В конце прошлой недели в китайском городе Чэнду завершилось хакерское соревнование Tianfu Cup, наиболее крупное и престижное в стране. В сущности, Tianfu Cup очень похож на Pwn2Own и был создан именно после того, как в 2018 году китайское правительство запретило местным ИБ-исследователям участвовать в хакерских конкурсах, организованных за рубежом.
Правила Tianfu Cup и Pwn2Own тоже похожи. Так, суть состязания заключается в том, чтобы использовать ранее неизвестные уязвимости и с их помощью взломать конкретное приложение или устройство. Если эксплоит сработал, и атака удалась, исследователи получают за это баллы, а в итоге и денежные призы.
Равно как и во время Pwn2Own, обо всех использованных эксплоитах и найденных багах сообщают разработчикам скомпрометированных продуктов, и патчи выходят вскоре после завершения соревнования.
В этом году в Tianfu Cup принимали участие 15 команд, которым отводилось три попытки по пять минут каждая, чтобы взломать выбранную цель с помощью оригинального эксплоита. По итогам соревнования участники продемонстрировали 23 попытки взлома, многие из которых оказались успешными. Так, из 16 намеченных целей удалось скомпрометировать:
- iOS 14 (работающую на iPhone 11 Pro);
- Samsung Galaxy S20;
- Windows 10 2004 (April 2020);
- Ubuntu;
- Chrome;
- Safari;
- Firefox;
- Adobe PDF Reader;
- Docker (Community Edition);
- VMWare EXSi (гипервизор);
- QEMU (эмулятор и виртуализатор);
- прошивки роутеров TP-Link и ASUS.
Как и в прошлом году, с большим отрывом победила команда специалистов китайского технологического гиганта Qihoo 360 (360 Enterprise Security and Government and (ESG) Vulnerability Research Institute, она же Team 360Vulcan). Победители забрали домой 744 500 долларов, а это почти и две трети всего призового фонда мероприятия, который в этом году составлял 1 210 000 долларов.
Второе и третье места заняли команда AntFinancial Lightyear Security Lab (258 000 долларов), а также частный ИБ-исследователь Панг (99 500 долларов).
