Mobilutgaven av hackerkonkurransen Pwn2Own ble arrangert av HP ZDI i Tokyo tidligere denne uken. Målet for deltakerne er å kompromittere utvalgte enheter ved å utnytte til nå ukjente sikkerhetshull.
Konkurransen varte i to dager. I alt sju deltakergrupper forsøkte å knekke sikkerheten til flere kjente smartmobiler.
Alle de fem første forsøkene var vellykket. lokihardt@ASRT-gruppen fra Sør-Korea gjennomførte et vellykket angrep mot iPhone 5S ved hjelp av en kombinasjon av to sårbarheter, hvorav den ene gjorde det mulig å trenge helt gjennom sandkassen til Safari-nettleseren.
NFC
Team MBSD fra Japan lyktes med en angrep mot Galaxy S5. NFC ble brukt som angrepsvektor for å utløse en «deserialiseringfeil» i Samsung-spesifikk kode.
Jon Butler fra sørafrikanske MWR InfoSecurity angrep også NFC-funksjonaliteten i Galaxy S5 og lyktes med å utnytte en logisk feil som kan utløses på denne enheten.
NFC var også utgangspunktet for et angrep mot LG Nexus 5. Adam Laurie fra britiske Aperture Labs greide å gjennomføre et angrep som tvinger fram Bluetooth-paring mellom telefoner ved å utnytte en kombinasjon av to sårbarheter. Det bemerkes at noe tilsvarende har blitt vist i tv-serien «Person of Interest».
Amazons første Fire Phone har ikke vært noen stor suksess rent salgsmessig, og den lyktes heller ikke å stå imot angrepet fra tre andre ansatte i MWR InfoSecurity, Kyle Riley, Bernard Wagner og Tyrone Erasmus. Disse utnyttet tre ulike sårbarheter i et angrep rettet mot enhetens nettleser og lyktes med dette.
Ikke helt vellykket
Det sjette angrepet, som ble utført under dag to av arrangementet, var rettet mot Nokia Lumia 1520. Nico Joly som er tilknyttet franske Vupen, lyktes derimot ikke helt med sitt angrep mot den Windows Phone-baserte enheten. I angrepet forsøket Joly å trenge inn via nettleseren. Han oppnådde å få tilgang til dataene i cookie-databasen, men sandkassen sto imot, slik at Joly ikke fikk full kontroll over systemet. Derfor regnes angrep bare som delvis vellykket.
Enda dårligere gitt det i det sjuende forsøket. Deltakeren var Pwn2Own-veteranen Jüri Aedla, som i våres lyktes med å angripe Firefox. Han forsøkte nå å utnytte WiFi-funksjonaliteten til en Nexus 5-enhet, greide ikke å oppnå heve privilegiene sine til et høyere nivå enn det som var utgangspunktet.
Ingen av flere detaljer om sårbarhetene som ble utnyttet i konkurransen, vil bli offentliggjort før leverandørene av enhetene har gjort sikkerhetsfikser tilgjengelige for brukerne.
Les også:
- [14.03.2014] Ingen nettlesere besto testen
- [15.11.2013] Knekket nettlesere og mobilapper
- [25.09.2012] iPhone 4S og Galaxy S III knekket
