Hackers encontram brechas em iPhone , Samsung e Xiaomi
Na competição de hacking mobile Pwn2Own 2018 realizada em Tóquio em 13 e 14 de Novembro, os hackers denominados white hat mais uma vez demonstraram que até mesmo os smartphones executando as versões mais atualizadas de suas respectivas fabricantes podem ser invadidos sem problemas.
Os três smartphones emblemáticos (iPhone X, Galaxy S9 e Xiaomi Mi6) estavam entre os dispositivos que foram hackeados com sucesso no concurso anual de de hackers organizados pela Zero Day Initiative (ZDI) da Trend Micro, que rendeu US$ 325.000 de recompensa aos hackers white hat participantes.
As equipes de hackers participaram de diferentes países ou representando diferentes empresas de cybersegurança divulgaram um total de 18 vulnerabilidades de dia zero em dispositivos móveis fabricados pela Apple, Samsung e Xiaomi, bem como explorações criadas que permitiram que assumissem completamente os dispositivos de destino.
iPhone foi hackeado rodando a versão iOS 12.1
Uma equipe de pesquisadores, Richard Zhu e Amat Cama, denominado Team Fluoroacetate, descobriram e conseguiram explorar um par de vulnerabilidades em um iPhone X totalmente com patch por Wi-Fi.
A dupla combinou uma vulnerabilidade just-in-time (JIT) no navegador Web iOS (Safari) junto com um erro de gravação fora dos limites para o escape e escalação de sandbox para exfiltrar dados do iPhone executando a versão 12.1.
O Team Fluoroacetate mostrado acima, também tentou explorar a banda de base no iPhone X, mas não conseguiu que o exploit funcionasse no tempo previsto.
Outra equipe de pesquisadores da MWR Labs (uma divisão da F-Secure), que incluiu Geogi Geshev, Fabi Beterke e Rob Miller, também acabaram o iPhone X na categoria de navegadores, mas também não conseguiram que o exploit fosse executado dentro do prazo alocado.
A ZDI disse que vai aderir essas vulnerabilidades através do seu programa geral.
Como o Samsung Galaxy S9 foi hackeado?
Além do iPhone X, a equipe Fluoroacetate também conseguiu invadir o Galaxy S9 explorando uma vulnerabilidade de estouro de heap de memória no componente de banda base do telefone obtendo-se a execução do código. A equipe ganhou US$ 50.000 pelo problema.
Os ataques de banda básica são especialmente preocupante, já que alguém pode optar por não participar de uma rede Wi-Fi. Mas eles não tem esse controle quando se conectam ao baseband”, escreveu a Zero Day Initiative em um post
(Dia 1)
Mais três vulnerabilidades diferentes foram descobertas pela equipe da MWR, que as combinou para explorar com sucesso o Galaxy S9 através de Wi-Fi, forçando o dispositivo a um portal cativo sem qualquer interação do usuário.
Em seguida, a equipe usou um redirecionamento inseguro e uma carga insegura de aplicativos para instalar seu aplicativo personalizado no dispositivo. A MWR Labs foi recompensada em US$ 30.000 por sua exploração.
Detalhes das brechas localizadas no Xiaomi Mi6
Era realmente o dia do Fluoroacetate Team, onde a equipe também localizou vulnerabilidades no dispositivo chinês da Xiaomi, via NFC (near-field-communications).
Usando o recurso de toque para a conexão, eles forçaram o telefone a abrir o navegador e acessar a página devidamente criada”, disse a ZDI.
Durante a demonstração, nem percebemos que a ação estava ocorrendo até que fosse tarde demais. Em outras palavras, um usuário não teria chance de impedir que essa ação acontecesse em tempo real”.
A vulnerabilidade rendeu a equipe da Fluoroacetate cerca de US$ 30.000. No segundo dia da competição, a Fluoroacetate team também localizou com sucesso uma vulnerabilidade de estouro de número inteiro no mecanismo de JavaScript do navegador web do Xiaomi Mi6, permitindo que fosse filtrado uma imagem do dispositivo.
O bug ganhou outros US$ 25.000.
A MWR Labs também testou o Xiaomi Mi6 e combinou cinco novos bugs diferentes para instalar silenciosamente um aplicativo personalizado via JavaScript, ignorando a lista de permissões do aplicativo e assim inicializando o aplicativo automaticamente.
Para atingir seus objetivos, os hackers forçaram o navegador do Mi6 a executarem um site malicioso, quando o telefone estava conectado ao servidor sendo controlado por eles.
A combinação de vulnerabilidades rendeu a equipe da MWR mais US$ 30.000.
No segundo dia, a equipe do MWR combinou uma falha de download junto a uma instalação silenciosa para carregar seu aplicativo personalizado e filtrar imagens do telefone. Isso rendeu mais US$ 25.000 ao grupo.
Um pesquisador separado, Michael Contreras, conseguiu explorar uma vulnerabilidade de confusão do JavaScript para obter a execução de código no aparelho da Xiaomi. Ele ganhou US$ 25.000 pela descoberta.
Vencedores
O Fluoroacetate Team levou o título desse ano, com o maior número de pontos em um total de US$ 215.000, os pesquisadores Camafeu e Zhu ganharam o título de ‘Mestre de Pwn‘, registrando cinco das seis demostrações bem sucedidas de façanhas contra o iPhone X, Galaxy S9 e Xiaomi Mi6.
Todas as vulnerabilidades descobertas e exploradas na competição estarão detalhadamente disponíveis em 90 dias. Tais brechas, de acordo com o protocolo do evento, serão notificadas para fornecedores para implementações de patches OEM.
As vulnerabilidades permanecerão abertas até que os fornecedores afetados emitam correções de segurança para resolvê-las.
