Ich habe darüber nachgedacht, dass es großartig wäre, über die Ereignisse internationaler Konferenzen zu berichten. Und zwar nicht einfach in einem allgemeinen Überblick, sondern über die interessantesten Vorträge. Ich präsentiere Ihnen die erste heiße Top Ten.
1. In Erwartung eines harmonischen Tandems von IoT-Angriffen und Ransomware
Im Jahr 2016 beobachteten wir einen rasanten Anstieg von Ransomware-Angriffen. Bevor wir uns von diesen Angriffen erholen konnten, wurden wir von einer neuen Welle von DDoS-Angriffen, die IoT nutzen, getroffen. In diesem Vortrag gibt der Autor eine schrittweise Beschreibung, wie ein Ransomware-Angriff abläuft. Wie Ransomware funktioniert und was der Forscher in jeder Phase tun muss, um sich gegen Ransomware zur Wehr zu setzen.
Dabei stützt er sich auf bewährte Methoden. Der Referent beleuchtet dann, wie IoT in DDoS-Angriffen eingesetzt wird: Er erklärt, welche Rolle unterstützende Malware in der Durchführung dieser Angriffe spielt (um später mit deren Hilfe DDoS-Angriffe mit einer IoT-Armee durchzuführen). Außerdem erläutert er, wie das Tandem aus Ransomware und IoT-Angriffen in den kommenden Jahren eine große Bedrohung darstellen könnte. Der Referent ist Autor der Bücher „Malware, Rootkits & Botnets: a Beginner’s Guide“, „Advanced Malware Analysis“, „Hacking Exposed: Malware & Rootkits Secrets & Solutions“, sodass dies auf fundiertem Wissen basiert.
2. „Öffne den Mund, sag 0x41414141“: Angriff auf die medizinische Cyberinfrastruktur
Internetfähige medizinische Geräte sind heute eine weit verbreitete klinische Realität. Solche Geräte sind eine wertvolle Unterstützung für das medizinische Personal, da sie einen erheblichen Teil der Routine automatisieren. Allerdings enthalten diese Geräte viele Schwachstellen (sowohl software- als auch hardwareseitig), die potenziellen Angreifern ein breites Angriffsfeld eröffnen. In dem Bericht teilt der Referent seine persönlichen Erfahrungen mit Penetrationstests für medizinische Cyberinfrastrukturen und erklärt, wie Angreifer medizinische Geräte kompromittieren.
Der Referent beschreibt: 1) wie Angreifer proprietäre Kommunikationsprotokolle ausnutzen, 2) wie sie Schwachstellen in Netzdiensten finden, 3) wie sie Lebensunterstützungssysteme kompromittieren, 4) wie sie hardwareseitige Debugging-Schnittstellen und Datentransferbusse ausnutzen, 5) wie sie grundlegende drahtlose Schnittstellen und spezifische proprietäre drahtlose Technologien angreifen, 6) wie sie in medizinische Informationssysteme eindringen und dann lesen und bearbeiten: persönliche Gesundheitsinformationen der Patienten; dienstliche Arztunterlagen, deren Inhalt in der Regel sogar vor den Patienten verborgen ist; 7) wie sie das Kommunikationssystem stören, das medizinische Geräte für den Austausch von Informationen und Dienstbefehlen verwenden; 8) wie sie dem medizinischen Personal den Zugang zu Geräten einschränken oder diese vollständig blockieren.
Während seiner Penetrationstests entdeckte der Referent zahlreiche Probleme bei medizinischen Geräten. Dazu gehören: 1) schwache Kryptographie, 2) die Möglichkeit der Datenmanipulation, 3) die Möglichkeit des Fernzugriffs zur Manipulation von Geräten, 4) Schwachstellen in proprietären Protokollen, 5) die Möglichkeit unbefugten Zugriffs auf Datenbanken, 6) fest programmierte, unveränderbare Logins/Passwörter. Und auch andere sensible Informationen, die entweder in der Firmware der Geräte oder in den System-Binärdateien gespeichert sind; 7) die Anfälligkeit medizinischer Geräte für Fern-DoS-Angriffe.
Nach der Lektüre des Berichts wird offensichtlich, dass die Cybersicherheit im Gesundheitssektor heute einen klinischen Fall darstellt und intensiv behandelt werden muss.
3. Beißender Exploit am Spieß kontextueller Werbung
Täglich besuchen Millionen von Menschen soziale Netzwerke: aus beruflichen Gründen, zur Unterhaltung oder einfach so. Unter der Haube der sozialen Netzwerke sitzen für den durchschnittlichen Besucher unsichtbare Anzeigenplattformen, die dafür verantwortlich sind, den Nutzern der sozialen Netzwerke relevante kontextbezogene Werbung bereitzustellen. Anzeigenplattformen sind einfach zu bedienen und sehr effektiv. Daher sind sie bei Werbetreibenden gefragt.
Neben der Möglichkeit, ein breites Publikum zu erreichen, was für Unternehmen sehr vorteilhaft ist, erlauben es Anzeigenplattformen auch, die Zielgruppenauswahl einzugrenzen – bis hin zu einer bestimmten Person. Darüber hinaus ermöglicht die Funktionalität moderner Anzeigenplattformen sogar, auszuwählen, auf welchem der zahlreichen Geräte dieser bestimmten Person die Werbung angezeigt werden soll.
So ermöglichen es moderne Anzeigenplattformen dem Werbetreibenden, jeden Menschen an jedem Ort der Welt zu erreichen. Aber diese Möglichkeit kann auch von Kriminellen genutzt werden – als Zugangspunkt zu dem Netzwerk, in dem ihr vermeintliches Opfer tätig ist. Der Referent zeigt, wie ein böswilliger Werbetreibender die Anzeigenplattform ausnutzen kann – um seine Phishing-Kampagne präzise auf eine bestimmte Person auszurichten, mit dem Ziel, einen personalisierten Exploit an diese Person zu übermitteln.
4. Wie echte Hacker der gezielten Werbung entkommen
Wir verwenden viele computerisierte Dienste in unserem täglichen Leben. Und es fällt uns schwer, von ihnen Abstand zu nehmen, auch wenn wir plötzlich erfahren, dass sie uns umfassend überwachen. So umfassend, dass sie jede Bewegung und jeden Tastenanschlag von uns verfolgen.
Der Referent erklärt anschaulich, wie moderne Marketer eine breite Palette von esoterischen Targeting-Methoden nutzen. Wir über mobile Paranoia, über umfassende Überwachung geschrieben. Und viele Leser haben den Artikel als harmlose Scherze aufgefasst, aber aus dem vorgelegten Bericht wird deutlich, dass moderne Marketer bereits solche Technologien zur Überwachung von uns einsetzen.
Was kann man dazu sagen, die Branche der kontextuellen Werbung, die diese totale Überwachung anheizt, schreitet mit riesigen Schritten voran. Sogar so weit, dass moderne Werbeplattformen nicht nur die Online-Aktivitäten der Person (Tastenanschläge, Mausbewegungen usw.) verfolgen können, sondern auch ihre physiologischen Merkmale (wie wir die Tasten drücken und die Maus bewegen). So kriechen die modernen Überwachungsmittel von Werbeplattformen, die in Services integriert sind, ohne die wir uns unser Leben nicht vorstellen können, nicht nur unter die Unterwäsche, sondern sogar schon unter die Haut. Wenn wir nicht die Möglichkeit haben, auf diese übermäßig beobachtenden Services zu verzichten, warum sollten wir dann nicht versuchen, sie zumindest mit nutzlosen Informationen zu bombardieren?
Im Bericht wird ein proprietäres Gerät (software-hardware Bot) demonstriert, das Folgendes ermöglicht: 1) Injection von Bluetooth-Beacons; 2) Verrauschung von Daten, die von den Bord-Sensoren des Fahrzeugs gesammelt wurden; 3) Fälschung von Identifikationsparametern des Mobiltelefons; 4) Verrauschung der Tippgewohnheiten (auf der Tastatur, Maus und Sensor). All diese Informationen werden, wie bekannt, für das Targeting von Werbung auf mobilen Geräten verwendet.
Bei der Demonstration wird deutlich, dass nach dem Start des proprietären Geräts das Überwachungssystem verrückt wird; die gesammelten Informationen werden so verrauscht und ungenau, dass sie unseren Beobachtern bereits nichts nützen. Als guter Scherz zeigt der Vortragende, wie durch das vorgestellte Gerät das „Überwachungssystem“ einen 32-jährigen Hacker als 12-jähriges Mädchen wahrnimmt, das verrückt nach Pferden ist.
5. 20 Jahre MMORPG-Hacking: Grafik besser, Exploits die gleichen
Das Thema MMORPG-Hacking wird auf der DEF CON seit nunmehr 20 Jahren diskutiert. Zum Jubiläum beschreibt der Vortragende die bedeutendsten Momente dieser Diskussionen. Darüber hinaus erzählt er von seinen Abenteuern im Bereich des Betrugs in Online-Spielen. Begonnen hat alles mit Ultima Online (1997). In den folgenden Jahren: Dark Age of Camelot, Anarchy Online, Asherons Call 2, ShadowBane, Lineage II, Final Fantasy XI/XIV, World of Warcraft. Außerdem einige neuere Vertreter: Guild Wars 2 und Elder Scrolls Online. Und das ist längst nicht die gesamte Liste der Leistungen des Vortragenden!
Der Bericht enthält technische Details zur Erstellung von Exploits für MMORPGs, die helfen, virtuelle Währungen zu erwerben, und die für nahezu jedes MMORPG relevant sind. Der Referent erklärt kurz den ewigen Konflikt zwischen Poaching (Herstellern von Exploits) und der „Fischaufsicht“; und den aktuellen technischen Stand dieses Wettrüstens.
Er erklärt die Methode der detaillierten PaketAnalyse und wie man Exploits konfiguriert, sodass auf der Serverseite der Akt des Poachings nicht entdeckt wird. Er präsentiert auch den neuesten Exploit, der zum Zeitpunkt des Berichts – einen Vorteil gegenüber der „Fischaufsicht“ hatte, im Wettrüsten.
6. Wir hacken Roboter, bevor Skynet kommt
Roboter sind heutzutage in aller Munde. In naher Zukunft werden sie überall sein: bei militärischen Missionen, in chirurgischen Eingriffen, im Bau von Wolkenkratzern; als Einkaufsassistenten in Geschäften; als Krankenhauspersonal; als Geschäftsassistenten, Sexualpartner; als Hausköche und vollwertige Familienmitglieder.
Mit dem Wachstum des Roboter-Ökosystems und dem schnell steigenden Einfluss der Roboter in unserer Gesellschaft und Wirtschaft – stellen sie eine erhebliche Bedrohung für Menschen, Tiere und Unternehmen dar. Im Grunde genommen sind Roboter Computer mit Armen, Beinen und Rädern. Und in der heutigen Realität der Cybersicherheit sind sie verwundbare Computer mit Armen, Beinen und Rädern.
Software- und Hardwareanfälligkeiten moderner Roboter ermöglichen es Angreifern, die physikalischen Fähigkeiten des Roboters zu nutzen, – um Sach- oder finanzielle Schäden zu verursachen; oder sogar versehentlich oder absichtlich eine Bedrohung für das menschliche Leben zu schaffen. Potenzielle Bedrohungen für alles, was sich in der Nähe von Robotern befindet, steigen im Laufe der Zeit exponentiell an. Und zwar in Kontexten, die die etablierte Branche der Cybersicherheit zuvor nicht erlebt hat.
In seinen jüngsten Untersuchungen hat der Referent zahlreiche kritische Schwachstellen in Haushalts-, Unternehmens- und Industrie-Robotern entdeckt – von bekannten Herstellern. In dem Bericht beschreibt er technische Details aktueller Bedrohungen und erklärt, wie Angreifer verschiedene Komponenten des Robotersystems kompromittieren können. Dies erfolgt durch Demonstrationen funktionierender Exploits.
Zu den vom Referenten identifizierten Problemen im Robotersystem gehören: 1) unsichere Kommunikation; 2) Möglichkeit der Speicherschäden; 3) Schwachstellen, die eine Remote-Code-Ausführung (RCE) ermöglichen; 4) Möglichkeit der Integritätsverletzung des Dateisystems; 5) Authentifizierungsprobleme; in einigen Fällen sogar deren vollständiges Fehlen; 6) schwache Kryptographie; 7) Probleme bei der Firmware-Aktualisierung; 8) Probleme beim Datenschutz; 9) undocumented features (die ebenfalls anfällig für RCE sind usw.); 10) schwache Standardkonfigurationen; 11) verwundbare Open-Source-Roboter-Management-Frameworks und Softwarebibliotheken.
Der Referent präsentiert lebendige Demonstrationen verschiedener Hacking-Szenarien, die mit Cyber-Spionage, Insider-Bedrohungen, Vermögensschäden usw. verbunden sind. Dabei beschreibt er realistische Szenarien, die in der Wildnis beobachtet werden können, und erklärt, wie die Unsicherheit moderner Robotertechnologien zu Hacks führen kann. Er erläutert, warum gehackte Roboter sogar gefährlicher sind als andere kompromittierte Technologien.
Der Referent weist auch darauf hin, dass rohe Forschungsprojekte schneller in die Produktion gehen, als Sicherheitsfragen geklärt sind. Das Marketing gewinnt wie immer. Ein solches ungesundes Zustand muss dringend verbessert werden. Bevor Skynet kommt. Obwohl… Der nächste Bericht regt zum Nachdenken an, dass Skynet doch schon gekommen ist.
7. Militärisierung des maschinellen Lernens
Das Risiko, als verrückter Wissenschaftler zu gelten, schreckt den Referenten nicht ab, der stolz sein "neues teuflisches Werk" vorstellt: DeepHack, eine Open-Source-Hacker-KI. Dieser Bot ist ein selbstlernender Hacker von Webanwendungen. Im Kern basiert er auf einem neuronalen Netzwerk, das mittels "Trial-and-Error" lernt. Dabei zeigt DeepHack eine erschreckende Gleichgültigkeit gegenüber den menschlichen Konsequenzen seiner Fehler.
Mit nur einem universellen Algorithmus lernt er, verschiedene Arten von Schwachstellen auszunutzen. DeepHack öffnet die Tür zum Reich der Hacker-KI, deren zahlreiche Vertreter in naher Zukunft bereits zu erwarten sind. In diesem Zusammenhang charakterisiert der Referent seinen Bot stolz als "den Anfang vom Ende".
Der Referent ist überzeugt, dass die KI-basierten Hackerwerkzeuge, die bald nach DeepHack erscheinen werden, eine grundlegend neue Technologie sind, die sowohl Cyberverteidiger als auch Cyberangreifer erst noch auf ihre Agenda setzen müssen. Der Referent garantiert, dass im nächsten Jahr jeder von uns entweder selbst Hackerwerkzeuge mit maschinellem Lernen entwickeln wird oder verzweifelt versuchen wird, sich dagegen zu verteidigen. Es gibt kein Entrinnen.
Außerdem erklärt der Referent, möglicherweise scherzhaft oder ernst: "Eine nicht mehr nur den teuflischen Genies vorbehaltene, drohende Utopie der KI ist heute bereits für jeden zugänglich. Schließe dich uns an, und wir zeigen dir, wie du an der Zerstörung der Menschheit teilnehmen kannst, indem du dein eigenes militarisiertes System des maschinellen Lernens erstellst. Vorausgesetzt, die Gäste aus der Zukunft halten uns nicht davon ab, das zu tun."
8. Alles erinnern: Implantation von Passwörtern in das kognitive Gedächtnis
Was ist kognitives Gedächtnis? Wie kann man dort ein Passwort "implantieren"? Ist das überhaupt sicher? Und warum überhaupt solche Raffinessen? Die Idee ist, dass du bei der Verwendung des beschriebenen Ansatzes nicht über deine Passwörter plaudern kannst – selbst unter Druck; während du gleichzeitig die Möglichkeit behältst, dich im System zu authentifizieren.
Der Bericht beginnt mit der Erklärung, was kognitive Erinnerung ist. Anschließend wird erläutert, worin der Unterschied zwischen deklarativer und nicht-deklarativer Erinnerung besteht. Dann werden die Konzepte von Bewusstsein und Unbewusstem behandelt. Es wird auch erklärt, was Bewusstsein überhaupt für eine Entität ist. Es wird beschrieben, wie unser Gedächtnis Informationen kodiert, speichert und abruft. Die Einschränkungen des menschlichen Gedächtnisses werden dargestellt. Außerdem wird erläutert, wie unser Gedächtnis lernt. Der Bericht endet mit einem Überblick über moderne Forschungen zur kognitiven Erinnerung beim Menschen, insbesondere darüber, wie Passwörter darin implantiert werden können.
Die ambitionierte Aussage, die der Referent in den Titel seiner Präsentation stellte, wurde zwar nicht vollständig gelöst, jedoch wurden einige interessante Studien präsentiert, die sich dem Thema annähern. Insbesondere die Studien der Stanford-Universität, deren Thema dasselbe ist. Und ein Projekt zur Entwicklung einer Mensch-Maschine-Schnittstelle für sehbehinderte Menschen – mit direkter Verbindung zum Gehirn. Der Referent verweist auch auf Studien deutscher Wissenschaftler, die es geschafft haben, einen algorithmischen Zusammenhang zwischen elektrischen Signalen des Gehirns und sprachlichen Phrasen herzustellen. Das von ihnen entwickelte Gerät ermöglicht es, Text nur durch Gedanken einzugeben. Eine weitere interessante Studie, auf die der Referent hinweist, ist das Neurotelefon, eine Schnittstelle zwischen dem Gehirn und dem Mobiltelefon, unter Verwendung eines drahtlosen EEG-Headsets (Dartmouth College, USA).
Wie bereits erwähnt, hat der Referent die ambitionierte Aussage, die er in den Titel seiner Präsentation stellte, nicht vollständig gelöst. Er merkt jedoch an, dass, obwohl es derzeit keine Technologie zur Implantation von Passwörtern in das kognitive Gedächtnis gibt, es bereits Malware gibt, die versucht, sie daraus zu extrahieren.
9. Und das Kleine fragte: „Glaubst du wirklich, dass Cyberangriffe auf das Stromnetz nur von staatlichen Hackern durchgeführt werden können?“
Eine ununterbrochene Stromversorgung ist von wesentlicher Bedeutung für unser tägliches Leben. Unsere Abhängigkeit von Elektrizität wird besonders offensichtlich, wenn sie für kurze Zeit abgeschaltet wird. Heute wird angenommen, dass Cyberangriffe auf Energienetze äußerst komplex sind und nur für staatliche Hacker zugänglich sind.
Der Referent stellt diese feste Meinung in Frage und präsentiert eine detaillierte Beschreibung eines Angriffs auf Energienetze, dessen Kosten selbst für nichtstaatliche Hacker akzeptabel sind. Er zeigt Informationen, die aus dem Internet gesammelt wurden und die bei der Modellierung und Analyse des Ziel-Energienetzes hilfreich sein werden. Er erklärt auch, wie diese Informationen verwendet werden können – um Angriffe auf Stromnetze weltweit zu modellieren.
Im Bericht wird auch eine kritische Schwachstelle demonstriert, die der Referent in Produkten von General Electric Multilin entdeckt hat, die in der Energiebranche weit verbreitet sind. Der Referent beschreibt, wie er den in diesen Systemen verwendeten Verschlüsselungsalgorithmus vollständig kompromittiert hat. Dieser Algorithmus wird in den Produkten von General Electric Multilin für die gesicherte Kommunikation interner Subsysteme und für deren Steuerung verwendet, einschließlich der Benutzerautorisierung und des Zugriffs auf privilegierte Operationen.
Nachdem er die Zugangscodes (als Ergebnis der Kompromittierung des Verschlüsselungsalgorithmus) erfahren hat, kann ein Angreifer das Gerät vollständig abschalten und die Elektrizität in bestimmten Sektoren des Energienetzes ausschalten; er kann die Betreiber blockieren. Darüber hinaus demonstriert der Referent eine Technik zur Fernablesung digitaler Spuren, die von angreifbarem Equipment hinterlassen werden.
10. Das Internet weiß bereits, dass ich schwanger bin.
Frauen Gesundheit ist ein großes Geschäft. Auf dem Markt gibt es unzählige Android-Anwendungen, die Frauen helfen, ihren monatlichen Zyklus zu verfolgen, zu wissen, wann die Wahrscheinlichkeit einer Empfängnis am höchsten ist, oder den Verlauf einer Schwangerschaft zu verfolgen. Diese Apps ermutigen Frauen, die intimsten Details ihres Lebens festzuhalten, wie Stimmung, sexuelle Aktivität, körperliche Aktivität, körperliche Symptome, Größe, Gewicht und vieles mehr.
Aber wie vertraulich und sicher sind diese Anwendungen tatsächlich? Schließlich wäre es gut, wenn eine Anwendung, die intime Details über unser persönliches Leben speichert, diese Informationen nicht einfach mit anderen teilt; zum Beispiel mit einem Partnerunternehmen (das sich mit gezielter Werbung beschäftigt usw.) oder mit einem böswilligen Partner/Elternteil.
Der Referent präsentiert die Ergebnisse seiner Analyse der Cybersicherheit von mehr als einem Dutzend Anwendungen, die die Wahrscheinlichkeit einer Empfängnis vorhersagen und den Verlauf einer Schwangerschaft verfolgen. Er stellte fest, dass die meisten dieser Anwendungen erhebliche Probleme mit der Cybersicherheit im Allgemeinen und der Vertraulichkeit im Besonderen aufweisen.
Quelle: habr.com
