2025 Component Abuse Challenge: An Input Is Now An Output

Part of setting up a microcontroller when writing a piece of firmware usually involves configuring its connections to the outside world. You define a mapping of physical pins to intenral peripherals to decide which is an input, output, analogue, or whatever other are available. In some cases though that choice isn’t available, and when you’ve used all the available output pins you’re done. But wait – can you use an input as an output? With [SCART VADER]’s lateral thinking, you can.

The whole thing takes advantage of the internal pull-up resistor that a microcontroller has among its internal kit of parts. Driving a transistor from an output pin usually requires a base resistor, so would it be possible to use the pullup as a base resistor? If the microcontroller can enable or disable the resistor on an input pin then yes it can, a transistor can be turned off and on with nary an output to be seen. In this case the chip is from ATmega parts bin so we’re not sure if the trick is possible on other manufacturers’ devices.

As part of our 2025 Component Abuse Challenge, this one embodies the finest principles of using a part in a way it was never intended to be used, and we love it. You’ve still got a few days to make an entry yourself at the time of writing this, so bring out your own hacks!

hackaday.com/2025/10/31/2025-c…

Dal 12 novembre in Italia scatta la verifica dell’età per siti porno. Cosa cambia

A partire da martedì 12 novembre 2025 entreranno in vigore le nuove disposizioni dell’Autorità per le Garanzie nelle Comunicazioni (AGCOM) che impongono un sistema di verifica dell’età per accedere ai siti pornografici.

La misura, prevista dalla delibera 96/25/CONS,dà attuazione a quanto stabilito dal cosiddetto “decreto Caivano”, approvato nel 2023 dal governo di Giorgia Meloni per contrastare la criminalità minorile e proteggere i minori dall’accesso a contenuti vietati.

Cosa cambia dal 12 novembre

Fino ad oggi, per entrare in un sito per adulti bastava dichiarare di avere almeno 18 anni con un semplice clic sulla schermata iniziale. Un metodo facilmente aggirabile che consentiva anche ai minorenni di accedere liberamente a milioni di video.

Con le nuove regole, questo meccanismo sarà sostituito da un controllo più rigoroso: i siti dovranno accertare la maggiore età degli utenti attraverso soggetti terzi certificati – aziende, istituti bancari o operatori telefonici – già autorizzati alla gestione di dati identificativi.

Il processo introdotto dall’AGCOM prevede un sistema di “doppio anonimato” che tutela la privacy dell’utente. In pratica, chi vuole accedere a un sito per adulti dovrà richiedere a un soggetto certificato una “prova dell’età”.

Il fornitore di questo servizio verifica se la persona è maggiorenne e rilascia un codice anonimo, privo di informazioni personali, che l’utente inserisce sul sito per adulti. Il sito, a sua volta, controlla la validità del codice prima di consentire l’accesso. La verifica dovrà essere effettuata ad ogni nuovo accesso.

Le regole e i divieti imposti

La delibera non impone un unico sistema tecnico, ma vieta alcune modalità considerate invasive o non sicure, come il riconoscimento facciale biometrico o la richiesta diretta della carta d’identità da parte dei siti pornografici. È esclusa anche l’autodichiarazione dell’età, ormai ritenuta insufficiente.

L’AGCOM potrà intervenire direttamente contro i portali che non si adegueranno entro 20 giorni dall’entrata in vigore della misura, arrivando, nei casi di inadempienza, fino al blocco del sito sul territorio italiano.

Il provvedimento interesserà inizialmente 48 piattaforme indicate in un elenco pubblicato dall’Autorità, che sarà aggiornato nel tempo. Tra i nomi figurano i più noti portali internazionali come Pornhub, YouPorn, Xvideos, OnlyFans, Chaturbate e Xhamster, insieme a numerosi siti minori.

Questa prima lista rappresenta solo una parte del vasto panorama di siti pornografici accessibili dall’Italia, ma segna l’avvio concreto del nuovo sistema di controllo.

Un modello già adottato in Francia

L’Italia segue così l’esempio della Francia, dove provvedimenti simili sono già entrati in vigore nei mesi scorsi. Anche lì, l’obiettivo principale è stato quello di rendere più difficile per i minorenni l’accesso a contenuti pornografici, bilanciando sicurezza e tutela della privacy.

L'articolo Dal 12 novembre in Italia scatta la verifica dell’età per siti porno. Cosa cambia proviene da Red Hot Cyber.

Speech Synthesis on A 10 Cent Microcontroller

Speech synthesis has been around since roughly the middle of the 20th century. Once upon a time, it took remarkably advanced hardware just to even choke out a few words. But as [atomic14] shows with this project, these days it only takes some open source software and 10-cent microcontroller

The speech synth is implemented on a CH32V003 microcontroller, known for its remarkably low unit cost when ordered in quantity. It’s a speedy little RISC-V chip running at 48 MHz, albeit with the limitation of just 16 KB of Flash and 2 KB of SRAM on board.

The microcontroller is hooked up to a speaker via a simple single-transistor circuit, which allows for audio output. [atomic14] first demonstrates this by having the chip play back six seconds of low quality audio with some nifty space-saving techniques to squeeze it into the limited flash available. Then, [atomic14] shows how he implemented the Talkie library on the chip, which is a softwarehttps://www.youtube.com/watch?v=RZvX95aXSdM implementation of Texas Instruments’ LPC speech synthesis architecture—which you probably know from the famous Speak & Spell toys. It’s got a ton of built in vocabulary out of the box, and you can even encode your own words with some freely available tools.

We’ve seen [atomic14] tinker with these chips before, too.

youtube.com/embed/RZvX95aXSdM?…

hackaday.com/2025/10/31/speech…

50 anni senza ricaricare il telefono: ecco la batteria cinese che cambierà tutto

La società Betavolt, con base a Pechino, dichiara di aver sviluppato una batteria nucleare che rappresenta la prima realizzazione al mondo della miniaturizzazione dell’energia atomica. Questa innovazione consiste nell’integrazione di 63 isotopi nucleari all’interno di un modulo dalle dimensioni inferiori a quelle di una moneta.

La nuova batteria, definita di ultima generazione, sfrutta un procedimento noto fin dal XX secolo per trasformare l’energia sprigionata dal decadimento degli isotopi direttamente in elettricità. In base alle dichiarazioni dell’azienda produttrice, il progetto è ormai in fase avanzata di sperimentazione pilota; l’intento è quello di avviarne la produzione su larga scala per applicazioni di tipo commerciale, ad esempio per alimentare droni e telefoni.

Nell’ambito del 14° piano quinquennale cinese, che punta a consolidare l’economia del Paese nel periodo tra il 2021 e il 2025, è stata avviata la ricerca per ridurre le dimensioni e rendere commercializzabili le batterie nucleari. Allo stesso tempo, anche centri di ricerca europei e statunitensi sono impegnati nello sviluppo di tali batterie, come riportato in un articolo pubblicato sull’Independent.

“Le batterie a energia atomica Betavolt possono soddisfare le esigenze di alimentazione a lunga durata in molteplici scenari, come l’industria aerospaziale, le apparecchiature di intelligenza artificiale, le apparecchiature mediche, i microprocessori, i sensori avanzati, i piccoli droni e i microrobot”, ha affermato la startup in un comunicato stampa. “Questa nuova innovazione energetica aiuterà la Cina a ottenere un vantaggio competitivo nel nuovo ciclo della rivoluzione tecnologica dell’intelligenza artificiale.”

Secondo quanto dichiarato da Betavolt, la sua batteria nucleare d’avanguardia è in grado di fornire una potenza di 100 microwatt e una tensione di 3 volt, racchiusa in un volume di 15x15x5 millimetri cubi. Entro il 2025, l’azienda si propone di realizzare una batteria dalla capacità di 1 watt.

Le loro dimensioni ridotte consentono di utilizzarli in serie per produrre più energia, con l’azienda che immagina telefoni cellulari che non necessitano di essere ricaricati e droni in grado di volare per sempre. Il suo design a strati garantisce inoltre che non prenda fuoco né esploda in risposta a una forza improvvisa, afferma Betavolt, pur essendo in grado di funzionare a temperature comprese tra -60 °C e 120 °C.

Gli scienziati di Betavolt hanno fatto uso del nichel-63, elemento radioattivo, quale fonte energetica per la realizzazione della batteria; successivamente hanno impiegato semiconduttori in diamante per convertire l’energia. Il team ha sviluppato un semiconduttore di diamante monocristallino dello spessore di soli 10 micron e ha poi posizionato un foglio di nichel-63 dello spessore di 2 micron tra due convertitori di semiconduttori di diamante.

L’energia nucleare, tuttavia, comporta anche preoccupazioni relative alle radiazioni. Betavolt ha affrontato questa preoccupazione, affermando che la batteria è sicura in quanto non emette radiazioni esterne ed è adatta all’uso in dispositivi medici all’interno del corpo umano, come pacemaker e impianti cocleari.

“Le batterie a energia atomica sono ecologiche. Dopo il periodo di decadimento, i 63 isotopi si trasformano in un isotopo stabile del rame, che non è radioattivo e non rappresenta alcuna minaccia o inquinamento ambientale”, ha affermato l’azienda.

Potrebbe anche essere più sicuro, poiché Betavolt afferma che il BV100 non prenderà fuoco né esploderà in seguito a forature o addirittura a colpi di arma da fuoco, a differenza di alcune batterie attuali che possono essere pericolose se danneggiate o esposte ad alte temperature.

Gli scienziati dell’Unione Sovietica e degli Stati Uniti riuscirono a sviluppare la tecnologia per l’impiego in veicoli spaziali, sistemi sottomarini e stazioni scientifiche remote. Tuttavia, le batterie termonucleari erano costose e ingombranti.

L'articolo 50 anni senza ricaricare il telefono: ecco la batteria cinese che cambierà tutto proviene da Red Hot Cyber.

AzureHound: lo strumento “legittimo” per gli assalti al cloud

AzureHound, parte della suite BloodHound, nasce come strumento open-source per aiutare i team di sicurezza e i red team a individuare vulnerabilità e percorsi di escalation negli ambienti Microsoft Azure ed Entra ID.

Oggi, però, è sempre più spesso utilizzato da gruppi criminali e attori sponsorizzati da stati per scopi ben diversi: mappare infrastrutture cloud, identificare ruoli privilegiati e pianificare attacchi mirati.

Perché AzureHound è diventato uno strumento pericoloso

Scritto in Go e disponibile per Windows, Linux e macOS, AzureHound interroga le API di Microsoft Graph e Azure REST per raccogliere informazioni su identità, ruoli, applicazioni e risorse presenti nel tenant.

Il suo funzionamento, progettato per scopi legittimi, si rivela utile anche a chi vuole colpire:

1. Può essere eseguito da remoto, senza accedere direttamente alla rete vittima.
2. Produce output JSON compatibili con BloodHound, che li traduce in grafici di relazioni, privilegi e potenziali percorsi di attacco.

In altre parole, AzureHound consente di automatizzare quella fase di ricognizione che, in passato, richiedeva tempo e competenze manuali, trasformando il cloud reconnaissance in un processo rapido e preciso.
Execution of AzureHound to enumerate users BloodHound illustration of available key vaults.

Dall’uso legittimo all’abuso

Nel corso del 2025 diversi gruppi di cybercriminali hanno adottato AzureHound per scopi offensivi.
Secondo analisi di threat intelligence, Curious Serpens (noto anche come Peach Sandstorm), Void Blizzard e il gruppo Storm-0501 hanno impiegato lo strumento per enumerare ambienti Entra ID, individuare configurazioni errate e pianificare escalation di privilegi.
Ciò dimostra come strumenti nati per la sicurezza possano diventare parte integrante delle campagne di compromissione, soprattutto quando gli ambienti cloud non sono monitorati in modo adeguato.

Come viene sfruttato

Dopo aver ottenuto un primo accesso a un tenant Azure tramite credenziali compromesse, phishing o account di servizio vulnerabili, gli operatori malevoli eseguono AzureHound per:

• raccogliere informazioni su utenti, ruoli e relazioni;
• individuare identità privilegiate o service principal con permessi eccessivi;
• scoprire percorsi indiretti di escalation di privilegi;
• costruire, tramite BloodHound, una rappresentazione grafica dell’intero ambiente.

Questa visibilità permette di pianificare con precisione i passi successivi: dall’escalation al movimento laterale, fino all’esfiltrazione dei dati o alla distribuzione di ransomware.

Cosa fare per difendersi

Le organizzazioni che utilizzano Azure e Microsoft Entra ID dovrebbero implementare controlli mirati per individuare e bloccare comportamenti anomali legati all’uso improprio di strumenti come AzureHound.

Monitorare le API per individuare pattern di enumerazione insoliti verso Graph e REST API.
Creare alert su query massicce o su richieste con user-agent sospetti.
Limitare i permessi delle applicazioni e delle service principal, adottando il principio del privilegio minimo.
Applicare MFA e controlli stringenti sugli account sincronizzati con privilegi elevati.
Integrare regole di hunting nei SIEM (come Microsoft Sentinel o Defender XDR) per rilevare comportamenti riconducibili alla raccolta automatica di dati.

Conclusione

AzureHound rappresenta un esempio concreto di come strumenti nati per migliorare la sicurezza possano diventare un’arma nelle mani sbagliate.
Capire come questi strumenti vengono abusati è fondamentale per costruire strategie di difesa efficaci, potenziare la visibilità sugli ambienti cloud e ridurre il tempo di reazione in caso di compromissione.
Solo conoscendo le stesse tecniche impiegate da chi attacca è possibile anticiparle e mantenere il controllo delle proprie infrastrutture digitali.

L'articolo AzureHound: lo strumento “legittimo” per gli assalti al cloud proviene da Red Hot Cyber.

kod.ru/telegram-i-whatsapp-bez…
А вот это уже интересно. Telegram и WhatsApp полностью заблокировать пока тяжело, пробуют по кусочкам. Сначала звонки, затем в каких-то отдалённых регионах. И теперь пишут, что ограничили доставку SMS (и звонков) с кодами подтверждения. То есть когда пытаешься войти в аккаунт, и просят ввести код, то смс с этим самым кодом просто не приходит.

Я не могу ничего сказать про WhatsApp, но подозреваю, что там всё плохо. А вот Telegram всячески пытается экономить на доставке смс, поэтому система сложная (и возможно я где-то не совсем точно расскажу).

Телеграм заставляет привязать почту для авторизации, куда будут приходить коды подтверждения. Но для регистрации нового аккаунта всё ещё нужно сначала подтвердить номер. Если у вас старый аккаунт, то почты может быть не привязано (та почта, что используется для сброса пароля — это не почта для кодов подтверждения), и я не знаю как её привязать (возможно, ТГ попросит привязать при следующем логине, и туда же пришлёт код). Если вы пытаетесь войти в аккаунт, и у вас есть хотя бы одна активная сессия, то код подтверждения будет приходить туда. Но телеграм может выкинуть из всех сессий, если заподозрит бот-активность (ложные срабатывания, к сожалению, случаются нередко).

Забавное совпадение: сегодня утром начали писать о программе Peer-to-Peer Login, которая стала постепенно выкатываться для России, хотя для некоторых стран была доступна ещё давно. Пользователи смогут за свой счёт присылать со своих номеров телефона коды подтверждения другим пользователям. Не совсем понятно как это работает, но есть у меня подозрение, что такие смски тоже легко отлавливать и блокировать.

Ну и ранее появилась некая сомнительная Telega, которая каким-то образом за оплату доставляет коды подтверждения от своего имени.

В очередной раз убеждаемся, что подтверждения по кодам из SMS — это плохо, ненадёжно и небезопасно.