در مسابقه هکِ موبایلِ Pwn2Own 2018 که در ۱۳ و ۱۴ نوامبر در توکیو برگزار شد، هکرهای کلاه‌سفید بار دیگر نشان دادند که حتی گوشی‌هایی که تمام وصله‌های امنیتی نیز بر روی آن‌ها نصب شده است و از آخرین نسخه از نرم‌افزارهای تولیدشده توسط سازندگان تلفن‌های هوشمند نیز استفاده می‌کنند، می‌توانند موردحمله واقع شوند.
سه گوشی پرچم‌دار از ۳ تولیدکننده گوشی بزرگ یعنی گوشی‌های آیفون ایکس، سامسونگ گالاکسی S9 و شیائومی Mi6 در میان دستگاه‌هایی بودند که به‌صورت موفقیت‌آمیز در مسابقه سالانه هک تلفن همراه که توسط ZDI (متعلق به شرکت Trend Micro) برگزار می‌شود، موردحمله واقع شدند. همچنین جایزه پرداخت‌شده به هکرهای کلاه‌سفید درمجموع ۳۲۵،۰۰۰ دلار بود.
گروه‌های هکری از کشورهای مختلف و نمایندگان شرکت‌های مختلف سایبری در این مسابقه شرکت کردند و درمجموع ۱۸ آسیب‌پذیری روز صفر را در دستگاه‌های تلفن همراه اپل، سامسونگ و شیائومی کشف کردند. همچنین بهره‌بردارهایی را ارائه دادند که به آن‌ها اجازه می‌دهد تا به‌طور کامل کنترل دستگاه‌های مورد هدف را در اختیار گیرند.
اپل آیفون ایکس دارای سیستم‌عامل iOS نسخه ۱۲٫۱ موردحمله واقع شد!
یک تیم متشکل از دو محقق با نام‌های Richard Zhu و Amat Cama که خود را Fluoroacetate نام‌گذاری کردند، آسیب‌پذیری‌هایی را کشف کردند و موفق به بهره‌برداری از این آسیب‌پذیری‌ها در یک اپل آیفون ایکس از طریق Wi-Fi شدند.
این دو یک آسیب‌پذیری JIT(1) را در مرورگر وب Safari همراه با یک خطای خارج از محدوده(۲) در سیستم‌عامل iOS کشف کردند و از آن برای فرار از sandbox و افزایش سطح اختیارات برای exfiltrate داده‌ها از آیفون درiOS نسخه ۱۲٫۱استفاده کردند.
برای اثبات ادعای خود، این دو تصمیم گرفتند تا یک عکس را که اخیراً از یک آیفون مورد هدف حذف شده بود را بازیابی کنند. این تحقیق برای آن‌ها ۵۰،۰۰۰ دلار جایزه به ارمغان آورد.
تیم Fluoroacetate همچنین تلاش کرد تا از baseband به کار گرفته شده بر روی آیفون ایکس بهره‌برداری کند، اما نتوانست در زمان اختصاص داده‌شده از آن بهره‌برداری کند.
تیم دیگری از محققان بریتانیایی از MWR Labs (بخش F-Secure) که شامل Georgi Geshev ،Fabi Beterke و Rob Miller بودند، آیفون ایکس را از طریق مرورگر مورد هدف قرار دادند اما موفق نشدند در زمان اختصاص داده‌شده بهره‌برداری خود را اجرا کنند.
ZDI گفته است که این آسیب‌پذیری‌ها را از طریق برنامه کلی ZDI خود ارائه خواهد داد.
سامسونگ گالاکسی S9 نیز موردحمله واقع شد!
علاوه بر آیفون ایکس، تیم Fluoroacetate با استفاده از یک آسیب‌پذیری سرریز پشته(۳) حافظه در جزء baseband گوشی موفق به اجرای کد بر روی گالاکسی S9سامسونگ شد. این تیم ۵۰،۰۰۰ دلار برای کشف این آسیب‌پذیری به دست آورد.
Zero Day Initiative در یک پست وبلاگ نوشت[۱]:”حملات Baseband به‌ویژه زمانی به یک موضوع نگران‌کننده تبدیل می‌شود که کسی تصمیم می‌گیرد به یک شبکه Wi-Fi متصل نشود زیرا در هنگام اتصال به یک Baseband چنین اختیاری ندارد.”
سه آسیب‌پذیری متفاوت دیگر توسط تیم MWR کشف شد، که ترکیب آن‌ها منجر به بهره‌برداری موفقیت‌آمیز از سامسونگ گالاکسی S9 از طریق Wi-Fi شد و دستگاه را با اجبار به یک پورتال اسیر(۴) تبدیل کرد بدون اینکه هیچ اجازه‌ای از کاربر بگیرد.
در مرحله بعد، این تیم به‌منظور نصب نرم‌افزار سفارشی خود بر روی دستگاه مورد هدف یعنی سامسونگ گالاکسی S9 از یک مسیریابی مجدد(۵) ناامن و بارگیری برنامه ناامن استفاده کرد. آزمایشگاه MWR مبلغ ۳۰ هزار دلار برای این بهره‌برداری پاداش دریافت کرد.
شیائومی Mi6 نیز موردحمله واقع شد!
Fluoroacetate در اینجا متوقف نشد. این تیم همچنین موفق به استفاده از گوشی شیائومی Mi6 از طریق NFC (ارتباطات نزدیک-میدان(۶)) شد.
ZDI گفت: “با استفاده از قابلیت لمس برای اتصال(۷)، آن‌ها این گوشی را مجبور به باز کردن مرورگر وب و انتقال کاربر به یک صفحه وب دستکاری‌شده می‌کنند.”
“در حین اثبات ادعا، ما حتی متوجه نشدیم که این عملیات در حال رخ دادن است تا زمانی که خیلی دیر شده بود. به‌عبارت‌دیگر، یک کاربر هیچ فرصتی برای جلوگیری از وقوع این اقدام در دنیای واقعی ندارد.”
این آسیب‌پذیری برای تیم Fluoroacetate جایزه ۳۰٫۰۰۰ دلاری را به ارمغان آورد.
در روز دوم مسابقات، تیم Fluoroacetate نیز با موفقیت از یک آسیب‌پذیری سرریز عدد صحیح در موتور جاوا اسکریپتِ مرورگر وبِ گوشی هوشمند شیائومی Mi6 استفاده کرد که به آن‌ها اجازه می‌داد تصاویر را از دستگاه بیرون بکشند.
این اشکال برای آن‌ها ۲۵ هزار دلار جایزه را به ارمغان آورد.
آزمایشگاه MWR همچنین گوشی هوشمند شیائومی Mi6 را آزمایش کرده و پنج باگ مختلف را با هم ترکیب کرده است تا برنامه‌ی سفارشی خود را با استفاده از جاوا اسکریپت نصب کند، لیست سفید برنامهها را دور بزند و برنامه را به‌صورت خودکار اجرا کند.
برای رسیدن به هدفشان، این هکرهای کلاه‌سفید ابتدا مرورگر وب پیش‌فرض تلفن همراه شیائومی Mi6 را در هنگامی‌که این تلفن همراه به یک سرور Wi-Fi تحت کنترل آن‌ها متصل شد، مجبور کردند تا به یک وب‌سایت موذی هدایت شود.
ترکیب آسیب‌پذیری‌های کشف‌شده توسط تیم MWR جایزه ۳۰٫۰۰۰ دلاری را برای آن‌ها به ارمغان آورد.
در روز دوم این مسابقات[۲]، تیم MWR یک نقص دانلود همراه را با یک نصب نرم‌افزار مخفیانه برای بارگیری برنامه‌های کاربردی خودشان و exfiltrate برخی از تصاویر از تلفن همراه با یکدیگر ترکیب کرد. این کشف برای آن‌ها ۲۵٫۰۰۰ دلار دیگر را به ارمغان آورد.
یک محقق دیگر به نام Michael Contreras به‌صورت جداگانه، توانست از یک آسیب‌پذیری سردرگمی از نوع جاوا اسکریپت برای اجرای کد در گوشی شیائومی Mi6استفاده کند. او ۲۵ هزار دلار بدین منظور به دست آورد.
تیم Fluoroacetate برنده عنوان Master of Pwn در سال ۲۰۱۸ شد.
محققان Fluoroacetate یعنی Cama و Zhu با بالاترین امتیاز یعنی ۴۵ و مجموع امتیازات ۲۱۵،۰۰۰ دلاری، عنوان Master of Pwn را در این سری از مسابقات به دست آوردند، که پنج مورد از شش تست آن‌ها در برابر آیفون ایکس، گالاکسی S9 و شیائومی Mi6 موفقیت‌آمیز بود.
اطلاعات مربوط به تمام آسیب‌پذیری‌های روز صفر که در این رقابت‌ها کشف و مورد بهره‌برداری قرار می‌گیرند، پس از مدت ۹۰ روز در دسترس خواهند بود، همان‌طور که در پروتکل مسابقه pwn2Own وجود دارد که شامل اعلان به فروشندگان و پیاده‌سازی وصله OEM می‌شود.
این آسیب‌پذیری‌ها تا زمانی ادامه می‌یابند که فروشندگان این محصولاتِ آسیب‌پذیر، این مشکلات امنیتی را برطرف کنند.
منابع
[۱] https://www.zerodayinitiative.com/blog/2018/11/13/pwn2own-tokyo-2018-day-one-results
[۲] https://www.zerodayinitiative.com/blog/2018/11/14/pwn2own-tokyo-2018-day-two-results-and-master-of-pwn
[۳] https://thehackernews.com/2018/11/mobile-hacking-exploits.html
(۱) just-in-time
(۲) out-of-bounds
(۳) heap overflow
(۴) captive
(۵) redirect
(۶) near-field
(۷) touch-to-connect
ثبت ديدگاه