0
0
Pesquisadores de segurança e hackers demonstraram 63 vulnerabilidades de dia zero em dispositivos populares no Pwn2Own mais recente, explorando impressoras da Canon, HP e Lexmark e roteadores e dispositivos de armazenamento conectados à rede da Synology e Netgear.
De acordo com a Zero Day Initiative (ZDI) da Trend Micro, que organizou a competição na semana passada, a coleção de vulnerabilidades rendeu US$ 989.750 para os especialistas em segurança cibernética ofensiva competindo na competição. Enquanto alguns ataques encadearam uma série de exploits para assumir o controle dos dispositivos remotos, incluindo um que usou cinco vulnerabilidades, outros encontraram uma única falha de segurança para atingir, como a equipe Pentest Limited, que encontrou um exploit confiável de clique único no Celular Samsung Galaxy S22 que precisou de menos de um minuto para atacar.
A exploração da Samsung destacou que vulnerabilidades significativas estão disponíveis, diz Dustin Child, chefe de conscientização de ameaças da Zero Day Initiative da Trend Micro.
“Basta clicar em um link em um dispositivo afetado e você será possuído”, diz ele. “É um bug muito confiável também. Uma pesquisa muito impressionante e uma demonstração bastante eficaz de por que clicar em links desconhecidos pode ser perigoso.”
Foco em IoT e dispositivos móveis
Pwn2Own começou em 2007 como um concurso anual conectado com a conferência anual CanSecWest, mas desde então se ramificou em dois concursos: um focado em sistemas operacionais e aplicativos de computador, e o outro – que inclui o concurso mais recente – focado em dispositivos e a Internet de Coisas.
Durante os quatro dias do concurso, especialistas ofensivos em segurança cibernética descobriram um número significativo de vulnerabilidades em impressoras e roteadores de grandes marcas, mas também visaram alto-falantes Bluetooth e armazenamento conectado à rede, afirmou a ZDI em um resumo dos resultados do concurso .
Como muitos dos dispositivos são comumente usados por pequenas e médias empresas (SMBs), as empresas devem considerar os resultados da competição como um alerta, diz Child.
“No mínimo, as PMEs devem entender que, embora possam sentir que não são grandes o suficiente para serem um alvo, seus dispositivos podem e serão alvo de ameaças”, diz ele. “Neste momento, os invasores estão apenas procurando adicionar nós à sua rede de bots, mas, independentemente da intenção, os dispositivos dos quais dependemos para negócios podem ser comprometidos se deixados sem defesa”.
Estouros de buffer continuam a se infiltrar
Infelizmente, uma das classes de vulnerabilidades que continua a representar um campo fértil de exploração para invasores são as vulnerabilidades de segurança de memória, como estouros de buffer. Embora as principais empresas de software tenham começado a usar linguagens de programação seguras para evitar problemas relacionados à memória, muitos fabricantes de dispositivos ainda estão atrasados.
Muitas das vulnerabilidades descobertas durante o concurso eram estouros de buffer, diz Child.
“Esta forma de corrupção de memória é conhecida há algum tempo, por isso ficamos um pouco surpresos ao ver que ainda prevalece em vários dispositivos”, diz ele.
Entre os dispositivos mais visados estavam as impressoras, com as impressoras Lexmark, HP e Canon entre as preferidas pelos participantes. Embora os roteadores também representem uma parcela significativa dos dispositivos visados, eles teriam sofrido mais abusos este ano, exceto que os patches de última hora da Netgear e TP-Link eliminaram os pontos fracos direcionados, forçando os concorrentes a se retirarem da competição, diz Child.
Jogando o Mario Theme em um Lexmark
Algumas das explorações da impressora mostraram criatividade adicional. No passado, os hackers se contentavam em explorar um sistema e forçá-lo a executar o Microsoft Paint ou abrir um aplicativo de calculadora como uma demonstração de seu potencial para executar código arbitrário. No Pwn2Own mais recente, no entanto, hackers bem-sucedidos exibiam Pokémon ou outro personagem de anime na pequena tela de controle da impressora.
Talvez o mais impressionante seja que a equipe do Horizon3 AI usou o som de alerta do sistema em uma impressora Lexmark para reproduzir o tema de Mario, mesmo que o dispositivo não tenha essa funcionalidade.
“Como a impressora não tem alto-falante, não esperávamos que ela tocasse uma música, mas eles modulam a frequência do bipe para adicionar a função musical”, diz Child.
Os provedores de gerenciamento de dados Synology e o gigante on-line Google co-patrocinaram o concurso.
FONTE: DARK READING