Positive Events – Telegram
Positive Events
6.09K subscribers
972 photos
187 videos
1 file
945 links
Канал о крупнейшем в России фестивале по кибербезопасности Positive Hack Days (PHDays), кибербитве Standoff и других мероприятиях Positive Technologies.
Download Telegram
Forwarded from Standoff 365
Как получить билет на митап

Вчера мы анонсировали доклады на митап 23 августа. Самое время рассказать про конкурс.

На платформе есть хакеры, которые не участвовали в The Standoff. Они не получили персональные приглашения на митап, но при этом активно присылают отчёты о найденных уязвимостях и реализуют недопустимые события. Если ты из их числа и хочешь посетить первый The Standoff Talks, увидеть всё из зала и пообщаться со спикерами лично, выпить пива — поднажми на платформе Bug Bounty и киберполигоне 💪

📅 В среду 17 августа в 17:00 мск мы пришлём билеты всем хакерам с ≥ 3000 баллов в общем рейтинге на киберполигоне и всем багхантерам с ≥ 1000 баллов. Если желающих окажется больше, чем мест в лофте, расчехлим random.org и пришлём приглашения самым удачливым.

GLHF!
👍8
Информация — ценнейший ресурс для развития общества и технологий, а безопасность больших данных должна быть ключевым приоритетом для любой компании.

На PHDays 11 тимлид Digital Security и пентестер Вадим Шелест познакомил участников форума с типичными ошибками администрирования, ошибками конфигурации и уязвимостями Hadoop-кластеров и его компонентов. Они позволяют злоумышленникам получить доступ к внутренней инфраструктуре Hadoop — одного из основных инструментов для анализа big data.

Например, у Sparky есть забавный скрипт Dump Clouds Creds, позволяющий атакующим получить доступ во внутреннюю инфраструктуру компаний в облаках с помощью учетных данных. Необходимые данные можно прочитать из метаданных и пользовательских данных таких сервисов, как AWS и DigitalOcean. Все, что для этого требуется, — значения AccessKey, SecretAccessKey и, если речь идет об Amazon, токен.

👀 Смотреть доклад на YouTube

🎧 Слушать доклад в нашем подкасте
👍5🔥2
This media is not supported in your browser
VIEW IN TELEGRAM
The Standoff Talks уже через 10 дней!⚡️
И если у вас еще нет приглашения, то сейчас самое время его получить.

Как? Искать уязвимости и реализовывать недопустимые события на The Standoff 365.

📅 17 августа в 17:00 (мск) пришлём билеты всем хакерам с 3000+ баллов в общем рейтинге на киберполигоне и всем багхантерам с 1000+ баллов.

Зачем? Вы сможете вживую увидеть доклады, пообщаться со спикерами и другими участниками. И выпить пива, конечно же.

Лайнап на 23 августа:

🔹 Вадим Шелест и Михаил Дрягунов — Breaking Red
Фановый доклад о приключениях команды пентестеров из Digital Security на Red Team проектах.

🔹 Денис Рыбин — О том как Privacy Sandbox веб сломал, но обещал починить
Обзор новых предлагаемых веб-стандартов группы Privacy Sandbox. Как жить, когда нельзя ставить 3rd-party куки.

🔹 Константин Полишин — RedTeam страдания SOC’а
Доклад о части используемых командой PT SWARM техник и тактик, позволяющих успешно закрывать проекты по Red Team в первые недели.

Остальные доклады здесь
🔥6👍4
Forwarded from Positive Technologies
👀 Эксперт Positive Technologies Антон Дорфман обнаружил две уязвимости в контроллерах Mitsubishi серии MELSEC iQ-F — эти устройства применяются в пищевой и легкой промышленности, в деревообработке, типографиях, водном хозяйстве, судоходстве, для автоматизации инженерных систем зданий и в других сферах. Уязвимости исправлены производителем.

«Нарушитель, действующий удаленно, мог вызвать отказ в обслуживании контроллеров Mitsubishi путем отправки специально сформированных пакетов. Атака такого типа негативно повлияет на производственный процесс — нарушит его либо приведет к длительной остановке. Последнее для большинства предприятий является недопустимым событием: в некоторых случаях повторный запуск может обойтись в значительную сумму», — рассказал руководитель отдела безопасности промышленных систем управления Positive Technologies Владимир Назаров.

Для снижения риска эксплуатации уязвимостей вендор выпустил рекомендации и представил новую прошивку, в которой проблемы устранены. Компания Mitsubishi поблагодарила Антона Дорфмана за обнаружение уязвимостей.

«Для анализа защищенности производственных систем мы рекомендуем использовать киберполигоны, такие как платформа The Standoff, — это современные решения, которые позволяют проверить возможность реализации атак на системы, при этом не нарушая технологический процесс», — отметил Владимир Назаров.

Подробнее про обнаруженные уязвимости читайте на сайте
👍3🔥2
This media is not supported in your browser
VIEW IN TELEGRAM
🔥104👍2👎1
🔥 The Standoff Talks уже через 6 дней, спикеры вовсю готовятся поделиться своими наработками.

Знакомьтесь, Константин Полишин из команды PT SWARM. Он выступит с докладом «RedTeam страдания SOC’а».

Скоро пришлём инвайты победителям конкурса на платформе The Standoff 365 и выложим программу митапа. Онлайн тоже можно будет присоединиться, но об этом позже :)
💌 Bug bounty от VK: взломать Mail.ru

Напомним, что недавно на платформе The Standoff 365 была запущена программа bug bounty для сервисов Mail.ru от компании VK. Сумма вознаграждения за выявление критической уязвимости в почте, облаке или календаре Mail.ru достигает 1,8 млн рублей.

Скоуп для поиска уязвимостей: домены mail.ru и мобильные приложения.

📌 Подробности и условия программы разместили на странице программы → bugbounty.standoff365.com/programs/mail_vk

Хочешь заработать и прославиться? — Найди уязвимости в Mail.ru!
👍9👎2
This media is not supported in your browser
VIEW IN TELEGRAM
The Standoff Talks уже через пять дней

23 августа для онлайн-участников митапа будет трансляция. Присоединяйтесь во вторник.

11:00
Интро от организаторов
11:20 Виктор Зварыкин — Не делайте так, как мы
12:10 Артём Кадушко — Страх и ненависть в Bulba Hackers: как мы готовимся и участвуем в The Standoff

13:20 Роман Максимов — Абузим Zabbix заказчика, или Как бедолаге стать хозяином подконтрольных узлов
14:15 Константин Полишин — RedTeam страдания SOC'а

16:10 Денис Рыбин — О том как Privacy Sandbox веб сломал, но обещал починить
16:55 Вадим Шелест и Михаил Дрягунов — Breaking Red
18:20 Илья Шапошников — MSSQL: dump linked passwords
19:10 Магама́ Базаров — Cisco Nightmare. Дьявольский пентест сетей Cisco

Подпишитесь на ютуб-канал The Standoff 365 и нажмите 🔔, чтобы получить уведомление о начале трансляции. Будем там собирать полезный технический контент, без воды.
🔥6👍4
Применение GAN для генерации атак

Специалистов по безопасности никогда не покидает ощущение, что они отстают от атакующих. А было бы классно оказываться на шаг впереди и уметь предотвращать атаки, имея инструментарий для их генерации. Кажется, ML-система способна решать эту задачу с помощью эксперта, который валидирует результаты, оценивает их и делает выводы.

В своем докладе в рамках AI-трека на PHDays 11 исследователи Positive Technologies — Николай Лыфенко и Иван Худяшов — осветили опыт применения моделей GAN для генерации различных векторов атак в контексте внедрения SQL-кода.

Этот подход позволяет находить возможные обходы детекторов, основанных на контекстно-свободных грамматиках, и тем самым повышать полноту обнаружения атак. Последующая экспертная валидация полученных результатов помогает выявить принципиально новые конструкции векторов атак с внедрением SQL-кода, отличные от тех, на которых проводилось обучение.

👀 Смотрите полный доклад на YouTube

🦻 Слушайте его в нашем подкасте
🔥6
This media is not supported in your browser
VIEW IN TELEGRAM
👍6🔥2
⚡️Перый The Standoff Talks уже завтра

🙅 Откроет митап Виктор Зварыкин с докладом «Не делайте так, как мы». Спикер расскажет про набитые на майском The Standoff шишки, ведь его команда участвовала впервые, и поделится способами подготовки к кибербитве, которые будут полезны начинающим командам.

🔜 Подключайтесь 23 августа в 11:20 мск.
👍7🔥1
Forwarded from Positive Technologies
This media is not supported in your browser
VIEW IN TELEGRAM
Кибербезопасная страна

Цифровизация идет семимильными шагами: появляются новые устройства, сервисы и умные вещи, а спектр электронных услуг стремительно расширяется. Это удобно: ездить никуда не надо, можно открыть сайт и сделать все через интернет. Только часто в этой гонке об информационной безопасности задумываются в последний момент (либо вообще не думают о ней до тех пор, пока не случится какой-нибудь громкий инцидент).

Киберпреступления — серьезная угроза не только для рядовых пользователей: от хакерских атак регулярно страдают средний и крупный бизнес, целые отрасли промышленности и государственные органы.

Как сделать нашу страну кибербезопасной? Что такое кибериммунитет? Где и как проходит крупнейшая в мире кибербитва The Standoff между специалистами по ИБ и белыми хакерами?

Об этом и многом другом — в новом выпуске программы «Большой скачок»
👍5
⚡️Уже через пару минут мы начнем первый The Standoff Talks

Программа митапа

11:00 Интро от организаторов
11:20 Виктор Зварыкин — Не делайте так, как мы
12:10 Артём Кадушко — Страх и ненависть в Bulba Hackers: как мы готовимся и участвуем в The Standoff

13:20 Роман Максимов — Абузим Zabbix заказчика, или Как бедолаге стать хозяином подконтрольных узлов
14:15 Константин Полишин — RedTeam страдания SOC'а

16:10 Денис Рыбин — О том как Privacy Sandbox веб сломал, но обещал починить
16:55 Вадим Шелест и Михаил Дрягунов — Breaking Red
18:20 Илья Шапошников — MSSQL: dump linked passwords
19:10 Магама́ Базаров — Cisco Nightmare. Дьявольский пентест сетей Cisco

Смотреть прямую трансляцию
7
Позитивный OFFZONE. День первый

Уже сегодня исследователи Positive Technologies выступят в основной программе международной конференции по практической безопасности OFFZONE 2022:

12:00–13:00 (Track 1) — Станислав Раковский, специалист отдела исследования угроз экспертного центра безопасности (PT Expert Security Center), расскажет, какие методы сокрытия используют трояны на Python и как работает система их обнаружения;

12:00–13:00 (Finance.Zone) — Максим Костиков, заместитель руководителя отдела анализа защищенности приложений, выступит с докладом «Безопасность банкоматов для самых маленьких»;

15:00–16:00 (Track 1) — Филипп Никифоров, специалист отдела анализа мобильных приложений, продемонстрирует работу написанной им утилиты reFlutter.

Приходите послушать наших экспертов и загляните на наш стенд, где вас ждет еще серия мини-докладов, рассказ об итогах трех месяцев работы платформы The Standoff 365, конкурс Standoff Crash Camp для ее участников и крутой мерч.
7
Forwarded from OFFZONE
На стендах партнеров позитивненько 😉
👍2
Forwarded from OFFZONE
This media is not supported in your browser
VIEW IN TELEGRAM
🔥8👍1
Позитивный OFFZONE. День второй

В пятницу эксперты Positive Technologies вновь выступят в основной программе международной конференции по практической безопасности OFFZONE 2022:

12:00–13:00 (Track 1) — исследователи Александр Григорян и Даниил Колосков (PT Expert Security Center) представят свой обзор APT‑атак на российские компании в 2022 году. Они рассмотрят самые интересные атаки, тактики и техники злоумышленников, их инструментарий, включая образцы ранее неизвестного ВПО;

16:00–17:00 (Track 1) — Георгий Кигурадзе, специалист отдела анализа приложений, поделится результатами своего исследования безопасности 5G‑роутера компании OPPO и объяснит, как один маленький недочет позволил практически полностью нарушить безопасность устройства.

Не пропустите эти выступления и не забудьте про наш стенд, где вас ждет еще два мини-доклада, крутой мерч, а также завершение конкурса Standoff Crash Camp и награждение его победителей на главной сцене.
👍8
This media is not supported in your browser
VIEW IN TELEGRAM
Подводим итоги Standoff Crash Camp

Максимальный ущерб городу нанес WHOAMI. Он стал победителем и обладателем ста тысяч рублей 🤑

На втором месте — Offzone_mate.
На третьем — pr0phet.
Ребята получили наши специальные призы.

Поздравляем!
🎉252
23 августа мы провели первый митап The Standoff Talks. Очень рады были всех увидеть и пообщаться!

В программе было 8 докладов. Если вы слушали хотя бы один из них и ещё не оставляли обратную связь, расскажите, как вам → ✍️ forms.gle/EWjxKUzcMXL8hgte8

В формочке можно оставить отзыв для каждого спикера, мы передадим фидбэк лично. Также есть раздел по организационным вопросам: время, локация, еда и т.д. Ну и место для пожеланий — оставляйте там любые смелые идеи, возьмём на вооружение :)

💼 Записи докладов выложили на ютуб, все презентации спикеров ↓

🔹 Виктор Зварыкин — Не делайте так, как мы
🔹 Артём Кадушко — Страх и ненависть в Bulba Hackers: как мы готовимся и участвуем в The Standoff
🔹 Роман Максимов — Абузим Zabbix заказчика, или Как бедолаге стать хозяином подконтрольных узлов
🔹 Константин Полишин — RedTeam страдания SOC'а
🔹 Денис Рыбин — О том как Privacy Sandbox веб сломал, но обещал починить
🔹 Вадим Шелест и Михаил Дрягунов — Breaking Red
🔹 Илья Шапошников — MSSQL: dump linked passwords
🔹 Магама́ Базаров — Cisco Nightmare. Дьявольский пентест сетей Cisco

До встречи на следующем митапе!
👍14🔥31
Вскрыть Skillbox: bug bounty от VK

В августе на The Standoff 365 были запущены 11 программ bug bounty от компании VK, в том числе программа для образовательного проекта Skillbox. Эта платформа объединяет ведущих экспертов и практиков рынка, методистов и продюсеров, и предлагает более 780 продуктов в области образования. За обнаружение критической уязвимости в Skillbox исследователи безопасности могут получить награду от 30 тысяч до 60 тысяч рублей.

Скоуп для поиска уязвимостей включает домен skillbox.ru и ряд его поддоменов.

Все подробности и условия размещены на странице программы → https://bb.standoff365.com/programs/skillbox_vk
🔥7