Rạng danh Việt Nam tại Pwn2Own Tokyo 2020

Pwn2Own là cuộc thi tấn công mạng thường niên hàng đầu thế giới do Hãng bảo mật Trend Micro tổ chức từ năm 2007. Tại đây, các hãng công nghệ nổi tiếng sẽ đem các sản phẩm của mình làm mục tiêu trong các thử thách. Các hacker sẽ thể hiện các kỹ năng của mình để tấn công, khai thác phần mềm hoặc thiết bị. Với mức độ uy tín và giải thưởng lớn, Pwn2Own quy tụ nhiều chuyên gia nghiên cứu bảo mật, hacker hàng đầu thế giới.

Pwn2Own Tokyo thường được tổ chức vào cuối năm (tháng 11 hàng năm) và tập trung vào các thiết bị di động và IoT. Nội dung bao gồm 20 thiết bị tập trung vào 6 lĩnh vực công nghệ di động và IoT gồm: điện thoại, thiết bị đeo, nhà thông minh, SmartTV, bộ định tuyến và thiết bị lưu trữ nối mạng với tổng giải thưởng cho tất cả các hạng mục lên đến 500.000 USD.

Đáng lưu ý, chiến thắng ở hạng mục SmartTV lần này có sự góp mặt của đại diện đến từ Việt Nam. Cả hai bài thi dành cho Samsung và Sony SmartTV đều được chinh phục bởi hai chuyên gia an toàn thông tin Ngô Anh Huy và Đỗ Quang Thành đến từ Công ty An ninh mạng Viettel (Viettel Cyber Security).

Cụ thể, hai chuyên gia đã khai thác thành công SmartTV thông qua trình duyệt cài mặc định trên tivi Samsung và Sony. Kịch bản tấn công được thực hiện như sau: đầu tiên, hacker sẽ đánh lừa người dùng truy cập vào 1 website độc hại có chèn mã khai thác thông qua trình duyệt mặc định. Ngay khi người dùng truy cập, mã khai thác sẽ được kích hoạt, cho phép hacker chiếm quyền điều khiển tivi.

Sau khi chiếm quyền điều khiển của thiết bị, hacker có thể can thiệp vào nội dung hiển thị, truy cập các thông tin hay hình ảnh riêng tư của người dùng lưu trữ trên tivi. Nghiêm trọng hơn, lỗ hổng có thể cho phép phát tán các phần mềm độc hại, sử dụng tivi như 1 thiết bị nghe lén hoặc thiết bị trung gian cho cuộc tấn công sâu hơn vào bên trong mạng nội bộ…

Hầu hết, các Smart TV đều được tích hợp mic (dùng trong việc điều khiển tivi bằng giọng nói) và video camera (dùng cử chỉ để điều khiển tivi hoặc dùng trong video chatting). Thiết bị này thường được đặt ở các vị trí nhạy cảm như phòng họp, hội trường, hay các khu công cộng. Việc bị chiếm quyền và biến thành 1 thiết bị nghe lén có thể khiến kẻ tấn công thu thập được nhiều thông tin nhạy cảm của tổ chức/ doanh nghiệp.

Được biết, ngoài Ngô Anh Huy và Đỗ Quang Thành, Công ty An ninh mạng Viettel còn có hơn 200 chuyên gia bảo mật thông tin mạng, trong đó nhiều chuyên gia đã được công nhận bởi cộng đồng CNTT thế giới. Trước đó, Đỗ Quang Thành cũng đã được vinh danh trong danh sách Top 100 chuyên gia bảo mật thế giới năm 2018 do Microsoft công bố. Ngoài ra, Viettel Cyber Security (VCS) cũng có rất nhiều chuyên gia đạt thứ hạng cao trên các nền tảng tìm kiếm lỗi nổi tiếng như: BugCrowd, HackerOne, ZDI,…

Các chuyên gia của VCS cũng liên tục góp mặt trong những bảng xếp hạng cho các chuyên gia bảo mật của những công ty, tập đoàn lớn như: top 66/100 nhà nghiên cứu bảo mật Facebook năm 2018, top 100 chuyên gia bảo mật của Microsoft trong 3 năm liền từ 2018 đến 2020 với thứ hạng cao (năm 2020 cao nhất là vị trí thứ 19). Cùng với đó là nhiều lần được vinh danh, cảm ơn từ các tổ chức lớn như Paypal, Mastercard, AT&T, Dell, Oracle,…

Đến thời điểm này, VCS đã tìm được hơn 100 lỗ hổng 0-day (lỗ hổng bảo mật chưa từng được biết tới). Tất cả các lỗ hổng 0-day đều đã được báo cáo chi tiết cho đơn vị phát triển, giúp họ có thể nhanh chóng đưa ra các bản vá lỗ hổng, tăng tri thức an ninh mạng cho các sản phẩm họ tự nghiên cứu và phát triển.

Không chỉ xuất sắc trong việc nghiên cứu và tìm kiếm các lỗ hổng, các chuyên gia VCS cũng nhiều lần được mời tham dự, thuyết trình, chia sẻ tại những hội thảo bảo mật uy tín, nổi tiếng thế giới như Blackhat USA 2020, Blackhat Europe 2019, các hội thảo dành riêng cho các chuyên gia được tổ chức bởi Microsoft hay Google. Các bài thuyết trình đều là những chia sẻ chuyên sâu về kĩ thuật, góc nhìn mới, hướng tiếp cận khác biệt giải quyết các vấn đề về bảo mật, an toàn thông tin của thế giới. Cho thấy nền tảng kiến thức vững chắc, kĩ thuật đa dạng, trải dài nhiều lĩnh vực an ninh, an toàn thông tin của VCS.

Chiến thắng tại cuộc thi Pwn2Own Tokyo 2020 năm nay càng khẳng định thêm chất lượng nhân sự, chuyên gia bảo mật hàng đầu tại Viettel Cyber Security. VCS vẫn sẽ không ngừng tăng cường đầu tư vào việc đào tạo chuyên môn, nhận thức bảo mật cho đội ngũ nhân viên. Đây là nhiệm vụ đóng vai trò quyết định bởi con người là yếu tố then chốt trong việc đảm bảo an toàn thông tin.