Health&Nutrition

Компания  H&N (Health&Nutrition) является лидером в производстве свежих молочных продуктов в России и занимает ведущие позиции в производстве продуктов на растительной основе. Согласно рейтингу 600 крупнейших компаний России по объему реализации продукции. Компания входит в пятерку лидеров пищевого сектора. Продукция Компании производится на 12 заводах, отвечающих самым современным стандартам качества и пищевой безопасности.

Кибериспытание - новый способ подтвердить надежность системы защиты организации и получить объективную оценку уровня этой защиты, выраженную в деньгах. Проект "Кибериспытание" проводит грантовую программу по повышению защищенности российского бизнеса.

Кибериспытание

Health&Nutrition · Bug Bounty

Продемонстрируйте возможность получение доступа к инфраструктуре и сервисам резервного копирования Компании H&N. 
Чтобы реализовать недопустимое событие, продемонстрируйте возможность получения права администратора к urumosuri318 - 10.29.21.112

Демонстрация возможности шифрования резервных копий в системе резервного копирования  Компании H&N

Компания H&N (Health&Nutrition) является лидером в производстве свежих молочных продуктов в России и занимает ведущие позиции в производстве продуктов на растительной основе. Согласно рейтингу 600 крупнейших компаний России по объему реализации продукции. Компания входит в пятерку лидеров пищевого сектора. Продукция Компании производится на 12 заводах, отвечающих самым современным стандартам качества и пищевой безопасности. Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 
**1 млн рублей за демонстрацию возможности шифрования резервных копий в системе резервного копирования Компании H&N**
### Программа действует до 16 августа 2025 года 23:59 MSK или до первой успешной реализации недопустимого события.

Реализуйте недопустимое событие, предоставив подтверждение возможности осуществления шифрования! 
** Внимательно читайте условия. **
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки, включая описание каждого шага с указанием времени.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого для Компании H&N

## Демонстрация возможности шифрования резервных копий в системе резервного копирования  Компании H&N

Продемонстрируйте возможность получение доступа к инфраструктуре и сервисам резервного копирования Компании H&N. 
Чтобы реализовать недопустимое событие, продемонстрируйте возможность получения права администратора к urumosuri318 - 10.29.21.112
**Внимание! Осуществлять само шифрование данных строжайше запрещено.**
 
## Скоуп

В скоуп входят ресурсы, строго принадлежащие Компании H&N, включая, но не ограничиваясь: 
домены *.corphn.com, 
IP 89.175.183.160/27, 82.204.183.64/27, 89.175.178.88/29, 82.204.181.176/29, 82.204.181.184/29, 195.210.181.64/26, 195.210.181.88/29, 195.151.25.240/29, 195.151.38.48/29, 195.151.25.248/29, 94.72.7.214, 85.140.62.227, 77.66.203.180, 109.174.103.186, 176.52.11.76, 95.139.40.179, 178.72.122.238, 178.155.105.0, 81.23.173.33, 178.72.74.102, 78.108.71.41, 84.17.228.128, 82.204.196.130, 213.219.215.193, 95.163.212.213, 213.219.215.76, 89.208.86.232, 37.139.40.112, 89.208.231.145, 51.250.103.125, 158.160.64.75, 158.160.65.185, 84.201.160.229, 158.160.24.128, 45.134.62.135, 45.134.62.11, 185.204.20.0/22 и почтовые ящики пользователей в корпоративном почтовом домене @corphn.com
Исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения дополнительных ресурсов, принадлежащих компании. 
При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, согласовать их включение в скоуп по адресу эл. почты bugbounty@cyberus.com 
В скоуп **не входят** компьютерные розетки в офисах и прочие устройства для физического подключения.
Атаковать клиентов и партнеров Компания H&N, в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**.
Разрешена рассылка фишинговых писем строго на корпоративную электронную почту сотрудников Компания H&N в корпоративных почтовых доменах @corphn.com

## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники Компания H&N.
* Действующие сотрудники контрагентов Компания H&N, которым предоставляется доступ к инфраструктуре Компания H&N для выполнения служебных обязанностей.
* Физлица, которые оказывали Компания H&N консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые Компания H&N в своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

*Примечание. Необходимость в сдаче отчета возникает при проникновении за периметр сети. Направлять отчет можно после того, как вас «выбьют» из инфраструктуры.*

## Обязанности Компания H&N.
Компания H&N обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы Компания H&N отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам Компания H&N и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 1 млн рублей.
 В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы не выплачивается вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.

## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр Компания H&N.
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.

Компания H&N (Health&Nutrition) является лидером в производстве свежих молочных продуктов в России и занимает ведущие позиции в производстве продуктов на растительной основе. Согласно рейтингу 600 крупнейших компаний России по объему реализации продукции. Компания входит в пятерку лидеров пищевого сектора. Продукция Компании производится на 12 заводах, отвечающих самым современным стандартам качества и пищевой безопасности. Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 

**1 млн рублей за демонстрацию возможности шифрования резервных копий в системе резервного копирования Компании H&N**
Реализуйте недопустимое событие, предоставив подтверждение возможности осуществления шифрования! 
** Внимательно читайте условия. **
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки, включая описание каждого шага с указанием времени.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого для Компании H&N

## Демонстрация возможности шифрования резервных копий в системе резервного копирования  Компании H&N

Продемонстрируйте возможность получение доступа к инфраструктуре и сервисам резервного копирования Компании H&N. 
Чтобы реализовать недопустимое событие, продемонстрируйте возможность получения права администратора к urumosuri318 - 10.29.21.112
**Внимание! Осуществлять само шифрование данных строжайше запрещено.**
 
## Скоуп

В скоуп входят ресурсы, строго принадлежащие Компании H&N, включая, но не ограничиваясь: 
домены *.corphn.com, 
IP 89.175.183.160/27, 82.204.183.64/27, 89.175.178.88/29, 82.204.181.176/29, 82.204.181.184/29, 195.210.181.64/26, 195.210.181.88/29, 195.151.25.240/29, 195.151.38.48/29, 195.151.25.248/29, 94.72.7.214, 85.140.62.227, 77.66.203.180, 109.174.103.186, 176.52.11.76, 95.139.40.179, 178.72.122.238, 178.155.105.0, 81.23.173.33, 178.72.74.102, 78.108.71.41, 84.17.228.128, 82.204.196.130, 213.219.215.193, 95.163.212.213, 213.219.215.76, 89.208.86.232, 37.139.40.112, 89.208.231.145, 51.250.103.125, 158.160.64.75, 158.160.65.185, 84.201.160.229, 158.160.24.128, 45.134.62.135, 45.134.62.11, 185.204.20.0/22 и почтовые ящики пользователей в корпоративном почтовом домене @corphn.com
Исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения дополнительных ресурсов, принадлежащих компании. 
При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, согласовать их включение в скоуп по адресу эл. почты bugbounty@cyberus.com 
В скоуп **не входят** компьютерные розетки в офисах и прочие устройства для физического подключения.
Атаковать клиентов и партнеров Компания H&N, в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**.
Разрешена рассылка фишинговых писем строго на корпоративную электронную почту сотрудников Компания H&N в корпоративных почтовых доменах @corphn.com

## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники Компания H&N.
* Действующие сотрудники контрагентов Компания H&N, которым предоставляется доступ к инфраструктуре Компания H&N для выполнения служебных обязанностей.
* Физлица, которые оказывали Компания H&N консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые Компания H&N в своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

*Примечание. Необходимость в сдаче отчета возникает при проникновении за периметр сети. Направлять отчет можно после того, как вас «выбьют» из инфраструктуры.*

## Обязанности Компания H&N.
Компания H&N обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы Компания H&N отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам Компания H&N и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 1 млн рублей.
 В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы не выплачивается вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.

## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр Компания H&N.
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.