Pwn2Own: Hackerwettbewerb nimmt Industriekontrollsysteme ins Visier

Der von der Trend-Micro-Tochter Zero-Day Initiative (ZDI) veranstaltete Hackerwettbewerb Pwn2Own wird neu ausgerichtet. Wie der Sicherheitsanbieter mitteilt, werden sich bei der nächsten Ausgabe im Januar 2020 Hacker nicht mehr – wie in den vergangenen 12 Jahren – mit Betriebssystemen und Browsern beschäftigen, sondern mit Industriekontrollsystemen (ICS).

Pwn2Own gehört zu den bekanntesten Wettbewerben für Hacker weltweit. Eine Besonderheit ist, dass die Teilnehmer neben einer Prämie auch die von ihnen geknackten Systeme wie High-End-Notebooks oder Premium-Smartphones behalten dürfen. Diese Regel galt zuletzt auch, als der Wettbewerb auf eine Elektrofahrzeug der Firma Tesla ausgeweitet wurde, dessen elektronisches System auch tatsächlich einem Teilnehmer zum Opfer fiel.

Mit der Neuausrichtung wird auch der Veranstaltungstermin geändert. ZDI lädt nun anlässlich der Konferenz S4 ICS, die vom 21. bis zum 23. Januar in Miami South Beach im US-Bundesstaat Florida stattfindet, zum Hackertreffen ein.

Auf der Tagesordnung stehen dann ICS-Kategorien wie Control Server, OPC Unified Architecture Server, DNP3 Gateways, Human Machine Interfaces (HMI), Operator Workstations und Engineering Workstation Software (EWS). Die Teilnehmer können frei zwischen den genannten Kategorien wählen. Außerdem müssen die präsentieren Anfälligkeiten neu und unveröffentlicht sein.

Die erfolgreichen Einreichungen sollen mit Preisgeldern im Gesamtwert von 250.000 Dollar belohnt werden. Für eine Remote-Code-Execution-Lücke gibt es beispielsweise den Höchstbetrag von 20.0000 Dollar. Zudem wird nach einem Punktesystem ein Gesamtsieger ermittelt und zum Master of Pwn gekürt. Alle Schwachstellen übermittelt ZDI anschließend vertrauensvoll an die jeweiligen Hersteller.

„Unter Trends wie Industrie 4.0 und der digitalen Transformation ist eine zunehmende Konvergenz von IT und OT zu beobachten. Durch diese treten Sicherheitslücken zu Tage, die genutzt werden können, um Produktionsprozesse zu sabotieren oder sensibles geistiges Eigentum zu stehlen“, erklärte Udo Schneider, Security Evangelist bei Trend Micro, die Neuausrichtung. „Wir hoffen, durch die Ausweitung unserer langjährigen Pwn2Own-Wettbewerbe das Bewusstsein dafür zu steigern, dass diese Schwachstellen geschützt werden müssen. Gleichzeitig wollen wir den Herstellern solcher Systeme und ihren Kunden hilfreiche Informationen an die Hand geben, mit denen sie ihre Security verbessern können.“

Sicherheitslücken in Software sind aber nicht das einzige Problem von Industriekontrollsystemen. Laut einer Anfang des Jahres veröffentlichten Studie von CyberX nutzen noch mehr als 50 Prozent der Industriestandorte veraltete Windows-Versionen wie XP. 69 Prozent der Unternehmen übertragen zudem Passwörter unverschlüsselt über das Netzwerk. Zudem verzichten 57 Prozent der Industriekontrollsysteme auf eine Antivirensoftware, die sich automatisch aktualisiert. 84 Prozent der Standorte sind mindestens über ein Gerät aus der Ferne erreichbar.

Am 6. und 7. November lädt Trend Micro zudem nach Japan ein, um Sicherheitslücken in Smartphones und Wearables aufzudecken. Bei Pwn2Own Mobile 2019 stehen Hackern unter anderem Googles Pixel 3 XL, Samsung Galaxy S10, Apples iPhone XS Max und die Apple Watch 4 zur Verfügung. Die Teilnehmer dürfen sich aber auch mit Smart-Home-Geräten wie Facebook Portal, Google Nest Hub Max und Amazon Echo Show 5, Smart-TVs und WLAN-Routern beschäftigen.

WEBINAR

HPE GreenLake: Optimale Basis für Ihre Cloud

HPE GreenLake ist ein IT-as-a-Service-Angebot, das das Cloud-Erlebnis in Ihre On-Premises-Infrastruktur bringt und Ihre Edges, Clouds und Rechenzentren vereinheitlicht. Lernen Sie in diesem Webinar, wie Sie die Vorteile der HPE-Lösung optimal für Ihr Unternehmen nutzen.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Chrome 81 unterstützt Web NFC Standard

Der Browser liest und schreibt NFC-Tags. Chrome 81 blockiert zudem das Laden unverschlüsselter Inhalte bei bestehender HTTPS-Verbindung. Außerdem verlängert auch…

13 Stunden ago

Firefox 75: Mozilla überarbeitet Adressleiste und schließt Sicherheitslücken

Die neue Adressleiste vereinfacht die Suche im Internet. Mozilla verbessert außerdem die Kompatibilität zu falsch konfigurierten HTTPS-Servern. Firefox 75 enthält…

13 Stunden ago

IDC empfiehlt für Private und Hybrid Cloud as-a-Service als Betriebs- und Beschaffungsmodell

Die Cloud hat sich durchgesetzt, allerdings nicht als flächendeckende Public Cloud. Vielmehr entstehen vor allem Infrastrukturen mit einem Private-Cloud-Kern und…

15 Stunden ago

Italienischer E-Mail-Provider gehackt – Täter erbeuten Nachrichten und Dateien

Einer No Name genannten Gruppe fallen mehr als 5 TByte Daten in die Hände. Neben Nachrichten und Anhängen sind auch…

17 Stunden ago

Patchday: Google schließt 69 Sicherheitslücken in Android

13 Anfälligkeiten erhalten die höchste Bewertung "kritisch". Betroffen sind alle unterstützten OS-Versionen von Android 8 bis Android 10. Auch LG…

18 Stunden ago

Über 350.000 Exchange-Server anfällig für Angriffe

Obwohl Microsoft bereits im Februar einen Patch für die Lücke CVE-2020-0688 veröffentlicht hatte, sind aktuell noch über 350.000 Exchange-Server anfällig…

1 Tag ago