Una vulnerabilità nell'iPhone è stata scoperta in un concorso che si è trasformato in uno strumento di monitoraggio contro i musulmani uiguri

Nel marzo dell'anno 2017, un gruppo di hacker cinesi è arrivato a Vancouver, in Canada, con un obiettivo: trovare punti deboli e scappatoie nascosti nelle tecnologie più comuni al mondo. Il browser Google Chrome, il sistema operativo Microsoft Windows e i sistemi Apple erano i loro bersaglio, ma nessuno infrangeva la legge Queste erano solo alcune delle persone che hanno partecipato a Pwn2Own, una delle competizioni di hacking più popolari al mondo.

Concorso Pwn2Own

Era il decimo anniversario di Pwn2Own, una competizione che attira hacker d'élite ed esperti di sicurezza da tutto il mondo con grandi premi in denaro se trovano vulnerabilità precedentemente sconosciute note come "zero-days".

 Una volta scoperto il difetto, i dettagli vengono consegnati alle aziende coinvolte, dando loro il tempo di risolverli.Nel frattempo, l'hacker ottiene una ricompensa monetaria e diritti di vanteria eterni.

Per anni, gli hacker cinesi sono stati le forze dominanti in competizioni come Pwn2Own, portando a casa milioni di dollari in premi e affermandosi tra le élite. Ma nel 2017 tutto questo si è fermato.

In una dichiarazione, il fondatore e CEO miliardario del gigante cinese della sicurezza informatica Qihoo 360 - una delle più importanti aziende tecnologiche in Cina - ha criticato i cittadini cinesi che si sono recati all'estero per partecipare a concorsi di hacking.

In un'intervista al sito di notizie cinese Sina, Zhou Hongyi ha affermato che una buona performance in tali eventi rappresenta solo un "fantastico" successo e Zhou ha avvertito che una volta che gli hacker cinesi mostrano punti deboli nelle competizioni all'estero, "non possono più essere utilizzati". Ha detto, gli hacker e la loro esperienza in materia di sicurezza informatica dovrebbero rimanere in Cina fino a quando non saranno in grado di riconoscere il vero significato e il valore strategico delle vulnerabilità del software.

Poco dopo, il governo cinese ha vietato ai ricercatori di cybersecurity di partecipare a competizioni di pirateria straniere e pochi mesi dopo è emersa una nuova competizione in Cina per sostituire le competizioni internazionali, la Tianfu Cup, come veniva chiamata, con premi del valore di oltre XNUMX milione di dollari.

L'evento inaugurale si è tenuto a novembre 2018 e il primo premio di $ 200000 è andato al ricercatore Qixun Zhao, che ha mostrato una notevole serie di exploit che gli hanno permesso di controllare facilmente gli ultimi iPhone, e il ricercatore cinese ha trovato un punto debole nel cuore di il sistema operativo iPhone, che è il kernel Kernel, e il risultato?

Un utente malintenzionato remoto può assumere il controllo di qualsiasi dispositivo iPhone che ha visitato una pagina Web contenente il codice Qixun dannoso, è il tipo di hack che può essere venduto per milioni di dollari nel mercato aperto per dare a criminali o governi la possibilità di spiare grandi numeri di persone, il ricercatore ha chiamato quella vulnerabilità il nome "Chaos" e due mesi dopo, nel gennaio 2019, Apple ha rilasciato un aggiornamento che ha risolto il bug, e il gioco è fatto.

Ma nell'agosto dello stesso anno, Google ha pubblicato un'analisi eccezionale di una campagna di pirateria che si diceva stesse sfruttando gli iPhone collettivamente. I ricercatori hanno sezionato cinque distinte catene di catene di exploit che hanno scoperto. Questa vulnerabilità includeva Qixun che ha vinto il primo premio a Tianfu e scoperto da un altro hacker.

I ricercatori di Google hanno notato somiglianze tra gli attacchi utilizzati nel mondo reale e la vulnerabilità del caos. Ma non sembravano interessati a conoscere l'identità della vittima e del colpevole, la vittima erano musulmani uiguri e l'attacco del governo cinese.

Crackdown

Negli ultimi sette anni, la Cina ha commesso violazioni dei diritti umani contro gli uiguri e altri gruppi minoritari nella provincia occidentale dello Xinjiang. Aspetti ben documentati della campagna includono campi di concentramento, sterilizzazione forzata sistematica per prevenire il parto, tortura, stupro organizzato, lavoro forzato e sforzi di sorveglianza senza precedenti.

I funzionari di Pechino sostengono che la Cina sta lavorando per combattere il terrorismo e l'estremismo, ma gli Stati Uniti, tra gli altri paesi, hanno descritto queste misure come genocidio, aggiungendo le violazioni a una repressione high-tech senza precedenti che sta dominando le vite degli uiguri, facendo affidamento su parte sulle campagne di pirateria mirate.

La pirateria cinese degli uiguri è così aggressiva che si estende ben oltre i confini statali, e vengono presi di mira giornalisti, dissidenti e chiunque sollevi i sospetti di Pechino di una lealtà insufficiente.

Poco dopo che i ricercatori di Google hanno notato gli attacchi, Apple ha pubblicato un raro post sul blog sul proprio blog multimediale Ha confermato che l'attacco è avvenuto per un periodo di due mesi, cioè il periodo che è iniziato immediatamente dopo che Qixun ha vinto la Tianfu Cup e si estende fino a quando Apple non ha emesso la riforma.

Apple afferma che i musulmani uiguri in Cina sono stati presi di mira nella recente campagna di hacking sugli iPhone, e gli americani hanno concluso che i cinesi hanno principalmente seguito il piano di "valore strategico" sviluppato da Zhou Hongyi di Qihoo, dove la Tianfu Cup è usata per trova nuove vulnerabilità ed è stata rapidamente consegnata all'intelligence cinese, che poi l'ha usata per spiare gli uiguri.

Infine, queste vulnerabilità hanno un valore incredibile, non solo dal punto di vista finanziario, ma in termini di capacità di creare una finestra aperta per lo spionaggio e la repressione, come è successo con i musulmani uiguri quando sono stati rintracciati e monitorati in tempo reale.

Fonte:

recensione della tecnologia