 |
| Hackers faturam meio milhão de dólares por falhas em celulares em competição |
A Pwn2Own é um evento tradicional cuja organização já passou pelas mãos da 3Com e da HP. Ele é realizado desde 2007 e conta atualmente com duas edições anuais, uma no Canadá, onde a competição surgiu, e outra no Japão. Neste ano, a edição canadense, realizada em março, pagou US$ 833 mil por 51 vulnerabilidades inéditas, mas tinha foco em sistemas de virtualização e programas para computador. A edição japonesa, realizada nos dias 1º e 2 de novembro, teve foco em dispositivos móveis.
Embora todas as falhas demonstradas sejam inéditas, espera-se que os fabricantes dos softwares lancem atualizações para corrigir os defeitos encontrados em breve.
Ataque contamina iPhone com conexão ao Wi-Fi
Entre os feitos mais impressionantes do evento está um ataque demonstrado pelos especialistas em segurança da chinesa Tencent. Eles conseguiram utilizar falhas no sistema do iPhone para contaminar o celular apenas com uma conexão a uma rede Wi-Fi maliciosa. O celular da Apple estava usando a versão mais recente do iOS, a 11.1, lançada um dia antes do início do evento.
Pela primeira vez na Pwn2Own, foram demonstradas brechas no rádio dos celulares. Chamados de "ataques em banda base", eles têm alto potencial destrutivo, já que comprometem a conexão do celular aos sinais 3G ou 4G. Duas brechas em banda base foram demonstradas: uma, da Tencent, que afetou o celular Huawei Mate9 Pro e permitiu a alteração do IMEI do aparelho, enquanto segunda, a única participação de um especialista identificado como "acez" no evento, conseguiu contaminar com vírus um celular Samsung Galaxy S8.
Um ataque demonstrado pelo MWR Labs no Samsung Galaxy S8 também chamou atenção pelo número de falhas envolvidas: foram 11 vulnerabilidades encadeadas para conseguir infectar o aparelho por meio de um site na web.
Os outros ataques demonstrados no evento os navegadores dos celulares, tanto dos aparelhos com Android como o Safari, no caso do iPhone. Um dos ataques contra o Safari foi demonstrado por Richard Zhu, o quinto participante do evento a pontuar.
Tencent venceu competição
Além dos prêmios em dinheiro, a Pwn2Own pontua cada ataque demonstrado. A vencedora desta edição foi a Tencent, com 44 pontos. Em segundo lugar ficou a 360 Security, com 27. A 360 Security havia sido a vencedora da edição canadense, quando a Tencent participou com três times diferentes e diluiu a pontuação da empresa.
Os dois ataques que mais pontuaram foram os ataques em banda base, que ficaram com 20 pontos cada. Isso garantiu o primeiro lugar da Tencent e também o quarto lugar de "acez", atrás do MWR Labs, que ficou em terceiro. Eis o ranking final do evento:
1. Tencent - 44 pontos (3 ataques)
2. 360 Security - 27 pontos (3 ataques)
3. MWR Labs - 21 pontos (2 ataques)
4. Acez - 20 pontos (1 ataque)
5. Richard Zhu - 10 pontos (1 ataque)
