Le concours Mobile Pwn2Own 2016 mettait en jeu cette année un gain potentiel de 375 000 dollars. Comme pour le concours concernant les navigateurs, il invite les hackers et autres équipes de sécurité à percer les défenses des smartphones. L’équipe de Tencent s’est particulièrement démarquée.
La version 2016 du concours Mobile Pwn2Own se déroulait à Tokyo. Il mettait en scène principalement un iPhone 6 s et un Nexus 6P, tous deux mis à jour pour prendre en compte tous les plus récents correctifs de sécurité. Le but ? Percer quand même leurs défenses pour réaliser différentes actions, comme voler des données, réussir à installer une application, etc.
Le Nexus 6P a accepté une installation d'application
Une équipe s’est clairement illustrée pendant le concours : la Keen Security Lab Team du chinois Tencent. Elle a commencé par s’en prendre au Nexus 6P de Google, équipé donc de la dernière révision d’Android disponible. Ils se sont introduits dans le système en tirant parti d’une combinaison de deux failles puis, une fois dans le système, se sont servis de plusieurs autres vulnérabilités.
Avec cette conjonction de brèches, ils ont réussi à forcer, à plusieurs reprises, l’installation d’une application, sans que le système n'y trouve à redire. Pour avoir prouvé que leur méthode était fonctionnelle, ils ont remporté 102 500 dollars. Toutes les failles ont été remontées à Google.
Vol de données et installation d'application pour l'iPhone 6 s
Ils se sont ensuite attaqués à l’iPhone 6 s. Là encore, ils ont utilisé deux failles de sécurité, toutes deux centrées sur la mémoire (une « use-after-free », l’autre de type corruption). Par cette porte, ils ont réussi à dérober des photos présentes sur l’appareil, et ont ainsi empoché 52 500 dollars supplémentaires.
Ils ont enchainé avec une application maison à installer sur l’appareil. Ils ont utilisé pour cela une série d’autres bugs sur lesquels nous n’avons aucune information. La procédure a réussi, mais seulement de manière partielle. L’application est considérée comme pleinement installée si elle survit au redémarrage de l’appareil, ce qui n’a pas été le cas ici. Pour les bugs trouvés et la méthode utilisée, ils ont quand même empoché 60 000 dollars.
Presque deux tiers des récompenses potentielles pour Tencent
Sur les 375 000 dollars potentiels du concours, l’équipe de Tencent a donc récupéré 215 000 dollars. Deux chercheurs de MWR Labs, Robert Miller et Georgi Geshev, ont de leur côté failli remporter une enveloppe en s’attaquant eux aussi au Nexus 6P pour y installer une application. Malheureusement, il semble qu’un patch de sécurité récent pour Chrome ait rendu leur méthode instable. L’installation n’a donc pas pu se faire dans le temps imparti, mais les failles ont été, là encore, remontées.
La Zero Day Initiative, qui gère ces concours, insiste sur l’intérêt de ce type de compétition. Non seulement ils servent à concentrer les détails de failles qui auraient pu être exploitées par des pirates, mais ils permettent aussi de suivre les tendances dans cette exploitation. Les méthodes utilisées sont examinées de près, ZDI indiquant par exemple que l’équipe Tencent s’est montrée « innovante » dans ce domaine.
Précisons que tous les concours « Pwn2Own » ont une politique claire de remontée des failles aux éditeurs concernés, que l’exploitation ait fonctionné ou non.
Commentaires (59)
#1
L autre utilité de ce genre de concours est d ouvrir les yeux des gens qui aujourd’hui confie plus de données à leurs smartphones qu à leur pc (photos, vidéo, app bancaire, mail, app shopping…)
La plus part des gens déclarent qu ils s en foute d avoir les maj de leur smartphone que ça sert à rien… Sans compter ceux qui ventent les mérites des os Apple comme sécurisé, non vulnérable aux intrusion et autres malware.. la preuve que non… Et mac os est à la même enseigne qu iOS (à l époque de Vista, l os de Microsoft contenait même moins de faille critique découverte que Mac Os X)
#2
Sur le Nexus 6P, ils ont pu utiliser Dirty Cow, non?
" />
#3
Pas de test sur Win10 Mobile ?
#4
Un concours très utile :)
#5
Sur quoi?
" />
#6
Le souci c que ok google fait son tar et corrige les faille. Samsung et autre fabriquant les corrige aussi sur certains modèles. Mais derrière les opérateurs qui ont leur sur couche ne font absolument rien. C tout bonnement scandaleux.
#7
N’empêche qu’on rigole mais la faille Dirty Cow risque de devenir le moyen incontournable de rooter son Android si le constructeur ne le met pas à jour (spoiler : il ne le met pas à jour)
#8
#9
#10
Je me suis fait la même remarque la semaine dernière. Du coup j’ai testé le dirtyCow sur mon téléphone android, en générant un apk et ça a marché.
#11
#12
L’OS est trop sécurisé pour les hackers :-)
#13
Le FBI n’approuve pas cet événement.
#14
Ce concours montre que lorsque des hackers ont un intérêt (argent, renommée, …) à exploiter des failles, il y arrivent… quel que soit le nom de l’éditeur du système d’exploitation.
#MythBusters
#15
Pour windows 10 c’est toujours la même chose pas d’élévation pour installer quoique ce soit.
Pas grave ça fait bosser les dépanneurs et par moment c’est juste énorme à ce demander ce que les utilisateurs ont dans la tête…
#16
Le dev de mon kernel l’a déjà patch.
#17
C’est ce que j’adore dans la “sécurité” telle qu’elle est abordée dans les médias mainstream. Et c’est déjà dans l’esprit des gens, tel OS est top niveau sécurité comparé aux autres, avoir les dernières mise-à-jour c’est forcément génial pour la sécurité, ils utilisent du chiffrement de dieu!… et à la fin, la véritable faille c’est celle dont on ne connait pas l’existence.
#18
#19
#20
#21
Faut bien gardé a l’esprit qu’ils avaient un accès physique aux téléphones et dans ce cas la il n’existe pas de système infaillible sans imposer de lourdes contraintes a l’utilisateur, ce que ne pourrait pas gérer madame Michu au quotidien. Ce scénario d’attaque n’est pas très représentatif des attaques a distances qui ont plus de chance d’arriver que des accès physiques.
#22
#23
#24
Tu fais donc confiance à un inconnu pour ne pas installer les pires merdes.
" />
#25
Ce sont les chinois du FBI qui ont gagné
" />
#26
#27
#28
#29
J’ai pas trouvé d’info pour l’édition 2016, WinMobile n’était probablement pas représenté. En 2014 par contre, ce fut le seul OS à “survivre” :http://www.networkworld.com/article/2848396/microsoft-subnet/windows-phone-did-w…
#30
une fois de plus, je ne comprends pas la stratégie de Microsoft. S’il veut positionner Windows 10 Mobile pour les pro, et qu il a confiance ds leur système de sécurité, il devrait promettre des sommes importantes pour les failles de sécurité afin que les chercheurs puissent contribuer au succès de l OS.
#31
Windows 10 Mobile est dans les limbes pour l’instant : pas tout à fait mort, mais plus d’actualité non plus.
Il n’y a plus de téléphone, l’OS est bugué et à peine maintenu.
Ce n’est plus dans les priorités officiellement, mais on peut toujours espérer son retour un jour.
#32
ceux qui trouveront la faille vont avoir la chance d’obtenir une formation gratuite chez eux et d’être engagé dans l’entreprise de son choix par la suite
" />
#33
Dans le prochain surface phone studio
" />
#34
#35
yup, j’ai mis à jour ma machine sous antergos et les serveurs que je gère, sous debian. C’est embêtant, parce qu’il faut redémarrer…
#36
#37
#38
#39
Lui il parle de ce que l’utilisateur voit comme changement rt il faut l’avouer le système évolue moins vite que la version pc et android (ios est deja bien avancé mais pas autant qu’android). Soit Microsoft attend la fin de la migration de win10 (interface, paramètre, noyaux) avec redstone 2, soit ils attendent une augmentation de puissance pour permettre le mode continuum sur les tels bas de gamme
#40
#41
Je vois pas le rapport avec la choucroute vu que les appareils testés avaient les derniers correctifs… Android et ios sont des passoires point barre !
#42
Ah. On n’est plus Admin! Bizarre Sur les vistas et Steven que j’ai utilisé je pouvais installé des logiciels sur le seul compte utilisateur du PC. J’avais juste un message avec l’écran qui s’assombrissant où je cliquais OK.
Sur Mac OS pour faire la même chose je dois glisser un bouton et sur Ubuntu je dois rentrer mon mot de passe. Bizarrement, je comprends mieux dans les 2 derniers que je fais quelques choses de peu ordinaire.
#43
Le rapport c’est que les failles existent et bien que corrigées par Google, les constructeurs ne faisant rarement les mises à jours sur la majorité des smartphones hors flagship, la population reste vulnérable.
#44
Oui le message c’est justement l’élévation de privilège.
Par contre ton compte devait être “admin” (mais qui fonctionne sans droit supplémentaire) tout de même s’il ne te demandait pas de mot de passe. C’est le type de compte par défaut pour le 1er compte.
#45
sauf que la c’est un tel a jour pas un Samsung premier prix pas suivi.
#46
Je n’ai pas dit le contraire…
C’est si dur que çà à comprendre qu’une fois les failles trouvées et corrigées par la suite (donc après ce concours) il faudrait que les patchs soient diffusées pour sécuriser les gens, mais que les constructeurs/opérateurs ne jouent pas le jeu ?
Oui les téléphones se font trouer, tout comme les pcs, les macs, les voitures… mais si on diffuse les patchs, on limite la casse, surtout dans le cas de faille 0days non exploitée.
#47
De toute façon meme sans ce concours les failles sont exploités et la c’est des normes qu’il faut sur les appareils, le truc que les assurances peuvent demander pour assurer des tels.
#48
Des obligations de mises à jour et de suivi ? Je suis entièrement d’accord.
Des normes de sécurité genre “l’OS doit être invulnérable”… c’est vivre en dehors des réalités.
#49
#50
plus du type maj sur deux ans avec un délai de 3mois et pouvant être bloqué par l’utilisateur.
#51
Moi je dirais plutôt 3 à 5 ans ^^”
#52
#53
#54
Oh il est velu celui là 
" />
" />
#55
#56
#57
#58