400.000 dollari vinti dagli hacker a Pwn2Own sui sistemi ICS e SCADA

I ricercatori di bug hanno ricevuto ricompense per ben 400.000 dollari, dopo aver scoperto 26 vulnerabilità 0day su sistemi ICS e SCADA nell’ambito del concorso hacker Pwn2Own Miami 2022 tenutosi dal 19 al 21 aprile.

Lo riporta Zero Day Iniziative nel seguente tweet.

Durante l’evento, i ricercatori hanno attaccato varie categorie di prodotti, inclusi server di gestione, server OPC UA, gateway dati e interfacce uomo-macchina.

Una volta scoperte le vulnerabilità all’interno di Pwn2Own, tali bug vengono segnalati ai fornitori, a cui vengono concessi 120 giorni per risolverle, termine dopo il quale la Trend Micro Zero Day Initiative (ZDI) rende le vulnerabilità pubblicamente disponibili.

I vincitori di Pwn2Own Miami 2022 sono Daan Keuper, alias @daankeuper, e Thijs Alkemade, alias @xnyhps, della divisione Sector 7 della società IT olandese Computest.

Il primo giorno, i vincitori hanno ricevuto 20.000 dollari per l’esecuzione di codice sul server di controllo SCADA di accensione dell’automazione induttiva a causa di vulnerabilità nel meccanismo di autenticazione. 

Inoltre, utilizzando un’altra vulnerabilità, i ricercatori hanno eseguito codice remoto in AVEVA Edge HMI/SCADA, per il quale hanno anche ricevuto una ricompensa di 20.000 dollari.

Il secondo giorno, il team Computest Sector 7 ha sfruttato una vulnerabilità denial of service in Unified Automation C++ Demo Server, dove hanno guadagnato ulteriori 5.000 dollari.

I ricercatori sono anche riusciti a bypassare i controlli di affidabilità delle applicazioni nello standard OPC Foundation OPC UA .NET, aumentando la loro ricompensa di altri 40.000 dollari,

In tre giorni di competizione, il team ha guadagnato 90.000 dollari e ha vinto il titolo di Master of Pwn (“Master of Hacking”).

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.