Google Pixel e Safari “cadono”, scardinati dagli hacker in pochi secondi

[banner]…[/banner]

Lo smartphone Google Pixel non resiste agli attacchi di un gruppo cinese di hacker e “crolla” insieme a Safari e l’ormai morente (ma è un po’ come sparare sulla Croce Rossa) Adobe Flash. Le dimostrazioni si sono svolte nel corso di PwnFest, competizione per hacker che si è svolta a Seoul. Il dispositivo di Big G è caduto sotto l’attacco di un gruppo denominato Qihoo 360 e che ha sfruttato una vulnerabilità non nota con la quale è riuscito ad ottenere un premio di 120.000$. Per l’exploit ha consentito di attivare il Google Play store al lancio di Chrome e visualizzare una pagina web con scritto: “Pwned By 360 Alpha Team”. Google è ora al lavoro su una patch. E la seconda volta in due settimane che la sicurezza del Pixel viene violata. La prima vulnerabilità (ancora da risolvere) tipo zero-day è stata individuata dai rivali di Qihoo 360, il gruppo “Keen Team” di Tencent, nel corso dell’evento Mobile Pwn2Own che si è svolto in Giappone.

Nel corso dell’evento di Seoul, gli hacker hanno dimostrato la possibilità di compromettere tutti gli aspetti del dispositivo, incluso l’accesso a contatti, foto, messaggi e telefonate. Anche per la versione di Safari inclusa in macOS Sierra è stata dimostrata una vulnerabilità. La squadra cinese nota come “Pangu Team” (rinominata per il jailbreak su iOS), insieme all’hacker “JH”, hanno fatto “cadere” Safari dimostrando la possibilità di ottenere i privilegi di root con una vulnerabilità zero-day che richiede solo 20 secondi per essere eseguiti: il tutto ha permesso al team di portare a casa 80.000$.

Come accennato all’inizio il team Qihoo 360 ha dimostrato anche l’ennesima vulnerabilità del Flash Player di Adobe in abbinamento a una falla nel kernel Win32k di Windows. Questa dimostrazione ha richiesto solo quattro secondi e consentito di portare a casa altri 120.000$. A conclusione del PwnFest sono state dimostrate vulnerabilità in Microsoft Edge e i primi explot zero-day che riguardano VMWare Workstation. Complessivamente gli hacker in questione hanno portato a casa 520.000$.