God Mode On: how we attacked a vehicle’s head unit modem

Introduction

Imagine you’re cruising down the highway in your brand-new electric car. All of a sudden, the massive multimedia display fills with Doom, the iconic 3D shooter game. It completely replaces the navigation map or the controls menu, and you realize someone is playing it remotely right now. This is not a dream or an overactive imagination – we’ve demonstrated that it’s a perfectly realistic scenario in today’s world.

The internet of things now plays a significant role in the modern world. Not only are smartphones and laptops connected to the network, but also factories, cars, trains, and even airplanes. Most of the time, connectivity is provided via 3G/4G/5G mobile data networks using modems installed in these vehicles and devices. These modems are increasingly integrated into a System-on-Chip (SoC), which uses a Communication Processor (CP) and an Application Processor (AP) to perform multiple functions simultaneously. A general-purpose operating system such as Android can run on the AP, while the CP, which handles communication with the mobile network, typically runs on a dedicated OS. The interaction between the AP, CP, and RAM within the SoC at the microarchitecture level is a “black box” known only to the manufacturer – even though the security of the entire SoC depends on it.

Bypassing 3G/LTE security mechanisms is generally considered a purely academic challenge because a secure communication channel is established when a user device (User Equipment, UE) connects to a cellular base station (Evolved Node B, eNB). Even if someone can bypass its security mechanisms, discover a vulnerability in the modem, and execute their own code on it, this is unlikely to compromise the device’s business logic. This logic (for example, user applications, browser history, calls, and SMS on a smartphone) resides on the AP and is presumably not accessible from the modem.

To find out, if that is true, we conducted a security assessment of a modern SoC, Unisoc UIS7862A, which features an integrated 2G/3G/4G modem. This SoC can be found in various mobile devices by multiple vendors or, more interestingly, in the head units of modern Chinese vehicles, which are becoming increasingly common on the roads. The head unit is one of a car’s key components, and a breach of its information security poses a threat to road safety, as well as the confidentiality of user data.

During our research, we identified several critical vulnerabilities at various levels of the Unisoc UIS7862A modem’s cellular protocol stack. This article discusses a stack-based buffer overflow vulnerability in the 3G RLC protocol implementation (CVE-2024-39432). The vulnerability can be exploited to achieve remote code execution at the early stages of connection, before any protection mechanisms are activated.

Importantly, gaining the ability to execute code on the modem is only the entry point for a complete remote compromise of the entire SoC. Our subsequent efforts were focused on gaining access to the AP. We discovered several ways to do so, including leveraging a hardware vulnerability in the form of a hidden peripheral Direct Memory Access (DMA) device to perform lateral movement within the SoC. This enabled us to install our own patch into the running Android kernel and execute arbitrary code on the AP with the highest privileges. Details are provided in the relevant sections.

Acquiring the modem firmware

The modem at the center of our research was found on the circuit board of the head unit in a Chinese car.

Circuit board of the head unit

Description of the circuit board components:

Using information about the modem’s hardware, we desoldered and read the embedded multimedia memory card, which contained a complete image of its operating system. We then analyzed the image obtained.

Remote access to the modem (CVE-2024-39431)

The modem under investigation, like any modern modem, implements several protocol stacks: 2G, 3G, and LTE. Clearly, the more protocols a device supports, the more potential entry points (attack vectors) it has. Moreover, the lower in the OSI network model stack a vulnerability sits, the more severe the consequences of its exploitation can be. Therefore, we decided to analyze the data packet fragmentation mechanisms at the data link layer (RLC protocol).

We focused on this protocol because it is used to establish a secure encrypted data transmission channel between the base station and the modem, and, in particular, it is used to transmit higher-layer NAS (Non-Access Stratum) protocol data. NAS represents the functional level of the 3G/UMTS protocol stack. Located between the user equipment (UE) and core network, it is responsible for signaling between them. This means that a remote code execution (RCE) vulnerability in RLC would allow an attacker to execute their own code on the modem, bypassing all existing 3G communication protection mechanisms.

3G protocol stack

The RLC protocol uses three different transmission modes: Transparent Mode (TM), Unacknowledged Mode (UM), and Acknowledged Mode (AM). We are only interested in UM, because in this mode the 3G standard allows both the segmentation of data and the concatenation of several small higher-layer data fragments (Protocol Data Units, PDU) into a single data link layer frame. This is done to maximize channel utilization. At the RLC level, packets are referred to as Service Data Units (SDU).

Among the approximately 75,000 different functions in the firmware, we found the function for handling an incoming SDU packet. When handling a received SDU packet, its header fields are parsed. The packet itself consists of a mandatory header, optional headers, and data. The number of optional headers is not limited. The end of the optional headers is indicated by the least significant bit (E bit) being equal to 0. The algorithm processes each header field sequentially, while their E-bits equal 1. During processing, data is written to a variable located on the stack of the calling function. The stack depth is 0xB4 bytes. The size of the packet that can be parsed (i.e., the number of headers, each header being a 2-byte entry on the stack) is limited by the SDU packet size of 0x5F0 bytes.

As a result, exploitation can be achieved using just one packet in which the number of headers exceeds the stack depth (90 headers). It is important to note that this particular function lacks a stack canary, and when the stack overflows, it is possible to overwrite the return address and some non-volatile register values in this function. However, overwriting is only possible with a value ending in one in binary (i.e., a value in which the least significant bit equals 1). Notably, execution takes place on ARM in Thumb mode, so all return addresses must have the least significant bit equal to 1. Coincidence? Perhaps.

In any case, sending the very first dummy SDU packet with the appropriate number of “correct” headers caused the device to reboot. However, at that moment, we had no way to obtain information on where and why the crash occurred (although we suspect the cause was an attempt to transfer control to the address 0xAABBCCDD, taken from our packet).

Gaining persistence in the system

The first and most important observation is that we know the pointer to the newly received SDU packet is stored in register R2. Return Oriented Programming (ROP) techniques can be used to execute our own code, but first we need to make sure it is actually possible.

We utilized the available AT command handler to move the data to RAM areas. Among the available AT commands, we found a suitable function – SPSERVICETYPE.

Next, we used ROP gadgets to overwrite the address 0x8CE56218 without disrupting the subsequent operation of the incoming SDU packet handling algorithm. To achieve this, it was sufficient to return to the function from which the SDU packet handler was called, because it was invoked as a callback, meaning there is no data linkage on the stack. Given that this function only added 0x2C bytes to the stack, we needed to fit within this size.

Stack overflow in the context of the operating system

Having found a suitable ROP chain, we launched an SDU packet containing it as a payload. As a result, we saw the output 0xAABBCCDD in the AT command console for SPSERVICETYPE. Our code worked!

Next, by analogy, we input the address of the stack frame where our data was located, but it turned out not to be executable. We then faced the task of figuring out the MPU settings on the modem. Once again, using the ROP chain method, we generated code that read the MPU table, one DWORD at a time. After many iterations, we obtained the following table.

The table shows what we suspected – the code section is only mapped for execution. An attempt to change the configuration resulted in another ROP chain, but this same section was now mapped with write permissions in an unused slot in the table. Because of MPU programming features, specifically the presence of the overlap mechanism and the fact that a region with a higher ID has higher priority, we were able to write to this section.

All that remained was to use the pointer to our data (still stored in R2) and patch the code section that had just been unlocked for writing. The question was what exactly to patch. The simplest method was to patch the NAS protocol handler by adding our code to it. To do this, we used one of the NAS protocol commands – MM information. This allowed us to send a large amount of data at once and, in response, receive a single byte of data using the MM status command, which confirmed the patching success.

As a result, we not only successfully executed our own code on the modem side but also established full two-way communication with the modem, using the high-level NAS protocol as a means of message delivery. In this case, it was an MM Status packet with the cause field equaling 0xAA.

However, being able to execute our own code on the modem does not give us access to user data. Or does it?

The full version of the article with a detailed description of the development of an AR exploit that led to Doom being run on the head unit is available on ICS CERT website.

Why Push a Button When a Machine Can Do It For You

Remote control is a wonder of the age, we press a button, and something happens as if by magic. But what happens if there is no remote control, and instead a real physical button must be pressed? [What Up TK Here], who regular Hackaday readers might just recognize, had just this problem, and made a remote control button presser.

It’s a 3D printed frame which we’re told is designed for a specific item, on top of which is mounted a hobby servo. Rotating the servo brings the lever down on the button, and the job is done. At the user end there’s a button in a printed enclosure that’s definitely not a knock-off of a well-known franchise from a notoriously litigious console company.

This is all good, but the interest for other projects lies in how it works. It’s using a pair of ESP32 microcontrollers, and instead of connecting to an existing WiFi network it’s using ESP-NOW for simplicity and low latency. This is a good application for the protocol, but as we’ve seen, it’s useful for a lot more than just button pressing.

youtube.com/embed/ZmQ8ZgjdmAg?…

hackaday.com/2025/12/16/why-pu…

Pornhub: esposta la cronologia dei membri Premium. Scopriamo cos’è successo

Questa non è la classica violazione fatta di password rubate e carte di credito clonate.
È qualcosa di molto più delicato. Il data breach che ha coinvolto Pornhub nel dicembre 2025 rappresenta uno degli incidenti di privacy più sensibili dell’anno, perché a finire esposti non sono stati dati “tecnici”, ma le abitudini e le preferenze degli utenti.

L’origine dell’incidente non è interna alla piattaforma, ma riconduce a Mixpanel, fornitore di servizi di analytics utilizzato in passato da Pornhub. Un dettaglio che cambia poco per chi oggi si ritrova potenzialmente esposto a estorsioni, ricatti e danni reputazionali.

Cosa è successo davvero

La violazione è conseguenza di un attacco subito da Mixpanel l’8 novembre 2025, quando attori malevoli hanno ottenuto accesso ai sistemi del provider tramite una campagna di SMS phishing (smishing).

A seguito dell’incidente, Mixpanel ha notificato i clienti coinvolti segnalando l’accesso non autorizzato a dataset di analytics storici. Pornhub ha successivamente confermato che dati relativi a membri Premium erano inclusi nel perimetro dell’esposizione.

Pornhub ha precisato che:

• i propri sistemi non sono stati compromessi
• password e dati di pagamento non sono stati esposti

Tuttavia, la natura dei dati coinvolti rende l’incidente tutt’altro che marginale.

I dati esposti: non finanziari, ma devastanti

Secondo le informazioni disponibili e le rivendicazioni del gruppo criminale ShinyHunters, il dataset sottratto ammonterebbe a circa 94 GB, con oltre 200 milioni di record.

I dati includerebbero:

• indirizzi email associati ad account Premium
• ricerche effettuate sulla piattaforma
• cronologia dei video visualizzati
• attività di download
• titoli e URL dei video
• keyword associate ai contenuti
• timestamp dettagliati
• metadati di localizzazione generale

Si tratta di eventi di analytics generati prima del 2021, periodo in cui Pornhub utilizzava Mixpanel. Ma l’età dei dati non ne riduce l’impatto: le abitudini non scadono.

Perché questa violazione è diversa dalle altre

A differenza di credenziali o carte di credito, i dati comportamentali non possono essere “cambiati”. La cronologia di ricerca e visione racconta preferenze, interessi, pattern personali. Una volta esposta, rimane per sempre. Ed è proprio questo che rende l’incidente estremamente appetibile per attività di estorsione.

In alcuni contesti geografici o culturali, la semplice associazione di un indirizzo email a contenuti per adulti può avere ripercussioni legali, professionali o personali. È qui che il danno supera la dimensione tecnica e diventa concreto.

ShinyHunters e l’estorsione come modello di business

Il gruppo ShinyHunters, già protagonista di numerose operazioni di data theft nel 2025, ha rivendicato il possesso dei dati e avviato tentativi di estorsione nei confronti delle aziende coinvolte.

Lo schema è ormai noto:

1. violazione di un fornitore terzo
2. furto di dataset ad alto impatto mediatico
3. pressione economica sulla vittima
4. minaccia di pubblicazione

Ancora una volta, il punto di ingresso non è stato il bersaglio principale, ma la catena di fornitura digitale.

Retention dei dati e responsabilità dei fornitori

Questo incidente solleva una domanda inevitabile: perché informazioni così sensibili erano ancora conservate a distanza di anni dalla fine del rapporto con il fornitore?

La gestione della retention dei dati e la loro effettiva minimizzazione continuano a rappresentare uno dei punti più fragili nella catena di sicurezza di molte organizzazioni, soprattutto quando entrano in gioco servizi di terze parti.

Non è sufficiente affermare di non aver subito una violazione diretta.
Quando i dati degli utenti vengono esposti attraverso un fornitore, la responsabilità non scompare dal punto di vista dell’impatto.

Per chi subisce le conseguenze, la distinzione tra infrastruttura interna e piattaforma esterna è puramente teorica. I dati sono stati compromessi, ed è questo l’unico elemento che conta.

Considerazioni finali

Il caso Pornhub-Mixpanel dimostra che la sicurezza non si ferma ai confini aziendali e che i servizi di analytics possono diventare un vettore di rischio enorme se non governati con attenzione.

Per gli utenti, è l’ennesima conferma che la privacy online è fragile, soprattutto quando si parla di piattaforme che promettono discrezione.

Per le aziende, è un avvertimento evidente, i fornitori terzi non sono un dettaglio contrattuale, ma una superficie d’attacco estesa.

E nel 2025, ignorarlo significa esporsi consapevolmente.

L'articolo Pornhub: esposta la cronologia dei membri Premium. Scopriamo cos’è successo proviene da Red Hot Cyber.

Post relativamente tecnico, tradotto dalla versione in inglese che ho pubblicato sul mio blog.

Che cosa significa davvero “macroscopico” nella teoria quantistica?

Una delle difficoltà persistenti nel discutere l’emergenza dell’irreversibilità macroscopica a partire dalla dinamica quantistica microscopica è che spesso parliamo di “stati macroscopici”, “operazioni macroscopiche” o “correlazioni macroscopiche” senza una definizione pienamente soddisfacente di che cosa significhino davvero questi termini.

Questo lavoro nasce da un problema molto concreto legato alla seconda legge della termodinamica. In un lavoro precedente abbiamo mostrato che, per un sistema quantistico isolato, l’entropia macroscopica non aumenta se e solo se il sistema rimane in uno stato macroscopico durante tutta l’evoluzione. Il problema era che, a quel punto, “stato macroscopico” era definito solo in modo implicito. Questo rendeva difficile spingere oltre la discussione, perché non era chiaro quali fossero le proprietà strutturali, algebriche o operative di tali stati.

L’obiettivo di questo lavoro non è quindi introdurre un’ennesima entropia, ma capire la macroscopicità in sé in modo preciso. Volevamo una definizione che fosse al tempo stesso algebrica, costruttiva e operativa, e che potesse fungere da base solida per discutere l’emergenza.

Macroscopicità come confine inferenziale

Uno dei messaggi principali dell’articolo è che la distinzione tra “macro” e “micro” non è assoluta. Dipende dall’osservatore. Questa affermazione va presa in un senso molto letterale e sobrio.

Per osservatore non intendiamo nulla che abbia a che fare con il problema della misura o con la coscienza. Intendiamo semplicemente una specificazione di quali grandezze fisiche possono essere misurate simultaneamente. Queste sono ciò che già von Neumann chiamava osservabili macroscopiche. Prima di discutere di emergenza, è necessario chiarire quali variabili si stanno effettivamente considerando.

Una volta fatta questa scelta, la distinzione tra gradi di libertà macroscopici e microscopici coincide esattamente con un confine tra ciò che può essere inferito e ciò che non può essere inferito. Date le variabili misurate e una certa informazione a priori, alcuni dettagli microscopici possono essere retrodedotti dai dati macroscopici, mentre altri sono irrimediabilmente persi. Ciò che conta come macroscopico è determinato da questo confine inferenziale.

Non è che le variabili macroscopiche emergano per prime e quelle microscopiche siano nascoste sotto. Al contrario, è la scelta delle variabili macroscopiche che decide che cosa è macro e che cosa è micro.

È interessante notare che questa prospettiva inferenziale e retrodittiva non è stata imposta dall’esterno. È emersa naturalmente dalla matematica. A posteriori, questo è stato particolarmente significativo, soprattutto alla luce di lavori recenti sul ruolo di predizione e retrodizione nelle relazioni di fluttuazione.

Dall’entropia osservazionale al deficit osservazionale

L’entropia osservazionale cattura già una parte importante di questa storia. Spiega come l’entropia possa aumentare sotto dinamiche unitarie quando ci si limita a osservazioni macroscopiche. Tuttavia, nella sua formulazione standard, essa si basa su una distribuzione a priori uniforme.

Questa è una limitazione seria. In contesti termodinamici, una distribuzione termica è spesso la scelta naturale. In sistemi di dimensione infinita, lo stato uniforme può addirittura non esistere. Per questo motivo abbiamo introdotto la nozione di deficit osservazionale, definita rispetto a un prior arbitrario.

Concettualmente, il deficit osservazionale misura quanta informazione su uno stato viene persa quando si passa da una descrizione microscopica ai dati macroscopici, tenendo conto della conoscenza a priori dell’osservatore.

Gli stati macroscopici sono allora esattamente quelli per cui questo deficit si annulla. Sono gli stati che possono essere perfettamente retrodedotti dai soli dati macroscopici.

Sistemi di riferimento inferenziali e MPPP

Un risultato tecnico centrale dell’articolo è l’esistenza e unicità di quello che chiamiamo il massimo post-processing proiettivo (MPPP) di una misura, rispetto a un dato prior. Questo oggetto ha un ruolo concettuale fondamentale.

Il risultato mostra che ogni osservatore, definito da una misura e da un prior, può essere rappresentato da una misura proiettiva appropriata. Questa misura proiettiva cattura esattamente l’informazione che è inferenzialmente accessibile. Per questo motivo la interpretiamo come un sistema di riferimento inferenziale.

Così come un sistema di riferimento di simmetria determina quali sovrapposizioni sono fisicamente significative, un sistema di riferimento inferenziale determina quali distinzioni tra stati sono significative a livello macroscopico. È questa struttura che decide che cosa conta come macroscopico e che cosa conta come microscopico per un dato osservatore.

Una teoria delle risorse della microscopicità

Una volta identificati chiaramente gli stati macroscopici, è naturale chiedersi che cosa renda uno stato più microscopico di un altro. Rispondere a questa domanda richiede più di una semplice classificazione. Richiede un quadro operativo.

Per questo abbiamo sviluppato una teoria delle risorse della microscopicità. In questa teoria, gli stati macroscopici sono gli stati liberi e la microscopicità è la risorsa. Il quadro costringe a pensare in termini di operazioni che non generano microscopicità e a chiarire che cosa sia realmente in gioco quando i dettagli microscopici diventano rilevanti.

Un risultato importante è che diverse teorie delle risorse ben note emergono come casi particolari. Coerenza, atermicità e asimmetria si inseriscono naturalmente in questo quadro una volta fatte opportune scelte di misure e prior. Vedere queste teorie come istanze della microscopicità fornisce un’interpretazione operativa unificata e chiarisce, per esempio, il significato fisico della distinzione tra coerenza “speakable” e “unspeakable”.

Correlazioni dipendenti dall’osservatore

La stessa prospettiva può essere applicata alle correlazioni. Entanglement, discord e nozioni affini sono spesso trattate come proprietà assolute degli stati. I nostri risultati supportano una visione diversa. La visibilità e l’utilità delle correlazioni dipendono dal sistema di riferimento inferenziale dell’osservatore.

Questo non è particolarmente sorprendente, ma è importante. Molta della discussione sul ruolo dell’osservatore nella teoria quantistica riguarda le relazioni tra osservatori diversi. Prima di affrontare quel problema, è necessario capire come appaiono le correlazioni dal punto di vista di un singolo osservatore con accesso limitato.

Il nostro quadro fornisce un punto di partenza per questa analisi e potrebbe, in prospettiva, portare a qualcosa come una teoria della relatività dei sistemi di riferimento inferenziali.

Che cosa rende possibile questo lavoro

A un livello generale, questo lavoro fornisce una soluzione rigorosa a un problema matematico di base: che cosa significa che uno stato, un’operazione o una correlazione siano macroscopici?

Senza una risposta precisa a questa domanda, le discussioni sull’emergenza del comportamento macroscopico rischiano di rimanere vaghe. Con questa risposta, possiamo finalmente dire di che cosa stiamo parlando. Questo non risolve da solo il problema dell’emergenza, ma chiarisce il linguaggio e la struttura necessari per affrontarlo in modo significativo.

L’articolo si intitola Macroscopicity and observational deficit in states, operations, and correlations ed è apparso su Reports on Progress in Physics un mese fa. L'articolo è disponibile gratis su arXiv.

@scienza
@fisica

#fisica
#fisicaquantistica
#quantumquia

Новый математический метод помогает спутникам увидеть истинное движение Гольфстрима

Международная команда океанографов и специалистов по анализу данных из ведущих научных центров США, Франции, России и Австрии разработала и успешно применила новый метод, позволяющий с беспрецедентной точностью отделять медленные, крупномасштабные океанские течения от быстропеременных волновых помех. Используя сложный математический аппарат, известный как динамическая декомпозиция мод, ученым удалось «очистить» данные новейшего спутника SWOT и впервые получить четкую картину геострофически сбалансированных движений в такой динамически сложной области, как Гольфстрим. Этот прорыв открывает новые горизонты для климатического моделирования, прогнозирования погоды и понимания глобальной циркуляции океана. Результаты исследования опубликованы в журнале Earth and Space Science.

habr.com/ru/articles/969374/

#гольфстрим #океанические_течения #моделирование_океана

Трамп заявив, що шанси на мирне врегулювання війни Росії проти України нині «вищі, ніж будь-коли», повідомляє Reuters.

За словами президента США, і Москва, і Київ зацікавлені в завершенні війни, однак можуть «у будь-який момент змінити позицію», тому, як зазначив Трамп, їх слід підштовхнути до досягнення спільного рішення.

Європейський Союз на тлі «інцидентів» із метеозондами з контрабандою посилив санкції проти Білорусі, всупереч позиції США які послабили санкції після звільнення частини політв’язнів.

Про це повідомило видання Bloomberg.

Європа представила план гарантій безпеки для України, – джерела РБК-Українв.

Що передбачає план?

Постійну військову підтримку України(збереження ЗСУ чисельністю до 800 тис. військових)
"Багатонаціональну силу Ukraine" під проводом Європи за підтримки США.
Механізм контролю припинення вогню під керівництвом США.
Юридично зобов’язуючі гарантії безпеки у разі нового нападу.
Масштабні інвестиції у відновлення України. Російські активи в ЄС залишаються замороженими.
Підтримка вступу України до ЄС

𝗔𝗠𝗔𝗧𝗔 𝗣𝗛𝗘𝗚𝗘𝗔

Questo lepidottero usa la colorazione nero/gialla a punteggiature bianche per segnalare ai predatori di essere "indigesto" (aposematismo).

Con la falena Zygaena Ephialtes, sono esempi di mimetismo mülleriano: specie diverse comunicano la loro tossicità con la stessa gamma cromatica!

Nella cultura popolare è chiamato "Pretino" per via della livrea o "Mietitore" in relazione alla sua comparsa nel periodo del raccolto.

#Foto in #escursione nel Parco dei Castelli Romani #Lazio

@scienze@diggita.com

#trekking #escursioni #natura #montagna #camminare #sentieri #foto #fotografia #farfalle #falene

𝗩𝗜𝗩𝗜 𝗟𝗔 𝗡𝗔𝗧𝗨𝗥𝗔 𝗖𝗢𝗡 𝗡𝗢𝗜: 𝗦𝗖𝗢𝗣𝗥𝗜 𝗦𝗨𝗟 𝗡𝗢𝗦𝗧𝗥𝗢 𝗦𝗜𝗧𝗢 𝗟𝗔 𝗦𝗢𝗥𝗣𝗥𝗘𝗦𝗔 𝗗𝗜 𝗡𝗔𝗧𝗔𝗟𝗘！🎁 🎄
greentrek.it/?mtm_campaign=pix…