Samsung S9 e iPhone X falham em competição de segurança que distribuiu mais de R$ 1 milhão em prêmios

O Galaxy S9, o iPhone X e o Xiaomi Mi6 tiveram sua segurança comprometida de várias formas na já tradicional competição de segurança Pwn2Own, que finalizou sua edição anual em Tóquio, focada em dispositivos móveis, nesta quarta-feira (14). A Zero Day Initiative (ZDI), da Trend Micro, organizadora do evento, distribuiu US$ 325 mil (cerca de R$ 1,2 milhão) em prêmios em dois dias.

A Pwn2Own oferece prêmios em dinheiro para especialistas que puderem demonstrar vulnerabilidades inéditas nos dispositivos participantes do evento. Nesta edição, o Xiaomi Mi6, o Samsung Galaxy S9 e o Apple iPhone X foram atacados por dois grupos de especialistas, Fluoroacetate e MWR Labs, e um indivíduo, Michael Contreras.

O Google Pixel 2 e o Huawei P20 também estavam disponíveis, mas ninguém se inscreveu para atacar esses aparelhos. Duas das quatro tentativas de ataque ao iPhone X fracassaram: os especialistas não conseguiram fazer o código de ataque funcionar dentro do tempo limite estabelecido pela competição. As outras duas, no entanto, foram bem-sucedidas.

Quanto mais complexo e mais vulnerabilidades um ataque utilizar, maior é a pontuação e a premiação na Pwn2Own. A dupla Fluoroacetate, formada por Amat Cama e Richard Zhu, saiu vitoriosa do evento, com US$ 215 mil em prêmios.

Os detalhes técnicos de todas as vulnerabilidades exploradas são comunicados aos desenvolvedores. Isso significa que atualizações devem ser lançadas para fechar essas brechas e impedir que esses ataques ocorram em ambientes reais. Como acordo para participarem da competição, os especialistas se comprometerem a não divulgar nenhuma informação técnica sobre as falhas — que permitiria que outras pessoas copiassem esses ataques.

Apple iPhone X

A dupla formada por Amat e Richard (Fluoroacetate) combinou duas vulnerabilidades para conseguir explorar o iPhone via Wi-Fi após o usuário se conectar a uma rede maliciosa.

A mesma dupla usou uma brecha no navegador (que pode ocorrer após a visita um site malicioso, por exemplo) para capturar dados armazenados no telefone. Eles conseguiram extrair uma foto que já havia sido apagada.

Samsing Galaxy S9

A dupla Fluoroacetate explorou uma falha no rádio (componente de conexão à rede celular) do Samsung Galaxy S9 que permite executar códigos não autorizados no aparelho.

O MWR Labs usou uma sequência de três vulnerabilidades para fazer o S9 abrir uma página web logo após a conexão ao Wi-Fi. A página web também explorava uma vulnerabilidade que permitia instalar um aplicativo não autorizado no aparelho.

Xiaomi Mi6

A dupla Fluoroacetate conseguiu realizar execução de código (instalação não autorizada de aplicativo) via rádio NFC (comunicação de curta distância). Segundo os organizadores, esse ataque ocorre rapidamente e um usuário não teria qualquer chance de impedi-lo no mundo real.

Em outro ataque, a dupla usou uma falha no navegador para extrair uma foto armazenada no telefone
Os especialistas do MWR Labs conseguiram usar uma sequência de vulnerabilidades para atacar o telefone via Wi-Fi. A falha pode ser explorada desde que o usuário se conecte ao Wi-Fi. Depois disso, o telefone automaticamente abre uma página web maliciosa e um aplicativo é instalado sem autorização.

O segundo ataque do MWR Labs contra esse aparelho também extraiu fotos armazenadas através de uma brecha no navegador.

Michael Contreras usou uma falha no processamento de Javascript no celular para conseguir executar um código indevidamente.

G1