Reverse Sundial Still Tells Time

The Dutch word for sundial, zonnewijzer, can be literally translated into “Sun Pointer” according to [illusionmanager] — and he took that literal translation literally, building a reverse sundial so he would always know the precise location of our local star, even when it is occluded by clouds or the rest of the planet.

The electronics aren’t hugely complicated: an ESP32 dev board, an RTC board, and a couple of steppers. But the craftsmanship is, as usual for [illusionmanager], impeccable. You might guess that one motor controls the altitude and the other the azimuth of the LED-filament pointer (a neat find from AliExpress), but you’d be wrong.

This is more like an equatorial mount, in that the shaft the arrow spins upon is bent at a 23.5 degree angle. Through that hollow shaft a spring-steel wire connects the arrow to one stepper, to drive it through the day. The second stepper turns the shaft to keep the axis pointed correctly as Earth orbits the sun.

Either way you can get an arrow that always points at the sun, but this is lot more elegant than an alt-az mount would have been, at the expense of a fiddlier build. Given the existence of the orrery clock we featured from him previously, it’s safe to say that [illusionmanager] is not afraid of a fiddly build. Doing it this way also lets you read the ticks on the base just as you would a real sundial, which takes this from discussion piece to (semi) usable clock.

hackaday.com/2025/12/10/revers…

Supply chain: Notepad++ rafforza la sicurezza dopo un grave incidente di dirottamento del traffico

Notepad++ è spesso preso di mira da malintenzionati perché il software è popolare e ampiamente utilizzato. Una vulnerabilità recentemente scoperta nell’editor di testo e codice open source Notepad++ potrebbe consentire agli aggressori di dirottare il traffico di rete, compromettere il processo di aggiornamento e installare malware sui computer interessati. Questa falla è stata ora corretta nella versione 8.8.9 di Notepad++.

Gli utenti che utilizzano versioni precedenti dovrebbero eseguire immediatamente una scansione approfondita con un software di sicurezza affidabile. I loro sistemi potrebbero essere già stati compromessi; nei casi più gravi, una reinstallazione completa del sistema potrebbe essere l’unica soluzione affidabile.

Secondo gli sviluppatori, l’utilità di aggiornamento di Notepad++, WinGUp, potrebbe, in determinate circostanze, essere reindirizzata a un server dannoso, con conseguente download di un eseguibile manomesso in grado di infettare il sistema.

Durante il processo di aggiornamento, WinGUp controlla il numero di versione e interroga l’endpoint notepad-plus-plus.org/update/g… Questo endpoint genera un file XML che include l’URL per il download, che l’aggiornamento recupera ed esegue dalla directory %TEMP%. Qualsiasi avversario in grado di intercettare e modificare questo traffico potrebbe alterare l’URL di download, ad esempio sostituendolo con un collegamento a un payload dannoso.

A partire dalla versione 8.8.7, Notepad++ ha adottato un certificato digitale GlobalSign affidabile, eliminando la necessità per gli utenti di installare un certificato radice separato e rafforzando notevolmente la sicurezza dell’applicazione.

La versione 8.8.8 ha introdotto il requisito che WinGUp utilizzi GitHub.com come unica fonte di download, mentre la nuova versione 8.8.9 migliora ulteriormente la sicurezza convalidando correttamente la firma digitale e il certificato del file scaricato. Se la verifica fallisce, il processo di aggiornamento viene interrotto.

Gli sviluppatori non hanno ancora determinato con precisione come si sia verificato il dirottamento del traffico e sono in corso ulteriori indagini. Tuttavia, le prove esistenti suggeriscono che gli aggressori abbiano già sfruttato la vulnerabilità contro specifiche organizzazioni prese di mira.

Si consiglia vivamente agli utenti di aggiornare almeno alla versione 8.8.8, sebbene sia preferibile l’aggiornamento diretto alla versione 8.8.9. Poiché la versione 8.8.8 non è in grado di rilevare l’ultima versione, gli utenti dovrebbero scaricare manualmente la versione 8.8.9 dal sito web ufficiale.

L'articolo Supply chain: Notepad++ rafforza la sicurezza dopo un grave incidente di dirottamento del traffico proviene da Red Hot Cyber.

Nuova RCE in Outlook: il fattore umano nella cybersecurity è ancora il punto di svolta

Una vulnerabilità critica associata all’esecuzione di codice remoto (RCE) in Outlook è stata sanata da Microsoft, potenzialmente consentendo a malintenzionati di attivare codice dannoso su sistemi deboli. La vulnerabilità monitorata con l’identificativo CVE-2025-62562, deriva da una vulnerabilità di tipo use-after-free in Microsoft Office Outlook e ha una severity CVSS: 7,8.

L’attivazione dell’exploit avviene localmente, richiedendo all’aggressore di indurre un utente a interagire con un’e-mail dannosa. Una volta fatto ciò, l’attacco scatenato convince l’utente a rispondere ad un’e-mail fasulla, innescando la catena di esecuzione del codice.

Una vulnerabilità che richiede l’interazione dell’utente

Secondo Microsoft, è fondamentale che le organizzazioni installino prioritariamente gli aggiornamenti di sicurezza disponibili per tutte le versioni di Microsoft Office che sono state oggetto dell’aggiornamento.

La vulnerabilità interessa diverse versioni di Microsoft Office , tra cui Microsoft Word 2016 (sia a 32 bit che a 64 bit). Il riquadro di anteprima non consente l’esecuzione della minaccia. L’aggressore ha bisogno che l’utente risponda manualmente a un’e-mail appositamente creata per sfruttare la vulnerabilità.

Microsoft ha confermato che le patch di sicurezza sono disponibili tramite Windows Update e Microsoft Download Center. Questo requisito di interazione aggiunge un ulteriore livello di difficoltà. Tuttavia, rimane una minaccia concreta in scenari reali in cui le tecniche di ingegneria sociale potrebbero convincere gli utenti a rispondere.

Haifei Li di EXPMON ha segnalato la vulnerabilità mediante il processo di Coordinated Vulnerability Disclosure. Al momento della pubblicazione, risulta che non esistono prove di sfruttamento attivo o di divulgazione pubblica del codice di exploit.

Gli aggiornamenti per Microsoft Office LTSC per Mac 2021 e 2024 non sono immediatamente disponibili. Saranno rilasciati il prima possibile. Per i sistemi senza disponibilità immediata delle patch, Microsoft consiglia di prestare attenzione alle e-mail indesiderate ed evitare di rispondere a messaggi sospetti.

Il fattore umano ancora il punto di svolta

Nonostante le tecnologie di difesa continuino a evolvere, il fattore umano rimane tuttora il punto più fragile dell’intera catena di sicurezza. La vulnerabilità RCE di Outlook lo dimostra chiaramente: l’exploit non si attiva da solo, ma richiede che l’utente risponda a un’e-mail appositamente costruita.

In un contesto in cui gli attacchi diventano sempre più convincenti grazie a tecniche di ingegneria sociale potenziate dall’intelligenza artificiale, anche un singolo clic può trasformarsi nella porta d’ingresso per un compromesso grave. Le organizzazioni che non investono nella formazione continua dei propri dipendenti si ritrovano inevitabilmente esposte, perché nessuna patch o soluzione tecnologica può compensare un comportamento inconsapevole.

Nell’era delle minacce AI-driven, la consapevolezza al rischio non è più solo un valore aggiunto, ma un fattore determinante per la resilienza aziendale. I moderni attacchi sfruttano analisi comportamentali, testi generati dall’IA indistinguibili dall’umano e campagne mirate che fanno leva su abitudini, pressioni lavorative e automatismi psicologici.

In questo scenario, sviluppare una cultura della sicurezza – fatta di attenzione, dubbi sani e processi di verifica – diventa essenziale quanto mantenere aggiornati i sistemi. Solo integrando tecnologia e comportamenti consapevoli, le aziende possono realmente resistere alle minacce sempre più sofisticate che l’intelligenza artificiale contribuisce a generare.

L'articolo Nuova RCE in Outlook: il fattore umano nella cybersecurity è ancora il punto di svolta proviene da Red Hot Cyber.

3D Printed Part Causes Light Aircraft Crash

Aircraft parts generally have to meet very specific standards, because if certain parts fail, the aircraft falls out of the sky. This usually ends poorly, and is best avoided by using the proper equipment during repair and maintenance tasks. A great example of this comes to us from the UK, where a light aircraft crashed after an aftermarket 3D printed component failed. (via BBC)
It’s not supposed to look like that. Credit: AAIB
The report from the Air Accidents Investigation Branch tells the story. The owner of a Cozy MK IV light aircraft had fitted it with a 3D-printed air intake elbow, which fed the engine. During the landing phase of a recent flight, the air intake collapsed, starving the engine of air and leading to a loss of power. With precious little altitude and speed, the pilot was unable to reach the runway, landing short and crashing into part of the airfield’s instrument landing system (ILS). Thankfully, the pilot only suffered minor injuries.

Post-crash analysis revealed that the aircraft owner had installed the 3D-printed component, purchased from an air show in the United States. The part was believed to be printed in a CF-ABS filament, with a supposed glass transition temperature of 105 C. Noting this was above the glass transition temperature of the standard fiberglass epoxy resin part used in these aircraft, the owner believed the part to be fit for purpose. However, post-crash testing revealed the 3D printed part had a glass transition temperature of under 55 C, and also lacked the aluminium tube reinforcement of the standard intake. Thus, when it was used in the hot engine bay of the small aircraft, it eventually grew hot enough to fail, causing the loss of power that led to the crash.

The basic lesson here is easy to understand. Don’t rely on an untested 3D printed part when life and limb are on the line. You wouldn’t 3D print a seatbelt, now, would you? Stick to stuff that won’t hurt you if it fails, and be safe out there.

[Thanks to George Graves for the tip!]

hackaday.com/2025/12/10/3d-pri…

Chrome sotto attacco! Google rilascia d’urgenza una patch per un bug senza CVE

Un aggiornamento urgente è stato pubblicato da Google per la versione stabile del browser Desktop, al fine di risolvere una vulnerabilità estremamente grave che è attualmente oggetto di sfruttamento.

Questo aggiornamento, che porta il browser alla versione 143.0.7499.109/.110, risolve tre vulnerabilità di sicurezza, compresa una falla zero-day contrassegnata come 466192044. Google, diversamente dal solito, ha tenuto nascosti i dettagli del suo identificatore CVE, limitandosi a indicarlo come “In fase di coordinamento”.

Google ha inoltre risolto, altre due vulnerabilità di media gravità segnalate da esperti di sicurezza esterni. Per questo, sono stati assegnati complessivamente 4.000 dollari nell’ambito del programma di bounty per i bug e sono:

• CVE-2025-14372: una vulnerabilità di tipo “use-after-free” nel Password Manager. Questo bug di danneggiamento della memoria è stato segnalato da Weipeng Jiang (@Krace) di VRI il 14 novembre 2025, che ha fruttato una ricompensa di 2.000 dollari.
• CVE-2025-14373: Un’implementazione inappropriata nella barra degli strumenti. Scoperta dal ricercatore Khalil Zhani il 18 novembre 2025, anche questa falla comportava una ricompensa di 2.000 dollari.

Ritornando alla precedente vulnerabilità senza CVE, l’azienda ha riportato un monito severo: “È noto a Google che esista un exploit specifico del numero 466192044″. Ciò conferma che gli autori della minaccia hanno già sfruttato la falla per colpire gli utenti.

La condizione di “coordinamento in corso” implica che la vulnerabilità potrebbe implicare un’ulteriore cooperazione con altri fornitori, prima di poter rendere pubblici i dettagli tecnici completi in piena sicurezza.

L’aggiornamento è ora disponibile per gli utenti Windows, Mac e Linux. Dato lo sfruttamento attivo della vulnerabilità ad alta gravità, si consiglia vivamente ad amministratori e utenti di non attendere il rilascio automatico.

L'articolo Chrome sotto attacco! Google rilascia d’urgenza una patch per un bug senza CVE proviene da Red Hot Cyber.

EN: The dynamics of #ruscist losses in the war against Ukraine since February 24, 2022
index.minfin.com.ua/en/russian…

UA: Динаміка втрат рашистів у війні проти України з 24 лютого 2022 року
index.minfin.com.ua/ua/russian…

RU: Динамика потерь рашистов в войне против Украины с 24 февраля 2022 года
index.minfin.com.ua/russian-in…

React2Shell sfruttata da Lazarus? Nasce EtherRAT, il malware che vive sulla blockchain

Appena due giorni dopo la scoperta della vulnerabilità critica di React2Shell, i ricercatori di Sysdig hanno scoperto un nuovo malware, EtherRAT, in un’applicazione Next.js compromessa. Il malware utilizza gli smart contract di Ethereum per la comunicazione e ottiene persistenza sui sistemi Linux in cinque modi.

Gli esperti ritengono che il malware sia correlato agli strumenti utilizzati dal gruppo nordcoreano Lazarus. Tuttavia, EtherRAT differisce dai campioni noti per diversi aspetti chiave.

React2Shell (CVE-2025-55182) è una vulnerabilità critica nella popolare libreria JavaScript React di Meta.Il problema, che ha ricevuto un punteggio CVSS di 10 su 10, è correlato alla deserializzazione non sicura dei dati nei componenti di React Server e consente l’esecuzione di codice remoto sul server utilizzando una normale richiesta HTTP (senza autenticazione o privilegi).

Il bug riguarda le ultime versioni 19.0, 19.1.0, 19.1.1 e 19.2.0 nelle configurazioni predefinite, nonché il famoso framework Next.js. Le correzioni sono state rilasciate nelle versioni 19.0.1, 19.1.2 e 19.2.1 di React, nonché per le versioni di Next.js interessate.

Gli esperti avvertono che potrebbero verificarsi problemi simili in altre librerie con implementazioni di React Server, tra cui: plugin Vite RSC, plugin Parcel RSC, anteprima di React Router RSC, RedwoodSDK e Waku.

La vulnerabilità è già stata sfruttata dai gruppi di hacker cinesi Earth Lamia e Jackpot Panda e almeno 30 organizzazioni sono state colpite dagli attacchi.

Gli attacchi iniziano sfruttando la vulnerabilità React2Shell. Una volta sfruttata, un comando shell codificato in base64 viene eseguito sul sistema di destinazione. Questo comando viene utilizzato per scaricare uno script s.sh dannoso tramite curl, wget o python3. Il comando viene ripetuto ogni 300 secondi fino al completamento del download. Lo script risultante viene verificato, gli vengono concessi i permessi di esecuzione e viene avviato.

Lo script crea quindi una directory nascosta in $HOME/.local/share/, dove scarica la versione 20.10.0 del runtime Node.js legittimo direttamente dal sito web ufficiale nodejs.org. Quindi scrive un payload crittografato e un dropper JavaScript offuscato, che viene eseguito tramite il binario Node scaricato. Lo script si elimina quindi da solo.

Il dropper legge il blob crittografato, lo decrittografa utilizzando una chiave AES-256-CBC codificata e scrive il risultato come un altro file JavaScript nascosto. Il payload decrittografato è EtherRAT, distribuito utilizzando Node.js precedentemente installato.

Secondo gli esperti, EtherRAT utilizza gli smart contract di Ethereum per il controllo, rendendo gli aggressori resistenti al blocco. Il malware interroga simultaneamente nove provider RPC pubblici di Ethereum e seleziona il risultato in base al voto a maggioranza, proteggendo dall’avvelenamento di un singolo nodo o di un sinkhole.

Ogni 500 millisecondi, il malware invia URL casuali, simili agli indirizzi CDN, al suo server di comando e controllo ed esegue il codice JavaScript restituito tramite AsyncFunction. Questo fornisce agli aggressori una shell Node.js interattiva a tutti gli effetti.

Secondo gli analisti, gli hacker nordcoreani hanno già utilizzato contratti intelligenti per distribuire malware. Questa tecnica, chiamata EtherHiding, è stata descritta in report di Google e GuardioLabs . Sysdig osserva inoltre che il pattern di download crittografato in EtherRAT corrisponde a quello del malware BeaverTail, utilizzato nella campagna Contagious Interview collegata alla Corea del Nord.

Il rapporto sottolinea inoltre l’estrema aggressività di EtherRAT nei sistemi Linux. Il malware utilizza cinque meccanismi per insediarsi nel sistema infetto:

• cron;
• iniezione in bashrc;
• Avvio automatico XDG;
• servizio utente systemd;
• iniezione nel profilo.

Un’altra caratteristica unica di EtherRAT è la sua capacità di auto-aggiornamento. Il malware carica il suo codice sorgente su un endpoint API e riceve codice sostituito con le stesse funzionalità ma con un offuscamento diverso. Il malware si sovrascrive quindi e avvia un nuovo processo con il payload aggiornato. Secondo i ricercatori, questo aiuta a eludere i meccanismi di rilevamento statici, può ostacolare l’analisi o aggiungere funzionalità specifiche.

Nel suo rapporto, Sysdig fornisce un breve elenco di indicatori di compromissione relativi all’infrastruttura di distribuzione EtherRAT e ai contratti Ethereum. I ricercatori raccomandano di verificare la presenza dei meccanismi di persistenza elencati, di monitorare il traffico RPC di Ethereum, di monitorare i log delle applicazioni e di ruotare regolarmente le credenziali.

L'articolo React2Shell sfruttata da Lazarus? Nasce EtherRAT, il malware che vive sulla blockchain proviene da Red Hot Cyber.

Another #BlackSea #shadowfleet tanker hit by #Ukraine - this time “Dashan”, with clear attribution in the form of a nice video.

video.echelon.pl/w/3kNaRDMMNgq…

One problem that many media experts seem to be completely ignoring while discussing this “new reality” is that they got used to the “old reality” that they no longer notice basic facts:

• Russians are sailing “flying Dutchman” ships with fake registrations (as confirmed by Gambia), fake insurances and AIS switched off
• nobody gives shit
• two Russian tankers already crashed on their own in Azov Sea in 2024, polluting all beaches within 100 km radius with mazut
• nobody gives shit for the last 3+ years
• until that happens in Black Sea, Mediterranean Sea or Baltic Sea, when there will be a big outcry from tourist industry and Russians will say “oh it’s not our ship, it’s Gambia” even if everyone knows it’s bullshit
• but that’s precisely what these countries had been tolerating or even fostering (#Greece) for the last years