Прошедшая среда стала еще одним днем скорби для специалистов по компьютерной безопасности – на ежегодном хакерском соревновании Pwn2Own исследователи продемонстрировали, что Microsoft Internet Explorer, Mozilla Firefox, Apple Safari и iPhone уязвимы для эксплоитов, позволяющих осуществлять удаленное управление. Как костяшки домино, все эти платформы попадали одна за другой, продемонстрировав настораживающее отсутствие безопасности.

Чтобы претендовать на призы конкурса, хакеры должны были использовать ранее неизвестные уязвимости, позволяющие выкрасть важную информацию или осуществить удаленное выполнение вредоносного кода.

Представленные авторами эксплоиты обходят средства защиты, над которыми разработчики корпели годами. Это относится, в частности, к технологиям предотвращения выполнения данных (DEP) и рандомизации адресного пространства (ASLR) в случае с Microsoft и к подписыванию кода в случае с iPhone.

Исследователь Халвар Флэйк из немецкой фирмы Zynamics, взломавший iPhone с помощью эксплоита, написанного его коллегой Винченцо Йоццо, признал, что механизм подписывания кода сложен для понимания, поэтому не ясно, используется ли он в качестве меры безопасности или просто как средство предотвращения доступа к системе. Эта технология требует от загружаемого в память кода наличия действительной цифровой подписи, поэтому он исполняется только после ее проверки.

Чтобы обойти это, исследователи переставили фрагменты проверенного системой кода таким образом, чтобы составить из него вредоносный. В результате им удалось создать веб-сайт, открытие которого в iPhone приводит к тому, что смартфон загружает туда копию своей базы SMS-сообщений, содержащей список контактов и все отправленные, полученные и удаленные SMS, если они не стерты вручную.

Технологии DEP и ASLR, появившиеся вместе с третьим сервис-паком для Windows XP, показали себя ничуть не лучше. Так, Петер Врёгденил из голландской фирмы Vreugdenhil Research смог взломать ноутбук с браузером IE 8, работающим под управлением Windows 7, несмотря на то, что многие “белые хакеры” считают эту связку одной из самых устойчивых к взлому.

На сей раз Врёгденил не использовал для атаки Adobe Flash или какое-то другое стороннее ПО, добившись своего с помощью эксплоита, позволяющего установить местонахождение основного модуля, загруженного в оперативную память браузером Microsoft.

“Мне удалось обойти DEP, повторно использовав код в этом модуле для изменения параметров защиты”, - рассказал Врёгденил спустя несколько минут после того, как машина под управлением Windows 7 сама по себе запустила программу-калькулятор. По его словам, уязвимость позволила организовать выполнение кода в куче так, как требовалось, что представляется возможным не всегда. Дополнительную информацию об этом эксплоите можно почитать здесь.

Веб-обозреватель Firefox, работающий под Windows 7, также был повержен. Автором эксплоита для него стал Nils - хакер, который успешно взломал IE, Firefox и Safari на прошлогоднем соревновании. В этом году 26-летний эксперт успешно трудится в качестве главы отдела компьютерной безопасности InfoSecurity.

Специалисты Microsoft, коих на конкурсе присутствует великое множество, уже изучают проблему с IE. Глава отдела разработки этого браузера Пит Лепэйдж сообщил, что в случае подтверждения уязвимости для нее будет выпущен необходимый патч.

Браузер Safari тоже был взломан – на протяжении третьего года подряд он становится жертвой исследователя Чарли Миллера, который привез на Pwn2Own 20 эксплоитов, практически каждый из которых позволяет получить контроль над компьютером Mac с запущенным Safari. Миллер планирует подробно рассказать присутствующим, как он нашел все эти баги, используя лишь примитивный скрипт на языке Python.

Конкурс показал, что неуязвимых платформ не бывает. Например, Петер Врёгденил, взломавший IE8, в своем интервью сообщил, что использует Opera, но лишь потому, что у этого браузера мизерная рыночная доля и никто не заинтересован в разработке методов атаки против него. По его словам, единственная проблема Microsoft – это доминирующая позиция на рынке.

Стоит отметить также, что за взлом iPhone победители получили 15 000 долларов, а за взлом браузеров – по 10 000 долларов. Общий призовой фонд конкурса составляет 100 000 долларов. Впереди еще два дня соревнований.