Pwn2Own: Hakovani Chrome, IE 10 i Firefox

Vesti, 08.03.2013, 08:05 AM

Nagradni fond ovogodišnjeg hakerskog takmičenja Pwn2Own koje se održava u okviru konferencije CanSecWest u Vankuveru, u Kanadi, je skoro u potpunosti potrošen jer su hakeri osvojili ukupno 480000 dolara ubedljivo porazivši proizvođače softvera.

Tokom protekla dva dana, hakovani su Microsoft Explorer 10, Google Chrome i Mozilla Firefox. Osim browser-a, hakeri su savladali i Java-u, Adobe Flash Player i Adobe Reader. Jedini program, učesnik takmičenja, koji nije hakovan je Apple-ov Safari na Mac OS X Mountain Lion.

Osim novčanih nagrada, hakeri će svojim kućama poneti i laptop računare koje su uspeli da hakuju.

„U svetu Pwn2Own, uspešan napad znači da samo pregledavanjem nepouzdanog web sadržaja možete ubaciti i pokrenuti proizvoljan izvršni kod izvan browser-a“, kaže Pol Daklin iz Sophos-a. U stvarnom svetu, to znači da možete izvesti drive-by install napad, u kojem zaobilazite sve zaštite, preventivne mere i pop-up upozorenja browser-a.“

Istraživači francuske firme VUPEN Security su u sredu hakovali Microsoft Surface Pro sa Windows 8 i to zahvaljujući dvema 0-day ranjivostima u IE 10. VUPEN-ovi hakeri su koristili tako "elegantnu" ranjivost u IE 10 da čak nije došlo ni do pucanja browser-a tokom napada. Oni su pokrenuli proces izvan sandbox-a tako da napadnti korisnik, u realnim okolnostima, ne bi čak ni znao da je hakovan.

Ubrzo posle toga, isti istraživači su hakovali i Firefox zahvaljujući use-after-free ranjivosti kao i potpuno novoj tehnici kojom su zaobišli ASLR (Address Space Layout Randomization) i DEP (Data Execution Prevention) na Windows 7.

Istraživači VUPEN-a su kompromitovali i Adobe Flash Player a zajedno sa nezavisnim istraživačem Benom Marfijem, Džošuom Drejkom iz Accuvant-a i Džejmsom Foršovom iz Context Information Security uspešno su napali i Java-u. Džordž Hoc je hakovao Adobe Reader, dok su istraživači MWR Labs-a hakovali Google Chrome. Oni su demonstrirali exploit protiv ranije nepoznatih ranjivosti u Google Chrome-u na laptop računaru sa Windows-om. Posetom malicioznoj stranici moguće je iskoristiti novootkrivenu ranjivost koja omogućava izvršavanje koda napadača. Oni su koristili i ranjivost u kernelu operativnog sistema na računaru kako bi stekli povišene privilegije na sistemu i izvršili svoje komande izvan sandbox-a. To je uspelo uprkos ASLR i DEP zaštiti kojom raspolaže Windows 7.

Ipak, u Google-u ima razloga za zadovoljstvo jer niko nije odgovorio na Pwnium izazov koji je pred hakere stavio zadatak da savladaju Chrome OS, tako da iz nagradnog fonda od preko 3 miliona dolara koji je Google namenio za tu svrhu, nije otišao ni peni.

Sve informacije o ranjivostima i exploit-ima učesnici Pwn2Own moraće da proslede HP Zero Day Inicijativi koja je sponzor hakerskog takmičenja.

Zanimljivo je i to da su istraživači VUPEN-a ipak odlučili da se opet pojave na takmičenju. Direktor VUPEN-a je rekao da su razmišljali da li uopšte da učestvuju na takmičenju zbog toga što cene dobrih i pouzdanih exploit-a postaju sve veće. On kaže da su istraživači VUPEN-a proveli nekoliko nedelja tražeći ranjivost u IE 10 i još nekoliko nedelja utrošili na pisanje exploit-a. „Čak i nagrade na Pwn2Own ne pokrivaju taj trošak“, kaže Bekrar, direktor VUPEN-a. On je dodao da je Chrome koga su hakovali istraživači njegove firme najteža meta zbog sandbox-a i kontinuiranih napora Google-a da ispravi sigurnosne propuste, ali i da je Java najlakša meta za napad zato što nema sandbox i zato što je njen kod isuviše veliki.

Odnos između otkrivenih ranjivosti i bezbednosti browser-a je realan problem koji neće uskoro biti rešen, smatraju stručnjaci. Često se dešava da kod koji se dodaje da bi se rešio problem jedne ranjivosti zapravo pruža nove mogućnosti za napade.