Standoff 365

Хочешь попасть на PHDays Fest? Решай таски — получай проходку!

Наши комьюнити-партнеры — DUCKERZ и TaipanByte CTF — подготовили для вас специальные CTF-таски на своих платформах. Награда для самых быстрых и умелых — билеты на Positive Hack Days.

Что и где искать:
• DUCKERZ: таски по мотивам «Начинаем в багбаунти» — погружаемся в основы, учимся находить уязвимости.
• TaipanByte CTF: таски на тему недопустимых событий — воспроизводим реальный сценарий атаки.

Что по наградам?
• Первые 10 человек, решивших таски TaipanByte CTF, получат проходки на PHDays Fest.
• Топ-10 по таскам DUCKERZ тоже получат билеты.

🚀 Не тормози! У тебя есть отличный шанс не только потренироваться, но и попасть на фестиваль лампового кибердвижа и успеть увидеть все самое интересное.

😱 Кажется, начинается... Кибербитва Standoff 15 стартует уже на следующей неделе!

С 21 по 24 мая в «Лужниках» во время PHDays Fest состоится международная кибербитва Standoff 15, которая объединит более 40 команд атакующих и защитников из 18 стран.

На кону красных — $50 000 и статус сильнейших белых хакеров.
На кону синих — прокачка навыков на живых атаках и бесценный опыт.

Что ждет участников:

✈️ Семь отраслей вирутального государства F, включая две новые, — металлургия, энергетика, нефтегазовая отрасль, банковский сектор, городская среда, авиация и логистика.

🤜 Красные попробуют реализовать более 120 критических событий, а синие будут участвовать в режимах расследования и реагирования (в этом году останавливать кибератаки будет больше команд).

🔥 Мы подготовили обновленную визуализацию: в виртуальном мире все будет похоже на игру, а в физическом реальные последствия кибератак можно будет увидеть своими глазами на макетах отраслей с интерактивным полом и мегаэкраном.

🤝 Но Standoff 15 — это не только про кибербитву. Это еще и про людей и коммьюнити: это твой шанс встретиться с теми, кого знаешь только по никам, пожать руку легендам, завести новые знакомства, обменяться опытом и хорошо потусить.

💬 Чтобы не пропустить самое интересное, смотрите расписание кибербитвы на сайте. И следите за анонсами — скоро расскажем больше о том, что можно будет увидеть в зоне Standoff.

❗️Вход в зону Standoff, которая будет располагаться в отдельном шатре, возможен только по билетам PHDays Fest с 22 мая❗️

🌦 Майские не задались? В такую погоду хочется сидеть дома под пледом и с пиццей?

Если да, то:

• Всегда можно уютно провести время наедине с Standoff Hackbase и реализовать парочку критических событий, чтобы быть довольным собой и чтобы отсутствие шашлыков было нипочем.

• Можно заглянуть на Standoff Defend, чтобы быть уверенным в себе в такую неуверенную погоду (и если не успели пройти все активности марафона, то сейчас — самое время!).

• А еще ты можешь расследовать инциденты на онлайн-симуляторе Standoff Cyberbones, чтобы забить шкалу гордости за себя до максимума.

Но если с шашлыками и пикником все-таки все получилось, а свободное время осталось, то, может, получится навестить программы на Standoff Bug Bounty — и, кто знает, вдруг после этого тебя хватит на организацию еще пары шашлычных вылазок? 😎

Обновили техподдержку для Standoff Hackbase и Standoff Cyberbattle

Мы обновляем полигон для красных, и заодно решили: бот поддержки тоже заслуживает апгрейда.

📁 Теперь все просто и упорядоченно! Все обращения делятся на две основные категории:
• Hackbase — онлайн-полигон для атакующих.
• Cyberbattle — кибербитва Standoff.

Больше никаких дополнительных параметров: выбираешь категорию и сразу переходишь к созданию заявки.

🧭 Куда писать, если есть вопросы:

• У тебя вопросы по работе онлайн-полигона для красных? Нужно починить доступ к онлайн-полигону, разобраться с инфраструктурой или найти флаг — в боте смело выбирай Hackbase.
• Собираешься выйти на арену кибербитвы и есть вопросы про подключение, работу VPN во время ивента, правила или про награды — тогда тебе точно в Cyberbattle.

Мы постарались сделать так, чтобы вы вошли в ту дверь ваш путь от проблемы к решению стал заметно короче!

Марафон «Испытай себя на Standoff Defend» завершен

Спасибо всем, кто прошел этот путь! Вы проверили свои знания, нашли свои слабые и сильные стороны, переняли экспертизу от наших менторов и разобрали сценарии атак. Надеемся, марафон был для вас полезным и дал возможность получить новый опыт и развить свои навыки.

Теперь онлайн-полигон официально обновлен: он будет помогать специалистам по киберзащите прокачивать компетенции, а бизнесу — готовиться к реальным угрозам. На Standoff Defend воссоздана виртуальная ИТ-инфраструктура, где специалисты по ИБ в комфортном режиме комплексно развивают навыки выявления и расследования атак при поддержке менторов.

💬 На сайте марафона вышло интервью с Александром Дорофеевым, начальником отдела мониторинга и реагирования на инциденты ИБ банка «Санкт-Петербург», который расскажет, за что крупный бизнес ценит Standoff Defend.

Будем благодарны, если вы пройдете опрос и поделитесь впечатлениями о марафоне: ваш фидбэк важен!

С вами было очень круто 🚀

Финальный вызов — мини-кибербитва!

Марафон Standoff Defend выходит на финишную прямую.
Последний шаг пользователя на нашем онлайн-полигоне — онлайн-мини-кибербитва.

🛡 Что ждет пользователей Standoff Defend:
• Два дня мини-кибербитвы в режиме реального времени.
• Регулируемые атаки Archer: моделирование реальных угроз по всем канонам атак APT-группировок.
• Атаки белых хакеров из сообщества Standoff: не просто симуляция, а действия людей, которые проверят команду защитников на прочность.

🎯 Специально для участников марафона:

VeeZy, один из топовых белых хакеров на платформе Standoff 365, проанализировал атаку группировки Charming Kitten и подготовил альтернативные сценарии атаки.

Это разбор не из учебников, а реальные варианты сценариев, которые стоит учитывать в мини-кибербитве.
Проверь, сможешь ли ты справиться со всеми векторами атак!

Удачи в защите 🚀

Итоги Международных игр по кибербезопасности

Два дня, сотни участников, десятки инфраструктур и сотни часов напряженной работы — и вот весенний сезон МИК завершен.

🔥 Кто ворвался в топ?

Атакующие (Red):
🥇 LiL Cringē (Россия) — 56 400 баллов.
🥈 FR13NDS TEAM (Казахстан) — 56 400 баллов.

Эти команды получают право принять участие в финале кибербитвы Standoff 15, до которой остается меньше месяца. Совсем скоро мы узнаем, кто станет сильнейшим в этом сезоне!

🛡 Защитники (Blue):
🥇 Ransom_abcd ( Россия) — 6000 баллов.
🥈 SOC Добрый ( Россия) — 6000 баллов.

Участники из этих команд получают билеты на киберфестиваль PHDays!

Все результаты, баллы и списки команд можете посмотреть здесь.

Напоминаем: у всех финалистов есть возможность попасть на стажировку — в программу PT Start или в команду Совкомбанк Технологии. Используйте шанс проявить себя не только в игре, но и в реальных задачах.

❗️И хотим обратить ваше внимание, что в ходе битвы нами были зафиксированы нарушения со стороны команды атакующих Team8. Были изменены пароли от учетных записей на контроллерах домена, что строго запрещено правилами битвы. Эти действия повлияли на работу инфраструктуры и помешали другим командам продолжить борьбу.

Такая практика не соответствует духу честной игры и основным принципам Международных игр по кибербезопасности.
В связи с нарушением правил команда Team8 получила штраф — снятие 30% от набранных баллов.

Спасибо всем, кто был с нами: участникам, партнерам, техподдержке и тем, кто следил за играми! Мы верим, что такие соревнования — это не только про навыки, но и про комьюнити, взаимопомощь, рост и желание развиваться 🙌🏻

Следи за новостями, общайся с другими участниками, заходи в наш канал коммуникации и готовься к новым вызовам.

Напоминаем, что через 30 минут начнется воркшоп

В рамках марафона Standoff Defend наши эксперты разберут атаку APT-группировки Charming Kitten, которую вы расследовали в прошлый раз. Не пропустите, — вы точно узнаете что-то новое и получите ответы на все ваши вопросы!

Смотреть можно здесь. Ждем вас. 🔥

Итоги конкурса Standoff Defend — объявляем победителей

Конкурс по расследованию атаки APT-группировки Charming Kitten подошел к концу. Более 60 человек разобрались с атакой на 100%, но кто-то сделал это быстрее всех.

И вот они — трое лучших:

🥇 1 место — shashinma.
🥈 2 место — Aeku.
🥉 3 место — SuperBatka.

Призеры получают:
• Фирменный мерч Standoff 365.
• Билеты на PHDays.
• Эксклюзивные ачивки на нашей платформе!

В ближайшее время мы свяжемся с победителями — проверяйте почту, если вы в списке 🫡

⁉️ И еще! Если хотите узнать, как надо было делать по канону — завтра, 25 апреля в 11:00 (мск) в состоится вебинар с эталонным расследованием атаки от экспертов Standoff.

Не забудьте зарегистрироваться!

А вот цитата победителя shashinma:

Всех приветствую!

Задание оказалось не таким сложным, но очень показательным для тех, кто только учится и делает самые первые шаги. Особенно радует, что все это реализовали в новом формате «атаки», которой ранее очень не хватало на онлайн-полигоне. Это именно то, что хотелось бы на нем видеть.

Желаю дальнейшего развития полигону и надеюсь на пополнение списка тасков! :)

Поздравляем победителей и желаем всем удачи в следующих этапах 🔥

Капибары попросили — мы продлили

Задание по багбаунти в рамках коллабы Standoff Bug Bounty × Т-Банк теперь доступно до воскресенья!

Что делать? Выполняй таск, забирай промокод и врывайся в программу Т-Банка.

🎁 А в наградах:
• Х2 к выплате за найденную уязвимость в программе Т-Банка.
• Лимитированная ачивка на Standoff 365.
• Мерч Standoff Bug Bounty × Т-Банк — первым счастливчикам.

Осталось всего несколько дней — капибары не простят, если ты упустишь последний шанс.

👉 Регистрируйся!

(И да, лапки уже можно разминать)

Новый скоуп в программе VK Bug Bounty

Познакомь сервисы с их уязвимостями, а программу — со своими отчетами.

🔥 На платформе Standoff Bug Bounty пополнение: теперь в скоупе программы VK Bug Bounty есть Сервисы Знакомств VK, куда войдут два приложения:

🔹«VK Знакомства».
🔹«ОК Знакомства».

А максимальное вознаграждение — целых 1 млн рублей!

Самое время обратить внимание на программу и поймать как можно больше красивых багов!

Начинаем в багбаунти: как найти уязвимость, за которую тебе заплатят

В новом выпуске «Начинаем в багбаунти» Петр Уваров, руководитель направления VK Bug Bounty, и Анатолий Иванов aka c0rv4x, руководитель направления Standoff Bug Bounty, обсудят, как же находить уязвимости, которые реально приносят деньги.

Видео будет полезно тем, кто хочет узнать о типовых ошибках новичков, критериях импакта и подводных камнях. В конце выпуска будут советы о том, где практиковаться и на чем учиться искать самые популярные уязвимости.

💬 Что еще?

• Почему одни баги засчитывают, а другие — нет?

• Что делать, если отчет отклонили, но ты уверен в его ценности?

• Как раскрутить уязвимость, чтобы ее приняли и за нее заплатили?

В общем, отличный контент для тех, кто хочет попробовать себя в багбаунти или освежить свои знания.

Смотрите ролик на любой удобной платформе:

📺 YouTube 📺 Rutube 📺 VK Видео

#начинаемвбагбаунти@standoff_365

Итак, тебе удалось расследовать атаку APT-группировки Charming Kitten...

Но остались вопросы? Или не хватило времени? А может, просто хочется новых инсайтов?

Именно для этого 25 апреля в 11:00 (мск) на сайте марафона Standoff Defend в прямом эфире наши эксперты проведут воркшоп с эталонным расследованием атаки. Если не пропустишь, то сможешь набраться опыта и задать все самые каверзные вопросы, которые пришли тебе в голову.

💡 Зарегистрируйтесь — и точно не потеряетесь. Обо всем напишем, обо всем расскажем, главное — освободите время.

Мы рады, что проходим этот путь вместе с вами и становимся только сильнее! Спасибо, что вы со Standoff Defend 🌸

Как вычислить багхантера при первом знакомстве?

Спросить у него, где он живет, чего боится и сколько часов в неделю хочет работать.

Мы провели исследование — опросили IT-специалистов и багхантеров, чтобы узнать, кто они, как они находят свой путь, как живут и с какими трудностями встречаются.

⭐️ Что мы выяснили?

🔹 По рабочей занятости среди багхантеров лидируют бэкендеры, тестировщики и пентестеры (хотя аудитория опроса вышла разнообразной — есть учащиеся в школах).
🔹 В основном опрошенных останавливает от багхантинга неуверенность в собственных навыках и знаниях (у вас все получится! Главное — попробовать).
🔹 Самыми любимыми сферами для багхантинга оказались потребительский сектор (маркетплейсы, доставки, магазины) и финтех.
🔹 Как стереотипные хакеры, опытные багхантеры работают вечером и ночью. Утро оказалось наименее популярным временем. Некоторые ищут баги даже из отпуска.

Но это только начало. Как IT-специалисты становятся багхантерами? Почему CTF — это лучший трамплин в багбаунти? Какие площадки любят хакеры?

Читайте полный разбор — внутри вас также ждет еще больше статистики и три портрета таких разных, но таких объединенных страстью к уязвимостям багхантеров.

🚨 На радаре багхантера — «Инфосистемы Джет»!

Они строят сложные ИТ-системы. А ты находишь в них красивые баги.

Это одна из крупнейших ИТ-компаний страны, которая специализируется на системной интеграции и информационной безопасности. И теперь она на Standoff Bug Bounty!

Скоуп большой, поэтому вот только некоторая его часть:

*.jet.su
*.jetinfosystems.com
*.jetinfo.ru
*.jetinfo.com
*.jetinfo.su
*.jetcybercamp.ru

Остальные домены можно пощупать на странице программы.

Максимальная выплата — 250 000 рублей.

Пробуй себя — и к лету обязательно устроишь себе шикарный отпуск.

🔥 Закрытый митап для багхантеров

Собираем комьюнити, чтобы без лишней официальщины, камер и трансляций поговорить о главном — багах и настоящей практике. Никакой воды. Только свои.

Митап пройдет 24 апреля, в 18:00 (мск) в Москве. Формат только офлайн, без трансляций и записей, а главное — лампово, свободно и по делу.

☀️ Что в программе?

• Анатолий Иванов с вводным словом о том, куда движется багбаунти и что нового будет в этом году.
• Представители компаний, которые вышли на платформу, — расскажут о том, как работают с репортами и на что стоит обращать внимание при поиске багов.
• А также приглашенные талантливые багхантеры ratel_xx, топовый исследователь и специалист, и Михаил Ключников (n1), автор многих CVE и 0-деев, который сейчас работает в PT SWARM. Они расскажут о своем опыте и выступят с техническими докладами.

💬 Для кого?

Для активных участников багбаунти-программ, пентестеров и тех, кто живет в мире уязвимостей.

💡 Как попасть?

Нужно зарегистрироваться.

👉 Количество мест ограничено — 50 человек. Если мест не хватит — не переживайте, мы никого не забудем! Это только первый митап, серия продолжится. Всем, кто не попал, дадим приоритет в следующий раз.

Хотите выступить или есть вопросы? Тогда пишите на почту meetup-bb@standoff365.com, (Толю не мучайте).

Четвертый шаг марафона — тот самый, которого вы ждали!

☀️ Самый сложный и интересный этап марафона открыт — время расследовать атаку APT-группировки Charming Kitten, смоделированную с помощью модуля Archer.

Вчера мы раскрыли особенности группировки — если пропустили, срочно изучайте карточку, чтобы не растеряться!

💡 А 25 апреля в 11:00 (мск) ждем всех на разборе атаки с ментором. Она пройдет прямом эфире на сайте марафона. Ментор ответит на ваши вопросы, поэтому готовьтесь — это отличная возможность прокачать свои скиллы и узнать больше!

И не забывайте про конкурс! Первые три участника, которые расследуют атаку на 100% до 23 апреля, получат:

✔️ Билет на PHDays Fest с доступом на кибербитву Standoff.
✔️ Крутой мерч — чтобы все знали, кто тут чемпион.
✔️ Эксклюзивные ачивки на Standoff 365 — чтобы можно было заслуженно похвастаться перед коллегами.

Вы давно готовились к этому этапу — время показать, на что вы способны!

Знакомьтесь, APT-группировка Charming Kitten

💡 Те, кто успешно прошел тест из четвертого шага нашего марафона, уже знают, что завтра, 16 апреля, можно будет начать расследовать атаку от APT-группировки Charming Kitten.

А пока мы подготовили для вас карточку, в которой расскажем о векторах атаки группировки и подскажем, на что обратить внимание при расследовании.

Через 10 минут начнется стрим с хакерами из Synack и HackerOne!

Смотреть трансляцию можно на ютубе. Готовьтесь задавать свои вопросы гостям!

Для тех, кто не успеет, запись стрима будет сохранена по этой же ссылке.

🔥 Напоминаем про стрим с хакерами из Synack и HackerOne!

Который пройдет 15 апреля в 19:00 (мск) в нашем канале коммуникации. На ваши вопросы ответят хакеры Hussein Daher и Nikhil "Niksthehacker" Shrivastava.

На стриме гости расскажут, как они пришли в багбаунти, на каких уязвимостях они фокусируются, и поделятся самыми впечатляющими инсайтами и лайфхаками.

А пока прикрепляем видео от гостей, в котором они приглашают вас на стрим!