Pomyślałem, że świetnie by było relacjonować wydarzenia z międzynarodowych konferencji. I to nie tylko w ogólnym przeglądzie, ale także opowiadając o najciekawszych wystąpieniach. Przedstawiam Państwu pierwszą gorącą dziesiątkę.
1. W oczekiwaniu na zgrany tandem ataków IoT i ransomware
W 2016 roku zaobserwowaliśmy gwałtowny wzrost ataków ransomware. Nie zdążyliśmy się jeszcze podnieść po tych atakach, gdy nowa fala ataków DDoS, wykorzystujących IoT, nas zalała. W tym referacie autor krok po kroku opisuje, jak przebiega atak ransomware. Jak działa ransomware i co badacz powinien robić na każdym z etapów, aby przeciwdziałać ransomware.
Autor opiera się na sprawdzonych metodach. Następnie prelegent ujawnia, w jaki sposób IoT jest wykorzystywane w atakach DDoS: opisuje, jaką rolę w realizacji tych ataków odgrywa pomocnicze złośliwe oprogramowanie (mające wspierać w przeprowadzaniu ataku DDoS przez armię IoT). Dodatkowo mówi, jak tandem ransomware i ataków IoT może stać się dużym zagrożeniem w najbliższych latach. Prelegent to autor książek „Malware, Rootkits & Botnets: a Beginner’s Guide”, „Advanced Malware Analysis”, „Hacking Exposed: Malware & Rootkits Secrets & Solutions”, więc mówi z wiedzą podstawową.
2. „Otwórz usta, powiedz 0x41414141”: Atak na medyczną infrastrukturę cybernetyczną
Podłączone do Internetu urządzenia medyczne to powszechna rzeczywistość kliniczna. Takie urządzenia stanowią cenne wsparcie dla personelu medycznego, ponieważ automatyzują znaczną część rutynowych czynności. Jednakże te urządzenia zawierają liczne podatności (zarówno programowe, jak i sprzętowe), które otwierają przed potencjalnym atakującym szerokie pole działania. W raporcie prelegent dzieli się osobistym doświadczeniem z przeprowadzania testów penetracyjnych dla medycznej infrastruktury cybernetycznej; opowiada także, jak przestępcy kompromitują urządzenia medyczne.
Prelegent opisuje: 1) jak przestępcy wykorzystują proprietarne protokoły komunikacyjne, 2) jak wyszukują podatności w usługach sieciowych, 3) jak kompromitują systemy podtrzymywania życia, 4) jak eksploatują sprzętowe interfejsy debugowania i systemową magistralę danych; 5) jak atakują podstawowe bezprzewodowe interfejsy i specyficzne proprietarne technologie bezprzewodowe; 6) jak wnikają do medycznych systemów informacyjnych, a następnie odczytują i edytują: osobiste informacje o zdrowiu pacjenta; służbowe zapisy medyczne, których treść jest zwykle ukryta nawet przed pacjentem; 7) jak zakłócają system komunikacyjny, którego używa sprzęt medyczny do wymiany informacji i poleceń roboczych; 8) jak ograniczają dostęp personelu medycznego do sprzętu; lub całkowicie go blokują.
Podczas swoich testów penetracyjnych prelegent odkrył wiele problemów z urządzeniami medycznymi. Wśród nich: 1) słaba kryptografia, 2) możliwości manipulacji danymi; 3) możliwość zdalnej podmiany sprzętu, 3) podatności w proprietarnych protokołach, 4) możliwość nieautoryzowanego dostępu do baz danych, 5) sztywno zaprogramowane niezmienne loginy/hasła. A także inne wrażliwe informacje, przechowywane albo w oprogramowaniu sprzętowym, albo w binariach systemowych; 6) podatność urządzeń medycznych na zdalne ataki DoS.
Po zapoznaniu się z raportem staje się oczywiste, że cyberbezpieczeństwo sektora medycznego dzisiaj stanowi kliniczny przypadek i wymaga intensywnej terapii.
3. Zębaty exploit na końcu szpikulca reklamy kontekstowej
Codziennie miliony ludzi logują się do mediów społecznościowych: w pracy, dla rozrywki lub po prostu tak. Pod maską mediów społecznościowych kryją się niewidoczne dla zwykłego użytkownika platformy reklamowe, odpowiedzialne za dostarczanie użytkownikom odpowiednich reklam kontekstowych. Platformy reklamowe są proste w użyciu i bardzo efektywne. Dlatego są popularne wśród reklamodawców.
Oprócz możliwości dotarcia do szerokiej publiczności, co jest bardzo korzystne dla biznesu, platformy reklamowe pozwalają również na zawężenie targetowania – aż do jednej konkretnej osoby. Co więcej, funkcjonalność nowoczesnych platform reklamowych nawet pozwala wybierać, na którym z licznych urządzeń tej konkretnej osoby wyświetlać reklamy.
W ten sposób nowoczesne platformy reklamowe umożliwiają reklamodawcy dotarcie do każdej osoby, w dowolnym miejscu na świecie. Ale ta możliwość może być również wykorzystywana przez przestępców – jako brama do sieci, w której działa ich domniemana ofiara. Prelegent pokazuje, jak złośliwy reklamodawca może wykorzystać platformę reklamową do precyzyjnego ukierunkowania swojej kampanii phishingowej, zaplanowanej w celu dostarczenia spersonalizowanego eksploitu jednej konkretnej osobie.
4. Jak prawdziwi hakerzy unikają reklamy targetowanej
W naszym codziennym życiu korzystamy z wielu komputerowych usług różnego typu. I trudno jest nam z nich zrezygnować, nawet gdy nagle dowiadujemy się, że prowadzą one za nami całkowitą inwigilację. Tak całkowitą, że śledzą każdy nasz ruch i każde naciśnięcie palca.
Prelegent jasno wyjaśnia, jak nowocześni marketerzy wykorzystują szeroki zakres ezoterycznych metod targetowania. My o mobilnej paranoi, o całkowitej inwigilacji. I wielu czytelników odebrało to, co napisaliśmy, jako niewinną żart, ale z przedstawionego wykładu wynika, że nowocześni marketerzy już w pełni wykorzystują podobne technologie do śledzenia nas.
Cóż, przemysł reklamy kontekstowej – który podsyca tę totalną inwigilację – kroczy milowymi krokami. Aż do tego, że nowoczesne platformy reklamowe mogą śledzić nie tylko sieciową aktywność użytkownika (naciśnięcia klawiszy, ruchy kursora itp.), ale również jego cechy fizjologiczne (w jaki sposób naciskamy klawisze i poruszamy myszką). Tak więc nowoczesne narzędzia śledzenia na platformach reklamowych, wbudowane w usługi, bez których nie wyobrażamy sobie życia, nie tylko wkradają się do naszej bielizny, ale już nawet pod skórę. Jeśli nie mamy możliwości zrezygnować z tych nadmiernie obserwacyjnych usług, to czemu nie spróbować przynajmniej zasypać ich bezużytecznymi informacjami?
W sprawozdaniu pokazano autorski gadżet (sprzętowo-programowy bot), który pozwala: 1) na iniekcje beaconów Bluetooth; 2) na szumienie danych zbieranych z pokładowych czujników samochodu; 3) na fałszowanie parametrów identyfikacyjnych telefonu; 4) na szumienie sposobu naciskania palcami (na klawiaturze, myszce i sensorze). Jak wiadomo, wszystkie te informacje są wykorzystywane do targetowania reklam na urządzeniach mobilnych.
Na demonstracji widać, że po uruchomieniu autorskiego urządzenia system śledzenia wpada w szał; zbierane przez niego informacje stają się tak zaszumione i niedokładne, że nie będą miały żadnej wartości dla naszych obserwatorów. Jako dobry żart, prelegent demonstruje, jak dzięki przedstawionemu urządzeniu, "system śledzenia" zaczyna postrzegać 32-letniego hakera jako 12-letnią dziewczynkę, która szaleje na punkcie koni.
5. 20 lat łamania MMORPG: lepsza grafika, te same exploity
Temat łamania MMORPG jest omawiany na DEF CON już od 20 lat. Oddając hołd rocznicy, prelegent opisuje najbardziej znaczące momenty z tych dyskusji. Ponadto dzieli się swoimi przygodami w zakresie kłusownictwa w grach online. Zaczynając od Ultima Online (w 1997 roku). I w kolejnych latach: Dark Age of Camelot, Anarchy Online, Asheron's Call 2, ShadowBane, Lineage II, Final Fantasy XI/XIV, World of Warcraft. W tym także kilka świeżych przedstawicieli: Guild Wars 2 i Elder Scrolls Online. I to jeszcze nie cały dorobek prelegenta!
W raporcie przedstawiono szczegóły techniczne dotyczące tworzenia exploitów dla MMORPG, które umożliwiają zdobywanie wirtualnych pieniędzy i są aktualne dla prawie każdej MMORPG. Prelegent krótko omawia wieczne zmagania między kłusownikami (twórcami exploitów) a »nadzorem rybnym« oraz obecny stan techniczny tego wyścigu zbrojeń.
Wyjaśnia metodologię szczegółowej analizy pakietów oraz jak konfigurować exploity, aby na serwerze nie wykryto faktu kłusownictwa. Prezentuje również najnowszy exploit, który w momencie wygłoszenia raportu miał przewagę nad »nadzorem rybnym« w wyścigu zbrojeń.
6. Hacking robotów, zanim przyjdzie Skynet
Roboty są obecnie na ustach wszystkich. W najbliższej przyszłości będą wszędzie: na misjach wojskowych, w operacjach chirurgicznych, przy budowie wieżowców; jako asystenci zakupowi w sklepach; personel medyczny w szpitalach; biznesowi asystenci, partnerzy seksualni; domowi kucharze oraz pełnoprawni członkowie rodziny.
Wraz z rozwojem ekosystemu robotów oraz szybko rosnącym wpływem robotów w naszym społeczeństwie i gospodarce stają się one znaczącym zagrożeniem dla ludzi, zwierząt i przedsiębiorstw. Zasadniczo roboty to komputery z rękami, nogami i kołami. A w obecnych realiach bezpieczeństwa cyfrowego to podatne komputery z rękami, nogami i kołami.
Programowe i sprzętowe luki w zabezpieczeniach nowoczesnych robotów umożliwiają napastnikowi wykorzystanie fizycznych możliwości robotów, aby wyrządzić szkody majątkowe lub finansowe; a także przypadkowo lub zamierzenie stworzyć zagrożenie dla życia ludzkiego. Potencjalne zagrożenia dla wszystkiego, co znajduje się w pobliżu robotów, rosną wykładniczo w miarę upływu czasu. Rosną w kontekstach, których ugruntowana branża bezpieczeństwa komputerowego wcześniej nie widziała.
W swoich ostatnich badaniach prelegent odkrył liczne krytyczne luki w zabezpieczeniach w robotach domowych, korporacyjnych i przemysłowych – od znanych producentów. W raporcie ujawnia szczegóły techniczne aktualnych zagrożeń i wyjaśnia, w jaki sposób przestępcy mogą skompromitować różne komponenty ekosystemu robotów. Z demonstracją działających exploitów.
Wśród problemów zauważonych przez prelegenta w ekosystemie robotów: 1) niebezpieczne komunikacje; 2) możliwość uszkodzenia pamięci; 3) luki umożliwiające zdalne wykonanie kodu (RCE); 4) możliwość naruszenia integralności systemu plików; 5) problemy z autoryzacją; a w niektórych przypadkach całkowity brak; 6) słaba kryptografia; 7) problemy z aktualizacją oprogramowania; 8) problemy z zapewnieniem prywatności; 8) niedokumentowane możliwości (także wrażliwe na RCE itd.); 9) słaba konfiguracja domyślna; 10) wrażliwe frameworki Open Source "do zarządzania robotami" i biblioteki oprogramowania.
Prelegent prezentuje na żywo różne scenariusze włamań związane z cyberszpiegostwem, zagrożeniem ze strony insiderów, szkód materialnych itd. Opisując realistyczne scenariusze, które można zaobserwować w naturze, prelegent wyjaśnia, jak niebezpieczeństwa nowoczesnej technologii robotów mogą prowadzić do włamań. Wyjaśnia, dlaczego skompromitowane roboty są jeszcze bardziej niebezpieczne niż jakiekolwiek inne skompromitowane technologie.
Prelegent również zwraca uwagę na to, że surowe projekty badawcze trafiają do produkcji wcześniej, niż wykażą rozwiązania związane z bezpieczeństwem. Marketing, jak zawsze, wygrywa. Konieczne jest pilne naprawienie tej niezdrowej sytuacji. Dopóki Skynet się nie pojawił. Choć… Następny wykład skłania do myślenia, że Skynet już w rzeczywistości przyszedł.
7. Militaryzacja uczenia maszynowego
Ryzykując, że zostanie uznany za szalonego naukowca, prelegent z dumą chwali swoje „nowe, diabelskie dzieło”, przedstawiając DeepHack: hakerski AI z otwartym kodem źródłowym. Ten bot jest samo uczącym się włamywaczem aplikacji internetowych. Opiera się na sieci neuronowej, która uczy się metodą „prób i błędów”. Przy tym, do potencjalnych konsekwencji dla ludzi wynikających z tych prób i błędów – DeepHack podchodzi z przerażającą pogardą.
Używając tylko jednego uniwersalnego algorytmu, uczy się wykorzystywać różnorodne rodzaje podatności. DeepHack otwiera drzwi do królestwa hakerskiego AI, którego licznych przedstawicieli możemy spodziewać się w najbliższej przyszłości. Z tego powodu prelegent dumnie określa swojego bota „początkiem końca”.
Prelegent uważa, że hakerskie narzędzia oparte na AI, które wkrótce pojawią się po DeepHack, to zasadniczo nowa technologia, którą zarówno obrońcy, jak i napastnicy w cyberprzestrzeni dopiero muszą wprowadzić do użytku. Prelegent gwarantuje, że w przyszłym roku każdy z nas albo będzie samodzielnie tworzyć hakerskie narzędzia z uczeniem maszynowym, albo desperacko próbować się przed nimi bronić. Trzeciej opcji nie ma.
Również, czy to w żartach, czy na serio, prelegent ogłasza: „Nie będąca już przywilejem diabelskich geniuszy, nieuchronna dystopia AI, – jest już dostępna dla każdego dzisiaj. Dlatego dołącz do nas, a pokażemy Ci, jak możesz uczestniczyć w zniszczeniu ludzkości, poprzez stworzenie własnego militarystycznego systemu uczenia maszynowego. Oczywiście, jeśli goście z przyszłości nie przeszkodzą nam w tym”.
8. Przypomnij sobie wszystko: implantacja haseł w pamięci poznawczej
Czym jest pamięć poznawcza? Jak można „zaimplantować” hasło? I czy to w ogóle jest bezpieczne? I po co w ogóle takie sztuczki? Ideą jest to, że przy użyciu opisanego podejścia, nie będziesz mógł zdradzić swoich haseł – nawet pod presją; zachowując jednocześnie możliwość autoryzacji w systemie.
Raport rozpoczyna się od wyjaśnienia, czym jest pamięć poznawcza. Następnie opisuje różnice między pamięcią jawną a niejawną. Przechodzi do pojęć świadomości i nieświadomości oraz wyjaśnia, czym właściwie jest to zjawisko – świadomość. Opisuje, w jaki sposób nasza pamięć koduje, przechowuje i wydobywa informacje. Wskazuje na ograniczenia ludzkiej pamięci oraz opisuje, jak nasza pamięć się uczy. Raport kończy się omówieniem współczesnych badań nad ludzką pamięcią poznawczą, w kontekście wprowadzania haseł do niej.
Ambitne stwierdzenie, które pojawia się w tytule prezentacji, nie zostało przez prelegenta w pełni zrealizowane, ale przytoczył on kilka ciekawych badań, które są na etapie rozwiązania postawionego zadania. W szczególności badania Uniwersytetu Stanforda, które badają ten sam temat. Projekt dotyczący rozwijania interfejsu człowiek-maszyna dla osób niedowidzących – z bezpośrednim podłączeniem do mózgu. Prelegent odnosi się również do badań niemieckich naukowców, którym udało się nawiązać algorytmiczne połączenie między elektrycznymi sygnałami mózgu a frazami słownymi; stworzony przez nich sprzęt pozwala na pisanie tekstu, po prostu myśląc o nim. Kolejne interesujące badanie, na które wskazuje prelegent, to neurotelefon, interfejs między mózgiem a telefonem komórkowym, przy użyciu bezprzewodowej EEG-słuchawki (Dartmouth College, USA).
Jak już wspomniano, ambitne stwierdzenie, które pojawia się w tytule prezentacji, prelegent nie zrealizował w pełni. Niemniej jednak zauważa, że mimo iż technologie implantacji haseł do pamięci poznawczej jeszcze nie istnieją, to złośliwe oprogramowanie, które stara się je stamtąd wydobyć – już istnieje.
9. I zapytała maluch: «Czy naprawdę myślisz, że cyberatak na sieć energetyczną mogą przeprowadzać tylko rządowi hakerzy?»
Nieprzerwana dostawa energii elektrycznej ma kluczowe znaczenie w naszym codziennym życiu. Nasza zależność od energii elektrycznej staje się szczególnie oczywista, gdy zostaje ona przerwana – nawet na krótki czas. Dziś powszechnie uważa się, że cyberataki na sieci energetyczne są niezwykle skomplikowane i dostępne tylko dla rządowych hakerów.
Prelegent podważa tę utrwaloną opinię i przedstawia szczegółowy opis ataku na sieci energetyczne, koszt którego jest akceptowalny nawet dla niepaństwowych hakerów. Demonstruje zebrane w Internecie informacje, które będą przydatne przy modelowaniu i analizie docelowej sieci energetycznej. Wyjaśnia także, w jaki sposób można wykorzystać te informacje – do modelowania ataków na sieci energetyczne na całym świecie.
W referacie prezentowana jest również krytyczna luka, którą prelegent odkrył w produktach General Electric Multilin, szeroko stosowanych w energetyce. Prelegent opisuje, jak całkowicie skompromitował używany w tych systemach algorytm szyfrowania. Algorytm ten stosowany jest w produktach General Electric Multilin do zabezpieczonej komunikacji wewnętrznych podsystemów oraz do zarządzania nimi, w tym do autoryzacji użytkowników i zapewnienia dostępu do operacji uprzywilejowanych.
Po zdobyciu kodów dostępu (w wyniku skompromitowania algorytmu szyfrowania) napastnik może całkowicie wyłączyć urządzenie i odciąć zasilanie w określonych sektorach sieci energetycznej; zablokować operatorów. Dodatkowo prelegent demonstruje technikę zdalnego odczytu cyfrowych śladów, które pozostawia podatne na cyberataki urządzenie.
10. Internet już wie, że jestem w ciąży
Zdrowie kobiet to duży biznes. Na rynku dostępnych jest ogromna ilość aplikacji na Androida, które pomagają kobietom śledzić miesięczny cykl, wiedzieć, kiedy jest największe prawdopodobieństwo zajścia w ciążę, lub monitorować stan ciąży. Aplikacje te zachęcają kobiety do rejestrowania najbardziej intymnych szczegółów ich życia, takich jak nastrój, aktywność seksualna, aktywność fizyczna, objawy fizyczne, wzrost, waga i wiele innych.
Ale jak bardzo te aplikacje są poufne i jak bardzo są bezpieczne? W końcu, jeśli aplikacja przechowuje tak intymne szczegóły naszego życia osobistego, byłoby dobrze, aby nie udostępniała tych danych nikomu innemu, na przykład przyjaznej firmie (prowadzącej reklamę ukierunkowaną itp.) lub złowrogiemu partnerowi/rodzicowi.
Prelegent przedstawia wyniki swojej analizy cyberbezpieczeństwa ponad dziesięciu aplikacji prognozujących prawdopodobieństwo poczęcia i śledzących przebieg ciąży. Odkrył, że w większości takich aplikacji występują poważne problemy z cyberbezpieczeństwem w ogóle oraz prywatnością w szczególności.
Źródło: habr.com
