Nhóm ECQ khai thác thành công hai lỗ hổng zero-day trong hệ thống điều khiển công nghiệp (ICS) và hệ thống giám sát, điều khiển dữ liệu (SCADA), nhận 25.000 USD.
Trong lần đầu tham gia Pwn2Own Miami 2023, đội ngũ kỹ thuật của ECQ gồm 12 thành viên đạt tổng điểm 25, xếp hạng hai và giành giải thưởng 25.000 USD.
Cụ thể, đối với mục tiêu đầu tiên vào ngày 14/2 là ứng dụng Softing edgeConnector Siemens thuộc danh mục OPC UA server. ECQ đă tiến hành khai thác lỗ hổng Null Pointer Dereference để tấn công từ chối dịch vụ (DOS). Các lỗ hổng DOS rất quan trọng v́ các sản phẩm ICS đề cao tính khả dụng của hệ thống. Các cuộc tấn công này hướng tới việc tận dụng lỗ hổng phần mềm khiến cho ứng dụng sập hoặc tŕ hoăn, không thể xử lư các yêu cầu khác.
Ngày 15/2, mục tiêu đưa ra là Triangle Microworks SCADA Data Gateway thuộc danh mục Data Gateway. ECQ kết hợp chuỗi ba lỗ hổng để hoàn thành tấn công thực thi mă từ xa (Remote Code Execution). Đội đă thành công trong việc thực thi mă tùy ư trên máy chủ cài đặt ứng dụng.
Nhóm kỹ sư ECQ thuyết tŕnh trực tuyến phần thi. Ảnh: ECQ
Pwn2Own là cuộc thi tấn công mạng dành cho các hacker trên toàn thế giới. Sự kiện được tổ chức thường niên nhằm mục đích t́m kiếm các lỗ hổng bảo mật chưa xác định. Cuộc thi năm nay lấy chủ đề mạng công nghiệp, tổ chức tại Miami. Bốn danh mục tranh tài gồm: máy chủ OPC Unified Architecture (OPC UA server), máy khách OPC UA, cổng dữ liệu (Data Gateway) và hệ thống Edge.
Sau khi hoàn thành các ṿng đấu, ông Nguyễn Hải Đăng - Giám đốc ECQ Vietnam nhận định Pwn2Own là cuộc thi bảo mật lớn và nổi tiếng trên toàn thế giới. Với chủ đề mạng công nghiệp (ICS/SCADA) đầy thách thức, đội ngũ ECQ đă có cơ hội cọ xát, trau dồi thêm kinh nghiệm thực tiễn.
Kết quả cuộc thi Pwn2Own Miami 2023. Nguồn: Trend Micro
Đây không phải là lần đầu tiên ECQ tham gia tranh tài tại một cuộc thi bảo mật về lĩnh vực mạng công nghiệp. Năm 2019, đơn vị cùng SkillSpar đă tham gia "Cybersecurity Industry Call for Innovation" (Kêu gọi đổi mới trong ngành An ninh mạng) do Cơ quan An ninh mạng Singapore (CSA) tổ chức. Đội đă nhận được giải thưởng trị giá 500.000 SGD cho sáng kiến Hệ thống mô phỏng tấn công APT và khắc phục sự cố (Automated Attack Simulation and Remediation) cho ICS/SCADA.
ECQ là công ty an ninh mạng cung cấp các dịch vụ và giải pháp bảo mật tấn công, tập trung vào tấn công và pḥng thủ chủ động. Đơn vị phát triển nhiều dịch vụ tư vấn bảo mật cao cấp cho khách hàng trong nhiều ngành khác nhau, bao gồm tài chính, cơ sở hạ tầng trọng yếu, dịch vụ và cơ quan chính phủ.