Competições de hacking eletrizantes: as 10 principais disputas internacionais do tipo "capture a bandeira" (CTF)

O que é CTF?

No contexto da cibersegurança, o CTF é uma competição em que os participantes precisam resolver diferentes desafios para capturar "bandeiras" (flags). Os desafios costumam ser divididos em várias categorias, incluindo engenharia reversa, criptografia, exploração web e binária (pwn), entre outras. As bandeiras, escondidas pelos organizadores em softwares ou sistemas propositalmente vulneráveis, geralmente são arquivos ou trechos de código (pode ser algo tão simples quanto flag{isto_e_uma_flag_de_exemplo}). Aplicando seus conhecimentos de segurança, os participantes — sozinhos ou em equipe, online ou presencialmente — atacam os sistemas para descobrir o maior número possível de bandeiras dentro de um período determinado, que pode durar horas ou até dias. Em alguns eventos, há prêmios em dinheiro para os primeiros colocados.

Os CTFs costumam ser divididos em três estilos principais: Jeopardy, Ataque-Defesa (Attack-Defense) e misto. No estilo Jeopardy, os participantes encontram uma série de desafios nos sistemas dos organizadores, que são responsáveis por fornecer certas pistas. Quanto mais bandeiras capturarem nesses desafios no menor tempo possível, mais pontos acumulam. A dificuldade das tarefas também varia, portanto as mais complexas geralmente valem mais pontos. Ao final do tempo limite, ganha a pessoa ou equipe que tiver acumulado a maior pontuação.

No estilo Ataque-Defesa, a dinâmica se assemelha mais ao jogo tradicional de "pique-bandeira", pois duas ou mais equipes possuem suas próprias bandeiras. O objetivo de cada grupo é defender suas bandeiras no sistema vulnerável atribuído a eles (corrigindo vulnerabilidades em um curto período) e atacar, explorando brechas nos sistemas das equipes adversárias para capturar as bandeiras delas. Os participantes pontuam tanto pela defesa quanto pelo ataque. Da mesma forma, vence a equipe com mais pontos ao final do tempo estipulado.

Reconociendo a abundância desse tipo de competição e como elas podiam cair no esquecimento após o término, em 2012 surgiu a ideia de registrar CTFs do mundo todo em um site chamado CTFtime. Lá, podemos encontrar uma lista gigantesca com cerca de 750 nomes de CTFs, cada um contendo o histórico de eventos realizados ao longo dos anos. O CTFtime mantém um registro de eventos passados, algumas tarefas utilizadas neles e uma lista de eventos futuros. Há também um ranking das equipes participantes e, se você quiser começar a competir, pode até criar sua própria equipe por lá.

Para elaborar o Top 10 deste post, decidimos nos basear nessa lista de 750 nomes de CTFs, organizada em ordem decrescente pelo número de eventos realizados. Focamos nos primeiros 57 nomes, sendo o primeiro com 18 eventos e o último com 6. Cada evento de CTF recebe um "peso", uma métrica que serve para refletir sua dificuldade e classificar as equipes (veja os detalhes aqui). Seus valores variam de 0 a 100, sendo 100 a dificuldade máxima. Assim, pegamos o peso dos cinco eventos mais recentes de cada CTF e calculamos a média (apresentada entre parênteses ao lado do nome de cada CTF). Com esses valores, montamos o Top 10, considerando também que todos os CTFs da lista tivessem realizado ao menos um evento neste ano ou no ano anterior.

10 - hxp CTF (65,40)

Este torneio de CTF é organizado pelo hxp, um grupo de "hackers excepcionalmente atraentes" formado há cerca de uma década na Alemanha, inicialmente com o complicado nome "H4x0rPsch0rr". Eles realizam um evento anual de CTF desde 2015. O mais recente ocorreu em dezembro do ano passado. O evento foi no estilo Jeopardy, online, durou 48 horas e contou com desafios de criptografia, pwn (exploração binária), engenharia reversa, exploração web, "zaj" e diversos (miscellaneous). O hxp CTF 2021 obteve um peso de 99,41 e foi liderado pela equipe israelense pasten. (Não sabemos se são realmente de Israel, mas, em todos os casos, mencionaremos a nacionalidade correspondente à bandeira vinculada ao nome da equipe no CTFtime).

9 - ASIS CTF (finais; 78,55)

Esta competição é organizada pela equipe acadêmica iraniana ASIS. Eles figuram no CTFtime com eventos anuais desde 2013. Como consta em seu site, os desafios propostos "são organizados em categorias como conhecimentos gerais de segurança (Trivia), hacking web, criptografia moderna, exploit, perícia forense, engenharia reversa, esteganografia", entre outras. As Finais do ASIS CTF 2021 foram no estilo Jeopardy, online e duraram 24 horas. O evento teve peso de 65,47 e foi vencido pela equipe americana DiceGang, grupo que aparece como líder nos EUA e em sétimo lugar na classificação geral do CTFtime para 2022. Eles até organizaram seus próprios torneios de CTF no ano passado e neste ano. A próxima etapa classificatória do ASIS CTF será em meados de outubro deste ano, com as finais agendadas para 30 de dezembro.

8 - Dragon CTF (79,58)

Esta competição é organizada pela equipe Dragon Sector, da Polônia, criada em fevereiro de 2013. Eles realizam eventos anuais de CTF desde 2015; o mais recente ocorreu em novembro do ano passado, com peso de 99,33. Foi um evento de 24 horas, online, no estilo Jeopardy, com desafios de web, engenharia reversa, pwn, criptografia e diversos. A vencedora deste CTF foi a equipe taiwanesa Balsn. Que, com base em seu site cujos membros pertencem majoritariamente ao Laboratório de Segurança de Rede da Universidade Nacional de Taiwan. A Balsn também organiza seu próprio CTF desde 2019.

7 - RuCTF (80,60)

Este " desafio internacional online de segurança da informação" faz parte de um dos maiores eventos de cibersegurança da Rússia e é o primeiro da nossa lista no estilo Ataque-Defesa. Criado em 2008, o RuCTF é organizado anualmente pela equipe HackerDom, associada à Universidade Estadual de Ural. Conforme explicado nas regras, a dinâmica do jogo é a seguinte:

O jogo começa entregando aos participantes servidores idênticos com um conjunto pré-definido de serviços vulneráveis. Na primeira hora após a entrega da imagem do jogo, os segmentos de rede permanecem fechados e as equipes devem focar na administração do servidor e na análise das vulnerabilidades. Após essa hora, a rede é liberada e, durante 8 horas, as equipes podem explorar vulnerabilidades para capturar as bandeiras dos adversários.

O RuCTF deste ano ocorreu em maio e teve peso de 97,62. A vencedora foi a equipe russa Bushwhackers , da Universidade Estadual de Moscou, que superou inclusive a equipe C4T BuT S4D (também da Rússia), atual primeira colocada no ranking mundial enquanto escrevemos este post.

6 - HITCON CTF (80,71)

Esta competição é organizada pela Hacks In Taiwan Conference (HITCON), evento realizado desde 2005 e integrante da Associação de Hackers de Taiwan. Seus CTFs ocorrem anualmente desde 2014 (ano em que sua própria equipe de hacking registrou participação em outros eventos). O mais recente foi em dezembro do ano passado. O HITCON CTF 2021 foi no estilo Jeopardy, online e durou 36 horas. As categorias incluíam pwn, diversos, criptografia, engenharia reversa, web e jogos, obtendo um peso de 88,98. A vencedora foi a equipe americana perfect blue, que também conta com membros de outros seis países. A premiação do evento foi bastante transparente: o 1º lugar levou US$ 4.096, o 2º lugar US$ 2.048 e o 3º lugar US$ 1.024. Os organizadores também distribuíram US$ 3.000 entre as cinco melhores equipes taiwanesas no evento.

5 - Google CTF (80,89)

Dispensa apresentações quem é o responsável pela organização deste CTF. No CTFtime há registros de eventos anuais desde 2016. Um detalhe marcante em suas regras é a permissão para participantes do mundo todo, com exceção de Crimeia, Cuba, Irã, Coreia do Norte, Quebec e Sudão. Como outros citados, este CTF possui uma fase classificatória e uma final. Recentemente, no início de julho, ocorreu a primeira dessas etapas para 2022. Foim um CTF online de 48 horas no estilo Jeopardy, com peso de 97,84. As categorias dos desafios foram diversos, web, hardware, pwn, engenharia reversa, criptografia e sandbox. Houve premiação para os três primeiros colocados, sendo o prêmio principal uma suculenta quantia de US$ 13.337. O 1º lugar ficou com a equipe perfect r00t, uma colaboração entre os grupos perfect blue e r00timentary. A etapa final ocorreu há poucos dias, de 9 a 11 de setembro, presencialmente em um escritório do Google com 8 dos finalistas selecionados, que disputaram mais prêmios.

4 - Hack.lu CTF (83,52)

Esta competição de CTF é organizada pelo grupo acadêmico alemão FluxFingers, vinculado à Universidade Ruhr-Bochum. O CTF faz parte da conferência de cibersegurança Hack.lu, realizada em Luxemburgo desde 2005. Desde a edição inaugural, os CTFs do Hack.lu acontecem anualmente, sendo a edição de outubro do ano passado a 11ª organizada pelo FluxFingers. O evento foi no estilo Jeopardy, online e durou 48 horas. Como em outros CTFs, os jogadores podiam competir sozinhos, mas, como destacaram em seu site: "recomendamos formar equipes, pois é mais divertido e vocês aprendem uns com os outros". Os desafios envolveram engenharia reversa, criptografia, segurança web e exploração binária. O peso do evento foi de 94,48 e o vencedor foi o time suíço organizers, que ocupa o segundo lugar na classificação geral deste ano até o momento. Hack.lu CTF 2022 está agendado para outubro.

3 - DEF CON CTF (finais; 85,72)

Este torneio faz parte, como dissemos em um post anterior , "uma das mais antigas e maiores convenções de hacking do mundo", realizada anualmente em Las Vegas (EUA) desde 1993. O Nautilus Institute organiza atualmente este CTF, , mas em anos anteriores a organização ficou a cargo de grupos como Order of the Overflow, Legitimate Business Syndicate e Binjitsu (ddtek). A etapa classificatória em maio, no estilo Jeopardy, contou com 1,282 equipes. O DEF CON CTF 2022, realizado em agosto, foi no estilo Ataque-Defesa, reunindo 16 equipes classificadas ao longo de 72 horas. O peso dessa fase final foi de 96,33 e a campeã foi a equipe Maple Mallard Magistrates (aka MMM). Como prêmio, receberam os cobiçados DEF CON Uber Badges (ou black badges), que garantem "entrada gratuita para a vida toda" ao evento e "abrem praticamente qualquer porta quando listados no currículo".

2 - PlaidCTF 2022 (94,60)

Esta competição é organizada pela equipe acadêmica americanaPlaid Parliament of Pwning (aka PPP), da Universidade Carnegie Mellon, formada em 2009. No CTFtime, há registros anuais do PlaidCTF desde 2011. O evento mais recente foi em abril deste ano, batizado de Plaidiverse. Foi um CTF online de 24 horas no estilo Jeopardy. As categorias cobriram exploração binária, engenharia reversa, criptografia, exploração web e diversos, alcançando peso de 93,67. O evento foi patrocinado e os prêmios foram de US$ 2.048 para o 1º lugar, US$ 1.024 para o 2º e US$ 512 para o 3º. Assim como no Google CTF 2022, a equipe vitoriosa foi a perfect r00t.

1 - 0CTF (96,25)

Este torneio é organizado principalmente pelo grupo acadêmico chinês 0ops, da Universidade Jiao Tong de Xangai, com eventos anuais desde 2015. Desde 2018, vem sendo apresentado com o nome 0CTF/TCTF, devido ao envolvimento da gigante chinesa de tecnologia Tencent na organização, por meio da marca Tencent Security e grupos associados. O evento mais recente foi em setembro de 2021 (meses após a fase classificatória ), no estilo Jeopardy, online e com duração de 48 horas. Com desafios de exploração web e binária, o peso do evento foi de 95,00. Assim como no Hack.lu CTF 2021, a equipe vencedora foi a organizers. Embora no CTFtime a premiação conste como "0x20000 CNY", (é assim que também aparece no site do evento deste ano), supõe-se que os prêmios foram de 20.000 CNY para o 1º lugar, 10.000 CNY para o 2º e 8.000 CNY para o 3º (20.000 CNY equivaliam a cerca de US$ 3.100 na época). O 0CTF/TCTF 2022, em etapa única, será realizado em 17 de setembro e estará aberto a equipes do mundo todo, sem restrição de participantes por time. E você, encararia o desafio?

Esse foi o nosso Top 10 CTFs. Em breve, abriremos espaço para falar de competições alternativas (como Pwn2Own e Tianfu Cup), onde os participantes não trabalham em sistemas intencionalmente vulneráveis, mas sim em dispositivos e softwares reais do dia a dia, buscando descobrir vulnerabilidades de dia zero (zero-day).

Os CTFs costumam ser patrocinados por universidades ou grandes empresas e funcionam como um grande incentivo para testar habilidades em hacking ético e aprender ainda mais. Por conta disso e da diversão proporcionada, tornam-se atraentes não apenas para profissionais, mas também para iniciantes e pessoas buscando uma direção profissional. Como dito por Raman et al. há alguns anos: "Devido à extrema escassez de profissionais de segurança qualificados, existe uma necessidade crítica de realizar CTFs".

Você se interessa por cibersegurança? Gostaria de fazer parte de uma equipe de red team para realizar testes de invasão éticos em sistemas organizacionais e contribuir para a segurança deles? Se sim, clique neste link.