesso ragionevole alle informazioni altrimenti pubblicate legittimamente. Se i nostri leader non sono preparati a difendere Internet, lo siamo noi.

-----------------------------------------------------------------------------------------------------------------------

[1] alcune informazioni citate nel presente comunicato stampa erano entrambe parafrasate, o citate direttamente, dal rapporto "Nemici di Internet" pubblicato da Reporters Without Frontiers e può essere trovato su rsf.fr

/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>/>

HACKTIVISMO DECLARATION
affermazioni di libertà a sostegno di un internet senza censura

PROFONDAMENTE ALLARMATI che la censura di Internet sponsorizzata dallo stato si stia rapidamente diffondendo tramite l'assistenza delle società transnazionali,

PRENDENDO COME BASE i principi e gli scopi sanciti nell'Articolo 19 della Dichiarazione universale dei diritti umani (UDHR) che afferma,
_Ogni individuo ha diritto alla libertà di opinione e di espressione; questo diritto include la libertà di avere opinioni senza interferenze e di cercare, ricevere e impartire informazioni e idee attraverso ogni mezzo e senza riguardo alle frontiere_, e l'Articolo 19 del Patto internazionale sui diritti civili e politici (ICCPR) che afferma,

1. Ogni individuo ha il diritto di avere opinioni senza interferenze.

2. Ogni individuo ha diritto alla libertà di espressione; questo diritto include la libertà di cercare, ricevere e impartire informazioni e idee di ogni genere, senza riguardo alle frontiere, sia oralmente, per iscritto o a mezzo stampa, in forma artistica, o attraverso ogni altro mezzo di sua scelta.

3. L'esercizio dei diritti previsti nel paragrafo 2 di questo articolo comporta doveri e responsabilità speciali. Può quindi essere soggetto a determinate restrizioni, ma queste saranno solo quelle previste dalla legge e necessarie:

(a) Per il rispetto dei diritti o della reputazione altrui;

(b) Per la protezione della sicurezza nazionale o dell'ordine pubblico, o della salute o della morale pubblica.

RICORDANDO che alcuni stati membri delle Nazioni Unite hanno firmato l'ICCPR o l'hanno ratificato in modo tale da impedire ai loro cittadini di utilizzarlo nei tribunali,

CONSIDERANDO che tali stati membri continuano a sopprimere volontariamente l'accesso su vasta scala alle informazioni pubblicate legalmente su Internet, nonostante il chiaro linguaggio dell'ICCPR secondo cui la libertà di espressione esiste in tutti i media,

PRENDENDO NOTA che le multinazionali continuano a vendere tecnologie dell'informazione ai regimi più repressivi del mondo sapendo benissimo che saranno utilizzate per tracciare e controllare una cittadinanza già tormentata,

TENENDO CONTO che Internet sta rapidamente diventando un metodo di
repressione piuttosto che uno strumento di liberazione,

TENENDO PRESENTE che in alcuni paesi è un crimine richiedere il
diritto di accesso alle informazioni pubblicate legalmente e di altri diritti umani fondamentali,

RICORDANDO che gli stati membri delle Nazioni Unite hanno fallito nel fare pressione sui più eclatanti violatori dei diritti di informazione del mondo a standard più elevati,

CONSAPEVOLI che negare l'accesso alle informazioni potrebbe portare a un declino spirituale, intellettuale ed economico, promozione della xenofobia e alla
destabilizzazione dell’ordine internazionale,

PREOCCUPATI che governi e multinazionali siano complici nel mantenere lo status quo,

PROFONDAMENTE ALLARMATI dal fatto che i leader mondiali non siano riusciti a gestire l’informazione su questioni relative ai diritti direttamente e senza equivoci,

RICONOSCENDO l'importanza di lottare contro le violazioni dei diritti umani con
rispetto all’accesso ragionevole alle informazioni su Internet,

SIAMO QUINDI CONVINTI che la comunità internazionale degli hacker abbia un imperativo morale ad agire, e noi

DICHIARIAMO:

*QUEL PIENO RISPETTO DEI DIRITTI UMANI E DELLE LIBERTÀ FONDAMENTALI
CHE INCLUDE LA LIBERTÀ DI UN ACCESSO EQUO E RAGIONEVOLE ALLE INFORMAZIONI, SIA TRAMITE LA RADIO A ONDE CORTE, LA POSTA AEREA, LA TELEFONIA SEMPLICE, L’INTERNET GLOBALE O ALTRI SUPPORTI.

* CHE RICONOSCIAMO IL DIRITTO DEI GOVERNI DI VIETARE LA PUBBLICAZIONE DI SEGRETI DI STATO ADEGUATAMENTE CATEGORIZZATI, PORNOGRAFIA INFANTILE,
E QUESTIONI LEGATE ALLA PRIVACY E AI PRIVILEGI PERSONALI, TRA LE ALTRE
RESTRIZIONI ACCETTATE. MA NOI CI OPPONIAMO ALL'USO DEL POTERE STATO PER IL CONTROLLO DELL’ACCESSO ALLE OPERE DI CRITICI, INTELLETTUALI, ARTISTI O RELIGIOSI.

*CHE LA CENSURA DI INTERNET SPONSORIZZATA DALLO STATO ERODE LA PACIFICO E CIVILIZZATA CONVIVENZA, INFLUISCE SULL’ESERCIZIO DELLA DEMOCRAZIA E METTE IN PERICOLO LO SVILUPPO SOCIOECONOMICO DELLE NAZIONI.

*CHE LA CENSURA DI INTERNET SPONSORIZZATA DALLO STATO È UNA FORMA SERIA DELLA VIOLENZA ORGANIZZATA E SISTEMATICA CONTRO I CITTADINI, MIRA A GENERARE CONFUSIONE E XENOFOBIA, ED È UNA VIOLAZIONE RIPROVEVOLE DELLA FIDUCIA.

* CHE STUDIEREMO MODI E MEZZI PER AGGIRARE LA CENSURA DI INTERNET SPONSORIZZATA DALLO STATO E IMPLEMENTERA' TECNOLOGIE PER SFIDARE LE
VIOLAZIONI DEI DIRITTI D'INFORMAZIONE.

Pubblicato il 4 luglio 2001 da Hacktivismo e CULT OF THE DEAD COW.

Collegamenti Web rilevanti:

Dichiarazione Universale dei Diritti Umani
un.org/Overview/rights.html

Patto internazionale sui diritti civili e politici
unhchr.ch/html/menu3/b/a_ccpr.…

Reporter Without Frontiers
rsf.fr

CULT OF THE DEAD COW
cultdeadcow.com

Fonti
cs.stanford.edu/people/erobert…
web.archive.org/web/2009050205…

L'articolo Sai davvero cosa vuol dire Hacktivismo? E’ un “messaggio speciale di speranza!” proviene da il blog della sicurezza informatica.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Stressed Forums: Espansione e Collaborazioni nel Mondo Underground
poliverso.org/display/0477a01e…
Stressed Forums: Espansione e Collaborazioni nel Mondo Underground Nel panorama dei forum underground disponibile nelle profondità del deep e dark web redhotcyber.com/post/deep-web-… da pochi giorni sta nascendo un nuovo forum chiamato “Stressed Forums” che mira ad affermarsi nell’ambiente in maniera veloce e molto professionale


Stressed Forums: Espansione e Collaborazioni nel Mondo Underground

Nel panorama dei forum underground disponibile nelle profondità del deep e dark web da pochi giorni sta nascendo un nuovo forum chiamato “Stressed Forums” che mira ad affermarsi nell’ambiente in maniera veloce e molto professionale promettendo di diventare un punto di riferimento per chi cerca discussioni e materiale e qualità e fuori dall’ordinario.

Come nasce e quale tecnica di espansione utilizza


Stressed Forum nasce dal progetto Telegram “Stressed Projects Official”. Secondo un’analisi effettuata sul gruppo, l’attività effettiva di scambio di informazioni è iniziata intorno al febbraio 2024. Il canale è diviso in due parti: la prima è dedicata alla condivisione di materiale e aggiornamenti di notizie, mentre la seconda è una chat di gruppo dove gli utenti registrati possono interagire tra loro.

Ad oggi, risultano 602 iscritti alla chat e 468 iscritti al gruppo di condivisione di materiale.

Un messaggio di benvenuto e l’utilizzo del bot disponibile spiegano le regole e gli obiettivi del canale Telegram, invitando inoltre gli utenti a registrarsi sul forum ufficiale Stressed Forums. Le regole sono simili a quelle di molti altri canali, ma una regola aggiuntiva, evidenziata in modo particolare, è l’utilizzo della lingua inglese per comunicare. Questo sottolinea l’internazionalità del canale e suggerisce un obiettivo di espansione globale.

I primi messaggi di modifiche al vecchio forum, chiamato Forum Stressed City, risalgono al 16 aprile 2024. Da allora, i messaggi sono stati poco strutturati, fino a pochi giorni fa, quando su altri canali, come quello di “Hunt3r Kill3rs Group”, sono comparsi messaggi di invito a registrarsi sul sito Stressed Forums. Inoltre, è stato chiesto a chi fosse interessato di contribuire economicamente al sostegno del progetto, promettendo miglioramenti significativi.

Gli inviti si sono diffusi anche in altri gruppi Telegram conosciuti, come CyberVolk e The African Network, dove si parla molto di questo sito underground. L’obiettivo di questi messaggi inoltrati da gruppo a gruppo è sicuramente quello di attirare il maggior numero possibile di persone sul forum, creando un passaparola che aumenti anche la percezione di affidabilità del progetto e del forum stesso.

La struttura del Forum


Il forum si presenta in modo innovativo rispetto ai soliti forum, come ad esempio BreachForums. Si nota subito la presenza di banner pubblicitari che riportano il nome del gruppo hacker Africa Networks, lo stesso nome del canale Telegram che sponsorizza il sito. Questo tipo di attività suggerisce una possibile collaborazione tra African Network e Stressed Projects.

Le categorie proposte variano e aumentano in base ai servizi offerti dagli utenti. Il primo post è stato scritto da un utente chiamato Zulu il 31 luglio 2024.

Ad oggi le categorie presenti sono:

  • Community Hub
  • DDoS
  • SEO
  • Professional Private Investigation Services
  • Server Hosting
  • Botnet
  • Database Leaks
  • Exploit
  • Fraud
  • White Hat Category
  • Gaming

Oltre ai post e alle categorie, il forum mette a disposizione un calendario dove vengono inseriti gli eventi principali. Ad esempio, il 5 agosto è programmato un evento Giveaway che consiste nel mettere a disposizione un “Free African C2/Api”.

Secondo le statistiche fornite direttamente sul sito web, gli utenti registrati sono 55. Tuttavia, considerando la giovane età del forum, l’attività effettuata su Telegram e i servizi proposti, il numero è destinato a crescere notevolmente.


Conclusioni


La presenza di Stressed Forums sul web e i suoi collegamenti a gruppi e community vere e proprie indicano la tendenza sempre più dominante dei cyber criminali a organizzarsi in veri e propri team, con una suddivisione interna e collaborazioni esterne ben strutturate e gestite come progetti complessi.

Oggi, Stressed Forums si aggiunge ai numerosi forum underground già esistenti. Le categorie che espone non sono una novità assoluta, ma è sempre utile effettuare analisi e ricerche approfondite per rimanere al passo con i cambiamenti e studiare nel migliore dei modi le nuove tecniche di comunicazione e organizzazione utilizzate dai criminali per scambiarsi dati e servizi di vario tipo.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Stressed Forums: Espansione e Collaborazioni nel Mondo Underground proviene da il blog della sicurezza informatica.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

Security Weekly: le ultime novità dal mondo cyber
poliverso.org/display/0477a01e…
Security Weekly: le ultime novità dal mondo cyberBuon sabato e ben ritrovato caro cyber User.Questa settimana ci concentreremo su importanti sviluppi nel campo della sicurezza informatica che hanno visto interventi significativi delle autorità, nuove minacce emergenti e iniziative per rafforzare le difese. Scopriamo insieme cosa è successo.Smantellamento della piattaforma di


Security Weekly: le ultime novità dal mondo cyber


Buon sabato e ben ritrovato caro cyber User.

Questa settimana ci concentreremo su importanti sviluppi nel campo della sicurezza informatica che hanno visto interventi significativi delle autorità, nuove minacce emergenti e iniziative per rafforzare le difese. Scopriamo insieme cosa è successo.

Smantellamento della piattaforma di spoofing Russian Coms


Il National Crime Agency (NCA) del Regno Unito ha raggiunto un importante traguardo nella lotta contro le frodi telefoniche smantellando Russian Coms, una piattaforma di spoofing utilizzata per effettuare oltre 1,8 milioni di chiamate fraudolente. Questa operazione, parte di "Operation Henhouse," ha portato all'arresto di 290 individui coinvolti in attività criminali, dimostrando l'impegno delle autorità nel contrastare le frodi e proteggere i cittadini.

NSA introduce la Penetration Testing autonoma con AI


La National Security Agency (NSA) degli Stati Uniti ha svelato una piattaforma di Penetration Testing autonoma alimentata da intelligenza artificiale. Questo strumento è progettato per migliorare la difesa cibernetica dei fornitori dell'industria dell'intelligence, permettendo di identificare e mitigare le vulnerabilità nei sistemi del Defense Industrial Base. L'uso dell'AI consente una valutazione più precisa e continua delle vulnerabilità di rete, proteggendo dati sensibili e classificati dalle minacce cibernetiche.

Nuova iniziativa per rafforzare la cybersecurity federale negli USA


Il Center for Federal Civilian Executive Branch Resilience ha lanciato un'iniziativa per migliorare le difese informatiche delle agenzie federali statunitensi. In risposta a incidenti come l'attacco SolarWinds, questa iniziativa mira a proteggere i lavoratori governativi dai cybercriminali e dagli attacchi di stati-nazione attraverso educazione, soluzioni tecnologiche e raccomandazioni politiche. Un obiettivo chiave è l'adozione di un'architettura di zero trust da parte delle agenzie federali.

Campagne di cyber spionaggio e phishing sofisticato


La scena globale delle minacce informatiche continua a evolversi. Il gruppo APT41, ritenuto composto da cittadini cinesi, ha lanciato una campagna di cyber-spionaggio contro un istituto di ricerca taiwanese, utilizzando malware avanzati come ShadowPad e Cobalt Strike. Allo stesso tempo, falsi siti Google Authenticator promossi tramite Google ads stanno installando malware sui dispositivi degli utenti, mentre una nuova campagna di phishing con il kit Tycoon 2FA utilizza Amazon SES per ingannare le vittime.

Malware e attacchi alle piccole e medie imprese


I cybercriminali stanno prendendo di mira le piccole e medie imprese in Europa con campagne di phishing che utilizzano malware come Agent Tesla e Remcos RAT. Utilizzando account email compromessi, queste campagne diffondono malware attraverso nove ondate di attacchi, cercando di compromettere i sistemi delle aziende e rubare dati sensibili.

Nuove minacce DNS e malware Android


Un nuovo vettore di attacco DNS, chiamato Sitting Ducks, è stato sfruttato da attori di minaccia russi per dirottare oltre un milione di domini. Questo sfruttamento deriva da verifiche inadeguate della proprietà dei domini da parte dei provider DNS. Nel campo della sicurezza mobile, un nuovo malware Android chiamato BingoMod non solo ruba denaro dai conti bancari delle vittime ma cancella anche i dispositivi compromessi.

Aggiornamenti di sicurezza Apple e nuovi ransomware


Apple ha rilasciato aggiornamenti di sicurezza per iOS, macOS, tvOS, visionOS, watchOS e Safari, correggendo numerose vulnerabilità. Nel frattempo, Microsoft ha avvertito che diversi attori ransomware stanno sfruttando una vulnerabilità negli hypervisor ESXi per ottenere permessi amministrativi completi, portando a distribuzioni di ransomware come Akira e Black Basta.

Attacco ransomware a OneBlood e impatto sulla fornitura di sangue


OneBlood, una grande organizzazione di donazione di sangue negli Stati Uniti sudorientali, ha subito un attacco ransomware che ha compromesso la sua capacità di fornire sangue agli ospedali. In risposta, l'organizzazione ha implementato processi manuali e ha chiesto l'attivazione di protocolli di carenza critica di sangue nelle oltre 250 strutture ospedaliere servite. La comunità nazionale della donazione di sangue sta assistendo OneBlood per garantire la fornitura di sangue ai pazienti.

😋 FunFact


Hackerare e sbloccare nel 2024 il primo tablet Amazon basato su MediaTek: Amazon Fire HD6/HD7 del 2014.

In chiusura


Questi eventi recenti sottolineano la natura dinamica e in continua evoluzione delle minacce cibernetiche. La cooperazione internazionale, l'adozione di tecnologie avanzate e l'implementazione di strategie di difesa robuste sono essenziali per affrontare le sfide del panorama della sicurezza informatica.


Anche quest'oggi abbiamo concluso, ti ringrazio per il tempo e l'attenzione che mi hai dedicato, augurandoti buon fine settimana, ti rimando al mio blog e alla prossima settimana per un nuovo appuntamento con NINAsec.


buttondown.email/ninasec/archi…


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

Luce Verde per il Caos: una Vulnerabilità nei Semafori è stata scoperta da Ricercatore!
poliverso.org/display/0477a01e…
Luce Verde per il Caos: una Vulnerabilità nei Semafori è stata scoperta da Ricercatore! Un ricercatore di sicurezza ha scoperto una vulnerabilità redhotcyber.com/post/vulnerabi… nel controllore di un semaforo che potrebbe consentire agli aggressori di modificare i


Luce Verde per il Caos: una Vulnerabilità nei Semafori è stata scoperta da Ricercatore!

Un ricercatore di sicurezza ha scoperto una vulnerabilità nel controllore di un semaforo che potrebbe consentire agli aggressori di modificare i segnali e causare ingorghi. Andrew Lemon di Red Threat ha detto di aver trovato un bug nel dispositivo Intelight X-1, che consente a chiunque di ottenere il pieno controllo dei semafori. Il motivo è la mancanza di autenticazione sull’interfaccia web dell’apparecchio, accessibile tramite Internet.

Lemon ha provato a replicare uno scenario in cui tutti i semafori a un incrocio diventano verdi, come visto nei film. Tuttavia, un dispositivo chiamato Unità di gestione dei malfunzionamenti previene tali situazioni. Tuttavia, gli aggressori possono modificare gli orari dei semafori, causando problemi fisici come gli ingorghi.

Lemon e il suo team hanno trovato circa 30 dispositivi Intellight vulnerabili accessibili tramite Internet. Ha segnalato il problema a Q-Free, proprietaria di Intellight. Tuttavia, invece di collaborare, Q-Free gli ha inviato una lettera legale, sostenendo che il dispositivo che Lemon aveva analizzato non era più in vendita e che la sua ricerca avrebbe potuto violare la legge sulle frodi informatiche.

La società ha inoltre espresso preoccupazione per il fatto che la pubblicazione della vulnerabilità potrebbe danneggiare la sicurezza nazionale e portare ad attacchi alle infrastrutture. Lemon crede che la compagnia stia cercando di tenerlo tranquillo attraverso minacce legali.

La rappresentante di Q-Free Tricia Tunilla ha osservato che il controller non viene prodotto da quasi dieci anni e ha raccomandato agli utenti di sostituire i vecchi dispositivi con nuovi modelli. Lemon ha anche scoperto che alcuni dispositivi Econolite connessi a Internet utilizzano un protocollo NTCIP potenzialmente vulnerabile. Un portavoce di Econolite ha confermato che questi dispositivi sono ormai obsoleti e tutti gli utenti dovrebbero sostituirli con modelli più recenti.

Gli esperti consigliano di seguire le migliori pratiche per la sicurezza della rete e di limitare l’accesso alle apparecchiature critiche su Internet aperta.

L'articolo Luce Verde per il Caos: una Vulnerabilità nei Semafori è stata scoperta da Ricercatore! proviene da il blog della sicurezza informatica.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Better Battery Design Through Science
poliverso.org/display/0477a01e…
Better Battery Design Through Science Before the age of lithium batteries, any project needing to carry its own power had to rely on batteries that were much less energy-dense and affordable. In many ways, we take modern lithium technology for granted, and can easily put massive batteries in our projects by the standards of just a few decades ago. While the affordability of lithium batteries


Better Battery Design Through Science

Before the age of lithium batteries, any project needing to carry its own power had to rely on batteries that were much less energy-dense and affordable. In many ways, we take modern lithium technology for granted, and can easily put massive batteries in our projects by the standards of just a few decades ago. While the affordability of lithium batteries has certainly decreased the amount of energy we need to put in to our projects to properly size batteries, there’s still a lot of work to be done if you’re working on a bigger project or just want to get the maximize the efficiency and effectiveness of your DIY battery pack.

The main problem with choosing a battery, as [ionworks] explains, is that batteries can’t be built for both high energy and high power, at least not without making major concessions for weight or cost. After diving in to all of the possible ways of customizing a battery, the battery guide jumps in to using PyBaMM to perform computational modeling of potential battery designs to hopefully avoid the cumbersome task of testing all of the possible ways of building a battery. With this tool virtually all of a battery’s characteristics can be simulated and potential problems with your setup can be uncovered before you chose (or start production of) a specific battery system.

While customizing a battery pack to this extent might not be a consideration for most of us unless the project is going to be big enough to run something like an electric car or a whole-house generator, it’s a worthwhile tool to know about as even smaller projects like ebikes can benefit from choosing the right cell for the application. Some of the nuances of battery pack design can be found in this guide to building packs from the standard 18650 cells.

Header: Lead holder, CC BY-SA 3.0 .


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Taco Bell to Bring Voice AI Ordering to Hundreds of US Drive-Throughs
poliverso.org/display/0477a01e…
Taco Bell to Bring Voice AI Ordering to Hundreds of US Drive-Throughs Drive-throughs are a popular feature at fast-food places, where you can get some fast grub without even leaving your car. For the fast-food companies running them they are also a big focus of automation, with the ideal being a voice assistant that can take orders and pass them on to the


Taco Bell to Bring Voice AI Ordering to Hundreds of US Drive-Throughs

Drive-throughs are a popular feature at fast-food places, where you can get some fast grub without even leaving your car. For the fast-food companies running them they are also a big focus of automation, with the ideal being a voice assistant that can take orders and pass them on to the (still human) staff. This probably in lieu of being able to make customers use the touch screens-equipped order kiosks that are common these days. Pushing for this drive-through automation change is now Taco Bell, or specifically the Yum Brands parent company.

This comes interestingly enough shortly after McDonalds deemed its own drive-through voice assistant to be a failure and removing it. Meanwhile multiple Taco Bell in the US in 13 states and five KFC restaurants in Australia are trialing the system, with results apparently encouraging enough to start expanding it. Company officials are cited as it having ‘improved order accuracy’, ‘decreased wait times’ and ‘increased profits’. Considering the McDonalds experience which was pretty much the exact opposite in all of these categories we will remain with bated breath. Feel free to share your Taco Bell or other Voice AI-enabled drive-through experiences in the comments. Maybe whoever Yum Brands contracted for their voice assistant did a surprisingly decent job, which would be a pleasant change.

Top image: Taco Bell – Vadnais Heights, MN (Credit: Gabriel Vanslette, Wikimedia)


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Sliding Shelves Supersize Storage
poliverso.org/display/0477a01e…
Sliding Shelves Supersize Storage Organizing things in your home or workshop is a constant battle for some of us. Until we have access to a Tardis or bag of holding, maybe the next best thing is a sliding shelf system https://www.youtube.com/watch?app=desktop&v=qyl1mLTaY6M.[HAXMAN] found a great set of sliding shelves online, but after recovering from sticker shock decided he could build


Sliding Shelves Supersize Storage

Bright green shelving units suspended with silver hardware from a black frame. They are against a dark wooden wall.

Organizing things in your home or workshop is a constant battle for some of us. Until we have access to a Tardis or bag of holding, maybe the next best thing is a sliding shelf system.

[HAXMAN] found a great set of sliding shelves online, but after recovering from sticker shock decided he could build something similar for much less. The frame for the shelving was built from 4×4 posts, some 2x4s, and strut channel track welded to steel 2x6s. Aluminum plates bolted to strut trolleys support the weight of the shelving units he built from plywood.

Everything was painted with a multi-material paint formulated for covering both wood and metal so everything has a uniform appearance. We love the bright shelving offset by the more classic black appearance of the rack. Just because its storage, doesn’t mean it has to look boring!

Looking for more clever storage solutions? You might like your to make your own shadow boards, favor Gridfinity, or just wonder what other readers do to organize their electronic odds and ends.

youtube.com/embed/qyl1mLTaY6M?…


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Custom Hat Gives Vintage Mitutoyo Calipers a New Lease on Life
poliverso.org/display/0477a01e…
Custom Hat Gives Vintage Mitutoyo Calipers a New Lease on Life Metrology fans are usually at least a little bit in love with Mitutoyo, and rightfully so. The Japanese company has been making precision measuring instruments for the better part of 100 years, and users appreciate their precision almost as much as the silky smooth feel of their tools. If you can afford


Custom Hat Gives Vintage Mitutoyo Calipers a New Lease on Life

Metrology fans are usually at least a little bit in love with Mitutoyo, and rightfully so. The Japanese company has been making precision measuring instruments for the better part of 100 years, and users appreciate their precision almost as much as the silky smooth feel of their tools. If you can afford it, a Mitutoyo caliper is quite an addition to your toolbox.

As good as they are, though, they’re not perfect, which is what led to this clever Mitutoyo digital caliper hack by [turbanedengineer]. The calipers in question, a digital set from the early 1980s, happen to have a unique history with a tangential Hackaday angle — they belonged to [Dhaval], mechanical engineer and avid motorcyclist who happens to be the late elder brother of our own [Anool Mahidharia].

The tool, in need of a little TLC, made its way to [turbanedengineer] who first restored the broken battery contacts. Once powered up again, it became apparent that while the caliper’s native metric measurements were spot on, the internal conversion to inches was considerably off. This led [turbanedengineer] to the data port on the tool, which is intended to send serial data to an external computer for logging measurements. After a little experimentation to nail down the data format, he prototyped a tiny circuit using an ATtiny85 and an OLED display that reads the caliper data, converts metric to inches, and displays both measurements on the screen. The prototype led to a more permanent version, which cleverly sits over the original display and taps into the data port without any free wires. The video below shows the very slick results.

Our hearts go out to [Anool] and his family for their loss, and we tip our hats to [turbanedengineer] for his thoughtful and respectful hack of a storied tool. We know that anthropomorphizing tools makes no rational sense, but we think it’s safe to say that a tool like this has a soul, and it’s probably happy to be back in the game.

youtube.com/embed/r8xpCtS69Pg?…


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Over-molding Wires with Hot Glue and 3D Printed Molds
poliverso.org/display/0477a01e…
Over-molding Wires with Hot Glue and 3D Printed Molds We’ve said it before and we’ll say it again: water always finds a way in. That’s particularly problematic for things like wire splices in damp environments, something that no amount of electrical tape is going to help. Heat shrink tubing might be your friend here, but for an electrically isolated and mechanically supported


Over-molding Wires with Hot Glue and 3D Printed Molds

We’ve said it before and we’ll say it again: water always finds a way in. That’s particularly problematic for things like wire splices in damp environments, something that no amount of electrical tape is going to help. Heat shrink tubing might be your friend here, but for an electrically isolated and mechanically supported repair, you may want to give over-molding with a hot glue gun a try.

The inspiration for [Print Practical]’s foray into over-molding came from a video that’s making the rounds showing a commercially available tool for protecting spliced wires in the automotive repair trade. It consists of a machined aluminum mold that the spliced wires fit into and a more-or-less stock hot glue gun, which fills the mold with melted plastic. [Print Practical] thought it just might be possible to 3D print custom molds at home and do it himself.

His first attempt didn’t go so well. As it turns out, hot glue likes to stick to things — who knew? — including the PETG mold he designed. Trying to pry apart the mold after injection was a chore, and even once he got inside it was clear the glue much preferred to stay in the mold. Round two went much better — same wire, same mold, but now with a thin layer of vegetable oil to act as a release agent. That worked like a charm, with the over-mold standing up to a saltwater bath with no signs of leaking. [Print Practical] also repaired an iPhone cable that has seen better days, providing much-needed mechanical support for a badly frayed section.

This looks like a fantastic idea to file away for the future, and one that’s worth experimenting with. Other filament types might make a mold better able to stand up to the hot glue, and materials other than the ethylene-vinyl acetate copolymer found in most hot glue sticks might be explored. TPU over-molds, anyone? Or perhaps you can use a printer as an injector rather than the glue gun.

youtube.com/embed/-uNsyOG0eZY?…


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Dei bug su Voice Over WiFi hanno permesso l’intercettazione delle chiamate
poliverso.org/display/0477a01e…
Dei bug su Voice Over WiFi hanno permesso l’intercettazione delle chiamate I ricercatori di CISPA cispa.de/en/wlan-calling , SBA Research sba-research.org/2024/07/31/au… e dell’Università di Vienna hanno scoperto due


Dei bug su Voice Over WiFi hanno permesso l’intercettazione delle chiamate

I ricercatori di CISPA , SBA Research e dell’Università di Vienna hanno scoperto due vulnerabilità nel protocollo mobile Voice over WiFi (VoWiFi) che compromettono la sicurezza delle comunicazioni per milioni di utenti di telefoni cellulari in tutto il mondo. Al momento, le carenze sono state eliminate, ma gli scienziati hanno parlato della loro scoperta.

Gli smartphone moderni possono stabilire connessioni telefoniche non solo tramite reti mobili, ma anche tramite Wi-Fi ( chiamate WLAN ), fornendo la comunicazione anche in luoghi con segnale debole.

Dal 2016 quasi tutti i principali operatori di telefonia mobile offrono le chiamate Wi-Fi, preinstallate su tutti i nuovi smartphone.

Architettura per Telefonate da portatile (UE) a centrale (IMS): confronto tra connessione VoLTE e VoWiFi

Le vulnerabilità hanno interessato i servizi di 13 dei 275 operatori di telefonia mobile studiati, compresi operatori di Austria, Slovacchia, Brasile e Russia, mettendo a rischio la sicurezza delle comunicazioni di circa 140 milioni di clienti.

L’errore è correlato a un importante componente di rete nell’architettura delle reti LTE e 5G: Evolved Packet Data Gateway (ePDG). Per le chiamate WLAN lo smartphone deve registrarsi sulla rete principale dell’operatore. Per garantire che ciò avvenga in modo sicuro, vengono stabiliti tunnel IPsec tra il dispositivo e ePDG.

I tunnel IPsec vengono creati in più fasi. La sicurezza delle comunicazioni è garantita principalmente attraverso lo scambio di chiavi crittografiche mediante il protocollo Internet Key Exchange (IKE). Le chiavi devono essere private e casuali, ma gli operatori non rispettano queste condizioni.

13 operatori hanno utilizzato lo stesso set di 10 chiavi private statiche anziché impostarne di nuove e casuali. Un malintenzionato in possesso di queste chiavi potrebbe facilmente intercettare le comunicazioni tra smartphone e operatori. Hanno accesso alle chiavi tutti gli operatori interessati, il produttore ed eventualmente i servizi di sicurezza di ciascun paese. Anche le reti del provider cinese ZTE erano minacciate.

I ricercatori hanno anche scoperto che molti nuovi chip (compreso il 5G) del produttore taiwanese MediaTek , utilizzati in alcuni smartphone Android di Xiaomi, Oppo, Realme e Vivo, presentano un’altra vulnerabilità.

Il chip funziona con la carta SIM per registrare gli utenti sulla rete mobile utilizzando VoWiFi. Gli scienziati hanno scoperto che il livello di crittografia lato smartphone può essere ridotto al minimo mediante attacchi mirati. Dall’analisi delle configurazioni di altri produttori, Google, Apple, Samsung e Xiaomi, è emerso che fino all’80% dei casi utilizzavano metodi crittografici obsoleti.

I ricercatori non possono confermare quanti utenti in tutto il mondo siano stati effettivamente colpiti dagli attacchi o siano stati intercettati. Gli scienziati hanno segnalato il problema al GSMA e ai relativi fornitori, dando loro l’opportunità di sviluppare aggiornamenti. Gli aggiornamenti sono già stati rilasciati. Solo dopo una divulgazione responsabile i ricercatori hanno pubblicato il loro lavoro al Simposio sulla sicurezza USENIX del 2024, rendendo i loro risultati disponibili ad altri ricercatori.

Vulnerabilità:

L'articolo Dei bug su Voice Over WiFi hanno permesso l’intercettazione delle chiamate proviene da il blog della sicurezza informatica.


The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Solar Fountain Aerates Garden Pond
poliverso.org/display/0477a01e…
Solar Fountain Aerates Garden Pond Sometimes off-the-shelf solutions to a problem don’t meet your expectations. That’s what led [TomGoff] to build his own solar pond fountain instructables.com/3D-Printed-F… build features a lot of creative reuse of materials [TomGoff] already had on hand, like the end of a cable reel for the platform and a wheelbarrow


Solar Fountain Aerates Garden Pond

A circular concrete pond in a garden. A small round fountain jets water out in the center and a solar panel and control box are visible attached to the end of the pond opposite the camera. On the top left is the text, "3D printed, Solar powered, and Arduino controlled" in yellow

Sometimes off-the-shelf solutions to a problem don’t meet your expectations. That’s what led [TomGoff] to build his own solar pond fountain.

This build features a lot of creative reuse of materials [TomGoff] already had on hand, like the end of a cable reel for the platform and a wheelbarrow inner tube for flotation. A 3D printed nozzle in the center of this apparatus is attached to a 12 V water pump and the whole thing is controlled by an Arduino running 30 seconds on and 3 minutes off to conserve battery power.

A hand-built perfboard contains a light dependent resistor (LDR) to tell the Arduino not to run at night, the relay for the pump, and a battery charge monitor. Be sure to check out the full write-up to see the video of the Tinkercad electronics simulation as well as the code. A 20 W solar panel keeps the whole thing charged so you don’t have to run mains power out to your pond.

If you need more solar projects for your garden, how about this Charmander lamp or a solar powered irrigation system?

youtube.com/embed/6y-9VMeOzck?…


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Hackaday Podcast Episode 282: Saildrones, a New Classic Laptop, and SNES Cartridges are More Than You Think
poliverso.org/display/0477a01e…
Hackaday Podcast Episode 282: Saildrones, a New Classic Laptop, and SNES Cartridges are More Than You Think In this episode, the CrowdStrike fiasco has Hackaday Editors Elliot Williams and Tom Nardi pondering the fragility of our modern infrastructure. From there the discussion moves on to robotic sailboats, the evolving


Hackaday Podcast Episode 282: Saildrones, a New Classic Laptop, and SNES Cartridges are More Than You Think

In this episode, the CrowdStrike fiasco has Hackaday Editors Elliot Williams and Tom Nardi pondering the fragility of our modern infrastructure. From there the discussion moves on to robotic sailboats, the evolving state of bespoke computers, and the unique capabilities of the Super Nintendo cartridge. You’ll also hear about cleaning paintings with lasers, the advantages of electronic word processors, stacking 3D printed parts, and the joys of a nice data visualization. They’ll wrap the episode up by marveling at the techniques required to repair undersea fiber optic cables, and the possibilities (and frustrations) of PCB panelization using multiple designs.

Check out the links below if you want to follow along, and as always, tell us what you think about this episode in the comments!

html5-player.libsyn.com/embed/…

As always, the Hackaday Podcast is available in DRM-free MP3 for offline listening.

Where to Follow Hackaday Podcast

Places to follow Hackaday podcasts:



Episode 282 Show Notes:

News:



What’s that Sound?


  • Congrats to [Arawn Greyson], who knows his Time Lords.


Interesting Hacks of the Week:



Quick Hacks:



Can’t-Miss Articles:



The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

This Week in Security: Echospoofing, Ransomware Records, and Github Attestations
poliverso.org/display/0477a01e…
This Week in Security: Echospoofing, Ransomware Records, and Github Attestations It’s a bit of bitter irony, when a security product gets used maliciously, to pull off the exact attack it was designed to prevent. Enter labs.guard.io/echospoofing-a-m….


This Week in Security: Echospoofing, Ransomware Records, and Github Attestations

It’s a bit of bitter irony, when a security product gets used maliciously, to pull off the exact attack it was designed to prevent. Enter Proofpoint, and the EchoSpoofing attack. Proofpoint offers an email security product, filtering spam and malicious incoming emails, and also handling SPF, DKIM, and DMARC headers on outgoing email. How does an external service provide those email authentication headers?

One of the cardinal sins of running an email server is to allow open relaying. That’s when anyone can forward email though an SMTP server without authentication. What we have here is two nearly open relays, that wound up with spoofed emails getting authenticated just like the real thing. The first offender is Microsoft’s Office365, which seems to completely skip checking for email spoofing when using SMTP relaying from an allowed IP address. This means a valid Office365 account allows sending emails as any address. The other half relies on the way Proofpoint works normally, accepting SMTP traffic from certain IP addresses, and adding the authentication headers to those emails. There’s an option in Proofpoint to add the Microsoft Office 365 servers to that list, and apparently quite a few companies simply select that option.

The end result is that a clever spammer can send millions of completely legitimate looking emails every day, that look very convincing even to sophisticated users. At six months of activity, averaging three millions emails a day, this campaign managed just over half a billion malicious emails from multiple high-profile domains.

The good news here is that Proofpoint and Guardio discovered the scheme, and worked with Microsoft to develop the X-OriginatorOrg header that is now applied to every email sent from or through the Office365 servers. This header marks the account tenant the email belongs to, giving vendors like Proofpoint a simple way to determine email validity.

Ransomware Gets Bigger


It’s not just spam emails that posted eye-watering numbers this year. We’ve broken the record for the biggest ransomware payment, too. Zscaler is reporting a $75 million ransom payment from a “Fortune 50” company. Reading the tea leaves indicates Cencora as a likely candidate, as this pharmaceutical giant was hit by an attack in February, and none of the usual suspects ever claimed responsibility. This leads one to suspect that it was the Dark Angels ransomware operation.

The Linux CNA, with a Grain of Salt


One of the interesting recent security developments is the proliferation of CNAs, CVE Numbering Authorities, particularly among Open Source projects. Part of the reason is the growing prevalence of CVE issued on bogus bugs, or with completely overblown CVSS scores. One of these new CNAs is the Linux Kernel itself, which has taken an odd approach to handing CVEs: Every bug gets one. On one hand, the kernel developers make a valid point that in kernel land, basically any bug can be a vulnerability. And it’s certainly one way to put the pressure on vendors to use more up-to-date kernel releases. On the other hand, Linux is now the most prolific CNA measured in CVEs generated each year.

The situation does not sit well with everyone. Grsecurity has published a case study on CVE-2021-4440, that highlights some issues. The emphasis here seems to be that the kernel team uses a lot of automation tools to manage CVEs, and these tools aren’t always great at accuracy or clarity. Now one thing to keep in mind, grsecurity in particular has had a rocky relationship with the upstream kernel, so a grain of salt might be taken with this one. Regardless, it seems like the kernel is experiencing some growing pains, as it comes into its new role as CNA.

Github Adds Attestation


Github has added a new attestation feature, presumably spurred by the XZ attack. Github Attestations are a cryptographic proof that a tarball or binary was built from the source code publicly available, and hasn’t been tampered with. This has been out for about a month now, and this week is joined by a quick starter guide to publishing attestations with everything a project releases. There’s also a Kubernetes project that only allows running images that have valid attestations in place, which is handy!

ZDI on Windows


ZDI has some interesting coverage of some recently discovered vulnerabilities in antivirus products, all around the idea of link following. Put simply, what if an antivirus detects a malicious file, but before it can delete that file, an attacker switches the file out with a filesystem link to a different file? In many cases, the antivirus follows the link and deletes something it shouldn’t. Part two is some more advanced ways to pull off this trick, like using NTFS Alternate Data Streams to trick the antivirus into action.

While we’re talking ZDI disclosures, there’s a Deep Sea Electronics communication module that had some problems, like a configuration backup endpoint that has no authentication check. There are a couple of other endpoints missing authentication, as well as trivial Denial of Service situations. Unfortunately this is a case where the vendor dropped the ball, and these vulnerabilities are assumed to be unpatched for this device.

Bits and Bytes


The unfortunate state of mobile applications is that just because it’s published on an official app store, there is no guarantee that an app is safe. Mandrake was first seen in 2016, with several waves of malicious activity, to disappear for a couple years. It’s back, and has eluded notice til very recently. I was intrigued by the idea that it excluded 90 countries from being targeted, and found this in the source document: “It avoids running in low income states, African nations, former Soviet Union countries or predominantly Arabic-speaking nations.”

Once again, in IoT the S stands for security. A wifi security camera with a generic brand name shipped with a hard-coded root password. On this one, the journey is most of the fun. But really, WiFi cameras have bigger problems, and it’s apparently becoming common for thieves to use wifi jammers to cover their tracks. Hardwire your cameras, and keep them away from the Internet.

While it didn’t rise to the Crowdstrike level, Microsoft had an Azure outage this week, that caused some headache. It turns out it was a DDoS attack, and Microsoft’s own Denial of Service mitigation tooling amplified the attack instead of mitigating it. Decidedly non-ideal.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

Contextualizing the Kids Online Safety and Privacy Act: A Deep Dive into the Federal Kids Bill
fpf.org/blog/contextualizing-t…
@privacy
Co-authored by Nick Alereza, FPF Policy Intern and student Boston University School of Law. With contributions from Jordan Francis. On July 30, 2024, the U.S. Senate passed the Kids Online Safety and Privacy Act (KOSPA) by a vote of 91-3. KOSPA is a legislative

The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

Curious about what the FSFE is up to? 🤔
Check out our latest, and past initiatives, on our website. From campaigns and policy advocacy to legal support and community project!
💥 Get all the details here: fsfe.org/activities/activities…

#softwarefreedom #freesoftware

The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Getting a Laser Eye Injury and How to Avoid it
poliverso.org/display/0477a01e…
Getting a Laser Eye Injury and How to Avoid it Most people love lasers, because they can make cats chase, read music from a shiny disc, etch and cut materials, and be very shiny in Hollywood blockbusters, even when their presence makes zero sense. That said, lasers are also extremely dangerous, as their highly focused nature and wide range of power levels can leave a person dazzled,


Getting a Laser Eye Injury and How to Avoid it

Most people love lasers, because they can make cats chase, read music from a shiny disc, etch and cut materials, and be very shiny in Hollywood blockbusters, even when their presence makes zero sense. That said, lasers are also extremely dangerous, as their highly focused nature and wide range of power levels can leave a person dazzled, blinded or dead from direct and indirect exposure. A lapse in laser safety was how [Phil Broughton] ended up with part of his retina forever marked, as he describes his adventures with an overly enthusiastic laser company sales person.
Quanta Ray PRO350 with frequency doubling, emitting a 532nm beam – Sales brochure image from Quanta Ray, unknown dateQuanta Ray PRO350 with frequency doubling, emitting a 532 nm beam – Sales brochure image from Quanta Ray, unknown date
It didn’t take much, just this sales person who made a really poor decision while trying to please some customers and nearly ended with multiple adults, a local school, pilots at a nearby airfield getting their retinas blasted out due to an absolutely harebrained idea to use a fairly high-powered Quanta-Ray Nd:YAG laser on reflective surfaces in the open.

This was in 1999, and fortunately [Phil] only suffered some fairly minor damage to his retina from the laser beam reflection. What happened to the customers (who wore argon laser safety glasses) or the sales critter (who left soon after) is not described, but both may have received some bad news when they had their eyes checked shortly after after at the ophthalmologist.

These kind of stories are a stark reminder that laser safety is not optional. Lasers producing a visible (400 – 700 nm) wavelength above Class 2 should only be operated in a fully secured environment, with safety glasses for the appropriate laser wavelength. Class 2 lasers producing a non-visible wavelength can cause permanent damage because the blink reflex of the eye does not offer any protection here.

As even some dodgy laser pointers are being (illegally) sold online are actually Class 2, this should make it clear that laser eye injury can happen to anyone, and it only takes a second to change someone’s life forever.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

Pwn2Own 2024 si Sposta in Irlanda: Ricompense per 300.000 dollari per gli Exploit di WhatsApp
poliverso.org/display/0477a01e…
Pwn2Own 2024 si Sposta in Irlanda: Ricompense per 300.000 dollari per gli Exploit di WhatsApp Quest’anno la competizione redhotcyber.com/post/i-padri-f… Pwn2Own si terrà per la prima volta in Irlanda. È già noto che verrà offerta una ricompensa di 300.000 dollari per explot 0click del messenger


Pwn2Own 2024 si Sposta in Irlanda: Ricompense per 300.000 dollari per gli Exploit di WhatsApp

Quest’anno la competizione hacker Pwn2Own si terrà per la prima volta in Irlanda. È già noto che verrà offerta una ricompensa di 300.000 dollari per explot 0click del messenger WhatsApp.

Gli specialisti della Trend Micro Zero Day Initiative (ZDI) hanno annunciato che il prossimo Pwn2Own si terrà in Irlanda, dal 22 al 25 ottobre 2024. Il concorso si è svolto per molti anni presso l’ufficio Trend Micro di Toronto, ma ora questo ufficio ha chiuso e l’evento ha dovuto trovare una nuova sede.

È stato inoltre riferito che Meta si è unito a Pwn2Own come sponsor quest’anno. Di conseguenza, l’azienda è pronta a offrire fino a 300.000 dollari per exploit 0-day/0-click mirati al messenger WhatsApp.

In confronto, il rinomato broker di exploit Zerodium offre attualmente fino a 1 milione di dollari per un exploit WhatsApp che consentono l’esecuzione di codice da remoto e l’escalation dei privilegi locali. Gli exploit zero-click possono costare fino a 1,5 milioni di dollari.

Inoltre, su Pwn2Own Ireland verranno offerti grandi premi per exploit per vari smartphone. Ad esempio, le vulnerabilità di Pixel 8 e iPhone 15 possono costare agli hacker fino a 250.000 dollari e, se la catena di exploit include l’accesso a livello di kernel, fino a 300.000 dollari.

Anche i bug nel Samsung Galaxy S24 hanno un valore di ben 50.000 dollari.

Anche quest’autunno gli specialisti della sicurezza informatica concorreranno per i seguenti premi:

  • gli exploit per gli hub di casa intelligente (prodotti di AeoTec, Apple, Amazon e Google) possono portare esperti da 40.000 a 60.000 dollari;
  • nella categoria Sistemi di videosorveglianza, i partecipanti possono guadagnare fino a 30.000 dollari per le soluzioni di hacking di Lorex, Nest, Synology, Ubiquiti e Arlo;
  • le vulnerabilità nelle stampanti HP, Lexmark e Canon sono stimate a 20.000 dollari, e per gli altoparlanti intelligenti di Sonos, Google e Amazon a 60.000 dollari;
  • I membri di Pwn2Own Ireland potranno anche guadagnare 40.000 dollari per l’hacking del NAS (inclusi Synology, TrueNAS e QNAP).

Ricordiamo che al Pwn2Own dell’anno scorso i ricercatori hanno guadagnato più di un milione di dollari USA con un totale di 58 vulnerabilità zero-day uniche scoperte.

L'articolo Pwn2Own 2024 si Sposta in Irlanda: Ricompense per 300.000 dollari per gli Exploit di WhatsApp proviene da il blog della sicurezza informatica.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

New note by cybersecurity
poliverso.org/display/0477a01e…
Gli azionisti di CrowdStrike citano in giudizio l’azienda dopo il cyber-caos key4biz.it/gli-azionisti-di-cr… (Italy e non Italy 😁)Dopo l’incidente informatico che ha coinvolto 8,5 milioni di dispositivi in tutto il mondo, l’azienda americana di sicurezza informatica CrowdStrike, è stata citata in giudizio dai su


Gli azionisti di CrowdStrike citano in giudizio l’azienda dopo il cyber-caos


@Informatica (Italy e non Italy 😁)
Dopo l’incidente informatico che ha coinvolto 8,5 milioni di dispositivi in tutto il mondo, l’azienda americana di sicurezza informatica CrowdStrike, è stata citata in giudizio dai suoi azionisti. La causa accusa l’azienda di aver fatto dichiarazioni “false e


The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Rube Goldberg Floppy Disk Cleaner
poliverso.org/display/0477a01e…
Rube Goldberg Floppy Disk Cleaner Floppies were once the standard method of information exchange, but decades of storage can render them unreadable, especially if mold sets in. [Rob Smith] wanted to clean some floppies in style and made a Disco Rube Goldberg-Style device hackaday.io/project/196855-cra… for the job.Starting with a disk caddy on linear


Rube Goldberg Floppy Disk Cleaner

An odd looking apparatus for cleaning floppy disks. A neon green disk tray is suspended on metal linear rails in a vertical orientation. It can move back and forth through a set of cleaning heads and a set of drying fans. There are some control buttons on the font as well as a string of addressable LEDs and two speakers.

Floppies were once the standard method of information exchange, but decades of storage can render them unreadable, especially if mold sets in. [Rob Smith] wanted to clean some floppies in style and made a Disco Rube Goldberg-Style device for the job.

Starting with a disk caddy on linear rails, [Smith] has a track for the floppy to follow. First it goes through a set of pads with cleaning solution on them, and is then dried off with heating elements. To make it more fun, the device has LEDs and a set of speakers at the bottom to treat the disk to a more complete car wash-esque experience.

Cotton swabs and a cleaning solution are all you really need to do the job by hand, but if you have a lot of floppies, that can get tedious quickly. [Smith] compares his machine’s performance to doing it by hand with both IPA and a dish soap solution showing that his machine does indeed clean the disks and usually makes them more readable than they were before. He cautions that it might be best to make multiple copies of the disk during the cleaning process as it isn’t always constructive though.

Thinking about archiving that stack of floppies under your workbench? While Linux doesn’t support the drives anymore, we’ve covered a couple different methods in the past and the importance of reading the flux.

youtube.com/embed/KIELJe1ZnfI?…


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

The media in this post is not displayed to visitors. To view it, please go to the original post.

Il Red TIM Research emette 7 nuove CVE. Una con score 9,8 su OpenText Vertica
poliverso.org/display/0477a01e…
Il Red TIM Research emette 7 nuove CVE. Una con score 9,8 su OpenText Vertica Durante delle analisi di sicurezza effettuate su alcuni prodotti di vari vendor, il Red Team Research di TIM (RTR), gruppotim.it/it/footer/red-tea…


Il Red TIM Research emette 7 nuove CVE. Una con score 9,8 su OpenText Vertica

Durante delle analisi di sicurezza effettuate su alcuni prodotti di vari vendor, il Red Team Research di TIM (RTR), ha rilevato 7 nuove vulnerabilità 0day. Il Red Team Research è il laboratorio di ricerca dei bug di sicurezza non documentati sviluppato all’interno di Telecom Italia Mobile.

RTR opera attraverso il processo di Coordinated Vulnerability Disclosure (CVD), quel processo che consente ai vendor di prodotto di implementare le patch di sicurezza prima della diffusione pubblica e quindi prima della quotazione della severity della CVE effettuata dal NIST degli Stati Uniti D’America.

Si tratta di 7 vulnerabilità emesse su tre differenti prodotti, tra i quali OpenText Vertica, Livebox e Italtel. Di seguito l’elenco completo delle CVE Emesse sui vari Vendor:

Nel dettaglio, le principali vulnerabilità rilevate sono le seguenti:

CVE-2023-7248 – OpenText Vertica Management console


Vulnerability Description: Improper Input Validation – CWE-20

  • Software Version: 10.x, 11.1.1-24 or lower, 12.0.4-18 or lower
  • NIST: nvd.nist.gov/vuln/detail/CVE-2…
  • CVSSv3: 9,8
  • Severity: Critical
  • Credits: Gabriele Duchi, Davide Brian Di Campi, Tiziano Di Vincenzo, Massimiliano Brolli
  • Certain functionality in OpenText Vertica Management console might be prone to bypass via crafted requests. The vulnerability would affect one of Vertica’s authentication functionalities by allowing specially crafted requests and sequences.



OpenText Vertica Management Console è uno strumento di gestione e monitoraggio per il database analitico Vertica. Fornisce un’interfaccia utente grafica che consente agli amministratori di database di eseguire attività come configurazione, monitoraggio delle prestazioni, gestione degli utenti e manutenzione del sistema. La console è stata progettata per semplificare la gestione e ottimizzare le operazioni relative al database.

CVE-2022-45171– Livebox Collaboration vDesk


Vulnerability Description: Unrestricted Upload of File with Dangerous Type – CWE-434

  • Software Version:
  • NIST: nvd.nist.gov/vuln/detail/CVE-2…
  • CVSv3: 8.8
  • Severity: High
  • Credits: Massimiliano Ferraresi, Andrea Carlo Maria Dattola, Luca Borzacchiello, Mario Cola, Massimiliano Brolli
  • An issue was discovered in LIVEBOX Collaboration vDesk through v018. An Unrestricted Upload of a File with a Dangerous Type can occur under the vShare web site section. A remote user, authenticated to the product, can arbitrarily upload potentially dangerous files without restrictions.



Livebox Collaboration vDesk è una piattaforma di collaborazione aziendale che offre strumenti per comunicazione, condivisione di file e gestione dei progetti. Consente ai team di lavorare insieme in tempo reale, attraverso chat, videoconferenze e condivisione di documenti. La piattaforma è progettata per facilitare il lavoro remoto e la collaborazione tra membri del team, indipendentemente dalla loro posizione geografica.

Di seguito vengono elencati I bug hunter che hanno riscontrato le varie vulnerabilità:

  • Massimiliano Ferraresi
  • Andrea Carlo Maria Dattola
  • Luca Borzacchiello
  • Mario Cola
  • Luca Carbone
  • Fabio Romano
  • Gabriele Duchi
  • Davide Brian Di Campi
  • Tiziano Di Vincenzo


Il Red Team Research di TIM


Il Red TIM Research (o Red Team Research), è uno tra i pochi centri italiani di ricerca sui bug di sicurezza, nato da una idea di Massimiliano Brolli nel 2018. In questo laboratorio da diverso tempo vengono effettuate attività di “Bug hunting” che mirano alla ricerca di vulnerabilità non documentate. Le attività condotte dal team, portano ad una successiva emissione di CVE sul National Vulnerability Database degli Stati Uniti D’America, terminato il percorso di Coordinated Vulnerability Disclosure (CVD) con il vendor del prodotto.

Nel corso di 6 anni di attività, il Red Team Research ha rielevato moltissimi bug 0-day su prodotti best-in-class e big vendor di valenza internazionale, come ad esempio Oracle, IBM, Fortinet, F5, Ericsson, Red Hat, Nokia, Computer Associates, Siemens, F5, Fortinet, QNAP, Johnson & Control, Schneider Electric, oltre ad altri fornitori su tipologie differenti di architetture software/hardware.

Nel corso del tempo, sono stati emessi oltre 110 CVE, dove più di 10 risultano con severità Critical (9,8 di score CVSSv3).

Relativamente ad una vulnerabilità rilevata dal gruppo di ricerca sul prodotto Metasys Reporting Engine (MRE) Web Services, del fornitore Johnson & Control, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti D’America, ha emesso un avviso di sicurezza riportando come Background i settori quali: “CRITICAL INFRASTRUCTURE SECTORS, COUNTRIES/AREAS DEPLOYED e COMPANY HEADQUARTERS LOCATION”.

Si tratta di una realtà tutta italiana che emette una CVE con costanza, contribuendo in maniera fattiva alla ricerca delle vulnerabilità non documentate a livello internazionale. RTR si sta distinguendo a livello paese sull’elevata caratura delle attività svolte, oltre a contribuire all’innalzamento dei livelli di sicurezza dei prodotti utilizzati da organizzazioni e singole persone.

L'articolo Il Red TIM Research emette 7 nuove CVE. Una con score 9,8 su OpenText Vertica proviene da il blog della sicurezza informatica.


The Privacy Post reshared this.

The Privacy Post ha ricondiviso questo.

Esce Astra Linux 1.8! La Fork di Debian 12.5 con Sicurezza Potenziata made in Russia
poliverso.org/display/0477a01e…
Esce Astra Linux 1.8! La Fork di Debian 12.5 con Sicurezza Potenziata made in Russia Astra Group , uno dei leader nel mercato russo dello sviluppo software, ha rilasciato una nuova versione del suo prodotto di punta : il sistema operativo astragroup.ru/proxima/?utm_sou…


Esce Astra Linux 1.8! La Fork di Debian 12.5 con Sicurezza Potenziata made in Russia

Astra Group , uno dei leader nel mercato russo dello sviluppo software, ha rilasciato una nuova versione del suo prodotto di punta : il sistema operativo Astra Linux 1.8.

La nuova Astra 1.8 è un fork del famoso progetto internazionale Debian 12.5 Bookworm, più della metà del cui pacchetto base è stato modificato e migliorato dagli sviluppatori russi. Perché era necessario, dal momento che Debian sviluppa e supporta attivamente la comunità?

Innanzitutto, il sistema operativo russo deve soddisfare i requisiti di certificazione. In secondo luogo è necessario eliminare tutte le vulnerabilità note presenti nei pacchetti. In terzo luogo, la revisione del fornitore russo mira a migliorare le applicazioni per il pubblico domestico. La portata del lavoro svolto è testimoniata dal fatto che il processo di sviluppo della versione 1.8 ha richiesto più di cento anni-uomo.

Una delle innovazioni chiave di Astra Linux 1.8 sono i profili di configurazione consigliati già pronti per gli strumenti di sicurezza delle informazioni (IS) per vari scenari di utilizzo. Questa innovazione faciliterà il lavoro degli specialisti della sicurezza delle informazioni responsabili del funzionamento dei sistemi la cui sicurezza è regolata dalle autorità di regolamentazione (ISPDn, GIS, sistemi di controllo automatizzato dei processi, sistemi di controllo elettronico. Per ogni tipo di sistema esiste un proprio ordine FSTEC, suddiviso in classi/livelli).

Astra Linux 1.8 include un DBMS relazionale sicuro, creato sulla base e compatibile con PostgreSQL 15 e che soddisfa i requisiti normativi della 1a categoria di FSTEC, introdotta nel 2023 nella Federazione Russa.

L’innovazione più evidente in Astra Linux 1.8 è lo stile visivo di Astra Proxima, sviluppato sulla base di un’analisi delle reali esigenze degli utenti. Si distingue per sobrietà, design minimalista, facile navigazione e soluzioni grafiche moderne. Nello stile Astra Proxima, è stato progettato un programma di installazione del sistema operativo migliorato, che consente di installare il sistema operativo in un solo passaggio dopo aver raccolto i parametri necessari.

Lo sviluppatore ha inoltre fornito un meccanismo per aggiornare il sistema senza reinstallarlo e la possibilità di ripristinare l’aggiornamento in caso di errore, il che rende il processo più sicuro.

Astra Linux 1.8 rappresenta un miglioramento significativo rispetto alla versione 1.7. Miglioramenti nelle prestazioni, supporto per nuovo hardware, automazione degli aggiornamenti, installazione, impostazioni di sicurezza delle informazioni, stile visivo e struttura del repository rendono questo sistema operativo più conveniente, funzionale e sicuro.

L'articolo Esce Astra Linux 1.8! La Fork di Debian 12.5 con Sicurezza Potenziata made in Russia proviene da il blog della sicurezza informatica.


The Privacy Post reshared this.