Приехал с Positive Hack Days VI

Как обычно, пока свежи впечатления, стоит высказаться в воздух по поводу состоявшейся поездки на Positive Hack Days VI. Впечатления, в целом, остались крайне положительные, но возникает всего один вопрос — откуда стооолько людей? Очередь на вход в этот раз выстроилась на улице массивной змейкой, а регистрацию отменили перед открытием, потому что люди всё не кончались (потом, впрочем, нужно было вернуться за бейджем). Увеличение аудитории было заметно и в залах, особенно маленьких — «А» и «Б», куда и раньше было не протолкнуться на интересные воркшопы, а в этот раз и вообще можно было встретить нелепую смерть в коридорной давке. Стоя слушать доклад можно было и в относительно вместительном пресс-зале и в огромном «Селигере». В общем, в первый день народу было просто несметное количество, во второй уже не напрягало. В остальном организация, как обычно, была замечательной. В этом году серьёзно проапгрейдили игровую зону, что связано с изменённым форматом традиционного для форума CTF, теперь включающим не только хакеров, но ещё и защитников и мониторинг.

Из новых конкурсов был взлом квадрокоптера и было бы интересно глянуть эфир, но обе системы на нетбуке свежие и gqrx был либо не настроен, либо не установлен. Надо прекращать приезжать на PHD с ненастроенным компьютером, это бессмысленно.

drone-quest

Помимо взлома квадрокоптеров, ребята замутили ещё и небольшую дамбу, которую в первый день взломали. Ещё несколько конкурсов на взлом инфраструктуры — не стал особо фотографировать, всего пара стендов.

phd6stand0 phd6stand1 phd6stand2

Очень радостно было видеть на форуме и Hardware Village, которая впервые присутствовала на PHD, ранее будучи эксклюзивной особенностью ZeroNights. У стенда всегда было много людей, это здорово.

Стенд TOOOL разворачивался не на весь день, а эпизодами и всегда вокруг собиралась толпа. Ни в прошлом году не поковырялся с отмычками, ни в этом. Печалька.

Ещё один новый и довольно неожиданный конкурс — на взлом CAN-интерфейса автомобиля. Интересное направление.

phd6bmw

За CTF не слишком следил. Хотя и решил, что все доклады доступны в записи и ходить надо по активностям, на недостаток которых я жаловался в отчёте о посещении ZN2015, а всё равно не смог удержаться и ходил по докладам. Неисправимо. Из хода CTF запомнились два любопытных момента: ночное проникновение хакерами в серверное помещение при помощи доброй уборщицы и установка аппаратных бэкдоров в виде беспроводных точек доступа, а также ответный удар заскучавших на второй день защитников в виде атаки на компьютеры хакеров, на которых недальновидно было открыты всевозможные сервисы (рассказали про атаку через загрузку веб-шелла и получение рута, а о чём не рассказали — и подумать сложно).

Теперь о докладах.

День 1.

Copycat effect Сергея Голованова — главное впечатление дня. Я, каким-то образом, оказался не подписан на рассылки Лаборатории Касперского и пропустил мимо отчёты и выявленных крупных APT-атаках, которые Сергей описывал в выступлении: GCMAN, DUQU 2, Carbanak, Metel. Истории — одна другой круче, с обилием юмора и технических деталей, где необходимо. Здорово, что этот доклад открыл для меня конференцию, потому что должный настрой появился сразу. Нет смысла пересказывать здесь ход атак, но каждая история эпична, особенно в описании Сергея. Их стоит посмотреть в записи.

Доклад Артура Гарипова о перехвате беспроводных устройств при помощи SDR тоже был очень хорошо подготовленным и интересным, хотя в начале и слегка общим (о чём, Артур, кстати говоря, дважды предупредил зал), но закончился вполне наглядной демонстрацией. Отметил для себя интересный концепт атаки на квадрокоптер, когда в качестве точки возврата, в случае потери связи, устанавливаются удобные хакеру координаты, а вслед организуется и сама потеря связи. В результате чего, в теории, дрон тут же следует в указанное хакером место и остаётся его только забрать. Захотелось купить уязвимый квардокоптер и провернуть нечто подобное.

Выступление Халила Бидджу о классификации методов обхода WAF отметил для себя, позже обязательно вернусь к нему — есть интересные идеи.

Безмерно крут оказался Бабак Жавади, основатель американского филиала TOOOL и взломщик замков с гигантским опытом. Доклад был о способе подбора мастер-ключа при имеющемся физическом доступе к замку и обычном ключе. Несмотря на то, что в России применение инфраструктуры с мастер-ключами повальным не назовёшь — слушать доклад было просто одно удовольствие, во многом благодаря качественной визуализации с анимацией. Доклад читается на PHD, по видимому, каждый год. Попал на него первый раз и остался в полнейшем восторге.

Первый день завершился ещё одним замечательным докладом от Лаборатории Касперского. Ольга Кочетова и Алексей Осипов рассказали и показали о том, как бессовестно тупо люди обходятся с банкоматами. О том, что на Ebay можно купить ключ, который будет открывать почти все банкоматы того или иного вендора; о том, что иногда рядом с банкоматом можно увидеть беспечно валяющийся маршрутизатор или хардверный VPN; о том, что получив доступ к сервисной части ATM, можно подключить по USB специально подготовленную Raspberry Pi и притвориться процессингом, подав сигнал на выдачу всех денег банкомата; о том, как тысячи банкоматов (включая банкомат Сбербанка, расположенный в WTC, прямо в месте проведения конференции), можно обнаружить через Shodan. Под впечатлением от увиденного, на следующее же утро начал собственную коллекцию идиотизма при установке и подключении банкоматов.

atm0 atm1

День 2.

Начал день в зале «Селигер», на секции с фасттреками. Интересный доклад про не вполне очевидные уязвимости в OK, связанные с Flash. Неплохие примеры случайных и не очень сливов информации. Подвергнутый сомнениям в целосообразности ресёрч о реальном применении квантовой криптографии, закончившийся вежливой перепалкой. Наглядный доклад о том, как реализовано самообучение в WAF от PT. Много примеров того, как инженерные просчёты (вроде выходящих на улицу из напрочь защищённой комнаты кабелей) могут стать прекрасным вектором атаки, если не удалось навредить системе цифровым способом. Доклад о приложении под Android, способном читать с экрана текст (скорее всего, при помощи встроенных в систему средств помощи слабовидящим, распознающим текст на экране) и тем самым компрометирующем даже защищённые мессенджеры (доклад был освистан и, если честно, авторы просто показали демку и прикрылись тем, что релиз этого метода в паблик повлечёт волну новых троянов, на деле не рассказав ничего стоящего). Интересное исследование томских студентов на тему применения принципов white-box криптографии в вебе, в суть которого люди не захотели вникнуть и сразу закидали ребят как сомнениями. Отчёт о разработке классной системы обучения распознаванию сгенерированных доменных имён при помощи n-gram. Наконец, полный воды менеджерский доклад о старте собственного бизнеса в ИБ, который не содержал вообще ничего интересного или нового.

Далее Том Ван Гутем более чем наглядно продемонстрировал атаку по времени в браузере. Концепция атаки гениально проста: создаются таргетированные на конкретный возраст посты в Facebook и жертву склоняют загрузить и закешировать эти посты. Только страница с постом, соответствующим точному возрасту жертвы, будет содержать контент, остальные будут пустыми, соответственно, по времени кеширования страницы станет ясен возраст атакуемого, даже если он скрывает его настройками соцсети. Самое интересное, что это особенность архитектуры браузеров и механизма кеширования и избавиться от этой нетривиальной уязвимости, как от XSS или SQLi, пока что невозможно.

Ну а затем я пошёл занимать место в тесном зале, потому что там должен был состояться традиционный доклад Масаловича. Андрей Игоревич, как настоящая рок-звезда, всегда собирает на PHD стадионы и место пришлось занять аж за два часа. В эти два часа я был готов к чему угодно, но доклады, предшествующие выступлению Андрея Игоревича, преимущественно были интересными.

Сергей Кавун, учёный из Украины, представил просто превосходный доклад о научном подходе к моделированию деятельности инсайдеров на предприятии.

Далее следовал какой-то малоинтересный рекламный доклад, за ним — доклад о том, как новая тенденция к расшариванию синхронизируемых папок может привести к появлению принципиально нового метода рассылки эксплоитов и вредоносов. Пользователь делает публичной свою папку на Dropbox (или любом другом облачном хранилище) и злоумышленник может загрузить туда что угодно. Это что угодно синхронизируется и тут же попадает на компьютер пользователя, он с интересом открывает новый файл и ага.

Эльдар Бейбутов снова рассказал о WAF от PT, но мне особенно понравилась классификация атак на веб-приложение в разрезе логики этого самого приложения. Нужно непременно вернуться к этой классификации.

Наконец, пришёл и сам Андрей Игоревич. В зал, рассчитанный человек на 50, влезло штук 200 тел. Выступление, как всегда, было просто превосходным, его тоже нужно обязательно смотреть в записи, не стану даже пытаться описать, какого уровня достигла его информационно-аналитическая система и что он при помощи неё делает. Как обычно, все болт клали на закрытие конференции и слушали Масаловича до последнего.

masalovich

В общем, впечатления оказались исключительно положительными. Новый импульс получен и стоит развиваться и двигаться вперёд, навстречу ZeroNights 2016. Так и живём.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *