Mateusz Jurczyk, pseudonim j00ru – polski specjalista ds. bezpieczeństwa komputerowego, badacz podatności w zespole Google Project Zero, współzałożyciel drużyny Dragon Sector, startującej w zawodach CTF.
Życiorys Zajmuje się bezpieczeństwem oprogramowania, w tym inżynierią wsteczną i wyszukiwaniem podatności, m.in. w jądrach systemów operacyjnych. W latach 2009–2011 pracował jako badacz bezpieczeństwa i analityk złośliwego oprogramowania w firmie Hispasec Sistemas, a w latach 2011–2014 jako inżynier bezpieczeństwa informacji w Google. Następnie przeszedł do zespołu Project Zero tej firmy.
W lutym 2013 roku wraz z Gynvaelem Coldwindem i Adamem Iwaniukiem założył drużynę Dragon Sector. W latach 2013–2019 zespół utrzymywał się w pierwszej czwórce rocznego rankingu serwisu CTFtime, a w latach 2014, 2018 i 2019 zajmował w nim pierwsze miejsce. Drużyna organizowała też własne zawody CTF, m.in. przy konferencji CONFidence w Krakowie w latach 2015–2017 i przy Security PWNing Conference w Warszawie w latach 2018–2019.
Działalność badawcza Zgłaszał błędy bezpieczeństwa m.in. w sterownikach jądra systemu, czytnikach dokumentów, edytorach tekstu, przeglądarkach internetowych, maszynach wirtualnych i programach antywirusowych.
Od 2012 roku wraz z Gynvaelem Coldwindem prowadził w Google fuzzing projektu FFmpeg. Do stycznia 2014 roku włączono do niego 1120 poprawek wykrytych przez nich błędów, w tym części związanych z bezpieczeństwem, a do jego odgałęzienia Libav – 413.
W 2013 roku wraz z Coldwindem opublikował pracę Identifying and Exploiting Windows Kernel Race Conditions via Memory Access Patterns. Opisali w niej metodę wykrywania błędów typu double fetch (rodzaj wyścigu) w jądrach systemów operacyjnych za pomocą instrumentacji na poziomie procesora. Za tę pracę obaj otrzymali nagrodę Pwnie Award w kategorii „Most Innovative Research”. Emulator Bochs wykorzystywał w narzędziach Bochspwn i Bochspwn Reloaded oraz w infrastrukturze do fuzzingu obsługi czcionek w jądrze systemu Windows.
W 2015 roku opisał błąd w obsłudze instrukcji BLEND w kodzie renderowania czcionek, wspólnym dla programu Adobe Reader i jądra 32-bitowego systemu Windows. Pozwalał on przejąć kontrolę nad Adobe Readerem za pomocą czcionki osadzonej w pliku PDF, a następnie, dzięki temu samemu błędowi w jądrze, uzyskać uprawnienia SYSTEM.
W 2020 roku odkrył serię błędów w obsłudze formatu obrazów Qmage przez bibliotekę graficzną Skia w smartfonach Samsung. Pozwalały one przejąć kontrolę nad telefonem za pomocą spreparowanej wiadomości MMS, bez żadnego działania użytkownika. Samsung udostępnił poprawki w maju 2020 roku.
W latach 2022–2023 przeprowadził audyt rejestru systemu Windows. Złożył 39 zgłoszeń, które Microsoft usunął jako 44 podatności z identyfikatorami CVE. Wraz z mniej poważnymi problemami zgłoszonymi na przełomie 2023 i 2024 roku badanie przyniosło łącznie 50 identyfikatorów CVE.
Nagrody i wyróżnienia Czterokrotnie otrzymał nagrodę Pwnie Award: w 2012 roku w kategorii „Best Privilege Escalation Bug”, w 2013 roku w kategorii „Most Innovative Research” (wspólnie z Gynvaelem Coldwindem), a w latach 2015 i 2020 w kategorii „Best Client-Side Bug”. Był też nominowany do tej nagrody w innych latach, m.in. w 2011 roku w kategorii „Best Privilege Escalation Bug” za błąd w podsystemie CSRSS systemu Windows. W latach 2015–2019 znajdował się na liście stu najważniejszych badaczy bezpieczeństwa Microsoft Security Response Center, w 2017 roku na pierwszym miejscu.
Publikacje Był konsultantem i redaktorem merytorycznym książki Gynvaela Coldwinda Zrozumieć programowanie (2015)Gynvael Coldwind: Zrozumieć programowanie. Warszawa: Wydawnictwo Naukowe PWN, 2015, stopka redakcyjna. ISBN 978-83-01-18460-5.. Wspólnie z Coldwindem był redaktorem naukowym książki Praktyczna inżynieria wsteczna (2016), w której jest też autorem jednego z rozdziałówMateusz Jurczyk, Gynvael Coldwind (red.): Praktyczna inżynieria wsteczna. Metody, techniki i narzędzia. Warszawa: Wydawnictwo Naukowe PWN, 2016, strona tytułowa i spis treści. ISBN 978-83-01-18951-8.. Publikuje na blogu zespołu Project Zero i na własnym blogu, występował m.in. na konferencjach Black Hat, REcon i Infiltrate.
Wybrane publikacje:
Mateusz Jurczyk, Gynvael Coldwind: FFmpeg and a thousand fixes. Google Online Security Blog, 2014. Mateusz Jurczyk, Gynvael Coldwind: Identifying and Exploiting Windows Kernel Race Conditions via Memory Access Patterns. Google, 2013.
Przypisy
Linki zewnętrzne Blog Mateusza Jurczyka
Kategoria:Ludzie związani z bezpieczeństwem komputerowym Kategoria:Polscy informatycy Kategoria:Pracownicy Google