Lexema

ООО «Лексема» - российская компания, занимающаяся разработкой и внедрением программного обеспечения для цифровизации и роботизации бизнес-процессов

Кибериспытание

Lexema · Bug Bounty

В ООО Лексема осуществляется разработка и поддержка различного программного обеспечения.
Попробуйте осуществить например компрометацию целевых систем/интерфейсов управления/ администрирования прикладных компонентов целевых систем, позволяющих осуществить потенциальное шифрование баз данных на уровне самой БД, операционной системы или средства виртуализации.

Шифрование ключевой базы данных компании

ООО «Лексема» это российская компания, занимающаяся разработкой и внедрением программного обеспечения для цифровизации и роботизации бизнес-процессов. Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 
**1 млн рублей за подтверждение возможности шифрования ключевой базы данных компании**

Реализуйте недопустимое событие, предоставив подтверждение возможности осуществления шифрования! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого для ООО Лексема 

## Шифрование ключевой базы данных компании

В ООО Лексема осуществляется разработка и поддержка различного программного обеспечения.
Попробуйте осуществить например компрометацию целевых систем/интерфейсов управления/ администрирования прикладных компонентов целевых систем, позволяющих осуществить потенциальное шифрование баз данных на уровне самой БД, операционной системы или средства виртуализации.

Что бы реализовать недопустимое событие, исследователю нужно предоставить подтверждение получения доступа на изменение ключевой базы данных компании. 

**Внимание!**Осуществлять само шифрование данных строжайше запрещено.
 
## Скоуп

Скоуп строго ограничен сайтом demo-ecm.lexema.ru и почтовым доменом @lexema.ru 

Но исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения ресурсов, принадлежащих компании. 
При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, согласовать их включение в скоуп по адресу эл. почты bugbounty@cyberus.com.

В скоуп **не входят** компьютерные розетки в офисах и прочие устройства для физического подключения.
Атаковать клиентов и партнеров ООО Лексема, в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**.
Разрешена рассылка фишинговых писем на корпоративную электронную почту сотрудников ООО Лексема в почтовом домене @lexema.ru.


## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники ООО Лексема.
* Действующие сотрудники контрагентов ООО Лексема, которым предоставляется доступ к инфраструктуре ООО Лексема для выполнения служебных обязанностей.
* Физлица, которые оказывали ООО Лексема консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые ООО Лексема в своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

*Примечание. Необходимость в сдаче отчета возникает при проникновении за периметр сети. Направлять отчет можно после того, как вас «выбьют» из инфраструктуры.*

## Обязанности ООО Лексема.
ООО Лексема обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы ООО Лексема отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам ООО Лексема и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

### В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 1 млн рублей.

 **В программе может быть один победитель.**
Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы может быть выплачено поощрительное вознаграждение за промежуточные результаты исследователям, которым удалось выполнить два или более последовательных шагов до потенциальной реализации недопустимого события: например, если исследователь смог проникнуть через периметр, получил доступ к одной из целевых систем, а затем его «выбили» из инфраструктуры.

В рамках программы не выплачивается вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.


## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр ООО Лексема.
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.