Pwn2Own: Hackerwettbewerb nimmt Industriekontrollsysteme ins Visier

Der von der Trend-Micro-Tochter Zero-Day Initiative (ZDI) veranstaltete Hackerwettbewerb Pwn2Own wird neu ausgerichtet. Wie der Sicherheitsanbieter mitteilt, werden sich bei der nächsten Ausgabe im Januar 2020 Hacker nicht mehr – wie in den vergangenen 12 Jahren – mit Betriebssystemen und Browsern beschäftigen, sondern mit Industriekontrollsystemen (ICS).

Pwn2Own gehört zu den bekanntesten Wettbewerben für Hacker weltweit. Eine Besonderheit ist, dass die Teilnehmer neben einer Prämie auch die von ihnen geknackten Systeme wie High-End-Notebooks oder Premium-Smartphones behalten dürfen. Diese Regel galt zuletzt auch, als der Wettbewerb auf eine Elektrofahrzeug der Firma Tesla ausgeweitet wurde, dessen elektronisches System auch tatsächlich einem Teilnehmer zum Opfer fiel.

Mit der Neuausrichtung wird auch der Veranstaltungstermin geändert. ZDI lädt nun anlässlich der Konferenz S4 ICS, die vom 21. bis zum 23. Januar in Miami South Beach im US-Bundesstaat Florida stattfindet, zum Hackertreffen ein.

Auf der Tagesordnung stehen dann ICS-Kategorien wie Control Server, OPC Unified Architecture Server, DNP3 Gateways, Human Machine Interfaces (HMI), Operator Workstations und Engineering Workstation Software (EWS). Die Teilnehmer können frei zwischen den genannten Kategorien wählen. Außerdem müssen die präsentieren Anfälligkeiten neu und unveröffentlicht sein.

Die erfolgreichen Einreichungen sollen mit Preisgeldern im Gesamtwert von 250.000 Dollar belohnt werden. Für eine Remote-Code-Execution-Lücke gibt es beispielsweise den Höchstbetrag von 20.0000 Dollar. Zudem wird nach einem Punktesystem ein Gesamtsieger ermittelt und zum Master of Pwn gekürt. Alle Schwachstellen übermittelt ZDI anschließend vertrauensvoll an die jeweiligen Hersteller.

„Unter Trends wie Industrie 4.0 und der digitalen Transformation ist eine zunehmende Konvergenz von IT und OT zu beobachten. Durch diese treten Sicherheitslücken zu Tage, die genutzt werden können, um Produktionsprozesse zu sabotieren oder sensibles geistiges Eigentum zu stehlen“, erklärte Udo Schneider, Security Evangelist bei Trend Micro, die Neuausrichtung. „Wir hoffen, durch die Ausweitung unserer langjährigen Pwn2Own-Wettbewerbe das Bewusstsein dafür zu steigern, dass diese Schwachstellen geschützt werden müssen. Gleichzeitig wollen wir den Herstellern solcher Systeme und ihren Kunden hilfreiche Informationen an die Hand geben, mit denen sie ihre Security verbessern können.“

Sicherheitslücken in Software sind aber nicht das einzige Problem von Industriekontrollsystemen. Laut einer Anfang des Jahres veröffentlichten Studie von CyberX nutzen noch mehr als 50 Prozent der Industriestandorte veraltete Windows-Versionen wie XP. 69 Prozent der Unternehmen übertragen zudem Passwörter unverschlüsselt über das Netzwerk. Zudem verzichten 57 Prozent der Industriekontrollsysteme auf eine Antivirensoftware, die sich automatisch aktualisiert. 84 Prozent der Standorte sind mindestens über ein Gerät aus der Ferne erreichbar.

Am 6. und 7. November lädt Trend Micro zudem nach Japan ein, um Sicherheitslücken in Smartphones und Wearables aufzudecken. Bei Pwn2Own Mobile 2019 stehen Hackern unter anderem Googles Pixel 3 XL, Samsung Galaxy S10, Apples iPhone XS Max und die Apple Watch 4 zur Verfügung. Die Teilnehmer dürfen sich aber auch mit Smart-Home-Geräten wie Facebook Portal, Google Nest Hub Max und Amazon Echo Show 5, Smart-TVs und WLAN-Routern beschäftigen.