Říkal jsem si, že by bylo skvělé pokrýt události z mezinárodních konferencí. A to nejen v obecném přehledu, ale mluvit o nejzajímavějších zprávách. Upozorňuji na první horkou desítku.
1. Čekání na přátelský tandem IoT útoků a ransomwaru
V roce 2016 jsme zaznamenali rychlý nárůst útoků ransomwari. Ještě jsme se z těchto útoků nevzpamatovali, když nás zasáhla nová vlna DDoS útoků využívajících IoT. V této zprávě autor poskytuje podrobný popis toho, jak k útoku ransomwaru dochází. Jak ransomware funguje a co musí výzkumník v každé fázi udělat, aby čelil ransomwaru.
Spoléhá přitom na osvědčené metody. Poté řečník osvětlí, jak je IoT zapojen do DDoS útoků: řekne, jakou roli hraje pomocný malware při provádění těchto útoků (pro následnou pomoc při provádění DDoS útoku armádou IoT). Hovoří také o tom, jak by se tandem ransomwaru a útoků IoT mohl v nadcházejících letech stát velkou hrozbou. Přednášející je autorem knih „Malware, Rootkits & Botnets: a Beginner’s Guide“, „Advanced Malware Analysis“, „Hacking Exposed: Malware & Rootkits Secrets & Solutions“ – takže podává zprávy se znalostí věci.
2. „Otevři ústa, řekni 0x41414141“: Útok na lékařskou kybernetickou infrastrukturu
Lékařské vybavení připojené k internetu je všudypřítomnou klinickou realitou. Takové vybavení je cenným pomocníkem pro zdravotnický personál, protože automatizuje významnou část rutiny. Toto vybavení však obsahuje mnoho zranitelností (softwarových i hardwarových), které potenciálnímu útočníkovi otevírají široké pole působnosti. Přednášející ve zprávě sdílí své osobní zkušenosti s prováděním testů pro lékařskou kybernetickou infrastrukturu; a také mluví o tom, jak útočníci kompromitují lékařské vybavení.
Řečník popisuje: 1) jak útočníci využívají proprietární komunikační protokoly, 2) jak hledají zranitelnosti v síťových službách, 3) jak kompromitují systémy podpory života, 4) jak zneužívají rozhraní pro ladění hardwaru a systémovou datovou sběrnici; 5) jak útočí na základní bezdrátová rozhraní a specifické proprietární bezdrátové technologie; 6) jak pronikají do lékařských informačních systémů a následně čtou a upravují: osobní informace o zdravotním stavu pacienta; úřední zdravotnická dokumentace, jejíž obsah je běžně skryt i před pacientem; 7) jak je narušen komunikační systém, který lékařské vybavení používá k výměně informací a servisních příkazů; 8) jak je omezen přístup zdravotnického personálu k vybavení; nebo ho úplně zablokovat.
Během svých letnic, řečník objevil mnoho problémů s lékařským vybavením. Mezi nimi: 1) slabá kryptografie, 2) možnost manipulace s daty; 3) možnost vzdálené výměny zařízení, 3) zranitelnosti v proprietárních protokolech, 4) možnost neoprávněného přístupu k databázím, 5) pevně zakódovaná, neměnná přihlašovací jména/hesla. Stejně jako další citlivé informace uložené buď ve firmwaru zařízení nebo v systémových binárních souborech; 6) náchylnost lékařského vybavení ke vzdáleným útokům DoS.
Po přečtení zprávy je zřejmé, že kybernetická bezpečnost v lékařském sektoru je dnes klinickým případem a vyžaduje intenzivní péči.
3. Zubatý exploit na špičce špejle kontextové reklamy
Každý den miliony lidí chodí na sociální sítě: za prací, za zábavou nebo jen tak. Pod pokličkou sociálních sítí jsou reklamní platformy, které jsou pro běžného návštěvníka neviditelné a jsou zodpovědné za poskytování relevantní kontextové reklamy návštěvníkům sociálních sítí. Reklamní platformy jsou snadno použitelné a velmi efektivní. Proto jsou mezi inzerenty žádané.
Kromě možnosti oslovit široké publikum, což je pro podnikání velmi výhodné, vám platformy Ads také umožňují zúžit cílení na jednu konkrétní osobu. Funkce moderních reklamních platforem vám navíc umožňuje vybrat si, na kterém z mnoha gadgetů této konkrétní osoby chcete zobrazovat reklamu.
Že. moderní reklamní platformy umožňují inzerentovi oslovit jakoukoli osobu kdekoli na světě. Tuto příležitost ale mohou využít i útočníci – jako bránu do sítě, ve které operuje jejich zamýšlená oběť. Přednášející předvádí, jak může škodlivý inzerent využít platformu Ads k přesnému zacílení své phishingové kampaně a poskytnutí personalizovaného exploitu jedné konkrétní osobě.
4. Jak se skuteční hackeři vyhýbají cílené reklamě
V každodenním životě využíváme mnoho různých počítačových služeb. A je pro nás těžké se jich vzdát, i když najednou zjistíme, že na nás provádějí totální dohled. Tak celkové, že sledují každý pohyb našeho těla a každý stisk prstu.
Řečník jasně vysvětluje, jak moderní marketéři používají širokou škálu esoterických metod cílení. My o mobilní paranoie, o totálním sledování. A mnozí čtenáři brali to, co bylo napsáno, jako neškodný vtip, ale z prezentované zprávy je zřejmé, že moderní marketéři již plně využívají takové technologie, aby nás sledovali.
Co se dá dělat, průmysl kontextové reklamy, který pohání tento totální dohled, se pohybuje mílovými kroky. Do té míry, že moderní platformy Ads dokážou sledovat nejen síťovou aktivitu člověka (úhozy, pohyby ukazatele myši atd.), ale také jeho fyziologické vlastnosti (jak mačkáme klávesy a pohybujeme myší). Že. moderní sledovací nástroje platforem Ads, zabudované do služeb, bez kterých si život neumíme představit, nám lezou nejen pod spodní prádlo, ale dokonce i pod kůži. Nemáme-li možnost odhlásit se z těchto příliš pozorných služeb, tak proč je alespoň nezkusit bombardovat zbytečnými informacemi?
Zpráva demonstrovala autorovo zařízení (softwarový a hardwarový bot), které umožňuje: 1) injektování Bluetooth majáků; 2) šum dat shromážděných z palubních senzorů vozidla; 3) falšovat identifikační parametry mobilního telefonu; 4) vydávat hluk na způsob kliknutí prstů (na klávesnici, myš a senzor). Je známo, že všechny tyto informace se používají k cílení reklamy na mobilní gadgety.
Ukázka ukazuje, že po spuštění autorského zařízení se sledovací systém zblázní; že informace, které shromažďuje, se stanou tak hlučnými a nepřesnými, že již nebudou našim pozorovatelům k ničemu. Jako dobrý vtip přednášející předvádí, jak díky představenému zařízení začne „sledovací systém“ vnímat 32letého hackera jako 12letou dívku, která je šíleně zamilovaná do koní.
5. 20 let hackování MMORPG: lepší grafika, stejné exploity
Téma hackování MMORPG je na DEF CON probíráno již 20 let. Přednášející vzdává hold výročí a popisuje nejvýznamnější momenty z těchto diskusí. Kromě toho vypráví o svých dobrodružstvích na poli pytláctví online hraček. Od Ultima Online (v roce 1997). A následující roky: Dark Age of Camelot, Anarchy Online, Asherons Call 2, ShadowBane, Lineage II, Final Fantasy XI/XIV, World of Warcraft. Včetně několika nových zástupců: Guild Wars 2 a Elder Scrolls Online. A to není celý záznam reproduktoru!
Zpráva poskytuje technické podrobnosti o vytváření exploitů pro MMORPG, které vám pomohou získat virtuální peníze a které jsou relevantní pro téměř každé MMORPG. Řečník krátce hovoří o věčné konfrontaci mezi pytláky (výrobci kořisti) a „kontrolou ryb“; a o aktuálním technickém stavu tohoto závodu ve zbrojení.
Vysvětluje metodu podrobné analýzy paketů a jak nakonfigurovat exploity tak, aby na straně serveru nebylo zjištěno pytláctví. Včetně představení nejnovějšího exploitu, který měl v době zprávy výhodu oproti „rybí inspekci“ v závodech ve zbrojení.
6. Pojďme hacknout roboty, než přijde Skynet
Roboti jsou v dnešní době v módě. V blízké budoucnosti budou všude: na vojenských misích, při chirurgických operacích, při stavbě mrakodrapů; prodavači v obchodech; nemocniční personál; obchodní asistenti, sexuální partneři; domácí kuchaři a plnoprávní členové rodiny.
Jak se ekosystém robotů rozšiřuje a vliv robotů v naší společnosti a ekonomice rychle roste, začínají představovat významnou hrozbu pro lidi, zvířata a podniky. Roboti jsou ve svém jádru počítače s rukama, nohama a koly. A vzhledem k moderní realitě kybernetické bezpečnosti se jedná o zranitelné počítače s rukama, nohama a koly.
Softwarová a hardwarová zranitelnost moderních robotů umožňuje útočníkovi využít fyzické schopnosti robota ke způsobení majetkových nebo finančních škod; nebo dokonce náhodně či úmyslně ohrozit lidský život. Potenciální hrozby pro cokoli v blízkosti robotů v průběhu času exponenciálně rostou. Navíc se zvyšují v kontextech, které zavedený průmysl počítačové bezpečnosti nikdy předtím neviděl.
Ve svém nedávném výzkumu mluvčí objevil mnoho kritických zranitelností v domácích, podnikových a průmyslových robotech – od známých výrobců. Ve zprávě odhaluje technické detaily aktuálních hrozeb a přesně vysvětluje, jak mohou útočníci kompromitovat různé složky robotického ekosystému. S ukázkou pracovních exploitů.
Mezi problémy, které mluvčí objevil v robotickém ekosystému: 1) nezabezpečená komunikace; 2) možnost poškození paměti; 3) zranitelnosti, které umožňují vzdálené spuštění kódu (RCE); 4) možnost narušení integrity systému souborů; 5) problémy s autorizací; a v některých případech jeho nepřítomnost vůbec; 6) slabá kryptografie; 7) problémy s aktualizací firmwaru; 8) problémy se zajištěním důvěrnosti; 8) nezdokumentované schopnosti (také zranitelné vůči RCE atd.); 9) slabá výchozí konfigurace; 10) zranitelné Open Source „rámce pro ovládání robotů“ a softwarové knihovny.
Přednášející poskytuje živé ukázky různých hackerských scénářů souvisejících s kybernetickou špionáží, hrozbami zevnitř, poškozením majetku atd. Přednášející popisuje realistické scénáře, které lze pozorovat ve volné přírodě, a vysvětluje, jak může nejistota moderní technologie robotů vést k hackování. Vysvětluje, proč jsou hackovaní roboti ještě nebezpečnější než jakákoli jiná kompromitovaná technologie.
Řečník také upozorňuje na skutečnost, že hrubé výzkumné projekty jdou do výroby před vyřešením bezpečnostních problémů. Marketing vítězí jako vždy. Tento nezdravý stav je třeba urychleně napravit. Dokud nepřišel Skynet. I když... Další zpráva naznačuje, že Skynet již dorazil.
7. Militarizace strojového učení
S rizikem, že bude označen za šíleného vědce, je řečník stále dojat svým „novým výtvorem ďábla“, který hrdě představuje DeepHack: open source hackerskou AI. Tento bot je samoučící se hacker webových aplikací. Je založen na neuronové síti, která se učí metodou pokus-omyl. DeepHack přitom s možnými důsledky pro člověka z těchto pokusů a omylů zachází s děsivým pohrdáním.
Pomocí jediného univerzálního algoritmu se naučí využívat různé typy zranitelností. DeepHack otevírá dveře do říše hackerské umělé inteligence, z nichž mnohé lze očekávat již v blízké budoucnosti. V tomto ohledu mluvčí hrdě charakterizuje svého robota jako „začátek konce“.
Řečník věří, že hackerské nástroje založené na umělé inteligenci, které se brzy objeví po DeepHack, jsou zásadně novou technologií, kterou si kybernetičtí obránci a kybernetičtí útočníci musí teprve osvojit. Přednášející garantuje, že v příštím roce bude každý z nás buď sám psát hackerské nástroje pro strojové učení, nebo se před nimi zoufale snažit chránit. Třetí neexistuje.
Řečník také v žertu nebo vážně uvádí: „Už to není výsada ďábelských géniů, nevyhnutelná dystopie umělé inteligence je již dnes dostupná všem. Přidejte se k nám a my vám ukážeme, jak se můžete podílet na destrukci lidstva vytvořením vlastního militarizovaného systému strojového učení. Samozřejmě, pokud nám v tom nebudou bránit hosté z budoucnosti.“
8. Pamatujte si vše: implantování hesel do kognitivní paměti
Co je kognitivní paměť? Jak tam můžete „implantovat“ heslo? Je to vůbec bezpečné? A proč vůbec takové triky? Myšlenka je taková, že s tímto přístupem nebudete schopni prolévat svá hesla ani pod nátlakem; při zachování možnosti přihlášení do systému.
Povídání začíná vysvětlením, co je to kognitivní paměť. Poté vysvětluje, jak se liší explicitní a implicitní paměť. Dále jsou diskutovány pojmy vědomí a nevědomí. A také vysvětluje, o jaký druh esence se jedná – vědomí. Popisuje, jak naše paměť kóduje, ukládá a získává informace. Jsou popsána omezení lidské paměti. A také jak se učí naše paměť. A zpráva končí příběhem o moderním výzkumu lidské kognitivní paměti v kontextu toho, jak do ní implementovat hesla.
Přednášející samozřejmě nedotáhl ambiciózní tvrzení v názvu své prezentace do úplného řešení, ale zároveň uvedl několik zajímavých studií, které se zabývají přístupy k řešení problému. Zejména výzkum Stanfordské univerzity, jehož předmětem je stejné téma. A projekt vývoje rozhraní člověk-stroj pro zrakově postižené – s přímým napojením na mozek. Mluvčí také odkazuje na studii německých vědců, kterým se podařilo vytvořit algoritmické spojení mezi elektrickými signály mozku a verbálními frázemi; Zařízení, které vyvinuli, vám umožňuje psát text pouhým přemýšlením. Další zajímavou studií, na kterou řečník odkazuje, je neurotelefon, rozhraní mezi mozkem a mobilním telefonem, prostřednictvím bezdrátové náhlavní soupravy EEG (Dartmouth College, USA).
Jak již bylo uvedeno, přednášející nedotáhl ambiciózní prohlášení uvedené v názvu své prezentace k úplnému vyřešení. Řečník však podotýká, že navzdory tomu, že zatím neexistuje žádná technologie pro implantaci hesla do kognitivní paměti, malware, který se jej odtamtud snaží extrahovat, již existuje.
9. A malý se zeptal: "Opravdu si myslíš, že pouze vládní hackeři mohou provádět kybernetické útoky na rozvodnou síť?"
Hladké fungování elektřiny je v našem každodenním životě nanejvýš důležité. Naše závislost na elektřině se projeví zvláště při jejím vypnutí – byť na krátkou dobu. Dnes se obecně uznává, že kybernetické útoky na rozvodnou síť jsou extrémně složité a přístupné pouze vládním hackerům.
Řečník tuto konvenční moudrost zpochybňuje a předkládá podrobný popis útoku na rozvodnou síť, jehož náklady jsou přijatelné i pro nevládní hackery. Představuje informace shromážděné z internetu, které budou užitečné při modelování a analýze cílové energetické sítě. A také vysvětluje, jak lze tyto informace použít k modelování útoků na elektrické sítě po celém světě.
Zpráva také ukazuje kritickou zranitelnost objevenou řečníkem v produktech General Electric Multilin, které jsou široce používány v energetickém sektoru. Řečník popisuje, jak zcela kompromitoval šifrovací algoritmus používaný v těchto systémech. Tento algoritmus se používá v produktech General Electric Multilin pro bezpečnou komunikaci interních subsystémů a pro řízení těchto subsystémů. Včetně autorizace uživatelů a poskytování přístupu k privilegovaným operacím.
Po naučení přístupových kódů (v důsledku kompromitace šifrovacího algoritmu) může útočník zcela deaktivovat zařízení a vypnout elektřinu v určitých sektorech elektrické sítě; blokové operátory. Kromě toho přednášející demonstruje techniku dálkového čtení digitálních stop zanechaných zařízeními zranitelnými vůči kybernetickým útokům.
10. Internet už ví, že jsem těhotná
Zdraví žen je velký byznys. Na trhu existuje nepřeberné množství aplikací pro Android, které ženám pomáhají sledovat jejich měsíční cykly, vědět, kdy je nejpravděpodobnější početí, nebo sledovat stav těhotenství. Tyto aplikace povzbuzují ženy, aby zaznamenávaly nejintimnější detaily svého života, jako je nálada, sexuální aktivita, fyzická aktivita, fyzické příznaky, výška, váha a další.
Ale jak soukromé jsou tyto aplikace a jak bezpečné jsou? Pokud totiž aplikace uchovává takové intimní detaily o našem osobním životě, bylo by hezké, kdyby tato data nesdílela s nikým jiným; například se spřátelenou firmou (zabývající se cílenou reklamou apod.) nebo se zlomyslným partnerem/rodičem.
Přednášející prezentuje výsledky své analýzy kybernetické bezpečnosti více než tuctu aplikací, které předpovídají pravděpodobnost početí a sledují průběh těhotenství. Zjistil, že většina těchto aplikací má vážné problémy s kybernetickou bezpečností obecně a se soukromím zvlášť.
Zdroj: www.habr.com