Pwn2Own, attacco alla virtual machine e codice eseguito sul sistema host

Durante l’edizione di quest’anno della Pwn2Own, competizione organizzata da Zero-Day Initiative che mette in palio interessanti premi in denaro, un gruppo di ricercatori si è aggiudicato un importante premio in denaro da ben 105.000 dollari.

Gli esperti di Qihoo 360, società che tra l’altro sviluppa e commercializza un ottimo software antimalware (Il miglior antivirus, l’outsider che non ti aspetti: 360 Total Security), hanno infatti utilizzato una serie di vulnerabilità per sfuggire ai “confini” di una macchina virtuale VMware ed eseguire codice sulla macchina host.

Il risultato è davvero notevole perché il superamento delle barriere imposte dalle virtual machine e dalle sandbox è po’ il santo Graal di qualunque criminale informatico.

I ricercatori di Qihoo 360 spiegano di aver sfruttato un bug di heap overflow in Edge (e già questa è una notizia perché il browser di Windows 10 è considerato molto sicuro), una lacuna di sicurezza nel kernel di Windows e un’altra nel software di VMware.

L’attacco, precisano da Qihoo 360, inizia bersagliando il motore JavaScript di Edge. Combinando tale lacuna con una falla nel kernel di Windows 10, i tecnici della società cinese sono riusciti ad “evadere” dalla sandbox e provocare l’esecuzione del loro codice sulla macchina virtuale guest.
A questo punto, facendo leva su un bug di hardware simulation scoperto in VMware, è stato poi possibile disporre il caricamento del codice potenzialmente dannoso sulla macchina host ovvero sul sistema che ospita le virtual machine e sul quale è installato il software per la virtualizzazione.

L’attacco può essere innescato da un qualunque sito web malevolo, visitato utilizzando il browser Microsoft.

Stando a quanto riferito, tutte le vulnerabilità dovrebbero essere state già risolte sia da Microsoft che da VMware.

The complete virtual machine escape from @mj0011sec (& team) earned them $105K and 27 Master of Pwn points. https://t.co/t2Ku2wL8Wa #Pwn2Own

— Zero Day Initiative (@thezdi) 17 marzo 2017