Статистика ВК сообщества "Makrushin"

От случайно обнаруженной уязвимости в публичном терминале к идее анализа защищенности систем умного города - одна «катка» в Watch Dogs.

Дорожная инфраструктура современных городов постепенно обзаводится набором различных умных датчиков, регуляторов, анализаторов движения и т.д. Все эти датчики собирают и отправляют в дата-центры информацию о плотности движения. Мы же взялись за камеры регистрации скорости, которые сейчас распространены повсеместно.

Нашли IP-адреса камер случайно через поисковый механизм Shodan. Изучив несколько таких устройств, мы подобрали dork (определенно сформированный запрос к поисковому механизму, который точечно выявляет необходимые устройства или сайты по конкретно заданному признаку) для того, чтобы найти побольше IP-адресов таких камер. Кроме того, мы заметили некоторую схожесть в IP-адресах устройств – в каждом городе они были в одной подсети. Этот факт помог нам найти те устройства, которых не оказалось в выдаче Shodan, но которые находились в подсетях с другими камерами. Значит, под эти устройства имеется определенная архитектура и, вероятнее всего, таких подсетей много. Ну и далее просканировали эти и соседние подсети по определенным открытым портам и нашли множество таких устройств.

Выяснив, какие порты открыты на камерах регистрации скорости, мы проверили предположение, что один из них отвечает за RTSP – real-time streaming protocol – протокол потокового вещания. Архитектура этого протокола позволяет делать вещание либо приватным (доступным по логину и паролю), либо публичным. Мы решили проверить наличие там паролей. Каково же было наше удивление, когда мы выяснили, что никакого пароля нет, и видеопоток свободно доступен для подключения любому пользователю интернета. Открыто транслируется не только видеопоток, но и дополнительные данные, к которым относятся, например, географические координаты камер.

Мы обнаружили еще множество открытых портов на этих устройствах, которые также позволяют узнать много интересной технической информации. Например, перечень внутренних подсетей системы камер, состав аппаратного обеспечения камеры и так далее.

О находке сообщили владельцам камер. Подготовили детальный технический отчет. Опубликовали его в качестве проекта глобальной инициативы «Securing Smart Cities» (ссылка в первом комментарии). И поехали в турне по международным конференциям.

“S” в аббревиатуре “IoT” означает “Security”.

Тот момент, когда никто не понял шутку.

Всем бодрого понедельника!

Где заканчивается анонимность в даркнете: исследование способа деанонимизации на основе рендеринга шрифтов

В отличие от традиционных технологий веба, технологии «луковой маршрутизации» даркнета Tor дают пользователям реальный шанс остаться анонимными. Этим шансом воспользовались многие, но одни сделали это для самозащиты или из любопытства, тогда как другие ощутили ложное чувство безнаказанности и увидели возможность анонимно вести дела – торговать запрещенными товарами, распространять запрещенный контент и т.д. Однако дальнейшие события, например, арест создателя сайта Silk Road, убедительно доказали, что анонимный бизнес на самом деле не такой уж анонимный.

Тем не менее, операции спецслужб, направленные на поимку преступников, которые создавали в Tor сайты для распространения запрещенных товаров, не содержат технических деталей о деанонимизации преступников. Их отсутствие может означать, что реализация даркнета Tor содержит какие-либо уязвимости и недостатки конфигурации, которые позволяют деанонимизировать любого Tor-пользователя. В своем исследовании мы на практических примерах рассмотрим варианты деанонимизации пользователей Tor и сделаем соответствующие выводы.

Как вычисляют пользователей?

История развития даркнета Tor знает много теоретических способов и практических попыток деанонимизации пользователя. Все они условно делятся на две группы: атаки на клиентскую сторону (браузер) и атаки на соединение.

В материале «ДеанонимизаTOR: где заканчивается анонимность в даркнете» мы собрали техники фингерпринтинга пользователя, многие из которых актуальны и сейчас. Ссылка в первом комментарии.

“Как хакеры могут уничтожить город” - материал, подготовленный специально для издания The Village по мотивам нашего исследования и предназначенный исключительно для воскресного прочтения. Ссылка в комментарии.

За громким заголовком в духе какого-то блокбастера прячется вполне здравая мысль:

«Любая информационная система, управляющая процессами, которые делают жизнь городского жителя комфортнее, представляет интерес для киберпреступника. Те же терминалы для оплаты билетов или парковки являются полноценными рабочими станциями. Сценарий, когда сломанный терминал не может напечатать билеты, звучит довольно безобидно, а вот когда парализована целая сеть подобных терминалов, вся система может выйти из строя».

Чем не сценарий “Watch Dogs”? Кстати, вокруг этой игры как раз построен доклад, который представлен на крупнейшей международной конференции Defcon, проходящей ежегодно в Лас-Вегасе. Попробую найти видео-запись.

Исследование терминалов велопарковок в Москве стало катализатором для изучения темы публичных терминалов.

В процессе изучения публичных устройств мы составили метод «фаззинга» полноэкранных приложений для сенсорных дисплеев. Основная цель этого процесса: побег из песочницы.

Метод прошел проверку и доказал свою эффективность в разных местах:
- в справочных терминалах аэропорта;
- в киосках оплаты билета в кино;
- в справочном терминале пятизвездочного отеля в Лас-Вегасе;
- в справочном терминале олимпийского музея в Лозанне;
- в справочном терминале такси;
- в банкомате в Пекине.

Ссылка на детальный отчет об исследовании в первом комментариии к этому посту.

И кстати, про конференции. Удивительно, но столько исследований появляется на небольших региональных мероприятиях из 200-500 участников. И там же остаются.

Редко, кто из исследователей-докладчиков выбирается на сцены каких-нибудь BlackHat, Defcon, RSA Conference. При этом, чтобы заметить годный контент, нужно быть на непосредственно на площадке и слушать этот доклад.

После турне с исследованием безопасности «умных городов», я составил свою личную карту региональных мероприятий и подготовил их обзор (ссылка в первом комментарии). И так как большая часть из этих событий сейчас проходит в онлайне, то рекомендую периодически изучать видео-записи докладов.

Сегодня выходной, а значит, есть повод разгрести «Избранное» и вытащить интересные исследования. Лови подборку свежих постов по теме фаззинга.

* Fuzzing ClamAV with real malware samples (все ссылки в комментарии)

Интересный подход поиска багов в антивирусном движке с использованием реальных семплов зловредов в качестве корпуса для фаззинга. Фаззить антивирус вредоносами - это как проверять работоспособность системы противовоздушной обороны реальными ракетами.

* Earn $200K by fuzzing for a weekend: Part 1

За круглой суммой в заголовке находится еще одно подтверждение, что «memory-safe != отсутствие уязвимостей». На примере виртуальной машины, написанной на Rust, автор продемонстрировал эффективность поиска багов Rust-приложений, применив известные техники фаззинга к известному таргету. В материале уделено внимание подготовке тестовых оракулов (test oracles) - механизмов определения ожидаемого и аномального поведений таргета в процессе тестирования.

Обмануть, чтобы обнаружить: Threat Deception как дополнительный источник данных о целенаправленных атаках.

Интерактивность – это свойство системы защиты, подразумевающее взаимодействие с атакующим и его инструментами и влияние на сценарий атаки в зависимости от действий атакующего. Например, методы, позволяющие запутать сканеры уязвимостей злоумышленников при помощи замусоривания выдачи, являются интерактивными. Кроме того, что они позволяют запутать злодея и его инструменты, подобные методы уже давно используются исследователями с целью получения информации о самих злоумышленниках и их целях.

Существует довольно четкая грань между интерактивными и «наступательными» методами защиты. Первые подразумевают взаимодействие с атакующим с целью обнаружить его в защищаемой инфраструктуре, отвлечь его внимание и направить по ложному пути. Вторые могут включать вышеперечисленное, плюс эксплуатацию уязвимостей в ресурсах злоумышленника (т.н. «hacking-back»). Hacking-back не только является во многих странах нарушением закона (если только защищающаяся сторона – не государственная организация, осуществляющая правоохранительные действия), но и может подвергать опасности третью сторону, например, компьютеры пользователей, скомпрометированные злодеями.

Применение интерактивных методов защиты, которые не нарушают законодательство и могут быть использованы в существующих процессах информационной безопасности организации, позволяет защищающейся стороне не только ответить на вопрос «есть ли в моей инфраструктуре злоумышленник?», но и составить профиль угрозы.
Одним из таких подходов является Threat Deception – набор методов, специализированных решений и процессов, который уже давно используют исследователи для анализа угроз. Его можно применять и для защиты ценных данных внутри корпоративной сети от целевых атак.

Собрал deception-техники в материал о нестандартных подходах к защите ценных данных от киберпреступников (ссылка в первом комментарии).

Первой конференцией, которую удалось посетить в качестве докладчика, стала индийская площадка Nullcon (ссылка на отчет в первом комментарии). Уже в 2015 году мероприятие имело статус международного, проходило в штате Гоа и пригласило двух исследователей из России с очень необычным докладом про анализ защищенности каких-то публичных терминалов.

В результате своего первого путешествия я даже подготовил отчет с места событий, значительную часть которого посвятил… падению с байка.

Не смотря на взлеты и падения, температуру и разницу во времени, мы выступили, познакомились с индийскими исследователями и пообещали организаторам вернуться.