НОВИКОМБАНК

НОВИКОМБАНК создан 25 октября 1993 года. Входит в 25 крупнейших финансовых институтов страны. С момента своего основания НОВИКОМБАНК поддерживает важнейшие проекты реального сектора российской экономики. Предоставляет полный спектр банковских услуг во всех сегментах финансового рынка. В числе клиентов — высокотехнологичные предприятия машиностроения, нефтегазового комплекса и авиастроения. Является участником системы страхования вкладов.

Банк Новиком создан 25 октября 1993 года. Входит в 25 крупнейших финансовых институтов страны. С момента своего основания Банк поддерживает важнейшие проекты реального сектора российской экономики. Предоставляет полный спектр банковских услуг во всех сегментах финансового рынка. В числе клиентов Банка — высокотехнологичные предприятия машиностроения, нефтегазового комплекса и авиастроения. Является участником системы страхования вкладов.

АКБ Новиком

НОВИКОМБАНК · Bug Bounty

Исследователю необходимо разобраться в том, как работают бизнес-процессы НОВИКОМ, в которых участвуют эти целевые системы, и осуществить, например, компрометацию целевых систем/интерфейсов управления/ администрирования
прикладных компонентов целевых систем, позволяющих получить доступ к персональным и финансовым данным VIP-клиентов в составе: ФИО, паспортные данные, номер телефона, номера счетов, остаток на счете, номер(а) платежных карт
(в том числе частично маскированные) и совершаемых ими операциях.
Что бы реализовать недопустимое событие, исследователю нужно предоставить описание шагов реализации недопустимого события, подтверждающих возможность получения доступа к целевым системам, позволяющего осуществить выгрузку данных из целевых систем, содержащих информацию о персональных и финансовых данных VIP-клиентов в составе: ФИО, паспортные данные, номер телефона, номера счетов, остаток на счете, номер(а) платежных карт (в том числе частично маскированные) и совершаемых ими операциях.
Записи о VIP-клиентах имеют отдельное свойство, обозначающее их статус, либо входят в отдельную соответствующую группу в целевых системах.

Демонстрация возможности получения доступа к данным VIP-клиентов

АО АКБ «НОВИКОМБАНК» (далее - НОВИКОМ) предлагает эффективные финансовые инструменты для ведущих отечественных предприятий и выступает надежным партнером в реализации задач, поставленных перед российской промышленностью. Сможете ли вы протестировать уровень защищенности НОВИКОМ и реализовать недопустимое событие? 

**2 млн. рублей за демонстрацию возможности получения доступа**

Реализуйте недопустимое событие, продемонстрировав возможность доступа к персональным и финансовым данным VIP-клиентов НОВИКОМ! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий злоумышленников и делающее невозможным достижение операционных и стратегических целей или приводящее к длительному нарушению основной деятельности компании.

## Описание недопустимого для НОВИКОМ события

## Демонстрация возможности получения доступа к данным VIP-клиентов

В НОВИКОМ осуществляются процессы, связанные с обработкой персональных данных и иной значимой информации о VIP-клиентах банка (входящих в группу, название которой содержит признак VIP). В том числе оказание финансовых услуг, сервисная поддержка, дистанционное банковское обслуживание.
Данные обрабатываются в Автоматизированной системе банковского обслуживания и в ДБО для физических лиц (далее – целевые системы).
Исследователю необходимо разобраться в том, как работают бизнес-процессы НОВИКОМ, в которых участвуют эти целевые системы, и осуществить, например, компрометацию целевых систем/интерфейсов управления/ администрирования
прикладных компонентов целевых систем, позволяющих получить доступ к персональным и финансовым данным VIP-клиентов в составе: ФИО, паспортные данные, номер телефона, номера счетов, остаток на счете, номер(а) платежных карт
(в том числе частично маскированные) и совершаемых ими операциях. Записи о VIP-клиентах имеют отдельное свойство, обозначающее их статус, либо входят в отдельную соответствующую группу в целевых системах.

Что бы реализовать недопустимое событие, исследователю нужно предоставить описание шагов реализации недопустимого события, подтверждающих возможность получения доступа к целевым системам, позволяющего осуществить выгрузку данных из целевых систем, содержащих информацию о персональных и финансовых данных VIP-клиентов в составе: ФИО, паспортные данные, номер телефона, номера счетов, остаток на счете, номер(а) платежных карт (в том числе частично маскированные) и совершаемых ими операциях.

**Внимание! Осуществлять непосредственно выгрузку данных клиентов категорически запрещено.
Подтверждение возможности получения частичного доступа к отдельным категориям данных не является реализацией недопустимого события.**
 
## Скоуп

Скоуп ограничен строго ресурсами 85.202.165.0/24, 89.175.190.128/25, 90.154.50.238/32, принадлежащими НОВИКОМ. 
Исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения иных внешних и/или внутренних ресурсов, принадлежащих компании. Если исследователь обнаружил иные ресурсы, принадлежащие компании, для включения их в скоуп, напишите по адресу: iss@novikom.ru.
Если возникнет сомнение о принадлежности внутреннего или внешнего хоста/машины/сервера компании НОВИКОМ,  так же уточните по почте: iss@novikom.ru

### В скоуп не входят компьютерные розетки в офисах и прочие устройства для физического подключения.
Атаковать клиентов и партнеров НОВИКОМ, в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**.
Разрешена рассылка фишинговых писем на корпоративную электронную почту сотрудников НОВИКОМ  в почтовом домене @novikom.ru строго в рамках одного из этапов тестирования реализации недопустимого события.

## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники НОВИКОМ.
* Действующие сотрудники контрагентов НОВИКОМ, которым предоставляется доступ к инфраструктуре НОВИКОМ для выполнения служебных обязанностей.
* Контрагенты и их сотрудники, которые в рамках договорных отношений с НОВИКОМ  уже принимали участие в анализе защищенности информационной инфраструктуры НОВИКОМ.
* Физлица, которые оказывали НОВИКОМ консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые устанавливает НОВИКОМ в своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с НОВИКОМ. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

*Примечание. Необходимость в сдаче отчета возникает при проникновении за периметр сети. Направлять отчет можно после того, как вас «выбьют» из инфраструктуры.*

## Обязанности НОВИКОМ
НОВИКОМ обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы НОВИКОМ отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в НОВИКОМ для получения легитимного доступа к системам НОВИКОМ и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, либо совершать любые действия, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).
* Атаковать клиентов, партнеров и сотрудников НОВИКОМ, в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок.

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 2 млн рублей.
 В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы НОВИКОМ не выплачивает вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.


## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр НОВИКОМ.
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

```
21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:32 Локальная разведка на узле (обнаружено ПО с уязвимостью CVE-XXXX-XXXXX, связанной с повышением привилегий).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
21.02.2022 21:34 Разведка во внутренней сети (обнаружен узел yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.

АО АКБ «НОВИКОМБАНК» (далее - НОВИКОМ) предлагает эффективные финансовые инструменты для ведущих отечественных предприятий и выступает надежным партнером в реализации задач, поставленных перед российской промышленностью. Сможете ли вы протестировать уровень защищенности НОВИКОМ и реализовать недопустимое событие? 

**2 млн. рублей за демонстрацию возможности получения доступа**

Реализуйте недопустимое событие, продемонстрировав возможность доступа к персональным и финансовым данным VIP-клиентов НОВИКОМ! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет, содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий злоумышленников и делающее невозможным достижение операционных и стратегических целей или приводящее к длительному нарушению основной деятельности компании.

## Описание недопустимого для НОВИКОМ события

## Демонстрация возможности получения доступа к данным VIP-клиентов

В НОВИКОМ осуществляются процессы, связанные с обработкой персональных данных и иной значимой информации о VIP-клиентах банка (входящих в группу, название которой содержит признак VIP). В том числе оказание финансовых услуг, сервисная поддержка, дистанционное банковское обслуживание.
Данные обрабатываются в Автоматизированной системе банковского обслуживания и в ДБО для физических лиц (далее – целевые системы).
Исследователю необходимо разобраться в том, как работают бизнес-процессы НОВИКОМ, в которых участвуют эти целевые системы, и осуществить, например, компрометацию целевых систем/интерфейсов управления/ администрирования
прикладных компонентов целевых систем, позволяющих получить доступ к персональным и финансовым данным VIP-клиентов в составе: ФИО, паспортные данные, номер телефона, номера счетов, остаток на счете, номер(а) платежных карт
(в том числе частично маскированные) и совершаемых ими операциях. Записи о VIP-клиентах имеют отдельное свойство, обозначающее их статус, либо входят в отдельную соответствующую группу в целевых системах.

Что бы реализовать недопустимое событие, исследователю нужно предоставить описание шагов реализации недопустимого события, подтверждающих возможность получения доступа к целевым системам, позволяющего осуществить выгрузку данных из целевых систем, содержащих информацию о персональных и финансовых данных VIP-клиентов в составе: ФИО, паспортные данные, номер телефона, номера счетов, остаток на счете, номер(а) платежных карт (в том числе частично маскированные) и совершаемых ими операциях.

**Внимание!**Осуществлять непосредственно выгрузку данных клиентов категорически запрещено.
Подтверждение возможности получения частичного доступа к отдельным категориям данных не является реализацией недопустимого события.
 
## Скоуп

Скоуп ограничен строго ресурсами 85.202.165.0/24, 89.175.190.128/25, 90.154.50.238/32, принадлежащими НОВИКОМ. 
Исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения иных внешних и/или внутренних ресурсов, принадлежащих компании. Если исследователь обнаружил иные ресурсы, принадлежащие компании, для включения их в скоуп, напишите по адресу: iss@novikom.ru.
Если возникнет сомнение о принадлежности внутреннего или внешнего хоста/машины/сервера компании НОВИКОМ,  так же уточните по почте: iss@novikom.ru

### В скоуп не входят компьютерные розетки в офисах и прочие устройства для физического подключения.
Атаковать клиентов и партнеров НОВИКОМ, в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**.
Разрешена рассылка фишинговых писем на корпоративную электронную почту сотрудников НОВИКОМ  в почтовом домене @novikom.ru строго в рамках одного из этапов тестирования реализации недопустимого события.

## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники НОВИКОМ.
* Действующие сотрудники контрагентов НОВИКОМ, которым предоставляется доступ к инфраструктуре НОВИКОМ для выполнения служебных обязанностей.
* Контрагенты и их сотрудники, которые в рамках договорных отношений с НОВИКОМ  уже принимали участие в анализе защищенности информационной инфраструктуры НОВИКОМ.
* Физлица, которые оказывали НОВИКОМ консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые устанавливает НОВИКОМ в своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с НОВИКОМ. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

*Примечание. Необходимость в сдаче отчета возникает при проникновении за периметр сети. Направлять отчет можно после того, как вас «выбьют» из инфраструктуры.*

## Обязанности НОВИКОМ
НОВИКОМ обязуется:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы НОВИКОМ отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в НОВИКОМ для получения легитимного доступа к системам НОВИКОМ и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, либо совершать любые действия, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).
* Атаковать клиентов, партнеров и сотрудников НОВИКОМ, в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок.

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, получает 2 млн рублей.
 В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы НОВИКОМ не выплачивает вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;
* любые другие отчеты, которые не содержат информации о реализации недопустимого события.


## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через сетевой периметр НОВИКОМ.
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

```
21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:32 Локальная разведка на узле (обнаружено ПО с уязвимостью CVE-XXXX-XXXXX, связанной с повышением привилегий).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
21.02.2022 21:34 Разведка во внутренней сети (обнаружен узел yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.