Bug Bounty : le hacking bénéfique pour tous !

Le Pwnfest a rassemblé les 10 et 11 novembre derniers, plusieurs équipes de hacking réputées, à Séoul en Corée, dont plusieurs équipes représentant l’éditeur d’antivirus chinois Qihoo 360.

Parmi des différents programmes de Bug Bounty [1] particulièrement en vogue en ce moment, le Pwfest est un concours où les équipes de hackers mettent en scène un POC [2] en « live » des vulnérabilités qu’ils ont pu découvrir. D’importantes récompenses financières sont offertes aux équipes qui arrivent à mettre en exergues des vulnérabilités encore inconnues, également appelées « failles 0 day » ou « exploit ».

Ce qui est assez déconcertant, au-delà du fait de trouver de nouvelles failles, c’est les temps record qu’ont mis les hackers pour exploiter ces failles et prendre le contrôle des différents systèmes à jour de leurs correctifs de sécurité.

Les systèmes que nous utilisons au quotidien, ne résistent même pas une minute !

Pour vous donner quelques chiffres, il n’aura pas fallu plus de 20 secondes pour la Team Pangu & JH pour exploiter une vulnérabilité du navigateur Safari et prendre le contrôle avec des privilèges sans limites sur MacOS !
Le jeune chercheur sud-coréen Jungoon Lee alias « Lokihardt » a réussi à s’infiltrer dans Windows 10 en 18 secondes grâce à une faille du navigateur Microsoft Edge.
La palme revenant à l’équipe 360 Vulcan qui a mis 4 secondes pour prendre le contrôle de Windows 10 en perçant un nouveau trou dans Flash Player.
On doit également à Lokihardt les dernières mises à jour de sécurité de VMware Player.

Le Bug Bounty [1], un concept qui s’avère bénéfique pour tout le monde !
Les éditeurs corrigent les vulnérabilités de leurs produits sans trop entacher leur réputation, les hackers prennent des gros chèques tout en restant dans la légalité (certains deviennent même des héros) et les utilisateurs finaux sont contents de voir que de nouvelles rustines ont permis d’éviter les fuites. 

Pour voir les résultats complets ou pour plus d’informations sur le concours : www.pwnfest.org

---

[1] Bug Bounty : programme pouvant être mis en place par des éditeurs ou des plateformes dédiées, offrant des récompenses aux chercheurs rapportant des bugs ou des vulnérabilités encore inconnus.

[2] Proof Of Concept ou preuve de concept en français est une démonstration de faisabilité concrète.