Schlagwort-Archive: Zero Day Initiative

Pwn20wn – 3 Tage Hacking in Vancouver

Originalbeitrag von Dustin Childs, Zero Day Initiative

Der diesjährige Hacking-Wettbewerb Pwn2Own von der Zero Day Initiative (ZDI) von Trend Micro fand kürzlich in Vancouver statt. Bereits am ersten Tag gab es vier erfolgreiche Hacking-Versuche und einen zum Teil gelungenen Versuch, wobei die Teilnehmer 240.000 $ verdienten, zusätzlich zu den eingesetzten Laptops. Die Veranstaltung setzt neben traditionelleren Zielen wie Web Browser, Virtualisierungs-Server, Anwendungen und Windows RDP den verstärkten Fokus auf IoT-Geräte fort und umfasst in diesem Jahr erstmals auch eine Automotive-Kategorie.


Am dritten und letzten Tag des Hacking-Wettbewerbs ging es um die mit Spannung erwarteten Vorführungen in der neu hinzu gekommenen Automotive-Kategorie – und auch hier gab es Erfolge.

Dem Fluoroacetate-Duo gelang es, vor der versammelten Menge ins Infotainment-System des Fahrzeugs einzudringen. Nach einigen Minuten des Setups konnten sie über einen JIT-Bug im Rendering eine Nachricht im Internet Browser des Modell 3 von Tesla anzeigen lassen. 35.000 $ und auch das geknackte Tesla-Modell sind die Belohnung für ihre diesbezügliche Forschung.

Das zweite Team des Tages, hatte kurz vorher seine Anmeldung für diese Kategorie zurückgezogen. Das ZDI hofft jedoch, dass die Teilnehmer ihre Forschungsergebnisse dem Programm dennoch zur Verfügung stellen werden.

Nicht überraschend wurde das Duo Richard Zhu und Amat Cama des Fluoroacetate-Teams zu den neuen „Master of Pwn“ für 2019 gekürt. Die Beiden hatten bereits im Herbst den Pwn2Own Tokyo beherrscht.

Insgesamt lassen sich diese drei Tage des Pwn2Own-Wettbewerbs Vancouver 2019 als großer Erfolg werten. Die Veranstalter vergaben 545.000 $ Preisgeld für 19 einzigartige Schwachstellen in Apple Safari, Microsoft Edge und Windows, VMware Workstation, Mozilla Firefox sowie im Tesla Infotainment-System.

Wie üblich, erhielten die Anbieter die Einzelheiten zu den Fehlern und können nun innerhalb von 90 Tagen Sicherheits-Patches dafür erstellen.


Trend Micro IT-Sicherheitsvorhersagen für 2019: Cyberangriffe passen sich dem Fortschritt an

Wer wissen will, was 2019 in punkto Sicherheit bereit hält, sollte sich zuerst die technologischen und soziopolitischen Entwicklungen ansehen, um zu verstehen, wo Cyberkriminelle ihre Chancen für einen schnellen, relativ einfach zu erzielenden Profit wittern. Es geht um die Fortschritte in den Bereichen künstliche Intelligenz und Machine Learning, die weltweit zunehmende Verbreitung von Cloud Computing und die Entwicklungen bei smarten Geräten, Smart Home und Factory sowie die kommende Einführung von 5G. All dies werden auch Cyberkriminelle ins Visier nehmen. Trend Micro hat aufgrund eigener Analysen in unterschiedlichen Bereichen einige Sicherheitsvoraussagen für 2019 getroffen.

Social Engineering via Phishing wird Exploit Kits als Angriffsvektor ersetzen

„Monokulturen“, also viele Geräte mit mehr oder weniger derselben Software und demselben Betriebssystem, werden weniger, sodass sich für Cyberkriminelle der Aufwand für den Einsatz von Exploit Kits nicht länger lohnt. Sie greifen daher auf die klassische Technik des Social Engineerings zurück, für die es noch nie eine zuverlässige, dauerhafte Lösung gegeben hat.

Zahl der geblockten Phishing-bezogene URLs wird größer (Daten aus dem Trend Micro™ Smart Protection Network™ aus Q3 2018)

Phishing-Versuche wird es künftig auch für SMS und Chat Programme geben. Cyberkriminelle sind zwar hinter den üblichen Online-Banking-Zugangsdaten her, doch sie werden auch Konten für Cloud Storage und andere Dienste anvisieren. Es entstehen auch vollkommen neue Angriffsarten, wie etwa SIM-Jacking, die sehr stark auf Social Engineering bauen. Diese Angriffsmethode ermöglicht es Kriminellen, die Kontrolle über die Onlinepräsenz eines Opfers zu übernehmen und macht es für Verbraucher schwierig, diese zurückzuerlangen.

99,99% der Exploit-basierten Angriffe werden nicht auf Zero-Day-Schwachstellen beruhen

Cyberkriminelle haben es nicht leicht, neue Schwachstellen zu finden, denn es gibt Infrastrukturen, wie die Trend Micro Zero Day Initiative (ZDI), die Sicherheitsforscher und betroffene Anbieter vereint, um Lücken verantwortungsvoll zu veröffentlichen und zu schließen. Für Angreifer stellt das Zeitfenster zwischen der Veröffentlichung eines neuen Patch und dessen Aufspielen auf den Systemen die günstigste Gelegenheit für ihr bösartiges Tun dar. Da die Einzelheiten der Schwachstelle bei deren Veröffentlichung mit publiziert wurden, verkürzt sich auch die Recherchezeit für die Ausnutzung der Schwäche erheblich.

2019 werden erfolgreiche, auf Exploits beruhende Angriffe Schwachstellen nutzen, für die Patches bereits Wochen oder gar Monate vorher zur Verfügung gestellt wurden, aber noch nicht aufgespielt sind. Es wird auch weiterhin Fälle von N-Day-Exploits geben, die der Netzwerksicherheit Probleme bereiten.

Heimnetzwerke werden zu Eintrittspunkten in Unternehmensnetze

Heimnetzwerke umfassen mittlerweile verschiedene Geräte, wie etwa Drucker und eine steigende Zahl von Smart Home-Geräten, oder greifen auf Storage-Geräte zu, die die Nutzer sowohl für ihre Arbeit im Homeoffice als auch privat verwenden. IDC geht von einem zweistelligen Wachstum für alle Kategorien der Smart Home-Geräte bis 2022 aus. Für die Sicherheit bedeutet dies jedoch, dass jedes nicht gesicherte Gerät im Home-Netzwerk eines Nutzers für einen Angreifer einen möglichen Eintrittspunkt ins Unternehmensnetz darstellt.

Fehlkonfigurierte Sicherheitseinstellungen während der Cloud-Migration führen zu weiteren Datendiebstählen

Trend Micro prognostiziert auch, dass Angreifer diese bewährten Methoden für Angriffe auf die zunehmend verbreitete Cloud-Nutzung einsetzen werden. Es werden immer mehr Schwachstellen in Cloud-Infrastrukturen, wie Containern, gefunden werden. Zudem werden zu schwache Maßnahmen für die Cloud-Sicherheit  eine vermehrte Ausnutzung von Accounts für das Mining von Kryptowährungen ermöglichen. Dies kann zu noch schwereren Datenpannen aufgrund falsch konfigurierter Systeme führen.

Der Kampf gegen Fake News wird unter dem Druck verschiedener Wahlen immer schwieriger
Trend Micro geht davon aus, dass 2019 die Verbesserungen im Kampf gegen Fake News in sozialen Medien nicht ausreichen, um die Menge an Cyberpropaganda rund um demokratische Vorgänge im Griff zu behalten. Die Motivation wird niemals verschwinden, und den Werkzeugen ist nur schwer beizukommen, da dieselben Tools für legitime Zwecke verwendet werden können. Regierungen haben die Absicht bekundet, soziale Medienplattformen zu regulieren, doch sind die Sicherheitsforscher der Ansicht, dass den Sites die benötigte Reaktionszeit fehlt, um das Internet von Fake News zu befreien.

Weitere Vorhersagen betreffen die Rolle von Chatbots, die Sicherheit von Industrial Control Systems, so genannte „Wurm-Kriege“ um die Vorherrschaft über IoT-Geräte oder auch die Sicherheit von smarten Gesundheitsgeräten mit Folgen etwa für ältere Nutzer und sind in dem vollständigen Bericht „Die Zukunft vor Augen: mit allgegenwärtigen und persistenten Bedrohungen fertigwerden“ nachzulesen.

Fazit

„Unternehmen müssen die Auswirkungen verstehen, die die verstärkte Nutzung der Cloud, die Zusammenführung von IT und OT sowie die immer weiter verbreitete Möglichkeit, von außerhalb des Büros zu arbeiten, auf die Sicherheit haben“, sagt Udo Schneider, Security Evangelist bei Trend Micro. Und der Schutz von Unternehmensnetzwerken vor sich ständig ändernden Bedrohungen erfordert eine genaue Kenntnis darüber, wie Sicherheitsrisiken gemanagt werden sollen. Die gesamte Bandbreite bekannter und unbekannter Bedrohungen kann niemals durch eine einzige neumodische Technologie abgedeckt werden, da jede neue Art von Bedrohung verschiedene Aspekte der IT-Sicherheit herausfordert. Unternehmen sollten nicht nach einem „Allheilmittel“ suchen, sondern nach einer generationsübergreifenden Mischung von Techniken zur Abwehr von Bedrohungen, die die richtige Technik zur richtigen Zeit anwendet. Genauso wichtig ist zudem, mehr Mittel in die Aus- und Weiterbildung der Mitarbeiter zu investieren, um sich vor diesen wachsenden Risiken zu schützen“, empfiehlt Udo Schneider.

Zero-Day Initiative von Trend Micro führend bei Erforschung von Sicherheitslücken

Bildschirmfoto 2016-05-17 um 20.20.30

Pressemitteilung von Trend Micro

Die „Zero Day Initiative“ (ZDI) von Trend Micro hat 2015 die meisten verifizierten Sicherheitslücken bekannt gegeben. Das haben die Analysten von Frost & Sullivan nun bekannt gegeben, die die „Zero Day Initiative“ als führende Einrichtung auf diesem Gebiet bezeichneten. In der Studie „Analysis of Global Public Vulnerability Research Market, 2015“ bestätigte das Marktforschungs- und Beratungshaus, dass fast genau die Hälfte (49,1 Prozent) aller weltweit aufgedeckten Schwachstellen auf das Konto der ZDI gingen. Die Initiative wurde von Tipping Point gegründet, dessen Übernahme Trend Micro im März dieses Jahres abgeschlossen hat. 

Der Bericht von Frost & Sullivan analysiert die von neun Organisationen gesammelten öffentlichen Daten über Sicherheitslücken, um so die zuverlässigsten Hersteller einerseits und Forschungseinrichtungen andererseits zu identifizieren, die Sicherheitslücken veröffentlichen. Der Bericht enthält sowohl Informationen über die Lücken als auch über die Organisationen, die sie offenlegen.

Hier geht es zur vollständigen Pressemitteilung