18 Vulnerabilidades Zero-Day encontradas en el iPhone X, Xiaomi Mi 6 y Samsung Galaxy S9
Pwn2Own 2018 es una competición de "Mobile Hacking" que se celebra en Tokio desde el 13 al 14 de noviembre. En esta competición se demuentra una vez más que incluso los teléfonos inteligentes más seguros que se encuentran totalmente parcheados pueden ser igualmente pirateados.
No importa qué tan buena sea la seguridad de su dispositivo móvil, es probable que aún existan vulnerabilidades que permitan a los hackers profesionales obtener acceso si se les da suficiente tiempo y acceso físico al dispositivo.
Se encontraron 18 vulnerabilidades Zero-Day en los dispositivos Samsung, Apple y Xiaomi
Tres de los principales teléfonos inteligentes entre los que se encuentra el iPhone X, el Samsung Galaxy S9 y el Xiaomi Mi6, se encontraban entre los dispositivos que fueron hackeados con éxito en el concurso anual de "Mobile Hacking" organizado por Zero Day Initiative (ZDI) de Trend Micro, que le dio a los hackers un total de 325,000 dólares en recompensas.
Vulnerabilidades del iPhone X
Un equipo de dos investigadores, Richard Zhu y Amat Cama, que se llamaron a sí mismos Fluoroacetate, descubrieron y lograron explotar un par de vulnerabilidades en un iPhone X de Apple completamente parchado a través de Wi-Fi que permitió extraer los datos de un iPhone X que estaba conectado a la red Wi-Fi.
El dispositivo estaba ejecutando la última versión de iOS 12.1. Durante la demostración, Richard Zhu y Amat Cama pudieron recuperar una foto eliminada del dispositivo y recibieron 50,000 dólares como resultado.
El equipo de fluoroacetato también estaba intentando explotar un ataque de banda base para el iPhone X, pero no tuvo tiempo suficiente para que funcionara durante el tiempo de la competencia. Se espera que Trend Micro adquiera el exploit en una fecha posterior a través de su Zero Day Initiative.
Otro equipo de investigadores de MWR Labs (una división de F-Secure), con sede en el Reino Unido, que incluía a Georgi Geshev, Fabi Beterke y Rob Miller, también apuntó al iPhone X en la categoría de navegador, pero no logró poner en funcionamiento su vulnerabilidad en el tiempo establecido en la competición.
Vulnerabilidades del Samsung Galaxy S9
En el Samsung Galaxy S9 se descubrió un desbordamiento de memoria en su banda base, lo que permitió la ejecución de código arbitrario. El equipo de Fluoroacetate ganó 50,000 dólares por este descubrimiento.
"Los ataques de banda base son especialmente preocupantes, ya que alguien puede elegir no unirse a una red Wi-Fi, pero no tienen tal control al conectarse a la banda base"
El equipo de MWR descubrió otras tres vulnerabilidades diferentes, que las combinaron para explotar con éxito el Samsung Galaxy S9 a través de Wi-Fi al obligar al dispositivo a un portal cautivo sin ninguna interacción del usuario.
Luego, el equipo usó una redirección insegura y una carga de aplicación insegura para instalar su aplicación personalizada en el dispositivo Samsung Galaxy S9 de destino. MWR Labs fue recompensado con 30,000 dólares por su hazaña.
Vulnerabilidades del Xiaomi Mi 6
El Mi6 de Xiaomi pudo ser explotado a través del NFC. Aprovechando la función de toque para conectar, se puede abrir un navegador web y forzarlo a abrir una página web maliciosa.
"Durante la demostración, ni siquiera nos dimos cuenta de que la acción estaba ocurriendo hasta que fue demasiado tarde. En otras palabras, un usuario no tendría oportunidad de evitar que esta acción ocurra en el mundo real".
En la práctica, actualmente no hay forma de evitar este ataque, excepto deshabilitando NFC por completo. según el equipo de MWR Labs. Además, un fallo en el motor de JavaScript en el Mi6 permitió desbordamientos de enteros, lo que en última instancia permitió a los investigadores extraer archivos del dispositivo.
El siguiente día del evento el equipo de MWR uso un fallo que permitía realizar descargas junto con una instalación de aplicación para cargar su aplicación personalizada y filtrar algunas imágenes del teléfono y fueron recompensados con 25,000 dólares.
Un investigador independiente, Michael Contreras, logró explotar una vulnerabilidad para obtener la ejecución de código en el teléfono Xiaomi Mi6 y se llevo una recompensa de 25,000 dólares.
Los detalles completos sobre estas vulnerabilidades descubiertas se publicarán dentro de 90 días. Los proveedores y fabricantes afectados han sido alertados de los problemas y deberían poder solucionarlos durante el período de espera.
Fuente: The Hackers News