Galaxy S23 Ultra، جدیدترین و قدرتمندترین گوشی هوشمند سامسونگ، در رویداد Pwn2Own تورنتو که سه شنبه و چهارشنبه گذشته برگزار شد، دو بار توسط تیم های مختلف هک هک شد. این رویداد که توسط Zero Day Initiative (ZDI) برگزار می‌شود، به هکرهای حرفه‌ای این فرصت را می‌دهد تا آسیب‌پذیری‌ها و آسیب‌پذیری‌های امنیتی را در دستگاه‌های مختلف کشف کنند و جوایز نقدی دریافت کنند.

سامسونگ با استفاده از لایه امنیتی KNOX خود مدعی است که امنیت بالایی را علاوه بر لایه های امنیتی اندروید در محصولات خود تعبیه کرده است، اما آیا این لایه می تواند گوشی های این شرکت را در برابر تمامی تهدیدات امنیتی محافظت کند؟ شاید برای دریافت پاسخ این سوال بهتر است نگاهی به اتفاقات دو روز گذشته که در رویداد Pown2Own در کانادا رخ داد بیاندازیم.

Pwn2Own Toronto یک مسابقه هک است که توسط Zero Day Initiative (ZDI) برگزار می شود. در این رویداد، هکرهای حرفه ای از سراسر جهان برای کشف نقاط ضعف و آسیب پذیری امنیتی در دستگاه های مختلف و دریافت جوایز نقدی به چالش کشیده می شوند. این رویداد در سال 2012 با تمرکز بر تلفن های هوشمند آغاز شد و از آن زمان به بعد به سایر دستگاه ها مانند چاپگرها، دستگاه های ذخیره سازی متصل به شبکه (NAS)، بلندگوها و سیستم های نظارتی گسترش یافت. رویداد 2023 در 24 تا 25 اکتبر در دفتر Trend Micro تورنتو برگزار شد..

به گفته منابع مختلف، در نتایج به دست آمده در این رویداد، دو تیم هکر موفق شدند گوشی پرچمدار سامسونگ گلکسی اس 23 اولترا را به دو روش مختلف هک کنند.

حمله اول: سامسونگ با استفاده از فناوری NFC به طور کامل هک شد

که در روز اول رویدادتیم آزمایشگاه MWR متشکل از محققان امنیتی F-Secure، توانستند با استفاده از حمله از طریق درگاه ارتباطی بی سیم NFC گوشی، به گلکسی اس 23 اولترا دسترسی کامل پیدا کنند. NFC یک فناوری بی سیم است که به دستگاه های مجاور اجازه می دهد با یکدیگر ارتباط برقرار کنند. برخی از کاربردهای NFC شامل پرداخت بدون تماس، اشتراک فایل و تبادل اطلاعات است و تیم F-Secure با شبیه سازی تماس واقعی این گوشی را هک کردند.

تیم MWR Labs با استفاده از فناوری NFC توانست فایل مخربی را با نزدیک نگه داشتن گوشی گلکسی اس 23 اولترا به آن منتقل کند. سپس با استفاده از چندین آسیب پذیری زنجیره ای، توانستند دسترسی روت (بالاترین سطح دسترسی در سیستم عامل اندروید) را بر روی دستگاه به دست آورند. همانطور که می دانید، هر کاربری با دسترسی روت می تواند تمامی فایل ها و داده های دستگاه را مشاهده، ویرایش و حذف کند. همچنین با این دسترسی می توانید دوربین، میکروفون، GPS را فعال و غیرفعال کنید و حتی دستگاه را خاموش کنید.

این حمله برای تیم آزمایشگاه MWR یک جایزه 50000 دلاری و یک ارتقاء ارزشمند 10 مرحله ای در رتبه بندی Master of Pwn به ارمغان آورد. Master of Pwn یک عنوان افتخاری است که به بهترین تیم یا فرد در رویداد Pwn2Own داده می شود.

حمله دوم: دوربین Galaxy S23 Ultra از طریق وب هک شد

در روز دوم این رویداد، تیمی از محققان امنیتی از STAR Labs موفق شدند با استفاده از یک حمله وب به دوربین Galaxy S23 Ultra دسترسی پیدا کنند. این حمله با استفاده از یک صفحه وب مخرب حاوی چندین آسیب‌پذیری سریال‌سازی انجام شد. با باز ، این صفحه وب، تیم STAR Labs توانست دوربین دستگاه را کنترل کند و بدون اطلاع کاربر عکس و فیلم بگیرد.

این حمله برای تیم STAR Labs یک جایزه 40000 دلاری و ارتقاء به رتبه 8 در رتبه بندی Master of Pwn به ارمغان آورد.

این دو حمله نشان می دهد که گلکسی اس 23 اولترا که به عنوان گوشی پرچمدار سامسونگ معرفی شد، از آسیب پذیری های حیاتی و جدی در قسمت های مختلف آن رنج می برد. آسیب‌پذیری‌ها می‌توانند دسترسی و سرقت، تغییر یا حذف داده‌های شخصی حساس را برای هکرها آسان‌تر کنند. آنها همچنین می توانند قابلیت های حیاتی دستگاه را غیرفعال کرده و به آن آسیب برسانند.

اما سامسونگ باید در اسرع وقت این آسیب پذیری ها را برطرف کرده و به روز رسانی های امنیتی لازم را در اختیار کاربران خود قرار دهد. در غیر این صورت ممکن است اعتماد و وفاداری مشتریان خود را از دست داده و با شکایات و مشکلات قانونی مواجه شوند.

البته این را هم باید در نظر بگیریم که هک های ذکر شده توسط تیم های بسیار حرفه ای انجام شده و احتمالا این هکرها در اطراف ما کمتر هستند. البته این امر باعث رفع ایرادات امنیتی اندروید و لایه حفاظتی KNOX نمی شود.

همچنین در این رویداد علاوه بر گوشی سامسونگ گلکسی اس 23 اولترا، محصولاتی مانند گوشی پرچمدار شیائومی 13 پرو، گوگل پیکسل 7، آیفون 14، چاپگر حرفه ای Canon imageCLASS MF753Cdw و بسیاری از ابزارها و خدمات مختلف نیز هک شدند و هکرها جوایز بزرگی به آنها داده شد.