The Miracle of Color TV

We’ve often said that some technological advancements seemed like alien technology for their time. Sometimes we look back and think something would be easy until we realize they didn’t have the tools we have today. One of the biggest examples of this is how, in the 1950s, engineers created a color image that still plays on a black-and-white set, with the color sets also able to receive the old signals. [Electromagnetic Videos] tells the tale. The video below simulates various video artifacts, so you not only learn about the details of NTSC video, but also see some of the discussed effects in real time.

Creating a black-and-white signal was already a big deal, with the video and sync presented in an analog AM signal with the sound superimposed with FM. People had demonstrated color earlier, but it wasn’t practical for several reasons. Sending, for example, separate red, blue, and green signals would require wider channels and more complex receivers, and would be incompatible with older sets.

The trick, at least for the NTSC standard, was to add a roughly 3.58 MHz sine wave and use its phase to identify color. The amplitude of the sine wave gave the color’s brightness. The video explains why it is not exactly 3.58 MHz but 3.579545 MHz. This made it nearly invisible on older TVs, and new black-and-white sets incorporate a trap to filter that frequency out anyway. So you can identify any color by providing a phase angle and amplitude.

The final part of the puzzle is to filter the color signal, which makes it appear fuzzy, while retaining the sharp black-and-white image that your eye processes as a perfectly good image. If you can make the black-and-white signal line up with the color signal, you get a nice image. In older sets, this was done with a short delay line, although newer TVs used comb filters. Some TV systems, like PAL, relied on longer delays and had correspondingly beefier delay lines.

There are plenty of more details. Watch the video. We love how, back then, engineers worried about backward compatibility. Like stereo records, for example. Even though NTSC (sometimes jokingly called “never twice the same color”) has been dead for a while, we still like to look back at it.

youtube.com/embed/EPQq7xd3WdA?…

hackaday.com/2025/12/18/the-mi…

Zero-day nei firewall WatchGuard: Una RCE senza login è già sotto sfruttamento

Una vulnerabilità zero-day critica, identificata come CVE-2025-14733, ha messo in ginocchio gli amministratori di rete, costringendoli a una corsa contro il tempo per proteggere i loro sistemi.

Questa falla, con un punteggio CVSS di 9,3 rilevata sui firewall WatchGuard, è davvero pericolosa: consente ad aggressori non autenticati di eseguire codice arbitrario e assumere il controllo dei firewall aziendali.

E il fatto che gli autori delle minacce stiano già tentando di sfruttare questa vulnerabilità non fa che aumentare l’allarme. Vediamo quindi di capire meglio cosa sta succedendo e come questa vulnerabilità possa essere sfruttata dagli aggressori.

Il processo iked, che gestisce le negoziazioni IKEv2 (Internet Key Exchange) per le VPN, presenta una vulnerabilità che risiede nella sua capacità di essere sfruttata per eseguire operazioni non previste. Gli aggressori possono, da remoto, causare un errore di tipo “Out-of-bounds Write”, il quale comporta la corruzione della memoria. Questa falla permette agli attaccanti di influenzare il comportamento del sistema.

Inviando pacchetti dannosi appositamente creati all’interfaccia VPN del firewall, un aggressore può bloccare il servizio o, peggio, iniettare i propri comandi con privilegi a livello di sistema.

Ciò che rende questa vulnerabilità particolarmente insidiosa è la sua persistenza. Prende di mira le configurazioni VPN per utenti mobili e VPN per filiali che utilizzano IKEv2. Tuttavia, disattivare semplicemente la funzionalità potrebbe non essere sufficiente.

L’avviso mette in guardia da uno scenario di configurazione “zombie”: “Se Firebox era precedentemente configurato con la VPN dell’utente mobile con IKEv2… ed entrambe le configurazioni sono state successivamente eliminate, Firebox potrebbe essere ancora vulnerabile se è ancora configurata una VPN di filiale verso un peer gateway statico”.

WatchGuard ha rilasciato specifici indicatori di attacco (IoA) per aiutare i difensori a capire se sono già sotto attacco. Gli aggressori lasciano impronte digitali nei log. Un segnale rivelatore di un tentativo di exploit è un payload di certificato insolitamente grande.

Inoltre, i seguenti indirizzi IP sono stati direttamente collegati alla campagna di sfruttamento attiva: 45.95.19[.]50, 51.15.17[.]89, 172.93.107[.]67, 199.247.7[.]82. La vulnerabilità interessa un’ampia gamma di versioni del sistema operativo Fireware, tra cui 12.x e 2025.1. WatchGuard ha rilasciato versioni con patch (2025.1.4, 12.11.6 e 12.5.15) e sollecita aggiornamenti immediati.

Tuttavia, applicare una patch al software è solo il primo passo. Poiché la falla consente la compromissione totale del dispositivo, un dispositivo con patch potrebbe comunque nascondere segreti rubati.

L'articolo Zero-day nei firewall WatchGuard: Una RCE senza login è già sotto sfruttamento proviene da Red Hot Cyber.

Україною править секта психопатів?

Здається, в Верховній Раді вирішили знову погратися з народом. Цього разу депутати і депутатикині підтримали закон про перейменування копійки в... шаг. Його розглянуть 27 грудня. Найбільшим їх обгрунтуванням є те, що так колись називали грошову одиницю в Україні і є навіть марки часів УНР з написом "шаг". Саме слово мовляв "питомо українське".... Що ж, давайте у цьому розбиратися.

spadok.org.ua/suspilstvo/v-rad…

#Україна #Ukraine #українці

Navigare nel Dark Web: distinzioni concettuali e il paradosso dell’anonimato

Dopo aver approfondito i delicati equilibri che vincolano gli operatori di Cyber Threat Intelligence(CTI) tra il GDPR e il rischio di Ricettazione, è fondamentale rivolgere l’attenzione a chiunque, spinto da mera curiosità o ricerca accademica, si avventuri nelle aree nascoste della rete. Il rischio penale, in questo contesto, è sproporzionato rispetto a qualsiasi altra attività onlinelecita, e la linea di confine tra un atto neutrale e l’illecito sfuma in modo pericoloso.

Come docente di Diritto penale dell’informatica, insisto sempre sulla distinzione concettuale. Il Deep Web costituisce la vasta maggioranza (circa il 90%) di Internet, ospitando archivi aziendali, database governativi e account privati protetti da credenziali di accesso: un ambiente che, se utilizzato correttamente, è relativamente legittimo e innocuo.

Il Dark Web, al contrario, è una sua porzione intenzionalmente celata, accessibile solo tramite software di anonimizzazione, come il browser Tor. La sua funzione duale è il fulcro del problema giuridico. Se da un lato offre rifugio a difensori della privacy e attivisti politici, dall’altro è il locus privilegiato per la compravendita di servizi criminali, ransomware e dati rubati.

La navigazione non è mai neutra

Nel Diritto penale italiano, l’atto tecnico di accedere al Dark Web non è intrinsecamente illegale; l’illegalità subentra solo con la specifica condotta e il contenuto acquisito. Tuttavia, la notorietà dell’ambiente come epicentro di attività illecite genera un intrinseco e elevato profilo di sospetto criminologico.

Ai miei studenti spiego che, in fase istruttoria, l’impiego di protocolli di anonimizzazione come Tor non è mai un elemento neutrale. Al contrario, tende a essere interpretato dall’Autorità Giudiziaria come un indizio a supporto di un animus nocendi o furandi. Questo è il primo, grave rischio che corre il navigatore curioso: essere sospettato di dolo solo in virtù del mezzo utilizzato.

Ma il pericolo maggiore, nella prassi forense, è il contatto involontario con illeciti materiali. Parliamo non solo dell’acquisto intenzionale, ma dell’esposizione o acquisizione non voluta di contenuti la cui semplice detenzione integra un reato. È incredibilmente facile, nel Dark Web, cadere vittime di trappole, malware o, peggio, finire nei guai a causa di file scaricati involontariamente, come materiale pedopornografico.La consapevolezza del contenuto, anche successiva all’acquisizione, è l’elemento che perfeziona il delitto di detenzione.

La normativa europea (NIS2 e DSA) tra maggiore tracciabilità e la prova dell’intenzione.

Il quadro normativo europeo, pur non puntando a punire la navigazione anonima, aumenta indirettamente il rischio di tracciabilità e responsabilità.

La Direttiva NIS2, che innalza il livello comune di cibersicurezza, riconosce esplicitamente il Dark Web come fonte primaria di minacce (come ransomware e credenziali rubate) per le infrastrutture critiche. Questo rafforza le capacità investigative congiunte. L”intelligence sul Dark Web, raccolta per fini difensivi, diventa un elemento prezioso per le indagini penali, rendendo più probabile che le tracce digitali, un tempo protette dall’anonimato, vengano acquisite e utilizzate a fini probatori.

Di notevole interesse è il Digital Services Act (DSA) che, nel vietare i dark pattern (pratiche manipolatorie nel design delle piattaforme), apre uno spiraglio difensivo cruciale. Come avvocato penalista, considero questa norma una potenziale leva per attenuare l’elemento psicologico del dolo. Se un sito onion utilizza tecniche ingannevoli per indurre l’utente a scaricare un programma malevolo o ad accedere a una sezione protetta, la manipolazione del processo decisionale autonomo può essere addotta come elemento per dimostrare l’assenza di coscienza e volontà nella commissione del reato.

Quando il curioso diventa criminale

La crisi della neutralità nel diritto italiano si manifesta nell’applicazione di specifiche fattispecie che non perdonano la “curiosità”.

L’Art. 615-ter c.p. punisce chiunque acceda abusivamente a un sistema protetto da misure di sicurezza o vi si mantenga contro la volontà del titolare. Il rischio è elevatissimo nel Dark Web, dove molti siti onion sono protetti e il locus è intrinsecamente ostile.

La giurisprudenza di legittimità ha chiarito che l’abusività della condotta si configura nella violazione oggettiva delle cautele di sicurezza, indipendentemente dal fine ultimo. Il doloè generico. E’ sufficiente la coscienza e volontà di entrare nel sistema protetto senza averne diritto. In sostanza, l’esplorazione, anche se motivata da intenti leciti o di studio, che comporti il superamento di misure di sicurezza, costituisce reato. L’intento di ricerca non è una scriminante.

Il legislatore ha anticipato la soglia di punibilità per intercettare il cyber crime nella fase preparatoria. Il vecchio Art. 615-quinquies c.p, ora 635 quater 1 , punisce il mero procurarsi programmi informatici, dispositivi o apparecchiature destinate a danneggiare sistemi o interromperne il funzionamento.

Questa norma è il “firewall penale” del nostro ordinamento. Il rischio per il navigatore che scarica un tool da un forum Dark Web, magari per testare una vulnerabilità sul proprio sistema (intentio non criminosa), è massimo. Il reato richiede il dolo specifico(agire con lo scopo di danneggiare o interrompere), ma la Procura può facilmente inferire questo dolo dalla natura oggettivamente illecita del locus di acquisizione e dalla specifica pericolosità dello strumento. L’onere di dimostrare la finalità lecita (ad esempio, ricerca accademica) si riversa integralmente sull’utente, che deve superare il forte sospetto generato dal contesto ambientale.

Come ho già avuto modo di sottolineare in precedenti scritti, la sanzione amministrativa passa in secondo piano di fronte al rischio penale di ricettazione(Articolo 648 c.p.) e, soprattutto, alla detenzione di materiale pedopornografico (Art. 600-quater c.p.). Il Garante Privacy ha, inoltre, esplicitamente messo in guardia: “scaricare dati dal dark web è reato”. Il possesso, anche temporaneo, di credenziali rubate o di merce illecita espone al rischio di ricettazione.

Per quanto riguarda la pedopornografia, il reato si consuma con la mera disponibilità del materiale, richiedendo il solo dolo generico (la consapevolezza del contenuto illecito). La facilità con cui si può inavvertitamente acquisire un file illecito in piattaforme aggressive rende la detenzione involontaria una difesa estremamente fragile, a meno di non dimostrare la totale e assoluta inconsapevolezza del contenuto.

Le best practice per isolare l’intento lecito dal dolo criminale

Per il navigatore non criminale, la prevenzione è l’unica vera difesa, e si articola in quattro capisaldi irrinunciabili. In primo luogo, la documentazione dell’intento. E’ imprescindibile documentare in modo scrupoloso e provabile la finalità lecita e legittima di ogni accesso o acquisizione, poiché la mera curiosità non regge il sospetto istruttorio. In secondo luogo, l’astensione assoluta dall’acquisizione di strumenti.Si deve evitare rigorosamente di procurarsi qualsiasi programma o exploit che ricada nell’Art 635 quater 1, primaart. 615-quinquies c.p. Terzo, la separazione tecnica. L”utilizzo costante di ambienti virtuali o sistemi operativi isolati per la navigazione Dark Web non solo previene la contaminazione di sistemi personali, ma limita l’estensione del sequestro probatorio a dati non pertinenti all’indagine. Infine, la consapevolezza del ontenuto. L”utente deve essere consapevole che l’ambiente è strutturato per l’inganno (dark pattern e trappole investigative) e che la detenzione di file la cui natura è oggettivamente illecita non ammette difese basate sulla non intenzionalità, ma solo sulla comprovata totale inconsapevolezza.

L'articolo Navigare nel Dark Web: distinzioni concettuali e il paradosso dell’anonimato proviene da Red Hot Cyber.

La prima CVE del codice Rust nel kernel Linux è già un bug critico

Il mondo della tecnologia è un vero e proprio campo di battaglia, dove i geni del coding sfidano ogni giorno i malintenzionati a colpi di exploit e patch di sicurezza. Ecco perché la recente scoperta di una vulnerabilità nel kernel Linux è una notizia che ha fatto scalpore nel mondo dell’informatica: una falla di sicurezza, ufficialmente riconosciuta come CVE-2025-68260, è stata individuata e corretta nel kernel Linux.

In pratica, questa vulnerabilità, riguardante il driver Android Binder riscritto in Rust, avrebbe potuto creare non pochi problemi agli utenti Linux, come crash di sistema nel caso peggiore. L’importanza della scoperta risiede nel fatto che rappresenta la prima CVE formalmente assegnata al codice Rust nel kernel principale.

Per chi fosse interessato ad approfondire la questione, Greg Kroah-Hartman è stato determinante per segnalare e risolvere il problema. Insomma, niente panico, la falla è stata fixata ma l’episodio offre spunti interessanti per chi è appassionato di sicurezza digitale e sviluppo del kernel Linux.

Al centro del bug c’è un’operazione non sicura all’interno dell’implementazione di Binder basata su Rust, in cui un elemento viene rimosso da una lista concatenata mentre un altro thread può manipolare contemporaneamente gli stessi puntatori prev/next. Il progetto presupponeva che un oggetto NodeDeath non sarebbe mai apparso in una lista “esterna”; in pratica, tuttavia, si è verificato uno scenario in cui lo stesso elemento poteva essere elaborato simultaneamente da più contesti.

Il problema derivava dalla logica di Node::release: veniva acquisito un blocco, tutti gli elementi venivano spostati in un elenco temporaneo basato su stack, il blocco veniva rilasciato e quindi l’elenco locale veniva attraversato. Se, in parallelo, un altro thread invocava una rimozione non sicura sull’elenco originale, si verificava una condizione di competizione che corrompeva i puntatori prev/next, causando infine corruzione della memoria e crash del kernel. Un esempio di errore citava “Impossibile gestire la richiesta di paging del kernel” nel modulo rust_binder.

La correzione ha comportato la riscrittura di Node::release per estrarre gli elementi direttamente dall’elenco originale, eliminando del tutto l’elenco intermedio basato sullo stack. Secondo il team CVE del kernel Linux, il problema è stato introdotto in Linux 6.18 (commit eafedbc7c050c44744fbdf80bdf3315e860b7513) e risolto in 6.18.1 (3428831264096d32f830a7fcfc7885dd263e511a), così come in 6.19-rc1 (3e0ae02ba831da2b707905f4e602e43f8507b8cc). Il file interessato è drivers/android/binder/node.rs.

Il team CVE del kernel Linux suggerisce fortemente di passare a una versione stabile del kernel corrente come strategia di riduzione dei rischi: le modifiche individuali non sono soggette a test distinti e l’applicazione mirata di patch non riceve supporto ufficiale. Qualora non sia possibile eseguire l’aggiornamento, è possibile individuare le correzioni adatte consultando i commit menzionati nel repository del ramo stabile.

L'articolo La prima CVE del codice Rust nel kernel Linux è già un bug critico proviene da Red Hot Cyber.

Ink Dragon alza l’asticella in Europa: ShadowPad su IIS, FinalDraft su Graph API

Questa notizia ci arriva dal feed News & Research di Recorded Future (Insikt Group): Check Point Research ha documentato una nuova ondata di attività attribuita al threat actor China-linked Ink Dragon, con un’espansione più marcata verso reti governative europee (non più “solo” Sud-Est asiatico e Sud America).

Ed è qui che il punto diventa scomodo: quando nel mirino ci sono i “government targets in Europe”, l’Italia non è un’eccezione folkloristica. È un target naturale: PA centrale e locale, difesa/fornitori, telco e tutto quell’indotto che vive di intranet, portali, documentali e “SharePoint che tanto è interno”. Spoiler: spesso non lo è.

Cosa sta facendo Ink Dragon (e perché è più fastidioso del solito)

Check Point descrive una catena operativa molto “pulita” e ripetibile: ingresso da web server esposti (IIS/SharePoint), movimento laterale, raccolta credenziali, escalation e poi due mosse chiave:

1) Trasformare le vittime in infrastruttura (relay network)
Ink Dragon usa un modulo ShadowPad su IIS (“ShadowPad IIS Listener”) per convertire server compromessi in nodi di una rete di relay: ogni nuovo server bucato diventa un “hop” che inoltra traffico e comandi, rendendo più difficile capire origine e direzione del C2. In pratica, un ente compromesso può diventare il ponte per operazioni contro altri enti.

2) Stabilizzare la persistenza con FinalDraft e C2 “cloud-native”
La variante osservata di FinalDraft porta la mimetizzazione a un livello superiore: abusa Microsoft Graph API per scambiare comandi e output dentro bozze di email (mailbox drafts). Tradotto: a livello rete puoi vedere traffico che assomiglia a normalissima attività Microsoft 365/Graph e quindi passa in mezzo a whitelist, proxy “permissivi” e controlli superficiali.

L’ingresso: IIS misconfigurati, machineKey e la scia di ToolShell

Qui arriva la parte “triste ma vera”: Ink Dragon continua a monetizzare (in chiave spionaggio) errori noti da anni: ASP.NET machineKey prevedibili o mal gestite e attacchi di ViewState deserialization su IIS/SharePoint.

Quando invece si parla di ToolShell su SharePoint on-prem, la musica la conosciamo già dal 2025: sfruttamento in the wild, PoC pubblici, scanning di massa e catena che porta a webshell/estrazione chiavi/possibile RCE. In Italia, diversi bollettini CSIRT regionali hanno riportato i dettagli operativi dell’abuso dell’endpoint ToolPane e del ruolo di __VIEWSTATE nella catena.

Per dare un riferimento “istituzionale” anche fuori dai confini: CERT-EU ha riassunto l’impatto delle vulnerabilità SharePoint on-prem (con sfruttamento attivo) e la necessità di isolamento/verifiche prima e durante la remediation. E su NVDtrovi descrizione e contesto di CVE-2025-53770 (deserializzazione non attendibile, RCE su SharePoint on-prem, exploit noto “in the wild”).

“Ok, ma l’Italia?”

Se sei un CISO/IT manager italiano e pensi “noi non siamo un ministero”, ti propongo una visione meno romantica e più realistica:

In Italia abbiamo un’alta densità di organizzazioni che usano ancora SharePoint on-prem e IIS per portali, workflow e documentali, spesso esposti “per comodità” (partner, fornitori, smart working, integrazioni). Quando un attore come Ink Dragon entra da lì, non sta cercando il tuo listino prezzi: sta cercando credibilità di rete, relazioni, caselle email, documenti e accessi. E se ti trasforma in relay node, non sei solo vittima: diventi (inconsapevolmente) pezzo dell’infrastruttura di una campagna di spionaggio.

C’è un secondo punto, ancora più “italiano”: la supply chain. Anche quando il bersaglio finale è un ente governativo, gli appaltatori e i fornitori (ICT, consulenza, service provider, facility con accessi) sono spesso la scorciatoia. E noi, di scorciatoie, ne abbiamo inventate parecchie.

Nota laterale: quando nello stesso ambiente entrano in due

Check Point segnala anche un elemento interessante: in alcune delle stesse reti governative europee sarebbe stata osservata attività anche di RudePanda, non correlata operativamente a Ink Dragon ma presente in parallelo, sfruttando la stessa debolezza esposta. È il promemoria più brutale del 2025-2026: una porta aperta non attira “un” attaccante. Attira una fila.

Cosa fare adesso

Non ti lascio la “lista della spesa” infinita. Però alcune priorità sono non negoziabili:

1. Censimento immediato di SharePoint on-prem e IIS esposti (e dei pubblicati “per sbaglio” via reverse proxy/NAT dimenticati). Se non sai cosa è esposto, non stai gestendo: stai sperando.
2. Patch, mitigazioni e hardening su SharePoint/IIS secondo indicazioni vendor e CSIRT. La parte importante è la sequenza: isolare dove serve, verificare compromissione, poi aggiornare. CERT-EU lo dice chiaramente.
3. Hunting mirato:

• richieste sospette verso endpoint SharePoint associati alla catena ToolShell (log IIS/WAF)
• tracce di webshell e modifiche “creative” su server web
• segnali di credential dumping e movimenti laterali (SMB/RDP) coerenti con la kill chain descritta
• telemetria su Graph API e anomalie su mailbox (bozze con pattern inusuali, refresh token sospetti, accessi/app non attese) perché FinalDraft ci gioca lì

1. Incident readiness: se scopri che un tuo server è stato usato come relay, la bonifica “solo locale” rischia di essere un cerotto su una diga. È esattamente il motivo per cui Check Point insiste sul concetto di relay chain e sulla difficoltà di “eviction” completa.

Indicatori

Di seguito alcuni hash (come da export entità) utili per pivot iniziali in TI/SIEM/EDR. Non sono “la soluzione”, ma aiutano a non partire bendati.
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In conclusione

Questa storia non parla di “hacker super-geniali”. Parla di organizzazioni che nel 2025-2026 hanno ancora server web critici esposti, patching non governato e controlli di detection che si fermano al perimetro. E Ink Dragon, con ShadowPad e FinalDraft, ti dimostra che il perimetro non è più un confine: è un punto d’ingresso, e spesso pure un punto di transito per colpire qualcun altro.

L'articolo Ink Dragon alza l’asticella in Europa: ShadowPad su IIS, FinalDraft su Graph API proviene da Red Hot Cyber.