Οι διοργανωτές της Πρωτοβουλίας Μηδενικής Ημέρας (ZDI) ανακοίνωσαν την εκδήλωση Pwn2Own 2019 , της οποίας οι συμμετέχοντες καλούνται να επιδείξουν τεχνικές εργασίας για την αξιοποίηση προηγουμένως άγνωστων ευπαθειών.
Η εκδήλωση θα πραγματοποιηθεί από τις 20 έως τις 22 Μαρτίου στο συνέδριο CanSecWest στο Βανκούβερ . Το χρηματικό έπαθλο ξεπερνά τα δυόμισι εκατομμύρια δολάρια.
Το Pwn2Own είναι ένας διαγωνισμός hacking υπολογιστών που πραγματοποιείται ετησίως στο συνέδριο ασφαλείας CanSecWest, ξεκινώντας από το 2007.
Οι συμμετέχοντες καλούνται να εκμεταλλευτούν ευρέως χρησιμοποιούμενο λογισμικό και κινητές συσκευές με άγνωστα έως τώρα τρωτά σημεία.
Οι νικητές του διαγωνισμού λαμβάνουν τη συσκευή που εξερράγησαν, ένα χρηματικό έπαθλο και ένα σακάκι "Masters" που γιορτάζει το έτος της νίκης τους.
Το όνομα "Pwn2Own" προέρχεται από το γεγονός ότι οι συμμετέχοντες πρέπει να "pwn" ή να χακάρουν τη συσκευή για να την "κατέχουν" ή να την κερδίσουν.
Ο διαγωνισμός Pwn2Own χρησιμεύει για να δείξει την ευπάθεια των συσκευών και του λογισμικού σε ευρεία χρήση και επίσης παρέχει ένα σημείο ελέγχου σχετικά με την πρόοδο που έχει σημειωθεί στον τομέα της ασφάλειας από το προηγούμενο έτος.
Σχετικά με το Pwn2Own 2019
Φέτος, το hack του Linux Kernel, καθώς και τα περισσότερα ανοιχτά έργα (nginx, OpenSSL, Apache httpd) αποκλείστηκαν από τις υποψηφιότητες για βραβεία.
Τα τελευταία χρόνια, η πειρατεία έχει περιοριστεί στην επίδειξη μιας ευπάθειας στον πυρήνα του Linux με βάση τις ευπάθειες Zero Day του 2017, η οποία επιτρέπει σε έναν τοπικό χρήστη να αναβαθμίσει τα προνόμιά του στο σύστημα.
Ομοίως, η διανομή Linux "Ubuntu" αφαιρέθηκε από τη λίστα των περιβαλλόντων για hacking. Από τα έργα ανοιχτού κώδικα, μόνο τα προγράμματα περιήγησης (Firefox, Chrome) και το VirtualBox παραμένουν στις υποψηφιότητες, αλλά τα exploits για αυτά πρέπει να αποδειχθούν στο περιβάλλον των Windows.
Ταυτόχρονα, στον μελλοντικό διαγωνισμό έχει προστεθεί μια νέα κατηγορία βραβείων για την παραβίαση συστημάτων πληροφοριών αυτοκινήτου Tesla Model 3 , με το συνολικό ποσό των βραβείων να υπερβαίνει τα 900 δολάρια.
Οι υποψηφιότητες που σχετίζονται με το Tesla περιλαμβάνουν την απόκτηση ελέγχου του CAN Bus, την ενεργοποίηση του κακόβουλου λογισμικού μετά από επανεκκίνηση, την επίθεση στο μόντεμ, τον δέκτη, το Wi-Fi, το Bluetooth, το σύστημα ψυχαγωγίας, τον αυτόματο πιλότο και τη χρήση του smartphone ως κλειδιού.
Το μεγαλύτερο έπαθλο, αξίας 250 δολαρίων , παρέχεται για την εκτέλεση διαχειριζόμενου κώδικα στο πλαίσιο των υποσυστημάτων Gateway (συνδέει όλα τα συστήματα πληροφοριών οχημάτων), του αυτόματου πιλότου ή του VCSEC (υποσύστημα ασφαλείας).
Για την ενεργοποίηση της βλάβης του αυτόματου πιλότου, προσφέρεται ένα μπόνους 50 δολαρίων. Για το ξεκλείδωμα κλειδαριών, την εκκίνηση του κινητήρα χωρίς κλειδί και την απόκτηση ελέγχου του διαύλου CAN - 100 δολάρια. Για την απόκτηση πρόσβασης root στο σύστημα ψυχαγωγίας - 85 δολάρια.
Σχετικά με τις ανταμοιβές
Οι υποψηφιότητες που σχετίζονται με τεχνολογίες διακομιστών περιορίστηκαν στο Microsoft Windows RDP Hacking Award (βραβείο $150).
Παρέχονται ανταμοιβές για την εκμετάλλευση τρωτών σημείων σε εφαρμογές χρηστών για το Adobe Reader (40), το Microsoft Office 365 ProPlus (60) και το Microsoft Outlook (100).
Υποψηφιότητες για επιθέσεις σε προγράμματα περιήγησης διεκδικούνται για το Google Chrome (80 χιλιάδες), το Microsoft Edge (50, 60 και 80 χιλιάδες), το Apple Safari (55 και 65 χιλιάδες) και το Mozilla Firefox (40 και 50 χιλιάδες).
Από τα συστήματα εικονικοποίησης που συμμετέχουν στον διαγωνισμό, σημειώνονται VirtualBox (35 χιλιάδες), VMware Workstation (70 χιλιάδες), VMware ESXi (150 χιλιάδες) και Microsoft Hyper-V Client (250 χιλιάδες).
Παρέχεται ξεχωριστά για υποψηφιότητα για κλιμάκωση προνομίων μέσω εκμετάλλευσης ευπαθειών στον πυρήνα των Windows (30K).
Τέλος, κανένα Pwn2Own δεν θα ήταν πλήρες χωρίς να στεφθεί ο Master of Pwn. Δεδομένου ότι η σειρά του διαγωνισμού αποφασίζεται με τυχαία κλήρωση, οι συμμετέχοντες που μπορούν να υποβάλουν εξαιρετική έρευνα αλλά είναι οι τελευταίοι που θα υποβάλουν θα λάβουν λιγότερα χρήματα καθώς οι επόμενοι γύροι χάνουν την αξία τους.
Ωστόσο, οι βαθμοί που απονέμονται για κάθε επιτυχημένη συμμετοχή δεν μειώνονται. Κάποιος θα μπορούσε να έχει μια κακή ισοπαλία και να μαζέψει περισσότερους πόντους.
Το άτομο ή η ομάδα με τους περισσότερους πόντους στο τέλος του διαγωνισμού θα στεφθεί Master of Pwn, θα λάβει 65,000 πόντους επιβράβευσης ZDI