Kronos

KRONOS is a financial and trading company that provides a wide range of services, including fuel supply, financing of procurement activities, import of consumer goods, import of cars and spare parts, and more.

Кибериспытание - новый способ подтвердить надежность системы защиты организации и получить объективную оценку уровня этой защиты, выраженную в деньгах. Проект "Кибериспытание" проводит грантовую программу по повышению защищенности российского бизнеса.

Кибериспытание

Kronos · Bug Bounty

Попробуйте разобраться в бизнес-процессах ООО «Кронос», какие системы в них участвуют, и попробовать продемонстрировать возможность перевести 2000 рублей со счета компании на любой подконтрольный себе счет.

Чтобы реализовать недопустимое событие, исследователю нужно подтвердить наличие возможности совершить перевод в размере 2000 рублей на счет исследователя либо любой другой подконтрольный исследователю счет, не совершая при этом саму транзакцию.

Подтверждение возможности хищения денежных средств

ООО «Кронос» — это финансово-торговая компания, которая предоставляет широкий спектр услуг: поставка топлива, финансирование закупочной деятельности, импортирование товаров народного потребления, импорт автомобилей и запчастей и т.д. Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 
**1 млн рублей за демонстрацию возможности хищения денежных средств компании**

### Программа действует до 12 мая 2025 года 23:59 MSK или до первой успешной реализации недопустимого события.

Реализуйте недопустимое событие, продемонстрировав возможность хищения денежных средств! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого события для ООО «Кронос» 

##Подтверждение возможности хищения денежных средств

Попробуйте разобраться в бизнес-процессах ООО «Кронос», какие системы в них участвуют, и попробовать продемонстрировать возможность перевести 2000 рублей со счета компании на любой подконтрольный себе счет.

Чтобы реализовать недопустимое событие, исследователю нужно подтвердить наличие возможности совершить перевод в размере 2000 рублей на счет исследователя либо любой другой подконтрольный исследователю счет, не совершая при этом саму транзакцию.

**Внимание! Нельзя превышать указанную сумму. При нарушении
условия для исследователя могут наступить негативные последствия, на которые компания не сможет повлиять. Прямое воздействие на системы банков запрещено.**
 
## Скоуп

Скоуп строго ограничен ресурсами, принадлежащими ООО «Кронос», в частности доменами*.kronosorg.com и почтовыми ящиками пользователей в корпоративном почтовом домене @kronosorg.com.
Исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения ресурсов, принадлежащих компании. В скоуп не входят компьютерные розетки в офисах и прочие устройства для физического подключения. 
При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, согласовать такие действия по адресу эл. почты bugbounty@cyberus.com, для включения их в скоуп.

* Атаковать клиентов и партнеров ООО «Кронос», в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**. 
Разрешена рассылка фишинговых писем на корпоративную электронную почту сотрудников ООО «Кронос» строго в почтовом домене @kronosorg.com.

## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники ООО «Кронос».
* Действующие сотрудники контрагентов ООО «Кронос», которым предоставляется доступ к инфраструктуре ООО «Кронос» для выполнения служебных обязанностей.
* Физлица, которые оказывали ООО «Кронос» консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые устанавливает ООО «Кронос» в своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

## Обязанности ООО «Кронос».
ООО «Кронос» обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы ООО «Кронос» отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам ООО «Кронос» и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 1 млн рублей.
В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы не выплачивается вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.

## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр ООО «Кронос» .
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.

ООО «Кронос» — это финансово-торговая компания, которая предоставляет широкий спектр услуг: поставка топлива, финансирование закупочной деятельности, импортирование товаров народного потребления, импорт автомобилей и запчастей и т.д. Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 
**1 млн рублей за демонстрацию возможности хищения денежных средств компании**

### Программа действует до 12 мая 2025 года 23:59 MSK или до первой успешной реализации недопустимого события.

Реализуйте недопустимое событие, продемонстрировав возможность хищения денежных средств! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого события для ООО «Кронос» 

##Подтверждение возможности хищения денежных средств

Попробуйте разобраться в бизнес-процессах ООО «Кронос», какие системы в них участвуют, и попробовать продемонстрировать возможность перевести 2000 рублей со счета компании на любой подконтрольный себе счет.

Чтобы реализовать недопустимое событие, исследователю нужно подтвердить наличие возможности совершить перевод в размере 2000 рублей на счет исследователя либо любой другой подконтрольный исследователю счет, не совершая при этом саму транзакцию.

**Внимание! Нельзя превышать указанную сумму. При нарушении
условия для исследователя могут наступить негативные последствия, на которые компания не сможет повлиять. Прямое воздействие на системы банков запрещено.**
 
## Скоуп

Скоуп строго ограничен ресурсами, принадлежащими ООО «Кронос», в частности доменами*.kronosorg.com и почтовыми ящиками пользователей в корпоративном почтовом домене @kronosorg.com.
Исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения ресурсов, принадлежащих компании. В скоуп не входят компьютерные розетки в офисах и прочие устройства для физического подключения. 
При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, согласовать такие действия по адресу эл. почты bugbounty@cyberus.com, для включения их в скоуп.

* Атаковать клиентов и партнеров ООО «Кронос», в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**. 
Разрешена рассылка фишинговых писем на корпоративную электронную почту сотрудников ООО «Кронос» строго в почтовом домене @kronosorg.com.

## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники ООО «Кронос».
* Действующие сотрудники контрагентов ООО «Кронос», которым предоставляется доступ к инфраструктуре ООО «Кронос» для выполнения служебных обязанностей.
* Физлица, которые оказывали ООО «Кронос» консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые устанавливает ООО «Кронос» в своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

## Обязанности ООО «Кронос».
ООО «Кронос» обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы ООО «Кронос» отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам ООО «Кронос» и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 1 млн рублей.
В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы может быть выплачено поощрительное вознаграждение за промежуточные результаты исследователям, которым удалось выполнить два или более последовательных шагов до потенциальной реализации недопустимого события: например, если исследователь смог проникнуть через периметр, получил доступ к одной из целевых систем, а затем его «выбили» из инфраструктуры.

В рамках программы не выплачивается вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.

## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр ООО «Кронос» .
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.