Düşünürdüm ki, beynəlxalq konfranslardan hadisələri işıqlandırmaq əla olar. Və yalnız ümumi bir baxışda deyil, ən maraqlı hesabatlar haqqında danışmaq üçün. İlk isti onluğu diqqətinizə çatdırıram.
1. IoT hücumları və ransomware dostluq tandemini gözləyirik
2016-cı ildə ransomwari hücumlarının sürətlə artdığını gördük. IoT istifadə edərək DDoS hücumlarının yeni dalğası bizi vurduqda biz hələ bu hücumlardan qurtulmamışdıq. Bu hesabatda müəllif ransomware hücumunun necə baş verdiyini addım-addım təsvir edir. Ransomware necə işləyir və tədqiqatçı ransomware ilə mübarizə aparmaq üçün hər mərhələdə nə etməlidir.
Bunu edərkən o, sübut edilmiş üsullara arxalanır. Daha sonra məruzəçi Əşyaların İnternetinin DDoS hücumlarında necə iştirak etdiyinə işıq salır: o, bu hücumların həyata keçirilməsində köməkçi zərərli proqramın hansı rol oynadığını izah edir (sonrakı Əşyaların İnterneti ordusu tərəfindən DDoS hücumunun həyata keçirilməsində onun tərəfindən yardım üçün). O, həmçinin ransomware və IoT hücumları tandeminin qarşıdakı illərdə necə böyük təhlükəyə çevrilə biləcəyindən bəhs edir. Məruzəçi “Zərərli proqram, Rootkitlər və Botnetlər: Başlayanlar üçün Bələdçi”, “Qabaqcıl Zərərli Proqram Təhlili”, “Hacking Exposed: Zərərli proqram və Rootkitlərin sirləri və həlləri” kitablarının müəllifidir - ona görə də bu mövzuda məlumatlı şəkildə hesabat verir.
2. “Ağzını aç, de ki, 0x41414141”: Tibbi kiberinfrastruktura hücum
İnternetə qoşulmuş tibbi avadanlıq hər yerdə klinik reallıqdır. Bu cür avadanlıq tibb işçiləri üçün dəyərli yardımdır, çünki o, gündəlik işlərin əhəmiyyətli hissəsini avtomatlaşdırır. Bununla belə, bu avadanlıq potensial hücumçu üçün geniş fəaliyyət sahəsi açan bir çox boşluqları (həm proqram təminatı, həm də aparat təminatı) ehtiva edir. Məruzədə məruzəçi tibbi kiberinfrastruktur üçün pentestlərin keçirilməsi ilə bağlı şəxsi təcrübəsini bölüşür; və həmçinin təcavüzkarların tibbi avadanlıqları necə güzəştə getməsindən danışır.
Natiq aşağıdakıları təsvir edir: 1) təcavüzkarların özəl rabitə protokollarından necə istifadə etdiklərini, 2) şəbəkə xidmətlərində boşluqları necə axtardıqlarını, 3) həyati dəstək sistemlərini necə güzəştə getdiklərini, 4) aparatların sazlanması interfeyslərindən və sistem məlumat avtobusundan necə istifadə etdiklərini; 5) əsas simsiz interfeyslərə və xüsusi mülkiyyətli simsiz texnologiyalara necə hücum edir; 6) onların tibbi məlumat sistemlərinə necə nüfuz etmələri, sonra oxumaları və redaktələri: xəstənin sağlamlığı haqqında şəxsi məlumatlar; məzmunu adətən hətta xəstədən gizlədilən rəsmi tibbi sənədlər; 7) tibbi avadanlığın məlumat mübadiləsi və xidmət əmrləri üçün istifadə etdiyi rabitə sisteminin necə pozulduğunu; 8) tibb işçilərinin avadanlıqlara çıxışının necə məhdudlaşdırıldığı; və ya tamamilə bloklayın.
Natiq öz pentestləri zamanı tibbi avadanlıqlarla bağlı bir çox problem aşkarladı. Onların arasında: 1) zəif kriptoqrafiya, 2) verilənlərlə manipulyasiya imkanları; 3) avadanlığın uzaqdan dəyişdirilməsi imkanı, 3) mülkiyyət protokollarında zəifliklər, 4) verilənlər bazalarına icazəsiz giriş imkanı, 5) sərt kodlu, dəyişdirilə bilməyən loginlər/parollar. Avadanlıq proqram təminatında və ya sistemin ikili fayllarında saxlanılan digər həssas məlumatlar kimi; 6) tibbi avadanlıqların uzaqdan DoS hücumlarına qarşı həssaslığı.
Hesabatı oxuduqdan sonra məlum olur ki, tibb sektorunda kibertəhlükəsizlik bu gün kliniki haldır və intensiv qayğıya ehtiyacı var.
3. Kontekstli reklam çarxının ucunda dişli istismar
Hər gün milyonlarla insan sosial şəbəkələrə gedir: iş, əyləncə və ya sadəcə ona görə. Sosial şəbəkələrin başlığı altında adi ziyarətçi üçün görünməyən və sosial şəbəkə ziyarətçilərinə müvafiq kontekstli reklamların çatdırılmasına cavabdeh olan Reklam platformaları var. Reklam platformalarından istifadə etmək asandır və çox effektivdir. Buna görə də, reklamçılar arasında tələbat var.
Reklam platformaları biznes üçün çox faydalı olan geniş auditoriyaya çatmaq qabiliyyətinə əlavə olaraq, hədəfləmənizi konkret bir şəxsə qədər daraltmağa imkan verir. Üstəlik, müasir Reklam platformalarının funksionallığı hətta bu şəxsin çoxsaylı qadcetlərindən hansının reklam nümayiş etdirəcəyini seçməyə imkan verir.
Bu. müasir Reklam platformaları reklamçıya dünyanın istənilən yerində istənilən şəxsə müraciət etməyə imkan verir. Lakin bu fürsətdən təcavüzkarlar da istifadə edə bilər - onların nəzərdə tutulan qurbanının fəaliyyət göstərdiyi şəbəkəyə giriş qapısı kimi. Natiq, zərərli reklamçının fərdiləşdirilmiş istismarı bir konkret şəxsə çatdırmaq üçün öz fişinq kampaniyasını dəqiq hədəfləmək üçün Reklamlar platformasından necə istifadə edə biləcəyini nümayiş etdirir.
4. Həqiqi hakerlər hədəflənmiş reklamdan necə yayınırlar
Biz gündəlik həyatımızda bir çox müxtəlif kompüterləşdirilmiş xidmətlərdən istifadə edirik. Onlardan vaz keçmək bizim üçün çətindir, hətta birdən-birə bilsək ki, onlar bizə tam nəzarət edirlər. O qədər ümumidir ki, onlar bizim hər bədən hərəkətimizi və hər barmaq basmağımızı izləyirlər.
Natiq müasir marketoloqların müxtəlif ezoterik hədəfləmə üsullarından necə istifadə etdiyini aydın şəkildə izah edir. Biz mobil paranoyya haqqında, ümumi nəzarət haqqında. Və bir çox oxucu yazılanları zərərsiz bir zarafat kimi qəbul etdi, lakin təqdim olunan hesabatdan aydın olur ki, müasir marketoloqlar bizi izləmək üçün artıq bu cür texnologiyalardan tam istifadə edirlər.
Nə edə bilərsiniz, bu ümumi nəzarəti gücləndirən kontekstli reklam sənayesi sıçrayış və həddə doğru irəliləyir. O baxımdan ki, müasir Reklam platformaları insanın təkcə şəbəkə fəaliyyətini (klavişlər, siçan göstəricilərinin hərəkətləri və s.) deyil, həm də onun fizioloji xüsusiyyətlərini (düymələri necə basdığımızı və siçanı necə hərəkət etdirdiyimizi) izləyə bilir. Bu. Bizim onsuz həyatı təsəvvür edə bilməyəcəyimiz xidmətlərə daxil edilmiş reklam platformalarının müasir izləmə alətləri nəinki alt paltarımızın, hətta dərimizin altında da sürünür. Əgər bizim bu hədsiz müşahidəçi xidmətlərdən imtina etmək imkanımız yoxdursa, onda niyə heç olmasa onları lazımsız məlumatlarla bombalamağa cəhd etməyək?
Hesabatda müəllifin qurğusu (proqram və aparat botu) nümayiş etdirilib, bu imkan verir: 1) Bluetooth mayaklarının inyeksiya edilməsi; 2) avtomobilin bort sensorlarından toplanan məlumatları səs-küy salmaq; 3) mobil telefonun identifikasiya parametrlərini saxtalaşdırmaq; 4) barmaq klikləri ilə səs-küy yaratmaq (klaviaturada, siçanda və sensorda). Bütün bu məlumatların mobil qurğularda reklamı hədəfləmək üçün istifadə edildiyi məlumdur.
Nümayiş göstərir ki, müəllifin cihazını işə saldıqdan sonra izləmə sistemi dəli olur; ki, onun topladığı məlumat o qədər səs-küylü və qeyri-dəqiq olur ki, bundan sonra müşahidəçilərimiz üçün heç bir faydası olmayacaq. Yaxşı bir zarafat olaraq, natiq təqdim olunan cihaz sayəsində "izləmə sisteminin" 32 yaşlı hakeri atlara dəlicəsinə aşiq olan 12 yaşlı qız kimi qəbul etməyə başladığını nümayiş etdirir.
5. 20 illik MMORPG hacking: daha soyuq qrafika, eyni istismarlar
MMORPG-lərin sındırılması mövzusu 20 ildir ki, DEF CON-da müzakirə olunur. Yubileyi qeyd edən natiq bu müzakirələrdən ən əlamətdar məqamları təsvir edir. Bundan əlavə, o, onlayn oyuncaqların brakonyerlik sahəsindəki sərgüzəştlərindən danışır. Ultima Online-dan bəri (1997-ci ildə). Və sonrakı illər: Camelotun Qaranlıq dövrü, Anarchy Online, Asherons Call 2, ShadowBane, Lineage II, Final Fantasy XI/XIV, World of Warcraft. O cümlədən bir neçə yeni nümayəndə: Guild Wars 2 və Elder Scrolls Online. Və bu natiqin bütün rekordu deyil!
Hesabat virtual pulları əldə etməyə kömək edən və demək olar ki, hər bir MMORPG üçün aktual olan MMORPG-lər üçün istismarların yaradılması ilə bağlı texniki təfərrüatları təqdim edir. Natiq brakonyerlər (istehsalçılar) və “balıq nəzarəti” arasındakı əbədi qarşıdurmadan qısaca danışır; və bu silahlanma yarışının hazırkı texniki vəziyyəti haqqında.
Ətraflı paket təhlili metodunu və server tərəfində brakonyerliyin aşkarlanmaması üçün istismarların necə konfiqurasiya olunacağını izah edir. Hesabat zamanı silahlanma yarışında "balıq təftişi" ilə müqayisədə üstünlüyə malik olan ən son istismarı təqdim etmək də daxil olmaqla.
6. Skynet gəlməmiş robotları hack edək
Robotlar bu günlərdə dəbdədir. Yaxın gələcəkdə onlar hər yerdə olacaqlar: hərbi tapşırıqlarda, cərrahi əməliyyatlarda, göydələnlərin tikintisində; mağazalarda satıcılar; xəstəxana işçiləri; biznes köməkçiləri, cinsi partnyorlar; ev aşpazları və ailənin tam üzvləri.
Robot ekosistemi genişləndikcə və robotların cəmiyyətimizə və iqtisadiyyatımıza təsiri sürətlə artdıqca, onlar insanlar, heyvanlar və müəssisələr üçün əhəmiyyətli təhlükə yaratmağa başlayır. Özündə robotlar qolları, ayaqları və təkərləri olan kompüterlərdir. Kibertəhlükəsizliyin müasir reallıqlarını nəzərə alsaq, bunlar qolları, ayaqları və təkərləri olan həssas kompüterlərdir.
Müasir robotların proqram təminatı və aparat təminatı zəiflikləri təcavüzkarın robotun fiziki imkanlarından istifadə edərək əmlak və ya maliyyə zərəri vurmasına imkan verir; hətta təsadüfən və ya qəsdən insan həyatını təhlükə altına qoyur. Robotların yaxınlığında olan hər hansı bir şey üçün potensial təhlükələr zamanla eksponent olaraq artır. Üstəlik, onlar qurulmuş kompüter təhlükəsizliyi sənayesinin əvvəllər görmədiyi kontekstlərdə artır.
Son araşdırmalarında natiq məişət, korporativ və sənaye robotlarında - tanınmış istehsalçılardan bir çox kritik boşluqlar aşkar edib. Hesabatda o, mövcud təhdidlərin texniki təfərrüatlarını açıqlayır və təcavüzkarların robot ekosisteminin müxtəlif komponentlərini necə poza biləcəyini dəqiq izah edir. İşləyən istismarların nümayişi ilə.
Robot ekosistemində spiker tərəfindən aşkar edilən problemlər arasında: 1) təhlükəsiz olmayan rabitə; 2) yaddaşın zədələnmə ehtimalı; 3) uzaqdan kod icrasına imkan verən boşluqlar (RCE); 4) fayl sisteminin bütövlüyünün pozulması ehtimalı; 5) avtorizasiya ilə bağlı problemlər; bəzi hallarda isə onun ümumiyyətlə olmaması; 6) zəif kriptoqrafiya; 7) proqram təminatının yenilənməsi ilə bağlı problemlər; 8) məxfiliyin təmin edilməsi ilə bağlı problemlər; 8) sənədləşdirilməmiş imkanlar (həmçinin RCE-yə qarşı həssas və s.); 9) zəif standart konfiqurasiya; 10) həssas Açıq Mənbə “robotları idarə etmək üçün çərçivələr” və proqram kitabxanaları.
Natiq kibercasusluq, insayder təhdidləri, əmlaka dəyən ziyan və s. ilə bağlı müxtəlif hakerlik ssenarilərinin canlı nümayişini təqdim edir. Təbiətdə müşahidə oluna bilən real ssenariləri təsvir edən natiq müasir robot texnologiyasının etibarsızlığının haker hücumlarına necə səbəb ola biləcəyini izah edir. Nə üçün sındırılmış robotların digər təhlükələrə məruz qalmış texnologiyalardan daha təhlükəli olduğunu izah edir.
Natiq onu da diqqətə çatdırır ki, xam tədqiqat layihələri istehsalata təhlükəsizlik məsələləri həll edilməmişdən əvvəl gedir. Marketinq həmişəki kimi qalib gəlir. Bu qeyri-sağlam vəziyyət təcili olaraq düzəldilməlidir. Skynet gələnə qədər. Baxmayaraq ki... Növbəti hesabat Skynet-in artıq gəldiyini göstərir.
7. Maşın öyrənməsinin hərbiləşdirilməsi
Dəli alim kimi damğalanmaq riski ilə natiq hələ də özünün “yeni şeytanın yaradıcılığı”ndan təsirlənir, qürurla DeepHack-i təqdim edir: açıq mənbəli haker AI. Bu bot öz-özünə öyrənən veb proqram hakeridir. Sınaq və səhv yolu ilə öyrənən neyron şəbəkəsinə əsaslanır. Eyni zamanda, DeepHack bu sınaqların və səhvlərin bir insan üçün mümkün nəticələrinə qorxulu nifrətlə yanaşır.
Yalnız bir universal alqoritmdən istifadə edərək, müxtəlif növ zəifliklərdən istifadə etməyi öyrənir. DeepHack haker süni intellekt sahəsinə qapı açır, onların çoxunu yaxın gələcəkdə gözləmək olar. Bu baxımdan natiq qürurla botunu “sonun başlanğıcı” kimi xarakterizə edir.
Natiq hesab edir ki, DeepHack-dən sonra tezliklə ortaya çıxacaq süni intellektə əsaslanan haker alətləri kibermüdafiəçilərin və kiberhücumçuların hələ mənimsəmədiyi prinsipial yeni texnologiyadır. Natiq zəmanət verir ki, gələn il hər birimiz ya özümüz maşın öyrənməsi üçün haker alətləri yazacağıq, ya da özümüzü onlardan qorumağa çalışacağıq. Üçüncüsü yoxdur.
Həmçinin natiq istər zarafatla, istərsə də ciddi şəkildə bildirir: “Artıq şeytani dahilərin imtiyazı deyil, süni intellektin qaçılmaz distopiyası bu gün artıq hər kəs üçün əlçatandır. Beləliklə, bizə qoşulun və biz sizə öz hərbiləşdirilmiş maşın öyrənmə sisteminizi yaratmaqla bəşəriyyətin məhvində necə iştirak edə biləcəyinizi göstərəcəyik. Təbii ki, əgər gələcəkdən gələn qonaqlar bizə bunu etməyə mane olmasalar”.
8. Hər şeyi yadda saxla: koqnitiv yaddaşa parolların implantasiyası
Koqnitiv yaddaş nədir? Orada parolu necə “yerləşdirmək” olar? Bu hətta təhlükəsizdirmi? Və niyə ümumiyyətlə belə hiylələr? İdeya budur ki, bu yanaşma ilə siz hətta təzyiq altında parollarınızı tökə bilməyəcəksiniz; sistemə daxil olmaq qabiliyyətini qoruyarkən.
Söhbət koqnitiv yaddaşın nə olduğunu izah etməklə başlayır. Daha sonra açıq və gizli yaddaşın necə fərqləndiyini izah edir. Sonra şüurlu və şüursuz anlayışları müzakirə olunur. Həm də bunun hansı mahiyyət olduğunu - şüur olduğunu izah edir. Yaddaşımızın məlumatı necə kodladığını, saxladığını və əldə etdiyini təsvir edir. İnsan yaddaşının məhdudiyyətləri təsvir edilmişdir. Həm də yaddaşımızın necə öyrəndiyini. Və hesabat parolların necə tətbiq olunacağı kontekstində insanın idrak yaddaşına dair müasir tədqiqatlar haqqında hekayə ilə bitir.
Natiq, əlbəttə ki, təqdimatının başlığında səsləndirilən iddialı bəyanatı tam həllinə gətirmədi, eyni zamanda problemin həllinə yanaşmalarla bağlı bir sıra maraqlı araşdırmaları da qeyd etdi. Xüsusilə, mövzusu eyni mövzu olan Stanford Universitetinin araşdırması. Və görmə qabiliyyəti zəif olan insanlar üçün insan-maşın interfeysinin inkişafı layihəsi - beyinlə birbaşa əlaqə ilə. Natiq beynin elektrik siqnalları ilə şifahi ifadələr arasında alqoritmik əlaqə qurmağı bacaran alman alimlərinin araşdırmasına da istinad edir; Onların hazırladıqları cihaz sadəcə düşünərək mətni yazmağa imkan verir. Natiqin istinad etdiyi başqa bir maraqlı araşdırma simsiz EEG qulaqlıq vasitəsilə beyin və mobil telefon arasında interfeys olan neyrotelefondur (Dartmut Kolleci, ABŞ).
Artıq qeyd edildiyi kimi, məruzəçi təqdimatının başlığında səsləndirilən iddialı bəyanatı tam həllinə gətirməmişdir. Bununla belə, spiker qeyd edir ki, parolun koqnitiv yaddaşa implantasiyası texnologiyasının hələ mövcud olmamasına baxmayaraq, onu oradan çıxarmağa çalışan zərərli proqram artıq mövcuddur.
9. Və balaca uşaq soruşdu: “Doğrudanmı, elektrik şəbəkəsinə kiberhücumları yalnız hökumət hakerləri həyata keçirə bilərmi?”
Elektrik enerjisinin düzgün işləməsi gündəlik həyatımızda böyük əhəmiyyət kəsb edir. Elektrik enerjisindən asılılığımız, elektrik enerjisi söndürüldükdə, hətta qısa müddətə də olsa, aydın görünür. Bu gün ümumiyyətlə qəbul edilir ki, elektrik şəbəkəsinə kiberhücumlar son dərəcə mürəkkəbdir və yalnız hökumət hakerləri üçün əlçatandır.
Natiq bu adi müdrikliyə etiraz edir və qiyməti hətta qeyri-hökumət hakerləri üçün də məqbul olan elektrik şəbəkəsinə edilən hücumun ətraflı təsvirini təqdim edir. Bu, hədəf elektrik şəbəkəsinin modelləşdirilməsində və təhlilində faydalı olacaq İnternetdən toplanmış məlumatları nümayiş etdirir. Həm də bu məlumatın bütün dünyada elektrik şəbəkələrinə hücumları modelləşdirmək üçün necə istifadə oluna biləcəyini izah edir.
Hesabat həmçinin enerji sektorunda geniş istifadə olunan General Electric Multilin məhsullarında natiq tərəfindən aşkar edilmiş kritik zəifliyi nümayiş etdirir. Natiq bu sistemlərdə istifadə edilən şifrələmə alqoritmini necə tamamilə pozduğunu təsvir edir. Bu alqoritm General Electric Multilin məhsullarında daxili alt sistemlərin təhlükəsiz əlaqəsi və bu alt sistemlərin idarə edilməsi üçün istifadə olunur. O cümlədən istifadəçilərə icazə vermək və imtiyazlı əməliyyatlara girişi təmin etmək.
Giriş kodlarını öyrəndikdən sonra (şifrələmə alqoritmini pozmaq nəticəsində) təcavüzkar cihazı tamamilə söndürə və elektrik şəbəkəsinin müəyyən sektorlarında elektrik enerjisini söndürə bilər; blok operatorları. Bundan əlavə, spiker kiberhücumlara məruz qalan avadanlıqların buraxdığı rəqəmsal izlərin uzaqdan oxunması texnikasını nümayiş etdirir.
10. İnternet artıq mənim hamilə olduğumu bilir
Qadın sağlamlığı böyük işdir. Bazarda qadınlara aylıq dövrlərini izləməyə, hamilə qalma ehtimalının nə vaxt olduğunu bilməyə və ya hamiləlik vəziyyətini izləməyə kömək edən çoxlu Android proqramları var. Bu proqramlar qadınları əhval-ruhiyyə, cinsi fəaliyyət, fiziki fəaliyyət, fiziki simptomlar, boy, çəki və s. kimi həyatlarının ən intim detallarını qeyd etməyə təşviq edir.
Bəs bu proqramlar nə dərəcədə özəldir və nə dərəcədə təhlükəsizdir? Axı, bir proqram şəxsi həyatımızla bağlı belə intim detalları saxlayırsa, bu məlumatları başqası ilə paylaşmasaydı, yaxşı olardı; məsələn, mehriban bir şirkətlə (məqsədli reklamla məşğul olan və s.) və ya zərərli tərəfdaş/valideynlə.
Natiq, konsepsiya ehtimalını proqnozlaşdıran və hamiləliyin gedişatını izləyən ondan çox tətbiqin kibertəhlükəsizlik təhlilinin nəticələrini təqdim edir. O, müəyyən edib ki, bu proqramların əksəriyyətində ümumilikdə kibertəhlükəsizlik, xüsusən də məxfilik ilə bağlı ciddi problemlər var.
Mənbə: www.habr.com