TurboCenter

TurboCenter - selling refurbished auto parts for passenger cars, commercial vehicles, trucks, and special equipment. Turbine repair for power plants. In the market since 2014.

Кибериспытание - новый способ подтвердить надежность системы защиты организации и получить объективную оценку уровня этой защиты, выраженную в деньгах. Проект "Кибериспытание" проводит грантовую программу по повышению защищенности российского бизнеса.

Кибериспытание

TurboCenter · Bug Bounty

Попробуйте осуществить компрометацию целевых систем/интерфейсов управления/ администрирования прикладных компонентов целевых систем, позволяющих обосновать возможность остановки ключевых систем, связанных с продажами, например, CRM-системы на 24 часа.
Чтобы реализовать недопустимое событие исследователю необходимо, получить доступ к CRM-системе с возможностью управляющего воздействия и подтвердить возможность остановки продаж не менее, чем на 24 часа. Опционально и при наличии - доступ к бэкапам этой сервисной системы.

Демонстрация возможности остановки продаж

ООО «Турбоцентр» — это компания по продажам восстановленных автозапчастей для легковых автомобилей, коммерческого транспорта, грузовиков и спецтехники. Ремонт турбин энергетических установок. Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 
**1 млн рублей за подтверждение возможности шифрования ключевой базы данных компании**

### Программа действует до 21 мая 2025 года 23:59 MSK или до первой успешной реализации недопустимого события.

Реализуйте недопустимое событие, предоставив подтверждение возможности осуществления остановки продаж! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого события для ООО «Турбоцентр»

## Демонстрация возможности остановки продаж 
Попробуйте осуществить компрометацию целевых систем/интерфейсов управления/ администрирования прикладных компонентов целевых систем, позволяющих обосновать возможность остановки ключевых систем, связанных с продажами, например, CRM-системы на 24 часа.
Чтобы реализовать недопустимое событие исследователю необходимо, получить доступ к CRM-системе с возможностью управляющего воздействия и подтвердить возможность остановки продаж не менее, чем на 24 часа. Опционально и при наличии - доступ к бэкапам этой сервисной системы.

**Внимание! Осуществлять само шифрование данных строжайше запрещено.**
 
## Скоуп

Скоуп строго ограничен ресурсами принадлежащими ООО «Турбоцентр» и ИП Чубанов Д.Ю. (ИНН 780546552429), в частности доменами *.turbocentr.ru, *.turbocentr.net, *.trcturbo.com и почтовым ящиком turbo.centr@yandex.ru. Исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения ресурсов, принадлежащих компании. При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, согласовать такие действия по адресу эл. почты bugbounty@cyberus.com, для включения их в скоуп.

В скоуп не входят компьютерные розетки в офисах и прочие устройства для физического подключения.
* Атаковать клиентов и партнеров ООО «Турбоцентр», в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**. Разрешена рассылка фишинговых писем на электронную почту сотрудников ООО «Турбоцентр» строго на почтовый ящик turbo.centr@yandex.ru.

## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники ООО «Турбоцентр».
* Действующие сотрудники контрагентов ООО «Турбоцентр», которым предоставляется доступ к инфраструктуре ООО «Турбоцентр» для выполнения служебных обязанностей.
* Физлица, которые оказывали ООО «Турбоцентр» консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые ООО «Турбоцентр» своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

*Примечание. Необходимость в сдаче отчета возникает при проникновении за периметр сети. Направлять отчет можно после того, как вас «выбьют» из инфраструктуры.*

## Обязанности ООО «Турбоцентр».
ООО «Турбоцентр» обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы ООО «Турбоцентр», отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам ООО «Турбоцентр» и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 1 млн рублей.
В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы не выплачивается вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.

## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр ООО «Турбоцентр».
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.

ООО «Турбоцентр» — это компания по продажам восстановленных автозапчастей для легковых автомобилей, коммерческого транспорта, грузовиков и спецтехники. Ремонт турбин энергетических установок. Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 
**1 млн рублей за подтверждение возможности шифрования ключевой базы данных компании**

### Программа действует до 21 мая 2025 года 23:59 MSK или до первой успешной реализации недопустимого события.

Реализуйте недопустимое событие, предоставив подтверждение возможности осуществления остановки продаж! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого события для ООО «Турбоцентр»

## Демонстрация возможности остановки продаж 
Попробуйте осуществить компрометацию целевых систем/интерфейсов управления/ администрирования прикладных компонентов целевых систем, позволяющих обосновать возможность остановки ключевых систем, связанных с продажами, например, CRM-системы на 24 часа.
Чтобы реализовать недопустимое событие исследователю необходимо, получить доступ к CRM-системе с возможностью управляющего воздействия и подтвердить возможность остановки продаж не менее, чем на 24 часа. Опционально и при наличии - доступ к бэкапам этой сервисной системы.

**Внимание! Осуществлять само шифрование данных строжайше запрещено.**
 
## Скоуп

Скоуп строго ограничен ресурсами принадлежащими ООО «Турбоцентр» и ИП Чубанов Д.Ю. (ИНН 780546552429), в частности доменами *.turbocentr.ru, *.turbocentr.net, *.turbocentr.com и почтовым ящиком turbo.centr@yandex.ru. Исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения ресурсов, принадлежащих компании. При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, согласовать такие действия по адресу эл. почты bugbounty@cyberus.com, для включения их в скоуп.

В скоуп не входят компьютерные розетки в офисах и прочие устройства для физического подключения.
* Атаковать клиентов и партнеров ООО «Турбоцентр», в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**. Разрешена рассылка фишинговых писем на электронную почту сотрудников ООО «Турбоцентр» строго на почтовый ящик turbo.centr@yandex.ru.

## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники ООО «Турбоцентр».
* Действующие сотрудники контрагентов ООО «Турбоцентр», которым предоставляется доступ к инфраструктуре ООО «Турбоцентр» для выполнения служебных обязанностей.
* Физлица, которые оказывали ООО «Турбоцентр» консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые ООО «Турбоцентр» своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

*Примечание. Необходимость в сдаче отчета возникает при проникновении за периметр сети. Направлять отчет можно после того, как вас «выбьют» из инфраструктуры.*

## Обязанности ООО «Турбоцентр».
ООО «Турбоцентр» обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы ООО «Турбоцентр», отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам ООО «Турбоцентр» и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 1 млн рублей.
В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы не выплачивается вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.

## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр ООО «Турбоцентр».
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.