Tearing Down Walmart’s $12 Keychain Camera Keychain cameras are rarely good. However, in the case of Walmart’s current offering, it might be worse than it’s supposed to be. [FoxTailWhipz] bought the Vivitar-branded device and set about investigating its claim that it could deliver high-resolution photos. The Vivatar Retro Keychain Camera costs $12.88, and wears “FULL HD” and “14MP” branding on the packaging. It’s actually built by Sakar International, a company that manufactures products for other brands to license. Outside of the branding, though, [FoxTailWhipz] figured the resolution claims were likely misleading. Taking photos quickly showed this was the case, as whatever setting was used, the photos would always come out at 640 x 480, or roughly 0.3 megapixels. He thus decided a teardown would be the best way to determine what was going on inside. You can see it all in the video below. Pulling the device apart was easy, revealing that the screen and battery are simply attached to the PCB with double-sided tape. With the board removed from the case, the sensor and lens module are visible, with the model number printed on the flex cable. The sensor datasheet tells you what you need to know. It’s a 2-megapixel sensor, capable of resolutions up to 1632 x 1212. The camera firmware itself seems to not even use the full resolution, since it only outputs images at 640 x 480. It’s not that surprising that an ultra-cheap keychain camera doesn’t meet the outrageous specs on the box. At the same time, it’s sad to see major retailers selling products that can’t do what they say on the tin. We see this problem a lot, in everything from network cables to oscilloscopes. youtube.com/embed/4bNZ95cBIdg?… hackaday.com/2025/12/15/tearin…

Nuove vulnerabilità scoperte in FreePBX: aggiornamenti urgenti necessari Diverse vulnerabilità di sicurezza sono state individuate nella piattaforma open source per centralini telefonici privati (PBX) FreePBX, tra cui un difetto critico che, in determinate configurazioni, potrebbe consentire l’aggiramento dell’autenticazione. Le carenze scoperte da Horizon3.ai e segnalate ai responsabili del progetto il 15 settembre 2025 possono essere sintetizzate in: CVE-2025-61675 (punteggio CVSS: 8,6) – Numerose vulnerabilità di iniezione SQL autenticate che hanno un impatto su quattro endpoint univoci (stazione base, modello, firmware ed estensione personalizzata) e 11 parametri interessati che consentono l’accesso in lettura e scrittura al database SQL sottostante; CVE-2025-61678 (punteggio CVSS: 8,6) – Una vulnerabilità di caricamento di file arbitrari autenticati che consente a un aggressore di sfruttare l’endpoint di caricamento del firmware per caricare una web shell PHP dopo aver ottenuto un PHPSESSID valido ed eseguire comandi arbitrari per divulgare il contenuto di file sensibili; CVE-2025-66039 (punteggio CVSS: 9,3) – Una vulnerabilità di bypass dell’autenticazione che si verifica quando il “Tipo di autorizzazione” (noto anche come AUTHTYPE) è impostato su “webserver“, consentendo a un aggressore di accedere al Pannello di controllo dell’amministratore tramite un’intestazione di autorizzazione contraffatta Nella configurazione predefinita di FreePBX, è fondamentale sottolineare che il bypass dell’autenticazione non presenta vulnerabilità, in quanto l’opzione concernente il “Tipo di autorizzazione” è visibile solo quando tre specifici valori, riportati nei Dettagli delle impostazioni avanzate, sono impostati su “Sì”. Visualizza nome descrittivo Visualizza impostazioni di sola lettura Sostituisci impostazioni di sola lettura “Queste vulnerabilità sono facilmente sfruttabili e consentono ad aggressori remoti autenticati/non autenticati di eseguire codice remoto su istanze vulnerabili di FreePBX”, ha affermato Noah King, ricercatore di sicurezza di Horizon3.ai, in un rapporto pubblicato la scorsa settimana. I problemi sono stati affrontati nelle seguenti versioni: CVE-2025-61675 e CVE-2025-61678 – 16.0.92 e 17.0.6 (corretti il 14 ottobre 2025) CVE-2025-66039 – 16.0.44 e 17.0.23 (corretto il 9 dicembre 2025) Inoltre, l’opzione per scegliere un provider di autenticazione è stata rimossa dalle Impostazioni avanzate e richiede agli utenti di impostarla manualmente tramite la riga di comando utilizzando fwconsole. Come mitigazione temporanea, FreePBX ha raccomandato agli utenti di impostare “Tipo di autorizzazione” su “usermanager”, “Ignora impostazioni di sola lettura” su “No”, applicare la nuova configurazione e riavviare il sistema per disconnettere eventuali sessioni non autorizzate. “Se scopri che l’AUTHTYPE del server web è stato abilitato inavvertitamente, allora dovresti analizzare attentamente il tuo sistema per individuare eventuali segnali di compromissione”, ha affermato. Agli utenti viene inoltre visualizzato un avviso sulla dashboard, in cui si afferma che “webserver” potrebbe offrire una sicurezza ridotta rispetto a “usermanager“. Per una protezione ottimale, si consiglia di evitare di utilizzare questo tipo di autenticazione. L'articolo Nuove vulnerabilità scoperte in FreePBX: aggiornamenti urgenti necessari proviene da Red Hot Cyber.

A Brief History of the Spreadsheet We noted that Excel turned 40 this year. That makes it seem old, and today, if you say “spreadsheet,” there’s a good chance you are talking about an Excel spreadsheet, and if not, at least a program that can read and produce Excel-compatible sheets. But we remember a time when there was no Excel. But there were still spreadsheets. How far back do they go? Definitions Like many things, exactly what constitutes a spreadsheet can be a little fuzzy. However, in general, a spreadsheet looks like a grid and allows you to type numbers, text, and formulas into the cells. Formulas can refer to other cells in the grid. Nearly all spreadsheets are smart enough to sort formulas based on which ones depend on others. For example, if you have cell A1 as Voltage, and B1 as Resistance, you might have two formulas: In A2 you write “=A1/B1” which gives current. In B2 you might have “=A1*A2” which gives power. A smart spreadsheet will realize that you can’t compute B2 before you compute A2. Not all spreadsheets have been that smart. There are other nuances that many, but not all, spreadsheets share. Many let you name cells, so you can simply type =VOLTS*CURRENT. Nearly all will let you specify absolute or relative references, too. With a relative reference, you might compute cell D1=A1*B1. If you copy this to row two, it will wind up D2=A2*B2. However, if you mark some of the cells absolute, that won’t be true. For example, copying D1=A1*$B$1 to row two will result in D2=A2*$B$1. Not all spreadsheets mark rows and columns the same way, but the letter/number format is nearly universal in modern programs. Many programs still support RC references, too, where R4C2 is row four, column two. In that nomenclature, R[-1]C[2] is a relative reference (one row back, two rows to the right). But the real idea is that you can refer to a cell, not exactly how you refer to it. So, How Old Are They? LANPAR was probably the first spreadsheet program, and it was available for the GE400. The name “LANPAR” was LANguage for Programming Arrays at Random, but was also a fusion of the authors’ names. Want to guess the year? 1969. Two Harvard graduates developed it to solve a problem for the Canadian phone company’s budget worksheets, which took six to twenty-four months to change in Fortran. The video below shows a bit of the history behind LANPAR. youtube.com/embed/t1sdY6u8pTU?… LANPAR might not be totally recognizable as a modern spreadsheet, but it did have cell references and proper order of calculations. In fact, they had a patent on the idea, although the patent was originally rejected, won on appeal, and later deemed unenforceable by the courts. There were earlier, noninteractive, spreadsheet-like programs, too. Richard Mattessich wrote a 1961 paper describing FORTRAN IV methods to work with columns or rows of numbers. That generated a language called BCL (Business Computer Language). Others over the years included Autoplan, Autotab, and several other batch-oriented replacements for paper-based calculations. Spreadsheets Get Personal Back in the late 1970s, people like us speculated that “one day, every home would have a computer!” We just didn’t know what people would do with them outside of the business context where the computer lived at the time. We imagined people scaling up and down cooking recipes, for example. Exactly how do you make soup for nine people when the recipe is written for four? We also thought they might balance their checkbook or do math homework. The truth is, two programs drove massive sales of small computers: WordStar, a word-processing program, and VisiCalc. Originally for the Apple ][, Visicalc by Dan Bricklin and Bob Frankston put desktop computers on the map, especially for businesses. VisiCalc was also available on CP/M, Atari computers, and the Commodore PET. You’d recognize VisiCalc as a spreadsheet, but it did have some limitations. For one, it did not follow the natural order of operations. Instead, it would start at the top, work down a column, and then go to the next column. It would then repeat the process until no further change occurred. youtube.com/embed/EKtKVab8kH0?… However, it did automatically recalculate when you made changes, had relative and absolute references, and was generally interactive. You could copy ranges, and the program doesn’t look too different from a modern spreadsheet. Sincere Flattery Of course, once you have VisiCalc, you are going to invite imitators. SuperCalc paired with WordStar became very popular among the CP/M crowd. Then came the first of the big shots: Lotus 1-2-3. In 1982, this was a must-have application for the new IBM PC. youtube.com/embed/ooWJhdV7Ei8?… There were other contenders, each with its own claims to fame. Innovative Software’s SMART suite, for example, was among the first spreadsheets that let you have formulas that crossed “tabs.” It could also recalculate repeatedly until meeting some criteria, for example, recalculate until cell X20 is less than zero. Probably the first spreadsheet that could handle multiple sheets to form a “3D spreadsheet” was BoeingCalc. Yes, Boeing like the aircraft. They had a product that ran on PCs or IBM 4300 mainframes. It used virtual memory and could accommodate truly gigantic sheets for its day. It was also pricey, didn’t provide graphics out of the box, and was slow. The Infoworld’s standard spreadsheet took 42.9 seconds to recalculate, versus 7.9 for the leading competitor at the time. Quatro Pro from Borland was also capable of large spreadsheets and provided tabs. It was used more widely, too. youtube.com/embed/EWzgo0H2Ff8?… Then Came Microsoft Of course, the real measure of success in software is when the lawsuits start. In 1987, Lotus sued two spreadsheet companies that made very similar products (TWIN and VP Planner). Not to be outdone, VisiCalc’s company (Software Arts) sued Lotus. Lotus won, but it was a pyrrhic victory as Microsoft took all the money off the table, anyway. Before the lawsuits, in 1985, Microsoft rolled out Excel for the Mac. By 1987, they also ported it to the fledgling Windows operating system. Of course, Windows exploded — make your own joke — and by the time Lotus 1-2-3 could roll out Windows versions, they were too late. By 2013, Lotus 1-2-3, seemingly unstoppable a few years earlier, fell to the wayside. There are dozens of other spreadsheet products that have come and gone, and a few that still survive, such as OpenOffice and its forks. Quattro Pro remains available (as part of WordPerfect). You can find plenty of spreadsheet action in any of the software or web-based “office suites.” Today and the Future While Excel is 40, it isn’t even close to the oldest of the spreadsheets. But it certainly has kept the throne as the most common spreadsheet program for a number of years. Many of the “power uses” of spreadsheets, at least in engineering and science, have been replaced by things like Jupyter Notebooks that let you freely mix calculations with text and graphics along with code in languages like Python, for example. If you want something more traditional that will still let you hack some code, try Grist. We have to confess that we’ve abused spreadsheets for DSP and computer simulation. What’s the worst thing you’ve done with a spreadsheet? hackaday.com/2025/12/15/a-brie…

Guerre di Rete - Ecco il nostro nuovo ebook @npub1vje7...y8ga Si intitola Manualetto di sicurezza digitale per giornalisti e attivisti. #GuerreDiRete è la newsletter curata da @npub160nw...cdr3 guerredirete.substack.com/p/gu…

Il DPO Sottovalutato: Una Minaccia Peggiore dell’Incompetenza IT, Ecco Perché Quando il DPO si improvvisa IT e dintorni, è sicuramente un bel problema. Ma un problema ancora peggiore c’è nel momento in cui la figura professionale viene sottovalutata, con quel tremendo lastricato di eccheccivuole che è ancor peggiore di quello delle buone intenzioni che tradizionalmente conduce all’inferno. Nel caso dell’organizzazione, la confusione dei ruoli e delle funzioni è quella tempesta perfetta di una Direzione inerte (o ignorante) e di una serie di soggetti che mostrano una spiccata propensione all’esondazione. Questo significa che il perimetro d’azione non è solo sfumato ma rischia di diventare terreno di continui conflitti, con una dialettica interna decisamente sub ottimale in cui lo svilimento delle competenze altrui solitamente si mescola con un continuo scarico di responsabilità. Ecco dunque che il DPO diventa un personaggio in cerca non solo d’autore ma di un ruolo vero e proprio, dal momento che manca una consapevolezza e un riconoscimento tanto in relazione alle competenze che all’apporto concreto nel miglioramento degli assetti dell’organizzazione. Non è un caso raro che talvolta il ruolo del DPO venga sottovalutato sia per quanto riguarda l’aspetto delle competenze richieste che dell’apporto nei confronti dell’organizzazione (o, più precisamente, della data maturity). Con il naufragio di ogni buon proposito astratto di integrarlo all’interno dell’organizzazione, dal momento che manca non solo una comprensione del suo ruolo ma soprattutto anche il giusto riconoscimento. Qualcuno potrà dirsi sorpreso, ma in fondo dal 2018 sono trascorsi soltanto 7 anni celebrativi del GDPR. Eufemisticamente parlando, ci sono ancora così tanti spunti di miglioramento senza contare le complicazioni che deriveranno dal Digital Omnibus. L’importanza del riconoscimento. Nell’attribuzione di ruoli e responsabilità, l’azione di riconoscimento da parte dell’organizzazione inizia con l’impegno della Direzione nel garantire la posizione e i presidi individuati dall’art. 38 GDPR. Motivo per cui una Direzione non consapevole è spesso la prima causa dell’inefficacia d’azione del DPO, con una designazione destinata a rimanere una mera formalità. A beneficio di chi accumula incarichi attendendosi un coinvolgimento minimo se non addirittura nullo, con buona pace di ogni garanzia per gli interessati in concreto. Nel momento in cui l’azione del DPO è riconosciuta come apporto utile all’organizzazione, è possibile costruire sinergie e convergenze per il rafforzamento della data maturity. Evitando non solo una dispersione di risorse ma anche un impiego delle stesse divergente rispetto alla realizzazione di quegli obiettivi indicati dalla normativa in materia di protezione dei dati personali. Certamente, questo richiede però un impegno anche da parte del DPO. Il valore della proattività. Sin dal momento in cui il DPO viene designato, è bene infatti che vada a chiarire (con la Direzione, ma anche con le ulteriori funzioni) il perimetro della propria operatività e, soprattutto, la propria capacità di intervento a vantaggio degli obiettivi dell’organizzazione. Per farlo, non sono sufficienti le sole hard skill ma è necessario che concorrano anche una serie di abilità trasversali, fra cui leadeship e comunicazione, fondamentali affinché l’apporto positivo possa trovare l’opportunità di realizzarsi. Altrimenti, anche il DPO più competente nella protezione dei dati personali, sarà percepito come un elemento non integrato o di disturbo. Ovviamente la responsabilità per garantire la continuità d’azione è e rimane in capo all’organizzazione, la quale dovrà pertanto porre particolare attenzione a selezionare e verificare l’operato del DPO designato al fine di agevolarne la capacità di integrarsi. Nel momento in cui invece si sceglie di avere solo un DPO sulla carta, di fatto si accetta il rischio non solo di vedersi contestata una violazione dell’art. 38 GDPR ma anche tutta la serie di violazioni che si sarebbero ben potute evitare attraverso il coinvolgimento adeguato e il corretto svolgimento di un’attività di sorveglianza. L'articolo Il DPO Sottovalutato: Una Minaccia Peggiore dell’Incompetenza IT, Ecco Perché proviene da Red Hot Cyber.

Australia: whatever you do, don't call it a ban IT'S MONDAY, AND THIS IS DIGITAL POLITICS. I'm Mark Scott, and after a few weeks of feeling burned out, I am now channeling this guy's energy for the final weeks of the year. Enjoy. — Australia's social media ban for teenagers is an imperfect solution to deal with social media harms. But it's better than doing nothing. — The White House wants to stop US states from overseeing most forms of artificial intelligence. It's a move other countries should be wary of. — How do the leading AI models rank in terms of publishing data on how they work? Here are the stats. Let's get started. digitalpolitics.co/newsletter0…

Mass Spectrometer Tear Down If you have ever thought, “I wish I could have a mass spectrometer at home,” then we aren’t very surprised you are reading Hackaday. [Thomas Scherrer] somehow acquired a broken Brucker Microflex LT Mass Spectrometer, and while it was clearly not working, it promised to be a fun teardown, as you can see in the first part of the video below. Inside are lasers and definitely some high voltages floating around. This appears to be an industrial unit, but it has a great design for service. Many of the panels are removable without tools. The construction is interesting in that it looks like a rack, but instead of rack mounting, everything is mounted on shelves. The tall unit isn’t just for effect. The device has a tall column where it measures the sample under test. The measurement is a time of flight so the column has to be fairly long to get results. The large fiber laser inside produces a 100 kW pulse, which sounds amazing, but it only lasts for 2.5 ns. There’s also a “smaller” 10W laser in the unit. There are also vacuum pumps and other wizardry inside. Check out the video and get a glimpse into something you aren’t likely to have a chance to tear into yourself. There are many ways to do mass spectrometry, and some of them are things you could build yourself. We’ve seen it done more than once. youtube.com/embed/hTTPhed7Ghk?… hackaday.com/2025/12/15/mass-s…

Shakerati Anonimi: L’esperienza di Giorgio e la truffa che ha divorato suo Padre Salve ragazzi, mi chiamo Giorgio, ho 58 anni, lavoro da sempre come tecnico amministrativo e, nella vita, sono sempre stato quello “razionale” della famiglia. Quello che controlla i conti, che non si fida delle telefonate strane, che dice a tutti “non cliccare link, non rispondere a numeri sconosciuti”. Eppure oggi sono qui, assieme a voi, non perché io abbia cliccato un link sbagliato… ma perché non sono riuscito a fermare una truffa che stava divorando mio padre. Mio padre ha 83 anni. È vedovo, vive solo, è orgoglioso e testardo come solo una persona della sua generazione può essere. Ha sempre gestito i suoi soldi con attenzione: pensione più che dignitosa, casa di proprietà, poche spese, una vita fatta di equilibrio. Io vivo all’estero, mio fratello abita vicino a lui e ogni tanto lo aiuta con le cose pratiche. Tutto è iniziato in modo quasi invisibile. Qualche email “strana“, qualche telefonata che lui liquidava con un “sono quelli della banca” o “uno che mi deve aiutare a sbloccare dei soldi”. All’inizio non ci abbiamo dato troppo peso. Poi, un anno fa, lo abbiamo colto in flagrante: mio fratello aveva accesso alle sue email e ha visto scambi continui con sedicenti intermediari, consulenti, benefattori. Promesse di somme enormi in cambio di piccoli anticipi. Classica truffa, textbook scam. Lo abbiamo convinto a denunciare. Siamo andati dai carabinieri. Addirittura uno dei truffatori ha chiamato mentre eravamo lì. Minacce velate, tentativi di intimidazione. Ma, alla fine, nulla di concreto. Un cambio di numero, password nuove, e la sensazione – sbagliata – che fosse finita lì. Non era finita per niente. Qualche mese dopo, mio padre ha iniziato a comportarsi in modo strano. Ha chiesto soldi in prestito a mio fratello. Non lo aveva mai fatto in vita sua. Mai. È stato lì che abbiamo capito che qualcosa non tornava. Abbiamo controllato di nuovo le email: i truffatori erano tornati. O forse non se ne erano mai andati. Quando lo abbiamo affrontato, ha negato tutto. Classico schema: negazione, minimizzazione, silenzio. Come se ammettere la truffa fosse peggio della truffa stessa. Nel frattempo, il conto era praticamente prosciugato. Risparmi di una vita evaporati in bonifici, ricariche, promesse di “ultimi pagamenti” per sbloccare somme mai esistite. La paura più grande, a quel punto, non era nemmeno il conto corrente. Era il passo successivo: i buoni fruttiferi postali, l’ultimo salvagente. Abbiamo provato a chiedergli di cointestare il conto. Rifiuto totale. Orgoglio. Paura di perdere il controllo. Paura, forse, di ammettere di non averlo più. Alla fine abbiamo fatto la cosa più dura: gli abbiamo sequestrato il telefono per limitare i danni e contattato un avvocato. Amministrazione di sostegno. Una parola che pesa come un macigno, ma che a volte è l’unico modo per salvare una persona… anche da sé stessa. Ecco perché sono qui. Non come vittima diretta di phishing, smishing o vishing. Ma come vittima collaterale di una truffa di lungo periodo, costruita sulla solitudine, sull’età, sulla fiducia e sulla vergogna. Sono qui perché il silenzio è il miglior alleato dei truffatori. Perché ogni storia non raccontata diventa un manuale operativo per chi sfrutta le fragilità altrui. Perché la vergogna non protegge, isola. E l’isolamento è terreno fertile per chi promette aiuti, guadagni, soluzioni miracolose. Sono qui perché condividere non è esporre una debolezza, ma rompere un incantesimo. È togliere potere a chi vive nell’ombra, a chi costruisce castelli di menzogne mattone dopo mattone, approfittando di chi ha meno strumenti per difendersi. Raccontare queste storie serve a lasciare tracce, segnali, anticorpi collettivi. Serve a dire a chi sta vivendo la stessa cosa: non sei stupido, non sei solo, non è colpa tua. Serve a ricordarci che dietro ogni truffa non ci sono solo numeri, ma famiglie che si rompono, fiducie che si incrinano, dignità che vengono erose lentamente. Se anche una sola persona, leggendo queste parole, riconoscerà un campanello d’allarme prima che sia troppo tardi, allora questa condivisione avrà avuto senso. Perché la vera prevenzione non nasce dai sistemi, dai codici o dagli algoritmi. Nasce dal coraggio di raccontare ciò che fa male. Lesson learned La storia di Giorgio ci insegna alcune cose fondamentali: Le truffe non colpiscono solo l’ignoranza tecnologica, ma la fragilità emotiva Solitudine, lutto, età avanzata e bisogno di sentirsi ancora “in controllo” sono vettori di attacco potentissimi. La negazione è parte integrante della truffa La vittima spesso difende il truffatore, mente ai familiari e continua a pagare pur di non ammettere l’errore. Non esiste la “truffa una tantum” Quando un truffatore aggancia una vittima, tende a sfruttarla nel tempo, spremendo ogni risorsa disponibile. La prevenzione è anche familiare, non solo tecnica Accesso condiviso alle email, alert sui conti, limiti operativi, dialogo continuo e – nei casi estremi – strumenti legali come l’amministrazione di sostegno. Prima si interviene, meno si perde Ogni mese di ritardo significa più soldi persi e più potere psicologico in mano ai criminali. Prevedere tutto questo è possibile, osservando i segnali deboli: richieste di segretezza, promesse di guadagni irrealistici, richieste di “anticipi”, isolamento dalla famiglia, rifiuto di confrontarsi. Le truffe moderne non bucano i sistemi informatici. Bucano le persone. E quando succede, non basta dire “te l’avevo detto”. Serve agire. Anche quando fa male. Genesi dell’articolo L’articolo è stato ispirato da una truffa reale, condivisa da un utente su Reddit. A questa persona va tutto il nostro conforto: il suo coraggio nel raccontare ciò che ha vissuto permette ad altri di riconoscere i segnali, proteggersi e imparare dall’esperienza che ha affrontato. L'articolo Shakerati Anonimi: L’esperienza di Giorgio e la truffa che ha divorato suo Padre proviene da Red Hot Cyber.

Dalle VPN ai desktop remoti: i bug Windows che non smettono mai di sorprendere I servizi di Windows dedicati alle connessioni remote hanno da sempre rappresentato una fonte inesauribile di “soddisfazioni” per chi si occupa di sicurezza informatica, rivelando vulnerabilità di enorme impatto. Tra gli esempi più noti c’è EternalBlue, scoperto e tenuto segreto per cinque anni dall’NSA, prima di essere rubato dal gruppo Shadow Brokers e utilizzato per l’epidemia globale di WannaCry nel 2017, che ha infettato milioni di computer e causato danni ingenti a enti pubblici e aziende private. Un altro caso emblematico è stato BlueKeep, una vulnerabilità presente nel servizio RDP di Windows che permetteva l’esecuzione remota di codice senza autenticazione su sistemi non aggiornati. Questi episodi dimostrano quanto i servizi di gestione delle connessioni remote possano diventare rapidamente un terreno fertile per exploit critici, evidenziando il ruolo strategico di questi componenti nella sicurezza complessiva dei sistemi Windows. Esiste una falla di sicurezza estremamente grave nel servizio Windows Remote Access Connection Manager (RasMan) che permette a malintenzionati con accesso locale di attivare codice a loro scelta con diritti di amministratore di sistema. Nel corso dell’esame della vulnerabilità CVE-2025-59230, che Microsoft ha trattato negli aggiornamenti di sicurezza dell’ottobre 2025, gli specialisti di sicurezza di 0patch hanno individuato una serie complessa di exploit, i quali si appoggiano a una falla zero-day secondaria e finora ignota per operare in maniera efficiente. La vulnerabilità principale, CVE-2025-59230, riguarda il modo in cui il servizio RasMan gestisce gli endpoint RPC. All’avvio, il servizio registra un endpoint specifico di cui altri servizi privilegiati si fidano. I ricercatori di 0patch hanno scoperto che se RasMan non è in esecuzione, un aggressore può registrare prima questo endpoint. Una volta che i servizi privilegiati tentano di connettersi, comunicano inconsapevolmente con il processo dell’aggressore, consentendo l’esecuzione di comandi dannosi. Tuttavia, sfruttare questa condizione di competizione è difficile perché RasMan in genere si avvia automaticamente all’avvio del sistema, non lasciando agli aggressori alcuna finestra di opportunità per registrare prima l’endpoint. Per aggirare questa limitazione, l’exploit scoperto sfrutta una seconda vulnerabilità non ancora patchata. Questa falla zero-day consente a un utente non privilegiato di bloccare intenzionalmente il servizio RasMan. L’arresto anomalo è causato da un errore logico nel codice relativo a una lista concatenata circolare. Il servizio tenta di attraversare la lista ma non riesce a gestire correttamente i puntatori NULL, causando una violazione dell’accesso alla memoria . Arrestando il servizio, gli aggressori possono forzarne l’arresto, rilasciare l’endpoint RPC e successivamente attivare la catena di exploit CVE-2025-59230 per ottenere l’accesso al sistema. Microsoft ha rilasciato patch ufficiali per la falla di elevazione dei privilegi (CVE-2025-59230). Tuttavia, la vulnerabilità di crash del servizio utilizzata per facilitare l’attacco non era stata ancora corretta nei canali ufficiali al momento della scoperta. 0patch ha rilasciato delle micropatch per risolvere questo problema di crash sulle piattaforme supportate, tra cui Windows 11 e Server 2025. Si consiglia agli amministratori di applicare immediatamente gli aggiornamenti di Windows di ottobre 2025 per mitigare il rischio di escalation dei privilegi principali. L'articolo Dalle VPN ai desktop remoti: i bug Windows che non smettono mai di sorprendere proviene da Red Hot Cyber.

Deauth attack: l’arma più comune contro le reti Wi-Fi domestiche Il Deauth attack è uno degli attacchi più noti e storicamente utilizzati contro reti WPA2-Personal, soprattutto come fase preparatoria per altri attacchi. Sfrutta diverse vulnerabilità intrinseche nel processo d’autenticazione che permettono all’attaccante, tra le altre cose, di estrapolare alcuni dati utilizzabili per il cracking della chiave. È efficace contro la quasi totalità delle reti WPA2 standard IEEE 802.11. L’efficienza dell’attacco allo scopo di ottenere la chiave di autenticazione è proporzionale alle risorse hardware dell’attaccante ed inversamente proporzionale alla complessità della chiave d’autenticazione. Può essere lanciato da qualsiasi dispositivo dotato del giusto software e di una scheda di rete compatibile che supporti la monitor mode (una modalità che permette di operare la scheda wireless a più basso livello, avendo così più controllo sull’hardware). Panoramica Glossario: AP: Access point (comunemente router Wi-Fi) Client: Il dispositivo che intende connettersi Cos’è il Deauth Attack Il Deauth attack è un attacco informatico il cui scopo principale è quello di forzare la deautenticazione, e quindi la disconnessione, anche temporanea, di uno o più dispositivi Client da una rete Wi-Fi. Obbiettivi Gli obbiettivi di questo attacco possono essere di vario genere e natura. Il più elementare è quello di indurre un disservizio nella rete interrompendo la comunicazione tra questa ed i dispositivi ad essa collegati. In questo caso l’attacco ricade sotto la categoria dei DoS (Denial of Service). Un altro caso in cui si vede utilizzato questo attacco è in combinazione con un Evil Twin attack. Si tratta di un altro attacco informatico ai danni di una rete Wi-Fi e dei dispositivi ad essa connessi che consiste nell’installazione di una rete Wi-Fi apparentemente identica all’originale allo scopo di indurre i dispositivi a connettersi ad essa per perpetrare poi ulteriori attacchi come lo sniffingdel traffico e la manipolazione delle informazioni trasmesse (MITM). Lo scopo più comune del Deauth attack, tuttavia, è quello di indurre una disconnessione forzata allo scopo di ascoltare e registrare il processo di autenticazione che avviene tra i client e l’access point durante la successiva autenticazione. Questo attacco verrà particolarmente approfondito nell’articolo. L’autenticazione Glossario: AP: Access point (comunemente router Wi-Fi) Client: Il dispositivo che intende connettersi Supplicant: Il client, durante l’autenticazione PSK: Passphrase o password Pacchetto: dato trasmesso (terzo livello OSI) Frame: dato trasmesso (secondo livello OSI) Canale radio: intervallo di frequenze radio definito Richiesta di autenticazione: Per comprendere appieno questo attacco, è necessario conoscere il processo di autenticazione delle reti WPA2 personal. Dopo alcune fasi preliminari non dettagliate in questo articolo (Beacon, Probe request, associazione…) ha inizio il vero e proprio processo di autenticazionecon la richiesta da parte del supplicant verso l’AP tramite l’invio di un frame “Authentication request” (da ora semplicemente “request”). Questo frame viene trasmesso sul canale radio dedicato alla connessione Wi-Fi (2.4GHz / 5Ghz) ed innesca il processo di seguito descritto. L’handshake Il cuore dell’autenticazione è senza dubbio la negoziazione che avviene tra il Client e l’AP allo scopo di dimostrare che il Client possiede la chiave d’accesso. Questo dialogo prende il nome di 4 way handshake e può essere così sintetizzato: MESSAGGIO 1 – ANONCE ED INIZIO DELLA DERIVAZIONE Il 4-way handshake inizia quando l’Access Point (AP), chiamato Authenticator, invia al client (Supplicant) il primo frame “EAPOL-Key” contenente il proprio dato “ANonce” (Authenticator Nonce), un numero casuale di 256 bit (32 byte) generato sul momento dall’AP. Questo frame contiene anche il Replay Counter (8 byte), numero che serve ad identificare in modo univoco ogni messaggio dell’handshake ed evitare replay (messaggi duplicati). MESSAGGIO 2 – CALCOLO DELLA PTK ED INVIO DEL SNonCE Il client genera ora il proprio SNonce (Supplicant Nonce), anch’esso di 256 bit, in modo casuale e non riutilizzabile. Con entrambi i nonce e con le altre informazioni note, il client calcola la PTK (Pairwise Transient Key, una chiave di cifratura temporanea). La PTK è derivata da una funzione pseudo-casuale definita nello standard IEEE 802.11i, chiamata PRF (Pseudo-Random Function). La formula generale è: PTK = PRF(PMK, “Pairwise key expansion”, Min(MAC_AP, MAC_STA) ‖ Max(MAC_AP, MAC_STA) ‖ Min(ANonce, SNonce) ‖ Max(ANonce, SNonce)) dove: PMK (Pairwise Master Key) è una chiave di 256 bit ottenuta dalla passphrase (in WPA2-Personal) tramite PBKDF2-HMAC-SHA1(Password, SSID, 4096, 256). La stringa “Pairwise key expansion” è un’etichetta fissa che serve come diversificatore per la PRF. MAC_AP e MAC_STA sono gli indirizzi MAC dell’AP e del client. L’uso di Min e Max garantisce che entrambe le parti concatenino i valori nello stesso ordine, indipendentemente da chi esegue il calcolo. Queste funzioni sono infatti di ordinamento e restituiscono il primo (MIN) e l’ultimo (MAX) indirizzo MAC secondo l’ordine alfabetico. La PTK è lunga 384 bit (48 byte) che vengono suddivisi in tre sottochiavi: KCK (Key Confirmation Key, 128 bit) → per il calcolo del MIC. KEK (Key Encryption Key, 128 bit) → per cifrare le chiavi nel messaggio 3. TK (Temporal Key, 128 bit) → per cifrare il traffico unicast successivo. Il client calcola poi un MIC (Message Integrity Code) sul messaggio “EAPOL-Key” usando la KCK secondoMIC=HMAC-SHA1(KCK, EAPOL-Frame) ed invia il secondo frame all’AP. In questo messaggio sono inclusi: SNonce, Replay Counter aggiornato ed il MIC. La presenza del MIC dimostra all’AP che il client possiede la PMK valida, poiché senza di essa il calcolo della PTK e di conseguenza del MIC non sarebbe possibile. MESSAGGIO 3 – VERIFICA E DISTRIBUZIONE DELLA GTK L’AP, ricevendo il messaggio 2, possiede tutto il necessario per calcolare la PTK in modo identico al client (ha PMK, ANonce, SNonce, MAC_AP e MAC_STA). Verifica quindi il MIC ricevuto: se è corretto, l’AP sa che il client possiede la PMK e valida l’autenticazione. A questo punto, l’AP installa localmente la PTK e genera o seleziona la GTK (Group Temporal Key, generata dall’AP come numero di 128bit pseudocasuale), usata per il traffico multicast e broadcast. La GTK viene cifrata con la KEK (parte della PTK) per impedirne la lettura da parte di terzi. Il messaggio 3, inviato dall’AP al client, contiene quindi: Il Replay Counter aggiornato. Il campo “Key Information” con flag impostati per indicare che la GTK è inclusa. Il campo “Key Data”, dove la GTK è cifrata con KEK. Un nuovo MIC, calcolato con la KCK. Questo messaggio serve sia a consegnare la GTK, sia a confermare la validità della PTK calcolata da entrambe le parti. MESSAGGIO 4 – CONFERMA FINALE DEL CLIENT Il client, ricevuto il messaggio 3, decifra il campo Key Data usando la KEK e ottiene la GTK. Dopo aver verificato il MIC, installa la PTK e la GTK nella propria interfaccia radio per abilitare la cifratura del traffico (ad esempio con AES-CCMP). Infine invia il quarto messaggio, che contiene solo un MIC calcolato con la KCK ed il Replay Counter incrementato, come conferma della corretta ricezione e installazione delle chiavi. A questo punto, sia AP che STA condividono la stessa PTK (per il traffico unicast) e la stessa GTK (per il traffico multicast). Il 4-way handshake termina e la connessione cifrata WPA2 è pronta a trasmettere dati in modo sicuro. La deautenticazione Glossario: Checksum: codice, calcolato sulla base del contenuto del dato trasmesso, utile per rilevare interferenze nella trasmissione Il primo passo del Deauth attack (dopo alcune operazioni preliminari atte ad individuare la rete target) è la deautenticazione forzata di uno o più client dalla rete. Questo può essere fatto tramite l’invio di un frame deauth. Questo frame è legittimamente utilizzato per “espellere” un dispositivo dalla rete in caso di necessità costringendolo ad autenticarsi nuovamente, ad esempio in seguito ad una nuova generazione delle chiavi, in caso di inattività prolungata, o per rispettare una policy interna. Il Deauth frame I Deauth frames, appartenenti ai Management Frames, non sono in alcun modo cifrati nelle reti WPA2 perché non considerati possibile vettore d’attacco al tempo della definizione dello standard 802.11 (che definisce la maggioranza delle reti WPA2 oggi attive), e per questo la loro falsificazione è molto semplice. Ad oggi esiste uno standard che mitiga questa vulnerabilità (802.11w), ma tuttora quasi inutilizzato. Il Deauth frame è composto da: Un header contenente: Un dato “frame control” di 2 bytes che identifica il tipo (in questo caso, management frame) ed il sottotipo (in questo caso, deauthentication) del frame Un dato “duration” di due bytes che indica il tempo per il quale il canale sarà occupato Un dato “destination address” di 6 bytes che indica l’indirizzo MAC del destinatario a cui è rivolto il frame Un dato “source address” di 6 bytes che indica l’indirizzo MAC del mittente (facilmente falsificabile) Un dato “BSSID” che indica il nome della rete a cui il frame si riferisce Un dato “sequence control” utile per il controllo dell’ordine dei pacchetti ricevuti E da un body (corpo del messaggio) contenente: Un dato “reason code” di 2 bytes che indica il motivo della deautenticazione (non importante ai fini dell’attacco) Un dato “frame check sequence” di 4 bytes che contiene un checksum del frame L’invio del frame L’attacco ha inizio con l’invio, spesso in broadcast, di uno o più deauth frames. Il frame viene quasi sempre inviato falsificando l’indirizzo MAC dell’AP, salvo in caso di alcune configurazioni estremamente rare, probabilmente non più esistenti, non coperte da questo articolo. I client autenticati e connessi accettano il frame e si deautenticano. La cattura dell’handshake Dopo un certo tempo dalla deautenticazione (tipicamente alcuni secondi), i client tentano automaticamente di riautenticarsi (salvo diversa impostazione manuale da parte dell’utente, rara negli smartphone e nei dispositivi IoT). A questo punto, l’attaccante può ascoltare i canali radio e registrare la negoziazione che avviene tra i client (in questo momento “supplicant”) e L’AP. Il cracking della passphrase Purtroppo per l’attaccante, i dati trasmessi che hanno a che fare con la chiave (password o passphrase) sono frutto di algoritmi non reversibili. Questo significa che non è possibile ottenere la PSK invertendo l’operazione partendo da un risultato. È possibile tuttavia procedere per tentativi, introducendo il concetto di bruteforcing. Il bruteforcing Conosciuto anche come attacco bruteforce, a volte erroneamente tradotto in attacco di forza bruta, è uno dei più elementari attacchi informatici. Può essere perpetrato contro ogni dato la cui cifratura si basa sull’utilizzo di un secret (un dato che funge da chiave per la decrittazione, come un PIN, una password, un token…). Consiste nel compiere numerosi tentativi in rapida sequenza allo scopo di indovinare il secret richiesto. Nella forma più elementare, il secret viene generato da un algoritmo pseudocasuale. In altre forme più sofisticate, il secret può essere estratto da una lista di probabili candidati detta wordlist. In quest’ultimo caso, l’attacco prende il nome di “attacco dizionario”. Esistono ulteriori forme di attacco bruteforce. È importante dire che, senza limiti di tempo e/o di risorse, il brute force attack ha il 100% di probabilità di crackare il secret. La ricostruzione della chiave L’attacco bruteforce viene in questo caso utilizzato per crackare la PSK. Lo si fa ricostruendo l’handshake registrato, simulandolo localmente tante volte in rapida sequenza, ogni volta utilizzando una nuova chiave candidata, che può essere generata casualmente o letta da una wordlist. Per ogni chiave candidata viene quindi calcolata la PMK, dunque la PTK ed il MIC, il quale viene confrontato con quello registrato durante la cattura dell’handshake autentico. Nel caso in cui uno dei tentativi porti ad una corrispondenza dei due MIC, la chiave candidata viene considerata vincitrice. Post exploitation Glossario: Backdoor: punto di accesso persistente installato da un attaccante allo scopo di collegarsi al sistema violato con maggiore semplicità In seguito ad un attacco deauth andato a segno, l’attaccante può utilizzare l’accesso alla rete per i propri scopi. È tipico bersagliare infrastrutture interne come server locali, computer, dispositivi di rete. Essendo la rete wireless locale di difficile accesso, poiché richiede vicinanza fisica tra l’interfaccia radio dell’attaccante e l’AP, solitamente si utilizza per accedere più facilmente ad altri dispositivi sui quali installare una backdoor attraverso la quale accedere tramite Internet o altra rete di più semplice utilizzo. Strumenti Esistono numerosi strumenti utili all’esecuzione del Deauth attack. Tra i più conosciuti e storici troviamo Aircrack-ng (contenente Airmon-ng ed Aireplay-ng) ed MDK4 per la deautenticazione, mentre Hashcat e John the ripper per il cracking. Alternative più complete e moderne come Airgeddon automatizzano il processo ed includono tutti i software menzionati. L'articolo Deauth attack: l’arma più comune contro le reti Wi-Fi domestiche proviene da Red Hot Cyber.