Традиционно специалисты советуют пользователям не соглашаться на требования мошенников и не выплачивать «выкуп» за возможность вернуть доступ к своему устройству и данным. Однако в случае соревнования Pwn2Own, организованного Zero Day Initiative, «пострадавшие» действуют с точностью наоборот, ведь суть данного мероприятия заключается в поиске уязвимостей в системах безопасности продукции различных компаний, включая Google, Microsoft, Apple и др. Так за получение Root-доступа к система Tesla специалисты компании Synacktiv получили приз в сумме $100 000 и бонус в виде взломанной ими Tesla Model 3.
В последние годы Tesla активно вкладывается в меры по кибербезопасности и тесно сотрудничает этичными хакерами, так называемыми «белыми шляпами», которые специализируются на тестировании безопасности компьютерных систем. Белые хакеры за плату или на добровольной основе занимаются поиском слабых узлов в системах, помогая их создателям улучшить защиту продукта. Взлом различных автомобилей, в том числе и Tesla, является неотъемлемой частью всевозможных соревнований белых хакеров, и Pwn2Own не стало исключением. Компания традиционно предлагает взломщикам крупные денежные призы и возможность стать владельцем электромобиля, который им удалось взломать.
На своём официальном Twitter-аккаунте организация Zero Day Initiative подтвердила, что компании Synacktiv удалось получить Root‑доступ к бортовому компьютеру Model 3, что дало им полный контроль над всеми системами автомобиля. По данным ZDI, этичные хакеры использовали уязвимость TOCTTOU (Time-of-check-to-time-of-use), возникающую из-за ошибок проектирования многопоточных систем, вследствие которых работа системы зависит от порядка выполнения частей кода. К примеру, TOCTTOU проявляется, когда программа проверяет состояние системы, а спустя некоторое время использует полученную информацию без учёта изменений, которые могли произойти за этот период. Как следствие, несколько процессов одновременно обращаются к одному и тому же ресурсу, делая результаты проверки состояния системы недействительными. Помимо этого, белые хакеры Synacktiv также нашли лазейку в инфотейнмент-системе автомобиля через Bluetooth, что принесло им дополнительное вознаграждение.
К слову, хакерская активность Synacktiv в рамках Pwn2Own не ограничилась взломом системы Tesla. Участники команды произвели взлом ещё нескольких продуктов разных компаний, включая Microsoft Windows 11, Oracle VirtualBox, Ubuntu Desktop и Apple macOS. В итоге они заработали статус Masters of Pwn с 53 баллами Master of Pwn и денежным призом общей суммой $530 000.
Источник фото: Zero Day Initiative