- Capture the Flag (CTF) auf Sicherheitskonferenzen dienen der Entwicklung und Demonstration von Fähigkeiten im Computer-Hacking und der Sicherheit sowie der Entdeckung und Rekrutierung neuer Talente.
- Der Zhujian Cup in China könnte eine geheime Spionageaktion gewesen sein, bei der Teilnehmer ermutigt wurden, Informationen von einem unbekannten Ziel zu sammeln.
- Teilnehmer des Zhujian Cup mussten ungewöhnliche Bedingungen akzeptieren, einschließlich Geheimhaltung bezüglich der Aufgaben und rechtlicher Verantwortung bei Datenleckagen.
- Der Wettbewerb wurde von einer Universität organisiert, die dem chinesischen Ministerium für Industrie und Informationstechnologie unterstellt ist und von der Volksbefreiungsarmee Chinas überwacht wird.
- China hat eine intensive Entwicklung und Regulierung von CTF-Wettbewerben seit 2015 betrieben, was zu einem robusten Hacker-Wettbewerbsökosystem führte, mit etwa 540 Wettbewerben seit 2014 und einer nationalen Datenbank für talentierte Teilnehmer.
Capture the Flag (CTF) auf Sicherheitskonferenzen dienen in der Regel zwei Hauptzwecken: den Teilnehmern zu helfen, ihre Fähigkeiten in Computer-Hacking und -Sicherheit zu entwickeln und zu demonstrieren, sowie Arbeitgebern und Regierungsbehörden bei der Entdeckung und Rekrutierung neuer Talente zu unterstützen. Doch eine Sicherheitskonferenz in China könnte ihren Wettbewerb auf eine neue Ebene gehoben haben – möglicherweise als geheime Spionageaktion, um Teilnehmer zu ermutigen, Informationen von einem unbekannten Ziel zu sammeln.
Ungewöhnliche Merkmale der Zhujian Cup
Laut zwei westlichen Forschern, die Dokumentationen für Chinas Zhujian Cup übersetzt haben, einem nationalen Wettbewerb für Cybersecurity-Angriffe und -Verteidigung, wies ein Teil des dreiteiligen Wettbewerbs, der letztes Jahr zum ersten Mal stattfand, eine Reihe ungewöhnlicher Merkmale auf, die auf einen möglicherweise geheimen und unorthodoxen Zweck hindeuten. Der Wettbewerb fand auf geschlossenen Netzwerken oder sogenannten „Cyber-Ranges“ statt – speziellen Infrastrukturen, die für den Wettstreit eingerichtet sind, damit die Teilnehmer nicht riskieren, reale Netzwerke zu stören.
Es gibt zwei große Unternehmen in China, die Cyber-Ranges für Wettbewerbe einrichten. Die überwiegende Mehrheit der Wettbewerbe erwähnt das Unternehmen, das ihre Range entworfen hat. Bemerkenswert ist, dass Zhujian Cup in seiner Dokumentation keine Cyber-Range oder deren Anbieter erwähnte, was die Forscher zu der Annahme veranlasste, dass der Wettbewerb in einer realen Umgebung stattgefunden haben könnte, anstatt in einer simulierten.
Geheime Regeln und Verpflichtungen
Der Wettbewerb verlangte von den Studenten, ein Dokument zu unterzeichnen, das sie zur Einhaltung mehrerer ungewöhnlicher Bedingungen verpflichtete. Sie durften nicht über die Natur der Aufgaben sprechen, die ihnen im Wettbewerb gestellt wurden; sie mussten zustimmen, das Zielsystem nicht zu zerstören oder zu stören; und am Ende des Wettbewerbs mussten sie alle Hintertüren, die sie im System angelegt hatten, und alle gesammelten Daten löschen. Anders als bei anderen Wettbewerben in China war es den Teilnehmern dieses Teils des Zhujian Cup verboten, Social-Media-Beiträge zu veröffentlichen, die die Natur des Wettbewerbs oder die ausgeführten Aufgaben offenbaren.
Den Teilnehmern war es ebenfalls untersagt, Daten, Dokumente oder gedruckte Materialien, die Teil des Wettbewerbs waren, zu kopieren; Informationen über gefundene Schwachstellen offenzulegen; oder diese Schwachstellen für persönliche Zwecke auszunutzen. Bei einem möglichen Leck von Daten oder Materialien, das den Organisatoren des Wettbewerbs oder China Schaden zufügen könnte, könnten die Teilnehmer laut der unterzeichneten Verpflichtung rechtlich zur Verantwortung gezogen werden.
„Ich verspreche, dass wenn aufgrund persönlicher Gründe eine Informationsoffenlegung erfolgt, die Verlust oder Schaden für den Organisator und das Land verursacht, ich als Individuum rechtliche Verantwortung gemäß den relevanten Gesetzen und Vorschriften tragen werde,“ heißt es in der Verpflichtung.
Verdeckte Absichten und reale Ziele
Der Wettbewerb wurde letztes Jahr von einer naturwissenschaftlichen und ingenieurwissenschaftlichen Universität in Xi’an, Shaanxi, organisiert, die dem chinesischen Ministerium für Industrie und Informationstechnologie unterstellt ist und eine Sicherheitsfreigabe für die Arbeit für die chinesische Regierung und das Militär besitzt. Die Universität wird von der Volksbefreiungsarmee Chinas überwacht. Dakota Cary, strategischer Beratungsberater bei der Sicherheitsfirma Sentinel One, und Eugenio Benincasa, leitender Cyberabwehrforscher am Center for Security Studies der ETH Zürich in der Schweiz, entdeckten den ungewöhnlichen Wettbewerb und seine Anforderungen während ihrer Forschung zu Chinas Hacking-Wettbewerben.
Obwohl sie keine harten Beweise dafür haben, dass der Wettbewerb genutzt wurde, um ein reales Ziel anzugreifen, sind sie zu 85 Prozent sicher, dass dies geschah, da keine alternativen Erklärungen Sinn ergeben. Ein mögliches Alternativszenario wäre, dass das Ziel des Angriffs ein inländisches Unternehmen oder eine Organisation war, die mit dem Wettbewerb kooperierte, um den Studenten Erfahrung im Auffinden von Schwachstellen in einem realen Netzwerk zu vermitteln und gleichzeitig der Organisation eine Bedrohungsbewertung zu liefern, die ihr helfen könnte, ihr Netzwerk besser gegen reale Gegner zu sichern.
Auffällige Vergleiche und internationale Auswirkungen
Cary erklärt jedoch, dass solche Übungen in China „Crowd-Testing“-Wettbewerbe genannt werden. Doch nirgends in der Beschreibung des Zhujian Cup taucht dieser Begriff auf. „Wenn es ein echter CTF-Wettbewerb ist, warum löschen [die Teilnehmer] Daten und … Hintertüren?“ fragt er. Und warum werden die Studenten darauf hingewiesen, dass sie rechtlich verantwortlich gemacht werden könnten, wenn Daten oder Materialien, die sie im Rahmen des Wettbewerbs besitzen, weitergegeben werden?
Der Wettbewerb fand letztes Jahr am Wochenende über den Neujahrsfeiertag, am 30. und 31. Dezember, statt. Wenn das Ziel tatsächlich ein reales Netzwerk war, merken die Forscher an, dass Feiertage oft eine Zeit sind, in der Sicherheitsteams unterbesetzt oder weniger aufmerksam sind. Etwa 200 Studenten von 29 Schulen nahmen an dem Wochenendwettbewerb teil, der aus drei Teilen bestand: einem theoretischen Wissenswettbewerb, einem Schwachstellenentdeckungswettbewerb und einem „öffentlich-netzwerk-ziel, tatsächlicher-Kampf-Angriffswettbewerb.“ Letzterer ist der Teil, auf den sich Cary und Benincasa konzentrieren.
Die Forscher untersuchten mehr als 120 Capture-the-Flag-Wettbewerbe, die seit 2004 in China organisiert wurden, um zu verstehen, wie das Land solche Wettbewerbe zur Rekrutierung von Talenten und zur Erweiterung seiner offensiven und defensiven Cyberfähigkeiten nutzt. Sie sagen, dass China 2015 begann, sich intensiv auf die Entwicklung seines Cyber-Talents zu konzentrieren, nachdem die Leaks von Edward Snowden die umfangreichen Hacking-Operationen der US National Security Agency für nachrichtendienstliche Zwecke aufgedeckt hatten.
CTF-Wettbewerbe im globalen Kontext
Zum Aufbau stärkerer Cyber-Abwehrkräfte konzentrierte sich China zwischen 2015 und 2021 auf die Umstrukturierung und Erweiterung von Programmen zur Cybersicherheitsausbildung und Rekrutierungsbemühungen. Ein großer Teil davon beinhaltete die Entwicklung und Regulierung von Capture-the-Flag-Wettbewerben. CTF-Wettbewerbe sind natürlich nicht einzigartig für China; sie finden weltweit statt, einschließlich in den USA. Seit 2014, sagen die Forscher, haben in China mehr als 540 Capture-the-Flag-Wettbewerbe stattgefunden.
Aber vielleicht ist es bemerkenswert, dass Chinas Bemühungen um den Aufbau ihrer inländischen Capture-the-Flag-Wettbewerbe heute eines der robustesten Hacker-Wettbewerbsökosysteme der Welt hervorgebracht haben, einschließlich sektor-spezifischer Wettbewerbe für Gesundheitswesen und Strafverfolgung. Etwa 300.000 Personen haben in den letzten zehn Jahren an diesen Wettbewerben teilgenommen, wobei jedoch nur vier für Studenten offen sind. Die Wettbewerbe werden von Universitäten in ganz China durchgeführt und von Unternehmen sowie der Regierung unterstützt. Wettbewerbsgewinner und andere talentierte Teilnehmer werden in eine nationale Datenbank aufgenommen.
