A Pwn2Own já é um evento bastante tradicional no meio da informática. Uma vez por ano, hackers reúnem-se em torno de um objetivo comum: invadir sistemas explorando brechas de navegadores. Em 2010, os primeiros resultados são bem similares aos vistos ano passado.
O primeiro a cair foi o Safari no Mac OS X 10.6 (Snow Leopard). Tido como um sistema seguro, a facilidade com que o navegador/sistema da Apple é invadido, ano após ano, põe essa certeza em xeque. Charlie Miller, o mesmo hacker que invadiu o sistema ano passado e em 2008, fez o serviço mais uma vez, agora usando um exploit remoto via site, acessado pelos organizadores do evento.
Na sequência, foi a vez do Internet Explorer 8 no Windows 7 sucumbir. O holandês Peter Vreugdenhil usou um ataque de quatro camadas para burlar proteções nativas do Windows 7, como DEP e ASLR, e então utilizou-se também de um expoit remoto para tomar o controle da máquina.
Próximo: Firefox 3.6 no Windows 7 64-bit. O alemão Nils usou a Calculadora do sistema operacional para causar uma vulnerabilidade de corrupção de memória para executar a invasão, não sem antes também desabilitar DEP e ASLR. Ele diz que poderia ter iniciado o ataque a partir de qualquer processo, e levou alguns dias para criar o código invasor.
Apenas o Chrome ficou de pé, e ninguém sequer ousou tentar invadi-lo. Charlie Miller, ano passado, deu algumas dicas sobre o porquê do navegador do Google ser tão seguro:
"Existem alguns bugs no Chrome, mas eles são difíceis de se explorar. Tenho uma vulnerabilidade do Chrome bem aqui, mas não sei como explorá-la. É bem difícil. Eles têm aquele modelo de sandbox, que é complicado de burlar. Com o Chrome, é uma combinação de fatores - você não consegue executar na pilha, nas proteções do sistema operacional (Windows) e na sandbox."
Todos os hackers que obtiveram sucesso levaram, além do próprio notebook usado no teste (MacBook Pro 15", HP Envy Beats 15", Sony Vaio 13" e Alienware M11x), US$ 10.000,00 e 20000 ZDI points, que dá direito a mais dinheiro, viagem e cadastro na DEFCON, em Las Vegas.
Lembrando que todos os sistemas e programas usados nos testes estava atualizados ao máximo, e as falhas exploradas só serão divulgadas após os fabricantes taparem os buracos usados para a execução delas.
Fonte: Neowin.
Quem escreveu?
Rodrigo P. Ghedin. Blogger, MVP Microsoft, acadêmico de Sistemas de Informação e bacharel em Direito.
Posts deste autor — Mande um e-mail
-
Alguém
-
Alguém
-
MrFriend
-
Willians
-
nacan
-
Ermeson
-
Rodrigo
-
Maumau Takemura
-
Rodrigo
-
Maicon
-
Rodrigo
-
Maicon
-
Bruno Soares
-
TIGOS
-
Rafael Grynszpan
-
Rafael Grynszpan
-
Darius Skipp
-
Rafael
-
FNunes
-
Hendrix
-
Guest
-
gsctt
-
Guest
-
Rafael
-
Rodrigo Ghedin
-
Rafael
-
Rodrigo Ghedin
-
Rodrigo Ghedin
-
Rafael
-
Rafael
-
MalarKeY
-
Rafael Grynszpan
-
gsctt
-
Pablo
-
gsctt
-
MalarKeY
-
irley
-
Rafael Albuquerque



Processing your request, Please wait....
Feed RSS
Facebook
Twitter
YouTube







