Rambler&Co выходит на публичную программу кибериспытаний

Или два события, за которые компания заплатит по достоинству.

💬 Rambler&Co, крупнейший медиахолдинг в России по объему аудитории цифровых ресурсов, выходит на публичную программу кибериспытаний. Для реализации доступны целых два недопустимых события, любое из которых сулит вознаграждение до 3 000 000 рублей.

Что это за события:
• Получение доступа к конфиденциальной информации через систему «1С» — например, к договорам, данным контрагентов или персональной информации сотрудников и пользователей.
• Вывод денежных средств компании. Исследователи должны сами инициировать транзакцию и провести ее через банк — для подтверждения достаточно вывести 2000 рублей.

Внимательно читай правила исследования на странице программы.

Заходи на Standoff Bug Bounty и пробуй доказать всем, что даже на самую сильную и крутую защиту найдется легендарный багхантер!

Чего тут происходит вообще ❓

Смотрим в лайве тут: https://phdays.com/ru/forum/broadcast

⚡️ Подводим итоги трех дней кибербитвы Standoff 15

Сегодня — финал, но интрига сохраняется. У атакующих будет еще четыре часа на то, чтобы доломать все, что они хотели, а у защитников — не дать им этого сделать. В 15:00 завершится прием отчетов у красных команд, а в 17:00 — у синих.

В 19:30 мы подведем итоги Standoff 15 на научпоп-сцене KULIBIN киберфестиваля PHDays и узнаем, какие команды разделят призовой фонд в 50 000 $.

👀 Пока расскажем коротко о результатах атакующих

• Суммарно им удалось реализовать 272 критических события (144 — только за третий день), из них 44 уникальных, и обнаружить 797 уязвимостей.

• Лидирует DreamTeam (135 126 баллов). На втором месте — FR13NDS & RHACKERS (107 467 баллов). На третьем — cR4․sh (70 408). Полная турнирная таблица — на нашем лендинге.

Из интересного:

• Команда Dataeli&only_f4st из России 🇷🇺 реализовала первое межотраслевое критическое событие через SCADA-систему — остановку движения танкера-газовоза, спровоцированную нарушением работы газотурбинного двигателя.

• Самая пострадавшая отрасль — по-прежнему банковская (107 реализованных критических событий). Удастся ли превзойти показатели кибербитвы прошлого года на PHDays Fest (144 реализованных критических события)? Узнаем уже сегодня.

🔵 И о результатах защитников

• Суммарно за три дня команды расследовали 231 критическое событие и обнаружили 1519 инцидентов, из которых 377 предотвратили.

• Больше всего критических событий расследовала команда B0dyContainS, защищающая банковский сектор, — 44.

• Команда Grep_Tribe (защищает городскую среду) предотвратила 119 инцидентов из 158 обнаруженных. Команда Busy Beavers (защищает металлургию) предотвратила 69 инцидентов из 118 обнаруженных.

• Новую отрасль кибербитвы — авиацию — защищают три команды: IDDQD Junior (расследовали 23 критических события и обнаружили 162 инцидента), ReKad Team (расследовали 26 критических событий и обнаружили 85 инцидентов) и Жаным }|{aHblm (расследовали 20 критических событий и обнаружили 118 инцидентов).

🔴🔵 Следите за финальным днем на нашем сайте.

Курьер-партнер скоро будет, а ты пока ищи баги

Самокат, онлайн-магазин с доставкой продуктов и товаров для дома от 15 минут, выходит на багбаунти!

В скоупе — внушительный список целей: от мобильного приложения до инфраструктур. В общем, поле для охоты большое, как твоя продуктовая корзина на неделю.

Максимальная выплата за обнаруженный баг — 250 000 рублей!

Вместо того, чтобы ломать голову о том, что заказать на ужин, попробуй взломать Самокат 🔥

Пощупать скоуп можешь на платформе Standoff Bug Bounty.

У нас есть обладатель priv8-билета!

В субботу, 24 мая, мы подвели итоги конкурса среди участников хакерских активностей в Киберхабе — и определили того самого заряженного, кто ворвался в топ рейтинга и заслужил билет на закрытую тусовку Standoff Bug Bounty.

Поздравляем @Ggwpkekwait!

Спасибо всем, кто участвовал в AI CTF, Sequest, Snatch и других активностях — респект! Вы показали свою крутость и инициативность.

Было мощно 🔥

Исходники утекли, а хост Standoff Standalone вернулся

💥 Этот хост Standalone мы впервые выкатили на PHDays Fest, и вы нас буквально завалили восторженными отзывами. Поэтому — по вашим просьбам — он снова в паблике.

Немного легенды: в виртуальном государстве — новый скандал. Хакеры похитили исходный код EnterpriseConnect, флагманского сервиса видеосвязи STFware. Продукт считался одним из самых защищенных и активно использовался в Государстве F. Теперь под угрозой все — и данные, и доверие клиентов, а потенциальный урон колоссален.

🚨 Какие последствия?

• Целенаправленные атаки на клиентов.
• Репутационные потери.
• Финансовые убытки.
• Угроза инфраструктуре STFware.

🎯Ваша задача: украдите и прочитайте исходный код приложения EnterpriseConnect. В нем вы найдете флаг.
📡 Хост: devportal.standalone.stf (10.124.249.12)

Любители нашего Standoff Hackbase — налетайте и зарабатывайте баллы в рейтинге в перерывах между битвами 🔥

Разговор с топовыми багхантерами из Synack и HackerOne

🔎 Когда-то один из них ломал соседский Wi-Fi, а другой в детстве повелся на присланный другом вирус и начал разбираться, как же так вышло. Кто они сейчас?

Правильно: сегодня оба — признанные эксперты. Первый — лучший хакер Индии из Synack Red Team. Второй — основатель собственной компании и охотник за SSRF-уязвимостями в Apple.

Мы поговорили с Никсом (Nikhil Shrivastava) и Хуссейном (Hussein Daher), чтобы выяснить:

• с чего все началось и как они попали в багбаунти,
• какие уязвимости любят искать больше всего,
• как выстроили свой подход к работе,
• и что они советуют новичкам и тем, кто уже в теме.

🔥 Читайте статью на Хабре, чтобы узнать больше. Это не просто туториал, а честный разговор о профессии, которая кажется хакерской мечтой, а на деле требует системности, выносливости и изобретательности.