⚡️ Toyota провела хакатон по взлому автомобилей

Формат мероприятия схож с классическим CTF:
Участники объединяются в группы примерно по четыре человека и решают различные задачи - от регулировки скорости до изменения частоты вращения двигателя.
Результат проверяется на тренажерах, с начислением баллов. Побеждает команда с наибольшим количеством очков.

Корреспонденты ToyotaTimes поинтересовались у организатора мероприятия, Хисаси Огума, генерального менеджера проекта InfoTech-IS, - почему Toyota проводит подобные мероприятия?
Хисаси Огума ответил:

🔻 Сначала мы должны понять проблемы, стоящие перед автомобильной промышленностью.

🔻 Сегодня автомобили развиваются беспрецедентными темпами благодаря подключению к Интернету, в качестве очевидных примеров чего можно привести автоматизированное вождение и подключенные автомобили.

🔻 Недавно появилась новая концепция - SDV (Software Defined Vehicle). Это предполагает обновление бортового ПО после покупки, что позволяет расширять функционал автомобиля, как на смартфоне.

🔻 Интеграция с Интернетом повышает удобство. В то же время это также облегчает взлом систем автомобиля третьими лицами.

🔻 Кибербезопасность, защищающая клиентов от такого ущерба, стала более важной, чем когда-либо, не только для Toyota, но и для всей автомобильной промышленности.

Источник:
https://toyotatimes.jp/en/spotlights/1061.html

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

🚘 Популярные фреймворки моделирования угроз (STRIDE, DREAD, MITRE ATT и CK) для оценки кибербезопасности Jeep, Tesla и Lexus AV

⚡️ Исследователи из Аризонского университета в статье "Безопасность автономных транспортных средств: глубокое погружение в моделирование угроз" представили анализ архитектуры автономных транспортных средств, сосредоточившись на моделировании угроз для сложных автомобильных систем. Интересно, что они не рассматривали методологию TARA-анализа, возможно, из-за отсутствия единого подхода к ее реализации.

💬 В своем заключении исследователи написали: "

Продолжение исследований в области адаптивных решений безопасности, защиты от злонамеренного использования ИИ и безопасных коммуникационных протоколов будет иметь решающее значение для борьбы с динамичным ландшафтом угроз".

Источник:
https://arxiv.org/abs/2412.15348v1

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

Джей Турла, ведущий исследователь безопасности в японской компании VicOne, в интервью Deccan Chronicle обсудил уязвимости подключенных автомобилей

Главное из интервью:

▫️Уязвимости подключенных автомобилей:
Модуль Telematics (TCU) обеспечивает подключение, но отсутствие аутентификации в веб-приложениях или облачных данных делает автомобиль уязвимым. Хакеры могут удаленно открывать машины, применять тормоза или шпионить.

▫️Установка систем безопасности:
Решения VicOne требуют сотрудничества с производителями (OEM) для разблокировки функций.

▫️Угрозы без мобильного подключения:
При отсутствии связи автомобиль может быть атакован через радиочастотные сигналы (например, ключи-брелоки).

▫️Сотрудничество с производителями:
VicOne ведет переговоры с крупными OEM, включая Foxconn, Delta, Hitachi и Panasonic.

▫️Регулирование кибербезопасности:
В Японии кибербезопасность в автомобилях обязательна. В США и Индии обсуждают аналогичные меры.

Эксперт подчеркивает: современные автомобили нуждаются в усиленной защите, а сотрудничество с OEM-производителями — ключ к эффективным решениям.

📔Источник: https://www.deccanchronicle.com/nation/crime/hackers-can-operate-your-car-remotely-says-cyber-expert-1850937


🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

⚡️ На хакатоне Pwn2Own Automotive нашли критическую уязвимость мультимедиа Alpine⚡️

💥 На Pwn2Own Automotive 2025 обнаружена критическая уязвимость CVE-2024-23923 в мультимедиа системе Alpine Halo9 iLX-F509.

💥 Это zero-click RCE через устаревший стек Bluetooth, найденная исследователем Михаилом Евдокимовым. Отсутствие базовых мер защиты (ASLR, stack canaries) упростило эксплуатацию.

📄 Несмотря на оценку рисков по стандарту ISO/SAE 21434, Alpine решила не выпускать патч, приняв остаточный риск.

Этот случай показывает, как важно использовать проверенные стандарты и базовые меры безопасности в автомобильных системах. Проприетарные решения часто повышают риски, особенно с ростом сложности подключённых технологий.

🔥 Статья: https://vicone.com/blog/from-pwn2own-automotive-a-critical-zero-click-rce-bluetooth-vulnerability-in-the-alpine-halo9-ivi-system

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

🚗🔨 Взломы на миллион: итоги Pwn2Own Automotive 2025

На хакатоне Pwn2Own Automotive 2025 было обнаружено 49 уязвимостей, а общий размер выплат составил $886,250. Главным фокусом стали зарядные станции для электромобилей (EV Chargers). Вот ключевые моменты:

🔌 EV Chargers оказались самыми "прибыльными": на них пришлось более половины всех выплат (свыше $500,000).

💻 Операционные системы (например, Automotive Grade Linux) остались практически нетронутыми — зафиксирована лишь одна неудачная попытка взлома.

Но это только начало! Теперь, с объявленными целями и вознаграждениями, хакеры начнут активнее изучать автомобильные операционные системы. В новом году стоит ожидать новых атак и значительных открытий в этой области.⚡️

Источник: https://www.zerodayinitiative.com/blog/2025/1/23/pwn2own-automotive-2025-day-three-and-final-results

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности