Khai thác lỗ hổng mạng công nghiệp, nhóm kỹ sư Việt đạt thành tích ấn tượng tại Pwn2Own

Thứ Tư, 22/02/2023

Tram Ho

Pwn2Own là cuộc thi tấn công mạng nổi tiếng, do Trend Micro tài trợ và Zero Day Initiative tổ chức. Sự kiện thường niên này nhằm mục đích tìm kiếm các lỗ hổng bảo mật chưa xác định dành cho các hacker trên toàn thế giới. Cuộc thi lần này lấy chủ đề mạng công nghiệp và được tổ chức tại Miami, với bốn danh mục: Máy chủ OPC Unified Architecture (OPC UA server), Máy khách OPC UA, Cổng dữ liệu (Data Gateway) và Hệ thống Edge. Mặc dù đây là lần đầu tham gia cuộc thi, đội ngũ kỹ thuật của ECQ đã khai thác thành công hai lỗ hổng zero-day, đạt tổng 25 Master of Pwn và giành giải thưởng 25.000 USD.

Khai thác lỗ hổng mạng công nghiệp, nhóm kỹ sư Việt đạt thành tích ấn tượng tại Pwn2Own - Ảnh 1.

ECQ chinh phục thành công hai mục tiêu. Nguồn: Trend Micro

Cụ thể, đối với mục tiêu đầu tiên vào ngày 14 tháng 2 là ứng dụng Softing edgeConnector Siemens thuộc danh mục OPC UA server. ECQ đã tiến hành khai thác lỗ hổng Null Pointer Dereference để tấn công từ chối dịch vụ (denial-of-service). Các lỗ hổng DOS rất quan trọng vì các sản phẩm ICS đề cao tính khả dụng của hệ thống.

Đến với mục tiêu thứ hai vào ngày tiếp theo là Triangle Microworks SCADA Data Gateway thuộc danh mục Data Gateway, ECQ kết hợp chuỗi ba lỗ hổng để hoàn thành tấn công thực thi mã từ xa (Remote Code Execution). Đội đã thành công trong việc thực thi mã tùy ý trên máy chủ cài đặt ứng dụng.

Chia sẻ về cuộc thi Pwn2Own năm nay, ông Nguyễn Hải Đăng – Giám đốc ECQ Vietnam cho biết: “Pwn2Own là cuộc thi bảo mật lớn và nổi tiếng trên toàn thế giới. Với chủ đề mạng công nghiệp (ICS/SCADA) đầy thách thức, đội ngũ ECQ đã có cơ hội cọ xát, trau dồi thêm kinh nghiệm thực tiễn. Tôi rất tự hào về những thành tựu mà các bạn đã đạt được trong cuộc thi và rất trân trọng khi được cùng làm việc với các bạn.”