В первый день Pwn2Own 2023 хакнули Windows 11, Tesla, Ubuntu и macOS

В первый день Pwn2Own 2023 хакнули Windows 11, Tesla, Ubuntu и macOS

В первый день Pwn2Own 2023 хакнули Windows 11, Tesla, Ubuntu и macOS

В первый день соревнования для хакеров Pwn2Own 2023, проходящего в Ванкувере, исследователям удалось создать рабочие эксплойты для уязвимостей в Tesla Model 3, Windows 11 и macOS. Приз составил 375 000 долларов и электромобиль Tesla Model 3.

Однако первым на Pwn2Own 2023 пробили Adobe Reader: один из специалистов использовал связку эксплойтов для шести дыр. Задача эксперта была задействовать неполные патчи, позволяющие выйти за пределы песочницы и обойти список запрещённых API. Этот вектор принёс исследователю $50 000.

Далее команда STAR Labs продемонстрировала 0-day эксплойт для брешей в Microsoft SharePoint, награда — $100 000. Эти же ребята взломали Ubuntu Desktop с помощью уже известного эксплойта, за это организаторы выдали им $15 000.

Компания Synacktiv получила $100 000 и Tesla Model 3 за успешную атаку вида TOCTOU (time-of-check to time-of-use) на автомобиль Tesla. Специалисты Synacktiv также использовали TOCTOU и уязвимость нулевого дня для повышения прав в macOS. За это им дали $40 000.

Oracle VirtualBox также успешно атаковали с помощью связки эксплойтов для переполнения буфера и OOB-чтения. Это принесло эксперту Qrious Security $40 000.

Windows  тоже не оставили без внимания: 0-day уязвимость, связанная с некорректной обработкой ввода, позволила повысить привилегии в системе.

Айтишники удалили 96 баз данных правительства США и записали всё в Teams

История с братьями-близнецами Мунибом и Сохаибом Ахтерами стала ещё абсурднее. Ранее выяснилось, что после увольнения из федерального ИТ-подрядчика Opexus они за час удалили 96 баз данных правительства США. Теперь оказалось, что весь этот киберперформанс они ещё и случайно записали на аудио.

Согласно материалам суда, 18 февраля 2025 года сотрудники HR провели с братьями встречу в Microsoft Teams.

Сохаиб включил запись, а спустя пару минут HR вышли из звонка. Но сама встреча продолжила записываться. Судя по всему, братья этого не заметили и ещё около часа обсуждали, что делать после увольнения.

А обсуждали они много интересного: подключение к VPN, удаление баз данных, зачистку компьютеров, резервные копии, возможное давление на бывшего работодателя и клиентов Opexus.

В какой-то момент один из братьев прямо говорит, что люди уже вышли из системы, идеальное время.

Opexus уволила братьев после того, как узнала, что они ранее сидели в тюрьме за кибермошенничество. В ответ, по версии обвинения, Муниб и Сохаиб решили устроить цифровую месть и начали удалять базы данных, связанные с клиентами компании, включая государственные структуры США.

Особый шарм истории добавляет то, что братья в записи они спорят, можно ли требовать деньги, стоит ли писать клиентам компании, как почистить следы и насколько всё это похоже на доказательство вины.

В какой-то момент Сохаиб даже предполагает, что к ним могут прийти с обыском. Муниб отвечает, что всё зачистит, а потом они уедут в Техас. План, конечно, был мощный. Только сейчас оба находятся не в Техасе, а в федеральной тюрьме.

Сохаиба признали виновным на прошлой неделе. Муниб ещё в апреле 2026 года признал вину, но с тех пор пытается откатить это решение через рукописные письма судье.

RSS: Новости на портале Anti-Malware.ru