Google обещает участникам хакерского турнира $1 млн за взлом Chrome

Представители компании Google назначили премии в размере 60 тыс., 40 тыс. и 20 тыс. долларов в зависимости от сложности уязвимостей, которые хакеры обнаружат в браузере Chrome в ходе очередного соревнования Pwn2Own. Премии будут вручаться до тех пор, пока не будет достигнут лимит в 1 млн. долларов, сообщает Security Lab.

Chrome для Windows на данный момент является единственным браузером, чью защиту не удавалось обойти хакерам в рамках конкурса Pwn2Own. В прошлом году, узнав, что организаторы соревнований не собираются взламывать браузер Chrome, Google попросил пересмотреть программу и предложил 20 тыс. долларов в дополнение к 15 тысячам, причитающимся победителю. В этом году дошло уже до миллиона.

Участники конкурса говорят, что сложностью в обходе безопасности Chrome является "песочница" — разработанная Google для браузера и ОС Chrome оболочка безопасности, в которую отправляются все новые приложения и плагины.

Однако за прошедшие несколько лет технология "песочницы" перестала быть такой уж необычной, и многие производители программного обеспечения добавили этот механизм в свои приложения, а исследователи уже нашли способ обойти эту защиту — но пока не для Chrome.

Представители Google, которые занимаются безопасностью Chrome, Крис Эванс и Джастин Шу пишут в официальном блоге Chromium: "Хотя мы и гордимся, что Chrome оставил след на прошлых соревнованиях, однако то, что эксплоиты для нашего продукта не были разработаны, затрудняет процесс нашего совершенствования. Для того чтобы повысить вероятность создания эксплоитов в этом году, мы повысили ставки. Мы непосредственно выделили 1 млн долларов на награды в этом году".

Первоначально Google даже собирался выступить в качестве спонсора Pwn2Own, но после того как организаторы изменили правила соревнования, разрешив участникам не разглашать все детали обнаруженных уязвимостей, компания отказалась от этого намерения.

Хакерские соревнования Pwn2Own придумала американская компания Tipping Point (в настоящее время — HP Tipping Point), они проводятся ежегодно в рамках конференции по компьютерной безопасности CanSecWest в канадском городе Ванкувере с 2007 года. Цель соревнований — взлом популярных приложений за счет неизвестных ранее уязвимостей.

Tipping Point также является инициатором программы Zero Day Initiative (ZDI), в рамках которой два раза в год выпускаются отчеты об уязвимостях в программных продуктах, не устраненных их разработчиками в течение как минимум 6 месяцев.

"Доктор Веб": новый Android-троян заражает браузеры

Российская антивирусная компания "Доктор Веб" обнаружила троянскую программу для Android, которая, попав в устройство, изменяет закладки в браузере смартфона или планшета.

По данным компании, программа Android.Anzhu распространяется с китайских сайтов, предоставляющих бесплатное ПО для Android. Вредоносный код встроен в легитимную программу Screen Off And Lock — один из многочисленных анимированных блокировщиков экрана смартфона.

После установки, вместе с иконкой программы, создается дополнительный значок для ее запуска в режиме отладки Configure Screen Off And Lock. Если это приложение загружено с официального сайта Android Market, на этом все и заканчивается, но если пользователь скачал его с одного из китайских сайтов, помимо вышеуказанных компонентов вместе с запуском режима отладки на устройстве запускается вредоносная программа, которая, установив соединение с одним из принадлежащих вирусописателям удаленных серверов, переходит в режим ожидания команд.

Таким образом, наибольшую опасность Android.Anzhu представляет для владельцев так называемых "рутованных" телефонов — устройств, в которых пользователь имеет права администратора операционной системы.

Вирус Android.Anzhu способен скачивать и устанавливать на зараженное устройство без ведома пользователя другие программы, а также изменять, добавлять и удалять закладки в нескольких наиболее популярных браузерах для Android. Размещая в закладках браузера ссылки на различные вредоносные сайты, хакеры могут вовлекать владельцев зараженных устройств в мошеннические схемы.

Еще одна функция Android.Anzhu — способность отслеживать изменения в системном журнале Android. В частности, отслеживать события, связанные с запуском и открытием окон других приложений.

Это одно из первых вредоносных приложений для Android, обладающих столь широким набором функций. Как утверждают в компании "Доктор Веб", помимо перечисленного, троянец обладает и привычным для Android-троянцев функционалом: способностью собирать информацию о мобильном устройстве (список установленных приложений, IMEI) и отправлять ее на сервер злоумышленников.

ОС Android в 2011 году стала наиболее популярной мобильной платформой среди авторов вредоносных программ.