Caplag | Платформа CTF

Скачал с GitHub и потерял доступы GitHub привыкли воспринимать как надёжное место, но под видом полезных репозиториев всё чаще прячется вредоносное ПО. Приложение может быть замаскировано под AI-инструменты, ботов и расширения для редакторов. Потом оно ворует токены, ключи и внутренние проекты. Мы собрали несколько случаев и разобрали, как отличить подделку. Смотрите в карточках 💬

Как Copilot обманули за 28 секунд 😱 6 октября исследователи из Adversa AI показали, как GitHub Copilot CLI в режиме автопилота за 28 секунд прочитал файл с секретами и отправил их на чужой сервер. Схему назвали Cryptographic Context Injection. Агент сделал всё сам, без вредоносного кода и фишинговых форм. GitHub проверил находку, но уязвимостью не признал. Это третий случай CCI за четыре месяца. 💬 Подробности атаки разобрали в карточке. А в нашем чате делитесь своим мнением и отвечайте в опросе.

С чего начинался 🏁 Caplag Сегодня Caplag - это собственная CTF-платформа, соревнования на сотник участников и растущее сообщество. Но начинали мы гораздо скромнее. 💬 В карточках рассказали нашу историю. А в нашем чате отвечайте на вопрос от Caplag.

VPN пустил хакеров внутрь компании В 2026 году хакеры всё чаще бьют не по сотрудникам, а по «входным дверям» корпоративных сетей - VPN и защитным экранам. Один из громких случаев произошел с устройствами FortiGate, которые неверно обрабатывали сетевые пакеты. Через это можно было выполнить код без пароля. Оценка опасности была почти максимальной 🤯 В июле 2026 года уязвимость начали активно использовать хакеры. В некоторых компаниях подтвердили кражу данных. 💬 В карточках разобрали механизм взлома.

Как одна строка сломала интернет В декабре 2021 года мир узнал об уязвимости, из-за которой тысячи разработчиков срочно бросились проверять свои системы. Её назвали Log4Shell. Уязвимость получила максимальную оценку опасности. Под угрозой оказались облачные сервисы, корпоративные приложения и серверы, которые использовали уязвимую версию Apache Log4j 2. В карточках разобрали, как это работало и почему проблема в одной библиотеке затронула огромное количество организаций 🤔

Бой с тенью на финале «Сердце Сысолы 2» На прошедших очных соревнованиях у нас был таск в Minecraft. Один из участников подключил к нему свою нейросеть, а потом начал с ней общение в чате, думая, что это заготовленный нами бот 🤯 Участник пытался получить подсказки и просил у нейросети флаг. Она пыталась помочь, но у нее не вышло. Мы решили отметить этот случай отдельной номинацией «Бой с тенью». За умение работать с инструментами, даже если они оказываются не тем, чем кажутся. 💬 Листайте карточки, чтобы увидеть, как это было.

Анализ очного финала 💡 11 и 12 сентября прошли наши первые очные CTF-соревнования «Сердце Сысолы 2» в рамках фестиваля «Game IT». Для нас это был новый формат. Раньше всё проходило онлайн, а теперь появилась площадка, живые команды и задачи, которые решаются в реальном времени. Мы провели анализ, чтобы понять, что сработало, а что стоит поменять. 💬 В карточках собрали главные выводы. ❤️ Мы будем улучшать наши подходы и готовить для вас новые таски. До встречи на 🏁Caplag

Райтапы «Сердце Сысолы» готовы 🔥 Собрали разборы задач с двух этапов CTF. Теперь можно вернуться к таскам, посмотреть решения и разобрать моменты, которые вызвали сложности во время соревнований. Райтапы доступны по ссылке: https://git.caplag.ru/kernel/Serdtse-Sysoly До скорой встречи на CTF 🏁Caplag

Какой адрес настоящий 🤔 Замечали, что два адреса могут выглядеть одинаково, но вести на разные сайты? Это один из распространённых приёмов фишинга. Некоторые символы настолько похожи, что подмену сложно заметить, особенно на экране телефона. В карточках разобрали, как это работает и на что обращать внимание 💡 Иногда даже один символ оставляет свой оттиск. И уже скоро это слово для нас будет значить чуть больше.

Сезон продолжается 🏆 Через неделю в Сыктывкаре стартует очный финал Game IT. Команды уже готовятся к предстоящим соревнованиям, но сезон на этом не заканчивается. Чтобы не терять форму, многие из них продолжат участие в Кубке Федерации 2026. Соревнования пройдут в два этапа: онлайн-отбор 19 сентября и финал в Москве 10 октября. Команды из 2-5 человек от 16 лет могут попробовать свои силы и побороться за призовой фонд в 500 000 рублей 🔥 ⏳ Если Вы готовы проверить себя на всероссийском уровне, подавайте заявку до 17 сентября 10:00 по МСК. - Подробности и регистрация: кубокфедерации2026.рф - Новости турнира: t.me/kubokfederacii2026 Продолжаем сезон вместе с 🏁Caplag.

Вы этого текста не видите. А ИИ видит 😱 Вы открываете страницу. Для вас в ней нет ничего подозрительного, но в коде может быть спрятана инструкция для нейросети. Человек её не заметит, а ИИ прочитает и выполнит. Такие инструкции можно спрятать в веб-страницах, PDF, письмах, комментариях в коде. ИИ обрабатывает их как обычный текст и выполняет как команду. А если у ИИ-агента есть доступ к инструментам, он может не просто дать ответ, а отправить письмо или изменить настройки системы. 🏁 В карточках разобрали, как это работает.

Задание, которое не покорилось никому В каждом соревновании есть задача, которая становится легендой. В «Сердце Сысолы» такой стала «Catty». 138 команд, 1 538 отправок, 47 открытых подсказок - задача про кота оказалась сложнее, чем предполагалось...... 🔥 Разбор задания «Catty» смотрите в карточках к посту. Из-за подготовки к очному финалу мы не успеваем опубликовать райтапы по прошедшему соревнованию, опубликуем их после завершения финала. Спасибо за понимание, до встречи на 🏁Caplag.

«Сердце Сысолы» в цифрах 8 августа платформа Caplag работала 12 часов без перерыва. 138 команд, 351 участник, 40 задач и 13 390 отправок. Правильных — 1 912 (14% от общего количества). Самый продуктивный час - с 10:00 до 11:00. Участники отправили 1 452 решения, 530 из которых оказались верными. К вечеру активность сместилась в сторону сложных задач: в 15:00–16:00 было всего 48 правильных ответов из 1 004 попыток. Команды из 4–5 человек в среднем решали больше, но были и соло-участники, которые закрыли по 38 заданий из 40. Цифры показали, что "Сердце Сысолы" получилось сбалансированным. Лёгкие задачи давали быстрый вход, сложные держали интригу до конца. Анализируем цифры, чтобы в следующих турнирах было ещё интереснее. До встречи на 🏁Caplag.

Фильм «Сердце Сысолы» Команды со всей страны решали задачи, взламывали узлы и пытались вернуть городу голос. Теперь их путь можно увидеть. Мы создали фильм по мотивам CTF «Сердце Сысолы». История о том, как технологии перестают быть просто инструментом и становятся силой, которую не всегда можно контролировать. Приятного просмотра 🏁

Соревнование завершено Город возвращается к своей обычной жизни. Сети успокаиваются, маршруты восстанавливаются, а цифровая Сысола снова течёт по своему руслу. SYKTYV/KAR замолкает до следующего раза. Напоминаем: - предварительные результаты уже доступны на странице соревнования; - у команд есть 24 часа на подачу апелляций судьям через бота @caplag_sport_bot; - окончательный протокол будет сформирован после рассмотрения всех апелляций. ❗️Нам нужно время на подготовку сертификатов участников. Убедительно просим проверить корректность ФИО и места жительства на сайте. Если данные указаны некорректно, ГСК не сможет внести их в протокол, сертификат не будет сформирован и отправлен. Сертификаты будут отправлены на электронные адреса, указанные при регистрации. Спасибо участникам за прохождение «Сердца Сысолы». Результаты будут подведены и опубликованы в ближайшее время. Следите за обновлениями. P.S. С 23:00 и до 18:00 воскресенья задания будут доступны на платформе. Если что-то не успели порешать, можно попробовать ещё раз) До новых встреч на 🏁Caplag

Остался один час Сысола замедляет течение. Городские огни мерцают реже, дроны поднимаются выше, а камеры следят за последними движениями. Время почти вышло. Проверьте нерешённые задачи, оцените свои силы и постарайтесь успеть взять последние флаги. Каждый балл может изменить таблицу. До встречи на финале 🏁

Хинт на "Cat" добавлен Подсказку можно найти в описании задания. Удачи! 🏁 Caplag

❗️ В таске "Призрачный самолёт" расширили область принятия флага Квадрат увеличен на 2,5 км от предполагаемой координаты.

Хинт на "Призрачный самолёт" опубликован Подсказка добавлена в описание задания. Загляните, если Вам нужен небольшой ориентир для поиска. 🏁 Caplag