Najnowsze Microsoft Edge i VMware Workstation nie miały szans z hakerami w Seulu
Hakerzy z chińskiej firmy Qihoo 360 mogą być z siebie dumni.Podczas imprezy PwnFest 2016 na konferencji Power of Community wSeulu pokazali, że zabezpieczenia Microsoftu i VMware są dla nichniczym. Jeden z ich zespołów zdołał przeprowadzić atak zdalnegouruchomienia kodu, i to z uprawnieniami administracyjnymi, nanajnowszym, w pełni załatanym Windows 10 z gałęzi Redstone 1,drugi, po raz pierwszy w historii zrobił to samo z oprogramowaniemwirtualizacyjnym VMware Workstation.
Na PwnFest 2016 hakerzy mają za zadanie atakować różnepopularne platformy software’owo-sprzętowe, wśród których sąm.in. Android 7 na nowych smartfonach Pixel, Safari na macOS-ieSierra na nowych MacBookach Pro, czy Adobe Flash i Microsoft Edge naWindows 10 Redstone 1. Szczegółowe informacje o odkrytych lukachtrafią nie na czarny rynek lecz bezpośrednio do producentów, aleuczestnicy konkursu nie mają powodów do niezadowolenia – nagrodysą naprawdę niezłe.
O ataku na Windows 10 i Edge wiemy tylko tyle, że przygotowywanogo przez sześć miesięcy, wykorzystuje trzy exploity lukuse-after-free, out-of-boundary read oraz out-of-boundary write.Ciekawostką może być to, że zespół Qihoo został zaskoczonynajnowszymi łatkami Microsoftu, za sprawą których exploityprzestały działać. Chłopcy z Pekinu nie poddali się jednak,pracując non-stop przez 30 godzin zdołali poprawić swoje exploity– i znów przeglądarka Edge należała do nich.
Warto podkreślić, że drugi niezależny atak na najnowsze, wpełni załatane Edge pokazał koreański haker Junghoon Lee(„Lokihardt”). Podobno wykorzystuje zupełnie inne luki i jestniezwykle szybki. Przejęcie przeglądarki Microsoftu zajęło odrozpoczęcia ataku zaledwie 18 sekund. Zarówno Lokihardt jak iChińczycy z Qihoo dostali nagrody w wysokości 140 tys. dolarów.
Koreański haker nieźle się wzbogacił na tym konkursie, gdyżza swój exploit przeciwko najnowszemu VMware Workstation 12.5.1dostał 150 tys. dolarów, niezależny atak na to oprogramowanieprzedstawił też drugi zespół z Qihoo.
Czekamy teraz na skuteczne ataki na Androida (do wygrania nawet140 tys. dolarów), iOS-a 10 (nawet 180 tys. dolarów), Google Chrome(140 tys. dolarów) i Microsoft Hyper-V (150 tys. dolarów).Obserwatorzy są przekonani, że oprogramowanie Google, Apple iMicrosoftu nie ma szans ze zdolnymi Azjatami.