Pwn2Own, l'anno della fuga

Milano – L’edizione 2017 di Pwn2Own sarà ricordata a lungo per come è andata la terza e ultima giornata della manifestazione. Quest’anno si è assistito a un tipo di attacco inedito : quello che ha visto in un colpo solo cadere sotto i colpi dei ricercatori di sicurezza non solo un software oggetto dell’hack, bensì anche il sistema operativo su cui girava e persino la virtual machine all’interno della quale era stata caricata l’immagine dell’OS. Una tripletta che è stata segnata da ben due team presenti, che non a caso si sono anche aggiudicati un assegno sostanzioso e la vetta della classifica generale.

La palma del vincitore quest’anno spetta al team di 360 Security , compagine di origine cinese che è riuscita a sbaragliare tutti grazie al successo dell’ultimo giorno: in 90 secondi hanno fatto fuori il browser Microsoft Edge, l’immagine di Windows su cui girava e pure a virtual machine di VMWare entro cui il sistema operativo era in esecuzione. Tre bug messi in fila , il team di 360 Security non ha voluto rivelare quanto lavoro c’è stato dietro questa tripletta da sogno, che in ogni caso gli è valsa 27 punti in classifica e un assegno da 105mila dollari a riconoscimento dell’impresa.

Il bello è che, sfruttando vulnerabilità diverse , c’è stato anche un altro team che ha ottenuto lo stesso risultato: secondo il cassifica, Tencent Security Team Sniper ha bucato il sistema operativo ospite (ancora Windows) attraverso un doppio bug, per poi violare di nuovo VMWare e conquistare così 100mila dollari e 13 punti Master of Pwn. Un’impresa che, sottolineano da Trend Micro che gestiva questa edizione di Pwn2Own, vale più di quanto non appaia poiché a bordo della virtual machine non erano installati strumenti software di qualsiasi genere per mettere in comunicazione il sistema operativo ospite con l’hardware della macchina .

Abbiamo fin qui descritto i due exploit più eclatanti , ma non sono mancati grattacapi per praticamente qualsiasi altro software ben diffuso in circolazione. C’è stata una partecipazione eccezionale a questa edizione di Pwn2Own, con premi in denaro per un totale da oltre 800mila dollari e decine di portatili attribuiti agli hacker che hanno dimostrato le proprie capacità: c’è stato chi ha piazzato una scritta arbitraria sulla TouchBar interattiva dell’ultima versione dei MacBook , violando Safari per accedere alla struttura di Mac OS, vedendosi costretto però a impegnarsi seriamente per mettere in fila ben 5 bug così da riuscire a ottenere poteri sufficienti a completare l’hack. Non si tratta in ogni caso di una questione da sottovalutare , poiché indica che esistono vettori d’attacco solidi anche per il sistema operativo di Cupertino.

A scamparla quest’anno pare sia stata soltanto Google col suo Chrome: Mozilla ha visto cadere il suo Firefox, come detto Microsoft deve registrare più di un attacco riuscito ai danni di Edge e lo stesso dicasi per Apple con Safari. Anche Windows è stato vittima, anche questo l’abbiamo già detto, degli assalti coronati dal successo dei partecipanti, e lo stesso vale per Adobe che ha visto a più riprese bucato il suo Flash (ma pure Reader è caduto). Bucato anche Ubuntu Linux 16.10 , un inedito per la prima volta in questa edizione .

Tutte le informazioni su questi bug saranno comunque tenute riservate da parte degli organizzatori, che le condivideranno esclusivamente con i produttori dei software violati in attesa che vengano prodotte le patch del caso. Solo allora verrà effettuata una disclosure responsabile .

Luca Annunziata