Pwn2Own 2015: Hacker Hạ Cả Bốn Trình Duyệt Phổ Biến - Báo Tuổi Trẻ

Nhóm KeenTeam khai thác thành công lỗi Adobe Flash và Reader - Ảnh: Softpedia

Pwn2Own 2015 không khác mấy năm trước, cả bốn trình duyệt web phổ biến nhất hiện nay gồm Microsoft Internet Explorer, Google Chrome, Apple Safari và Mozilla FireFox đều có những lỗ hổng bảo mật có thể bị hacker khai thác tấn công.

Năm nay, các công ty treo thưởng cho những lỗi bảo mật trong trình duyệt web của mình đã phải chi ra đến 557.500 USD, cho tổng cộng 21 lỗi nguy hiểm. Cả hệ điều hành Windows và hai ứng dụng Adobe Flash và Adobe Reader đều góp mặt trong danh sách "mắc lỗi".

* Xem: "Chợ đen" mua bán… lỗi bảo mật

Điểm nhấn tại sự kiện Pwn2Own năm nay là hacker lokihardt (Jung Hoon Lee) trình diễn tấn công cả hai phiên bản ổn định (stable) và thử nghiệm (beta) trình duyệt Google Chrome. Kỹ thuật tấn công của lokihardt vượt qua các thuật toán chống tấn công qua lỗi bảo mật của Google Chrome, thậm chí qua đó, hacker có thể giành lấy quyền kiểm soát hệ thống mục tiêu.

Jung Hoon Lee (lokihardt) nhận phần thưởng lớn nhất tại giải là 75.000 USD tiền mặt cho lỗi bảo mật Google Chrome, cùng 25.000 USD thưởng thêm với kỹ thuật tấn công leo thang đặc quyền từ lỗi Chrome đến chiếm quyền điều khiển hệ thống. Chưa hết, anh nhận thêm 10.000 USD tấn công thành công bản thử nghiệm Chrome beta.

Tổng cộng, lokihardt nhận 110.000 USD, mức tiền mặt cao nhất một người nhận được trong lịch sử Pwn2Own.

Mỗi giây trong vỏn vẹn hai phút trình diễn tấn công khai thác lỗi bảo mật, lokihardt bỏ túi 916 USD

Trước đó vào ngày đầu tiên của Pwn2Own, Jung Hoon Lee trình diễn hack cả phiên bản 64-bit của trình duyệt Internet Explorer 11 (IE11). Anh qua mặt cả hệ thống phòng vệ của Windows, nhận 65.000 USD. 

Lee không bỏ qua "nhà giàu" Apple với "con cưng" Safari. Apple thưởng anh 50.000 USD, nâng tổng số tiền nhận được lên 225.000 USD.

Một hacker khác ilxu1a hạ "Cáo lửa" (FireFox), nhận 15.000 USD.

- Cần biết: Apple, Microsoft: cập nhật ngay bản vá bảo mật "Freak"

* Các phần mềm và lỗi bảo mật được trình diễn tại Pwn2Own 2015:

• Windows: 5 lỗi (Mariusz Mlynski)
• Internet Explorer 11: 4 lỗi  (360Vulcan Team, JungHoon Lee - lokihardt)
• Mozilla FireFox: 3 lỗi (Mariusz Mlynski, ilxu1a, Arnaud Lubin)
• Adobe Flash: 3 lỗi (Team509 và KeenTeam, Nicolas Joly)
• Adobe Reader: 3 lỗi (Nicolas Joly, KeenTeam và Tencent PCMgr)
• Apple Safari: 2 lỗi (JungHoon Lee - lokihardt)
• Google Chrome: 1 lỗi (JungHoon Lee - lokihardt)

Những lỗi thắng giải đều phải chưa được công bố trước đó, có khả năng vượt qua hệ thống phòng vệ chống khai thác lỗi. Những lỗi này đều sẽ được giữ kín cho đến khi các nhà phát triển sản phẩm công bố bản vá đều người dùng.

Các điểm nhấn của ngày thứ hai trong sự kiện bảo mật Pwn2Own 2015 - Nguồn: YouTube / HP Security Research

Mariusz Mlynski trình diễn lỗi trong Windows tại Pwn2Own 2015 - Ảnh: Softpedia

Nicolas Joly (bìa phải), chuyên gia nghiên cứu bảo mật khám phá lỗi Adobe Flash và Reader - Ảnh: Softpedia

360Vulcan Team tấn công hệ thống qua lỗi trình duyệt IE11 - Ảnh: Softpedia

Pwn2Own (Pwn to own - hạ gục để sở hữu) là cuộc thi hack được tổ chức hằng năm tại thành phố Vancouver (bang British Columbia, Canada). Các hacker tham gia cuộc thi phải tìm cách khai thác thành công các lỗ hổng bảo mật phát hiện được, cũng như tấn công các phần mềm phổ biến thông qua các lỗ hổng bảo mật đó. Giải thưởng sẽ là tiền mặt kèm theo thiết bị (laptop, smartphone) mà họ đã hack được. Những lỗ hổng mà hacker phát hiện sẽ được các nhà phát triển phần mềm ghi nhận và khắc phục.