我認為報道國際會議的活動會很棒。 不僅僅是一般概述，而是談論最有趣的報告。 我提請您注意前十名。
1.等待物聯網攻擊和勒索軟體的友善串聯
2016 年，我們看到勒索病毒攻擊迅速增加。 當我們還沒有從這些攻擊中恢復過來時，新一波利用物聯網的 DDoS 攻擊襲擊了我們。 在本報告中，作者逐步描述了勒索軟體攻擊是如何發生的。 勒索軟體如何運作，以及研究人員在每個階段必須採取哪些措施來應對勒索軟體。
為此，他依賴經過驗證的方法。 然後，演講者闡明了物聯網如何參與 DDoS 攻擊：他講述了輔助惡意軟體在執行這些攻擊中扮演的角色（以供其隨後協助物聯網大軍執行 DDoS 攻擊）。 它還討論了勒索軟體和物聯網攻擊的結合如何在未來幾年成為一個巨大的威脅。 演講者是《惡意軟體、Rootkit 和殭屍網路：初學者指南》、《進階惡意軟體分析》、《駭客曝光：惡意軟體和Rootkit 秘密與解決方案》等書的作者，因此他是在了解此事的情況下進行報告的。
2.「張開嘴，說0x41414141」：針對醫療網路基礎設施的攻擊
連接網路的醫療設備是無所不在的臨床現實。 這類設備對醫務人員來說是寶貴的幫助，因為它可以實現大部分日常工作的自動化。 然而，該設備包含許多漏洞（軟體和硬體），這為潛在攻擊者提供了廣闊的活動空間。 在報告中，演講者分享了他對醫療網路基礎設施進行滲透測試的個人經驗； 也討論了攻擊者如何破壞醫療設備。
講者描述：1）攻擊者如何利用專有通訊協議，2）他們如何尋找網路服務中的漏洞，3）他們如何危害生命維持系統，4）他們如何利用硬體調試介面和系統資料匯流排； 5）他們如何攻擊基本無線介面和特定的專有無線技術； 6）他們如何滲透醫療資訊系統，然後讀取和編輯：有關患者健康的個人資訊； 正式醫療記錄，其內容通常甚至對病人也是隱藏的； 7) 醫療設備用於交換資訊和服務命令的通訊系統如何受到干擾； 8）醫護人員使用設備的方式受到限制； 或完全阻止它。
在測試過程中，演講者發現了許多醫療設備的問題。 其中：1）弱密碼學，2）資料操縱的可能性； 3) 遠端更換設備的可能性，3) 專有協定中的漏洞，4) 未經授權存取資料庫的可能性，5) 硬編碼、不可變更的登入名稱/密碼。 以及儲存在設備韌體或系統二進位檔案中的其他敏感資訊； 6）醫療設備對遠距DoS攻擊的敏感度。
閱讀該報告後，很明顯，當今醫療領域的網路安全是一個臨床案例，需要重症監護。
3. 上下文廣告串頂端的暴露漏洞
每天，數百萬人造訪社群網路：為了工作、為了娛樂，或只是因為。 在社群網路的背後是一般訪客看不見的廣告平台，它們負責向社群網路訪客提供相關的上下文廣告。 廣告平台易於使用且非常有效。 因此，它們受到廣告商的歡迎。
除了能夠覆蓋廣泛的受眾（這對業務非常有利）之外，廣告平台還允許您將目標範圍縮小到一個特定的人。 此外，現代廣告平台的功能甚至允許您選擇在該特定人的眾多裝置中顯示廣告。
那。 現代廣告平台允許廣告商接觸到世界上任何地方的任何人。 但攻擊者也可以利用這個機會 - 作為其目標受害者所在網路的網關。 演講者示範了惡意廣告商如何使用廣告平台精確定位其網路釣魚活動，從而向特定人員提供個人化的利用。
4. 真正的駭客如何躲避定向廣告
我們在日常生活中使用許多不同的電腦化服務。 即使我們突然發現他們正在對我們進行全面監視，我們也很難放棄他們。 它們如此全面，以至於它們可以追蹤我們的每一個身體動作和每一個手指按壓。
講者清楚地解釋了現代行銷人員如何使用各種深奧的定位方法。 我們 關於移動偏執，關於全面監控。 許多讀者將所寫內容視為無害的笑話，但從所提交的報告中可以明顯看出，現代行銷人員已經在充分利用此類技術來追蹤我們。
你能做什麼，上下文廣告業推動了這種全面的監控，正在突飛猛進地發展。 現代廣告平台不僅可以追蹤一個人的網路活動（按鍵、滑鼠指標移動等），還可以追蹤他的生理特徵（我們如何按鍵和移動滑鼠）。 那。 廣告平台的現代追蹤工具內置於服務中，沒有這些工具我們就無法想像生活，它們不僅在我們的內衣下爬行，甚至在我們的皮膚下爬行。 如果我們沒有能力選擇退出這些過度觀察的服務，那麼為什麼不至少嘗試用無用的信息轟炸它們呢？
該報告展示了作者的設備（軟體和硬體機器人），它允許：1）注入藍牙信標； 2）對從車輛車載感測器收集的數據進行噪音處理； 3）偽造手機辨識參數； 4）以手指點擊的方式發出噪音（在鍵盤、滑鼠和感應器上）。 眾所周知，所有這些資訊都用於在行動裝置上投放定向廣告。
演示顯示，啟動作者的裝置後，追蹤系統變得瘋狂； 它收集的資訊變得如此嘈雜和不準確，以至於對我們的觀察者不再有任何用處。 作為一個很好的笑話，演講者演示瞭如何透過所展示的設備，「追蹤系統」開始將一名 32 歲的駭客視為一個瘋狂愛上馬的 12 歲女孩。
5. MMORPG 駭客攻擊 20 年：更酷的圖形，相同的漏洞
DEF CON 上關於黑客 MMORPG 的話題已經討論了 20 年。 為了紀念週年紀念，演講者描述了這些討論中最重要的時刻。 此外，他還講述了自己在偷獵網路玩具領域的冒險經歷。 自《網路創世紀》（1997 年）以來。 隨後的幾年：《卡美洛黑暗時代》、《Anarchy Online》、《Asherons Call 2》、《ShadowBane》、《天堂 II》、《最終幻想 XI/XIV》、《魔獸世界》。 其中包括幾款新鮮代表：《激戰2》和《上古卷軸Online》。 這並不是演講者的全部紀錄！
該報告提供了有關為 MMORPG 建立漏洞的技術細節，可協助您取得虛擬貨幣，並且幾乎與所有 MMORPG 相關。 演講者簡要地講述了偷獵者（漏洞製造者）與「魚類控制」之間永恆的對抗； 以及這場軍備競賽目前的技術狀況。
解釋詳細資料包分析的方法以及如何配置漏洞以便在伺服器端不偵測到盜獵。 包括展示最新的漏洞，在報告發佈時，該漏洞比軍備競賽中的「魚檢」具有優勢。
6. 讓我們在天網到來之前破解機器人
如今，機器人非常流行。 在不久的將來，它們將無所不在：執行軍事任務、外科手術、摩天大樓的建造； 商店店員； 醫院工作人員； 商業助理、性伴侶； 家庭廚師和家庭正式成員。
隨著機器人生態系統的擴大以及機器人在社會和經濟中的影響力迅速增長，它們開始對人類、動物和企業構成重大威脅。 機器人的核心是帶有手臂、腿和輪子的計算機。 考慮到網路安全的現代現實，這些都是有手臂、腿和輪子的易受攻擊的電腦。
現代機器人的軟體和硬體漏洞允許攻擊者利用機器人的物理能力造成財產或經濟損失； 甚至無意或故意危害人的生命。 隨著時間的推移，機器人附近任何事物的潛在威脅呈指數級增長。 此外，它們的成長是成熟的電腦安全產業以前從未見過的。
在他最近的研究中，演講者發現了許多來自知名製造商的家用、企業和工業機器人的關鍵漏洞。 在報告中，他揭示了當前威脅的技術細節，並準確地解釋了攻擊者如何破壞機器人生態系統的各個組件。 展示工作成果。
演講者指出的機器人生態系統的問題包括：1）不安全的通訊； 2）記憶體損壞的可能性； 3）允許遠端程式碼執行（RCE）的漏洞； 4）破壞檔案系統完整性的可能性； 5）授權問題； 在某些情況下根本沒有它； 6）弱密碼學； 7）韌體更新問題； 8）保密問題； 8) 未記錄的功能（也容易受到 RCE 等影響）； 9) 弱預設配置； 10）易受攻擊的開源「控制機器人的框架」和軟體庫。
演講者現場演示了與網路間諜、內部威脅、財產損失等相關的各種駭客場景。 演講者描述了在野外可以觀察到的現實場景，解釋了現代機器人技術的不安全性如何導致駭客攻擊。 解釋為什麼被駭客入侵的機器人比其他受損技術更危險。
發言人也提請注意，在安全問題解決之前，粗略的研究項目就已經投入生產。 行銷一如既往地獲勝。 這種不健康的狀況亟待矯正。 直到天網出現。 雖然……下一份報告顯示天網已經到來。
7. 機器學習的軍事化
冒著被貼上瘋狂科學家標籤的風險，演講者仍然被他的「新魔鬼創造」所感動，自豪地介紹了 DeepHack：一個開源駭客人工智慧。 該機器人是自學網路應用程式駭客。 它是基於透過反覆試驗進行學習的神經網路。 同時，DeepHack 卻以可怕的蔑視對待這些嘗試和錯誤對人可能造成的後果。
僅使用一種通用演算法，它就能學會利用各種類型的漏洞。 DeepHack 打開了駭客人工智慧領域的大門，其中許多領域已經可以在不久的將來實現。 在這方面，演講者自豪地將他的機器人描述為「終結的開始」。
講者認為，繼 DeepHack 之後即將出現的基於人工智慧的駭客工具是網路防禦者和網路攻擊者尚未採用的全新技術。 演講者保證，在明年，我們每個人要么自己編寫機器學習駭客工具，要么拼命保護自己免受它們的侵害。 沒有第三個。
此外，無論是開玩笑還是認真地，演講者指出：「人工智慧不再是惡魔天才的特權，不可避免的人工智慧反烏托邦如今已經為每個人所接受。 因此，加入我們，我們將向您展示如何透過創建自己的軍事化機器學習系統來參與毀滅人類。 當然，如果未來的客人不阻止我們這麼做的話。”
8.記住一切：將密碼植入認知記憶
什麼是認知記憶？ 如何在那裡「植入」密碼？ 這樣還安全嗎？ 為什麼要使用這樣的伎倆呢？ 這個想法是，透過這種方法，即使在脅迫下，您也無法洩露您的密碼； 同時保持登入系統的能力。
演講首先解釋了什麼是認知記憶。 然後它解釋了顯性記憶和內隱記憶有何不同。 接下來討論有意識和無意識的概念。 並且也解釋了這到底是一種什麼樣的本質──意識。 描述我們的記憶如何編碼、儲存和檢索資訊。 描述了人類記憶的限制。 以及我們的記憶如何學習。 該報告以一個關於人類認知記憶的現代研究的故事結尾，背景是如何在其中實施密碼。
當然，演講者並沒有將其演講標題中雄心勃勃的聲明帶到一個完整的解決方案，但同時他引用了幾項關於解決問題的方法的有趣研究。 特別是史丹佛大學的研究，其主題是同一主題。 還有一個項目是為視障人士開發人機介面 - 與大腦直接連接。 演講者也提到了德國科學家的一項研究，他們成功地在大腦電訊號和言語短語之間建立了演算法聯繫； 他們開發的設備讓你只需思考即可輸入文字。 講者提到的另一項有趣的研究是神經電話，它是透過無線腦電圖耳機（美國達特茅斯學院）連接大腦和手機的介面。
正如已經指出的，發言者並沒有將其演講標題中雄心勃勃的聲明轉化為完整的解決方案。 然而，發言人指出，儘管目前還沒有將密碼植入認知記憶的技術，但試圖從認知記憶中提取密碼的惡意軟體已經存在。
9. 小傢伙問道：“你真的認為只有政府駭客才能對電網進行網路攻擊嗎？”
電力的順利運作在我們的日常生活中至關重要。 當電力關閉時，我們對電力的依賴變得特別明顯——即使是很短的時間。 如今，人們普遍認為對電網的網路攻擊極為複雜，只有政府駭客才能攻擊。
演講者挑戰了這種傳統觀念，並詳細描述了對電網的攻擊，即使對於非政府駭客來說，攻擊的成本也是可以接受的。 它展示了從互聯網收集的信息，這些信息將有助於對目標電網進行建模和分析。 它還解釋瞭如何使用這些資訊來模擬對世界各地電網的攻擊。
該報告還展示了演講者在能源領域廣泛使用的通用電氣 Multilin 產品中發現的一個嚴重漏洞。 演講者描述了他如何完全破解這些系統中使用的加密演算法。 該演算法在通用電氣 Multilin 產品中用於內部子系統的安全通訊以及這些子系統的控制。 包括授權使用者並提供特權操作的存取權限。
學習了存取代碼（由於加密演算法被破壞）後，攻擊者可以完全停用設備並關閉電網特定區域的電力； 區塊運營商。 此外，演講者還演示了一種遠端讀取易受網路攻擊的設備留下的數位痕跡的技術。
10. 網路已經知道我懷孕了
女性健康是一件大事。 市場上有大量 Android 應用程式可以幫助女性追蹤她們的月經週期、了解她們最有可能懷孕的時間或追蹤她們的懷孕狀態。 這些應用程式鼓勵女性記錄生活中最私密的細節，例如情緒、性活動、體力活動、身體症狀、身高、體重等。
但這些應用程式的私密性如何以及它們的安全性如何？ 畢竟，如果一個應用程式儲存了有關我們個人生活的如此私密的詳細信息，那麼如果它不與其他任何人共享這些數據就好了； 例如，與友好的公司（從事有針對性的廣告等）或與惡意的合作夥伴/父母。
講者介紹了他對十多個預測受孕可能性和追蹤懷孕進度的應用程式的網路安全分析結果。 他發現這些應用程式大多數都存在嚴重的網路安全問題，特別是隱私問題。
來源： www.habr.com