Nell’annuale competizione Pwn2Own, dove i ricercatori ottengono premi in denaro dimostrando falle e attacchi per le principali piattaforme e sistemi operativi, gli esperti in sicurezza hanno concentrato le loro attenzioni su iPhone 7, Samsung Galaxy S8, Google Pixel e Huawei Mate 9 Pro per mettere le mani su monte premi di oltre 500.000 dollari.
I ricercatori di Tencent Keen Security hanno dimostrato la possibilità di prendere di mira l’iPhone 7 con iOS 11.1 con due diversi metodi. Il primo hack ha sfruttato un bug nella connessione Wi-Fi e ha consentito al ricercatore di ottenere 100.000 dollari e 11 punti Master of Pwn, invece il secondo hack ha evidenziato una vulnerabilità di Safari permettendo di portare a casa altri 45.000 dollari e ottenere 12 punti Master of Pwn.
Il primo metodo ha messo in luce una vulnerabilità che consente il cosiddetto “privilege escalation”, in pratica la possibilità di ottenere un livello di accesso più alto di quello di un amministratore o di quello voluto dagli sviluppatori del sistema. È stata dimostrata la possibilità di eseguire codice con privilegi elevati in grado di rimanere presente nel sistema anche al riavvio. Nel secondo caso sono bastati pochi secondi per sfruttare due bug, uno nel sistema operativo e uno nel browser, eseguendo codice anche questo in grado di rimanere al riavvio.
Il ricercatore Richard Zhu ha mostrato due bug in Safari con i quali è riuscito a ingannare la sandbox (una tecnologia che costringe le applicazioni a essere avviate all’esterno di alcuni punti “strategici” del sistema operativo, limitando le operazioni che possono eseguire, garantendo così una maggiore sicurezza per il sistema e anche per l’utente finale) permettendo di ottenere 25.000 dollari nella categoria browser e 10 punti Master of Pwn.
Oltre a quelle qui evidenziate, sono state mostrate vulnerabilità su Samsung Galaxy S8 e su Huawei Mate 9 Pro, con le quali i ricercatori hanno portato a casa complessivamente 350.000 dollari in vari premi.
Nel 2016, secondo le analisi di Frost & Sullivan, la Trend Micro Zero Day Initiative (ZDI) ha riportato il 52,2% di tutte le 1.262 vulnerabilità scoperte a livello globale. È dal 2007 che la ZDI viene riconosciuta leader globale nella ricerca e identificazione delle vulnerabilità. Queste ultime sono indicate con anticipo ai vari vendor dando loro il tempo di risolverle (max 90 giorni) con i successivi aggiornamenti di sistema.
Eventi di questo tipo sono importati perché incoraggiano la scoperta delle vulnerabilità attraverso una competizione a premi, evitando così che vengano vendute nei mercati underground per scopi malevoli. Il Mobile Pwn2Own di quest’anno si svolge a Tokio, nei giorni 1 e 2 novembre.
