In occasione di Pwn2Own, importante hackaton promosso da Trend Micro, sono state rivelate 29 nuove vulnerabilità 0-day. I clienti di Trend sono protetti già 70 giorni prima il rilascio ufficiale di una patch
Trend Micro, leader globale di cybersecurity, annuncia i risultati di “Pwn2Own”, importante competizione di ethical hacking organizzata dalla Zero Day Initiative (ZDI). L’edizione di quest’anno si è svolta a Vancouver e ha visto i partecipanti identificare nuove vulnerabilità in Windows, Linux, Tesla, Chrome, VMware e in tecnologie molto diffuse. In caso di vulnerabilità, i clienti di Trend possono beneficiare di una protezione in tempo reale mentre le altre aziende devono aspettare il rilascio ufficiale della patch da parte del vendor colpito.
Una delle maggiori sfide per le organizzazioni, nella gestione del rischio informatico, è far fronte alla disparità tra il volume delle minacce e le risorse di sicurezza disponibili: infatti, le società di software e i produttori di veicoli elettrici devono identificare e assegnare le priorità alle vulnerabilità da risolvere e questo porta a un numero elevato di problemi noti ma non risolti. Il tempo medio per rispondere a una vulnerabilità e sviluppare una patch è superiore a 70 giorni, ma grazie all’attività della ZDI i clienti di Trend sono protetti quasi immediatamente.
Di seguito alcuni highlight di Pwn2Own Vancouver 2024:
- i ricercatori hanno individuato 29 vulnerabilità 0-day, accumulando premi per un valore di 1.132.500 dollari
- tutti i principali browser web sono stati compromessi
- l’unità di controllo elettronico (ECU) della Tesla Model 3 è stata violata con un exploit over-the-air
- i ricercatori hanno dimostrato la prima fuga Docker in assoluto (quando un utente malintenzionato è in grado di oltrepassare un container e ottenere l’accesso al sistema host)
La ZDI raccoglie le scoperte dei ricercatori indipendenti in modo costante, in occasione di Pwn2Own o durante tutto l’anno. Questa attività consente agli sviluppatori software di conoscere le vulnerabilità prima che i criminali informatici possano sfruttarle. Offre, inoltre, un grande vantaggio alle aziende dei vari settori dal momento che i vendor rispondono sempre meno tempestivamente alla scoperta di nuove vulnerabilità.
“Le minacce informatiche continuano a proliferare ma le patch sono sempre in ritardo. Questo espone le organizzazioni a ulteriori rischi informatici, che vanno al di fuori del loro controllo. I vendor di security in grado di individuare tempestivamente le vulnerabilità e mettere al sicuro le aziende grazie a patch virtuali offrono un valore aggiunto enorme ai propri clienti”, afferma Frank Dickson, Group Vice President for Security and Trust at IDC.
Quando una vulnerabilità viene scoperta, le aziende e i vendor di security devono attendere il rilascio di una patch. La consapevolezza e la conoscenza approfondita delle minacce, grazie anche a Pwn2Own, consente a Trend di proteggere i propri clienti attraverso patch virtuali che garantiscono continuità nella protezione. In media, la ZDI scopre e divulga oltre 1.000 vulnerabilità all’anno.
“Mentre si affrontano problemi di sicurezza legati a tecnologie più recenti come ChatGPT o a software come TikTok, le minacce più gravi rimangono silenti nei sistemi operativi utilizzati da miliardi di persone in tutto il mondo e le grandi aziende tecnologiche non si impegnano a sufficienza per affrontarle”, dichiara Alessio Agnello, Technical Director di Trend Micro Italia. “I ricercatori che partecipano a Pwn2Own svolgono il lavoro fondamentale di individuare le nuove vulnerabilità prima che lo facciano i cybercriminali e di condividerle con Trend e ZDI. Questa è una risorsa su cui nessun altro Brand può contare e rappresenta un elemento differenziante fondamentale per la capacità di prevenzione e l’intelligence sulle minacce da parte di Trend”.
Scoprire in anticipo e mitigare le vulnerabilità nel mondo reale permette di ridurre il rischio informatico in tutta l’organizzazione. I team di security, qualunque sia la dimensione della loro azienda, sono sempre più sopraffatti da minacce che superano le loro capacità. Queste minacce includono attacchi ai dispositivi in ufficio, alle apparecchiature industriali, ai veicoli connessi, ai veicoli elettrici e ai dispositivi dei dipendenti che lavorano in remoto, come smartphone, dispositivi NAS, fotocamere, stampanti, router e veicoli personali.
Pwn2Own premia i ricercatori per la rilevazione responsabile e la divulgazione delle vulnerabilità nei software e negli hardware che miliardi di persone utilizzano ogni giorno. La costante ricerca migliora l’intelligence di livello leader di Trend e permette di scoprire nuove tecniche di exploit, consentendo all’intero settore di progredire nella lotta contro la criminalità informatica.
