120.000$ per il Team Cinese Qihoo 360 che ha hackerato il Google Pixel

12 Novembre 2016 209

Un sistema informatico senza alcuna falla di sicurezza è ormai utopia e per quanto un'azienda cerchi di realizzare il sistema più sicuro possibile, qualcosa sfugge sempre. I grandi colossi dell'informatica lo sanno bene e tra questi Google ha da tempo creato un programma che permette agli sviluppatori di guadagnare somme di denaro anche importanti, nel caso in cui venga trovata una vulnerabilità all'interno degli ecosistemi del gigante della ricerca.

Su Android questo ha permesso di scoprire e chiudere diversi bug ma di nuovi sono emersi recentemente anche su Nougat sfruttando il Google Pixel. Il Team Cinese Qihoo 360 ha infatti preso il controllo del Pixel in occasione del PwnFest, un evento dedicato all’hacking che si svolge in Cina.

Non solo è stato possibile aprire il Play Store e Chrome, ma attraverso un exploit è stata anche personalizzata la pagina aperta dal browser con la scritta Pwned By 360 Alpha Team.

La falla non è stata resa pubblica ma ovviamente è stata comunicata a Google per poterla chiudere quanto prima. In compenso 120.000$ sono stati vinti dal Team che ha trovato importanti problemi di sicurezza anche in Safari, Edge e altri software importanti oltre che su Adobe Flash vincendo un totale di 520.000$.

Google Pixel XL è disponibile online da Amazon a 323 euro.
(aggiornamento del 17 marzo 2023, ore 20:15)

209

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
TiaPortal

bravo! raccontalo pure ai tuoi colleghi e al tuo capo cosí vieni licenziato x giusta causa e ti becchi anche una denuncia x danni... io fossi in te cancellerei il commento e l´account (tra l´altro fatto dal tuo account con oltre 900 commenti immagino tutti fatti da IP "sicuri") magari qualcuno contatta la Postale, anche se sono degli incapaci un poveraccio come te lo beccano di sicuro e col DDl del 2014(se non mi sbaglio) incassano pure bene (fino a 10000 euro per "aggressioni alla riservatezza dei dati e delle comunicazioni informatiche" , inoltre non puoi + interstarti una scheda sim o un contratto internet x 5 anni), e nel caso i tuoi colleghi giá lo sappiano incomincerei a chiedergli di non farne parola e a offrirgli il caffé tutte le mattine)

nicolas gasparetto

Ma come si chiamano queste app

Mattia Righetti

Bhe certo, poi sono appassionati quindi alla fine non è nemmeno pesante studiare quando qualcosa ti piace :)

EVA01

Grande capo???

Menthis

esattamente, è vero che molti sono autodidatti, ma ciò non vuol dire che non abbiano studiato...anzi!

Menthis

Sono autodidatti con una mole impressionante di studio, altrochè!

Studiare mica vuol dire solo essere andato a scuola!

Elias Koch

e se lo dice bruno, é una buona camicia per tutti!

Elias Koch

ma dopo aver fatto la legge ed inasprito le pene bisogna formare gli agenti per trovare i colpevoli...e qui cascano gli asini.

EVA01

Secondo te,uno che compra un Iphone 4S al mediaword nel 2012 a 699€ e lo rivende a 190€ rimettendoci 509€,é un genio o un fessacchiotto?Il tuttologo de sta cippa!!!

Mister chuk revenge

Ma che vaccate vai dicendo? Non c'è nulla da sognare anzi faresti bene a controllare prima di scrivere

Elvin Cannibale Barca

Peccato che è illegale. E se la legge si evolverà presto la violazione degli account diventerà come aver commesso un furto in abitazione. Se le pene fossero dell'ordine di anni di carcere la situazione cambierebbe presto.

bruno

Sogna.
Le patch le ricevo pochi e pure in ritardo e molti nenache le ricevono, nascono con un os di mer.e e muoiono con un os di mer.a al quadrato.
Figurati arrivano in ritardi sui prodotti di google e quelli dopo due anni non sono piu supportati a livello di os.
Mai piu android per i miei gusti,forse fra qualche decennio.
In 8 anni ancora non ha capito come si programma google.
Ho resistito abbastanza te che dici?

bruno

Si quando gli aggiornamenti non fanno casini.

bruno

Se usa androdi può spendere anche 10000€ delle mer.a rimane

TheFluxter

120.000$ a grifon d'oro

nutci

Scusa per la mia ignoranza ma faccio qualche lavoro saltuariamente come programmatore HTML e CSS e il PHP non lo tocco nemmeno :)

ErCipolla

Mi sa che hai un po' di confusione sulla questione PHP.

PHP serve a generare la pagina lato server. Il tuo browser non lo vede nemmeno. Se tu hai il controllo sul codice PHP vuol dire che sei TU l'autore di quella pagina! E in quel caso... beh... generala direttamente senza codice JS malevolo... non so se mi sono spiegato bene?

La tua domanda equivale a: "sono un cioccolataio, c'è modo di rimuovere l'olio di palma dalla mia cioccolata??". Producila direttamente senza se non ce la vuoi mettere!!! (esempio stupido, ma giusto per capirsi :D)

nutci

Quindi per rendere una pagina più sicura basterebbe, dopo che la sorgente ha eseguito il codice javascript, farlo sparire del tutto inserendo tramite funzione PHP un display:none; dentro i tag <script></script>. Giusto?

ErCipolla

Di solito no, dato che, anche se riesci a scatenare un overflow o simile con semplice HTML (difficile, i parser sono molto robusti ormai) tipicamente ti serve comunque del codice di scripting per poi eseguire le operazioni che sfruttano l'exploit.

Ma come dicevo, non è mai detto... ad esempio stagefright sfruttava una vulnerabilità del player video, quindi in quel caso bastava il tag HTML5 "<video>" e si riusciva a far danni. Nella maggior parte dei casi, comunque, il vettore di attacco è JavaScript.

nutci

Ma se la pagina che arriva a me non ha nessuno script aperto ma solo una head, un pezzo di body con relativi css e basta è comunque possibile?

ErCipolla

PHP è un linguaggio "server side" che in pratica esegue la sua logica e i suoi conti sul server e poi rimanda al client (il tuo browser) una pagina HTML che può o meno contenere codice di scripting (JavaScript) o qualsiasi altro contenuto.

Il fatto che il sito "non abbia animazioni" non vuol dire nulla, fare animazioni è UNO degli usi di JavaScript, ma non c'erto l'unico, può anche essere usato per eseguire operazioni logiche che non hanno alcun effetto "visibile" sulla pagina.

Quindi no, non importa con quale linguaggio sia generata la pagina lato server (PHP, Java, semplice pagina statica HTML, ecc.), l'importante è il contenuto della pagina quando arriva al client, cioè al tuo browser.

Antonioerre

Piace vincere facile a questi

Mister chuk revenge

ho detto che s7 l'ha ricevuta prima dei nexus ed infatti è cosi!

KenZen

Hai dimenticato "esticaxxi"

ekerazha

S6 ha ricevuto quella di ottobre a novembre... La patch di novembre l'hanno ricevuta materialmente prima i Nexus e i Pixel, come nel 99% dei casi... e per "materialmente" intendo che puoi installarla, non che hai letto l'annuncio sul blog.

EVA01

Bravo!!!

EVA01

Guarda che stai parlando con uno che espleta il 95% delle funzioni col suo smartphone vocalmente,esperto di anime giapponesi e chi più ne ha,più ne metta!!!

Pistacchio

Calcola che se sono bravi ne vincono altri di premi, di sicuro hanno più soldi di me

Mister chuk revenge

Tutti, li ricevono nel mese in corso, samsung subito ad inizio mese.
La patch di novembre lha ricevuta prima s7 e poi nexus e pixel.

comatrix

Solo?

comatrix

Non sono un volontario e non sono per nulla arrogante, dico solo come sono le cose nella realtà, ma la verità fa male

comatrix

Eh ma non lo devi spiegare a me, ma ad un certo KenZen che crede di sapere ma in realtà noterai te stesso...

KenZen

Credevo intendessi fuori dalla discussione, che per me si chiude qua.
Saluti

dario

di per sè non è illogico preferire il sistema più sicuro solo perché non è sicuro. le scelte si basano sul calcolo delle probabilità. tra un sentiero con 1000 mine e uno con 100 mine quale sceglieresti?
ovviamente, dipende anche da quanto la sicurezza è importante per te. a me ad esempio importa relativamente, non sono così sprovveduto da avere comportamenti a rischio e nel mio smartphone non c'è nulla che sarebbe particolarmente grave fosse violato.
e c'è da dire che mentre per un sentiero minato è semplice contare le mine, in un sistema informatico non è così banale e scontato stabilire quale è più sicuro.

dario

no non è affatto una cosa stupida, è anzi l'unica!

comatrix

M magari fossi fuori, sai come mi diverirei

KenZen

Sei fuori da adesso.
Saluti

Mattia Righetti

Certo, senza studiare duramente si fa un bel lavoro. Uno può imparare le cose anche continuando a farle, non per forza si deve studiare però ovviamente chi ha studiato conosce tutto molto meglio.

ekerazha

Le ricevono solo gli ultimi modelli e in ritardo rispetto a Nexus e Pixel, i quali le ricevono tempestivamente all'inizio di ogni mese e per 3 anni. Io sono più autorevole di Nic.

comatrix

Il mio italiano forbito è oltremodo più che sufficiente, la maleducazione sei tu che lo stai dicendo altrimenti a quest'ora sarei fuori, e terzo ti ho già fornito un'immagine in cui ti smentisci da solo, negando pure l'evidenza.
Sei proprio povero sai, e non parlo di soldi....

KenZen

Del perché ti abbiano scelto non lo so, spero non per il tuo italiano forbito e nemmeno per la tua conclamata maleducazione.
In ogni caso non capisco cosa abbia a che fare la tua professione con l'argomento ma tant'è.
Ah... "perché quello sei per cosa scrivi"??? Ahahahahahahahaaha
Saluti

KenZen

Non intendevo questo.
Saluti

Mister chuk revenge

Le patch mensili le ricevono tutti i top, samsung persino medi e base patcha mensilmente, quindi che rimane? La foga di avere presto il nuovo numerino e fare da beta tester? Secondo te perché nic scrisse tra i contro del pixel "perennemente in beta"?

dario

di per sè non è illogico preferire il sistema più sicuro solo perché non è sicuro. le scelte si basano sul calcolo delle probabilità. tra un sentiero con 1000 mine e uno con 100 mine quale sceglieresti?
ovviamente, dipende anche da quanto la sicurezza è importante per te. a me ad esempio importa relativamente, non sono così sprovveduto da avere comportamenti a rischio e nel mio smartphone non c'è nulla che sarebbe particolarmente grave fosse violato.
e c'è da dire che mentre per un sentiero minato è semplice contare le mine, in un sistema informatico non è così banale e scontato stabilire quale è più sicuro.

il Gorilla con gli Occhiali

E devi comunque studiare da solo

il Gorilla con gli Occhiali

Cosa centranoni test, istruttori ecc.? Uno può studiare anche da solo

comatrix

Similmente è aver al porta di casa aperta e lasciare entrare i ladri tranquillamente, ma non avere nulla da rubare.
Questo è il concetto di fondo, perché se no hai nulla da rubare nessuno si interessa a te.
Ed invece se avessi qualcosa da farti rubare allora adottare la stessa strategia per come farebbero le aziende, niente sul terminale, tutto in rete e controllo ogni tot per verificare se tutto è ok, nel caso in cui nolo fosse cambiare la modalità di informazione di accesso.
Guarda, sarà una cosa stupida, ma lo stesso sistema è applicato persino nei governi (se un terminale viene rubato si cambiano i codici).
E con questo chiudo

Mattia Righetti

Gli hackers sono autodidatti nell'hackerare. Sicuramente poi devi sapere come funziona la macchina per fare un bel lavoro, ma non credo sia necessario assolutamente...

Mattia Righetti

Beati loro, chissà quante Goleador...

dario

scusa se mi inserisco nel confronto, fondamentalmente la penso come te e mi trovo più vicino al tuo punto di vista, c'è però un aspetto che vorrei sottolineare: la differenza tra la porta di vetro e la porta blindata non è data solo dal fattore tempo, ma anche dal fattore opportunità. se è vero che "l'occasione fa l'uomo ladro" è un proverbio che rigetto in buona parte, è anche vero che almeno parzialmente risponde alla realtà e sarai soggetto a più attacchi a casa rispetto a se avessi la porta blindata, dove ti attaccheranno solo professionisti.
similmente, è da preferire un sistema che ti può bucare un hacker a uno in cui riesce a entrarti la fidanzata, che magari per utenti non importanti come possiamo essere noi può essere la prima cosa. :)
per fortuna credo che questo minimo di affidabilità lo offrano tutti, per cui il problema non si pone, ma volevo integrare con questo aspetto alla discussione per completezza:)

Nokia G22 vs Fairphone 4: smartphone sostenibili e riparabili con tante differenze

Recensione Xiaomi 13 Pro: TOP in tutto, anche nel prezzo! | Video

Recensione Galaxy S23: il "piccolino" è quello da comprare! | VIDEO

Recensione Oppo Find N2 Flip, mi ha già convinto!