Новости
Первые доклады PHDays VI: как ломают транспортные карты, ставят хакерские «мышеловки» и продают уязвимости за 100 000 $
Первые доклады PHDays VI: как ломают транспортные карты, ставят хакерские «мышеловки» и продают уязвимости за 100 000 $ 31 января закончилась первая волна приема заявок на участие в шестом международном форуме по практической безопасности Positive Hack Days, который состоится в Москве 17 и 18 мая 2016 года в Центре международной торговли. Желающие выступить на форуме, но не успевшие подать заявку, смогут сделать это в ближайшее время: вторая волна Call for Papers стартует уже 17 февраля и продлится до 31 марта! А пока мы анонсируем первую группу участников, вошедших в основную техническую программу. В этом году слушатели PHDays узнают, как сорвать большой куш в Microsoft, как с помощью смартфона тестировать безопасность транспортных систем, и выяснят всю подноготную рынка уязвимостей нулевого дня. Ловушка для хакеров Впервые на PHDays выступит признанный эксперт по подавлению, предотвращению и ликвидации последствий DDoS-атак Терренс Гаро (Terrence Gareau). Он расскажет, как создать honeypot (ловушку) и организовать сервис с обновляемыми данными о попавшихся DDoS-ботах с помощью Kibana, Elasticsearch, Logstash и AMQP. Терренс Гаро последние два года вместе с командой работал над системой мониторинга и сбора внешней статистики DDoS-атак, и посетители форума смогут ознакомиться с ее исходным кодом. Охотники за наградой, или Кто есть кто на рынке эксплойтов Участник пятого PHDays, основатель проекта BeeWise и главный консультант компании secYOUre Альфонсо де Грeгорио (Alfonso de Gregorio) вновь выступит с докладом на международном форуме по практической безопасности. Он продолжит начатую в прошлом году тему продажи эксплойтов. На этот раз Альфонсо подробнее расскажет об участниках рынка эксплойтов и о деятельности брокера уязвимостей нулевого дня и раскроет некоторые аспекты деловой этики. Как сделать вечный билет на метро Доклад итальянского исследователя Маттео Беккаро (Matteo Beccaro) посвящен общим вопросам транспортной безопасности, мошенничества и технологических сбоев. Маттео Беккаро рассмотрит несколько серьезных уязвимостей в реальных транспортных системах, в которых используется технология NFC. Ключевой момент выступления — демонстрация открытого приложения для тестирования транспортных систем со смартфона. Доклад будет интересен как профессиональным пентестерам, так и любителям. Защита веб-приложений с помощью JavaScript Внедрение клиентских сценариев JavaScript может быть использовано для обнаружения и предотвращения различных атак, поиска уязвимых клиентских компонент, определения утечек данных об инфраструктуре веб-приложений, выявления веб-ботов и инструментальных средств нападения. Ведущие эксперты Positive Technologies Денис Колегов и Арсений Реутов продемонстрируют, как защищать веб-приложения с использованием JavaScript, а также поделятся собственными методами обнаружения инъекций без использования сигнатур и фильтраций по регулярным выражениям. Еще один вопрос, который рассмотрят эксперты, — концепция JavaScript-ловушек на стороне клиента для атак SSRF, IDOR, Command Injection и CSRF. Как сорвать куш в Microsoft Еще несколько лет назад американский софтверный гигант Microsoft отказывался принимать участие в программе Bug Bounty, несмотря на то что для конкурентов корпорации вознаграждения за уязвимости давно стали обычной практикой. В последние годы Microsoft стал выплачивать вознаграждение за сообщения о некоторых типах уязвимостей — от 100 до 100 000 долл. На регулярной основе публикуется топ-100 исследователей — участников программы. Джейсон Шерк (Jason Shirk) — главный стратег службы безопасности Microsoft Security Response Center поведает слушателям о видах вознаграждений и о том, как MSRC работает с исследователями, а также раскроет секреты крупных наград. Полный список выступлений будет опубликован в апреле на официальном сайте PHDays VI. Для того чтобы бесплатно принять участие в форуме, можно выступить с исследованием в области ИБ, стать участником одного из хакерских конкурсов или написать самый лучший киберпанковский рассказ. Еще один способ попасть на PHDays VI — это купить билет. Напоминаем, что с 15 февраля билет на два дня форума стоит 9600 рублей, на один день — 7337 рублей. С 1 марта цены повысятся до 14 400 и 9600 рублей соответственно.
Скидка на участие в PHDays VI действует еще две недели
Скидка на участие в PHDays VI действует еще две недели Оргкомитет PHDays VI принял решение не повышать цены на билеты 30 января и продлить действие скидки Early Birds еще на две недели. До 14 февраля 2016 года стоимость участия в двух днях форума составит 7337 рублей. С 15 февраля билет на два дня форума подорожает до 9600 рублей, на один день — до 7337 рублей, а с 1 марта — до 14 400 и 9600 рублей соответственно. Напомним и о бесплатных способах принять участие в форуме. Вы можете выступить с исследованием в области ИБ (вторая волна Call for Papers стартует уже 17 февраля), проявить себя в одном из хакерских конкурсов (отборочные соревнования и регистрация откроются ближе к мероприятию) или выйти в финал конкурса киберпанковских рассказов, правила которого будут опубликованы на этой неделе. Любой желающий также может организовать интерактивный форум PHDays в своем городе (советуем ознакомиться с требованиями к участникам PHDays Everywhere). 17 и 18 мая 2016 года на форуме PHDays VI соберутся четыре тысячи хакеров, специалистов по безопасности, IT-бизнесменов, исследователей, представителей государства и борцов за цифровую свободу. Мероприятие состоится в Центре международной торговли в Москве, на Краснопресненской набережной, дом 12. Купить билеты можно на этой странице: runet-id.com/event/phdays16.
Открывается продажа билетов на PHDays VI
Открывается продажа билетов на PHDays VI В четверг, 17 декабря, стартовала продажа билетов на международный форум по практической безопасности Positive Hack Days VI. Мы на полтора месяца заморозили цены: как и в прошлом году, стоимость участия в двух днях форума составляет 7337 рублей при условии покупки билета до 30 января. Зарегистрироваться и купить билеты можно на специальной странице. Первое повышение цен произойдет 31 января: билет на два дня форума будет стоить 9600 рублей, а на один день — 7337 рублей. Начиная с 1 марта стоимость участия в мероприятии вырастет до 14 400 рублей за два дня и 9600 за один день. Другие способы оказаться на PHDays Есть несколько способов бесплатно принять участие в форуме. Один из них — выступить с интересным исследованием в области ИБ. Первый этап приема заявок продлится до 30 января. Программный комитет рассматривает заявки не только от признанных экспертов, но и от начинающих исследователей. Перед тем как подавать заявку, полезно ознакомиться с концепцией и темами шестого форума, а также с выступлениями предшественников. Вы также можете получить приглашение, если проявите себя в одном из хакерских конкурсов или выйдите в финал конкурса киберпанковских рассказов. Кроме того, любой желающий может организовать интерактивный форум PHDays в своем городе (для начала нужно ознакомиться с требованиями к участникам PHDays Everywhere). Напомним, что 17 и 18 мая 2016 года на форуме PHDays VI соберутся четыре тысячи хакеров, специалистов по безопасности, IT-бизнесменов, исследователей, представителей государства и борцов за цифровую свободу. Приходите и вы! Мероприятие состоится в Центре международной торговли в Москве, на Краснопресненской набережной, дом 12. Приобрести билеты: runet-id.com/event/phdays16. Сайт форума PHDays IV: phdays.com.
Форум PHDays VI: переход к открытому противостоянию
Форум PHDays VI: переход к открытому противостоянию Шестой международный форум по практической безопасности Positive Hack Days состоится 17 и 18 мая 2016 года. PHDays — это профессиональный разговор по существу, в котором участвуют эксперты со всего мира, и огромный полигон для самых смелых экспериментов. Здесь исследователи и студенты взламывают сотовую связь, сбивают с цели ракетные установки, пускают под откос поезда, отключают город от электричества, открывают банкомат скрепкой — и помогают выработать способы защиты от подобных угроз. У форума № 6, как и в прошлые годы, будет своя центральная тема. Сюжетной пружиной PHDays VI станет концепция противостояния. В 2016 году специалисты по ИБ из госструктур и крупных компаний покинут свои мягкие кресла, выйдут на ринг и покажут хакерам приемы борьбы с наиболее изощренными атаками. Одни будут нападать, а другие защищаться. Кто победит в этой двухдневной кибервойне — узнаем через семь месяцев. Кто против кого Год за годом мы повторяли мантру о том, что PHDays объединяет вокруг темы безопасности самых разных людей — хакеров и ИБ-экспертов, государственных чиновников и ценителей персональной свободы, IT-бизнесменов и сотрудников правопорядка. Но не размывается ли фокусировка на этом общем снимке? Ведь в современном мире все чаще приходится оказываться с кем-нибудь по разные стороны баррикад, и каждый при этом видит только свою часть картины. В хакерских конкурсах PHDays VI мы собираемся перейти от модели «решаем упражнения» к модели двусторонней практической игры: хакерские группы против SOC, криптографы против реверсеров, конкурентная разведка против DLP, разработчики защитных средств против таргетированных атак. В докладах PHDays VI будут представлены наиболее важные угрозы и методы противодействия им, а не абстрактные истории о «возможностях эксплуатации уязвимостей». Мы хотим услышать от индустрии, как она будет отвечать на эти конкретные угрозы — а не на те страшилки, которые ей привиделись. Самолет, танк, корабль? Чертеж, по которому мы начинаем строить новый PHDays, сохраняет свои базовые принципы: непрерывный поиск terra incognita, многоканальность выступлений, обучение в режиме реального времени, отсутствие рекламных пауз, уникальное оборудование, неформальное общение хакеров и безопасников, настоящие инциденты в основе конкурсов. В программе вновь будут десятки докладов и мастер-классов, круглых столов и профильных секций, соревнования СTF с новым оригинальным сюжетом, конкурс молодых ученых PHDays Young School и нешуточная битва авторов киберпанковских рассказов. И главное — мы серьезно обновим конкурсную программу, а значит и парк объектов для взлома. Шестикратный рост Интерес к форуму продолжает расти. Достаточно сравнить: в 2011 году форум собрал 600 специалистов, в 2012 — 1500, в 2013 — более 2000, в 2014 — 2500. А в 2015 году мероприятие посетили рекордное количество участников — 3500 человек. Количество докладов, секций и прочих активностей в 2015 году перевалило за сотню. На форуме выступили такие известные эксперты по безопасности, как Джон Бомбанек, Уитфилд Диффи, Крис Хаднаги, Кевин Вильямс, Наталья Касперская и Алексей Лукацкий, представители государственных органов Дмитрий Финогенов (8-й центр ФСБ), Александр Радовицкий (МИД), Александр Баранов (ФНС), депутаты Госдумы Вадим Деньгин, Андрей Туманов и Илья Костунов, руководители Центробанка, представители большого бизнеса (включая управляющих партнеров фонда Almaz Capital, которые провели конкурс ИБ-стартапов с призом в полтора миллиона рублей). На площадке прошли конкурсы со взломом ракет, электроподстанций, банкоматов, железной дороги, а главные хакерские соревнования PHDays CTF выиграла российская команда More Smoked Leet Chicken. Отзывы о PHDays За пять лет форум стал лауреатом нескольких премий и услышал немало добрых слов от профессионалов. На площадке успели выступить такие знаковые фигуры международного ИБ-сообщества, как автор книги «Прикладная криптография» Брюс Шнайер, основатель группы The Hacker’s Choice, создатель Hydra, Amap и THC-IPV6 Марк Хойзе, один из самых знаменитых исследователей безопасности сетей GSM Карстен Ноль, итальянские специалисты по SCADA-системам и Smart TV Донато Ферранте и Луиджи Аурьемма, разработчик утилиты John the Ripper Александр Песляк (Solar Designer), советник Almaz Capital Уитфилд Диффи, стоявший у истоков понятия «электронная цифровая подпись» и принципов ассиметричного шифрования, председатель Международного многостороннего партнерства против киберугроз IMPACT Датук Мохд Нур Амин, американский эксперт по военным кибертехнологиям Уильям Хейджстад. А в прошлом году PHDays оказался единственной российской конференцией, попавшей в список крупнейших ИБ-мероприятий по версии британских экспертов из Concise Courses. Слово экспертам: Брюс Шнайер, криптограф, руководитель службы информационной безопасности British Telecom: «Мы проводим конференции по безопасности уже не первый десяток лет. В основном это скучные корпоративные мероприятия. Но эта конференция — нечто совсем другое. Она вдохновляет, она практична и весьма контркультурна». Илья Костунов, депутат Госдумы, член комитета по безопасности и противодействию коррупции: «Посетил Positive Hack Days. Несколько цифр меня поразили. Я планирую интенсифицировать продвижение "повисшего" законопроекта о защищенности критически важной инфраструктуры в русле информационной безопасности». Александр Галицкий, управляющий партнер фонда Almaz Capital: «Positive Technologies создала лучшую на сегодняшний день ИБ-конференцию в России. Она проходит без всякой формалистики, а главными героями мероприятия являются не государственные или окологосударственные структуры, а разработчики и специалисты». Руслан Гаттаров, член комитета Совета Федерации по науке, образованию, культуре и информационной политике: «Зарубежные коллеги уже много лет не стесняются вкладывать в эту область большие деньги: создавать боевые вирусы, увеличивать бюджеты и количество "киберсолдат" — иногда в десятки раз». Уильям Хейджстад, эксперт в области военных информационных атак: «Positive Hack Days — уникальное мероприятие, которое дает возможность увидеть, как создается безопасность и кто есть кто в этой области. Форум сильно выделяется на общем фоне благодаря реалистичным соревнованиям, таким как CTF, конкурс Critical Infrastructure Attack по взлому SCADA-систем и преодоление полосы препятствий в "умном доме"». Наталья Касперская, генеральный директор InfoWatch: «Я поражена размахом: читала, сколько здесь бывает людей, но реальность превысила все мои ожидания». Датук Мохд Нур Амин, председатель IMPACT при ООН: «Cовременные киберугрозы — это не только спам или мошенничество, но и более серьезные опасности, способные поставить под удар жизни многих людей». Кевин Уильямс, генеральный управляющий Team Cymru — UK Internet Security: «Здесь можно увидеть, как частные компании, общественные организации и государство вместе пытаются найти решение общих проблем. Это очень интересно». Больше о форуме — на сайте phdays.com. И не забывайте про доклады с прошлых форумов на YouTube.
Человек — это главная уязвимость. Немного о социальной инженерии на PHDays V
На YouTube появились записи выступлений с Positive Hack Days V — несколько десятков докладов по практической безопасности на русском и английском языках. В 2015 году на форуме говорили не только о хардкорных методах взлома, но и о «нетехнических» атаках. Многим запомнился доклад Криса Хаднаги (Chris Hadnagy), который для получения информации использует особенности человеческой психики и не верит в технический прогресс: «Пока вы ищите уязвимости нулевого дня, мы просто поднимаем трубку телефона и узнаем ваши секреты». В этом материале мы расскажем несколько историй и наблюдений из практики 42-летнего американца.
Конкурс MiTM Mobile: как ломали мобильную связь на PHDays V
Хотя мы не раз публиковали исследования о возможностях прослушки мобильной связи, перехвата SMS, подмены абонентов и взлома SIM-карт, для многих читателей эти истории всё равно относятся к области некой сложной магии, которой владеют только спецслужбы. Конкурс MiTM Mobile, впервые проводившийся в этом году на PHDays, позволил любому участнику конференции убедиться, насколько легко можно проделать все вышеописанные атаки, имея в руках лишь телефон на 300 рублей с набором бесплатных хакерских программ. Условия и технологии конкурса «Вам в руки попал корпоративный телефон пользователя сети MiTM Mobile. Через DarkNet вы получили информацию, которая может оказаться полезной: 1. Коды для получения публей периодически отправляются на номер главного бухгалтера корпорации — 10000. 2. Финансовый директор куда-то пропал, до него уже несколько дней никто не может дозвониться, телефон выключен, однако ему до сих пор выделяются пароли. 3. Важную информацию можно получить звонком на номер 2000, но там установлена авторизация по номеру звонящего. Удалось также узнать, что номер телефона личного секретаря директора — 77777, он наверняка имеет доступ. В сети есть другие номера, через которые сотрудники получают важную информацию, но, к сожалению, узнать их не удалось. И не забывайте, в корпоративной сети всегда можно наткнуться на частную информацию». Примерно такая вводная была представлена участникам CTF в рамках конкурса MiTM Mobile, прошедшего на PHDays V. Для конкурса мы развернули реальную инфраструктуру мобильного оператора. Она включала в себя базовую станцию, мобильные телефоны, стационарные телефоны, а также SIM-карты. Название MiTM Mobile, как нетрудно догадаться, было выбрано не случайно: хотелось подчеркнуть уязвимость нашей сети. В качестве логотипа сети выступал Kraken (ну или почти он), ломающий сотовую вышку. Итак, с внешними атрибутами сотового оператора все ясно, теперь рассмотрим реализацию сети. В качестве «железного» решения выступал девайс с несложным названием UmTRX (сайт производителя: umtrx.org/hardware), на его основе строилась беспроводная часть сети. Непосредственно GSM-функциональность и функциональность базовой станции, а именно софтверная часть, была реализована стеком программ Osmocom/OpenBTS.
Разбор заданий конкурса «Конкурентная разведка» на PHDays V
В этом году в «Конкурентную разведку» играли не только традиционные любители конкурса, но и команды CTF, поэтому по уровню сложности задания были подобраны для тех и для других. Кроме того, разрешена была командная игра. (Но один человек не мог играть и в индивидуальном зачете, и за команду CTF, поэтому нам пришлось по взаимному согласию дисквалифицировать участника, занявшего по очкам 1-е место — azrael.) Под общей легендой государства United States of Soviet Unions были объединены все конкурсы, и в рамках «Конкурентной разведки» участникам пришлось искать информацию о служащих разных компаний, «прописанных» в USSU. Параллельно можно было отвечать на пять разных вопросов о пяти разных организациях; внутри одного блока вопросы открывались друг за другом, по мере получения ответов. (Одна команда нашла ответ методом перебора, но на следующий вопрос они так и не смогли ответить — у них не было на руках необходимых ресурсов). 1. Find out dinner location of Bank of Snatch (snatch-bank.phdays.com)’s Chairman/Get any info you can on him. В данной группе вопросов нужно было найти информацию о председателе правления Bank of Snatch. 1.1. Get his email address Начать нужно с малого — выведать email председателя правления. Гугл давно постарался за нас — закэшировал несколько страниц snatch-bank.phdays.com, в том числе документ с отчетностью банка.
Горячая кибервойна. Хакеры и ракетные установки
Самым зрелищным элементом соревновательной программы форума PHDays V, прошедшего в конце мая в Москве, стал конкурс, представленный компанией Advantech. Участники должны были захватить контроль над промышленной системой управления, связанной с ракетной установкой, и произвести выстрел по «секретному объекту». Что нужно было сделать Стенд представлял собой ракетную установку, размещенную на турели, вращающейся по двум осям, и мишень. Конкурсанты должны были получить доступ к системе управления, развернуть установку в сторону мишени и поразить ее (при этом вывод оборудования из строя не привел бы к выполнению задачи). В ходе конкурса имитировалась ситуация, при которой взломщик уже проник за внешний периметр организации и имеет полный доступ к офисному сегменту сети. Подключившимся выдавался логин и пароль операторского уровня, чтобы они могли наблюдать за функционированием системы. Также на стенде имелась табличка со всеми IP-адресами установленных устройств. В этом году отдельные конкурсы были составной частью CTF (подробнее в нашей статье на Хабрахабре). Свои силы в этом конкурсе попробовали более 40 посетителей PHDays и несколько CTF-команд. Технические детали Станция SCADA была аппаратно выполнена на промышленном панельном компьютере Advantech TPC-1840WP и работала под управлением операционной системы Windows 7 Ultimate без дополнительных средств защиты. Операционная система имела все штатные обновления, доступные к началу конкурса; брандмауэр Windows был включен. SCADA была реализована на программном обеспечении Advantech WebAccess 8.0. Поскольку данное ПО могло содержать незакрытые уязвимости, для которых существуют эксплойты, оператору предоставлялся только доступ к визуализации процессов в контроллере. Теги контроллера имели статус read-only, поэтому их перезапись не влияла на работоспособность оборудования. Получение привилегий администратора открывало взломщику страницу с описанием структуры и внутренней адресации системы.
Кто взломал электрическую подстанцию: разбор конкурса Digital Substation Takeover
В рамках конкурса Digital Substation Takeover, представленного iGRIDS, у посетителей PHDays была возможность попробовать свои силы во взломе настоящей электрической подстанции, построенной по стандарту IEC 61850. Два дня участники пытались провести успешную атаку и получить контроль над системой управления электрооборудованием. Что нужно было сделать Созданный специально для конкурса макет, имитировавший подстанцию высокого напряжения в 500 кВ, включал коммутаторы, серверы времени, контроллеры и устройства релейной защиты, которые реально используются в современных высоковольтных электрических сетях для защиты от аварийных и внештатных ситуаций (короткие замыкания, повреждения ЛЭП и т. п.). Участникам предлагалось несколько сценариев, каждый из которых предполагал в конечном счете несанкционированное управление коммутационными аппаратами — от простого отключения выключателя до включения заземляющих ножей в обход оперативных блокировок. Cамое сложное задание — создание аварийной ситуации на объекте — должно было, по задумке организаторов, сопровождаться фейерверком из горящих проводов на установленной рядом имитации воздушной линии электропередач.
Как на PHDays V взламывали систему ДБО
В рамках состоявшегося в Москве 26 и 27 мая форума по информационной безопасности Positive Hack Days V прошел традиционный конкурс по анализу защищенности систем ДБО «Большой ку$h». Соревнование проходило в два этапа: сначала участникам были предоставлены копии виртуальных машин, содержащие уязвимые веб-сервисы ДБО, аналогичные реальным системам. На втором этапе за один час участники должны были воспользоваться проблемами безопасности, обнаруженными при анализе образа системы ДБО, и перевести деньги из банка на свой счет. В этом году отдельные конкурсы стали частью CTF (подробнее в нашей статье на Хабрахабре), и, наряду с гостями форума, участвовать в соревнованиях могли CTF-команды. Общее число участников конкурса составило порядка 30 человек, а призовой фонд в этом году увеличился до 40 тысяч рублей (в прошлом году можно было «украсть» 20 тысяч).