Uma das apresentações mais, senão interessantes, em grande escala foi o estudo de vulnerabilidades em chips móveis Qualcomm usados em um grande número de dispositivos Android (até 40% do mercado). As seis vulnerabilidades corrigidas causaram negação de serviço, execução arbitrária de código, acesso direto à câmera, microfone, sensores GPS e muito mais. Em fevereiro-março, os dados sobre esses furos foram repassados ao fabricante, que os corrigiu em julho, mas ainda não está claro quando os patches chegarão aos dispositivos reais. Por conta disso , não há detalhes técnicos no edital do estudo no site, mas estão em apresentação no DEF CON.
O Hexagon é essencialmente um processador separado dentro de um SoC da Qualcomm, responsável pela comunicação com os periféricos, desde a câmera até o circuito de carregamento do dispositivo. Para trabalhar com ele, o fabricante distribui o SDK, mas na verdade, apenas o código assinado pela Qualcomm pode funcionar com a parte DSP. Usando o fuzzing, os pesquisadores encontraram muitos pequenos bugs em todas as bibliotecas para trabalhar com DSP, mais de 400 no total. Eles causam uma falha na execução do código com consequências diferentes e, em alguns casos, levam a uma reinicialização ou congelamento do telefone, ou à execução do código, ou acesso aberto não controlado a dispositivos periféricos. A exploração de vulnerabilidades envolve o lançamento de um aplicativo malicioso em um dispositivo que acessa o DSP, trava e obtém direitos estendidos.
Ainda é impossível avaliar a escala real do problema sem detalhes. Sabemos apenas que os desenvolvedores da Qualcomm fecharam as vulnerabilidades, mas os patches ainda precisam ser entregues aos dispositivos. A análise do conjunto mais recente de atualizações de segurança para Android mostrou que as correções não foram incluídas nele. Além disso, a Check Point sugere que os fornecedores também terão que recompilar seu próprio código para trabalhar com a Hexagon, a fim de eliminar completamente as vulnerabilidades. Dispositivos sem suporte que não recebem atualizações de segurança provavelmente permanecerão vulneráveis.
Outras apresentações interessantes com DEF CON e Black Hat:
- Discussão de um ataque hipotético a dispositivos IoT de alta potência, como máquinas de lavar e aquecedores. Os autores oferecem cenários de hacking interessantes. Por exemplo, ligar milhares de aquecedores ao mesmo tempo pode afetar o custo da eletricidade. E, por sua vez, afeta indiretamente a taxa de câmbio das criptomoedas, que depende da mineração ( notícias ).
- 19 vulnerabilidades foram encontradas e fechadas no sistema multimídia dos carros Mercedes E, uma delas permite abrir portas remotamente e ligar o motor. Uma análise do firmware do aparelho também mostrou a possibilidade de um ataque aos servidores de controle do fabricante ( notícias ).
- Pesquisa de James Pavour sobre os resultados da "pesca por satélite" - um método de interceptação de dados de satélite. Parece que, com a disseminação da transmissão de dados criptografados, esse cenário deveria ter se tornado coisa do passado, mas não. Não são apenas os sistemas legados que rodam em HTTP. O autor conseguiu interceptar as comunicações de um avião chinês, fazer o login no painel de administração de uma turbina eólica na França, negociações para consertar um gerador de um tanque de combustível no Egito (ver também o artigo na ArsTechnica).
O que mais aconteceu: a
Intel está investigando um vazamento de 20 gigabytes de dados, incluindo códigos-fonte ( artigo da ArsTechnica, discussão sobre Habré). Provavelmente, houve vazamento de informações, que o fornecedor compartilha com parceiros sob o NDA. Artigo
interessantecom base nas observações do usuário da coluna inteligente do Google Home. O proprietário do dispositivo acionou um alarme de incêndio e ele recebeu uma notificação em seu telefone. Em geral, isso é bom, mas pressupõe que o som seja sempre gravado no dispositivo inteligente, e não apenas quando a palavra de código é falada. O Google chamou o incidente de um erro - o recurso testado acidentalmente entrou em produção.
A Canon foi vítima de um ataque de ransomware.
A rede vazou dados em 900 servidores VPN usando o software Pulse Secure. Isso é consequência de uma vulnerabilidade séria descoberta no ano passado. Devido à possibilidade de leitura remota arbitrária de dados de um servidor vulnerável, o banco de dados contém não apenas domínios e endereços IP, mas também chaves SSH e outras informações.