10 найстрашніших хакерських атак з чорної шапки 2014 року

Цьогоріч у Black Hat було проведено два інтенсивні інструктажі, коли дослідники з безпеки продемонстрували, як легко вторгнутись до автомобілів, термостатів, супутникового зв’язку та готелів. У той же час було багато розмов про те, як підвищити безпеку. Десять політичних пропозицій з промови Дана Гіра були зосереджені на тому, щоб зробити світ кращим, вдосконалюючи наш підхід до інформаційної безпеки. Серед проблем, які вона вирішила, були поточна гонка озброєнь уразливості, застаріле програмне забезпечення та необхідність розглядати інформаційну безпеку як професію. Всі ми пішли з головою, купаючись з новими фактами, ідеями та, перш за все, проблемами. Тому дуже багато проблем.

Одне з речей, на які завжди можна розраховувати в Black Hat, - це почути про вразливості у речах, на які ви навіть не думали, що можуть напасти. Заспокійливо знати, що ці демонстрації в основному є академічними, і що ці питання наразі не використовуються в дикій природі. Але, з тієї ж точки, страшно усвідомлювати, що якщо ведучі Black Hat виявили недоліки, хто може сказати, що хтось із набагато більш злісними намірами (і, можливо, кращим фінансуванням) не зробить - чи не буде?

Врахуйте це: ми чули про злому банкоматів у Black Hat три роки тому, а злочинці нарешті почали грабувати банкомати в Європі лише цього року. Цього року було проведено щонайменше три сеанси щодо того, як можна зламати термінали торгових точок для чіп-PIN-карт. Якщо ми не послухаємо та не забезпечимо свою платіжну інфраструктуру, через три роки ми побачимо чергове порушення цільових пропорцій через чіп-PIN-карти? Це справді лякаюча думка.

Black Hat 2014 може закінчитися, але ми будемо говорити про шокуючі речі, які ми бачили там досить давно. Сподіваємось, це буде як засвоєні уроки, що призвели до впровадження рішень, а не як пропущені можливості, що призвели до жахливих злочинів.

Ось мітка Security Watch взяла на себе те, що ми побачили у Black Hat, які будуть тримати нас вночі.

1 1. Інтернет провалу

Захистити комп’ютер чи телефон досить легко; просто дотримуйтесь декількох підказок щодо здорового глузду та встановіть програмне забезпечення для безпеки. А як щодо Інтернету речей? На сесії за сеансом дослідники показали, що критичні пристрої, підключені до Інтернету, були легкодоступними. Команда, що зламала смарт-термостат Nest, отримала свою атаку до 15 секунд, і тепер вони важко працюють над атакою в повітрі. Біллі Ріос знайшов паролі за замовчуванням, жорстко закодовані в скануючі машини, доручені для використання в пунктах пропуску TSA по всій країні. Ми все ще вражені 15-секундним злом.

• 2 2. Злом авіалайнерів, кораблів тощо!

  Що стосується того, що на задньому плані, пристрої, на яких кораблі, літаки, журналісти та (можливо) військові покладаються на спілкування, теж не такі безпечні, як ми думали. Рубен Сантамарта IOActive продемонстрував, що багато хто з цих систем є на задньому плані, нібито для обслуговування або відновлення пароля. Незважаючи на те, що деякі підвісні приміщення були нібито закріплені, він зміг обійти гарантії. Атака, яка потрапила найближче до дому, - несподівано, заява Сантамарти про те, що він міг зламати літаки, використовуючи лінійний Wi-Fi. Йому було зрозуміло, що це не дозволить йому «розбити літаки», але він також зазначив, що критична комунікація проходить через цю ж систему. У своїй розмові він зламав морський маяк для лиха, щоб показати відео ігровий автомат замість SOS. Розгляньте такий же злом на джембо-джеті, і ви отримаєте уявлення про те, наскільки це може бути занепокоєнням.



3 3. Крадіжка паролів за допомогою Google Glass, смарт-годинників, смартфонів та відеокамер

Існує багато способів крадіжки пароля, але один із нових підходів дозволяє поганим хлопцям (або урядовим агентством) розпізнати ваші натискання клавіш, не бачачи екран і не встановлюючи зловмисне програмне забезпечення. Один ведучий Black Hat показав свою нову систему, яка автоматично читає паролі з 90-відсотковою точністю. Він працює навіть тоді, коли ціль знаходиться на рівні вулиці, а зловмисник чотири історії вгору і впоперек вулиці. Цей метод найкраще працює з цифровими відеокамерами, але команда виявила, що смартфони, смарт-годинники та навіть Google Glass можуть використовуватися для зйомки відеозаписів, що використовуються на невеликому відстані. Склопакети, справді!


Зображення через користувача Flickr Теда Ейтана



4 4. Забудьте MasterKey, познайомтеся з підробленим ідентифікатором

Джефф Форрістал повернувся до минулого року, коли він оприлюднив так звану вразливість MasterKey, яка може перешкоджати зловмисним програмам як законних. Цього року він повернувся з Fake ID, який використовує основні недоліки в архітектурі безпеки Android. Зокрема, як програми підписують сертифікати та як Android обробляє ці сертифікати. Практичний результат полягає в тому, що за допомогою однієї шкідливої ​​програми, яка не потребує спеціальних дозволів, Forristal змогла ввести шкідливий код у п’ять законних додатків на телефон. Звідти він мав глибокий доступ та розуміння того, що інфікований телефон.


Зображення через користувача Flickr JD Hancock



5 5. Злий USB може захопити ваш ПК

Ви чули, що USB-накопичувачі можуть бути небезпечними, якщо ви не відключите функцію автоматичного відтворення. Останні загрози на основі USB значно гірші. Зламуючи мікропрограмне забезпечення USB-накопичувача, пара дослідників впоралася з найрізноманітнішими хаками на машинах Windows та Linux, включаючи еквівалент вірусу завантажувального сектора. Їх химерний USB-накопичувач імітував USB-клавіатуру та наказав одній тестовій системі завантажувати зловмисне програмне забезпечення. Він запропонував підроблений центр Ethernet в іншому тесті, тож коли жертва відвідала PayPal у веб-переглядачі, вона фактично перейшла на сайт, що імітує PayPal, що імітує пароль. Це не була просто теоретична вправа; вони демонстрували ці та інші хаки на сцені. Ми ніколи більше не будемо дивитись на USB-пристрій так само!


Зображення через користувача Flickr Windell Oskay



6 6. Чи має радіо? Давайте зламати це!

Радіо може здатися старовинною технологією в епоху Інтернету, але це все ще найкращий спосіб для таких пристроїв, як дитячі монітори, системи домашньої безпеки та віддалені стартери автомобілів бездротовою передачею інформації. І це робить її головною мішенню для хакерів. В одному з бесід Сільвіо Чезаре показав, як він перемагав кожне з них у свою чергу, використовуючи радіо, визначене програмним забезпеченням, і трохи захоплення любителями. Він не був єдиним розмовою на радіо, визначеному програмним забезпеченням. Балінт Зебер розповів натовпу про те, як він зміг слухати радіолокаційний посуд та відстежувати об'єкти, близькі до рівня землі. Не зовсім так страшно, але дуже, дуже круто.


Зображення через користувача Flickr Мартіна Фіша



7 7. Ми не можемо зупинити державні зловмисні програми

Ви чули про спонсорованого урядом хробака Stuxnet, який саботував ядерну програму Ірану, китайських полководців, поданих у суд на наш уряд за хакерство тощо. Головний науковий співробітник F-Secure Мікко Гіппонен попередив, що шкідливі програми, які фінансуються урядом, існують довше, ніж ви розумієте, і з часом лише збільшуватимуться. Маючи ресурси національної держави, що стоїть за ними, ці напади можна майже неможливо блокувати. Щоб ви не думали, що наш власний уряд не нахилиться так низько, він переглянув колекцію посадок військових підрядників, спеціально шукаючи зловмисне програмне забезпечення та експлуатуючи авторів.


Зображення через користувача Flcikr Кевін Беркетт



8 8. Одне пальцем зламає зчитувачі кредитних карток

Після порушення роздрібної торгівлі у 2013 та 2014 роках усі говорять про поточну розробку карт з чіпами та PIN-кодами. Виявляється, якщо ми не змінимо, як працює обробка платежів, ми торгуємо лише однією проблемою іншою. Ми також побачили, як мобільні пристрої торгових точок, що працюють з картами чіпа та PIN, можуть бути порушені, використовуючи зловмисно створені карти. Зловмисники можуть просто пронести карту в зчитувач і завантажити троянець, який збирає PIN-коди на сам зчитувач. Потім друга карта-шахрая копіює файл, що містить зібрану інформацію. Друга карта може навіть видалити троянський, і роздрібний продавець може ніколи не знати про порушення! Цього достатньо, щоб майже змусити нас повернутися до суспільства, що базується на готівці.


Зображення через користувача Flickr Шона МакЕнте



9 9. Ваш мережевий диск шпигує за вами

Останнім часом ми приділили багато уваги домашнім маршрутизаторам і тому, як зловмисники їх компрометують. Як виявляється, Джекоб Холкомб з незалежних оцінювачів безпеки виявляється настільки ж проблематичним, якщо не більше, так само як і проблематичні пристрої зберігання даних. Він переглянув пристрої NAS від 10 виробників - Asustor, TRENDnet, QNAP, Seagate, Netgear, D-Link, Lenovo, Buffalo, Western Digital та ZyXEL - і виявив уразливості в усіх них. Проблеми - це загальні недоліки, такі як введення команд, підробка підписів на веб-сайті, переповнення буфера, обхід аутентифікації та збої, розкриття інформації, закриті облікові записи, погане управління сеансами та обхід каталогів. Поєднавши деякі з цих проблем, зловмисники можуть отримати повний контроль над пристроями. Що у вас в NAS?


Зображення через користувач Flickr wonderferret



10 10. Напади на медичні прилади: питання життя та смерті

Ніхто з галузі інформаційної безпеки не сміявся з новин про те, що лікарі колишнього віце-президента Діка Чейні турбуються про те, що його кардіостимулятор зламається. Круглий стіл медичних приладів у Black Hat розглядав, як збалансувати здоров’я пацієнтів із безпекою. Останнє, що ми хочемо, - це безпека, яка сповільнює охорону здоров'я, де секунди можуть означати різницю між життям та смертю, зазначив модератор Джей Редкліфф. Твереза ​​усвідомлення того, що ми не можемо просто використовувати звичайні найкращі практики безпеки для медичних пристроїв, наслідувала нас до DEF CON, де дослідники SecMedic обговорили проект, який вивчав вразливості у всіх видах пристроїв, включаючи дефібрилятори . Найстрашніша частина? Багато з цих недоліків було виявлено протягом години, використовуючи інструменти з відкритим кодом. Тепер ви справді не хочете йти до лікарні, правда?


Користувач через Flickr Phalinn Ooi