السبت، 17 نوفمبر 2018

كل من iPhone X و Samsung Galaxy S9 و Xiaomi Mi 6 يقعون فريسة للقرصنة في مسابقة القرصنة Pwn2Own في طوكيو

روّجت شركة Pwn2Own التي ترعاها شركة Trend Micro ، وهي مسابقة القرصنة السنوية ، التي عُقدت في مؤتمر أمان PacSec في طوكيو ، المتطفلين بنجاح باستخدام iPhone X و Samsung Galaxy S9 و Xiaomi Mi6. كما شاركت في المسابقة أجهزة أخرى مثل Google Pixel 2 و Huawei P20.
بالنسبة لأولئك غير المدركين ، تستضيف تريند مايكرو ، الشركة الرائدة عالمياً في مجال حلول الأمن الإلكتروني ، شركة Pwn2Own في محاولة لتعزيز برنامجها الخاص بمبادرة يوم الصفر (ZDI) ، المصمم لمكافأة الباحثين الأمنيين لاستغلال أحدث الأجهزة المحمولة وأكثرها شعبية وإثباتها والكشف عن نقاط الضعف الرئيسية في يوم الصفر لشركات التكنولوجيا. بعد المسابقة ، سيكون لدى البائعين 90 يومًا لإنتاج بقع لهذه الأخطاء.
اليوم الأول في Pwn2Own Tokyo 2018
في بداية اليوم الأول ، كان Amat Cama و Richard Zhu من فريق Fluoroacetate أول من اخترق XIAOMI 6 بمساعدة NFC.
استخدموا ميزة اللمس للتوصيل لفتح متصفح الويب على الهاتف والانتقال إلى صفحة الويب الخاصة بهم المصممة خصيصًا والتي بعدها استغلت صفحة الويب الكتابة خارج الحدود في WebAssembly للحصول على تنفيذ التعليمات البرمجية. حصل هذا الاختراق على 30،000 دولار أمريكي و 6 نقاط رئيسية في Pwn.
"خلال المظاهرة ، لم نكن حتى ندرك أن العمل كان يحدث حتى فوات الأوان. وبعبارة أخرى ، لن يكون لدى المستخدم فرصة لمنع حدوث هذا الإجراء في العالم الحقيقي ، "تقارير ZDI في مشاركة مدونة .
في وقت لاحق ، ذهب فريق Fluoroacetate لاستغلال هاتف آخر ، Samsung Galaxy S9. استخدموا تجاوز كومة في مكون baseband للحصول على تنفيذ التعليمات البرمجية على الجهاز. حقق هذا الاختراق فوز فريق آخر بمبلغ 50000 دولار أمريكي و 15 نقطة أخرى نحو Master of Pwn. اخترق Fluoroacetate أيضًا iPhone X عبر Wi-Fi باستخدام زوج من الأخطاء - وهي نقطة ضعف في JIT (Just-In-Time) في متصفح الويب متبوعًا بنجمة Out-Of-Bounds للكتابة عن هروب sandbox والتصعيد. جلب هذا الاختراق منهم مبلغ آخر قدره 60،000 دولار أمريكي و 10 نقاط إضافية من نقاط Pwn.
وإلى جانب فريق Fluoroacetate ، قام فريق آخر من مختبرات MWR ( جورجي جيشيف وفابي بيتيريك وروب ميلر ) من المملكة المتحدة بتجربة حظهم على هاتف Xiaomi 6 و Samsung Galaxy S9. في حالة XIAOMI 6 ، استخدموا استغلال تنفيذ الكود عبر Wi-Fi الذي أجبر متصفح الويب الافتراضي على الانتقال إلى صفحة مدخل. ثم قاموا بترتيب أخطاء إضافية معًا لتثبيت تطبيق عن طريق JavaScript ، وتجاوز القائمة البيضاء للتطبيق ، وتشغيل التطبيق تلقائيًا. حصل هذا الاختراق على فريق MWR $ 30،000 دولار أمريكي و 6 نقاط Master Pwn.
كما جمع فريق MWR Labs ثلاثة أخطاء مختلفة لاستغلال Samsung Galaxy S9 بشكل أكبر عبر Wi-Fi. أجبروا الهاتف على بوابة مقيدة بدون تدخل المستخدم ، ثم استخدموا إعادة توجيه غير آمنة وحملة تطبيق غير آمنة لتثبيت تطبيقهم المخصص. على الرغم من أنهم فشلوا في محاولتهم الأولى ، إلا أنهم نجحوا في اختراق محاولته الثانية ، والتي أكسبت الفريق 30،000 دولار أمريكي و 6 نقاط رئيسية أخرى في Pwn.
تلقى مايكل كونتريراس ، وهو باحث آخر دخول لهذا اليوم ، 25000 دولار أمريكي و 6 نقاط ماستر بوينت لقرصنة متصفح Xiaomi Mi 6 عبر خلل في نوع جافا سكريبت.
اليوم الثاني في Pwn2Own Tokyo 2018
بدأ اليوم الثاني في Pwn2Own Tokyo 2018 مع فريق Fluoroacetate باستغلال نقاط ضعف أخرى في يوم الصفر في iPhone X و Xiaomi Mi 6.
فقد جمع أول هاتف صفري لهاتف iPhone X صفر يومًا مع الخطأ JIT في المتصفح إلى جانب الوصول إلى خارج الحدود ، مما أدى إلى ظهور صورة تم حذفها من الهاتف المستهدف. جلب هذا الاختراق لهم 50000 دولار أمريكي.
في حالة Xiaomi Mi6 ، استخدم الفريق عددًا كبيرًا جدًا من الثغرات التي سمحت لهم بتفريغ صورة من الجهاز ، وكسبهم مبلغًا إضافيًا قدره 25000 دولار أمريكي.
اخترقت MWR مختبرات بنجاح Xiaomi Mi6 في اليوم الثاني. قاموا بتحميل تطبيق مخصص من خلال الجمع بين خلل التنزيل مع تثبيت التطبيق الصامت وسرقة بعض الصور من الهاتف. لقد كسبوا 25000 دولار أمريكي لهذا الاختراق.
فاز فريق Fluoroacetate بما مجموعه 45 نقطة و $ 215،000 دولار من الجوائز على لقب سيد Pwn!
تعليقات فيسبوك
0 تعليقات بلوجر

ليست هناك تعليقات:

إرسال تعليق

إتصل بنا

الإسم الكريم البريد الإلكتروني مهم الرسالة مهم