Типсы для багхантеров ⭐️

На прошлой неделе мы в экспериментальном формате запустили рубрику полезных советов по багбаунти. Вам зашло, а у нас есть еще много годного контента 🤝

Поэтому запускаем отдельный канал — Standoff Bug Bounty Tips, подписывайтесь 👉.

Второй пост уже опубликован: рассказываем о простых методах разведки для багхантера — welcome!

Подарки, стажировки, новые вызовы — что приготовили партнеры МИК?

🔹Партнер одного из этапов отборочных испытаний для команд защиты — CyberCamp от «Инфосистемы Джет». У наших участников был целый уикенд, чтобы продемонстрировать свои навыки! По итогам Международных игр, топ-2 команды среди красных и топ-2 команды среди синих получат эксклюзивный мерч от нашего партнера!

🔻А что ждет команды атакующих, кроме мерча и подарков? Партнеры из CyberEd подготовили задание, которое продемонстрирует один возможный сценарий атаки на инфраструктуру разработки и продуктовую среду компании.

💬 И еще отличная возможность от другого партнера для всех финалистов МИК (как для атакующих, так и для защитников) — попадание на стажировку в «Совкомбанк Технологии»! Вот с такими клевыми условиями:

• Официальное трудоустройство.
• Стажировка ~ 4 месяца.
• Формат — очный или удаленный (в зависимости от задач бизнеса).
• Гибкий график — от 20 часов в неделю (можно совмещать с учебой).
• Оплачиваемая стажировка — 75 000 руб.
• Лучшие стажеры получат приглашение в штат!

Да начнутся Международные игры по кибербезопасности! 🔥

🔥 Проведем онлайн-марафон к запуску обновленной версии Standoff Defend

Обычно новые продукты запускают на мероприятиях с фуршетом. Но мы решили пойти другим путем: 3 апреля стартует онлайн-марафон, на котором вы сможете первыми пощупать функции обновленного Standoff Defend. Вас будет ждать целый месяц практики!

➡️ Standoff Defend — обновленный онлайн-полигон для команд защиты с виртуальной инфраструктурой типовой компании, где можно прокачать свои навыки по кибербезопасности (с поддержкой ментора!). Во время марафона вы познакомитесь со всеми возможностями Standoff Defend за короткий срок.

💬 Что вас ждет?

• Расследования атак APT-группировок,
• Исследование свежих инцидентов с кибербитвы,
• Разбор атак с ментором,
• А также много полезной теории и инсайдов!

Все начнется третьего апреля — следите за новостями.

P.S.: онлайн-марафон бесплатный и будет доступен всем желающим, а участников будут ждать конкурсы с классными призами 🙂

Хотите задать вопрос топовым хакерам из Synack и HackerOne?

В нашем канале коммуникации 15 апреля в 19:00 (мск) пройдет стрим в формате ответов на все ваши вопросы с топовыми хакерами Hussein Daher и Nikhil "Niksthehacker" Shrivastava!

Что будет на стриме?

🔥 Как гости стрима пришли в багбаунти и что стало точкой невозврата?
🔥 На каких уязвимостях они фокусируются и почему?
🔥 Как понять, когда копать глубже, а когда менять таргет?
🔥 Самые запоминающиеся репорты, инсайты и лайфхаки.

Кто в эфире?

🔹 Hussein Daher — этичный хакер, который с 2014 года нашел более 1500 уязвимостей более чем в 800 компаниях. Основатель WebImmunify․com, компании, которая занимается пентестом и консультациями по кибербезопасности.
🔹Nikhil Shrivastava (Niksthehacker) — Synack Legend Hacker — помог найти более 1500 уязвимостей в продуктах Google, Microsoft, Tesla. Выступал на DEF CON, BlackHat и RSA.

Модератором стрима выступит Александр Мошков.

💡 Готовьте вопросы — спикеры ответят на все, что вы захотите узнать!

Угнанный домен, утекшие данные — реализуй кибератаку на новом хосте Standoff Standalone!

В минувший понедельник внезапно стало известно о кибератаке на ИТ-компанию Carbon — одного из ведущих игроков Государства F.

Во время планового аудита служба ИБ обнаружила подозрительную активность в сети: оказалось, что доступ к контроллеру домена компании получили некие нарушители извне.

🚨 Какие последствия?
✔️ Несмотря на то что компания вернула контроль над инфраструктурой и сосредоточилась на устранении последствий, реальный масштаб ущерба пока неизвестен.
✔️ Клиенты обеспокоены: какие данные могли утечь?
✔️ Расследование продолжается, но уже очевидно, что компания потеряла часть очень важной информации.

💡 Твоя цель — повторить атаку: получить права доменного администратора в инфраструктуре Carbon. Если все пройдет удачно, флаг будет ждать тебя на его рабочем столе.

Автор хоста — Андрей Exited3n, а найти хост можно по адресу carbon.standalone.stf.

Проверь свои силы и проведи атаку — права администратора ждут тебя!

🤜 Продолжаем публиковать полезные советы в канале Standoff Bug Bounty Tips

В новом посте рассказываем, как не пропустить IDOR-уязвимость с помощью Path Traversal.

В ближайшее время будем реже делиться здесь типсами — подписывайтесь на канал, чтобы ничего не пропустить.

Хочешь увидеть открытые отчеты об уже найденных уязвимостях? Теперь у тебя есть такая возможность!

Сегодня VK опубликует 7 открытых отчетов, которые были найдены в программе VK Bug Bounty. Это реальные кейсы, отчеты по которым были сданы через платформу Standoff и которые уже помогли сделать инфраструктуру безопаснее. Теперь они могут помочь и тебе — как источник новых идей и практических решений.

В подборке — 5 отчетов от circuit, отчет от cutoffurmind и отчет от kedr.

⚡️ Что это значит для тебя?
Лучший способ прокачать скил — изучать реальные баги. Разборы найденных в рамках программ VK уязвимостей помогут понять, как мыслит опытный исследователь, на какие детали стоит обращать внимание и какие ошибки обычно допускают компании.

💡 Что дальше?
Следите за обновлениями! В будущем вас ждут новые публикации.

🔥 И, конечно, ждем твои отчеты!
Наши багхантеры не только находят уязвимости, но и получают за них достойные награды. С Bounty Pass от VK можно копить бонусы к выплатам на целый год — так что участвовать в программе теперь еще более выгодно.

Выдели время на изучение отчетов — уверены, это обязательно станет ценной информацией для тебя.

Лутбоксы теперь и на Standoff 365 🎁

Сегодня мы запускаем большое обновление на платформе: за обнаруженные уязвимости на багбаунти, успешную реализацию критических событий и расследование инцидентов на онлайн-полигоне вы будете получать лутбоксы.

Они будут разного уровня: 🥉 бронзовые (10 000 баллов), 🥈 серебряные (50 000 баллов) и 🥇 золотые (100 000 баллов).

Внутри — мерч, голда, скины, пожелания хорошего дня от Толи, промокоды на поесть и уникальные NFT-аватарки для профилей. Чем больше баллов за катку, тем круче приз.

Cегодня открываем первый лутбокс для всех — с эксклюзивным советом от Алексея Лукацкого в нашем чате ⬅️

Опубликованы итоги квалификации на кибербитву Standoff 15

Встречайте героев — мы опубликовали списки команд, которые будут участвовать в кибербитве!

🥇1 место — Россия, HackerLab
🥈2 место — Россия, Omsk_Hackers
🥉3 место — Россия, Dataeli&only_f4st
🏅4 место — Оман, Insight Warriors
🏅5 место — Россия, Cyb7rC0d3#

Баллы по командам можно посмотреть на сайте. Поздравляем участников и желаем им удачи в дальнейших приключениях на кибербитве Standoff 15 🎆

Напоминаем, что 10—13 апреля для команд, которые автоматически попали в финал, будет предоставлен доступ к инфраструктуре для ознакомления с ней в качестве тренировки.

Не будет лишним добавить, что наш официальный канал коммуникации поможет вам быть в курсе всех дел и наладить общение с участниками кибербитвы и организаторами. Присоединиться к каналу можно здесь 👾

Открываем второй шаг марафона Standoff Defend

💡 Если вы определились с целями, то следующий шаг — оценить уровень своих знаний. В одиночку сделать это совсем непросто, можно сильно запутаться, поэтому на обновленном онлайн-полигоне теперь доступно входное тестирование!

По его результатам наши эксперты определят уровень подготовки для каждого пользователя и разработают индивидуальные рекомендации. После участники будут изучать теоретические блоки в закрытой базе Standoff Defend и выполнять практические задания (которых доступно более 100!).

В рамках марафона вы сможете попробовать экспресс-версию входного тестирования и получить подборку статей от менторов Standoff со знаниями, которые будет полезно подтянуть.

Переходи на сайт, чтобы продолжить свой путь в ИБ вместе с экспертами Standoff Defend 💡

Стань «Мэром Капибаровска» на главной коллабе весны — Standoff Bug Bounty × Т-Банк

Два в одном: CTF и багбаунти — в цифровом городе Капибаровск!
В рамках T-CTF 2025 ты можешь получить бонусы, бусты и редкий мерч от Standoff Bug Bounty за решение таски по багбаунти!

💥 Что делать?
Регистрируйтесь на T-CTF в Лигу безопасности (здесь таски для опытных CTF'еров и людей из кибербеза) до 18 апреля, решите задание, получите промокод и сдайте отчет на нашей платформе с 21 апреля по 21 мая в программу Т-Банка.

🎁 Какие награды тебя ждут:

• Х2 от Т-Банка: участники, решившие задачу, получат возможность увеличить свою награду за найденную уязвимость.

• Эксклюзивный мерч Standoff Bug Bounty × Т-Банк — для первых 50 участников, которые справятся с заданием.

• Ачивки на платформе Standoff 365. А первому, кто решит задание, — уникальная ачивка «Мэр Капибаровска».

Если вы готовы к поиску багов, спасению капибар и умножению выплат — регистрируйтесь на T-CTF.

Ждем тебя, хакер с лапками.

Открываем четвертый шаг марафона Standoff Defend

Ключевое нововведение онлайн-полигона — это разработанный нами модуль Archer, который симулирует пользовательскую активность и имитирует действия реальных хакеров и APT-группировок. Мы приготовили тест, в котором вы узнаете, атаку какой группировки будете расследовать 16 апреля.

💡 Пока вы ждете открытия атаки, на сайте можно прочитать статью и узнать больше о нашем Archer и о том, как он воспроизводит сложные атаки вплоть до 25 шагов.

Первые три участника, которые исследуют атаку на 100%, получат:

🔹Билет на PHDays Fest с проходом на кибербитву Standoff.
🔹Мерч Standoff.
🔹Уникальные ачивки на платформе Standoff 365.

Ждем тебя и желаем успехов на марафоне!