BlackOps Market Pentest Results | Bug Bounty Program Review! : CafeDread | Torhoo darknet markets

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

Hi to all.

I'm test000. I'm a new user here, better known on other forums for my work in coding, pentesting, and hacking under many different nicknames for almost a decade.

Recently, I joined this forum to make new acquaintances in this area of security research and pentesting, because this place is a hub for many active EN dark markets. My motivation for this account is solely to test and report bugs to responsible market administrators and participate in vulnerability bounty programs, and in some cases, to identify script kiddy operators with poor security. If I notice vulnerabilities that are too critical to fix and have zero security, I intend to provide full public disclosure and waive any bounty program payment because money can't solve all problems if you don't know what you're doing. In this case, I will name the markets that do not understand how to manage enterprises with such risks. As my old comrade Cipher0007 would say, any market with serious errors is a market that cannot survive in this jungle. For everything else, I will follow each market's disclosure policies.

For my entry into this forum and the first test I found a new market in the sqaure called https://torhoo.cc/go.php?u=TDJRdlFteGhZMnRQY0hNPQ==#. When I first checked this forum, there was a lot of noise around them. I spent some time scouting and gathering publicly available information, researching the features and functions of their market. I then spent some time testing their market for vulnerabilities, looking for weaknesses and attack vectors. That's why I'm writing this post – to let users know that I've done a basic pentest of this place and to share some of the results.

Over the past day, I've reported a few bugs with the full POC and provided evidence for each one so they can reproduce and fix the issues. I want to give credit to the operator; He responded quickly and fixed the issues quickly, which shows professionalism in the way they handled it. I can't reveal the exact details or scope of work as I received a payout for the vulnerabilities found and follow the responsible disclosure policy, but I can confirm that I didn't find any major exploits for pwn as I only tested them for a few hours and found only moderate to minor bugs. After a private disclosure in a ticket, they took the necessary actions and the right steps to fix the issues after I notified them, which is a good sign and something I expect from any serious market operator. So far, my experience has been good and excellent. I'm working to help them further strengthen their network infrastructure in future tests.

I just want to notify users that the progress of the tests is still ongoing and I am still in the bounty program for finding vulnerabilities with them, but this is my honest assessment at the moment: 

Bugs found: ~6 including 2 extremely minor bugs 
Response Time: 8/10 – When I first contacted them, it took a bit of time to connect directly to the admin, but now we're connected privately
Bug fixing time: 10/10 – very fast to find, reproduce and fix problems
Bug bounty program: 10/10 – even though it's a new market, they keep their word and pay generously  
Payout: 10/10 so far so good as the pentest is still ongoing  
Progress: ongoing  
Update: pending

Many thanks to the administrator I am in contact with, https://torhoo.cc/go.php?u=TDNVdlFteGhZMnREWld4cw==#. He can vouch to this post and my efforts. I am happy with the work I have done for them and will continue to look for new bugs when I have free time to do so. Perhaps I will update this post in the future.

I want to make it clear that this is not a paid advertisement; I was not asked to write this post. Just informing users that the admin is taking the right steps to manage this market based on my interactions so far. I am not affiliated with them as an employee or have anything to do with them other than as an independent security researcher or vulnerability hunter; this is the full length of our collaboration.

This market is my first target here and they have done a good job.

I will be testing other markets in the future and doing similar reports. Best of luck to https://torhoo.cc/go.php?u=TDJRdlFteGhZMnRQY0hNPQ==# market and until next time!

————————————————

Привет всем

Я test000. Я новый пользователь здесь, более известный на других форумах за свою работу в области кодирования, пентестинга и хакерства под многими разными никами на протяжении почти десяти лет.

Недавно я присоединился к этому форуму, чтобы завести новые знакомства в этой области исследований безопасности и пентестинга, потому что это место является хабом для многих действующих EN дарк-маркетов. Моя мотивация для этого аккаунта заключается исключительно в том, чтобы тестировать и сообщать о багах ответственным администраторам рынков и участвовать в программах вознаграждения за найденные уязвимости, а в некоторых случаях — чтобы выявлять скрипт-кидди операторов с плохой безопасностью. Если я замечаю уязвимости, которые слишком критичны для исправления и имеют нулевую безопасность, я намерен предоставить полное публичное раскрытие и отказаться от любой выплаты по программе вознаграждения, потому что деньги не могут решить все проблемы, если вы не знаете, что делаете. В этом случае я буду называть рынки, которые не понимают, как управлять предприятиями с такими рисками. Как бы сказал мой старый товарищ Cipher0007, любой рынок с серьезными ошибками — это рынок, который не может выжить в этой джунгле. Для всего остального я буду следовать политикам раскрытия каждого рынка.

Для моего входа на этот форум и первой тест я нашел новый рынок под названием https://torhoo.cc/go.php?u=TDJRdlFteGhZMnRQY0hNPQ==#. Когда я впервые проверил этот форум, вокруг них было много шума. Я потратил некоторое время на разведку и сбор общедоступной информации, изучая функции и возможности их рынка. Затем я потратил некоторое время на тестирование их рынка на наличие уязвимостей, ищя слабые места и векторы атак. Вот почему я пишу этот пост — чтобы сообщить пользователям, что я проводил пентест этого места и поделиться некоторыми результатами.

За последний день я сообщил о нескольких багах с полным POC и предоставил доказательства для каждого из них, чтобы они могли воспроизвести и решить проблемы. Я хочу отдать должное оператору; он быстро ответил и быстро исправил проблемы, что показывает профессионализм в том, как они с этим справились. Я не могу раскрыть точные детали или объем работы, так как получил выплату за найденные уязвимости и следую политике ответственного раскрытия, но могу подтвердить, что не нашел серьезных эксплойтов для pwn, так как тестировал их всего несколько часов и нашел только умеренные и незначительные ошибки. После частного раскрытия в тикете они предприняли необходимые действия и правильные шаги для исправления проблем после того, как я их уведомил, что является хорошим знаком и тем, чего я ожидаю от любого серьезного оператора рынка. На данный момент мой опыт был хорошим и отличным. Я работаю над тем, чтобы помочь им еще больше укрепить их сетевую инфраструктуру в будущих тестах.

Просто хочу уведомить пользователей о том, что прогресс тестов все еще продолжается, и я все еще участвую в программе вознаграждения за найденные уязвимости с ними, но это моя честная оценка на данный момент:

Найдено багов: ~6 включая 2 крайне незначительных клиентских бага  
Время ответа: 8/10 — когда я впервые связался с ними, потребовалось немного времени для подключения напрямую к администратору, но теперь мы связаны приватно  
Время исправления багов: 10/10 — очень быстро находят, воспроизводят и исправляют проблемы  
Программа вознаграждения за баги: 10/10 — даже несмотря на то что это новый рынок они держат свое слово и платят щедро  
Выплата вознаграждения: пока все хорошо продолжается так как пентест еще не завершен  
Прогресс: продолжается  
Обновление: ожидается

Большое спасибо администратору с которым я общаюсь, https://torhoo.cc/go.php?u=TDNVdlFteGhZMnREWld4cw==#. Он может подтвердить этот пост и мои усилия. Я доволен работой которую я проделал для них и буду продолжать искать новые баги когда у меня будет свободное время для этого. Возможно я обновлю этот пост в будущем.

Хочу прояснить что это не платная реклама; меня не просили писать этот пост. Просто информирую пользователей о том что администратор принимает правильные меры по управлению этим рынком исходя из моего взаимодействия до сих пор. Я не связан с ними как сотрудник или имею какое-либо отношение кроме как независимый исследователь безопасности или охотник за уязвимостями; это полная длина нашего сотрудничества.

Этот рынок является моей первой целью здесь и они хорошо справились с этой задачей.

Я буду тестировать другие рынки в будущем и делать аналогичные отчеты. Желаю удачи https://torhoo.cc/go.php?u=TDJRdlFteGhZMnRQY0hNPQ==# и до следующего раза!
-----BEGIN PGP SIGNATURE-----
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=UTVr
-----END PGP SIGNATURE-----