Опубликовали видеоролик о том, как прошла ежегодная независимая премия Pentest award 2024!

Радостные лица, толпа заряженных специалистов, и, конечно, счастливые победители с наградами в руках — настоящий праздник этичного хакинга.

Здорово было встретится в офлайне со старыми друзьями и коллегами, познакомиться с новыми людьми, обменяться знаниями и идеями, поговорить о важном, профессиональном, наболевшем.

До встречи в 2025 году 👋

Отдельная благодарность партнерам проекта: BI.ZONE Bug Bounty, VK Bug Bounty, OFFZONE и CyberED.

📺 Полное видео
🔗 Pentest award (архив)
❤ @justsecurity

Почему я рассказываю про нормативку?📑

Судя по реакциям к предыдущему и аналогичным постам вам не очень нравится, когда я рассказываю, на первый взгляд, не самые интересные вещи про изменения в законодательстве. Дело тут не в том, что мне прям нравится об этом писать или писать мне больше не о чем. Это действительно имеет практическую пользу.

К примеру Законопроект № 713338-8. Депутаты прямым текстом описывают одну из существующих схем незаконного возмещения НДС из бюджета. Возможно эту "дыру" в законодательстве закроют, возможно нет. Дело не в этом. Изучение подобных документов влияет на дальнейшее понимание контекста поиска данных и, если хотите, на "насмотренность".

🔖Обратимся к рисунку выше. Представьте, что к вам обратились с задачей - необходимо проанализировать деятельность компании ООО "Заводик". Вы приступили к делу, нашли информацию о связи ООО "Заводик" с ООО "Дроп". Но что делать дальше? Как узнать природу связей между этими компаниями? Есть ли в этом что-то противоправное?

💡Поскольку, зачастую в процессе исследования мы не имеем доступа к данным о финансовых операциях, то дать на 100% точный ответ на вышеуказанные вопросы мы не сможем. НО. Если мы знаем и понимаем какие типовые противоправные схемы могут применяться, мы можем отследить их применение по косвенным признакам. Иными словами мы выдвигаем и опровергаем / подтверждаем гипотезу.

🔽Относительно данной схемы суть в следующем. ООО "Заводик" производит изделия из цветных металлов (свинца), сырьем для которых является металлолом. Металлолом обычно сдают в приемки металла, таких много в каждом городе. В нашем случае пунктом приема металла владеет ИП "Исполняшка".

На самом деле ООО "Заводик" может закупать лом напрямую у поставщика, минуя ООО "Дроп" и ИП "Исполняшка", или может открыть свою приемку металла, аналогичную ИП "Исполняшка". По идее - это рациональное решение, ведь чем больше звеньев в цепочке поставков, тем дороже конечный продукт.

📈Вместо этого ООО "Заводик" искусственно увеличивает количество звеньев продавцов в поставке сырья, включая в неё ООО "Дроп", что бы сырье проходило через дополнительного посредника, который бы продавал его чуть дороже, чем поставщик. Так Бенефициар схемы выводит часть прибыли из ООО "Заводик" через ООО "Дроп".

Вместе с тем, ООО "Дроп" получает сырье от ИП "Исполняшка" по агентскому договору, который предполагает, что ИП "Исполняшка" приобретает лом от своего имени, но за счет ООО "Дроп". Такие условия агентского договора предполагают возможность выставления в адрес ООО "Дроп" счет-фактуры с выделенным НДС. Хотя по закону покупка лома не облагается НДС. Правовое обоснование такой конструкции описано тут, но на примере продаж электроэнергии.

⚡️Не просто так указано, что ООО "Дроп" и ООО "Заводик" - это компании на ОСНО. Данный режим налогообложения предполагает уплату и возмещение НДС. В этом то и кроется основной замысел.

С одной стороны, ООО "Дроп" получает от ИП "Исполняшка" счет-фактуры с выделенным НДС. Таким образом формируется "входящий" НДС у ООО "Дроп". С другой стороны ООО "Дроп" получив лом меняет в документах наименование товара с "лома цветных металлов" на "полуфабрикаты свинцовые и его сплавы", накручивает стоимость и перепродает тот же самый по факту лом ООО "Заводик". Так у ООО "Дроп" образуется "исходящий" НДС.

❗️По итогу. Мало того, что часть прибыли ООО "Заводик" оседает и выводится через ООО "Дроп", так ещё ООО "Дроп" имеет возможность получить возмещение НДС фактически из воздуха: "входящий" НДС обеспечивает ООО "Исполняшка", а "исходящий" формируется на этапе перепродажи, когда просто поменяли наименование товара в документах и увеличили стоимость, но по факту лом как был так и остался ломом. Ну и цена подгоняется, чтобы возмещение имело смысл.

Вариации схемы могут быть разные, но основная логика такая. Что же, плюс одна в копилку 👁

🦂ТОП-10 OSINT-Инструментов для Хакеров от HackTheBox

Мы ранее не публиковали, но HackTheBox уже некоторое время назад выпустил отличную подборку для специалистов по информационной безопасности. Советую ознакомиться и взять на вооружение.

Читать подробнее