Hemodialysis Laboratory

Hemodialysis Laboratory LLC is a private medical organization that provides outpatient hemodialysis services in the Republic of Bashkortostan.

Cyber Evaluation is a new approach to validating an organization's cyber defenses, providing an objective security assessment expressed in monetary terms. The Cyber Evaluation project runs a grant program aimed at improving the security posture of businesses operating in Russia.

Cyber Evaluation

Hemodialysis Laboratory · Bug Bounty

Исследователю необходимо продемонстрировать получение доступа к базе данных содержащих персональные данные клиентов.

Получение персональных данных клиентов компании

### Dear researchers!  
Due to technical reasons, you are temporarily requested not to perform any testing against the resource https://*.dializrb.ru/. Further updates will be provided later.

Are you able to test the company’s security level and trigger a non-tolerable event?  
1,200,000 RUB will be rewarded researchers who can obtain personal data of the company’s clients.

Trigger a non-tolerable event by demonstrating the possibility of gaining access to client data. Please read the terms carefully.
The winner of the program is the participant who has accepted the rules, is the first to successfully trigger a non-tolerable event, and submits a report that meets the requirements and contains full information about the attack chain.

A non-tolerable event is an event arising from the researchers’ actions that makes it impossible for the company to achieve its operational and strategic goals and/or leads to a prolonged disruption of the company’s core activities, creating risks for the company.

### Description of the non-tolerable event for LLC “Hemodialysis Laboratory”
The researcher must demonstrate obtaining access to a database containing clients’ personal data.
LLC “Hemodialysis Laboratory” performs processes related to the processing of personal data and other significant information about the company’s clients.
To trigger a non-tolerable event, try to demonstrate access to a database containing clients’ personal data.
Attention: Exporting personal data is strictly prohibited.

## Scope
The scope includes resources belonging to LLC “Hemodialysis Laboratory”, in particular the address 81.30.211.208 and the email domain @dializrb.ru. Phishing emails may be sent to the corporate email addresses of LLC “Hemodialysis Laboratory” employees.
Researchers are encouraged to approach the task creatively and use OSINT methods to discover resources belonging to the company.
If you discover company resources not explicitly listed in the scope, please report them to bugbounty@cyberus.com before starting testing, so they can be included in the scope.

The scope does not include computer sockets in offices and other devices intended for physical connection.
- Attacking clients and partners of LLC “Hemodialysis Laboratory”, including by using social engineering techniques (phishing, vishing, etc.) and spam campaigns, is prohibited.

## Participant requirements
All interested researchers aged 18 and older may participate in the program. Researchers aged 14 to 18 may participate only with written consent from a parent or legal representative.

The following are not allowed to participate in the program:
- Current employees of LLC “Hemodialysis Laboratory”.
- Current employees of counterparties of LLC “Hemodialysis Laboratory” who have access to the company’s infrastructure for the performance of their duties.
- Individuals who have provided LLC “Hemodialysis Laboratory” with consulting services related to information security or information technology and therefore obtained information about the company’s infrastructure over the past three years.

Researchers must:
- Comply with the rules for report disclosure established by LLC “Hemodialysis Laboratory” in this program, as well as the rules of the Standoff Bug Bounty platform.
- Comply with information confidentiality rules. It is prohibited to distribute any information accidentally obtained during the research of the infrastructure or attempts to trigger a non-tolerable event.
- Not disclose information about the course of research without the company’s approval. In case of questions, researchers are advised to contact the security team via the Standoff Bug Bounty platform.
- Maintain communication with the security team, submit reports on attempts to trigger non-tolerable events prepared in accordance with the requirements of this program, and provide feedback if specialists have questions about the report.

## Within the Cyber Exercise, LLC “Hemodialysis Laboratory” follows these principles:
- Treat researchers with full seriousness and attempt to “kick them out” of the infrastructure as early as possible as they got detected.
- Not make unfounded accusations against researchers related to their participation in the program.
- Respect researchers. If researchers comply with the program requirements and rules, LLC “Hemodialysis Laboratory” waives any claims against them.

## Public disclosure of research information
Public disclosure of information is prohibited by default.

## Prohibited activities
Researchers are prohibited from:
- Getting a job at the company to obtain legitimate access to LLC “Hemodialysis Laboratory” systems and trigger non-tolerable events.
- Bribing current employees of the company or colluding with them.
- Using any other voluntary assistance from current employees of the company (covering the researcher’s actions, facilitating access or triggering a non-tolerable event, voluntary provision of company-owned equipment).
- Using any means of influence on company employees that pose a threat to their health or life, kidnapping employees or members of their families. It is also prohibited to steal any devices, gadgets, or other property belonging to employees or the company.
- Physically damaging company property or applying brute force to it to facilitate triggering non-tolerable events, as well as conducting physical attacks on personnel, data centers, and company offices.
- Bribing or otherwise influencing the company’s service providers or contractors, or colluding with them.
- Using any bugs, security issues, or vulnerabilities for personal purposes.
- Using vulnerability testing tools that automatically generate significant amounts of traffic and result in resource-exhaustion attacks.
- Conducting attacks that damage the integrity and availability of services (for example, DoS attacks, BoF exploitation), or attempting to exploit vulnerabilities aimed at resource exhaustion.
- Deleting any information belonging to the company, unless required to cover their tracks in the infrastructure (it is allowed to delete records of their own actions in security logs and their own artifacts).

## Reward for triggering a non-tolerable event
Within the program, the participant who first triggers a non-tolerable event and submits a report about it will receive RUB 1,200,000.
There can be only one winner in the program. The reward is paid in rubles. If the payment method changes, all fees and costs are borne by the winner.

Within the program, incentive rewards may be paid for the following intermediate results:

### 1. Proof of remote code execution (RCE) or remote control of a workstation/server
Payment condition: Providing proof (description of actions, screenshots, network logs) of remote code execution or remote control of a workstation/server included in the list of the Customer’s information assets.
Reward amount: RUB 75,000 for each unique attack vector specified in the technical requirements.

Special considerations:
- The reward is paid only for unique vectors.
- No reward is paid for repeated submissions of a duplicate vector (an attack using an identical mechanism).
- The maximum number of rewards is 2.

### 2. Proof of privilege escalation to the level of domain or infrastructure administrator
Payment condition: Providing proof (description of actions, screenshots, logs) of privilege escalation to the level of:
- Domain administrator
- Administrator with rights to manage all key assets in the Customer’s network.
Reward amount: RUB 75,000 for each unique vector.

Special considerations:
- Payments are made only for unique vectors.
- The maximum number of payments is 2.

Within the program, LLC “Hemodialysis Laboratory” does not pay rewards for:
- Reports on any vulnerabilities.
- Reports on configuration weaknesses.

## Report requirements

A report on a non-tolerable event must contain:
- Evidence that the entry into the infrastructure was performed through the external perimeter of network and information assets belonging to LLC “Hemodialysis Laboratory”.
- Detailed information on the course of the research (technical description), including the method of penetration into the infrastructure, the time of each step, all affected systems, compromised users, a detailed description of the non-tolerable event chain, methods used to hide presence in the infrastructure, and information about artifacts used for persistence in the infrastructure.
- Information about the exploits used or the exploit listing.
- Recommendations for addressing the identified issues.

Note: If the report contains controversial points, gaps in the description, or inaccuracies, the committee has the right to request clarification and additional information from the researcher. If the researcher ignores follow-up requests, the report may be rejected.

In the technical description, it is necessary to describe the non-tolerable event chain step by step, line by line (or the chain up to the final step at which you were “kicked out” of the infrastructure). For example, the chain may consist of the following steps:
```

21.02.2022 20:22 Port scanning on host xxx.xx.xxx.xx (port 3389 discovered).  
21.02.2022 20:24 RDP bruteforce (account user:qwerty).  
21.02.2022 20:55 Privilege escalation using a vulnerability. Persistence on the host (creation of SUPERUSER account with administrator rights).  
yyy.yyy.yyy.yyy, vulnerable to BlueKeep.  
21.02.2022 22:22 Further movement through the network (RCE via BlueKeep).  
<…>
```

### Files uploaded to the target host
If at any step you uploaded software or files to the target host that were used in the attack, this must be specified in the report.
Examples:
- cmd911.jsp — web shell uploaded to /test/test/.
- reGeorg — tunneling tool uploaded to /test/test/.
- pypykatz.py — tool for extracting credentials from OS memory uploaded to /test/test/.
Video and screenshots can be attached to the report but cannot replace it.

### Уважаемые исследователи! По техническим причинам временно просим вас не осуществлять проверку в отношении ресурса  https://*.dializrb.ru/. О дальнейших обновлениях сообщим позднее.

Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 
**1,2 млн рублей за получение персональных данных клиентов компании**

Реализуйте недопустимое событие, продемонстрировав возможность получения доступа к данным клиентов! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет , содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого события для ООО "Лаборатория гемодиализа" 

## Исследователю необходимо продемонстрировать получение доступа к базе данных содержащих персональные данные клиентов.

В ООО "Лаборатория гемодиализа" осуществляются процессы, связанные с обработкой персональных данных и иной значимой информации о клиентах компании.
Чтобы реализовать недопустимое событие, попробуйте продемонстрировать получение доступа к базе данных, содержащей персональные данные клиентов.
_____________________

**Внимание!** Выгрузка персональных данных строжайше запрещена
 
## Скоуп

В скоуп входят ресурсы, принадлежащие ООО "Лаборатория гемодиализа", в частности адрес 81.30.211.208  и домен электронной почты @dializrb.ru. Разрешена рассылка фишинговых писем на электронную почту сотрудников ООО "Лаборатория гемодиализа".
Исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения ресурсов, принадлежащих компании.. 
При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, сообщить об этом по адресу эл. почты bugbounty@cyberus.com, для включения их в скоуп.

В скоуп не входят компьютерные розетки в офисах и прочие устройства для физического подключения
* Атаковать клиентов и партнеров ООО "Лаборатория гемодиализа", в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**. 


## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники ООО "Лаборатория гемодиализа".
* Действующие сотрудники контрагентов ООО "Лаборатория гемодиализа", которым предоставляется доступ к инфраструктуре ООО "Лаборатория гемодиализа" для выполнения служебных обязанностей.
* Физлица, которые оказывали ООО "Лаборатория гемодиализа" консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые устанавливает ООО "Лаборатория гемодиализа" в своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.


## В рамках проведения Кибериспытания ООО "Лаборатория гемодиализа" руководствуется следующими принципами:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы ООО "Лаборатория гемодиализа" отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам ООО "Лаборатория гемодиализа" и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки, BoF-эксплуатация), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, **получает 1,2 миллиона рублей**.
В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы может быть выплачено поощрительное вознаграждение за следующие промежуточные результаты:
###1. Доказательство удаленного выполнения кода (RCE) или удаленного управления рабочей станцией/сервером
- Условие выплаты: предоставление доказательства (описание действий, скриншоты, сетевые логи) факта удаленного выполнения кода или управления рабочей станцией/сервером, включенным в перечень информационных активов Заказчика.
- Размер вознаграждения: 75 тыс. рублей за каждый уникальный вектор атаки, предусмотренный в ТЗ.
- Особенности:
    - Вознаграждение выплачивается только за **уникальные** векторы;
    - При повторной сдаче дублирующего вектора (аналогичного механизма атаки) вознаграждение не выплачивается;
    - Максимальное количество вознаграждений - 2.

### 2.Доказательство повышения привилегий до уровня доменного или инфраструктурного администратора

- Условие выплаты: предоставление доказательства (описание действий, скриншоты, логи) повышения привилегий до уровня:
    - **доменного администратора**, либо
    - **администратора**, обладающего правами на управление всеми ключевыми активами в сети Заказчика.
- Размер вознаграждения: 75 тыс рублей за каждый уникальный вектор.
- Особенности:
    - Выплаты производятся только за уникальные векторы;
    - Количество возможных выплат - 2.

В рамках программы ООО "Лаборатория гемодиализа" не выплачивает вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;


## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через внешний периметр сетевых и информационных активов, принадлежащих ООО "Лаборатория гемодиализа".
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.