😆 Объявляем победителей хакатона hackнутых сервисов!

Со 2 сентября по 17 октября все участники активно разрабатывали свои уязвимые тачки. За это время мы провели четыре встречи, где вместе обсуждали появляющиеся проблемы и успешно их преодолевали, двигаясь к финалу.

❤️ Благодарим каждого, кто решил попробовать свои силы, и называем лучших среди них:

🥇 Первое место: 5hm3l
🥈 Второе место: Esc@peFr0mL0gic
🥉 Третье место: Impulse

Всех победителей ждут призы, и уже скоро созданные ими сервисы появятся на нашей платформе, где их можно будет попробовать сломать протестировать.

Но это не конец! Если у тебя есть годная идея уязвимого сервиса, мы готовы поддержать ее выплатами. Следи за нашими постами, а если хочешь рассказать обо всем уже сейчас, пиши Карине.

4️⃣ Четвертый эпизод: новая надежда триаж уязвимостей

Мы про новый выпуск подкаста «Рынок уязвимостей» от Global Digital Space, в котором Даша Афанасова, руководитель отдела триажа Standoff Bug Bounty, и ее коллеги — Петр Уваров из VK Bug Bounty и Елизавета Дудко из Т-Банка — обсудили триажные вопросы и боли багхантеров.

Например, поговорили:

💛о валидации отчетов на платформах и у вендоров и об отношении к их раскрытию;
💛ценообразовании на сданные баги;
💛реальных возможностях избежать дубликатов и отказов;
💛бонусах для охотников за привидениями багами и их мотивации.

Хочешь узнать, что эксперты ответили на провокационный вопрос о нехватке на рынке багхантеров и отсутствии у них нужных навыков, смотри подкаст на любой удобной платформе.

📱 VK Видео | 📱YouTube | 📺 RUTUBE

😍 Đây là cơ hội của bạn để Đến Việt nam với Chúng tôi và tham gia Vào Standoff Hacks

Если ты не понял ничего, кроме Standoff Hacks, объясняем: следующий priv8-ивент для хакеров пройдет во Вьетнаме 30 ноября, и ты можешь полететь туда вместе с нами.

Как? Найди и сдай до 29 октября как можно больше багов по этим публичным программам:

• Positive Technologies (все программы)
• Standoff 365
• VK (все программы)
• Т-Банк
• Азбука вкуса
• Ozon
• Okko
• Wildberries
• Rambler&Co
• ATI.SU

2️⃣ Двоих багхантеров, которые с момента публикации поста наберут суммарно больше всего очков по этим программам, берем с собой в Ханой (за наш счет!). Трое топовых исследователей по очкам и выплатам уже в списке приглашенных, не хватает только тебя.

Будем подводить промежуточные итоги, чтобы ты видел результаты и оценивал шансы — свои и конкурентов.

Ну что? 3, 2, 1… го багхантить!

🙂 Больше подкастов богу подкастов

Сегодня — для синих команд и всех, кому интересно, что им может дать участие в нашей кибербитве Standoff.

В свеженьком AM Подкасте Елена Молчанова, лидер онлайн-полигона Standoff, Никита Каунов и Сергей Чернов, специалисты ФГУП «НПП „Гамма“», обсудили:

🔵Как собрать и подготовить к кибербитве команду защитников, а главное — объяснить руководству, зачем это нужно
🔵Что Standoff дает синим командам
🔵Какие рекомендации от бывалых пригодятся тем, кто собирается участвовать в первый раз

Как и всегда, предлагаем смотреть там, где тебе удобнее:
📺 YouTube | 📺 VK Video |📺 RUTUBE

Завершаются отборочные этапы осеннего сезона Международных игр по кибербезопасности!

А это значит, что участники более чем из 50 учебных заведений сразятся за звание победителя уже в конце октября (с 30 по 31). Спасибо всем, кто принял участие в отборе! Давайте оставаться на связи и вместе менять индустрию. Теперь немного про финал.

📊 В финале будут представлены 30 команд атакующих и 24 команды защитников. Интуиция и паучье чутье подсказывают, что нас ждут интересная борьба и зрелищный финал. А мы пока готовим призы и еще раз благодарим участников отбора, вы большие молодцы! Финалистам желаем удачи, да прибудет с вами киберсила.

Список команд, прошедших в финальный этап, ищите на сайте Международных игр 🫡

Если остались вопросы, пишите нашему комьюнити-менеджеру Карине.

Всем вечер пятницы!
Доделал запись со стрима по инструментарию Standoff Cyberbones.

На киберполигоне ты сможешь, вооружившись инструментарием из видео, расследовать инциденты, чтобы лучше понимать, как выявлять подобные ситуации и реагировать на них в повседневной работе.

Приятного просмотра!

📺 RUTUBE | 📺 YouTube

👆 Багбаунти или пентесты?

Делись своей версией в комментах и слушай, что думают эксперты: они обсудили этот вопрос во время прямого эфира AM Live, посвященного offensive security.

Ольга Ринглер, руководитель группы исследовательских проектов Positive Technologies, и коллеги поговорили о том:

• какие методы наступательной кибербезопасности работают лучше остальных
• почему все больше прогрессивных компаний выходят на багбаунти для поиска уязвимостей
• как по максимуму использовать результаты работы красных команд
• как лучше всего наладить коммуникацию между атакующими и защитниками

💵 А самое главное — рассказали, каким образом не слить бюджет на offensive security в трубу.

Смотри на любой удобной платформе:
📺 YouTube | 📺 VK Video | 📺 RUTUBE

🏁 Открыто финальное событие юбилейного года багбаунти от VK — Bounty pass #3: Advent!

На этот раз тебя ждут адвент-календарь, продление накопительного бонуса и ачивки на платформе Standoff Bug Bounty.

Делимся подробностями 👀

⏰ Bounty pass #3: Advent продлится до 19 декабря.

🎁 Багхантеры продолжат получать +5% к стоимости вознаграждения с каждым новым оплачиваемым отчетом, а также накапливать бонус с Bounty pass #1: Progress и Bounty pass #2: Olymp.

🗓 За каждый оплачиваемый отчет или за каждые 100 000 рублей в нем багхантер будет получать подарок из адвент-календаря. Внутри — уникальная мерчуха, промокоды и приглашения на вечеринку BB Advent Party (о ней чуть ниже).

🏆 Каждому, кто сдаст хотя бы один оплачиваемый отчет на Standoff Bug Bounty по программам VK во время Bounty pass #3: Advent, будет выдана ачивка на нашей платформе.

🕺 А 19 декабря пройдет новогодняя вписка BB Advent Party, на которую позовут:

• победителей Bounty pass #1: Progress и Bounty pass #2: Olymp, топ-20 призеров Bounty pass #1 Progress, а также всех олимпийцев Bounty pass #2: Olymp;

• всех, кто сдаст 3 оплачиваемых отчета или получит суммарную выплату на 300 000 рублей и более в Bounty pass #3: Advent до 10 декабря.

Искать баги по программам VK: https://bugbounty.standoff365.com/vendors/vk/

Успехов 🤩

2️⃣ Принесли тебе две очешуенные новости от Rambler&Co

Первая: с сегодняшнего дня программа багбаунти компании работает в режиме APT. То есть ты можешь получить вознаграждение 3 млн ₽ за реализацию одного из недопустимых событий.

✅ Вот, что ты можешь попробовать сделать:

1️⃣ Получить доступ к конфиденциальной информации (о договорах, контрагентах, объектах интеллектуальной собственности) и персональным данным работников и клиентов Rambler&Co с возможностью их выгрузки через приложение «1С».

2️⃣ Вывести 2000 рублей со счета компании на собственный счет. Ты должен инициировать транзакцию и провести ее через банк.

Скоуп — все ресурсы Rambler&Co. Запрещено использовать розетки и прочие устройства для физического подключения и атаковать партнеров.

На первом этапе APT-программа — приватка. Если хочешь доступ, пиши на bugbounty@standoff365.com.

Новость номер два: старая программа никуда не делась. Наоборот, компания расширила скоуп по ней и увеличила максимальный размер баунти до 500 000 ₽.

Теперь можно отдельно рассматривать уязвимости на основных медийных активах холдинга, доменах со спортивной тематикой, портале «Рамблер» и LiveJournal.

💲 Вознаграждение выросло не только по критам, но и по всем видам уязвимостей: за баг низкого уровня опасности можно получить до 5000 ₽, среднего — до 35 000 ₽, высокого — до 150 000 ₽.

Еще читаешь? А другие уже репортят! Присоединяйся!

😶 Как онбордиться на Standoff?

Начали рассказывать об этом здесь и здесь, а теперь принесли тебе заключительную часть этой трилогии.

В ней Саша Антипина, капитан культовой команды Cult, поделилась тем, как правильно работать с полигоном и проходить отборочные.

Но, наверное, самое полезное, что есть внутри, — суперподробные инструкции по написанию баг-репортов на все случаи жизни для всех недопустимых событий.

🎁 Приятный бонус — чек-лист, который поможет проверить, готова ли твоя команда к кибербитве.

Читай сам и пересылай семерым друзьям.

✈️ Состязание за вписку на Standoff Hacks продолжается!

Как и обещали, подводим промежуточные итоги. Вот трое багханетров, которые ближе всего подобрались к поездке в Ханой с нами:

1️⃣ Kevgen (2 050 очков)
2️⃣ Leofun (1 500 очков)
3️⃣ zerodivisi0n (500 очков)

Если вдруг забыл, то за один крит мы даем 2000 очков на платформе Standoff Bug Bounty. Сейчас 34 отчета еще находятся в работе.

У тебе еще есть шанс до 29 октября залететь в лидерские позиции и получить возможность попасть на наш priv8-ивент 😎

Напомним, что по итогу конкурса с нами полетят двое багхантеров, которые суммарно наберут больше всего очков за найденные баги. Подробности ищи в первом посте.

Mọi chuyện xảy ra ở Việt Nam đều ở lại Việt Nam.

Сколько чашек кофе выпивает триажер и как на это число влияет количество отчетов? ☕️

Об этом в блиц-опросе Сергею Зыбневу aka poxek рассказала Дарья Афанасова, руководитель отдела триажа на Standoff Bug Bounty.

😘 Из него же ты узнаешь, на какой мульт похожа работа триажера, как изящно ответить багхантеру на запрос дополнительных 500 $ и почему поток нескончаемых уязвимостей лучше, чем один спокойный отчет.

Видос бережно забрали со странички VK Security.

🧢 Продолжаем делиться с синими командами секретами успеха на кибербитве Standoff

В новом выпуске «АМ Подкаста» сборная защитников специалисты АО «Гринатом» рассказали, как участие в кибербитве помогает прокачивать навыки в сфере ИБ и решать другие практические задачи.

В эфире обсудили:

• как собрать команду и кого туда точно следует взять;
• что нужнее играющим в защите — опыт или горящие глаза;
• как правильно тренировать, мотивировать и брифовать участников;
• нужен ли вашей команде ментор и для чего;
• что важнее — успешный успех или приобретенный опыт;
• чем сердце успокоится что команда должна получить по итогам битвы.

Смотри и слушай подкаст там, где тебе удобно:
📺 YouTube | 📺 VK Video | 📺 RUTUBE

🏆 Определены победители Bounty pass #2: Olymp от VK!

Вот эти ребята:

• mr4nd3r50n — сдал больше всего отчетов за сезон;

• act1on3 — получил самую большую сумму вознаграждений.

💸 В течение года (до октября 2025-го) они будут получать +10% к выплатам за найденные уязвимости в сервисах VK.

Окончательные итоги Bounty pass #2: Olymp будут опубликованы через две недели. Каждого олимпийца будет ждать уникальный набор мерча 🎁

🍸 Тем временем стартовало финальное событие юбилейного года от VK — Bounty pass #3: Advent (подробности в этом посте). У тебя есть шанс до 19 декабря урвать подарки из адвент-календаря и увеличить накопительный бонус. А еще мы дадим ачивку каждому, кто сдаст валидную уязвимость во время третьего Bounty pass на Standoff Bug Bounty.

[Искать уязвимости]

Узнал про Standoff. Посетил Standoff. Сделал себе свой Standoff. Повторил

Ребята, вдохновившись нашим форматом и заручившись поддержкой единомышленников из комьюнити, уже второй раз проводят свой собственный ивент, с макетом и ш... redshift-ами 👍

Такое мы любим. Будем следить за проектом и участниками.

Третий выпуск шоу «Хак Так» уже на Positive Hack Media! 🍿

В этот раз в студии белые хакеры Толя Иванов, Ярослав Бабин и Костя Полишин. И все тот же неподготовленный ведущий — Кирилл Шипулин.

В новом выпуске наши дерзкие ребята хейтят фильмы «Сеть» (не про рыбалку), «Взлом» (про Кевина Митника) и «Цикада 3301: Квест для хакера» (про секретную организацию из даркнета).

👎👍 Какие из них получили больше «Хаков», какие — «Таков», над чем больше всего угорали гости и какое отчество у Сандры Буллок — узнайте в выпуске на нашем YouTube-канале:

https://youtu.be/kGWZBTyjYRg
https://youtu.be/kGWZBTyjYRg
https://youtu.be/kGWZBTyjYRg

На других платформах опубликуем видос чуть позднее.

@PositiveHackMedia