15 najstrašnijih stvari u crnom šeširu 2015

4 Krađa datoteka iz oblaka

Usluge pohrane u oblaku poput Dropboxa i Google diska brzo su postale ključni alati za započinjanje posla. Zato je novi napad istraživača Imperve koji mogu ukrasti sve vaše datoteke iz oblaka tako zastrašujući. Još je gore što Imperva kaže kako se napad ne može prepoznati po obodnoj obrani i tradicionalnim sigurnosnim alatima krajnje točke.

Pametni dio ovog napada je da izbjegava probleme da ukradu vjerodajnice potencijalne žrtve ili kompromitira samu cloud platformu. Umjesto toga, napadač nagovara žrtvu na instaliranje zlonamjernog softvera koji lokalno pohranjenu kopiju datoteka u oblaku preusmjerava na drugi poslužitelj, na koji vaše računalo rado isporučuje sve vaše važne datoteke.

5 Korištenje kontrole vašeg Android telefona

Trojanci s udaljenim pristupom ili RAT-ovi omogućuju napadaču daljinski pristup vašem telefonu ili računalu kao da sjedi ispred njega. Oni mogu vidjeti što vidite, pa čak i snimiti fotografije, slušati mikrofon ili snimati video bez da znate. To je među najstrašnijom vrstom zlonamjernog softvera, a istraživači kažu da su našli način da steknu takav pristup na milijunima Android uređaja.

Problem je što neki proizvođači Androida uključuju posebne dodatke koji obično miruju dok servis udaljene podrške poput LogMeIn ili TeamViewer ne stupi u kontakt. Tada se dodatak uključuje i omogućuje tvrtki pristup Android uređaju kao da je agent za podršku tamo gdje koristi telefon. Istraživači Check Point Ohad Bobrov i Avi Bashan otkrili su kako koristiti ove dodatke za zlo, puštajući ih da preuzmu kontrolu nad Android telefonima. Najgori dio? Budući da su te dodatke instalirali proizvođači, ne možete učiniti ništa da se zaštitite.

6 Stagefright krade predstavu

Istraživač Zimperiuma Josh Drake objavljen prije Black Hat-a, Stagefright je nova, velika, zastrašujuća ranjivost u Androidu. Koliko veliko? Smatra se da utječe na 95 posto svih Android uređaja. Koliko zastrašujuće? Drake je pokazao da je u mogućnosti prisiliti Android telefone da izvršavaju kôd samo slanjem SMS poruke. U kombinaciji s pravom vrstom napada, ovo bi moglo biti poražavajuće.

Drake je bio u Black Hat-u da razgovara o Stagefrightu, odakle potječe i onome što je otkrio dok je to istraživao. Veliki pokušaj bio je što je Androidova baza podataka ogromna i zahtijeva više pažnje. "Ovo vjerojatno nije jedini kod koji je žurno napisan", rekao je Drake.

Black Hat je također prisustvovao Googleovom šefu za sigurnost Androida, Adrian Ludwig (na slici gore). Priznao je opseg Stagefright-a, ali je objavio da Google i njegovi partneri poduzimaju podjednako velike napore kako bi zaštitili Android od Stagefright-ove eksploatacije. Ludwig je također istaknuo posao koji je Google već učinio kako bi Android bio siguran. Uoči brojnih napada, rekao je da je Android još uvijek jak.

7 Hakiranje puške sa sustavom Linux

Ubrzo će Internet stvari biti svuda oko nas. Zapravo, već jest (gledanje vaših pametnih televizora i usmjerivača!). Ali postoje mjesta na kojima je tehnologija povezana s Internetom tek počela ulaziti, poput vatrenog oružja. Runa Sandvik i njezin ko-istraživač Michael Auger kupili su, rušili i uspješno hakirali pametnu pušku Tracking Point. U normalnim okolnostima, ova puška pomaže vam da svaki put pogodite svoj trag. Pod hakerskom kontrolom može se zaključati, natjerati da promaši ciljeve i natjerati je da pogodi druge mete.

Jedna stvar koja je jasna iz Sandvikovog i Augerovog rada bila je da sjeckanje puške nije lako. Trebalo im je vremena da ukažu na mnoge stvari koje je Tracking Point ispravno postupio i da daju prijedloge industriji na koji način mogu poboljšati IOT uređaje. Možda će sjeckanje ove puške jednog dana odvesti u svijet sigurnijih tostera.

8 hakera mogu širom otvoriti vašu povezanu kuću

ZigBee sustav za kućnu automatizaciju omogućuje vam lako upravljanje bravama vrata, svjetlima i termostatom s lakoćom, ali može proširiti i ovu kontrolu na hakere. U dramatičnoj prezentaciji, istraživači Tobias Zillner i Sebastian Strobl pokazali su kako mogu preuzeti kontrolu nad sustavima koji se temelje na ZigBee-u.

Čini se da krivnja nije u ZigBeeu, već u dobavljačima koji koriste njegov komunikacijski sustav. ZigBee nudi brojne sigurnosne alate koji osiguravaju da samo pravi ljudi razgovaraju s uređajima. No dobavljači jednostavno ne koriste te alate, već se oslanjaju na manje siguran sustav sigurnosnih kopija. Srećom, povući se lagano, ali proizvođači uređaja moraju pojačati svoju kolektivnu igru.

9 Koliko je siguran vaš otisak prsta?

Sve više mobilnih uređaja uključuje senzore otiska prsta, a u budućnosti možemo očekivati ​​i egzotičnije vrste biometrijske provjere autentičnosti. No podaci vaših otisaka prstiju možda nisu sigurno pohranjeni na vašem telefonu, a samog čitača mogao bi napasti haker. Istraživači FireEye Tao Wei i Yulong Zhang predstavili su četiri napada koji bi vam mogli ukrasti podatke o otiscima prsta. To nije preveliki posao, pod uvjetom da vam ne ponestane prstiju.

Od četiri napada koja je Zhang predstavio, dva su bila posebno zanimljiva. Prvi je pokazao kako napadač s pravim alatima može jednostavno spovaliti zaslon za otključavanje kako bi žrtvu prevario u prstima po skeneru. Jednostavan! Drugi, daleko složeniji napad mogao bi pristupiti podacima sa skenera otiska prsta bez da provali u siguran TrustZone segment Android uređaja. Iako su ranjivosti koje su Zhang i Wei otkrili zakrpljene, vjerojatno će biti otkriveno još mnogo toga. (Slika )

10 Hakiranje kemijske tvornice je zaista teško

U jednoj od najsloženijih prezentacija u Black Hat, Marina Krotofil opisala je kako napadači mogu dovesti kemijsku tvornicu na koljena radi zabave i profita. Pa, uglavnom profit. Proces je pun jedinstvenih izazova, od kojih je najveći pronalazak kako razumjeti složeni unutarnji rad postrojenja, gdje se plinovi i tekućina kreću na čudne načine, a lako ih je pratiti elektroničkim uređajima dostupnim hakerima. A onda se moramo pozabaviti neugodnom fizikom tvornice. Smanjite tlak vode previše, a kiselina može doseći kritičnu temperaturu i skrenite pažnju na vaš napad.

Najstrašniji dio prezentacije Krotofila bila je definitivno činjenica da su hakeri u prošlosti već uspješno iznuđivali novac od komunalnih usluga i postrojenja, ali ta informacija nije bila dostupna istraživačima. (Slika )

11 Društvo sigurno budućnosti

Tijekom svog govornog govora, proslavljena odvjetnica Jennifer Granick opisala je kako je hakerski etos društvenog napretka kroz tehnologiju izgubljen u saučešće, vladinoj kontroli i korporativnim interesima. San je, kako je rekla, o slobodnom i otvorenom internetu koji će znanje i komunikaciju učiniti neprimjerenim i umanjiti rasizam, klasicizam i rodnu diskriminaciju nikada nije u potpunosti ostvaren i brzo propada.

Opisala je svoj strah da će informacijska tehnologija stvoriti svijet u kojem se za sve podatke koristi analiza podataka. To bi ojačalo postojeće strukture vlasti, rekla je, a najviše povrijedila slučajeve rubova. Ona je također upozorila da vlade koriste sigurnost kao način za projiciranje moći, stvaranje sigurnosnih i sigurnosnih informacija. Zastrašujuće stvari.

12 Kako se ne uhiti

Jedna od sesija među prisutnima u Black Hat-u koja se najviše razgovarala bila je ona koju je organiziralo Ministarstvo pravosuđa. Prosječnom čovjeku to možda zvuči dosadno, ali ova je živahna sesija nastojala educirati publiku i objasniti kako hakeri mogu nastaviti svoj posao bez kršenja zakona.

Leonard Bailey, specijalni savjetnik DOJ-a za nacionalnu sigurnost u Odjelu za računalni kriminal i intelektualno vlasništvo, objasnio je prisutnima kako mogu bezbrižno provesti provjere ranjivosti i testove prodora. No, ono što je još važnije su napori DOJ-a da osigura kako provedba zakona neće imati zastrašujući učinak na sigurnosna istraživanja.

13 napadača na mreži

Ne vjerujte mreži Black Hat. Puno je ljudi širom mreže i mnogi polaznici koriste priliku isprobati nove trikove i tehnike koje su naučili tijekom tjedna. Fortinet je ove godine upravljao sigurnosnim operativnim centrom za Black Hat i nadgledao sve aktivnosti na žičnim i bežičnim mrežama na licu mjesta. Iako je bilo puno ekrana koji prikazuju koje se aplikacije pokreću, većinu analiza obavio je dobrovoljni tim sigurnosnih stručnjaka. Jedna klasa, koja je učila napredne tehnike napada penetracije interneta, malo se zauzela, zbog čega je ISP pozvao operativni tim da im kaže da prestanu.

14 Isključivanje Robo-poziva

Nije to bilo u Black Hat-u, ali DEF CON. Humanity Strikes Back je natjecanje u FTC-u na DEF CON-u gdje su hakeri stvorili anti-robocall softver. Ideja je bila stvoriti alat koji bi analizirao zvuk poziva i ako bi se utvrdilo da je poziv robocall, blokirati ga od krajnjeg korisnika i proslijediti poziv u medenu posudu. Dvojica finalista demonstrirala su svoj softver na kontekstnom stolu tijekom DEF CON-a, dok je ovaj robot veselo ponudio besplatno krstarenje godišnjim odmorom ako pritisnete 1.

15 Kako postati haker

Sada kada znate kako ne biti uhićeni zbog sigurnosnih istraživanja, možda vas zanima igranje s nekim vašim alatima za hakiranje? Uđite u Kali Linux, prilagodljivu platformu koja vam omogućuje zabavu.

Kali Linux trebao bi biti jednostavan, ali još važnije je fleksibilan. Možete dodati ili ukloniti alate za testiranje zlonamjernog softvera, mrežno testiranje, penetracijsko testiranje - preimenovati ga. Možete čak instalirati alate na Raspberry Pi za testiranje sigurnosti u pokretu.