Alguém Acaba de Reivindicar Um Milhão de Dólares por Hackear o Novo iPhone

Os dispositivos Apple são considerados seguros e difíceis de serem hackeados. Mas como diz aquele provérbio na entrada da internet, "tudo pode ser hackeado – até mesmo o novo iPhone".

Ao longo do final de semana, alguém reivindicou a recompensa de um milhão de dólares definida pela novíssima startup Zerodium, de acordo com seu fundador Chaouki Bekrar, conhecido por comercializar vulnerabilidades desconhecidas ou de dia zero.

Our iOS #0day bounty has expired & we have one winning team who made a remote browser-based iOS 9.1/9.2b #jailbreak (untethered). Congrats!
— Zerodium (@Zerodium) November 2, 2015

O desafio consistia em descobrir uma maneira de fazer o jailbreak remoto de um novo iPhone ou iPad rodando a versão mais recente do iOS (neste caso iOs 9.1 e 9.2b). De acordo com as regras, o invasor deveria instalar qualquer aplicativo desejado com todos os privilégios a partir do Safari, Chrome, uma mensagem de texto ou multimídia.

Isto significa que o participante precisaria encontrar uma série de bugs desconhecidos, de acordo com Patrick Wardle, pesquisador da empresa de segurança Synack. A equipe hacker white hat chinesa Pangu, por exemplo, já havia descoberto uma forma de fazer o jailbreak do novo iPhone, mas esta técnica não funcionava de modo remoto.

Em outras palavras, não era um desafio fácil. De fato, em meados de outubro, Bekrar comentou ao Motherboard que ninguém ainda havia reivindicado o prêmio, por mais que a Zerodium estivesse mantendo contato com duas equipes que trabalhavam independentemente. Mas ambas, ele disse, estavam "travadas" e não conseguiam superar a mesma barreira.

"Tornar o jailbreak realizável remotamente via Safari ou Chrome exige ao menos de duas a três outras falhas em comparação ao jailbreak local", disse Bekrar via mensagem direta no Twitter. Ele comentou ainda que estava cogitando a possibilidade de estender o desafio. Antes que o fizesse, porém, uma das equipes deu um jeito.

"A equipe vencedora enviou as informações poucas horas antes do fim do prazo", afirmou Bekrar, via email.

Bekrar explicou que a equipe vencedora encontrou uma "série de vulnerabilidades" no Chrome e iOS de forma a ultrapassar "quase todas a barreiras" e conseguir um "jailbreak (irrestrito) remoto com base em navegador".

Caso seja verdade, é um feito considerável. Ninguém havia descoberto uma forma (ao menos que seja de conhecimento público) de destravar um iPhone remotamente desde o iOS 7.

Nos últimos anos, muitas empresas de tecnologia, como o Facebook e o Google, lançaram programas de caça de bugs por recompensa; elas ofereciam premiações a hackers amistosos que encontravam vulnerabilidades e as repassavam para que fossem corrigidas. Há ainda uma série de intermediários de bugs, tais como a HackerOne e Bugcrowd, que serve de plataforma para caça de bugs em esquema de crowdsourcing. (Já a Apple não oferece nada nesse sentido.)

Bekrar e Zerodium, bem como sua predecessora VUPEN, tem um modelo de negócios diferente. Todas oferecem prêmios altos em relação ao que outras empresas oferecem e mantêm as vulnerabilidades em segredo; só as revelam para clientes em específico, como a NSA.

Bekrar não quis identificar a equipe vencedora, bem como detalhes das falhas encontradas. Ele também não revelou por quanto planeja vender a brecha.

Mas não restam dúvidas de que, para algumas pessoas, a falha é de grande valor. Agências de inteligência como a NSA e CIA tiveram dificuldades ao hackear iPhones para espionarem seus alvos, e o FBI já reclama publicamente sobre a criptografia da Apple há meses. Isso permitiria que os interessados ultrapassassem qualquer medida de segurança e acessassem o iPhone de um alvo para interceptar mensagens, chamadas e dados armazenados no celular.

Uma fonte, que costumava trabalhar para a NSA, revelou ao Motherboard há algumas semanas que um milhão de dólares é um bom preço para tal falha. "Se você vende para as pessoas certas, pode ganhar bem mais", falou.

A Apple não respondeu às nossas tentativas de contato.

Alguns especialistas, de qualquer forma, não ficaram surpresos que alguém tenha de fato reivindicado a bolada – por mais que um pesquisador duvide que a Zerodium cumpra sua promessa. "Encontrar uma falha não é de chocar… Vê-los pagar sim", disse Jonathan Zdziarski, pesquisador independente que tem trabalhado com dispositivos Apple há anos, via email. "O prêmio não é de um milhão? Não sei se alguém acredita até o dinheiro cair na mão. Pontos pra eles se pagarem."

Bekrar afirmou que a Zerodium está testando as vulnerabilidades para garantir que o hack "atende as regras da premiação por completo".

Ele ainda comentou que a Apple solucionará os bugs "em algumas semanas ou meses" e que os clientes da Zerodium agora tem a chance de aprender mais sobre a segurança no iOS e "tomar melhores decisões em relação aos dispositivos móveis que usam (iOS versus Android) e se protegerão melhor".

"Este desafio é uma das melhores ferramentas de propaganda pra Apple, confirmando mais uma vez que a segurança no iOS é coisa séria e não marketing", afirmou Bekrar. "Nenhum outro software além do iOS merece premiação tão alta."

Wardle, diretor de pesquisa da Synack, empresa que atua como intermediária conectando clientes e pesquisadores, afirmou dias atrás que, a cada novo lançamento, a Apple soluciona "uma tonelada de questões de segurança", o que significa que por si tais dispositivos não são impossíveis de serem hackeados.

"O OS da Apple não necessariamente é livre de bugs [em relação a outros sistemas]", disse Wardle.

E agora, graças a um grupo de hackers desconhecidos, sabemos que isso é verdade.

Tradução: Thiago "Índio" Silva