Здравствуй, Мир!

Когда поиск уязвимостей превращается в гонку за всем известными, но незакрытыми проблемами, то требуется автоматизация:

1. Непрерывно следить за появлением новых техник, о которых исследователи рассказывают в Twitter с хэштегом #BugBountyTips, а также за наиболее эксплуатируемыми уязвимостями по упоминанию их CVE-номера (Common Vulnerabilities and Exposures - база данных общеизвестных уязвимостей)
2. Отбирать только те посты, которые имеют потенциал стать популярным и появиться в тренде
3. Ежедневно оповещать о данных постах.

Именно эти действия делает бот на канале “Bug Hunter Hub” и ежедневно в 13:37 (UTC+0) постит свои подборки. Я лишь иногда разбавляю его посты своими заметками, также связанными с поиском уязвимостей: https://t.me/bhhub

Говорят, если у тебя в руках молоток, то все вокруг похоже на гвоздь. Инструменты для анализа защищенности прошивок в этом плане ничем не хуже молотка. Однажды мне достался от провайдера роутер D-Link DIR-620, который я начал изучать ради интереса. В своей колонке для издания "Хакер" я поделился не только информацией об обнаруженных уязвимостях, но и о том, как я их искал, чтобы исследователь (или тот, кто хочет им стать) мог повторить то же с другой моделью роутера.

Сколько стоит DDoS устроить: экономика атак, направленных на отказ в обслуживании

Атака типа Distributed Denial of Service (DDoS) является одним из самых популярных инструментов в арсенале киберпреступников. Мотивом для DDoS-атаки может быть что угодно — от кибер-хулиганства до вымогательства. Известны случаи, когда преступные группы угрожали своим жертвам DDoS-атакой, если те не заплатят $5000. Часто DDoS-атаку используют для того, чтобы отвлечь ИТ-персонал, пока происходит другое киберпреступление, например, кража данных или внедрение вредоносного ПО.

Жертвой DDoS-атаки может стать кто угодно: ее организация — процесс недорогой и довольно простой, а эффективность, при отсутствии надежной защиты, высока. На основе анализа данных, полученных из открытых источников (например, из предложений об организации DDoS-атак на форумах в интернете или в Tor), мы выяснили стоимость услуг DDoS-атак на черном рынке, а также определили, что именно предлагают своим заказчикам киберпреступники, занимающиеся организацией DDoS.

Полный текст исследования доступен на портале Securelist.

Обратно в 2015: “Carbanak и Equation — малварь на миллиард долларов”

Атаки Equation на тот момент, возможно, самые изощренные из всех известных инцидентов: один из модулей вредоносного ПО позволял изменять прошивку жестких дисков. С 2001 года группировка Equation сумела заразить компьютеры тысяч жертв по всему миру. Сфера деятельности жертв — правительственные и дипломатические учреждения, телекоммуникации, аэрокосмическая отрасль, энергетика и прочее.

Вероятно, наиболее мощный инструмент в арсенале группировки — модуль, известный под именем nls_933w.dll. Он позволяет изменять прошивку жестких дисков двенадцати наиболее популярных производителей, в том числе Seagate, Western Digital, Toshiba, Maxtor, IBM. На тот момент, это поразительное техническое достижение, позволяющее сделать выводы об уровне возможностей группы.

Кроме этого, данная группировка использует множество разнообразных вредоносных программ, часть из которых даже превосходят по сложности знаменитую платформу Regin. Среди известных методов распространения и заражения — использование USB-червя Fanny (в его арсенале было две 0day-уязвимости, которые позднее использовались в Stuxnet), присутствие вредоносных инсталляторов на дисках, а также использование веб-эксплойтов.

Возможно, кто-то еще помнит атаки на PoS-терминалы, которые были популярны у преступников 5 лет назад. И пусть в настоящее время эти атаки стали предметом учебников, но технологии защиты (например, “Default Deny”) продолжают эволюционировать.

В этом материале собраны примеры угроз для устройств, использующихся для торговых операций и приема к оплате платежных карт, а также описана технология Default Deny, которая теперь повсеместно применяется в различных инфраструктурах и скрывается под разными маркетинговыми терминами.

Кстати, летом 2014 года мы обнаружили уязвимость в терминалах оплаты аренды городских велосипедов. Вот, где точно пригодилась бы эта технология. Интересно, какая ситуация с этими велопарковками сейчас?

Ловушки «интернета вещей»: анализ данных, собранных на IoT-ловушках

До сих пор актуальное исследование активности вредоносов для устройств «умного дома» и несколько рекомендаций, которые помогут уберечь устройства от заражения:
- если это не требуется для использования устройства, не открывайте к нему доступ из внешней сети;
- отключите все сетевые сервисы, которые не нужны вам для использования устройства;
- если на устройстве есть стандартный или универсальный пароль, которые нельзя поменять, или предустановленная учетная запись, которую нельзя деактивировать, отключите сетевые сервисы, в которых они используются, либо закройте к ним сетевой доступ извне;
- перед началом использования смените пароль по умолчанию, установив новый, устойчивый к прямому перебору;
- регулярно обновляйте прошивку устройства до последней версии (при наличии таких обновлений).

Соблюдение этих несложных рекомендаций поможет предотвратить большую часть атак распространенных IoT-зловредов.

Продолжаем тему про IoT-ботнеты.

Блог-пост «Так ли страшен Mirai, как его малюют?» был опубликован в 2016 году. Изменилось ли что-то с тех пор в ботнетостроении? Нет. Разве что уязвимых устройств стало больше, и DDoS-атаки стали мощнее.

Упомянутый блог-пост про Mirai может быть шаблоном для подготовки любого другого материала про зловреды для IoT.

Как устроен Mirai

Согласно исходному коду ботнета, который был опубликован на одном из форумов, Mirai состоит из следующих компонентов:
- командный центр (C&C), который содержит MySQL-базу всех зараженных IoT-устойств (ботов) и осуществляет раздачу команд промежуточным серверам распределения команд;
- компонент приема результатов сканирования ботов (Scan Receiver), задача которого заключается в сборе результатов работы от ботов и последующее их перенаправление компоненту загрузки бота на уязвимые устройства (Distributor);
- компонент загрузки, который осуществляет доставку бинарного файла бота на уязвимое устройство (для этого он использует утилиты wget и tftp, но если они отсутствуют в операционной системе, то данный компонент использует свой проприетарный загрузчик);
- бот, который после запуска на зараженном устройстве осуществляет подключение к командному центру, сканирует диапазон IP-адресов (SYN-сканирование) на предмет уязвимых IoT-устройств и отправляет результаты сканирования компоненту Scan Receiver для последующей загрузки вредоносного кода на устройство.

Особенность сканирования устройств ботнетом Mirai заключается в словаре логинов и паролей, которые бот использует при попытках подключения к устройству. Так, например, автор оригинального Mirai включил в процесс сканирования относительно небольшой список логинов и паролей для подключения к различным устройствам.

Как не стать частью IoT-ботнета

Чтобы устройство не стало частью ботнета Mirai, рекомендую выполнить следующие процедуры:

- на каждом устройстве изменить параметры учетной записи по умолчанию; при этом пароль учетной записи должен быть не менее 8 символов и содержать цифры, буквы верхнего регистра и специальные символы;
- установить на каждом устройстве актуальные обновления от производителя оборудования;
- желательно закрыть от доступа из Интернета все потенциальные точки входа в операционную систему устройства (telnet/SSH/веб-панель и т.д.).

Несколько публикаций назад я упомянул исследование безопасности терминалов велопарковки. Материалу уже более 6 лет. Публикацию в то время подхватили еще печатаемый тогда журнал «Хакер», поместив его на обложку номера, исследовательский ресурс Securelist, и даже новостной портал Lenta сделал из этого инфоповод.

В настоящее время все платежи велоаренды проводятся в онлайне с мобильника, поэтому можно смело открывать велосезон.

Вредоносный маркетинг: платформа Malware-as-a-Sirvice

В ноябре прошлого года исследователи обнаружили интересный вредонос на JavaScript, назвали его RATDispencer и выяснили, что злодеи используют его для распространения использовалась для распространения как минимум восьми различных RAT, включая STTRAT, WSHRAT, Adwind, Formbook, Remcos, Panda Stealer, GuLoader и Ratty.

При этом, история одного из них, кросс-платформенного вредоносного кода Adwind, началась в январе 2012 года, когда один из пользователей хакерского форума сообщил, что разрабатывается новый комплекс для RAT. А в конце 2015 года эксперты зафиксировали атаку на банк в Сингапуре, и расследование обнаружило примечательный факт: при атаке использовался вредоносный код, корни которого уходят к тому самому сообщению на хакерском форуме.

Malware-as-a-Service как часть Crime-as-a-Service

Злоумышленники, преуспевшие в той или иной нише киберпреступности, нередко предлагают свои услуги другим злоумышленникам. Так рождаются CaaS в целом и MaaS в частности. Этим путем пошли и разработчики Adwind, которые реализовали модель подписки на пользование этим бэкдором. Злоумышленникам, не обладающим квалификацией в построении бот-сетей, рассылке вредоносного кода, организации хостинга для административной части и администрировании зараженных станций, теперь доступны комплекты для билда троянов, позволяющие заточить вредоносный код под нужды преступника и особенности планируемой атаки.

Это своеобразные WYSIWYG-редакторы в киберпреступном мире: злодею не обязательно вникать в технические подробности функционирования вредоносного кода — ему достаточно выбрать нужную функциональность из имеющегося арсенала и приступить к распространению полученного вредоносного кода (которое, кстати, тоже может быть MaaS-услугой).
Разумеется, эта бизнес-модель снижает порог входа для преступников. Им теперь не нужно обладать техническими навыками или быть частью какого-либо андерграудного комьюнити для того, чтобы оперативно начать монетизировать свои идеи. А конкуренция на данном рынке заставляет MaaS-разработчиков снижать цены на свои услуги.

О технических особенностях Adwind и схемах его распространения, несколько лет назад, я рассказывал в своей колонке.

Исследование терминалов велопарковок в Москве стало катализатором для изучения темы публичных терминалов.

В процессе изучения публичных устройств мы составили метод «фаззинга» полноэкранных приложений для сенсорных дисплеев. Основная цель этого процесса: побег из песочницы.

Метод прошел проверку и доказал свою эффективность в разных местах:
- в справочных терминалах аэропорта;
- в киосках оплаты билета в кино;
- в справочном терминале пятизвездочного отеля в Лас-Вегасе;
- в справочном терминале олимпийского музея в Лозанне;
- в справочном терминале такси;
- в банкомате в Пекине.

От случайно обнаруженной уязвимости в публичном терминале к идее анализа защищенности систем умного города - одна «катка» в Watch Dogs.

Дорожная инфраструктура современных городов постепенно обзаводится набором различных умных датчиков, регуляторов, анализаторов движения и т.д. Все эти датчики собирают и отправляют в дата-центры информацию о плотности движения. Мы же взялись за камеры регистрации скорости, которые сейчас распространены повсеместно.

Нашли IP-адреса камер случайно через поисковый механизм Shodan. Изучив несколько таких устройств, мы подобрали dork (определенно сформированный запрос к поисковому механизму, который точечно выявляет необходимые устройства или сайты по конкретно заданному признаку) для того, чтобы найти побольше IP-адресов таких камер. Кроме того, мы заметили некоторую схожесть в IP-адресах устройств – в каждом городе они были в одной подсети. Этот факт помог нам найти те устройства, которых не оказалось в выдаче Shodan, но которые находились в подсетях с другими камерами. Значит, под эти устройства имеется определенная архитектура и, вероятнее всего, таких подсетей много. Ну и далее просканировали эти и соседние подсети по определенным открытым портам и нашли множество таких устройств.

Выяснив, какие порты открыты на камерах регистрации скорости, мы проверили предположение, что один из них отвечает за RTSP – real-time streaming protocol – протокол потокового вещания. Архитектура этого протокола позволяет делать вещание либо приватным (доступным по логину и паролю), либо публичным. Мы решили проверить наличие там паролей. Каково же было наше удивление, когда мы выяснили, что никакого пароля нет, и видеопоток свободно доступен для подключения любому пользователю интернета. Открыто транслируется не только видеопоток, но и дополнительные данные, к которым относятся, например, географические координаты камер.

Мы обнаружили еще множество открытых портов на этих устройствах, которые также позволяют узнать много интересной технической информации. Например, перечень внутренних подсетей системы камер, состав аппаратного обеспечения камеры и так далее.

О находке сообщили владельцам камер. Подготовили детальный технический отчет. Опубликовали его в качестве проекта глобальной инициативы «Securing Smart Cities». И поехали в турне по международным конференциям.

И кстати, про конференции. Удивительно, но столько исследований появляется на небольших региональных мероприятиях из 200-500 участников. И там же остаются.

Редко, кто из исследователей-докладчиков выбирается на сцены каких-нибудь BlackHat, Defcon, RSA Conference. При этом, чтобы заметить годный контент, нужно быть на непосредственно на площадке и слушать этот доклад.

После турне с исследованием безопасности «умных городов», я составил свою личную карту региональных мероприятий и подготовил их обзор. И так как большая часть из этих событий сейчас проходит в онлайне, то рекомендую периодически изучать видео-записи докладов.

Обмануть, чтобы обнаружить: Threat Deception как дополнительный источник данных о целенаправленных атаках.

Интерактивность – это свойство системы защиты, подразумевающее взаимодействие с атакующим и его инструментами и влияние на сценарий атаки в зависимости от действий атакующего. Например, методы, позволяющие запутать сканеры уязвимостей злоумышленников при помощи замусоривания выдачи, являются интерактивными. Кроме того, что они позволяют запутать злодея и его инструменты, подобные методы уже давно используются исследователями с целью получения информации о самих злоумышленниках и их целях.

Существует довольно четкая грань между интерактивными и «наступательными» методами защиты. Первые подразумевают взаимодействие с атакующим с целью обнаружить его в защищаемой инфраструктуре, отвлечь его внимание и направить по ложному пути. Вторые могут включать вышеперечисленное, плюс эксплуатацию уязвимостей в ресурсах злоумышленника (т.н. «hacking-back»). Hacking-back не только является во многих странах нарушением закона (если только защищающаяся сторона – не государственная организация, осуществляющая правоохранительные действия), но и может подвергать опасности третью сторону, например, компьютеры пользователей, скомпрометированные злодеями.

Применение интерактивных методов защиты, которые не нарушают законодательство и могут быть использованы в существующих процессах информационной безопасности организации, позволяет защищающейся стороне не только ответить на вопрос «есть ли в моей инфраструктуре злоумышленник?», но и составить профиль угрозы.
Одним из таких подходов является Threat Deception – набор методов, специализированных решений и процессов, который уже давно используют исследователи для анализа угроз. Его можно применять и для защиты ценных данных внутри корпоративной сети от целевых атак.

Собрал deception-техники в материал о нестандартных подходах к защите ценных данных от киберпреступников.

Где заканчивается анонимность в даркнете: исследование способа деанонимизации на основе рендеринга шрифтов

В отличие от традиционных технологий веба, технологии «луковой маршрутизации» даркнета Tor дают пользователям реальный шанс остаться анонимными. Этим шансом воспользовались многие, но одни сделали это для самозащиты или из любопытства, тогда как другие ощутили ложное чувство безнаказанности и увидели возможность анонимно вести дела – торговать запрещенными товарами, распространять запрещенный контент и т.д. Однако дальнейшие события, например, арест создателя сайта Silk Road, убедительно доказали, что анонимный бизнес на самом деле не такой уж анонимный.
Тем не менее, операции спецслужб, направленные на поимку преступников, которые создавали в Tor сайты для распространения запрещенных товаров, не содержат технических деталей о деанонимизации преступников. Их отсутствие может означать, что реализация даркнета Tor содержит какие-либо уязвимости и недостатки конфигурации, которые позволяют деанонимизировать любого Tor-пользователя. В своем исследовании мы на практических примерах рассмотрим варианты деанонимизации пользователей Tor и сделаем соответствующие выводы.

Как вычисляют пользователей?

История развития даркнета Tor знает много теоретических способов и практических попыток деанонимизации пользователя. Все они условно делятся на две группы: атаки на клиентскую сторону (браузер) и атаки на соединение.

В материале «ДеанонимизаTOR: где заканчивается анонимность в даркнете» мы собрали техники фингерпринтинга пользователя, многие из которых актуальны и сейчас.

Ранее мы обсудили исследование, которое показало, что “умные” дома, “умные” автомобили и “умные” города не только приносят несомненную пользу человеку в быту, но и зачастую создают угрозу его безопасности. Речь не только об утечке персональных данных – достаточно представить, что в какой-то момент “умный” холодильник под воздействием третьей силы начнет воспринимать просроченные продукты как свежие. Или вот еще один, более печальный сценарий: на высокой скорости система “умного” автомобиля неожиданно для хозяина поворачивает руль вправо…

Однако угрозы, реальные и прогнозируемые, со стороны бытовых IoT-устройств — лишь часть проблемы “поумнения” окружающей инфраструктуры. Технологический бум в медицине не только спровоцировал переход медицинских учреждений на обработку информации исключительно информационными системами, но также привел к появлению новых типов медицинского оборудования и персональных устройств, которые могут взаимодействовать с классическими системами и сетями.

Вот и объект для исследования.