Nederlands team wint Pwn2Own-hackwedstrijd in Miami

Het Nederlandse Computest Sector 7-team heeft de meeste punten gescoord in Pwn2Own Miami 2022, de drie dagen durende hackwedstrijd die jaarlijks wordt georganiseerd door het Zero Day Initiative.

Daan Keuper en Thijs Alkemade van het Sector 7-team van Computest wisten na twee van de drie dagen hacken al 90 punten en 90.000 dollar te vergaren in de Pwn2Own-competitie. Daarmee wonnen ze de titel Master of Pwn. Op dag een wisten ze een kwetsbaarheid in Ignition van Inductive Automation te vinden waardoor ze code konden uitvoeren op de software. Het gaat bij Ignition om zogenoemde scadasoftware voor industriële systemen. Op de eerste dag troffen ze ook een kwetsbaarheid in Aveva Edge aan, eveneens industriële software voor supervisory control and data acquisition. Het duo sloot de dag af met het uitbuiten van een bug in calc, al was deze bug al eerder tijdens de competitie aan het licht gekomen.

De interessantste kwetsbaarheid die de twee aan het licht brachten, betrof het omzeilen van de check of applicaties wel te vertrouwen zijn volgens de OPC UA-standaard. Dit is een standaard van de OPC Foundation voor de interoperabiliteit, veiligheid en betrouwbaarheid van industriële systemen. De organisatie van Pwn2Own sprak van een van de interessantste bugs die ze gezien hadden bij de competitie. Deze leverde Computest Sector 7 40.000 dollar op.

Pwn2Own is een hackwedstrijd die ieder jaar wordt gehouden. Tijdens de competitie worden ethische hackers uitgedaagd om nieuwe kwetsbaarheden in bepaalde software te vinden. Succesvolle pogingen worden beloond met een geldbedrag, dat afhankelijk is van de software waarin de kwetsbaarheid wordt gevonden. Keuper en Alkemade wonnen in april van vorig jaar ook al Pwn2Own, mede nadat ze een kwetsbaarheid hadden gevonden in Zoom. Tweakers sprak toen met het tweetal over hun werk.

Thijs Alkemade (links) en Daan Keuper (midden) tijdens Pwn2Own 2022

Reacties (27)

Weten ze van tevoren wat voor systeem ze voor hun kiezen krijgen of moeten ze ter plekke improviseren?

Volgens mij werkt pwn2own ongeveer zo:

In dit geval is ergens in oktober 2021 deze lijst gepubliceerd:
https://www.zerodayinitiative.com/Pwn2OwnMiami2022Rules.html

Hierin staan de verschillende software producten per categorie vermeld. Je kunt je dan aanmelden om mee te doen, als je een bug hebt gevonden in de software en deze weet te misbruiken.

Vervolgens vind er tijdens het evenement een loting plaats die bepaalt wie het eerst zijn kunsten mag vertonen. Die loting van dit evenement staat al op youtube https://www.youtube.com/watch?v=OR3vJcS-LRI

Het kan dus gebeuren dat iemand er met de geldprijs vandoor gaat omdat hij eerder een poging mocht wagen op de desbetreffende software. Als iemand zijn exploit niet werkt binnen de tijd, mag de volgende uit de loting proberen. Mits er meerdere inzendingen zijn natuurlijk. Als je pech hebt bij de loting kan het dus zijn dat je niet in actie komt.

Mja zou veel leuker zijn als je op de moment zelf pas weet zelfde software je hebt...

Kan je je lekker voorbereiden of eventueel al gevonden exploits gebruiken...

Kan ik mij ook inschijven volgende keer. Ms zit er Widevine of Denuvo of VW encripties ertussen, hebben we al stapje voor...

Gewoon moment zelf, dit is software, je hebt 24u tijd. Gaan!!!

Hoe gaat men te werk? Gaat men met fuzzers aan de slag om te kijken of er ergens iets omvalt?

Over hun aanpak bij de vorige keer hebben ze duidelijk verhaal geschreven: https://sector7.computest.nl/post/2021-08-zoom/

Gefelicteerd heren! Opvallend dat ze beide een Apple laptop hebben. Dat zegt nog niet alles over het OS maar ik zou zeggen dat je als hacker eerder met Linux werkt i.v.m. de vrijheden op het OS. En dan specifiek Kali Linux.

Of het is Kali op een Macbook, kan prima.

Daarnaast is Kali maar een linux met preinstalled tools, die kan je prima elders draaien.

Kali op een Macbook M1 is niet te doen, heel veel tools, exploits zijn allemaal gebasseerd op x86/x64 en draaien niet op ARM.
Zou mooi zijn als je een soort rosetta hebt in kali dat je ook intel dingen kan draaien.

[Reactie gewijzigd door Samplex op 22 april 2022 15:07]

Dat is niet per definitie waar al heb ik geen behoefte om het te gaan proberen. Steeds meer tools zijn in go geschreven (denk aan gobuster) en dat kan naar ARM compileren. Ook veel python tools en exploits en als het een C exploit is kun je gcc ook ARM assem bler laten genereren.

[Reactie gewijzigd door laserve op 22 april 2022 12:33]

Ik weet het natuurlijk niet zeker, maar als ik naar de MacBooks van de heren kijk en ook naar het model wat nog op de tafel ligt, lijkt het mij dat het het oude 16 inch model betreft. Dus met intel chip, daarop kan je natuurlijk prima kali gooien, als ze dat doen dan.

Een van de eerste lessen is toch wel om je 'box' niet te gebruiken als je main OS, maar een aparte instance voor iedere klus. Of dat nou Parrot of Kali is, het is best practice om per klus een losse VM te bouwen vanaf je template.

Dikke kans dat ze Kali in een VM gebruiken.

Ik geloof dat parrot aardig in opkomst is

Een oud beestje ook nog, die linker. Niet dat het veel uitmaakt, dit soort hacks zijn toch meer brainpower dan CPU.

MacOs is unix based en draait praktisch alle Linux tools gewoon native. Package manager Brew is aan te raden.

Werkt dit ook op de ARM machines?

Sinds februari 2021 is er een versie van brew die de M1 chips ondersteunt ja. Kan wel zijn dat meer software compiled moet worden omdat er nog geen binaries voor ARM van zijn, maar ik moest laatst een specifieke versie van openssl compilen en daar merkte ik niks van. Duurde ook (veel) minder lang dan op een Intel Mac voor mijn gevoel.

Volgens mij zit Thijs links en Daan in het midden ;-)

Dat weet ik wel zeker

Kijk en dit zijn de berichten waar T.net uit bestond en bekend om stond. Top gedaan mannen.

Klasse mannen!!

Voor wie wilt weten wat Pwn2Own is, kan je deze interesante podcast van Darknet Dairies beluisteren, waarbij hij de organisator interviewt:

https://darknetdiaries.com/episode/82/

Leuk feitje: zoals de naam al suggereert... als je tijdens de conventie iets succesvol hackt, dan mag je dat product ook houden Hence the name, pown2own

Van harte gefeliciteerd!

Als Olaf een artikel post denk ik altijd dat het over Zuckerberg gaat

Dacht altijd dat ik de enige was

;

[Reactie gewijzigd door Eddie_Mercury op 23 april 2022 13:37]