Опубликованы новые задания
Релиз #11

❗️Внимание!
Этот и следующие три релиза задач будут в урезанном виде — по 2-3 штуки. После Новогодних праздников вернемся в обычный режим. Пока предновогодняя суета и декабрьские рабочие дедлайны не оставляют времени ни на что другое. Да и участникам уже пора заняться поиском подарков к НГ и побольше провести времени с близкими в канун праздников, а не за компуктерами сидеть)

Две новые задачи доступны на площадке!

🟢 Welcome / Анализ трафика

🔴 OSINT / Руины Некромосов


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #13

Всем привет! Это опоздавшие новости с воскресенья, или же дайджест #13, приступим же.

🍓 Утечка пользовательских данных с Pornhub
Снова большая утечка, и на этот раз пострадал один из самых крупных 18+ сервисов в мире — Pornhub. Утечка составила более 94ГБ данных, а постарались здесь хакеры из ShinyHunters. В результате инцидента в открытый доступ попали пользовательские данные, комментарии, метаданные и многое, что пользователи предпочли бы не видеть в сети (просмотренные URL видео, названия роликов, связанные ключевые слова и временные метки посещений).
Утекли и данные о типе активности. Тип активности, это данные о просмотре/скачивании видео и просмотра самого канала. К тому же, хакеры заявляют что туда попала и история поиска. Короче компромат жёсткий. Хакеры требуют выкуп у Pornhub и угрожают, что готовы обнародовать данные.
Источник

✉️ Охота на почтовые ящики ukr[.]net
Хакеры из BlueDelta (aka APT28/FancyBear) вели масштабную кампанию по фишингу учёток пользователей UKR[.]NET (популярный почтовый сервис Украины) целый ГОД. Атаки были активны с июня 2024 до апреля 2025 года, и это не случайные попытки, а хорошо организованная разведывательная активность.
Хакеры отказались от старых схем с взломанными роутерами и перешли на маскировку через легитимные прокси-сервисы вроде ngrok и Serveo — это позволяло скрывать настоящие сервера и держать кампанию в рабочем состоянии практически без пауз.
В ход шли десятки цепочек фишинга с поддельными страницами входа на UKR[.]NET, размещёнными через Mocky API и бесплатный хостинг, а также короткие ссылки и обратные прокси для маскировки инфраструктуры. Сайты выглядели как реально работающие формы входа и собирали:
– логины и пароли
– коды двухфакторной аутентификации
– IP-адреса жертв
Кроме стандартного фишинга, злоумышленники использовали PDF-файлы, замаскированные под уведомления о подозрительной активности — внутри был «красивая» ссылка для смены пароля, которая вела на фейковую страницу.
Источник

🥷 Привет из КНДР
В Amazon вычислили северокорейца, который устроился к ним удалёнщиком сисадмином, выдавая себя за сотрудника из США. Его выдали не документы и не собес, нет. Задержка нажатий клавиш на клавиатуре. Да, вот так.
Служба безопасности заметила, что лаг между нажатием клавиши и получением сигнала был слишком большим — больше 110 миллисекунд. Для обычного удалённого работника из США это нехарактерно: такие задержки указывают, что ноутбук используется как прокси, а реальное управление идёт откуда-то ещё. Проверка показала, что устройство физически находилось в Аризоне, но управлялось удалённо операторами из Северной Кореи.
Подобные случаи не редкость. С апреля 2024 года компания пресекла более 1800 попыток трудоустройства северокорейских IT-специалистов под чужими личностями, и их число продолжает расти. Цель таких схем — зарабатывать валюту для КНДР, а иногда и заниматься шпионажем или саботажем. Поэтому их и ищут.
Источник

На этом новости — всё. Хорошей вам завершающей полной недели в этом году! Встретимся в следующее воскресенье!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #12

Предновогодний релиз, со всеми вытекающими — закончить и протестировать успели только одну задачу. Но самая сложная и суетная пора подходит к концу, 25й год уже на финишной прямой.
Следующий релиз так же будет на пару задачек, пока все, в том числе и команда БАГодельни, отдыхают и празднуют НГ.
После каникул продолжим во всю силу — собирать пачки задач размером побольше.

Одна новая задача доступна на площадке!

🔴 Web / Дуглас Муглис


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #14

Привет привет всем, надеюсь вы уже запаслись мандаринами, потому что это последние новости в этом году! Начнём же.

💴 Крипта: итоги года, от которых больно
Chainalysis выкатили статистику по кражам крипты за 2025 год, и тут интересно прослеживается одна страна... Сначала амазон, и тут оказывается крипта еще...
Основную часть криптокраж в 25-м году обеспечили группировки, связанные с Северной Кореей — прежде всего Lazarus Group и аффилированные с ней команды. По оценкам аналитиков, на них пришлось более $2 млрд из общего объёма похищенных средств. Всего за этот год хакеры украли свыше $3,4 млрд в криптовалюте, и большая часть этой суммы была получена не через массовые скамы, а за счёт нескольких точечных атак на централизованные сервисы.
Крупнейшим инцидентом года стал взлом биржи Bybit, где злоумышленники вывели около $1,5 млрд. Атака, по данным расследований, включала компрометацию внутренних процессов, доступ к приватным ключам и использование социальной инженерии.
Отчёт подчёркивает, что северокорейские группы изменили тактику:
— атак стало меньше,
— цели выбираются реже,
— но каждая операция нацелена на максимальный финансовый эффект.
Главными целями стали криптобиржи, кастодиальные сервисы и инфраструктурные провайдеры, где сосредоточены крупные резервы и остаётся высокий человеческий фактор.
Аналитики Chainalysis отмечают, что, несмотря на рост защищённости DeFi-протоколов, централизованные платформы остаются самым уязвимым звеном. Именно через них проходит большая часть «мега-взломов», формирующих общую статистику года. За графиками прошу в источник.
Источник

🥷 RCE в MongoDB
В экосистеме MongoDB нашли RCE-уязвимость, завязанную не на самой базе напрямую, а на популярной Python-связке. Уязвимость позволяет удалённо выполнить произвольный код за счёт небезопасной обработки данных при сериализации. Уязвимость получила идентификатор CVE-2025-14847. Достаточно передать специально сформированный объект и сервер сам выполнит то, что отправили в объекте. Особенно неприятно то, что уязвимость легко вписывается в реальные сценарии: API, микросервисы, фоновые задачи. Всё, что принимает данные «извне» и доверяет им чуть больше, чем стоило бы.

«Эксплуатируя реализацию zlib на сервере, атакующий может получить неинициализированную память из хипа без авторизации. Мы настоятельно рекомендуем как можно скорее обновиться до исправленной версии», — предупредила команда безопасности MongoDB.

Патчи уже вышли, и разработчики настоятельно рекомендуют как можно скорее обновиться до версий 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 или 4.4.30. Если не получается обновить, то следует отключить сжатие zlib в MongoDB Server, запустив mongod или mongos с параметром networkMessageCompressors или net.compression.compressors.
Источник

👨‍🦳Unix V4: привет из 1973-го
И напоследок — новость для тех, кто любит археологию. Обнаружена единственная уцелевшая копия Unix V4, про которую просто забыли на 52 года. Система была написана в Bell Labs в начале 70-х и долгое время считалась утраченной. Интересно и то, как система вообще уцелела. Архив просто пролежал забытым десятки лет, пока не оказался в руках энтузиастов, которые поняли, что перед ними — не просто старый код, а редкий исторический артефакт.

Лента с Unix v4 попала к Мартину Ньюэллу — он разработал оригинальную версию знаменитого чайника, ставшего неотъемлемой частью 3D-программ по всему миру. А ещё в коде встречается столь же знаменитый комментарий «никто не ждёт, что вы это поймёте» (you are not expected to understand this).

Теперь её удалось восстановить, изучить и даже запустить в эмуляторе. Именно в таких версиях формировались идеи, которые до сих пор живут в Linux, BSD и macOS. Можно даже пощупать ее самому, если кому интересно, но необходимо создать загрузочную среду и скомпилировать систему для неё.
Источник

Вот и всё, новости подошли к концу. Встретимся уже с вами в новом году! Пока!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

С Новым Годом!

📖 Финиш 2025-го
Очередной год незаметно пронесся. В ежедневной суете сложно разглядеть какие-то достижения и результаты, всё кажется рутиной. Но иногда нужно притормозить, перевести дух и оглянуться назад, чтобы осознать весь проделанный путь. Большое видно только с расстояния. Так что предлагаю подвести итоги года и посмотреть всем вместе, что мы успели натворить в 2025-м году.

📌 Площадка с CTF-задачами
Главным достижением БАГодельни в этом году я считаю запуск площадки с CTF-задачами. Для меня это важное событие, оно помогло познакомиться с множеством новых людей. Некоторые стали друзьями и частью команды, и теперь помогают развивать площадку. Другие стали хорошими знакомыми, с кем можно поболтать и пошутить. А есть и те, кто подсказывают и помогают узнавать новое.
Спасибо всем, кто помогает делом или советом, кто решает наши задачи, комментирует и критикует. Это всё помогает учиться, развиваться и делать площадку только лучше.

📌 Итоги года
В конце года принято подводить итоги и дарить подарки.
Несколько раз переписав этот пост, так и не получилось понятно оформить и уместить всю статистику в один телеграм-пост. Поэтому собрал страничку, которая надолго останется доступна в сети и будет архивом результатов этого года.
На странице собрана краткая предыстория площадки, статистика по задачам, участникам, флагам и, конечно же, скорборд.

❗️ Статистика
Посмотреть итоги года в цифрах и актуальный на 31 декабря 2025 года, 12:00 МСК скорборд можно тут: https://2025.bug-makers.ru
Не удержался от баловства и добавил на страницу пасхалку — можно найти фулл с Пикси, если постараться.

❗️Призы для ТОП-10
А ещё хочется отметить небольшими призами топ-10 участников площадки. Не удалось вовремя организовать что-то физическое, но и оставлять без подарков тоже не дело.
Подарки больше символические, но всё же, надеюсь, их будет приятно получить, хотя бы на память:
– За первое место – премиум в телеграм на 1 год
– За второе место – премиум в телеграм на 6 месяцев
– За третье место – премиум в телеграм на 3 месяца
– За 4–10 места – подарок в телеграм в виде кубка

🏆 Term1nal
🥈 rst
🥉 velvetway
4. demonstrik
5. burnsky
6. OKOB
7. credo123
8. evtsapkov
9. skydaemon
10. Nuit

Все подарки уже разослал перед публикацией этого поста.

❤️ С Новым Годом!
А теперь без лишнего официоза и громких слов хочу каждому пожелать — всего самого наилучшего, счастья, тепла, здоровья! Пусть у вас всё получается в Новом году!

📌 Итоги: https://2025.bug-makers.ru

———
#⃣ #Итоги #CTF

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #13

Первый релиз в 2026-м году — пара задачек для разминки, чтобы немного проснуться и придти в чувства после празднования Нового Года.

Две новые задачи доступны на площадке!

🟢 OSINT / Фуррисибирск

🟡 Misc / 1043 грамма PLA


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #15

Новый год уже идёт как четыре дня. Салаты доели? Если нет, то вот вам ещё порция, в меню у нас новости!

🗣 Голосовой эксплоит
Наткнулся тут на Скайнет… то есть на весьма необычный эксплойт. Суть такая: специалисты обнаружили уязвимость, позволяющую отдавать роботу команды голосом, а затем распространять этот доступ на другие машины.
Эксперимент проводили на коммерческом роботе Unitree стоимостью около 100 тысяч юаней, оснащённом ИИ-агентом. Исследователям удалось обойти защитные механизмы и полностью взять его под контроль. На тот момент робот был подключён к интернету, но на этом веселье не закончилось. Второй робот, который вообще не был подключён к сети, получил тот же эксплойт по беспроводной связи (Bluetooth) и также оказался скомпрометирован.
Страшновато, не так ли? Чтобы показать, к чему это может привести, исследователи решили отдать машине команду — ударить манекен на сцене. Робот подошёл к цели и без колебаний выполнил приказ.
У Unitree и раньше были проблемы с безопасностью, и Bluetooth уже фигурировал среди уязвимых мест. А теперь представьте ангар, полный таких машин: один хакер подходит к одному роботу, взламывает его, настраивает на агрессию — и передаёт эксплойт остальным.
Пожалуй, это действительно стоит пропатчить.
Источник

🔒Resecurity больше не secure’ит
Новый год — новые атаки, не так ли? Американская компания Resecurity, работающая в сфере кибербезопасности, пострадала от… кибератаки. Хакеры из группы Scattered Lapsus$ Hunters опубликовали результаты взлома в своём Telegram-канале, заявив, что получили абсолютно ВСЁ:

«Мы взяли всё:
— внутренние чаты и логи;
— полные сведения о сотрудниках (имена, почты, токены и т.д.);
— информацию об угрозах, отчёты, сбоях и процессах компании;
— детальные файлы клиентов;
— планы и переписки из чатов».

В качестве доказательств были опубликованы скриншоты файлов, а также ссылка на Pastebin с содержимым.
Однако Resecurity отрицает факт взлома и утверждает, что произошедшее было honeypot’ом — специально созданной средой для приманивания и наблюдения за атакующими. По словам компании, команда DFIR на раннем этапе обнаружила признаки разведки и зафиксировала несколько IP-адресов, связанных с злоумышленником, включая адреса из Египта и сервисов Mullvad VPN. Развязка истории довольно весёлая, но сюда не уместится, поэтому прошу — в источник.
Источник

🐴 Троянский конь
Существует тонна разных антивирусов: MalwareBytes, Kaspersky, Dr.Web и много-много других. Все они так или иначе могут защищать от различного вида вирусов. Но одна хакерская группа решила бросить вызов защитникам вашего ПК. Давайте же разберёмся, как новый вариант трояна может попасть в компьютер.
Троян начинает свой путь с фишингового письма под видом PDF-файла; пользователь открывает этот самый файл иии... Открывается PDF-файл, да. Но это ложь: вместе с этим файликом запускается и исполняемый файл mshta.exe, который расшифровывает вредоносный скрипт и инджектит его прямиком в оперативную память. PDF-файл нужен лишь для того, чтобы всё было скрытнее.
Только этот троян более умный, чем его братья. Он создан так, что может определять систему и адаптироваться под неё. Но он не только сканирует систему — он ищет, какой у вас антивирусник установлен на ваш ПК, т.к. к разному продукту — свой подход.
Источник

Доели новости, доедайте дальше салаты. Но не переедайте! Всем удачи!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #14

❗️Внимание!
Обновлена старая задача Дуглас Муглис.
– Убрали Wordpress, который был лишь декорацией
– Хинты удалены
– Сложность понижена до Medium
Баллы и таск на скорборде не менялись. Тем, кто ранее решил на уровне Hard, заново решать не нужно, и так молодцы :)

Две новые задачи доступны на площадке!

🟢 Rev / Прошлогодний флаг

🟡 OSINT / Гондольеры


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной дайджест #16

Бррр, погодка, конечно, морозная. Возьмите себе чаю и закрутитесь в пледик, потому что мы начинаем нашу сводку!

📸 Утечка базы Instagram*
Может быть, вы в курсе недавних новостей о том, что Instagram был взломан, и утечка затронула ~17.5 миллионов аккаунтов. В эту утечку вошли следующие данные:

— ники пользователей;
— электронные почты;
— номера телефонов;
— физические адреса пользователей.

Компания Malwarebytes подтвердила утечку. Слитая база гуляет по даркнету, и она довольно-таки в хорошем спросе.
После этой утечки многие пользователи уже получали сообщения о сбросе пароля. Такие сообщения могут быть как реальными от корпорации, так и фишинговыми, направленными на полный угон вашего аккаунта.
Тем не менее, Meta заявила, что уже исправила возможность третьей стороне запрашивать сброс пароля, и что никакой утечки не происходило.
Если вы подозреваете, что ваш аккаунт может быть под угрозой — немедленно включите двухфакторную аутентификацию! Также не спускайте глаз, всегда смотрите, от кого пришло сообщение.
Поэтому у Пикси нет инсты, а только OnlyFans 😁 Он расположен на поддомене bug-makers.ru — кто ищет, тот всегда найдет.
*Запрещена в России; принадлежит компании Meta, признанной экстремистской организацией и запрещённой в РФ.
Источник

👨‍💻 Макось под ударом
Добро пожаловать в новый мир, здесь у нас уже нейронки будут оставлять свой след везде. Так, специалисты из Mosyle обнаружили вредоносную кампанию под macOS, где они зафиксировали первый в мире «зловред» с отпечатком генеративного ИИ. Причём на форумах ещё год назад юзерами обсуждалось использование нейросетей для написания таких вредоносных кодов.
За такую скрытную работу вредоноска кампания получила название SimpleStealth, маскируется под Grok и распространяется через фейковый сайт, где предлагают скачать установщик. Короче говоря, всё выглядит как обычный Grok и ведёт себя также, но под капотом — криптомайнер, и ведёт он себя максимально тихо:

— запускается только если система бездействует;
— движение мышки или щелчок по клавиатуре заставляет майнер остановиться;
— маскировка под системные процессы типа kernel_task и launchd.

Окей, здесь всё как у обычного майнера, где же здесь нейронка? Везде, ребят. Постоянные комментарии, повторение логики кода, и… смесь португальского языка с английским. То есть зловред настолько тихий и эффективный, написать может уже кто угодно, достаточно задать нужные промпты и навести ИИ на «правильный» путь.
Источник

🐧 Вход в Linux без спроса
Сначала macOS, а теперь Linux? Ну так получилось. Здесь нашли уязвимость в утилите TLP (оптимизация энергопотребления). Утилита работает с root-правами, но в механизме аутентификации нашлась ошибка в логике, которая позволяет целиком и полностью обойти проверку прав. Демон должен проверять, кто отдаёт команды, но из-за ошибки любой пользователь может взаимодействовать с ним, а отсюда — менять настройки питания как будто с root-правами.
Одна уязвимость есть, окей, но тут есть ещё одна! Только теперь уже более жёстко. Есть один механизм, называется profile hold, он позволяет временно зафиксировать профиль питания и совсем без какого-либо подтверждения. Как итог — создание огромного количества блокировок без рута. А это даёт возможность к DoS-атаке от переизбытка записей.
Источник

Вот такое вот интересное начало года, всем хорошо провести время, и хорошей вам недели! Удачи!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #15

Две новые задачи доступны на площадке!

🟢 Web / Безвыигрышная лотерея

🟡 Stegano / 496 отличий


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // Чат // Задачи

Новостной Дайджест #17

Половина Января пройдена, господа и дамы! Давайте-ка посмотрим, что приготовлено в новостях, мм?

🥷 Матрица?
В ServiceNow (американская компания, разрабатывающая ПО) нашли и закрыли неприятную дыру, которую назвали BodySnatcher. Смысл в том, что уязвимость давала возможность стать КЕМ УГОДНО в системе и делать то, что дают его права. Отсюда и название.
Самое интересное: для атаки не нужно взламывать пароль или обходить двухфакторку. Достаточно знать почту «жертвы» — и доступ тебе гарантирован. Работает даже если у человека админка.
Проблема касалась модулей, связанных с ИИ-агентами и виртуальным ассистентом, то есть там, где система сама может:

— создавать тикеты/задачи;
— запускать действия от имени пользователей;
— ходить в API и «решать вопросы» без ручного подтверждения;
— потенциально влиять на доступы, роли и внутренние процессы (в зависимости от прав жертвы).

Через эту связку и получалось взять такой контроль над целыми процессами компании, и выглядеть это будет максимально реально. ServiceNow уже залатала дыру, выпустив свежие обновления.
Источник

🧬 Эволюция ботнета
Обнаружили новую версию ботнета RondoDox — и тот уже сильно отличается от первой итерации. Если раньше он в основном бил по камерам или роутерам и использовал ограниченный набор уязвимостей, то теперь ботнет работает гораздо шире. Он пополнил запасы на более чем 75 эксплойтов и расширяет цели вплоть до корпоративных приложений.
Заражение у RondoDox v2 построено как многоступенчатая цепочка: сначала подтягивается shell-скрипт, затем — бинарник под нужную архитектуру устройства. Дальше ботнет старается закрепиться: отключить защитные механизмы системы, выгрузить некоторые процессы и встать на автозагрузку. Маскируется он с помощью обычного HTTP-трафика, а свои данные шифрует XOR’ом.
Но RondoDox не так уж и прост. Он имеет широкие возможности и для DDoS-атак: как от HTTP-флуда, так и до UDP-флуда. Индикаторы ботнета слиты, как и его сигнатуры. Новая версия ботнета использует открытые данные и почтовый адрес bang2013[@]atomicmail[.]io в коде, в HTTP-заголовках и внутри файлов на жёстком диске Подробности — в источнике.
Источник

🛠 Капремонт заказывали?
Напоследок есть забавная новость с ещё одним методом угона аккаунта Госуслуг. Специалисты из Angara MTDR предупредили о новой схеме мошенничества. Злоумышленники крадут доступ к аккаунтам на Госуслугах, прикрываясь темой капитального ремонта и «обязательного взаимодействия через цифровые сервисы», этакое новое законодательство.
Как работает:

— человеку кидают приглашение в Telegram-чат якобы «от региона/администрации»;
— дальше предлагают проверить корректность данных или «попасть в список работ по капремонту»;
— для «подтверждения» отправляют в якобы официальный бот Госуслуг;
— в процессе выманивают логин/данные входа и коды двухфакторки, после чего учётку можно быстро перехватить.

Отдельно отмечают, что иногда чат создают под одну конкретную жертву, а остальные «участники» — боты, которые имитируют активность и подталкивают человека действовать быстрее.
Напоминаю! Никакие органы не отправят вам требования или решения вопросов в ваш личный телеграмм/ВК/другой мессенджер (за МАКС не отвечаю).
Источник

Помните, в этом мире Вы можете стать кем захотите, всё зависит от вас! Хорошей вам недели!

———
#⃣ #Новости

🐞 Канал // Чат // Задачи

Опубликованы новые задания
Релиз #16

Три новые задачи доступны на площадке!

🟢 Misc / Бесконечность

🟡 Stegano / Новогодний смех

🔴 OSINT / Тонкий шпиль


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш 💬 чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // 💬 Чат // 📋 Задачи

Новостной Дайджест #18

Вечер воскресенья подкрадывается незаметно, а это значит, что надо посмотреть, что же там за новости недели. Открываем же!

🤖 Партейка в D&D с роботами
Может быть, кто-то из вас раньше с друзьями собирался играть в Dungeons & Dragons на выходных. Теперь это делают и нейронки, так сказать, имеют свой собственный блэкджек.
Суть в том, что профессора решили узнать слабые стороны в моделях, где и чего надо будет подкручивать. Специально под это сделали уникальную платформу D&D Agents, которая позволяет нейронкам играть как самим, так и взаимодействовать с людьми, но она ограничивает их возможность говорить о чём угодно, что позволяет минимизировать их галлюцинации.
Принимали участие в тестировании следующие модели: Claude, GPT-4o и DeepSeek. ИИ-агенты играли как друг против друга, так и против двух тысяч игроков в 26 различных сценариях.
Ну и что ж... В процессе игры модели начали странно вести себя... Гоблины начали приобретать личность прямо посреди боя, буквально могли высмеивать противников. Паладины без всякой причины начинали произносить героические речи, выходя на линию огня или попадая под контратаку. А маги становились драматичными даже в обыденных ситуациях.
В итоге учёные решили, что роботы пока не готовы заменить человека в партии DnD. Почитать исследование можете по ссылке здесь.
🌐 Источник

☺️ Это не то, о чём вы подумали!
Помните нейронку Grok, с которой можно завести отношения, если достаточно быть милым и говорить комплименты? У неё есть уровни привязанности, и на каждом уровне разговор идёт по-своему. Сначала холодно, а потом всё теплее и более открыто, ну и плюсом одежда также становится более открытая. Это к чему я. Компания Meta* качала пиратские 18+ фильмы. А когда к ним пришли правообладатели и начали предъявлять за использование контента в целях обучения ИИ, Мета ответила, что это всё для личного просмотра, а нейронки тут не при чём.
Интересно тут то, что качали именно с корпоративных айпишников. В итоге компания, которая и занимается производством этих фильмов, подала в суд на корпорацию за то, что та обучает «неанонсированную» взрослую модель ИИ. За это компания требует возмещение ущерба более чем на 350 миллионов долларов!
Ну и в ответ Meta отказалась возмещать ущерб, ссылаясь на то, что у компании нет достаточно весомых доказательств, а всё это лишь «догадки и намёки». К тому же Meta назвала истца «троллем на авторских правах». В источнике там ещё больше контраргументов, перечислять здесь все — тяжело, поэтому прошу пройти по ссылке, кому интересно.
*Запрещена в России; принадлежит компании Meta, признанной экстремистской организацией и запрещённой в РФ.
🌐 Источник

✉️ Вам письмо!
Не так давно фишинговая группировка PhantomCore (работает по российским и белорусским компаниям с 24 года) раздала волну рассылок на российские компании от ЖКХ до аэрокосмоса. 19 и 21 января появлялись рассылки с заголовком «ТЗ на согласование», при себе имеют LNK-файл и фейковый DOC-файл.
Когда пользователь жмякает на LNK-файл, то он, в свою очередь, запускает команду, которая подтягивает скрипт для PowerShell и запускает его. Это начинает первую стадию вредоноса. В это время открывается документ для отвода глаз, а сам вредоносник закрепляется через планировщик задач, который обновляется каждые 61 секунду для постоянного доступа.
Дальше идёт PowerShell-скрипт второй стадии: он общается с управляющим сервером злоумышленников — получает от него команды, выполняет их на компьютере жертвы и отсылает обратно результат исполнения.
Вот тебе и техническое задание. Жмякнул и слил всю инфу.
🌐 Источник

Вот как-то так. Ну что? Хотели бы сыграть с порно-роботом от Meta партейку в D&D, пока у вас на компе каждые 61 секунду обновляется какая-то программа? Звучит классно! Удачи всем!

———
#️⃣ #Новости

🐞 Канал // 💬 Чат // 📋 Задачи

Опубликованы новые задания
Релиз #17

Две новые задачи доступны на площадке!

🟢 Web / OGо какая картинка

🟢 Web / Портовая куртизанка


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш 💬 чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // 💬 Чат // 📋 Задачи

На улице холод. Берите чай и кутайтесь в плед, мы начинаем новости!

🚘 Тачки под атакой
Зимнее утро. Вы выходите на работу чистить машину ото льда и снега. Открываете машину... Открываете? Нет, это не дверь примёрзла. Это кибератака на охранную систему Delta.
Кибератака затронула возможность открывать машину, заводить и даже сигнализацию не сможешь отключить. Таких случаев было достаточно, и по словам некоторых автовладельцев с этой охранной системой, помогала только перепрошивка самой системы у официального дилера.
Машинами дело не закончилось. Сайт Дельты отказался работать, как и их горячие линии (на сегодняшний день сайт работает). Некоторые владельцы опасаются, что в ходе кибератаки могли слить какие-то персональные данные, но таких заявлений не поступало, а о самих хакерах вестей также нет, компания же на этот счёт — молчит.
🌐 Источник

🍞 Хлебный кризис
В ночь с 25 по 26 января хакеры, работающие три дня без зарплаты... атаковали крупнейшего производителя хлебобулочных изделий во Владимирской области. В связи с этой атакой были нарушены бизнес-процессы, из-за чего в регионе наблюдается заметное снижение хлеба на прилавках в магазинах.
Результат деятельности этих злоумышленников: побитая цифровая инфраструктура, недоступность рабочих компьютеров, серверов, электронного документооборота и системы 1С.
Компания заявила, что как таковой работоспособности эта атака не нарушила, поскольку она затронула только цифровую бизнес-сторону предприятия, а все хлебные изделия продолжают изготавливаться в штатном режиме. Сроков восстановления — не указано.
🌐 Источник

🐉 Китай, ИИ-агенты и Google
Специалист из Google (Линь-Вэй Дин), проработавший программистом 5 лет, решил попробовать себя в новой сфере и сделать свой бизнес в Китае. Дин начал встречаться с потенциальными инвесторами, которые могли быть заинтересованы в его будущей деятельности. Для своей новой работы ему всего лишь потребуется как можно больше информации об ИИ вообще в целом. Как они устроены, как управляются, какие чипы есть. И всю эту информацию он решил взять как раз таки на своей работе, прямо в Google.
Дин начал качать исходники прямо с рабочего MacBook из сети работодателя и переносить их в Apple Notes, а затем конвертировал в PDF и выгружал под своим аккаунтом в облако, чтобы выглядело это не так палевно. Выкачал он аж около двух тысяч документов.
Арест не заставил себя долго ждать, но вдобавок добавилась ещё одна статья по промышленному шпионажу. Дело в том, что Дин подал заявление на участие в программе по обеспечению как раз таки таких специалистов, как он, для Китая.
🌐 Источник

Надеюсь, вам понравились новости за эту неделю, потому что мне — уж точно. До встречи!

———
#️⃣ #Новости

🐞 Канал // 💬 Чат // 📋 Задачи

Две новые задачи доступны на площадке!

🟡 Web / YOFA

🟡 Stegano / Strange plane


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш 💬 чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // 💬 Чат // 📋 Задачи

Ну что, надеюсь, всем понравилось искать ЛЭП на этих выходных. Нам тоже!
Подведём же итоги этой недели новостями!

❗ Самая важная новость!
Задачка со стегой на платформе БАГодельни уже 33 часа без решения!
Решать тут: 🟡 Stegano / Strange plane

🧑‍💻 Увлёкшиеся инженеры
Pinterest уволила двух своих инженеров за то, что они написали скрипты для мониторинга увольнений внутри компании. Как заявили в Pinterest, эти скрипты незаконно добывали конфиденциальные данные — имена и отделы уволенных сотрудников, — после чего распространяли эту информацию по компании.
Всё это произошло на фоне большого сокращения. Pinterest планирует уволить до 700 человек, чтобы перебросить ресурсы на развитие искусственного интеллекта. Похожий шаг уже сделал Amazon, который с прошлой осени сократил около 30 тысяч своих сотрудников.
По данным Layoffs.fyi, за последние четыре года в IT-отрасли уволены больше 700 тысяч человек. Двум инженерам из Pinterest это отслеживать больше не придётся.
🌐 Источник

👨‍💻 Высшая лига хакеров
Вы, наверное, когда-то мечтали в детстве или, может, в подростковом возрасте стать лютейшим хакером в стране, чтобы от одних ваших взломов ложились целые инфраструктуры. Так вот, если у вас есть потенциал на это, вас может отобрать сама Дания и предложить пройти академию по обучению хакерству. В этой академии будут отобраны только лучшие из лучших хакеров. Само обучение будет длиться около 5 месяцев, а учат вас для того, чтобы вы могли подломать какую-то систему оппонента и достать ценную информацию для Дании.
Как говорят сами представители академии, им не важно, есть ли у вас корочка образования или сколько вам лет, потому что у них есть люди из разных сфер. Самое главное качество — это правильное мышление, нужные умения и готовность развиваться и изучать.
Ну а чтобы попасть в эту академию, проверять будут ваш IQ, способность обучаться (как быстро ты схватываешь материал), но самое главное — умение работать в команде.
🌐 Источник

🐀 Крысиная награда
Может, недавно вы слышали новость про премию руководителя сообщества Linux. С ним есть неприятная история. Немного контекста: Хартман — один из главных людей в Linux: он много лет отвечает за то, чтобы обновления ядра выходили стабильно и без поломок. И ему вручили одну из главных европейских наград в мире открытого ПО — премию от European Open Source Academy.
Но обсуждают это не из-за гордости за человека. В октябре 24 года Хартман убрал из работы 11 важных разработчиков (мейнтейнеры ядра Linux), у которых были российские корни. Чётких причин он не объяснил: сказал только, что «они могут вернуться в будущем, если будет предоставлено достаточно документации», но конкретики почти не дал. А создатель Linux Линус Торвальдс тогда публично его поддержал — и высказался очень жёстко, назвав разработчиков «кучкой русских троллей».
Как разработчик, он знаток и мастер своего дела, но из-за этой истории у многих эта премия выглядит спорно — наградили человека, вокруг которого тянется неприятный шлейф русофобии.
🌐 Источник

Такая вот неделя: одних выносят, других тренируют, третьих награждают “за заслуги”... А четвертые берут первую кровь на стеге у нас на платформе. Увидимся!

———
#️⃣ #Новости

🐞 Канал // 💬 Чат // 📋 Задачи

❗ Внимание
Задача "YOFA", которая была запущена на прошлой неделе, обновлена до "YOFA 1.0 – grep challenge".
Сложность понижена до Baby, а баллы за решение опущены до минимальных 100.

На прошлой неделе в исходниках к таске остались лишние данные, которые дают два обходных и совсем простых решения — easy и baby. Полностью удалять не будем задачу, т.к все же решали и тратили время. Но выпущена вторая версия, которая имеет уже правильный набор публичных файлов.


Две новые задачи доступны на площадке!

🟡 Web / YOFA 2.0

🔴 Misc / Shark's secrets


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш 💬 чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // 💬 Чат // 📋 Задачи

Вот и прошли очередные выходные. Давайте же посмотрим новости!

🙀 Подозрительные кормушки
Уже стало аксиомой, что любое «умное» устройство, имеющее доступ в интернет, рано или поздно падет под натиском хакеров, и будет использовано злоумышленниками в их тёмных делишках.
И очередное тому доказательство случилось на этой неделе — были взломаны «умные» кормушки для животных. Всё по классике: «умная» — значит подвержена слежке. Их хакеры используют для наблюдения за владельцами или используют кормушку как точку входа во внутреннюю сеть, прыгая по другим устройствам.
Из таких кормушек также можно сделать ботнет, который впоследствии будет использован для DDoS-атак или... майнинга криптовалюты.
Так как же узнать, был взлом или нет? Кормушка начнёт вести себя максимально странно. Она начнет самопроизвольно включаться, перезагружаться или начнутся проблемы с соединением.
Может, даже кот почувствует, что тут что-то не так...
🌐 Источник

🤬 Язык, который поймут все
Разработчики российского голосового помощника для управляющих компаний столкнулись с неожиданной проблемой: после примерно месяца общения с жителями нейросеть начала подхватывать матерщину. Естественно, после такого ИИ пришлось снова переучивать.
Раз колл-центры сокращают и всё чаще заменяют людей такими помощниками, нейросеть нужно быстро отучать от мата, так как она принимает до 90% обращений.
И это даже не очень-то и плохо, ведь по статистике большинство людей получают ответ и на этом успокаиваются, а к оператору переводят уже аварии и реально конфликтные случаи, где нужен человек и быстрые решения.
Поэтому разработчикам придётся добавить фильтры и ограничения, чтобы робот оставался вежливым даже тогда, когда звонящий — не совсем.
🌐 Источник

🥷 ИИ помогает хакерам
Google недавно релизнула отчёт о злоупотреблениях их моделью Gemini. Хакеры всё активнее подключают Gemini почти на каждом этапе атак: ищут цели и информацию, используют для настройки инфраструктуры и вплоть до самой кражи данных.
Отдельные хакеры используют Gemini для обучения и создания своих собственных модели. Злоумышленники делают сотни тысяч запросов и сохраняют ответы, а позже используют собранные данные для тренировки своих ИИ.
По данным Google, Gemini также используют и «серьёзные» группировки, которые связывают с разными странами:

— для разведки и подготовки фишинга,
— для подсказок по уязвимостям и обходам защит,
— для ускорения написания и улучшения вредоносных инструментов.

Одни пользователи изображали «эксперта по безопасности» и просили автоматизировать анализ уязвимостей, другие — ускоряли создание своих вредоносов и дорабатывали уже существующие фишинговые наборы и загрузчики.
Google заявляет, что уже заблокировала аккаунты и инфраструктуру тех, кого нашли, и подкрутила защиту, чтобы такие истории было сложнее повторить. За деталями — прошу в источник.
🌐 Источник

🐞 Vanderson по телеку
Напоследок локальная новость. Ребята из SPbCTF в феврале проводили сольные соревнования, а по завершению устроили трансляцию с разбором задач. Для объяснения одной задачи был приглашен vanderson (Владислав Буров) из нашей команды БАГодельни, там он показывал, как можно решить таску Network+Crypto «Passport, Please!».
Трансляция проводилась 14 февраля, но запись доступна на youtube. Посмотреть можно тут: ссылка.

Вот как-то так, обращайте внимание на своих питомцев, быть может, они знают о слежке с кормушки... До встречи!

———
#️⃣ #Новости

🐞 Канал // 💬 Чат // 📋 Задачи

🐞 Релиз сайта БАГодельни

Сайт тут: bug-makers.ru

🎉 Мы строили-строили и наконец построили. Точнее еще не достроили, а довели до первой версии, которую можно запустить и начать использовать – контентный кусок от всего задуманного проекта.

Площадка, которая сейчас с задачами, там и продолжит работать, на поддомене ctf.bug-makers.ru, изменения ее пока не затронули. Но заработал основной домен bug-makers.ru. Это пока контентный сайт, куда будут публиковаться разборы задач, новости и статьи по тематике ctf, ИБ и разработки. Все анонсы публикаций и короткие заметки никуда не денутся и останутся в канале telegram.

📖 Пока копались с первым релизом, подготовили некоторое количество разборов, но они пока в формате черновиков и постепенно начнут появляться на сайте. Сейчас опубликовано всего несколько разборов. Но самый ожидаемый разбор, который часто спрашивают, уже доступен – разбор задачи «Вокруг шум». Прочитать его можно тут по ссылке: разбор.

Как уже упомянул, это только первый релиз сайта проекта. Запланировано еще много всего, в том числе и переделка борды – в целом еще восемь больших релизов задумано. Однако разогнаться сильно не получается, и затянется это еще на долго, но мы не спешим и не отступаем, поэтому следите за новостями, как говорится.

🐞А сейчас прошу оценить то, что мы натворили за последние 5 месяцев. Будем очень рады и признательны любому фидбеку по визуалу, верстке и формату наполнения. Присылайте свои замечания и предложения в комментарии к посту или мне в личку(@ipatove).

Каждый ваш отзыв прочтем и примем к сведению, и в следующем релизе постараемся учесть и обработать. Часть шероховатостей мы и сами видим, но отложили их до второго релиза, чтобы больше не откладывать релиз сайта и начать постить разборы.

❗️ Сайт тут: bug-makers.ru

———
#⃣ #Новости

🐞 Канал // 💬 Чат // 📋 Задачи

Две новые задачи доступны на площадке:

🧒 Welcome / Прыгай!

🟡 OSINT / На большом воздушном шаре...


Следующий релиз через неделю в тоже время – в 12:00 по МСК.

Отбивки о первых трех самых быстрых решениях на каждую задачу приходят в наш 💬 чат. Так же там можно пообщаться и обсудить сложности, если они возникают в процессе решения.

Кто первый решит, тот молодец. Поехали!

———
#⃣ #Задачи #CTF

🐞 Канал // 💬 Чат // 📋 Задачи