LOGOSOFT LLC (VEZUBR)

LOGOSOFT LLC (VEZUBR) is a platform for comprehensive optimization of enterprise logistics.

Cyber Evaluation is a new approach to validating an organization's cyber defenses, providing an objective security assessment expressed in monetary terms. The Cyber Evaluation project runs a grant program aimed at improving the security posture of businesses operating in Russia.

Cyber Evaluation

LOGOSOFT LLC (VEZUBR) · Bug Bounty

Исследователю необходимо получить доступ к сервису VEZUBR, который позволит продемонстрировать приостановку его работы или нарушение штатного функционирования на уровне сервиса

Приостановка работы сервиса VEZUBR

Are you able to test the company’s security level and trigger a non-tolerable event?  
250,000 RUB will be rewarded to the researcher, who can confirm the possibility of suspending the operation of the VEZUBR service.

Trigger a non-tolerable event by confirming the possibility of suspending the operation of the VEZUBR service. Please read the terms carefully.
The winner of the program is the participant who has accepted the rules, is the first to successfully trigger a non-tolerable event, and submits a report that meets the requirements and contains full information about the attack chain.

A non-tolerable event is an event arising from the researchers’ actions that makes it impossible for the company to achieve its operational and strategic goals and/or leads to a prolonged disruption of the company’s core activities, creating risks for the company.

### Description of the non-tolerable event for LOGOSOFT LLC
#### Suspension of the VEZUBR service operation.
The researcher must obtain access to the VEZUBR service in a way that allows demonstrating suspension of its operation or disruption of its normal functioning at the service level.
Attention: Directly stopping the service operation is strictly prohibited.

## Scope

The scope includes resources belonging to LOGOSOFT LLC, in particular the resources `*.vezubr.ru`, `*.enter.vezbur.ru`, and the corporate email domain @vezubr.ru. Phishing emails may be sent to the corporate email addresses of LOGOSOFT LLC employees.

Researchers are encouraged to approach the task creatively and use OSINT methods to discover resources belonging to the company. If you discover company resources not explicitly listed in the scope, please report them to bugbounty@cyberus.com before starting testing so they can be included in the scope.​

The scope does not include computer sockets in offices and other devices intended for physical connection.
Attacking clients and partners of LOGOSOFT LLC, including by using social engineering techniques (phishing, vishing, etc.) and spam campaigns, is prohibited.

## Participant requirements
All interested researchers aged 18 and older may participate in the program. Researchers aged 14 to 18 may participate only with written consent from a parent or legal representative.

The following are not allowed to participate in the program:
- Current employees of LOGOSOFT LLC.
- Current employees of LOGOSOFT LLC counterparties who have access to the company’s infrastructure for the performance of their duties.
- Individuals who have provided LOGOSOFT LLC with consulting services related to information security or information technology and therefore obtained information about parts of the company’s infrastructure over the past three years.

Researchers must:
- Comply with the rules for report disclosure established by LOGOSOFT LLC in this program, as well as the rules of the Standoff Bug Bounty platform.​
- Comply with information confidentiality rules. It is prohibited to distribute any information accidentally obtained during the research of the infrastructure or attempts to trigger a non-tolerable event.
- Not disclose information about the course of research without the company’s approval. In case of questions, researchers are advised to contact the security team via the Standoff Bug Bounty platform.​
- Maintain communication with the security team, submit reports on attempts to trigger non-tolerable events prepared in accordance with the program requirements, and provide feedback if specialists have questions about the report.

Note: The need to submit a report arises once you have breached the network perimeter. A report may be submitted after you have been “kicked out” of the infrastructure.​

## Within the Cyber Exercise, LOGOSOFT LLC follows these principles:
- Treat researchers with full seriousness and attempt to “kick them out” of the infrastructure as early as possible as they get detected by security team.​
- Not make unfounded accusations against researchers related to their participation in the program.
- Respect researchers. If researchers comply with the program requirements and rules, LOGOSOFT LLC waives any claims against them.

### Public disclosure of research information
Public disclosure of information is prohibited by default.

## Prohibited activities
Researchers are prohibited from:
- Getting a job at the company to obtain legitimate access to LOGOSOFT LLC systems and trigger non-tolerable events.
- Bribing current employees of the company or colluding with them.
- Using any other voluntary assistance from current employees of the company (covering the researcher’s actions, facilitating access or triggering a non-tolerable event, voluntary provision of company-owned equipment).
- Using any means of influence on company employees that pose a threat to their health or life, kidnapping employees or members of their families; it is also prohibited to steal any devices, gadgets, or other property belonging to employees or the company.​
- Physically damaging company property or applying brute force to it to facilitate triggering non-tolerable events, as well as conducting physical attacks on personnel, data centers, and company offices.
- Bribing or otherwise influencing the company’s service providers or contractors, or colluding with them.
- Using any bugs, security issues, or vulnerabilities for personal use.
- Using vulnerability testing tools that automatically generate significant traffic volumes and lead to resource-exhaustion attacks.
- Conducting attacks that damage the integrity and availability of services (for example, DoS attacks) or attempting to exploit vulnerabilities aimed at resource exhaustion.
- Deleting any information belonging to the company, unless required to cover their tracks in the infrastructure (it is allowed to delete records of their own actions in security logs and their own artifacts).

### Reward for triggering a non-tolerable event
Within the program, the participant who first triggers a non-tolerable event and submits a report about it will receive RUB 250,000.​
There can be only one winner in the program. The reward is paid in rubles. If the payment method changes, all fees and costs are borne by the winner.​

Within the program, incentive rewards may be paid for the following intermediate results:
### 1. Proof of remote code execution (RCE) or remote control of a workstation/server
Payment condition: Providing proof (description of actions, screenshots, network logs) of remote code execution or remote control of a workstation/server included in the list of the Customer’s information assets.
Reward amount: RUB 125,000 for each unique attack vector specified in the technical requirements.
Special considerations:
- The reward is paid only for unique vectors.
- No reward is paid for repeated submissions of a duplicate vector (an attack using an identical mechanism).
- The maximum number of rewards is 1.

### 2. Proof of privilege escalation to the level of domain or infrastructure administrator
Payment condition: Providing proof (description of actions, screenshots, logs) of privilege escalation to the level of:
- Domain administrator
- Administrator with rights to manage all key assets in the company’s network.
Reward amount: RUB 125,000 for each unique vector.
Special considerations:
- Payments are made only for unique vectors.
- The maximum number of payments is 1.

Within the program, LOGOSOFT LLC does not pay rewards for:
- Reports on any vulnerabilities.
- Reports on configuration weaknesses.

## Report formatting requirements

A report on a non-tolerable event must contain:
- Evidence that the entry into the infrastructure was performed through the external perimeter of network and information assets belonging to LOGOSOFT LLC.
- Detailed information on the course of the research (technical description), including the method of penetration into the infrastructure, the time of each step, all affected systems, compromised users, a detailed description of the non-tolerable event chain, methods used to hide presence in the infrastructure, and information about artifacts used for persistence in the infrastructure.
- Information about the exploits used or the exploit listing.
- Recommendations for addressing the identified issues.

Note: If the report contains controversial points, gaps in the description, or inaccuracies, the committee has the right to request clarification and additional information from the researcher. If the researcher ignores follow-up requests, the report may be rejected.

In the technical description, it is necessary to describe the non-tolerable event chain step by step, line by line (or the chain up to the final step at which you were “kicked out” of the infrastructure). For example, the chain may consist of the following steps:
```
21.02.2022 20:22 Port scanning on host xxx.xx.xxx.xx (port 3389 discovered).  
21.02.2022 20:24 RDP bruteforce (account user:qwerty).  
21.02.2022 20:55 Privilege escalation using a vulnerability. Persistence on the host (creation of SUPERUSER account with administrator rights).  
yyy.yyy.yyy.yyy, vulnerable to BlueKeep.  
21.02.2022 22:22 Further movement through the network (RCE via BlueKeep).  
<…>
```

#### Files uploaded to the target host
If at any step you uploaded software or files to the target host that were used in the attack, this must be specified in the report.

Examples:
- cmd911.jsp — web shell uploaded to /test/test/.
- reGeorg — tunneling tool uploaded to /test/test/.
- pypykatz.py — tool for extracting credentials from OS memory uploaded to /test/test/.

Video and screenshots can be attached to the report but cannot replace it.

Сможете ли вы протестировать уровень защищенности компании и реализовать недопустимое событие? 
**250 тысяч рублей за подтверждение возможности приостановить работу сервиса VEZUBR**

Реализуйте недопустимое событие, подтверждение возможности приостановить работу сервиса VEZUBR! Внимательно читайте условия. 
Победителем программы считается участник, который принял правила, первым успешно реализовал недопустимое событие и представил соответствующий требованиям отчет , содержащий полную информацию о цепочке атаки.

**Недопустимое событие** — явление, возникающее в результате действий исследователей и делающее невозможным достижение операционных и стратегических целей и(или) приводящее к длительному нарушению основной деятельности компании, наносящее риски компании.

## Описание недопустимого события для ООО «ЛОГОСОФТ»

## Приостановка работы сервиса VEZUBR

Исследователю необходимо получить доступ к сервису VEZUBR, который позволит продемонстрировать приостановку его работы или нарушение штатного функционирования на уровне сервиса
__________________________________________

**Внимание!** Осуществлять непосредственно остановку работы сервиса строжайше запрещено.
 
## Скоуп

В скоуп входят ресурсы, принадлежащие ООО «ЛОГОСОФТ», в частности ресурсы *.vezubr.ru, *. enter.vezbur.ru и корпоративный домен электронной почты: @vezubr.ru. Разрешена рассылка фишинговых писем на электронную почту сотрудников ООО «ЛОГОСОФТ».
Исследователям предлагается подойти к выполнению задания творчески и использовать методы OSINT для обнаружения ресурсов, принадлежащих компании. При обнаружении ресурсов компании, не указанных в скоупе, просьба до начала их тестирования, сообщить об этом по адресу эл. почты bugbounty@cyberus.com, для включения их в скоуп.

В скоуп не входят компьютерные розетки в офисах и прочие устройства для физического подключения. 
* Атаковать клиентов и партнеров ООО «ЛОГОСОФТ», в том числе с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок **запрещено**. 


## Требования к участникам

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет. Исследователи в возрасте от 14 до 18 лет имеют право участвовать только при наличии письменного согласия родителей или законного представителя.

В программе **не могут** участвовать:

* Действующие сотрудники ООО «ЛОГОСОФТ».
* Действующие сотрудники контрагентов ООО «ЛОГОСОФТ», которым предоставляется доступ к инфраструктуре ООО «ЛОГОСОФТ» для выполнения служебных обязанностей.
* Физлица, которые оказывали ООО «ЛОГОСОФТ» консультационные услуги, связанные с информационной безопасностью или информационными технологиями, то есть лица, получавшие сведения об устройстве части инфраструктуры компании по служебной необходимости за последние три года.

Исследователям необходимо:

* Соблюдать правила раскрытия отчетов, которые ООО «ЛОГОСОФТ» своей программе, а также правила платформы Standoff Bug Bounty.
* Соблюдать правила конфиденциальности информации. Запрещено распространять любую информацию, случайным образом полученную в ходе исследования инфраструктуры или попыток реализации недопустимого события.
* Не разглашать информацию о ходе исследований без согласования с компанией. При возникновении вопросов рекомендуется обращаться к команде безопасности через платформу Standoff Bug Bounty.
* Поддерживать общение с командой безопасности, направлять ей отчеты о попытках реализации недопустимых событий, оформленные согласно описанным в программе требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.

*Примечание. Необходимость в сдаче отчета возникает при проникновении за периметр сети. Направлять отчет можно после того, как вас «выбьют» из инфраструктуры.*

## В рамках проведения Кибериспытания ООО «ЛОГОСОФТ» руководствуется следующими принципами:

* Относиться к исследователям с полной серьезностью и «выбивать» их из инфраструктуры как можно раньше.
* Не выдвигать исследователям необоснованные обвинения, связанные с участием в программе.
* Уважать исследователей. При соблюдении исследователями требований и правил программы ООО «ЛОГОСОФТ». отказывается от любых претензий в их сторону.

## Публичное раскрытие информации об исследованиях

Публичное раскрытие информации по умолчанию запрещено.
 
## Запрещенные действия

Исследователям запрещено:

* Устраиваться на работу в компанию для получения легитимного доступа к системам ООО «ЛОГОСОФТ» и реализации недопустимых событий.
* Подкупать действующих сотрудников компании или осуществлять с ними сговор.
* Пользоваться иной добровольной помощью действующих сотрудников компании (прикрытие действий исследователя, облегчение доступа или реализации недопустимого события, добровольное предоставление оборудования, принадлежащего компании).
* Использовать любые способы воздействия на работников компании, которые несут угрозу здоровью или жизни, похищать сотрудников или членов их семей. Кроме того, запрещено похищать любые устройства, гаджеты и иную собственность сотрудников и компании.
* Физически портить имущество компании или применять к нему грубую силу, чтобы облегчить реализацию недопустимых событий. Проводить физические атаки на персонал, дата-центры и офисы компании.
* Подкупать, иным образом воздействовать на поставщиков услуг или контрагентов компании, вступать с ними в сговор.
* Использовать любые ошибки, проблемы безопасности или уязвимости в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. 
* Удалять любую информацию, принадлежащую компании, если это не нужно для сокрытия своих следов пребывания в инфраструктуре (удалять записи о собственных действиях в журналах безопасности и собственные артефакты можно).

## Вознаграждение за реализацию недопустимого события

В рамках программы участник, который первым реализовал недопустимое событие и представил о нем отчет, **получает 250 тысяч рублей**.
 В программе может быть один победитель. Вознаграждение выплачивается в рублях. При изменении способа получения вознаграждения все комиссии и затраты возлагаются на победителя.

В рамках программы может быть выплачено поощрительное вознаграждение за следующие промежуточные результаты:
###1. Доказательство удаленного выполнения кода (RCE) или удаленного управления рабочей станцией/сервером
- Условие выплаты: предоставление доказательства (описание действий, скриншоты, сетевые логи) факта удаленного выполнения кода или управления рабочей станцией/сервером, включенным в перечень информационных активов Заказчика.
- Размер вознаграждения: 125 тыс. рублей за каждый уникальный вектор атаки, предусмотренный в ТЗ.
- Особенности:
    - Вознаграждение выплачивается только за **уникальные** векторы;
    - При повторной сдаче дублирующего вектора (аналогичного механизма атаки) вознаграждение не выплачивается;
    - Максимальное количество вознаграждений - 1.

### 2.Доказательство повышения привилегий до уровня доменного или инфраструктурного администратора

- Условие выплаты: предоставление доказательства (описание действий, скриншоты, логи) повышения привилегий до уровня:
    - **доменного администратора**, либо
    - **администратора**, обладающего правами на управление всеми ключевыми активами в сети Заказчика.
- Размер вознаграждения: 125 тыс рублей за каждый уникальный вектор.
- Особенности:
    - Выплаты производятся только за уникальные векторы;
    - Количество возможных выплат - 1.

В рамках программы ООО "Логософт" не выплачивает вознаграждение:
* за отчеты о любых уязвимостях;
* отчеты о недостатках конфигурации;


## Требования к оформлению отчета

Отчет о недопустимом событии должен содержать:

* Доказательства того, что вход в инфраструктуру осуществлен через внешний периметр сетевых и информационных активов, принадлежащих, ООО «ЛОГОСОФТ».
* Детальную информацию о ходе исследования (техническое описание), включающую метод проникновения в инфраструктуру, время выполнения каждого из шагов, все затронутые системы, скомпрометированных пользователей, детальный ход реализации недопустимого события, методы сокрытия пребывания в инфраструктуре и информацию об артефактах, использованных для закрепления в инфраструктуре.
* Информацию об использованных эксплойтах или листинг эксплойта.
* Рекомендации по устранению недостатков.

*Примечание. Если в отчете обнаружены спорные моменты, пробелы в описании и неточности, комиссия имеет право запрашивать у исследователя разъяснения и дополнительную информацию. При игнорировании исследователем уточняющих запросов отчет может быть отклонен.*

В техническом описании необходимо построчно по шагам расписать цепочку реализации недопустимого события (или цепочку до конечного шага, на котором вас «выбили» из инфраструктуры). Например, цепочка может состоять из следующих шагов:

&nbsp;

21.02.2022 20:22 Сканирование портов на узле xxx.xx.xxx.xx (обнаружен порт 3389). 
21.02.2022 20:24 Брутфорс RDP (учетка user:qwerty).
21.02.2022 20:55 Повышение привилегий с использованием уязвимости. Закрепление на узле (создание учетной записи SUPERUSER с правами администратора). 
yyy.yyy.yyy.yyy, уязвимый для BlueKeep).
21.02.2022 22:22 Дальнейшее продвижение по сети (RCE через BlueKeep).

<…>
```

&nbsp;

## Файлы, загруженные на атакуемый узел

Если при выполнении шага вы загрузили на атакуемый узел ПО или файлы, которые использовались для атаки, это необходимо указать в отчете.

Примеры:

* cmd911.jsp — веб-шелл, загруженный в каталог /test/test/.
* reGeorg — ПО для построения туннеля в каталог /test/test/.
* pypykatz.py — ПО для извлечения учетных данных из памяти ОС в каталог /test/test/.

Видео и скриншоты могут быть приложены к отчету, но не могут его заменить.