10 legfélelmetesebb hack-támadás a 2014. évi fekete kalapból

A Black Hat ebben az évben két intenzív eligazítás volt a nap, mivel a biztonsági kutatók bebizonyították, milyen könnyű volt becsapni autókba, termosztátokba, műholdas kommunikációba és szállodákba. Ugyanakkor rengeteg beszélgetés folyt arról, hogy miként lehetne növelni a biztonságot. Dan Geer vitaindító beszédében szereplő tíz politikai javaslat arra összpontosított, hogy jobbá tegye a világot azáltal, hogy javítja az információbiztonságra vonatkozó megközelítésünket. A megoldandó problémák között szerepelt a jelenlegi sebezhetőségi fegyverkezési verseny, az elavult szoftverek és az információbiztonság szakmaként való kezelésének szükségessége. Mindannyian elindultunk, és fejünkkel úsztak új tények, ötletek és - mindenekelőtt - aggodalmak. Nagyon sok aggodalom.

Az egyik dolog, amire számíthat a Black Hatnál, olyan helyek sérülékenységéről való hallás, amelyekről még azt sem gondoltad, hogy támadás alatt állhatnak. Nyugtató tudni, hogy ezek a tüntetések elsősorban akadémiai jellegűek, és hogy ezeket a kérdéseket jelenleg nem használják vadonban. Ugyanakkor félelmetes felismerni, hogy ha a Black Hat műsorvezetõi találtak hibákat, ki mondhatná valaki másnak, aki sokkal rosszindulatúbb szándékú (és talán jobb finanszírozású), még nem - vagy nem?

Fontolja meg ezt: három évvel ezelőtt hallottuk az ATM-ek hackeléséről a Black Hatban, és a bűnözők végre ebben az évben kezdték el az Európában ATM-eket fosztogatni. Legalább három ülés volt ebben az évben arról, hogy miként lehet feltörni a chip- és PIN-kártyák értékesítési pontjait. Ha nem hallgatjuk meg és nem biztosítja a fizetési infrastruktúránkat három év alatt, látni fogjuk a Target-szerű arányok újabb megsértését chip-és PIN-kártyákon keresztül? Ez egy igazán félelmetes gondolat.

Lehet, hogy a Black Hat 2014 véget ért, de a sokkoló dolgokról fogunk beszélni, amelyeket jó ideje láthattunk. Remélhetőleg a megtanult tapasztalatok vezetik a megoldások bevezetését, nem pedig a kihagyott lehetőségeket, amelyek szörnyű bűncselekményekhez vezettek.

Itt van a Biztonsági Őrnek a fekete kalapban látott dolgai, amelyek éjszaka feltartanak minket.

1 1. A sikertelen internet

A számítógép vagy a telefon megvédése elég könnyű; csak kövesse a józan ész tippeit és telepítse a biztonsági szoftvert, és máris jól megy. De mi van a tárgyak internetével? A munkamenet után a kutatók kimutatták, hogy az internethez csatlakoztatott kritikus eszközök könnyen elérhetők. A Nest intelligens termosztátját csapkodó csapat 15 másodpercre tette támadássá, és most már keményen dolgoznak egy levegőszakos támadással. Billy Rios az alapértelmezett jelszavakat hardveresen kódolták a szkennelőgépekbe, amelyeket az ország egész területén a TSA ellenőrző pontjainál használtak fel. Még mindig csodálkozunk a 15 másodperces csapkod.

• 2 2. Légitársaságok, hajók és egyebek csapkodása!

  A hátsó ajtókat illetően az eszközök, amelyekkel a hajók, repülőgépek, újságírók és (esetleg) a katonaság támaszkodik a kommunikációra, szintén nem biztonságosak, mint gondoltuk. Az IOActive Ruben Santamarta bemutatta, hogy ezeknek a rendszereknek sok ajtója van, látszólag karbantartás vagy jelszó helyreállítás céljából. Annak ellenére, hogy a hátsó ajtók egy részét állítólag biztosították, képes volt megkerülni a biztosítékokat. A hazahoz legközelebb eső támadás nem meglepő módon azt jelentette, hogy Santamarta azt állította, hogy repülőgépekkel rohanhat repülőgépeken. Világos volt, hogy ez nem engedi, hogy "repülőgépek lezuhannak", de rámutatott arra is, hogy a kritikus kommunikáció ugyanazon a rendszeren halad keresztül. Beszédében feltört egy tengeri vészjelzőt, hogy SOS helyett video slot játékot jelenítsen meg. Fontolja meg ugyanolyan típusú csapkod a jumbo sugárhajtású készüléken, és elképzelheti, milyen aggasztó ez lehet.



3 3. Jelszavak lopása a Google Glass, intelligens órák, okostelefonok és videokamerák segítségével

A jelszavak ellopására számos lehetőség van, de egy újszerű megközelítés lehetővé teszi, hogy a rossz fiúk (vagy egy kormányhivatal) a képernyő meglátása vagy rosszindulatú szoftverek telepítése nélkül észleljék a billentyűleütéseket. A Black Hat egyik műsorvezetője bemutatta új rendszerét, amely automatikusan elolvassa a jelszavakat 90 százalékos pontossággal. Még akkor is működik, ha a cél utca szintjén van, és a támadó négy történetben áll az utcán. Ez a módszer a legjobban működik digitális videokamerákkal, de a csapat megállapította, hogy okostelefonok, intelligens órák és még a Google Glass is felhasználhatók a használható videók rövid távolságon történő rögzítésére. Üveglyukak, valóban!

Kép a Flickr felhasználói Ted Eytan segítségével



4 4. Felejtsd el a MasterKey-t, ismerd meg a hamis azonosítót

Jeff Forristal tavaly megfordította a fejét, amikor nyilvánosságra hozta az úgynevezett MasterKey sebezhetőséget, amely megengedte, hogy a rosszindulatú alkalmazások törvényesekké váljanak. Ebben az évben visszatért a Fake ID-vel, amely kihasználja az Android biztonsági architektúrájának alapvető hibáit. Pontosabban, hogy az alkalmazások hogyan írják alá a tanúsítványokat, és hogyan kezeli az Android ezeket a tanúsítványokat. A gyakorlati eredmény az, hogy egy olyan rosszindulatú alkalmazással, amelyhez nincs szükség különleges engedélyekre, a Forristal képes volt a rosszindulatú kódot öt törvényes alkalmazásba fecskendezni egy telefonon. Innentől mély hozzáférése és betekintése volt a fertőzött telefon mögött.

Kép a Flickr felhasználói JD Hancock segítségével



5 5. A gonosz USB átveheti a számítógépet

Hallotta, hogy az USB-meghajtók veszélyesek lehetnek, ha nem kapcsolja ki az automatikus lejátszást. A legújabb USB-alapú fenyegetés jelentősen rosszabb. Az USB meghajtó firmware-jének feltörésével egy pár kutató sokféle hacket kezelt a Windows és a Linux gépeken, ideértve a boot szektor vírusának megfelelőt is. A becsapott USB-meghajtó egy USB-billentyűzetet emulált, és parancsot adott egy tesztrendszernek a rosszindulatú programok letöltésére. Egy másik tesztben felajánlott egy hamis Ethernet hubot, tehát amikor az áldozat a böngészőben ellátogatott a PayPalba, valójában egy jelszóval ellopott PayPal utánozó oldalra ment. Ez nem pusztán elméleti gyakorlat volt; megmutatták ezeket és más csapásokat a színpadon. Soha többé nem fogunk hasonlóképpen nézni az USB-eszközöket!

Kép a Flickr felhasználó Windell Oskay segítségével



6 6. Van rádiója? Csináljunk!

A rádió az internetkorban régieknek tűnő technológiának tűnhet, ám ez még mindig a legjobb módja az olyan eszközöknek, mint a babafigyelők, az otthoni biztonsági rendszerek és a távoli autóindítók vezeték nélkül továbbítani az információkat. És ez teszi a hackerek elsődleges célpontjává. Az egyik beszédben Silvio Cesare megmutatta, hogy miként verte le ezeket mindegyiket szoftveres rádióval és egy kicsit rajongói lelkesedéssel. Nem ő volt az egyetlen beszéd a szoftverrel meghatározott rádión. Seeber Balint elmondta a tömegnek, hogyan tudott hallgatni a légiforgalmi radar-ételeken és követni a talajszint közelében lévő tárgyakat. Nem egészen ijesztő, de nagyon-nagyon jó.

Kép a Flickr felhasználó, Martin Fisch segítségével



7 7. Nem állíthatjuk le a kormányzati rosszindulatú programokat

Hallottál már a kormány által szponzorált Stuxnet féregről, amely elbocsátotta Irán nukleáris programját, valamint a kínai tábornokok ellen, amelyeket kormányunk beperelte a hackelésért, és még sok másról. Az F-Secure kutatási igazgatója, Mikko Hypponen figyelmeztette, hogy a kormány által támogatott rosszindulatú programok már régóta léteznek, mint gondolnád, és az idő múlásával csak növekszik. Mögöttük lévő nemzetállami erőforrásokkal szinte lehetetlen ezeket a támadásokat megakadályozni. Ha úgy gondolja, hogy a saját kormányunk nem áll le olyan alacsonyan, átnézett egy olyan katonai vállalkozók által készített álláshirdetések gyűjteményén, amelyek kifejezetten rosszindulatú programokat keresnek és az írókat kihasználják.

Kép keresztül Flcikr felhasználó Kevin Burkett



8 8. Egy ellop Hacks hitelkártya-olvasók

A 2013. és 2014. évi kiskereskedelmi jogsértések után mindenki a chip-and-PIN kártyák jelenlegi bevezetéséről beszél. Kiderül, hogy ha nem változtatjuk meg a fizetésfeldolgozás működését, akkor csak az egyik problémát cseréljük a másikra. Láttuk azt is, hogy miként veszélyeztethetik a chip-és PIN-kártyákat kezelő mobiltelefon-értékesítési eszközök a rosszindulatú kártyákkal. A támadók egyszerűen ellophatnak egy kártyát az olvasóba, és betölthetnek egy trójai fájlt, amely magát az olvasót gyűjti a PIN-kódokkal. Ezután egy második gazember kártya másolja a begyűjtött információkat tartalmazó fájlt. A második kártya akár a trójai is törölheti, és a kereskedő soha nem tudhatná a szabálysértést! Ez elég ahhoz, hogy majdnem arra késztessen minket, hogy visszatérjünk a készpénz-alapú társadalomba.

Kép a Flickr felhasználói Sean MacEntee segítségével



9 9. A hálózati meghajtó ön kémked

Nagyon sok figyelmet fordítottunk a közelmúltban az otthoni útválasztókra és arra, hogy a támadók hogyan veszélyeztetik őket. Kiderült, hogy a hálózathoz csatlakoztatott tárolóeszközök ugyanolyan problematikusak, ha még inkább, mondja Jacob Holcomb, a Független Biztonsági Értékelőktől. Megvizsgálta 10 gyártó NAS-eszközeit - az Asustor, a TRENDnet, a QNAP, a Seagate, a Netgear, a D-Link, a Lenovo, a Buffalo, a Western Digital és a ZyXEL -, és mindegyikben talált sebezhetőségeket. A problémák gyakori hibák, például parancs-injektálás, helyközi kéréshamisítás, puffer-túlcsordulások, hitelesítési megkerülések és hibák, információ-nyilvánosságra hozatal, hátsóajtó-fiókok, rossz munkamenedzsment és könyvtárak átjárása. Ezeknek a kérdéseknek a kombinálásával a támadók teljes ellenőrzést kaphatnak az eszközök felett. Mi van a NAS-n?

Kép a Flickr felhasználói csodaközpontján keresztül



10 10. Támadások az orvosi készülékeknél: élet és halál kérdése

Az információbiztonsági iparágban senki sem nevetett a hírre, hogy Dick Cheney volt alelnök orvosai attól tartanak, hogy a pacemakert csapdába esik. A Black Hatnál üzemelő orvostechnikai eszközök azt vizsgálták, hogyan lehet egyensúlyba hozni a betegek egészségét a biztonsággal. Az utolsó dolog, amit szeretnénk, a biztonság, amely lelassítja az egészségügyi ellátást, ahol a másodperc jelentheti a különbséget az élet és a halál között - jegyezte meg Jay Radcliffe moderátor. A józan észlelés, hogy nem csak az orvostechnikai eszközökre vonatkozó szokásos biztonsági gyakorlatokat alkalmazhatjuk, követte bennünket a DEF CON felé, ahol a SecMedic kutatói egy olyan projektet tárgyaltak, amely mindenféle eszköz, beleértve a defibrillátorokat , sebezhetőségét is megvizsgálta. A legfélelmetesebb rész? Ezen hibák közül sokat egy órán belül fedeztek fel nyílt forrású eszközök segítségével. Most tényleg nem akarsz kórházba menni, igaz?

Via Flickr felhasználó Phalinn Ooi