Warnings About Retrobright Damaging Plastics After 10 Year Test

Within the retro computing community there exists a lot of controversy about so-called ‘retrobrighting’, which involves methods that seeks to reverse the yellowing that many plastics suffer over time. While some are all in on this practice that restores yellow plastics to their previous white luster, others actively warn against it after bad experiences, such as [Tech Tangents] in a recent video.
Uneven yellowing on North American SNES console. (Credit: Vintage Computing)
After a decade of trying out various retrobrighting methods, he found for example that a Sega Dreamcast shell which he treated with hydrogen peroxide ten years ago actually yellowed faster than the untreated plastic right beside it. Similarly, the use of ozone as another way to achieve the oxidation of the brominated flame retardants that are said to underlie the yellowing was also attempted, with highly dubious results.

While streaking after retrobrighting with hydrogen peroxide can be attributed to an uneven application of the compound, there are many reports of the treatment damaging the plastics and making it brittle. Considering the uneven yellowing of e.g. Super Nintendo consoles, the cause of the yellowing is also not just photo-oxidation caused by UV exposure, but seems to be related to heat exposure and the exact amount of flame retardants mixed in with the plastic, as well as potentially general degradation of the plastic’s polymers.

Pending more research on the topic, the use of retrobrighting should perhaps not be banished completely. But considering the damage that we may be doing to potentially historical artifacts, it would behoove us to at least take a step or two back and consider the urgency of retrobrighting today instead of in the future with a better understanding of the implications.

youtube.com/embed/_n_WpjseCXA?…

hackaday.com/2025/12/05/warnin…

Cloudflare di nuovo in down: disservizi su Dashboard, API e ora anche sui Workers

Cloudflare torna sotto i riflettori dopo una nuova ondata di disservizi che, nella giornata del 5 dicembre 2025, sta colpendo diversi componenti della piattaforma.

Oltre ai problemi al Dashboard e alle API, già segnalati dagli utenti di tutto il mondo, l’azienda ha confermato di essere al lavoro anche su un aumento significativo degli errori relativi ai Cloudflare Workers, il servizio serverless utilizzato da migliaia di sviluppatori per automatizzare funzioni critiche delle loro applicazioni.

Un’altra tessera che si aggiunge a un mosaico di criticità non trascurabili.

Come sottolineano da anni numerosi esperti di sicurezza informatica, affidare l’infrastruttura di base del web a una manciata di aziende significa creare colli di bottiglia strutturali. E quando uno di questi nodi si inceppa – come accade con Cloudflare – l’intero ecosistema ne risente.

Un intoppo può bloccare automazioni, API personalizzate, redirect logici, funzioni di autenticazione e perfino sistemi di sicurezza integrati. Un singolo malfunzionamento può generare un effetto domino ben più vasto del previsto.

A complicare ulteriormente la situazione, oggi è in corso anche una manutenzione programmata nel datacenter DTW di Detroit, con possibile rerouting del traffico e incrementi di latenza per gli utenti dell’area. Sebbene la manutenzione sia prevista e gestita, la concomitanza con i problemi ai Workers e al Dashboard aumenta il livello di incertezza. In alcuni casi specifici – come per i clienti PNI/CNI che si collegano direttamente al datacenter – certe interfacce di rete potrebbero risultare temporaneamente non disponibili, causando failover forzati verso percorsi alternativi.

Il nodo cruciale resta lo stesso: questa centralizzazione espone il web a rischi enormi dal punto di vista operativo e di sicurezza. Quando una piattaforma come Cloudflare scricchiola, anche solo per qualche ora, si indeboliscono le protezioni DDoS, i sistemi anti bot, le regole firewall, e si creano finestre di vulnerabilità che gli attaccanti più preparati potrebbero tentare di sfruttare.

La dipendenza da un unico colosso per funzioni così delicate è un punto di fragilità che non può più essere ignorato.

Il precedente blackout globale – documentato con grande trasparenza da Cloudflare stessa e analizzato da Red Hot Cyber – aveva messo in luce come un errore interno nella configurazione del backbone potesse mandare offline porzioni significative del traffico mondiale.

Oggi non siamo (ancora) di fronte a un guasto di tale entità, ma la somma di più disservizi simultanei riporta alla memoria quel caso e solleva dubbi sulla resilienza complessiva dell’infrastruttura.

Il nuovo down di Cloudflare, questa volta distribuito su più livelli della piattaforma, dimostra quanto l’Internet moderno sia fragile e quanto la sua affidabilità dipenda da pochi attori. Le aziende – piccole o grandi – che costruiscono i propri servizi sopra queste fondamenta dovrebbero iniziare a considerare seriamente piani di ridondanza multi-provider. Perché quando un singolo punto cade, rischia di cadere mezzo web.

L'articolo Cloudflare di nuovo in down: disservizi su Dashboard, API e ora anche sui Workers proviene da Red Hot Cyber.

Backdoor Brickstorm: le spie cinesi sono rimasti silenti nelle reti critiche per anni

Le spie informatiche cinesi sono rimaste nascoste per anni nelle reti di organizzazioni critiche, infettando le infrastrutture con malware sofisticati e rubando dati, avvertono agenzie governative ed esperti privati.

Secondo un avviso congiunto di CISA, NSA e Canadian Cyber Security Centre, almeno otto agenzie governative e aziende IT sono state vittime della backdoor Brickstorm , che opera in ambienti Linux, VMware e Windows.

La dichiarazione del portavoce di CISA, Nick Andersen, sottolinea anche la portata del problema: afferma che il numero effettivo delle vittime è probabilmente più alto e che Brickstorm stessa è una piattaforma “estremamente avanzata” che consente agli operatori cinesi di radicarsi nelle reti per anni, gettando le basi per il sabotaggio.

In uno degli incidenti indagati da CISA, gli aggressori hanno ottenuto l’accesso a una rete interna nell’aprile 2024, hanno scaricato Brickstorm su un server VMware vCenter e hanno mantenuto l’accesso almeno fino all’inizio di settembre.

Durante questo periodo, sono riusciti a penetrare nei controller di dominio e in un server ADFS, rubando chiavi crittografiche. Google Threat Intelligence, che è stata la prima a descrivere Brickstorm in autunno, esorta tutte le organizzazioni a scansionare la propria infrastruttura. Gli analisti stimano che decine di aziende negli Stati Uniti siano già state colpite da questa campagna e gli aggressori continuano a perfezionare i propri strumenti.

Mandiant collega gli attacchi al gruppo UNC5221 e ha documentato compromissioni in vari settori, dai servizi legali e dai fornitori SaaS alle aziende tecnologiche. Gli esperti sottolineano che l’hacking dei dispositivi edge e l’escalation verso vCenter sono diventate tattiche comuni per gli aggressori, che possono anche prendere di mira vittime a valle.

In un rapporto separato, CrowdStrike attribuisce Brickstorm al gruppo Warp Panda, attivo almeno dal 2022, e descrive vettori di attacco simili, tra cui l’infiltrazione negli ambienti VMware di aziende statunitensi e lo svolgimento di attività di intelligence per il governo cinese.

Secondo CrowdStrike, in diversi casi Warp Panda ha inoltre implementato impianti Go precedentemente sconosciuti, Junction e GuestConduit, su server ESXi e macchine virtuali, e ha preparato dati sensibili per l’esfiltrazione. Alcuni incidenti hanno interessato anche il cloud Microsoft Azure: gli aggressori hanno ottenuto token di sessione, hanno incanalato il traffico attraverso Brickstorm e hanno scaricato materiale sensibile da OneDrive, SharePoint ed Exchange. Sono persino riusciti a registrare nuovi dispositivi MFA, garantendo una persistenza furtiva e a lungo termine negli ambienti guest.

Gli specialisti di Palo Alto Networks confermano la continuità e la profondità della penetrazione di questi gruppi. Secondo gli analisti di Unit 42, gli operatori cinesi utilizzano file unici e backdoor proprietarie per ogni attacco, rendendone estremamente difficile l’individuazione.

La loro prolungata e occulta attività all’interno delle reti rende difficile valutare l’effettivo danno e consente agli aggressori di pianificare operazioni su larga scala molto prima che la loro presenza venga rilevata.

L'articolo Backdoor Brickstorm: le spie cinesi sono rimasti silenti nelle reti critiche per anni proviene da Red Hot Cyber.

Cyber-Guardoni all’attacco: hacker sudcoreani spiavano 120.000 telecamere e ne facevano video per adulti

La polizia sudcoreana ha segnalato l’arresto di quattro individui che, presumibilmente in modo indipendente, hanno compromesso oltre 120.000 telecamere IP. Secondo gli investigatori, almeno due di loro lo hanno fatto per rubare video da luoghi come studi ginecologici. Hanno poi modificato i filmati trasformandoli in video pornografici e li hanno venduti online.

Secondo i media locali, due dei quattro sospettati (i cui nomi sono stati omessi) erano impiegati in ufficio, mentre gli altri erano elencati come disoccupati o lavoratori autonomi. Solo due degli arrestati erano responsabili della maggior parte degli attacchi informatici: circa 63.000 e 70.000 dispositivi compromessi, installati in abitazioni private e proprietà commerciali.

Telecamere e video per adulti dalle case di tutti

I criminali hanno venduto i video rubati dalle telecamere su un sito web che la polizia chiamava semplicemente “Sito C”, guadagnando rispettivamente 35 milioni di won (23.800 dollari) e 18 milioni di won (12.200 dollari).

Gli altri due imputati hanno hackerato rispettivamente 15.000 e 136 telecamere.

Non sono ancora state formulate accuse nei confronti degli arrestati, poiché le indagini sono in corso. Le autorità hanno inoltre comunicato di aver arrestato tre persone che avevano acquistato video simili.

“I crimini commessi tramite telecamere IP causano gravi traumi alle vittime. Sradicheremo questa minaccia indagando proattivamente su tali crimini”, ha affermato Park Woo-hyun, capo dell’unità investigativa sui crimini informatici dell’Agenzia di Polizia Nazionale.

Secondo la polizia, gli aggressori hanno sfruttato principalmente password predefinite deboli e combinazioni predefinite facilmente violabili tramite forza bruta.

Le forze dell’ordine hanno visitato 58 luoghi in cui le telecamere erano state hackerate per avvisare i proprietari dei dispositivi compromessi e fornire consigli sulla sicurezza delle password.

Best practices per mettere in sicurezza le telecamere IP

Per ridurre drasticamente il rischio di compromissione, gli esperti raccomandano le seguenti misure:

1. Cambiare subito le password predefinite

• Le password di fabbrica sono la prima cosa che gli attaccanti testano.
• Scegli password lunghe, complesse e uniche per ogni dispositivo.

2. Attivare l’autenticazione a due fattori (2FA)

• Quando disponibile, riduce enormemente la possibilità di accesso non autorizzato.

3. Aggiornare regolarmente il firmware

• I produttori rilasciano patch che correggono vulnerabilità note.
• Imposta gli aggiornamenti automatici quando possibile.

4. Disabilitare l’accesso remoto se non necessario

• Molti attacchi avvengono tramite Internet.
• Se devi accedere da remoto, usa una VPN invece dell’esposizione diretta.

5. Limitare l’accesso alla rete

• Isola le telecamere su una rete separata (VLAN) o guest network.
• Evita che siano raggiungibili da tutti i dispositivi della casa o dell’ufficio.

6. Controllare le porte esposte

• Evita il port forwarding indiscriminato su router e modem.
• Blocca porte non necessarie e monitora eventuali connessioni sospette.

7. Disattivare servizi inutilizzati

• UPnP, P2P e altri servizi remoti possono essere sfruttati dagli attaccanti.
• Mantieni attivi solo i servizi indispensabili.

8. Preferire telecamere IP di produttori affidabili

• Marchi poco affidabili potrebbero non garantire aggiornamenti di sicurezza.
• Verifica sempre la reputazione del brand e la disponibilità di patch.

9. Monitorare regolarmente i log

• Controlla accessi, tentativi falliti e comportamenti anomali.

10. Cambiare periodicamente le credenziali

• Riduce il rischio che credenziali compromesse restino valide a lungo.

L'articolo Cyber-Guardoni all’attacco: hacker sudcoreani spiavano 120.000 telecamere e ne facevano video per adulti proviene da Red Hot Cyber.

CTI e Dark Web: qual è il confine invisibile tra sicurezza difensiva e reato?

Il panorama della sicurezza informatica moderna è imprescindibile dalla conoscenza della topografia del Dark Web (DW), un incubatore di contenuti illeciti essenziale per la criminalità organizzata. In tale contesto, il Dark Web Monitoring (DWM) e la Cyber Threat Intelligence (CTI) sono emersi come pratiche fondamentali, spesso obbligatorie, per la protezione degli asset digitali e la prevenzione di una fuga di dati (data leakage).

L’attività proattiva di DWM consente il rilevamento di minacce critiche, come credenziali e documenti d’identità rubati, che alimentano reati di spear phishing e credential stuffing. Tuttavia, in Italia, l’imperativo di sicurezza privato si scontra con il principio di legalità e la riserva statale delle indagini, poiché i consulenti privati non godono dei poteri processuali riservati agli organi di Polizia Giudiziaria.

La valutazione della legittimità delle azioni del professionista deve procedere bilanciando l’interesse difensivo con la tutela penale. La mia osservazione, come avvocato penalista e docente di Diritto penale dell’informatica, è che la corretta difesa e la prevenzione del rischio non possono prescindere da una profonda conoscenza di questo bilanciamento costituzionale tra diritto di difesa e riserva di legge penale.

Il pericolo di commettere delitti

Il rischio penale principale che incombe sul professionista della cybersecurity che opera nel Dark Web è l’integrazione del reato di Accesso Abusivo a sistema informatico o telematico (Art. 615-ter c.p.). Il bene giuridico tutelato da questa norma è l’ambiente informatico stesso, che la giurisprudenza ha equiparato a un “luogo inviolabile” o a uno spazio privato. La condotta criminosa si perfeziona con l’accesso o il mantenimento nel sistema “senza diritto” e contro la volontà del gestore.

L’analisi critica della Cyber Threat Intelligence (CTI) impone una netta distinzione tra due scenari operativi. L’osservazione passiva (CTI legittima) si verifica se il professionista naviga su pagine del Dark Web che sono aperte e non protette da autenticazione. Tale attività, configurandosi comeopen source intelligence (OSINT) e avvenendo in assenza di misure di sicurezza da superare, generalmente non integra la fattispecie dell’Art. 615-ter c.p., poiché la tutela penale è rivolta al sistema (il contenitore) e non alla liceità del contenuto. Al contrario, si configura accesso attivo e infiltrazione (accesso abusivo) se il professionista compie un atto di credential stuffing, utilizzando credenziali rubate per autenticarsi in un forum protetto o in un pannello di controllo.

In questo caso, si configura il reato, poiché l’interesse difensivo del privato non può prevalere sulla tutela penale del sistema informatico, anche se ostile o criminale, che non sempre ,ma tal volta trova tutela. Ai professionisti che mi consultano, ricordo sempre che la finalità difensiva non è una scriminante penale implicita; l’accesso abusivo è un reato di pericolo che si perfeziona con la mera intrusione non autorizzata.

Oltre all’accesso abusivo, il DWM espone anche al rischio di detenzione abusiva di codici di accesso (Art. 615-quater c.p.). Per mitigare tale pericolo e dimostrare la finalità di tutela, è imperativo che la procedura operativa preveda l’immediata trasformazione dei dati sensibili raccolti in un formato non reversibile, come l’hashing, conservando solo l’informazione strettamente necessaria, in conformità con i principi di minimizzazione dei dati. Cautela è inoltre richiesta nella gestione di segreti commerciali altrui rubati.

Il trattamento dei dati personali raccolti e la compliance gdpr

La raccolta e la successiva analisi di dati personali provenienti dal Dark Web costituiscono un nuovo trattamento e, come tale, devono essere fondate su una base giuridica legittima ai sensi del GDPR. Per il Dark Web Monitoring (DWM), la base più plausibile e invocabile è l’Interesse Legittimo (Art. 6, par. 1, lett. f), poiché risponde all’interesse vitale dell’organizzazione di proteggere il proprio patrimonio digitale e di garantire una tempestiva risposta agli incidenti (incident response).

Tuttavia, l’applicazione dell’Interesse Legittimo non è automatica. Richiede l’esecuzione di un rigoroso Legitimate Interest Assessment (LIA), il quale impone un test di bilanciamento tra l’interesse difensivo del Titolare e i diritti e le libertà fondamentali dell’interessato, la vittima del furto di dati.

Dato che la fonte è criminale e l’interessato non si aspetta che i suoi dati rubati siano raccolti da un CTI provider privato, il bilanciamento è considerato “forte”, richiedendo massime garanzie di mitigazione. La misura cruciale per superare con successo il LIA è la minimizzazione del trattamento. Ciò significa evitare categoricamente l’overcollection e l’overretention, limitando la raccolta alle sole informazioni indispensabili per la difesa. La conservazione integrale e illimitata nel tempo di dati rubati è contraria alla normativa; è fondamentale implementare la pseudonimizzazione (ad esempio, tramite hashing) dei dati identificativi non necessari e definire tempi di conservazione strettamente limitati. Infine, sussistono precisi obblighi di trasparenza e notifica.

La rilevanza probatoria e i limiti istituzionali dei professionisti privati

Nel contesto di un’indagine giudiziaria, la capacità di conferire valore probatorio ai dati raccolti dal Dark Web Monitoring (DWM) da parte di attori privati rappresenta una delle sfide procedurali più acute. L’unico percorso legale che può legittimare l’acquisizione di tali elementi è incanalare strettamente l’attività nel perimetro delle investigazioni difensive, come disciplinato dall’Art. 391-bis del Codice di Procedura Penale (c.p.p.). Questo inquadramento richiede un mandato formale conferito dal difensore e garantisce che l’uso della documentazione sia strettamente limitato alle esigenze dell’esercizio della difesa.

Tuttavia, è fondamentale sottolineare un limite invalicabile del nostro ordinamento: la procedura difensiva non ha il potere di sanare l’illiceità sostanziale della condotta originaria. Ciò significa che se l’atto di acquisizione, sebbene finalizzato alla difesa, viola di per sé una norma penale-ad esempio l’Art. 615-ter c.p. attraverso un accesso abusivo-il dato raccolto sarà considerato illegittimamente acquisito e, di conseguenza, inutilizzabile nel dibattimento. La necessità operativa non può, in sede processuale, prevalere sulla tutela del domicilio informatico garantita dalla legge penale.

Parallelamente ai vincoli procedurali, l’ammissibilità e l’efficacia della prova digitale sono assolutamente dipendenti dal rispetto degli standard internazionali di digital forensics. I dati informatici sono intrinsecamente volatili e facilmente alterabili; pertanto, la loro integrità e autenticità devono essere garantite per evitare che l’autorità giudiziaria li consideri contaminati o inattendibili. L’acquisizione non può limitarsi all’uso di semplici screenshot, che hanno spesso un mero valore suggestivo e non probatorio. Al contrario, essa deve avvenire attraverso la creazione di una copia forense certificata del dato originale (come una bitstream copy).

Come docente, insisto sull’importanza di questa metodologia- L’efficacia della prova digitale è direttamente proporzionale alla sua correttezza epistemologica; non basta contestare un dato, bisogna contestare il metodo di acquisizione. Tale processo deve assicurare la piena e ininterrotta tracciabilità della catena di custodia (chain of custody), documentando meticolosamente ogni passaggio, al fine di garantire l’immutabilità e l’identità dell’elemento probatorio. solo attraverso questa rigorosa aderenza ai protocolli forensi, il professionista privato può sperare di dotare il materiale raccolto della credibilità necessaria per sostenere una tesi difensiva in sede legale.

Raccomandazioni operative

L’analisi svolta evidenzia chiaramente che l’attività di Dark Web Monitoring (DWM) da parte di professionisti privati si svolge in Italia in una complessa zona grigia di incertezza normativa. Il professionista è costantemente esposto a una triade di rischi legali interconnessi.

In primo luogo, il rischio penale è massimo quando l’attività sfocia nell’infiltrazione attiva (ad esempio, l’uso di credenziali rubate per accedere a sistemi protetti), potendo integrare il reato di cui all’Art. 615-ter c.p.

In secondo luogo, il rischio GDPR è sempre presente in caso di overcollection o di mancata esecuzione del Legitimate Interest Assessment (LIA), esponendo l’organizzazione a sanzioni amministrative salate.

Infine, il rischio procedurale neutralizza l’efficacia dell’intelligence raccolta se manca la rigorosa adozione della Chain of Custody e degli standard forensi.

Proprio per questa incertezza normativa, il mio consiglio è di non agire mai nella grey area senza un preventivo e documentato parere, che valuti il rischio e tracci il perimetro operativo lecito del defensive monitoring.

Per operare in modo lecito e minimizzare tale esposizione, l’organizzazione e il consulente devono necessariamente adottare un robusto modello di protocollo legale-tecnico (gcl – governance, compliance, legal). Per quanto riguarda la governance cti, l’attività deve essere rigorosamente limitata alla consultazione osint. Sul fronte degli adempimenti GDPR (preventivi), è imperativo garantire il principio di privacy by design attraverso l’hashing o la pseudonimizzazione immediata. Infine, in sede di protocolli forensi (successivi), qualunque dato acquisito destinato a essere utilizzato come prova deve essere trattato come una copia forense certificata e deve essere mantenuta una tracciabilità documentale ininterrotta della chain of custody.

L’attuale assetto giuridico, fortemente ancorato alla riserva statale in materia di ricerca della prova, costringe l’operatore privato a muoversi con estrema cautela. Ciò solleva la questione delle prospettive de jure condendo. Si rileva l’urgente necessità di una revisione legislativa che riconosca e scriminI esplicitamente la legittima attività difensiva e di prevenzione del crimine informatico svolta da soggetti privati (defensive monitoring). Solo attraverso un esplicito riconoscimento del lawful hacking-se limitato all’analisi difensiva e non volto all’attacco-sarà possibile risolvere in modo definitivo il conflitto tra l’inderogabile imperativo di sicurezza aziendale e la protezione penale degli interessi in gioco e consentire al settore della cybersecurity di operare con la certezza del diritto che la crescente minaccia informatica richiede.

L'articolo CTI e Dark Web: qual è il confine invisibile tra sicurezza difensiva e reato? proviene da Red Hot Cyber.

Off-Grid, Small-Scale Payment System

An effective currency needs to be widely accepted, easy to use, and stable in value. By now most of us have recognized that cryptocurrencies fail at all three things, despite lofty ideals revolving around decentralization, transparency, and trust. But that doesn’t mean that all digital currencies or payment systems are doomed to failure. [Roni] has been working on an off-grid digital payment node called Meshtbank, which works on a much smaller scale and could be a way to let a much smaller community set up a basic banking system.

The node uses Meshtastic as its backbone, letting the payment system use the same long-range low-power system that has gotten popular in recent years for enabling simple but reliable off-grid communications for a local area. With Meshtbank running on one of the nodes in the network, accounts can be created, balances reported, and digital currency exchanged using the Meshtastic messaging protocols. The ledger is also recorded, allowing transaction histories to be viewed as well.

A system like this could have great value anywhere barter-style systems exist, or could be used for community credits, festival credits, or any place that needs to track off-grid local transactions. As a thought experiment or proof of concept it shows that this is at least possible. It does have a few weaknesses though — Meshtastic isn’t as secure as modern banking might require, and the system also requires trust in an administrator. But it is one of the more unique uses we’ve seen for this communications protocol, right up there with a Meshtastic-enabled possum trap.

hackaday.com/2025/12/05/off-gr…

Allarme Apache: falle SSRF e credenziali NTLM esposte. Admin, aggiornate subito!

Un aggiornamento significativo è stato distribuito dalla Apache Software Foundation per il diffuso Apache HTTP Server, correggendo un totale di cinque vulnerabilità di sicurezza distinte. È raccomandato che gli amministratori eseguano questo aggiornamento il prima possibile al fine di assicurare che la loro infrastruttura web sia protetta contro i vettori individuati.

La versione 2.4.66, appena rilasciata, rappresenta una correzione complessiva di problematiche che includono sia loop infiniti durante il rinnovo dei certificati sia possibili perdite di credenziali NTLM su sistemi operativi Windows.

Due delle vulnerabilità individuate, classificate come “moderate”, costituiscono rischi specifici per le configurazioni di hosting condiviso che impiegano suexec e per gli ambienti Windows, mentre le restanti tre sono etichettate come “bassa” gravità.

Tra le correzioni più significative di questo aggiornamento figura il CVE-2025-59775, una falla di sicurezza relativa alla falsificazione delle richieste lato server (SSRF) che interessa Apache HTTP Server in esecuzione su Windows. Questa vulnerabilità, considerata di gravità moderata, si verifica a causa dell’interazione tra le impostazioni AllowEncodedSlashes On e MergeSlashes Off.

Secondo quanto affermato nella nota, questa configurazione “consente di divulgare potenzialmente hash NTLM a un server dannoso tramite SSRF e richieste o contenuti dannosi”. Ciò potrebbe consentire agli aggressori di raccogliere credenziali dall’ambiente server, rendendola una patch prioritaria per gli amministratori Windows.

La seconda falla di gravità moderata, il CVE-2025-66200, riguarda l’interazione tra mod_userdir e suexec. Questa vulnerabilità consente di aggirarla tramite la direttiva AllowOverride FileInfo. Il report osserva che “gli utenti con accesso alla direttiva RequestHeader in htaccess possono causare l’esecuzione di alcuni script CGI con un ID utente inaspettato”. Ciò interrompe di fatto l’isolamento previsto della funzionalità suexec, fondamentale per la sicurezza in ambienti multiutente.

L’aggiornamento risolve ulteriori tre problemi di lieve gravità che, sebbene meno critici, potrebbero interrompere le operazioni o creare comportamenti imprevisti:

• Ciclo infinito (CVE-2025-55753): un bug in mod_md (ACME) può causare un overflow durante i rinnovi di certificati non riusciti. Questo crea un potenziale scenario di esaurimento delle risorse.
• Problema relativo alla stringa di query (CVE-2025-58098): riguarda i server che utilizzano Server Side Includes (SSI) con mod_cgid. L’avviso afferma che il server “passa la stringa di query con escape della shell alle direttive #exec cmd=’…'”.
• Variable Override (CVE-2025-65082): questa falla riguarda “variabili impostate tramite la configurazione di Apache che sostituiscono inaspettatamente le variabili calcolate dal server per i programmi CGI”.

Si consiglia agli utenti di aggiornare alla versione 2.4.66 , che risolve il problema

L'articolo Allarme Apache: falle SSRF e credenziali NTLM esposte. Admin, aggiornate subito! proviene da Red Hot Cyber.

Vulnerabilità critiche in Splunk Enterprise e Universal Forwarder

I ricercatori di sicurezza hanno scoperto due vulnerabilità ad alto rischio (CVE-2025-20386 e CVE-2025-20387, con severity CVSS 8.0) che interessano la piattaforma Splunk Enterprise e i componenti Universal Forwarder.

Queste vulnerabilità derivano da autorizzazioni errate sui file di configurazione durante la distribuzione del software sui sistemi Windows, consentendo agli utenti non amministratori di accedere alla directory di installazione di Splunk e al suo intero contenuto.

Questa vulnerabilità non è una tradizionale vulnerabilità di esecuzione di codice remoto, ma piuttosto amplia la superficie di attacco attraverso un degrado della sicurezza locale. Nelle versioni interessate:

• Nuove installazioni o aggiornamenti potrebbero causare errori di configurazione delle autorizzazioni
• Gli utenti standard possono leggere file di configurazione e registri sensibili e possono persino manomettere i file nella directory.
• La piattaforma principale e il proxy di inoltro interessano le versioni di Windows precedenti a 10.0.2/9.4.6/9.3.8/9.2.10.

Splunk ha rilasciato una versione corretta e si consiglia agli utenti di aggiornarla immediatamente:

• Splunk Enterprise 10.0.2/9.4.6/9.3.8/9.2.10 o versioni successive
• Versione Universal Forwarder

Per gli utenti che non possono effettuare l’aggiornamento immediatamente, è possibile eseguire i seguenti comandi utilizzando lo strumento icacls di Windows per risolvere manualmente il problema:

1. Disabilita l’ereditarietà: icacls.exe “<percorso\verso\directory di installazione>” /inheritance:d
2. Rimuovi l’accesso degli utenti predefiniti: icacls.exe “<percorso\verso\directory di installazione>” /remove:g *BU/T/C
3. Rimuovere l’accesso degli utenti autenticati: icacls.exe “<percorso\verso\directory di installazione>” /remove:g *S-1-5-11/T/C
4. Riattivare l’ereditarietà (in modo sicuro): icacls.exe “<percorso\verso\directory di installazione>” /inheritance:e /T/C

L'articolo Vulnerabilità critiche in Splunk Enterprise e Universal Forwarder proviene da Red Hot Cyber.

Biogas Production For Surprisingly Little Effort

Probably most people know that when organic matter such as kitchen waste rots, it can produce flammable methane. As a source of free energy it’s attractive, but making a biogas plant sounds difficult, doesn’t it? Along comes [My engines] with a well-thought-out biogas plant that seems within the reach of most of us.

It’s based around a set of plastic barrels and plastic waste pipe, and he shows us the arrangement of feed pipe and residue pipe to ensure a flow through the system. The gas produced has CO2 and H2s as undesirable by-products, both of which can be removed with some surprisingly straightforward chemistry. The home-made gas holder meanwhile comes courtesy of a pair of plastic drums one inside the other.

Perhaps the greatest surprise is that the whole thing can produce a reasonable supply of gas from as little as 2 KG of organic kitchen waste daily. We can see that this is a set-up for someone with the space and also the ability to handle methane safely, but you have to admit from watching the video below, that it’s an attractive idea. Who knows, if the world faces environmental collapse, you might just need it.

youtube.com/embed/0EC0RMQUN68?…

hackaday.com/2025/12/04/biogas…

OpenAI sviluppa un nuovo framework per addestrare l’intelligenza artificiale all’onestà

OpenAI sta lavorando a un nuovo approccio di addestramento per aumentare la trasparenza nell’intelligenza artificiale e mitigare il rischio di fornire risposte prive di senso con eccessiva fiducia (Allucinazioni).

Secondo OpenAI, i modelli linguistici di grandi dimensioni (LLM) odierni vengono generalmente istruiti a produrre risposte che rispecchiano le aspettative degli utenti. Tuttavia, questo metodo comporta un effetto collaterale negativo: i modelli tendono a diventare sempre più propensi all’adulazione, accettando di concordare con gli utenti solo per assecondarli, oppure a fornire informazioni false con una sicurezza eccessiva, un fenomeno comunemente definito come allucinazione.

Il team ha sviluppato un framework, battezzato “Confession”, che si concentra sull’insegnare ai modelli di intelligenza artificiale a riconoscere e ammettere spontaneamente quando si sono comportati in modo inadeguato. In tal caso, vengono premiati per la loro onestà, anche se il comportamento scorretto persiste. Questo metodo innovativo mira a migliorare la capacità dei modelli di intelligenza artificiale di essere più trasparenti e affidabili nelle loro risposte.

Come spiegato dettagliatamente da OpenAI nella sua documentazione tecnica: se un modello ammette apertamente di aver manomesso un test, preso scorciatoie o addirittura violato le istruzioni, il sistema premierà tale ammissione. In questo modo, il modello impara a rivelare con precisione quando ha “mentito” o deviato dal comportamento previsto, consentendo al sistema di correggere i propri output in tempo reale e quindi ridurre le allucinazioni.

Per affrontare questo problema, il nuovo metodo di addestramento incoraggia i sistemi di intelligenza artificiale a fornire, accanto alla risposta primaria, una risposta secondaria che spieghi il ragionamento o il comportamento che ha prodotto l’output. Questo sistema di “Confessione” rappresenta un radicale cambiamento rispetto all’addestramento tradizionale: mentre le risposte normali vengono giudicate in base a utilità, accuratezza e conformità, la confessione viene valutata esclusivamente in base all’onestà.

L’obiettivo fondamentale di OpenAI è quello di promuovere l’onestà, stimolando i modelli a rivelare con trasparenza i propri meccanismi interni, anche se questi svelano punti deboli. Questa nuova capacità di ammissione potrebbe costituire un elemento essenziale per migliorare la sicurezza, l’affidabilità e la comprensibilità dei futuri modelli linguistici di ampia portata.

L'articolo OpenAI sviluppa un nuovo framework per addestrare l’intelligenza artificiale all’onestà proviene da Red Hot Cyber.

The complicated world of kids' online safety

WELCOME BACK TO THE MONTHLY FREE EDITION of Digital Politics.I'm Mark Scott, and will be splitting my time next week between Berlin and Brussels. If you're around and want to grab coffee, drop me a line.

— We're about to enter a new paradigm in how children use the internet. The global policy shift is a proxy for a wider battle over platforms' role in society.

— The European Union is shifting its approach to tech regulation. But these changes are not down to political rhetoric coming from the United States.

— How much would you sell your personal data for? France's privacy regulator figured out the sweet spot.

Let's get started:

WE'RE NOT IN KANSAS, ANYMORE

FOR THOSE INTERESTED IN KIDS ONLINE SAFETY, it's been a busy couple of weeks — and it's not slowing down. On Dec 10, Australia enacts its world-first social media ban (editor's note: Canberra calls it a 'postponement') for children under 16 years of age. On Dec 2, the US House of Representatives' subcommittee on commerce, manufacturing and trade debated 19 proposed bills to protect kids online. That includes a revamped Kids Online Safety Act, or KOSA, and the Reducing Exploitative Social Media Exposure for Teens Act, or RESET, that mirrors what Australia is about to enact.

In Europe, EU member countries just agreed to a joint position on how social media giants should handle suspected child online sexual abuse material. The biggest takeaway is officials' decision not to force these firms to automatically detect such illegal content on people's devices after privacy campaigners warned that would be akin to government surveillance. These national officials will now have to haggle a final agreement with both the European Commission and European Parliament before the long-awaited rules come into force.

To cap things off, the European Parliament passed a non-binding resolution to ban under-16s from accessing social media — a policy that everyone from Denmark to Malaysia is forging ahead with. US states from Texas to Missouri also have passed legislation requiring app stores to websites to verify that people are over 18-years-old before accessing potentially harmful content/services.

There's a lot of nuance to each of these moves. Much depends on the local context of each jurisdiction.

Globally, short-term attention will now focus on how Australia implements its social media ban (or postponement) on Dec 10. Tech firms say it'll cut children off from their friends online, as well as push them toward less safe areas of the internet that won't fall under the upcoming rules. Child rights advocates say Canberra's push to keep kids off social media until they turn 16 is a basic step after many of these platforms have been alleged to promote commercial interests over children's safety.

Thanks for reading the free monthly version of Digital Politics. Paid subscribers receive at least one newsletter a week. If that sounds like your jam, please sign up here.

Here's what paid subscribers read in November:
— The EU's 'Jekyll and Hyde" tech strategy; The tech industry's impact on climate change has gone from bad to worse; The collective spend of tech lobbying in Brussels. More here.
— Here are the tech policy implications if/when the AI bubble bursts; What you need to know about Europe's rewrite of its digital rules; ChatGPT's relationship with publishers. More here.
— The European Commission's power grab at the heart of the bloc's Digital Omnibus; We should prepare for the end of an American-led internet; What devices do children use, and at what age? More here.
— The US' apathy toward its G20 presidency provides an opportunity for other countries to step up; Washington again wants to stop US states from passing AI rules; Internet freedoms worldwide have declined over the last 15 years. More here.

These policy battles are best framed around the unanswerable question of which fundamental right should take precedent: privacy or safety? As much as I believe some lawmakers' statements about protecting kids online are a cover for other political priorities (more on that below), it now feels inevitable we're heading toward a global digital age of majority in which some online goods/services will remain off-limits to those under a certain age.

For that to work, a lot will depend on how people's ages are checked online — and how such age verification does not lead to individuals' personal data leaking out into the wider world. Yet in the coming years, children will almost certainly live within a more curtailed online environment — though one that will still include significant harms.

But let's get back to those other political priorities.

First things first: everyone can agree that children should be protected, both online and offline. I would argue that all online users should have the same levels of protection now being rolled out for minors. That includes limits on who can interact with people online, bans on the most egregious data collection and usage, and safety-by-design principles baked into platforms currently designed to maximum engagement.

Many of those officials pushing for child-focus online safety rules, worldwide, would agree with that, too. They just are aware that such society-wide efforts to pare back the control, addictiveness and business models of social media giants are a current political dead-end due to the extensive lobbying from these firms to water down any legislative/regulatory efforts around online safety.

This is not just the state of play in the US where many of the world's largest social media platforms have embraced the White House's public aversion to online safety rules. From Canberra to Brasilia to Brussels, companies have successfully argued that such legislation can be an impediment to free speech and an unfair burden on commercial enterprises.

Even in countries that have passed such online safety rules, officials remain extremely cautious about taking a too hard line on companies, often preferring self- or co-regulation, as a first step, before rolling out aggressive enforcement.

That's why there's been a significant shift to focus on child-specific online safety rules worldwide. Yes, kids should be protected against harms more so than adults. But in framing legislation around the specifics of child rights, lawmakers can often sidestep accusations of censorship and/or overreach that would come if they attempted similar legislation for the whole of society.

I do not want to diminish the real-world harm that social media can pose to children. Nor do I think kids' online safety legislation should be put on the back burner until a consensus can be reached on how to oversee the platforms, more broadly.

But as we head toward the end of 2025, the disconnect between the growing number of online child safety efforts and the diminishing impetus (outside of a few countries) to tackle the society-wide impact of social media is hard to ignore. If lawmakers consider that data profiling, addictive recommender systems and online grooming — fueled by social media — are harmful to children, then why do they believe such practices are OK for adults?

Confronted with the current political reality, however, lawmakers have made the tactical decision to pare back expectations on passing comprehensive online safety rules to focus solely on online child safety. It's deemed as a safer political bet to pass some form of legislation whose protections, in a perfect world, would apply to both minors and adults, alike.

Chart of the week

IT'S BECOME A CLICHE TO SAY that because none of us pay for social media, then we — and our data — are actually the product (served up to advertisers).

To figure out how much people would be willing to sell their personal information for, France's privacy regulator surveyed more than 2,000 locals about their attitudes toward what price they would be willing to accept for such sensitive information.

Roughly one-third of the respondents said they wouldn't sell their data at any price. But among the other two-thirds of individuals, the sweet spot fell somewhere between €10-€30, or $12-$35, a month.
Source: Commission nationale de l'informatique et des libertés

What is really driving the transatlantic digital relationship

TWO SIGNIFICANT EVENT IN EU-US digital relations have occurred in the last 12 months.

First, the European Commission has embraced a deregulatory agenda spurred on by Mario Draghi's competitiveness report from 2024. This pullback was encapsulated by Brussels' recent so-called Digital Omnibus that proposed significant changes to the bloc's privacy and upcoming artificial intelligence rules. Here's me on why the revamp isn't as bad as many suspect.

Second, Donald Trump became the 47th president of the United States. Among his many White House executive orders, he took aim at global digital regulation from democratic allies, particularly those enacted in Europe, as well as pulling back on all rules (and international efforts) associated with AI governance.

The perceived wisdom is that these two digital geopolitical events are connected. That in its efforts to maintain security and economic ties to the US, the EU has thrown its digital rulebook under the bus to placate increasing criticism from Trump's administration and its allies in Congress.

This theory is wrong.

It's not that US officials aren't vocally lobbying their European counterparts to rethink the likes of the Artificial Intelligence Act, Digital Services Act and Digital Markets Act. They are — including US Commerce Secretary Howard Lutnik's recent comments in Brussels to that effect. (What many misremember is that such criticism, although less public, also came from Joe Biden's administration.)

But to make the binary connection between Washington's talking points and Brussels' digital policymaking rethink is to miss the complexities behind the current transatlantic relationship.

Even before the current European Commission took over in late 2024, there were signs that EU leaders wanted to press the pause button on new digital rules. Brussels passed a litany of new tech regulation in the previous five years. National leaders and executives from European companies increasingly questioned if such oversight was in the Continent's long-term economic interests.

Then came Draghi's competitiveness report, the comprehensive victory of the center-right (and pro-industry) European People's Party in the 2024 European Parliament elections and the return of Ursula von der Leyen as European Commission president, whose own interests in digital policymaking left a lot to be desired.

Sign up for Digital Politics

Thanks for getting this far. Enjoyed what you've read? Why not receive weekly updates on how the worlds of technology and politics are colliding like never before. The first two weeks of any paid subscription are free.

Subscribe
Email sent! Check your inbox to complete your signup.

No spam. Unsubscribe anytime.

That tilted the scales significantly in favor of greater deregulation as Europe tried to bolster its sluggish economy, take advantage of AI advances and respond to European industry's claims that EU-wide digital regulation was hampering its ability to compete against US and Chinese rivals.

While that context has become mired in the geopolitics of Washington's seeming reduced support for Ukraine, the main driver for Brussels' about-turn on digital rules is internal, not external, political and economic pressure.

That takes us to Washington's aversion to digital regulation.

To be clear: this did not start with Trump 2.0. Throughout the Biden administration, US officials routinely scolded their European counterparts about hurting the economic interests of US tech companies. That came even as the former White House administration tried, unsuccessfully, to impose greater oversight on Silicon Valley via Congress.

Under the current White House, such criticism — and potential trade consequences — has been turned up to 11. But if you dig into how the Trump administration approaches tech regulation, much of the pushback against Europe is more performative than it may first appear.

On digital competition, it's arguable that the US Department of Justice is going further in its efforts to break up Big Tech than the European Commission and its Digital Markets Act. Yes, recent legal rulings may have hobbled American officials' efforts. But Washington remains a strong advocate for greater online market competition — even as federal officials side with Silicon Valley in their aversion to international ex ante regulation.

On platform governance, it's too easy to suggest US officials are wedded to First Amendment arguments as they criticize the EU's Digital Services Act. It's true that many misunderstand how that legislation actually works — in that it doesn't pass judgement on content, but instead reviews so-called systemic risks associated with how these platforms work.

But if you look at last year's request for informationfrom the US Federal Trace Commission concerning alleged "platform censorship," then many of the points could be taken directly from Europe's online safety rulebook. That includes demands that social media giants explain how they make content moderation decisions, as well as provide greater redress for users who believe they have been hard done by. That's an almost word-for-word copy of what is currently available under the EU's Digital Services Act.

I'm not saying Trump's criticism has not played into the politics of Europe's digital rethink — including when certain enforcement decisions against Big Tech companies have been announced.

But it is just not true that Europe has caved in to American pressure when it comes to its digital policymaking u-turn. Instead, there are sufficient internal pressures — both economic and political — from across the 27-country bloc that are driving the current revamp.

As for Washington, it's less to do with officials' dislike for digital rulemaking, though one exception could be made for the White House's stance on artificial intelligence. For me, it's more to do with oversight of American companies originating from overseas — and not from Capitol Hill.

Within that context, it's best to view the current statements from the Trump administration less as "no regulation, ever," and more as "leave the oversight of US firms to American lawmakers."

What I'm reading

— The University of Amsterdam's DSA Observatory sketches out the current state of play for enforcement under the EU's online safety rules. More here.

— The United Kingdom's Ofcom regulator outlines non-binding rules for how online platforms should handle online harms against women and girls. More here.

— The White House published its so-called "Genesis Mission" to jumpstart the use of federal resources for AI-enable scientific research. More here.

— The European venture capital firm Atomico published its annual report on the state of the Continent's technology start-up technology industry. More here.

digitalpolitics.co/newsletter0…

La trasformazione digitale nel Golfo: i modelli di sviluppo tecnologico

Nel Golfo è tempo di grandi cambiamenti geopolitici.

Risulta evidente da tempo che le dinamiche fra i grandi attori mediorientali stiano infatti attraversando profondi mutamenti.

I fattori da considerare in questa equazione in divenire includono naturalmente il rapporto con Israele e la causa palestinese, ma non solo. La corsa alla digitalizzazione e all’AI, lo sviluppo di nuovi ecosistemi tecnologici, uniti alle preoccupazioni securitarie delle monarchie del Golfo, stanno infatti creando una certa divergenza fra quelli che sono i modelli e gli obiettivi strategici degli attori statali nell’area arabica.

Fra tutti, Arabia Saudita, Emirati Arabi Uniti e Qatar si distinguono per sforzo di proiezione della propria influenza all’estero, quanto per le scelte progettuali, economiche e di natura militare. Il maggiore campo di confronto per i regni arabi rimane comunque quello tecnologico, in quanto le monarchie del Golfo condividono una sfida comune: ridefinire le loro economie strutturalmente basate sugli idrocarburi verso nuovi archetipi di economie digitali attraverso investimenti massicci in intelligenza artificiale (AI), infrastrutture tecnologiche e capitale umano.

Pur condividendo l’obiettivo di modernizzazione e diversificazione, quindi, ciascuna nazione ha adottato un orientamento strategico differente, coerente con le proprie caratteristiche socioeconomiche, politiche e geografiche.

La trasformazione digitale nel Golfo si colloca all’interno di un processo di rinnovamento strutturale che coinvolge l’intera regione e che trova nelle monarchie petrolifere attori accomunati da un set di condizioni strutturali simili: risorse finanziarie significative, forte centralità dell’esecutivo nella definizione delle priorità di investimento e una crescente consapevolezza della necessità di diversificare le economie nazionali.

Le analogie emergono innanzitutto sul piano degli obiettivi generali. Arabia Saudita, Emirati Arabi Uniti e Qatar convergono nella volontà di costruire economie basate sulla conoscenza tecnica, attraendo talenti, sviluppando capacità tecnologiche avanzate e posizionandosi così come poli regionali nella digital economy e nei servizi ad alta specializzazione. Tutti e tre hanno inoltre adottato strategie nazionali di lungo periodo (la Vision 2030 saudita, la UAE Centennial 2071 e la Qatar National Vision 2030) che collocano la trasformazione digitale tra i pilastri della sicurezza economica futura.

Sul piano degli strumenti, esiste una dinamica comune: i tre governi guidano direttamente la trasformazione tramite fondi sovrani, programmi industriali e investimenti infrastrutturali di larga scala. Il Public Investment Fund saudita, Mubadala e ADQ negli Emirati e il Qatar Investment Authority sono enti centrali non solo della diversificazione economica, ma anche della costruzione di un ecosistema digitale nazionale basato su data center, cloud, investimenti in semiconduttori e programmi di IA.

Le strategie nazionali dell’IA confermano questa convergenza: la Saudi Data & AI Authority (SDAIA) dal 2019 ha il compito di costruire un’economia data-driven con obiettivi misurabili, tra cui l’aumento del contributo dell’IA al PIL entro il 2030; gli Emirati sono stati il primo paese al mondo a nominare un Ministro per l’Intelligenza Artificiale già nel 2017 e hanno lanciato il piano UAE AI Strategy 2031; il Qatar, tramite l’iniziativa TASMU, punta a utilizzare infrastrutture digitali per migliorare servizi pubblici, smart government e industria, affiancando investimenti significativi nell’istruzione avanzata e nei centri di ricerca, come la Qatar Foundation e la Qatar Computing Research Institute, le quali giocano un ruolo essenziale nella formazione di capitale umano specializzato.

Se queste analogie descrivono la traiettoria generale della regione, le differenze emergono nella declinazione concreta del quadro di sviluppo. Il Regno Saudita sta costruendo un modello caratterizzato da una fortissima centralizzazione, con enormi progetti come NEOM che prevedono infrastrutture digitali integrate, smart cities, reti di sensori, data center di scala regionale e collaborazioni industriali per costruire un tessuto tecnologico nazionale capace di attrarre aziende globali.

Gli Emirati adottano invece un approccio più diversificato e competitivo, basato su poli urbani specializzati (Dubai come hub fintech, Abu Dhabi come polo industriale e militare avanzato) e un forte coinvolgimento del settore privato internazionale tramite free zones, politiche fiscali favorevoli e programmi governativi orientati alla collaborazione con multinazionali, startup e centri di ricerca stranieri. Il Qatar, infine, sviluppa un modello più compatto ma ad alta densità di capitale umano, puntando meno sul gigantismo infrastrutturale e più sull’istruzione, la ricerca, la cybersecurity e l’attrazione di università e laboratori internazionali nel quadro di Education City.

L’emirato qatariota ha infatti scelto un approccio maggiormente istituzionale che mira a integrare tecnologia e governance pubblica in modo misurato, senza la stessa accelerazione visibile negli Emirati o nella Vision saudita.

Le divergenze strategiche non riguardano solo la struttura delle architetture digitali ma anche la configurazione di alleanze esterne. È qui che subentra il grande tema della normalizzazione con Israele. L’apertura diplomatica degli Emirati inaugurata con gli Accordi di Abramo del 2020 ha infatti accelerato la possibilità di cooperazione tecnologica con uno dei principali centri mondiali in termini di cybersecurity, difesa digitale e tecnologie dual-use.

Fonti pubbliche confermano accordi industriali e militari tra aziende emiratine e israeliane, incluse collaborazioni su sistemi autonomi e scambio di competenze nel campo della cyber-difesa. Questa cooperazione, pur non costituendo l’asse principale della strategia digitale emiratina, amplia l’accesso a know-how avanzato e rafforza la capacità degli EAU di posizionarsi come hub di sicurezza digitale e innovazione regionale.

L’Arabia Saudita adotta una posizione più prudente. Non esistono accordi ufficiali e la normalizzazione rimane un tema diplomaticamente aperto, sebbene estremamente sensibile a livello di opinione pubblica interna. Tuttavia, la ricerca di tecnologie avanzate nel settore della difesa, la crescente integrazione con gli Stati Uniti e il ruolo del PIF nella costruzione di joint venture internazionali indicano che Riad valuta seriamente scenari di cooperazione tecnologica con Israele, se e quando il quadro politico lo renderà possibile. Per il Qatar, la situazione è piuttosto diversa.

A differenza delle altre due monarchie, Doha, che rimane mediatore diplomatico nel conflitto israelo-palestinese, mantiene una posizione distante da eventuali accordi con lo Stato ebraico, come testimoniato dall’attacco missilistico che ha colpito la capitale nel mese di settembre. Il Qatar concentra infatti le proprie alleanze digitali su Stati Uniti, Turchia, Unione Europea e partner asiatici, sviluppando un modello di autonomia strategica in cui l’innovazione tecnologica si integra con la proiezione diplomatica e con il ruolo geopolitico del Paese.

La trasformazione digitale delle tre monarchie del Golfo nasce dunque da simili condizioni ma produce modelli distinti. L’Arabia Saudita punta ad un’idea di potenza regionale fondata su capacità infrastrutturali senza precedenti e sul protagonismo statale; gli Emirati scelgono un approccio policentrico, competitivo e aperto all’integrazione di capitale privato e partnership esterne, incluse quelle con Israele; il Qatar investe in capitale umano, ricerca e governance tecnologica per consolidare un ecosistema agile e meno dipendente da dinamiche geopolitiche controverse.

Ciò che accomuna i tre paesi è la consapevolezza che la competizione digitale è ormai una dimensione strutturale della sicurezza nazionale. Ciò che li distingue, invece, è il paradigma attraverso cui trasformare questa consapevolezza in influenza regionale e resilienza economica nel lungo periodo.

L'articolo La trasformazione digitale nel Golfo: i modelli di sviluppo tecnologico proviene da Red Hot Cyber.

Assicurazione cyber: si al paracadute, ma nessuno ti salverà se trascuri le basi

L’assicurazione informatica è diventata un argomento nei comitati di gestione. Non è più un elemento aggiuntivo, ma piuttosto un elemento essenziale da considerare nella gestione del rischio aziendale.

Tuttavia, molte aziende fanno affidamento su una rete di sicurezza che potrebbe venir meno proprio quando ne hanno più bisogno. E non a causa di attacchi avanzati, ma a causa di falle fondamentali che rimangono irrisolte.

Il falso senso di falsa protezione

Le polizze assicurative per la sicurezza informatica sono progettate per ridurre l’impatto finanziario di un incidente, ma non sono un assegno in bianco. Nella pratica, molte aziende ricevono solo pagamenti parziali o addirittura si vedono respinte le richieste di risarcimento.

Il motivo è solitamente il mancato rispetto dei controlli minimi richiesti dall’assicuratore: autenticazione a più fattori, gestione delle patch, igiene delle credenziali e piani di risposta documentati.

Se queste misure sono assenti o non applicate in modo coerente, la copertura si indebolisce.

La maggior parte degli attacchi non sono sofisticati

Mentre i titoli dei giornali si concentrano sullo spionaggio o sugli attori statali, i dati raccontano una storia diversa. Secondo il rapporto DBIR 2025 di Verizon, il 22% delle violazioni è iniziato con l’uso improprio delle credenziali, il 20% è derivato da vulnerabilità non corrette e il 16% da attacchi di phishing.

Nel frattempo, gli incidenti che coinvolgono spionaggio o distruzione di dati hanno rappresentato solo il 2% del totale, secondo IBM X-Force. La realtà è chiara: la maggior parte degli attacchi sono semplici, opportunistici e sfruttano falle che avrebbero dovuto essere corrette molto tempo fa.

Il ciclo si ripete fin troppo spesso: un’azienda stipula un’assicurazione informatica, si sente protetta e sposta la sua attenzione sulle minacce “avanzate”. Col tempo, i controlli di base vengono applicati in modo incoerente o trascurati. Quando si verifica una violazione dovuta a una vulnerabilità fondamentale, l’assicuratore può negare il pagamento per inadempienza. Il risultato è un falso senso di sicurezza che maschera una mancanza di disciplina operativa.

Cosa valutano realmente le compagnie assicurative

Le compagnie assicurative stanno diventando sempre più rigorose. Affermare semplicemente che i controlli esistono non è più sufficiente: ora richiedono una prova continua che questi controlli siano in atto e funzionanti. E questo vale non solo per la firma iniziale del contratto, ma anche per i rinnovi e dopo un sinistro. Se il livello di maturità effettivo della compagnia non corrisponde a quanto indicato nella polizza, la copertura può essere ridotta o annullata.

La buona notizia è che queste minacce informatiche sono prevenibili, ma la prevenzione richiede coerenza. Il monitoraggio continuo delle credenziali trapelate consente di intervenire prima che si verifichino accessi non autorizzati. La risposta al phishing non può più limitarsi alla formazione; deve includere l’identificazione e la rimozione di domini fraudolenti e profili falsi.

Per quanto riguarda la gestione delle patch, è fondamentale dare priorità alle vulnerabilità con exploit attivi piuttosto che concentrarsi esclusivamente sul volume.

L’assicurazione informatica riflette la postura di sicurezza di un’azienda: premia la maturità e penalizza l’inerzia. Non sostituisce la disciplina operativa né copre le debolezze strutturali rimaste irrisolte.

Concludendo

Se un’organizzazione si affida all’assicurazione informatica per assorbire l’impatto di un attacco informatico, deve prima assicurarsi di aderire ai controlli che rendono valida tale copertura. Perché nella sicurezza informatica, ciò che fa davvero la differenza non è mai la polizza in sé, ma l’igiene di base.

Forse per molti tutto questo non è chiaro. Ma è importanti soffermarci a comprendere che l’assicurazione cyber è un buon paracadute. Ma se non sei capace ad atterrare, tutto può essere vanificato.

L'articolo Assicurazione cyber: si al paracadute, ma nessuno ti salverà se trascuri le basi proviene da Red Hot Cyber.

Supply Chain Digitale: perché un fornitore può diventare un punto critico

L’aumento esponenziale dell’interconnessione digitale negli ultimi anni ha generato una profonda interdipendenza operativa tra le organizzazioni e i loro fornitori di servizi terzi. Questo modello di supply chain digitale, se da un lato ottimizza l’efficienza e la scalabilità, dall’altro introduce un rischio sistemico critico: una vulnerabilità o un fallimento in un singolo nodo della catena può innescare una serie di conseguenze negative che mettono a repentaglio l’integrità e la resilienza dell’intera struttura aziendale.

Il recente attacco verso i sistemi di myCicero S.r.l., operatore di servizi per il Consorzio UnicoCampania, rappresenta un caso emblematico di tale rischio.

La notifica di data breach agli utenti (Figura 1), eseguita in ottemperanza al Regolamento Generale sulla Protezione dei Dati (GDPR), va oltre la semplice conformità formale. Essa rappresenta la prova che una singola vulnerabilità all’interno della catena di fornitura può portare all’esposizione non autorizzata dei dati personali di migliaia di utenti, inclusi, come nel seguente caso, potenziali dati sensibili relativi a documenti di identità e abbonamenti studenteschi.
Figura1. Comunicazione UnicoCampania

Il caso myCicero – UnicoCampania

Il Consorzio UnicoCampania, l’ente responsabile dell’integrazione tariffaria regionale e del rilascio degli abbonamenti agevolati per gli studenti, ha ufficialmente confermato un grave data breach che ha colpito l’infrastruttura di un suo fornitore chiave: myCicero S.r.l.

L’incidente, definito come un “sofisticato attacco informatico perpetrato da attori esterni non identificati”, si è verificato tra il 29 e il 30 marzo 2025.

La complessità del caso risiede nella stratificazione dei ruoli di trattamento dei dati. In particolare, nella gestione del servizio abbonamenti, il Consorzio UnicoCampania agiva in diverse vesti:

• Titolare o Contitolare: per la gestione dell’account utente, le credenziali e l’emissione dei titoli di viaggio.
• Responsabile del Trattamento (per conto della Regione Campania): per l’acquisizione e la verifica della documentazione necessaria a comprovare i requisiti soggettivi per le agevolazioni tariffarie.

L’attacco ha portato all’esfiltrazione di dati non codificati sensibili. Queste includono:

• Dati anagrafici, di contatto, credenziali di autenticazione (username e password, sebbene cifrate);
• Immagini dei documenti di identità, dati dichiarati per l’attestazione ISEE e particolari categorie di dati (es. informazioni sulla salute, come lo stato di invalidità) se emergenti dalla documentazione ISEE [1].
• Dati personali appartenenti a soggetti minorenni e ai loro genitori [1].

Invece, i dati relativi a carte di credito o altri strumenti di pagamento non sono stati coinvolti, in quanto non ospitati sui sistemi di myCicero.
Figura2. Dati esfiltrati
In risposta all’incidente, myCicero ha immediatamente sporto formale denuncia e attivato un piano di remediation volto a rafforzare l’infrastruttura. Parallelamente, il consorzio UnicoCampania ha informato tempestivamente le Autorità competenti e ha implementato una misura drastica per mitigare il rischio derivante dalle password compromesse: tutte le credenziali coinvolte e non modificate dagli utenti entro il 30 settembre 2025 sono state definitivamente cancellate e disabilitate il 1° ottobre 2025.

Azione e Difesa: Come Reagire

Di fronte a un incidente di questa portata, l’utente finale sperimenta spesso un senso di vulnerabilità. Per ridurre l’esposizione al rischio e limitare potenziali danni derivanti da un data breach, si raccomanda di seguire le seguenti misure di mitigazione e rafforzamento della sicurezza:

1. Gestione delle Credenziali:
   
   • Utilizzare stringhe complesse e lunghe, che integrino numeri, simboli e una combinazione di caratteri maiuscoli e minuscoli;
   • Non usare come password termini comuni, sequenze logiche o dati personali (e.g. nome, data di nascita);
   • Usare il prinicipio di unicità: usare credenziali uniche per ciascun servizio utilizzato;
   • Modificare le proprie credenziali con cadenza periodica, evitando di riutilizzarle nel tempo;
   • Abilitare l’autenticazione a più fattori (MFA) ove possibile;

   
   

2. Prevenzione del phishing
   
   • In caso di ricezione di e-mail o SMS sospetti, eseguire sempre una verifica dell’identità del mittente e non fornire mai dati sensibili in risposta;
   • Verificare l’autenticità di qualsiasi richiesta urgente (specie quelle relative a verifica dati o pagamenti) esclusivamente contattando l’operatore tramite i suoi canali di comunicazione ufficiali (sito web o numero di assistenza noto);
   • Evitare di cliccare su link ipertestuali (hyperlinks) o aprire allegati inattesi o provenienti da fonti non verificate;
   • Prestare particolare attenzione a richieste che inducono un senso di urgenza o che sfruttano la psicologia per indurre a fornire informazioni.

   
   

L'articolo Supply Chain Digitale: perché un fornitore può diventare un punto critico proviene da Red Hot Cyber.

La Commissione Europea indaga su Meta per l’integrazione dell’AI in WhatsApp

Nove mesi dopo la sua implementazione in Europa, lo strumento di intelligenza artificiale (IA) conversazionale di Meta, integrato direttamente in WhatsApp, sarà oggetto di indagine da parte della Commissione Europea.

Lo hanno dichiarato due funzionari dell’istituzione di Bruxelles al quotidiano britannico The Financial Times. La notizia non è ancora stata confermata ufficialmente, ma potrebbe esserlo nei prossimi giorni, secondo le stesse fonti.

Le normative antitrust in gioco

L’esecutivo dovrà stabilire se Meta abbia violato le normative antitrust europee integrando la sua intelligenza artificiale nel suo servizio di messaggistica. Rappresentata da un cerchio blu e viola nell’app, questa funzionalità è descritta come “un servizio Meta opzionale che utilizza modelli di intelligenza artificiale per fornire risposte”.

Lo strumento viene utilizzato, in particolare, per scrivere messaggi ad altri utenti. Può anche essere utilizzato in una conversazione tramite la menzione “@MetaAI”.

Lo scorso marzo, Meta ha spiegato di aver impiegato “più tempo del previsto” per implementare questo sistema in Europa a causa del suo “complesso sistema normativo europeo” . “Ma siamo lieti di esserci finalmente riusciti”, ha dichiarato l’azienda di Mark Zuckerberg, lasciando intendere di aver esaminato attentamente la conformità dell’implementazione alle norme sulla concorrenza dell’Unione Europea. Ora spetta agli inquirenti di Bruxelles verificarlo.

Una prima indagine in Italia

In Italia, l’Autorità Garante della Concorrenza e del Mercato sta indagando su questo caso da luglio. L’obiettivo è stabilire se Meta abbia abusato della sua posizione dominante installando il suo strumento di intelligenza artificiale su WhatsApp senza il consenso dell’utente e con il potenziale di danneggiare i suoi concorrenti.

L’integrazione dell’intelligenza artificiale di Meta potrebbe infatti essere vista come un modo scorretto per indirizzare gli utenti di WhatsApp verso il servizio di intelligenza artificiale di Meta e quindi “bloccarli” nel suo ecosistema.

L’indagine è ancora in corso ed è stata addirittura ampliata mercoledì 26 novembre, come riportato dall’agenzia di stampa britannica Reuters. Ora riguarda anche i nuovi termini di servizio di WhatsApp Business, nonché le nuove funzionalità di intelligenza artificiale integrate nell’app di messaggistica. Secondo Roma, queste modifiche “potrebbero limitare la produzione, l’accesso al mercato o gli sviluppi tecnici nel mercato dei servizi di chatbot basati sull’intelligenza artificiale” .

L'articolo La Commissione Europea indaga su Meta per l’integrazione dell’AI in WhatsApp proviene da Red Hot Cyber.

Neurodivergenti in cybersecurity: quando il bug è il tuo superpotere

I manuali di crescita personale vendono l’hyperfocusing come segreto del successo. Le routine come chiave della produttività. L’uscita dalla comfort zone come panacea universale.

Ma Jeff Bezos (ADHD), Elon Musk (Asperger) e Richard Branson (dislessico) non hanno scoperto l’hyperfocus leggendo un libro di autoaiuto: ci sono nati.

Thomas Edison era ossessivo e incapace di concentrarsi a lungo su un solo compito, eppure ha inventato la lampadina. Leonardo Da Vinci lasciava opere in sospeso perché la sua mente correva in troppe direzioni. Einstein imparò tardi a leggere, a scrivere e a parlare. Oggi probabilmente sarebbero tutti diagnosticati come neurodivergenti. E il mondo li considererebbe “problematici”.

Il paradosso della normalità

Il punto è che chiamiamo “disturbo”, “sindrome” o “malattia” (disease) una diversa modulazione dell’intelligenza. L’ADHD non è solo distrazione: è anche multitasking estremo. L’autismo non è solo chiusura sociale: è anche un pensiero sistemico profondo. La dislessia non è solo un deficit di lettura: è anche un talento per l’innovazione non convenzionale.

E non è solo un’impressione: diversi studi neuroscientifici confermano il legame tra alcune forme di neurodivergenza e la capacità di risolvere problemi in modo creativo, vedere pattern invisibili agli altri, resistere a manipolazioni che funzionano sulla maggioranza delle persone.

Non sono errori di fabbrica: sono varianti evolutive. Eppure continuiamo a costruire programmi didattici, piattaforme digitali, sistemi e processi di sicurezza su un modello unificato. Forziamo cervelli diversi a imitare modelli che non gli appartengono… e poi ci stupiamo quando falliscono o vengono manipolati.

La profilazione cognitiva è già qui

La società tratta le persone come animali da addestrare con premi (bonus, gamificazione, promozioni) e punizioni standardizzate (licenziamenti e richiami). Ma le piattaforme digitali hanno capito tutto: progettano algoritmi che massimizzano il tuo engagement sfruttando esattamente le tue differenze cognitive specifiche.

Piattaforme come Google, TikTok e ChatGPT non ti trattano come utente medio: ti profilano, inferiscono il tuo funzionamento cognitivo, ti procurano stimoli calibrati sulle tue vulnerabilità personali. E se sei neurodivergente, per loro non sei un utente problematico o disturbato: sei un utente ad alto valore, perché il tuo comportamento è più prevedibile.

Un cervello ADHD reagisce in modo più intenso agli stimoli di novità continua: TikTok è progettato esattamente per questo. Un cervello autistico cerca pattern e coerenza: gli algoritmi di raccomandazione sfruttano proprio questa caratteristica. Un cervello dislessico privilegia informazioni visive: Instagram e Pinterest lo sanno benissimo.

Il vantaggio competitivo nascosto

Ma c’è un rovescio della medaglia. Le stesse caratteristiche che rendono i neurodivergenti vulnerabili ad alcune manipolazioni, li rendono immuni ad altre.

L’autismo filtra naturalmente molte tecniche di ingegneria sociale basate sull’emotività immediata. L’ADHD sfugge a manipolazioni che richiedono attenzione sequenziale prolungata. La dislessia potenzia la pattern recognition visiva e riduce l’efficacia del framing linguistico.

Un team di cybersecurity con membri neurodivergenti vede vulnerabilità che un team omogeneo ignora. Perché guardano il sistema da angolazioni diverse, fanno domande “strane”, notano incoerenze che altre persone considerano irrilevanti.

Il problema è che i processi di selezione, formazione e lavoro sono progettati per cervelli “standard” che in realtà rappresentano solo una minoranza della popolazione reale.

Il costo dell’esclusione

Secondo i dati europei, solo il 30% degli adulti autistici ha un impiego stabile, nonostante molti di essi abbiano qualifiche elevate. I laureati STEM con ADHD o dislessia hanno tassi di disoccupazione superiori alla media, non per mancanza di competenze ma per inadeguatezza dei processi di recruiting.

L’Italia è agli ultimi posti tra i Paesi UE per competenze digitali di base: solo il 45% degli italiani le possiede secondo l’indice DESI 2025. E la percentuale crolla ulteriormente se guardiamo l’inclusione lavorativa delle persone neurodivergenti.

Non è solo una questione etica. È un problema economico e di sicurezza nazionale. Stiamo sprecando talenti che potrebbero fare la differenza nella difesa cyber, nell’innovazione tecnologica, nella resilienza organizzativa.

Verso una security cognitivamente inclusiva

La cybersecurity deve smettere di trattare il fattore umano come variabile da standardizzare. Le persone non sono utenti medi: sono ecosistemi cognitivi diversi, ognuno con vulnerabilità e punti di forza specifici.

La formazione security awareness tradizionale fallisce sistematicamente con il 15-20% dei dipendenti. Non perché siano stupidi o disattenti: perché il loro cervello funziona diversamente e nessuno ha progettato contenuti adatti a loro.

La diversità cognitiva non è una quota CSR da riempire: è un vantaggio competitivo da proteggere e sviluppare. Ma solo se i processi sono progettati per il cervello che le persone hanno realmente, non per un cervello ideale che esiste solo nei manuali.

Se vuoi approfondire come trasformare la neurodivergenza da vulnerabilità percepita a risorsa strategica in ambito cybersecurity, il libroCYBERCOGNITIVISMO 2.0 – Manipolazione, Persuasione e Difesa Digitale(in arrivo su Amazon) dedica un’intera sezione all’analisi delle vulnerabilità cognitive specifiche e propone modelli operativi per una security awareness cognitivamente inclusiva.

L'articolo Neurodivergenti in cybersecurity: quando il bug è il tuo superpotere proviene da Red Hot Cyber.

Exploits and vulnerabilities in Q3 2025

In the third quarter, attackers continued to exploit security flaws in WinRAR, while the total number of registered vulnerabilities grew again. In this report, we examine statistics on published vulnerabilities and exploits, the most common security issues impacting Windows and Linux, and the vulnerabilities being leveraged in APT attacks that lead to the launch of widespread C2 frameworks. The report utilizes anonymized Kaspersky Security Network data, which was consensually provided by our users, as well as information from open sources.

Statistics on registered vulnerabilities

This section contains statistics on registered vulnerabilities. The data is taken from cve.org.

Let us consider the number of registered CVEs by month for the last five years up to and including the third quarter of 2025.

Total published vulnerabilities by month from 2021 through 2025 (download)

As can be seen from the chart, the monthly number of vulnerabilities published in the third quarter of 2025 remains above the figures recorded in previous years. The three-month total saw over 1000 more published vulnerabilities year over year. The end of the quarter sets a rising trend in the number of registered CVEs, and we anticipate this growth to continue into the fourth quarter. Still, the overall number of published vulnerabilities is likely to drop slightly relative to the September figure by year-end

A look at the monthly distribution of vulnerabilities rated as critical upon registration (CVSS > 8.9) suggests that this metric was marginally lower in the third quarter than the 2024 figure.

Total number of critical vulnerabilities published each month from 2021 to 2025 (download)

Exploitation statistics

This section contains exploitation statistics for Q3 2025. The data draws on open sources and our telemetry.

Windows and Linux vulnerability exploitation

In Q3 2025, as before, the most common exploits targeted vulnerable Microsoft Office products.

Most Windows exploits detected by Kaspersky solutions targeted the following vulnerabilities:

• CVE-2018-0802: a remote code execution vulnerability in the Equation Editor component
• CVE-2017-11882: another remote code execution vulnerability, also affecting Equation Editor
• CVE-2017-0199: a vulnerability in Microsoft Office and WordPad that allows an attacker to assume control of the system

These vulnerabilities historically have been exploited by threat actors more frequently than others, as discussed in previous reports. In the third quarter, we also observed threat actors actively exploiting Directory Traversal vulnerabilities that arise during archive unpacking in WinRAR. While the originally published exploits for these vulnerabilities are not applicable in the wild, attackers have adapted them for their needs.

• CVE-2023-38831: a vulnerability in WinRAR that involves improper handling of objects within archive contents We discussed this vulnerability in detail in a 2024 report.
• CVE-2025-6218 (ZDI-CAN-27198): a vulnerability that enables an attacker to specify a relative path and extract files into an arbitrary directory. A malicious actor can extract the archive into a system application or startup directory to execute malicious code. For a more detailed analysis of the vulnerability, see our Q2 2025 report.
• CVE-2025-8088: a zero-day vulnerability similar to CVE-2025-6128, discovered during an analysis of APT attacks The attackers used NTFS Streams to circumvent controls on the directory into which files were unpacked. We will take a closer look at this vulnerability below.

It should be pointed out that vulnerabilities discovered in 2025 are rapidly catching up in popularity to those found in 2023.

All the CVEs mentioned can be exploited to gain initial access to vulnerable systems. We recommend promptly installing updates for the relevant software.

Dynamics of the number of Windows users encountering exploits, Q1 2023 — Q3 2025. The number of users who encountered exploits in Q1 2023 is taken as 100% (download)

According to our telemetry, the number of Windows users who encountered exploits increased in the third quarter compared to the previous reporting period. However, this figure is lower than that of Q3 2024.

For Linux devices, exploits for the following OS kernel vulnerabilities were detected most frequently:

• CVE-2022-0847, also known as Dirty Pipe: a vulnerability that allows privilege escalation and enables attackers to take control of running applications
• CVE-2019-13272: a vulnerability caused by improper handling of privilege inheritance, which can be exploited to achieve privilege escalation
• CVE-2021-22555: a heap overflow vulnerability in the Netfilter kernel subsystem. The widespread exploitation of this vulnerability is due to its use of popular memory modification techniques: manipulating “msg_msg” primitives, which leads to a Use-After-Free security flaw.

Dynamics of the number of Linux users encountering exploits, Q1 2023 — Q3 2025. The number of users who encountered exploits in Q1 2023 is taken as 100% (download)

A look at the number of users who encountered exploits suggests that it continues to grow, and in Q3 2025, it already exceeds the Q1 2023 figure by more than six times.

It is critically important to install security patches for the Linux operating system, as it is attracting more and more attention from threat actors each year – primarily due to the growing number of user devices running Linux.

Most common published exploits

In Q3 2025, exploits targeting operating system vulnerabilities continue to predominate over those targeting other software types that we track as part of our monitoring of public research, news, and PoCs. That said, the share of browser exploits significantly increased in the third quarter, matching the share of exploits in other software not part of the operating system.

Distribution of published exploits by platform, Q1 2025 (download)

Distribution of published exploits by platform, Q2 2025 (download)

Distribution of published exploits by platform, Q3 2025 (download)

It is noteworthy that no new public exploits for Microsoft Office products appeared in Q3 2025, just as none did in Q2. However, PoCs for vulnerabilities in Microsoft SharePoint were disclosed. Since these same vulnerabilities also affect OS components, we categorized them under operating system vulnerabilities.

Vulnerability exploitation in APT attacks

We analyzed data on vulnerabilities that were exploited in APT attacks during Q3 2025. The following rankings draw on our telemetry, research, and open-source data.

TOP 10 vulnerabilities exploited in APT attacks, Q3 2025 (download)

APT attacks in Q3 2025 were dominated by zero-day vulnerabilities, which were uncovered during investigations of isolated incidents. A large wave of exploitation followed their public disclosure. Judging by the list of software containing these vulnerabilities, we are witnessing the emergence of a new go-to toolkit for gaining initial access into infrastructure and executing code both on edge devices and within operating systems. It bears mentioning that long-standing vulnerabilities, such as CVE-2017-11882, allow for the use of various data formats and exploit obfuscation to bypass detection. By contrast, most new vulnerabilities require a specific input data format, which facilitates exploit detection and enables more precise tracking of their use in protected infrastructures. Nevertheless, the risk of exploitation remains quite high, so we strongly recommend applying updates already released by vendors.

C2 frameworks

In this section, we will look at the most popular C2 frameworks used by threat actors and analyze the vulnerabilities whose exploits interacted with C2 agents in APT attacks.

The chart below shows the frequency of known C2 framework usage in attacks on users during the third quarter of 2025, according to open sources.

Top 10 C2 frameworks used by APT groups to compromise user systems in Q3 2025 (download)

Metasploit, whose share increased compared to Q2, tops the list of the most prevalent C2 frameworks from the past quarter. It is followed by Sliver and Mythic. The Empire framework also reappeared on the list after being inactive in the previous reporting period. What stands out is that Adaptix C2, although fairly new, was almost immediately embraced by attackers in real-world scenarios. Analyzed sources and samples of malicious C2 agents revealed that the following vulnerabilities were used to launch them and subsequently move within the victim’s network:

• CVE-2020-1472, also known as ZeroLogon, allows for compromising a vulnerable operating system and executing commands as a privileged user.
• CVE-2021-34527, also known as PrintNightmare, exploits flaws in the Windows print spooler subsystem, also enabling remote access to a vulnerable OS and high-privilege command execution.
• CVE-2025-6218 or CVE-2025-8088 are similar Directory Traversal vulnerabilities that allow extracting files from an archive to a predefined path without the archiving utility notifying the user. The first was discovered by researchers but subsequently weaponized by attackers. The second is a zero-day vulnerability.

Interesting vulnerabilities

This section highlights the most noteworthy vulnerabilities that were publicly disclosed in Q3 2025 and have a publicly available description.

ToolShell (CVE-2025-49704 and CVE-2025-49706, CVE-2025-53770 and CVE-2025-53771): insecure deserialization and an authentication bypass

ToolShell refers to a set of vulnerabilities in Microsoft SharePoint that allow attackers to bypass authentication and gain full control over the server.

• CVE-2025-49704 involves insecure deserialization of untrusted data, enabling attackers to execute malicious code on a vulnerable server.
• CVE-2025-49706 allows access to the server by bypassing authentication.
• CVE-2025-53770 is a patch bypass for CVE-2025-49704.
• CVE-2025-53771 is a patch bypass for CVE-2025-49706.

These vulnerabilities form one of threat actors’ combinations of choice, as they allow for compromising accessible SharePoint servers with just a few requests. Importantly, they were all patched back in July, which further underscores the importance of promptly installing critical patches. A detailed description of the ToolShell vulnerabilities can be found in our blog.

CVE-2025-8088: a directory traversal vulnerability in WinRAR

CVE-2025-8088 is very similar to CVE-2025-6218, which we discussed in our previous report. In both cases, attackers use relative paths to trick WinRAR into extracting archive contents into system directories. This version of the vulnerability differs only in that the attacker exploits Alternate Data Streams (ADS) and can use environment variables in the extraction path.

CVE-2025-41244: a privilege escalation vulnerability in VMware Aria Operations and VMware Tools

Details about this vulnerability were presented by researchers who claim it was used in real-world attacks in 2024.

At the core of the vulnerability lies the fact that an attacker can substitute the command used to launch the Service Discovery component of the VMware Aria tooling or the VMware Tools utility suite. This leads to the unprivileged attacker gaining unlimited privileges on the virtual machine. The vulnerability stems from an incorrect regular expression within the get-versions.sh script in the Service Discovery component, which is responsible for identifying the service version and runs every time a new command is passed.

Conclusion and advice

The number of recorded vulnerabilities continued to rise in Q3 2025, with some being almost immediately weaponized by attackers. The trend is likely to continue in the future.

The most common exploits for Windows are primarily used for initial system access. Furthermore, it is at this stage that APT groups are actively exploiting new vulnerabilities. To hinder attackers’ access to infrastructure, organizations should regularly audit systems for vulnerabilities and apply patches in a timely manner. These measures can be simplified and automated with Kaspersky Systems Management. Kaspersky Symphony can provide comprehensive and flexible protection against cyberattacks of any complexity.

securelist.com/vulnerabilities…

Shai Hulud 2.0, now with a wiper flavor

In September, a new breed of malware distributed via compromised Node Package Manager (npm) packages made headlines. It was dubbed “Shai-Hulud”, and we published an in-depth analysis of it in another post. Recently, a new version was discovered.

Shai Hulud 2.0 is a type of two-stage worm-like malware that spreads by compromising npm tokens to republish trusted packages with a malicious payload. More than 800 npm packages have been infected by this version of the worm.

According to our telemetry, the victims of this campaign include individuals and organizations worldwide, with most infections observed in Russia, India, Vietnam, Brazil, China, Türkiye, and France.

Technical analysis

When a developer installs an infected npm package, the setup_bun.js script runs during the preinstall stage, as specified in the modified package.json file.

Bootstrap script

The initial-stage script setup_bun.js is left intentionally unobfuscated and well documented to masquerade as a harmless tool for installing the legitimate Bun JavaScript runtime. It checks common installation paths for Bun and, if the runtime is missing, installs it from an official source in a platform-specific manner. This seemingly routine behavior conceals its true purpose: preparing the execution environment for later stages of the malware.

The installed Bun runtime then executes the second-stage payload, bun_environment.js, a 10MB malware script obfuscated with an obfuscate.io-like tool. This script is responsible for the main malicious activity.

Stealing credentials

Shai Hulud 2.0 is built to harvest secrets from various environments. Upon execution, it immediately searches several sources for sensitive data, such as:

• GitHub secrets: the malware searches environment variables and the GitHub CLI configuration for values starting with ghp_ or gho_. It also creates a malicious workflow yml in victim repositories, which is then used to obtain GitHub Actions secrets.
• Cloud credentials: the malware searches for cloud credentials across AWS, Azure, and Google Cloud by querying cloud instance metadata services and using official SDKs to enumerate credentials from environment variables and local configuration files.
• Local files: it downloads and runs the TruffleHog tool to aggressively scan the entire filesystem for credentials.

Then all the exfiltrated data is sent through the established communication channel, which we describe in more detail in the next section.

Data exfiltration through GitHub

To exfiltrate the stolen data, the malware sets up a communication channel via a public GitHub repository. For this purpose, it uses the victim’s GitHub access token if found in environment variables and the GitHub CLI configuration.

After that, the malware creates a repository with a randomly generated 18-character name and a marker in its description. This repository then serves as a data storage to which all stolen credentials and system information are uploaded.

If the token is not found, the script attempts to obtain a previously stolen token from another victim by searching through GitHub repositories for those containing the text, “Sha1-Hulud: The Second Coming.” in the description.

Worm spreading across packages

For subsequent self-replication via embedding into npm packages, the script scans .npmrc configuration files in the home directory and the current directory in an attempt to find an npm registry authorization token.

If this is successful, it validates the token by sending a probe request to the npm /-/whoami API endpoint, after which the script retrieves a list of up to 100 packages maintained by the victim.

For each package, it injects the malicious files setup_bun.js and bun_environment.js via bundleAssets and updates the package configuration by setting setup_bun.js as a pre-installation script and incrementing the package version. The modified package is then published to the npm registry.

Destructive responses to failure

If the malware fails to obtain a valid npm token and is also unable to get a valid GitHub token, making data exfiltration impossible, it triggers a destructive payload that wipes user files, primarily those in the home directory.

Our solutions detect the family described here as HEUR:Worm.Script.Shulud.gen.

Since September of this year, Kaspersky has blocked over 1700 Shai Hulud 2.0 attacks on user machines. Of these, 18.5% affected users in Russia, 10.7% occurred in India, and 9.7% in Brazil.

TOP 10 countries and territories affected by Shai Hulud 2.0 attacks (download)
We continue tracking this malicious activity and provide up-to-date information to our customers via the Kaspersky Open Source Software Threats Data Feed. The feed includes all packages affected by Shai-Hulud, as well as information on other open-source components that exhibit malicious behaviour, contain backdoors, or include undeclared capabilities.

securelist.com/shai-hulud-2-0/…

Building a Microscope without Lenses

It’s relatively easy to understand how optical microscopes work at low magnifications: one lens magnifies an image, the next magnifies the already-magnified image, and so on until it reaches the eye or sensor. At high magnifications, however, that model starts to fail when the feature size of the specimen nears the optical system’s diffraction limit. In a recent video, [xoreaxeax] built a simple microscope, then designed another microscope to overcome the diffraction limit without lenses or mirrors (the video is in German, but with automatic English subtitles).

The first part of the video goes over how lenses work and how they can be combined to magnify images. The first microscope was made out of camera lenses, and could resolve onion cells. The shorter the focal length of the objective lens, the stronger the magnification is, and a spherical lens gives the shortest focal length. [xoreaxeax] therefore made one by melting a bit of soda-lime glass with a torch. The picture it gave was indistinct, but highly magnified.
A cross section of the diffraction pattern of a laser diode shining through a pinhole, built up from images at different focal distances.
Besides the dodgy lens quality given by melting a shard of glass, at such high magnification some of the indistinctness was caused by the specimen acting as a diffraction grating and directing some light away from the objective lens. [xoreaxeax] visualized this by taking a series of pictures of a laser shining through a pinhole at different focal lengths, thus getting cross sections of the light field emanating from the pinhole. When repeating the procedure with a section of onion skin, it became apparent that diffraction was strongly scattering the light, which meant that some light was being diffracted out of the lens’s field of view, causing detail to be lost.

To recover the lost details, [xoreaxeax] eliminated the lenses and simply captured the interference pattern produced by passing light through the sample, then wrote a ptychography algorithm to reconstruct the original structure from the interference pattern. This required many images of the subject under different lighting conditions, which a rotating illumination stage provided. The algorithm was eventually able to recover a sort of image of the onion cells, but it was less than distinct. The fact that the lens-free setup was able to produce any image at all is nonetheless impressive.

To see another approach to ptychography, check out [Ben Krasnow’s] approach to increasing microscope resolution. With an electron microscope, ptychography can even image individual atoms.

youtube.com/embed/lhJhRuQsiMU?…

hackaday.com/2025/12/04/buildi…

Preventing a Mess with the Weller WDC Solder Containment Pocket

Resetting the paraffin trap. (Credit: MisterHW)

Have you ever tipped all the stray bits of solder out of your tip cleaner by mistake? [MisterHW] is here with a bit pf paraffin wax to save the day.

Hand soldering can be a messy business, especially when you wipe the soldering iron tip on those common brass wool bundles that have largely come to replace moist sponges. The Weller Dry Cleaner (WDC) is one of such holders for brass wool, but the large tray in front of the opening with the brass wool has confused many as to its exact purposes. In short, it’s there so that you can slap the iron against the side to flick contaminants and excess solder off the tip.

Along with catching some of the bits of mostly solder that fly off during cleaning in the brass wool section, quite a lot of debris can be collected this way. Yet as many can attest to, it’s quite easy to flip over brass wool holders and have these bits go flying everywhere.

The trap in action. (Credit: MisterHW)

That’s where [MisterHW]’s pit of particulate holding comes into play, using folded sheet metal and some wax (e.g. paraffin) to create a trap that serves to catch any debris that enters it and smother it in the wax. To reset the trap, simply heat it up with e.g. the iron and you’ll regain a nice fresh surface to capture the next batch of crud.

As the wax is cold when in use, even if you were to tip the holder over, it should not go careening all over your ESD-safe work surface and any parts on it, and the wax can be filtered if needed to remove the particulates. When using leaded solder alloys, this setup also helps to prevent lead-contamination of the area and generally eases clean-up as bumping or tipping a soldering iron stand no longer means weeks, months or years of accumulations scooting off everywhere.

hackaday.com/2025/12/04/preven…

Build A Pocket-Sized Wi-Fi Analyzer

Wi-Fi! It’s everywhere, and yet you can’t really see it, by virtue of the technology relying on the transmission of electromagnetic waves outside the visual spectrum. Never mind, though, because you can always build yourself a Wi-Fi analyzer to get some insight into your radio surroundings, as demonstrated by [moononournation].

The core of the build is the ESP32-C5. The popular microcontroller is well-equipped for this task with its onboard dual-band Wi-Fi hardware, even if the stock antenna on most devboards is a little underwhelming. [moononournation] has paired this with a small rectangular LCD screen running the ILI9341 controller. The graphical interface is drawn with the aid of the Arduino_GFX library. It shows a graph of access points detected in the immediate area, as well as which channels they’re using and their apparent signal strength.

If you’re just trying to get a basic read on the Wi-Fi environment in a given locale, a tool like this can prove pretty useful. If your desires are more advanced, you might leap up to tinkering in the world of software defined radio. Video after the break.

youtube.com/embed/t9VukUucfEA?…

hackaday.com/2025/12/04/build-…

Raising a GM EV1 from the Dead

Probably the biggest story in the world of old cars over the past couple of weeks has been the surfacing of a GM EV1 electric car for sale from an auto salvage yard. This was the famous electric car produced in small numbers by the automaker in the 1990s, then only made available for lease before being recalled. The vast majority were controversially crushed with a few units being donated to museums and universities in a non-functional state.

Finding an old car isn’t really a Hackaday story in itself, but now it’s landed in [The Questionable Garage]. It’s being subjected to a teardown as a prelude to its restoration, offering a unique opportunity to look at the state of the art in 1990s electric automotive technology.

The special thing about this car is that by a murky chain of events it ended up as an abandoned vehicle. GM’s legal net covers the rest of the surviving cars, but buying this car as an abandoned vehicle gives the owner legal title over it and frees him from their restrictions. The video is long, but well worth a watch as we see pieces of automotive tech never before shown in public. As we understand it the intention is to bring it to life using parts from GM’s contemporary S10 electric pickup truck — itself a rare vehicle — so we learn quite a bit about those machines too.

Along the way they find an EV1 charger hiding among a stock of pickup chargers, take us through the vehicle electronics, and find some galvanic corrosion in the car’s structure due to water ingress. The windscreen has a huge hole, which they cover with a plastic wrap in order to 3D scan so they can create a replacement.

This car will undoubtedly become a star of the automotive show circuit due to its unique status, so there will be plenty of chances to look at it from the outside in future. Seeing it this close up in parts though is as unique an opportunity as the car itself. We’ve certainly seen far more crusty conventional cars restored to the road, but without the challenge of zero parts availability and no donor cars. Keep an eye out as they bring it closer to the road.

youtube.com/embed/Xn2MJqPOmSI?…

hackaday.com/2025/12/04/raisin…

Keebin’ with Kristina: the One with the Pretty Protoypes

Some like it flat, and there’s nothing wrong with that. What you are looking at is the first prototype of Atlas by [AsicResistor], which is still a work in progress. [AsicResistor] found the Totem to be a bit cramped, so naturally, it was time to design a keyboard from the ground up.

Image by [AsicResistor] via redditThe case is wood, if that’s not immediately obvious. This fact is easily detectable in the lovely render, but I didn’t want to show you that here.

This travel-friendly keyboard has 34 keys and dual trackpoints, one on each half. If the nubbin isn’t your thing, there’s an optional, oversized trackball, which I would totally opt for. But I would need an 8-ball instead, simply because that’s my number.

A build video is coming at some point, so watch the GitHub, I suppose, or haunt r/ergomechkeyboards.

Flat as it may be, I would totally at least give this keyboard a fair chance. There’s just something about those keycaps, for starters. (Isn’t it always the keycaps with me?) For another, I dig the pinky stagger. I’m not sure that two on each side is nearly enough thumb keys for me, however.

The Foot Roller Scroller Is Not a Crock

Sitting at a keyboard all day isn’t great for anyone, but adding in some leg and/or foot movement throughout the day is a good step in the right direction. Don’t want to just ride a bike all day under your desk? Add something useful like foot pedals.

Image by [a__b] via redditThe Kinesis Savant pedals are a set of three foot switches that are great for macros, or just pressing Shift all the time. Trust me. But [a__b] wasn’t satisfied with mere clicking, and converted their old pedals into a Bluetooth 5.0 keyboard with a big, fat scroll wheel.

Brain-wise, it has a wireless macro keyboard and an encoder from Ali, but [a__b] plans to upgrade it to a nice!nano in order to integrate it with a Glove80.

Although shown with a NautiCroc, [a__b] says the wheel works well with socks on, or bare feet. (Take it from me, the footfeel of pedals is much more accurate with no shoes on.) Interestingly, much of the inspiration was taken from sewing machines.

As of this writing, [a__b] has mapped all keys using BetterTouchTool for app-specific action, and is out there happily scrolling through pages, controlling the volume, and navigating YouTube videos. Links to CAD and STLs are coming soon.

The Centerfold: LEGO My Ergo

Image by [Flat-Razzmatazz-672] via redditThis here is a Silakka 54 split keyboard with a custom LEGO case available on Thingiverse. [Flat-Razzmatazz-672] says that it isn’t perfect (could have fooled me!), but it did take a hell of a lot of work to get everything to fit right.

As you might imagine and [Flat-Razzmatazz-672] can attest, 3D printing LEGO is weird. These studs are evidently >= 5% bigger than standard studs, because if you print it as is, the LEGO won’t fit right.

Via reddit

Do you rock a sweet set of peripherals on a screamin’ desk pad? Send me a picture along with your handle and all the gory details, and you could be featured here!

Historical Clackers: the North’s was a Striking Down-striker

Although lovely to gaze upon, the North’s typewriter was a doomed attempt at creating a visible typewriter. That is, one where a person could actually see what they were typing as they typed it.

Image via The Antikey Chop

North’s achieved this feat through the use of vertical typebars arranged in a semi-circle that would strike down onto the platen from behind, making it a rear down-striker.

In order for this arrangement to work, the paper had to be loaded, coiled into one basket, and it was fed into another, hidden basket while typing. This actually allowed the typist to view two lines at a time, although the unfortunate ribbon placement obstructed the immediate character.

The story of North’s typewriter is a fairly interesting one. For starters, it was named after Colonel John Thomas North, who wasn’t really a colonel at all. In fact, North had very little to do with the typewriter beyond bankrolling it and providing a name.

North started the company by purchasing the failed English Typewriter Company, which brought along with it a couple of inventors, who would bring the North’s to fruition. The machine was made from 1892 to 1905. In 1896, North died suddenly while eating raw oysters, though the cause of death was likely heart failure. As he was a wealthy, unpopular capitalist, conspiracy theories abounded surrounding his departure.

Finally, MoErgo Released a New Travel Keyboard, the Go60

It’s true, the MoErgo Glove80 is great for travel. And admittedly, it’s kind of big, both in and out of its (very nice) custom zipper case. But you asked, and MoErgo listened. And soon enough, there will be a new option for even sleeker travel, the Go60. Check out the full spec sheet.

Image by MoErgo via reddit

You may have noticed that it’s much flatter than the Glove80, which mimics the key wells of a Kinesis Advantage quite nicely.

Don’t worry, there are removable palm rests that are a lot like the Glove80 rests. And it doesn’t have to be flat –there is 6-step magnetic tenting (6.2° – 17°), which snaps on or off in seconds. The palm rests have 7-step tenting (6°-21.5°), and they come right off, too.

Let’s talk about those trackpads. They are Cirque 40 mm Glidepoints. They aren’t multi-touch, but they are fully integrated into ZMK and thus are fully programmable, so do what you will.

Are you as concerned about battery life as I am? It’s okay — the Go60 goes fully wired with a TRRS cable between the halves, and a USB connection from the left half to the host. Although ZMK did not support this feature, MoErgo sponsored the founder, [Pete], to develop it, and now it’s just a feature of ZMK. You’re welcome.

Interested? The Go60 will be on Kickstarter first, and then it’ll be available on the MoErgo site. Pricing hasn’t quite been worked out yet, so stay tuned on that front.

Via reddit

Got a hot tip that has like, anything to do with keyboards? Help me out by sending in a link or two. Don’t want all the Hackaday scribes to see it? Feel free to email me directly.

hackaday.com/2025/12/04/keebin…

An Introduction to Analog Filtering

One of the major difficulties in studying electricity, especially when compared to many other physical phenomena, is that it cannot be observed directly by human senses. We can manipulate it to perform various tasks and see its effects indirectly, like the ionized channels formed during lightning strikes or the resistive heating of objects, but its underlying behavior is largely hidden from view. Even mathematical descriptions can quickly become complex and counter-intuitive, obscured behind layers of math and theory. Still, [lcamtuf] has made some strides in demystifying aspects of electricity in this introduction to analog filters.

The discussion on analog filters looks at a few straightforward examples first. Starting with an resistor-capacitor (RC) filter, [lcamtuf] explains it by breaking its behavior down into steps of how the circuit behaves over time. Starting with a DC source and no load, and then removing the resistor to show just the behavior of a capacitor, shows the basics of this circuit from various perspectives. From there it moves into how it behaves when exposed to a sine wave instead of a DC source, which is key to understanding its behavior in arbitrary analog environments such as those involved in audio applications.

There’s some math underlying all of these explanations, of course, but it’s not overwhelming like a third-year electrical engineering course might be. For anyone looking to get into signal processing or even just building a really nice set of speakers for their home theater, this is an excellent primer. We’ve seen some other demonstrations of filtering data as well, like this one which demonstrates basic filtering using a microcontroller.

hackaday.com/2025/12/04/an-int…

Ore Formation: A Surface Level Look

The past few months, we’ve been giving you a quick rundown of the various ways ores form underground; now the time has come to bring that surface-level understanding to surface-level processes.

Strictly speaking, we’ve already seen one: sulfide melt deposits are associated with flood basalts and meteorite impacts, which absolutely are happening on-surface. They’re totally an igneous process, though, and so were presented in the article on magmatic ore processes.

For the most part, you can think of the various hydrothermal ore formation processes as being metamorphic in nature. That is, the fluids are causing alteration to existing rock formations; this is especially true of skarns.

There’s a third leg to that rock tripod, though: igneous, metamorphic, and sedimentary. Are there sedimentary rocks that happen to be ores? You betcha! In fact, one sedimentary process holds the most valuable ores on Earth– and as usual, it’s not likely to be restricted to this planet alone.

Placer? I hardly know ‘er!

We’re talking about placer deposits, which means we’re talking about gold. In dollar value, gold’s great expense means that these deposits are amongst the most valuable on Earth– and nearly half of the world’s gold has come out of just one of them. Gold isn’t the only mineral that can be concentrated in placer deposits, to be clear; it’s just the one everyone cares about these days, because, well, have you seen the spot price lately?

Oof. Data from Goldprice.org

Since we’re talking about sediments, as you might guess, this is a secondary process: the gold has to already be emplaced by one of the hydrothermal ore processes. Then the usual erosion happens: wind and water breaks down the rock, and gold gets swept downhill along with all the other little bits of rock on their way to becoming sediments. Gold, however, is much denser than silicate rocks. That’s the key here: any denser material is naturally going to be sorted out in a flow of grains. To be specific, empirical data shows that anything denser than 2.87 g/cm³ can be concentrated in a placer deposit. That would qualify a lot of the sulfide minerals the hydrothermal processes like to throw up, but unfortunately sulfides tend to be both too soft and too chemically unstable to hold up to the weathering to form placer deposits, at least on Earth since cyanobacteria polluted the atmosphere with O₂.

Dry? Check. Windswept? Check. Aeolian placer deposits? Maybe!
Image: “MSL Sunset Dunes Mosaic“, NASA/JPL and Olivier de Goursac

One form of erosion is from wind, which tends to be important in dry regions – particularly the deserts of Australia and the Western USA. Wind erosion can also create placer deposits, which get called “aeolian placers”. The mechanism is fairly straightforward: lighter grains of sand are going to blow further, concentrating the heavy stuff on one side of a dune or closer to the original source rock. Given the annual global dust storms, aeolian placers may come up quite often on Mars, but the thin atmosphere might make this process less likely than you’d think.

We’ve also seen rockslides on Mars, and material moving in this matter is subject to the same physics. In a flow of grains, you’re going to have buoyancy and the heavy stuff is going to fall to the bottom and stop sooner. If the lighter material is further carried away by wind or water, we call the resulting pile of useful, heavy rock an effluvial placer deposit.

Still, on this planet at least it’s usually water doing the moving of sediments, and it’s water that’s doing the sortition. Heavy grains fall out of suspension in water more easily. This tends to happen wherever flow is disrupted: at the base of a waterfall, at a river bend, or where a river empties into a lake or the ocean. Any old Klondike or California prospector would know that that’s where you’re going to go panning for gold, but you probably wouldn’t catch a 49er calling it an “Alluvial placer deposit”. Panning itself is using the exact same physics– that’s why it, along with the fancy modern sluices people use with powered pumps, are called “placer mining”. Mars’s dry river beds may be replete with alluvial placers; so might the deltas on Titan, though on a world where water is part of the bedrock, the cryo-mineralogy would be very unfamiliar to Earthly geologists.

Back here on earth, wave action, with the repeated reversal of flow, is great at sorting grains. There aren’t any gold deposits on beaches these days because wherever they’ve been found, they were mined out very quickly. But there are many beaches where black magnetite sand has been concentrated due to its higher density to quartz. If your beach does not have magnetite, look at the grain size: even quartz grains can often get sorted by size on wavy beaches. Apparently this idea came after scientists lost their fascination with latin, as this type of deposit is referred to simply as a “beach placer” rather than a “littoral placer”.

Kondike, eat your heart out: Fifty thousand tonnes of this stuff has come out of the mines of Witwatersrand.

While we in North America might think of the Klondike or California gold rushes– both of which were sparked by placer deposits– the largest gold field in the world was actually in South Africa: the Witwatersrand Basin. Said basin is actually an ancient lake bed, Archean in origin– about three billion years old. For 260 million years or thereabouts, sediments accumulated in this lake, slowly filling it up. Those sediments were being washed out from nearby mountains that housed orogenic gold deposits. The lake bed has served to concentrate that ancient gold even further, and it’s produced a substantial fraction of the gold metal ever extracted– depending on the source, you’ll see numbers from as high as 50% to as low as 22%. Either way, that’s a lot of gold.

Witwatersrand is a bit of an anomaly; most placer deposits are much smaller than that. Indeed, that’s in part why you’ll find placer deposits only mined for truly valuable minerals like gold and gems, particularly diamonds. Sure, the process can concentrate magnetite, but it’s not usually worth the effort of stripping a beach for iron-rich sand.

The most common non-precious exception is uraninite, UO₂, a uranium ore found in Archean-age placer deposits. As you might imagine, the high proportion of heavy uranium makes it a dense enough mineral to form placer deposits. I must specify Archean-age, however, because an oxygen atmosphere tends to further oxidize the uraninite into more water-soluble forms, and it gets washed to sea instead of forming deposits. On Earth, it seems there are no uraninite placers dated to after the Great Oxygenation; you wouldn’t have that problem on Mars, and the dry river beds of the red planet may well have pitchblende reserves enough for a Martian rendition of “Uranium Fever”.

If you were the Martian, would you rather find uranium or gold in those river bends?
Image: Nandes Valles valley system, ESA/DLR/FU Berlin

While uranium is produced at Witwatersrand as a byproduct of the gold mines, uranium ore can be deposited exclusively of gold. You can see that with the alluvial deposits in Canada, around Elliot Lake in Ontario, which produced millions of pounds of the uranium without a single fleck of gold, thanks to a bend in a three-billion-year-old riverbed. From a dollar-value perspective, a gold mine might be worth more, but the uranium probably did more for civilization.

Lateritization, or Why Martians Can’t Have Pop Cans

Speaking of useful for civilization, there’s another type of process acting on the surface to give us ores of less noble metals than gold. It is not mechanical, but chemical, and given that it requires hot, humid conditions with lots of water, it’s almost certainly restricted to Sol 3. As the subtitle gives it away, this process is called “lateritization” and is responsible for the only economical aluminum deposits out there, along with a significant amount of the world’s nickel reserves.

The process is fairly simple: in the hot tropics, ample rainfall will slowly leech any mobile ions out of clay soils. Ions like sodium and potassium are first to go, followed by calcium and magnesium but if the material is left on the surface long enough, and the climate stays hot and wet, chemical weathering will eventually strip away even the silica. The resulting “Laterite” rock (or clay) is rich in iron, aluminum, and sometimes nickel and/or copper. Nickel laterites are particularly prevalent in New Caledonia, where they form the basis of that island’s mining industry. Aluminum-rich laterites are called bauxite, and are the source of all Earth’s aluminum, found worldwide. More ancient laterites are likely to be found in solid form, compressed over time into sedimentary rock, but recent deposits may still have the consistency of dirt. For obvious reasons, those recent deposits tend to be preferred as cheaper to mine.

That red dirt is actually aluminum ore, from a 1980s-era operation on the island of Jamaica. Image from “Bauxite” by Paul Morris, CC BY-SA 2.0

When we talk about a “warm and wet” period in Martian history, we’re talking about the existence of liquid water on the surface of the planet– we are notably not talking about tropical conditions. Mars was likely never the kind of place you’d see lateritization, so it’s highly unlikely we will ever find bauxite on the surface of Mars. Thus future Martians will have to make due without Aluminum pop cans. Of course, iron is available in abundance there and weighs about the same as the equivalent volume of aluminum does here on Earth, so they’ll probably do just fine without it.

Most nickel has historically come from sulfide melt deposits rather than lateralization, even on Earth, so the Martians should be able to make their steel stainless. Given the ambitions some have for a certain stainless-steel rocket, that’s perhaps comforting to hear.

It’s important to emphasize, as this series comes to a close, that I’m only providing a very surface-level understanding of these surface level processes– and, indeed, of all the ore formation processes we’ve discussed in these posts. Entire monographs could be, and indeed have been written about each one. That shouldn’t be surprising, considering the depths of knowledge modern science generates. You could do an entire doctorate studying just one aspect of one of the processes we’ve talked about in this series; people have in the past, and will continue to do so for the foreseeable future. So if you’ve found these articles interesting, and are sad to see the series end– don’t worry! There’s a lot left to learn; you just have to go after it yourself.

Plus, I’m not going anywhere. At some point there are going to be more rock-related words published on this site. If you haven’t seen it before, check out Hackaday’s long-running Mining and Refining series. It’s not focused on the ores– more on what we humans do with them–but if you’ve read this far, it’s likely to appeal to you as well.

hackaday.com/2025/12/04/ore-fo…