Статистика в конце года весьма неприятная для Кремля. Инфляция снова резко пошла вверх. Сальдированная прибыль предприятий упала, промышленность продолжает падать. При этом продолжается замедление военки. Также пошли дефолты на рынке ВДО. Нефть падает до минимумов за много лет. URALS опускался до 34 долларов за баррель.

В целом для РФ год достаточно тяжёлый, когда все апокалиптичные прогнозы про российскую экономику начали сбываться. Но худшее впереди.

Об этом и многом другом — в свежей экономической сводке с Владимиром Миловым.

youtube.com/watch?v=FNGQ1bs8ef…

Create Aerated Concrete Using Xanthan Gum and Dishwashing Liquid

To make aerated concrete, add a foam-forming agent and stir in a significant amount of air. This serves to make the concrete significantly lighter, better insulating, and more resilient to fire. Making it can however be a bit of an issue, often requiring ingredients that aren’t purchased at the average DIY store. This is where [NightHawkInLight]’s method seems rather promising, requiring effectively only xanthan gum and dishwashing detergent.

For the small-scale demonstration, 15 grams of the thickening agent xanthan gum is mixed with enough alcohol to create a slurry. To this 60 mL of the detergent and 1 liter of water is added and mixed until the xanthan gum has absorbed all the moisture, which takes about 5-10 minutes. This mixture is then added to Portland cement with two parts cement to one part xanthan gum/detergent mixture and mixed for a while.

Of importance here is that this mixture will keep expanding in volume while mixing, so you have to have to keep an eye on the amount of air relative to concrete, as this will determine the strength and other properties of the final aerated concrete. If you continue past a certain point you will even create open-celled aerated concrete that’s completely porous, so you have to know what kind of concrete you want before you start mixing up a big batch.

The basic physics behind this approach seem fairly straightforward, with the air captured in soap bubbles by the detergent, reinforced by the xanthan gum to make them significantly more resilient. A normal concrete mixer seems to work fine, but a mixing rod or kitchen mixer seem to do a much better job at getting a predictable result.

After pouring the aerated cement mixture into a mold, it should be kept moist while it cures, as it is more fragile than typical concrete, but if done properly you can produce for example cinderblocks that are quite insulating, as well as something akin to AAC blocks, conceivably with even better performance.

youtube.com/embed/z4_GxPHwqkA?…

hackaday.com/2025/12/28/create…

170 dollari per un like: la mega truffa dei “soldi facili” che sta svuotando i conti

Annunci di lavoro fraudolenti che promettono guadagni facili e lavoro da remoto continuano a inondare i social media, in particolare in Medio Oriente e Nord Africa. Con il pretesto di lavori part-time che non richiedono esperienza, i truffatori raccolgono dati personali ed estorcono denaro.

170 dollari per mettere “mi piace”

Secondo l’analisi di Group-IB, dietro tutto questo ci sono gruppi coordinati che si spacciano per marchi noti ed enti governativi. Il programma inizia con annunci pubblicati su piattaforme come Facebook, Instagram, TikTok e Telegram. Gli annunci sono progettati professionalmente, presentano loghi di aziende note, recensioni positive e promettono fino a 170 dollari per azioni semplici come “Mi piace”, recensioni e completamento di sondaggi.

Gli annunci sono localizzati per Paese e persino per dialetto, utilizzando valute locali e una terminologia familiare, il che li rende particolarmente persuasivi. Dopo aver risposto, l’utente viene indirizzato a un’app di messaggistica dove può comunicare con un “recruiter” che dovrebbe verificare le sue credenziali.

Una truffa ben congeniata

L’utente viene quindi indirizzato a un sito web falso, camuffato da portale di lavoro. Lì, gli viene chiesto di registrarsi, caricare documenti, inserire le informazioni bancarie e persino depositare denaro, apparentemente per attivare delle attività. Dopodiché, il controllo viene trasferito a un altro membro del gruppo, questa volta su Telegram, che supervisiona il “lavoro” e monitora gli ulteriori trasferimenti.

Per creare fiducia, spiegano gli analisti di Group-IB, i truffatori pagano piccole somme di denaro nelle fasi iniziali del loro piano. Tuttavia, poi convincono le vittime a pagare di più per attività più redditizie. Una volta che la somma diventa elevata, i pagamenti si interrompono, i conti scompaiono e tutti i contatti vengono interrotti. Identificare i truffatori diventa praticamente impossibile.

L’analisi di Group-IB mostra che questi schemi prendono di mira un vasto pubblico, dagli adolescenti agli anziani. Prendono di mira principalmente i paesi della regione MENA: Egitto, Emirati Arabi Uniti, Arabia Saudita, Algeria, Iraq, Giordania e altri. Il più delle volte, i siti web e i loghi di marketplace, banche e ministeri governativi vengono falsificati. I gruppi stessi operano in modo organizzato: gestiscono più account, replicano modelli di messaggistica e utilizzano gli stessi metodi per trasferire le vittime tra le piattaforme.

“Guadagni facili”: è sempre il preludio dello scam

Nel 2025, gli specialisti del Group-IB hanno identificato oltre 1.500 annunci di questo tipo, anche se la portata effettiva è probabilmente significativamente più elevata. Gli slogan utilizzati – “guadagna soldi dal tuo telefono”, “lavoro facile da casa”, “guadagni facili” – sono ripetuti in diverse versioni e in diversi Paesi.

I siti web scoperti condividono uno schema comune: un modulo di accesso, una finta interfaccia “task” e un collegamento rapido alle app di messaggistica. Gli account dei truffatori hanno nomi, foto e stili di comunicazione simili. Tutto ciò indica un’infrastruttura unificata che opera secondo un piano ben definito.

Questi annunci non sono tentativi isolati di inganno, ma piuttosto un sistema su larga scala con una struttura chiara e mirato a chi è finanziariamente vulnerabile.

Sfruttando la fiducia nei marchi e le caratteristiche intrinseche dei social media, i truffatori costruiscono una complessa catena di interazioni, in cui ogni fase è finalizzata al profitto.

Raccomandazioni

Per i privati:

• Evitate di condividere documenti sensibili con reclutatori non richiesti e non verificati. Nessuna azienda o ministero legittimo chiederà documenti d’identità, coordinate bancarie o depositi prima ancora di offrire un colloquio.
• Metti sempre in discussione le offerte irrealistiche di guadagni rapidi e alti con poco o nessuno sforzo.
• Verificare l’esistenza dell’azienda tramite siti web ufficiali o eventuali offerte di lavoro tramite portali di pubblicazione di annunci di lavoro affidabili come LinkedIn.
• Segnala gli annunci sospetti direttamente alla piattaforma di social media.

Per aziende e piattaforme:

• Rafforzare i processi di verifica degli annunci, in particolare per le categorie “lavoro”.
• Monitorare l’impersonificazione del marchio aziendale o dei ministeri.
• Avviare campagne di sensibilizzazione in più lingue per mettere in guardia i gruppi vulnerabili.

L'articolo 170 dollari per un like: la mega truffa dei “soldi facili” che sta svuotando i conti proviene da Red Hot Cyber.

L’Exploit MongoBleed è online: 87.000 istanze su internet a rischio compromissione

È stata scoperta, come riportato in precedenza, una grave vulnerabilità in MongoDB che consente a un aggressore remoto, senza alcuna autenticazione, di accedere alla memoria non inizializzata del server. Al problema è stato assegnato l’identificatore CVE-2025-14847 e un punteggio CVSS di 8,7, che rappresenta un livello di gravità elevato.

Il bug Improper Handling of Length Parameter Inconsistency

L’errore CWE-130 è correlato all’elaborazione errata dei parametri di lunghezza dei dati. In alcune situazioni, il server non associa correttamente il valore di lunghezza specificato nell’intestazione alla quantità effettiva di dati trasferiti.

Ciò è dovuto al protocollo di scambio dati di compressione Zlib: se i campi di lunghezza nell’intestazione compressa non corrispondono al contenuto effettivo, MongoDB potrebbe restituire al client una posizione di memoria non inizializzata in precedenza.

In parole povere, una richiesta appositamente creata consente di leggere frammenti della RAM di un server senza effettuare l’accesso. Questi dati possono contenere lo stato interno del processo, puntatori, strutture di servizio o altre informazioni che facilitano ulteriori attacchi.

La vulnerabilità interessa un’ampia gamma di versioni di MongoDB Server:

• ramo 8.2 da 8.2.0 a 8.2.3
• ramo 8.0 da 8.0.0 a 8.0.16
• ramo 7.0 da 7.0.0 a 7.0.26
• ramo 6.0 da 6.0.0 a 6.0.26
• ramo 5.0 da 5.0.0 a 5.0.31
• ramo 4.4 da 4.4.0 a 4.4.29
• così come tutte le versioni di MongoDB Server 4.2, 4.0 e 3.6

Gli sviluppatori hanno già rilasciato aggiornamenti che risolvono il problema. Le correzioni sono disponibili nelle versioni 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 e 4.4.30. MongoDB sottolinea che lo sfruttamento della vulnerabilità è possibile lato client e non richiede credenziali, pertanto si consiglia di installare l’aggiornamento il prima possibile.

L’Exploit MongoBleed

MongoBleed viene eseguito prima dei controlli di autenticazione. Creando pacchetti di rete compressi e malformati, gli aggressori non autenticati possono ora indurre il server a gestire in modo errato le lunghezze dei messaggi decompressi, con il risultato che il server restituisce frammenti di memoria heap non inizializzati direttamente al client.

La causa principale risiede in message_compressor_zlib.cpp, dove il codice vulnerabile restituiva la dimensione del buffer allocato anziché la lunghezza effettiva dei dati decompressi. Questa falla sottile ma critica consente a payload sottodimensionati o malformati di esporre la memoria heap adiacente contenente informazioni sensibili, una vulnerabilità di buffer overflow analoga a Heartbleed .

Poiché la falla è raggiungibile prima dell’autenticazione e non richiede alcuna interazione da parte dell’utente, i server MongoDB esposti a Internet corrono un rischio immediato di sfruttamento.

Secondo Censys, attualmente sono circa 87.000 le istanze potenzialmente vulnerabili esposte in tutto il mondo, mentre la ricerca di Wiz indica che il 42% degli ambienti cloud ospita almeno un’istanza MongoDB vulnerabile.

Risorse online

Negli ultimi giorni sono stati pubblicati su GitHub diversi repository dedicati allo sfruttamento e alla rilevazione della CVE-2025-14847, una vulnerabilità critica di memory disclosure in MongoDB legata alla gestione della compressione zlib (flag OP_COMPRESSED).

Progetti come ProbiusOfficial/[url=https://www.redhotcyber.com/en/cve-details/?cve_id=CVE-2025-14847]CVE-2025-14847[/url]e cybertechajju/CVE-2025-14847_Exploit forniscono proof of concept ed exploit funzionanti che dimostrano come sia possibile estrarre dati sensibili direttamente dalla heap di istanze MongoDB vulnerabili, evidenziando l’impatto concreto del bug.

Accanto agli exploit, sono comparsi anche strumenti di detection e scanning, come onewinner/CVE-2025-14847 e Black1hp/mongobleed-scanner, pensati per individuare rapidamente sistemi esposti, molto utili in contesti di bug bounty, red teaming e security assessment.

Il repository Ashwesker/Blackash-CVE-2025-14847 completa il panorama offrendo un’ulteriore implementazione focalizzata sull’analisi della vulnerabilità.

Nel complesso, questa ondata di tool conferma l’elevata attenzione della community sulla falla e la sua pericolosità reale in scenari di produzione, soprattutto per database MongoDB esposti in rete o non adeguatamente aggiornati.

L'articolo L’Exploit MongoBleed è online: 87.000 istanze su internet a rischio compromissione proviene da Red Hot Cyber.

Cheetah MX4 Mini: A Pint-Sized 3D Printer Controller

There’s a seemingly unending list of modifications or upgrades you can make to a 3D printer. Most revolve around the mechanical side of things, many are simple prints or small add-ons. This upgrade is no small task: this 17-year-old hacker [Kai] took on designing and building his own 3D printer control motherboard, the Cheetah MX4 Mini.

He started the build by picking out the MCU to control everything. For that, he settled on the STM32H743, a fast chip with tons of support for all the protocols he could ask for, even as he was still nailing down the exact features to implement. For stepper drivers, [Kai] went with four TMC stepstick slots for silent motor control. There are provisions for sensorless homing and endstops, support for parallel and serial displays, and both USB-C and microSD card slots for receiving G-code. It can drive up to three fans as well as two high-amperage loads, such as for the heated bed.

All these features are packed into a board roughly the size of a drink coaster. Thanks to the STM32H743, the Cheetah MX4 Mini supports both Marlin and Klipper firmware, a smart choice that lets [Kai] leverage the massive amount of work that’s already gone into those projects.

One of the things that stood out about this project is the lengths to which [Kai] went to document what he did. Check out the day-by-day breakdown of the 86 hours that went into this build; reading through it is a fantastic learning aid for others. Thanks [JohnU] for sending in this tip! It’s great to see such an ambitious project not only taken on and accomplished, but documented along the way for others to learn from. This is a fantastic addition to the other 3D printer controllers we’ve seen.

hackaday.com/2025/12/28/cheeta…