Hackerwettbewerb in China: Windows 10, iOS und Chrome geknackt

Im chinesischen Chengdu ist am Sonntag der größte und wichtigste Hackerwettbewerb des Landes zu Ende gegangen. Den sogenannten Tianfu Cup, der zum dritten Mal ausgetragen wurde, nutzen Hacker, um zuvor unbekannte Sicherheitslücken in Desktop- und Mobilbetriebssystemen sowie weit verbreiteten Anwendungen wie Browsern zu präsentieren.

Die Veranstalter schütten Preisgelder in Höhe von 1,2 Millionen Dollar aus. Das erfolgreichste Team, das für den chinesischen Technikkonzern Qihoo 360 antrat, sicherte sich 744.500 Dollar. Das 360 Enterprise Security and Government and Vulnerability Research Institute schloss den Wettbewerb auch im vergangenen Jahr als Sieger ab.

Insgesamt traten 15 Hackerteams in diesem Jahr an. Jeder Teilnehmer hatte jeweils drei Versuche mit je 5 Minuten, um das zuvor ausgewählt Ziel mit einem selbst entwickelten Exploit zu knacken. Alle Schwachstellen wurden vertraulich an die jeweiligen Softwareanbieter gemeldet, wie es auch beim Vorbild des Tianfu Cup, dem Hackerwettbewerb Pwn2Own, geschieht.

Erfolgreich präsentierten die Teilnehmer Angriffe auf ein iPhone 11 Pro mit iOS 14, ein Samsung Galaxy S20 mit Android 10, Windows 10 Version 2004 und Ubuntu 20. Außerdem fielen ihnen die Browser Chrome, Safari und Firefox zum Opfer sowie die PDF-Anwendung Adobe Reader.

Neue Sicherheitslücken wurden außerdem in Docker Community Edition, dem Hypervisor VMware EXSi und dem Emulator QEMU vorgeführt. Darüber hinaus sollten Besitzer des TP-Link-Router WDR7660 sowie des Asus-Routers AX86U in Kürze Ausschau nach einem Firmware-Update halten.

Das höchste Preisgeld war für einen Remote-Jailbreak für iOS 14 ausgelobt. Insgesamt 300.000 Dollar boten die Veranstalter für die „Königsklasse“ der iOS-Exploits an. Eine Remotecodeausführung mit Sandbox-Escape für iOS 14 wurde immerhin noch mit 180.000 Dollar belohnt und war damit finanziell genauso attraktiv wie eine Lücke in VMware EXSi, die das Ausführen von Code außerhalb der virtuellen Maschine mit Root-Rechten erlaubt.

Parallel zum Tianfu Cup trug die Zero Day Initiative ihren jährlichen Wettbewerb Pwn2Own Mobile aus. Unter Corona-Bedingungen waren die Teilnehmer hier allerdings nur per Zoom zugeschaltet. In diesem konzentrierten sich die Hacker auf Netzwerkgeräte und Smart-TVs. Gehackt wurden unter anderem Router von Netgear und TP-Link, NAS-Geräte von Western Digital und Synology sowie ein internetfähiger Fernseher von Samsung. Bei einigen Geräten waren die Hacker sogar mehrfach erfolgreich. So traf es beispielsweise die Western Digital My Cloud Pro Series PR4 100 gleich sechsmal.