Новости
Россияне заняли весь пьедестал в PHDays HackQuest 2012
Россияне заняли весь пьедестал в PHDays HackQuest 2012 Завершился увлекательный хакерский марафон PHDays HackQuest 2012, ставший продолжением международного форума по практической информационной безопасности PHDays 2012. Участники соревнования столкнулись с множеством реальных уязвимостей и попробовали свои силы в решении небольших заданий по информационной безопасности. В тяжелой борьбе, длившейся две недели, победу одержал россиянин Дмитрий «DarkByte» Москин, набравший 27 баллов. Помимо отличных спортивных результатов в области взлома и анализа защищенности информационных систем, Дмитрий известен как разработчик веб-приложений, в частности популярного плагина MusicSig vkontakte к браузеру Google Chrome, предназначенного для расширения функциональных возможностей социальной сети «ВКонтакте» (например, для загрузки аудио- и видео-файлов). Победитель высоко оценил уровень организации соревнований: «Этот CTF был, наверное, самым интересным из всех, в которых я участвовал». Второе место, с отставанием на один балл, завоевал AVictor; на третьей позиции — letm. Все три призера, таким образом, представляют Россию. Они были награждены подарками от спонсоров мероприятия и организаторов форума, компании Positive Technologies. На четвертом месте оказался исследователь информационной безопасности из Пакистана, зарегистрировавшийся под ником tex. Полная таблица с результатами HackQuest Online 2012 опубликована на сайте форума PHDays 2012.
Видеоролики выступлений участников PHDays 2012
Видеоролики выступлений участников PHDays 2012 Опубликованы видеозаписи докладов и мастер-классов, состоявшихся на Positive Hack Days 2012. Ролики сгруппированы по основным направлениям информационной безопасности: телеком, государственный сектор, защита сетей, SAP, SCADA и ERP, веб-приложения, мобильные устройства, ботнеты, парольная защита, хакеры и деньги, практическая безопасность, Anonymous и LulzSec. Приятного просмотра! Ключевые доклады Видео с докладом Брюса Шнайера доступно по этой ссылке (начиная с 13:00). Гуру криптографии рассказал о своей философии безопасности, которая многих удивила. Нарушители закона (хакеры), по его мнению, — не только вредны, но и полезны. Датук Мохд Нур Амин является председателем Международного многостороннего партнерства против киберугроз (IMPACT), первого общественно-государственного объединения при ООН, которое направлено на борьбу с киберугрозами и сотрудничает с Международным союзом электросвязи (МСЭ), специализированным учреждением ООН. IMPACT признается крупнейшим в мире объединением, обеспечивающим безопасность в киберпространстве. В его состав входят 137 стран [видео]. Телеком Доклад: Сергей Гордейчик, «Как взломать телеком и остаться в живых — 2. Достучатся до биллинга» [видео]. Где хранятся ключи от технологической сети? Как завладеть биллингом, не создав проблем для основного бизнеса компании? Об этом, а также о новых показательных и забавных случаях тестирования на проникновения телекоммуникационных сетей Сергей рассказал в своем докладе. Секция: Евгений Климов, «RISSPA. Телеком против фрода: кто победит?». Видео доступно по этой ссылке (начиная с 12:15). Государственный сектор Доклад: Михаил Емельянников, «Когда и почему невозможно не нарушить российский закон о персональных данных» [видео]. Доклад: Андрей Валерьевич Федичев, ФСТЭК России, «Почему государственные секреты появляются в Интернете?» [видео]. Доклад: Алексей Лукацкий, «Как выборы Президента России влияют на рынок информационной безопасности, или Куда движется регулирование?» Видео доступно по этой ссылке (начиная с 16:00). Защита сетей Доклад: Владимир Стыран, «Правда про ложь: социальная инженерия для безопасников» [видео] Мастер-класс: Андрей Масалович, «Конкурентная разведка в Интернете». Видео доступно по этой ссылке (начиная с 16:08). Участники мастер-класса на примерах реальных задачах конкурентной разведки познакомились с аналитическими технологиями, в частности с приемами быстрого обнаружения утечек конфиденциальной информации, а также открытых разделов на серверах, приемами проникновения на FTP-серверы без взлома защиты и обнаружения утечек паролей, приемами получения доступа к конфиденциальным документам в обход DLP и проникновения в разделы без наличия соответствующих прав (ошибка 403). Демонстрация проводилась на примерах порталов заведомо хорошо защищенных компаний (лидеров рынков ИТ и ИБ, крупных госструктур, спецслужб). Мастер-класс: Дмитрий Рыжавский, «Безопасность беспроводных ЛВС: как взломали вашу сеть и как вы могли этого избежать» [видео]. В ходе выступления рассматривались наиболее актуальные методики получения несанкционированного доступа к сети Wi-Fi, были продемонстрировано действие механизмов, предлагаемых комплексным решением Cisco Unified Wireless Network для защиты от описанных атак. Мастер-класс: Сергей Ложкин, «Расследование компьютерных инцидентов». Видео доступно по этой ссылке (начиная с 14:00). Мастер-класс был посвящен расследованию инцидентов, связанных с несанкционированным доступом к интернет-ресурсам. Ведущий познакомил слушателей с психологическим портретом современного хакера и рассказал о типах злоумышленников. Был рассмотрен процесс работы над инцидентом: от обнаружения следов вредоносных действий и реагирования на сигналы о взломе до поиска злоумышленника в сотрудничестве с правоохранительными органами. Кроме того, гости форума услышали увлекательный рассказ о реальных инцидентах безопасности. Мастер-класс: Никхил Миттал, «Творим хаос c помощью устройств ввода-вывода» [видео]. На данном мастер-классе обсуждался очень важный, но повсеместно игнорируемый аспект компьютерной безопасности — уязвимость устройств, предназначенных для взаимодействия с человеком (Human Interface Devices, HID). Доклад: Сильвен Мюно, «Использование злоумышленниками телефонов Calypso» [видео]. Доклад: Андрей Костин, «PostScript: опасность! Взлом МФУ, ПК и не только» [видео]. Доклад: Сергей Клевогин, «CEH. Этичный хакинг и тестирование на проникновение» [видео]. Участники мастер-класса познакомились с типичными уязвимостями сетевых протоколов, операционных систем и приложений. В ходе своего выступления ведущий описал последовательности различных видов атак на компьютерные системы и сети, а также дал рекомендации по укреплению их защищенности. Слушатели погрузились в практическую среду и увидели, как по-настоящему взломать систему, — чтобы впоследствии предугадывать действия хакера и успешно им противостоять. Доклад: Трэвис Гудспид, «Эксплуатация радиопомех при помощи технологии Packets-in-Packets» Видео доступно по этой ссылке (начиная с 15:10). Докладчик рассказал об особенностях эксплойтов PIP и привел примеры для сетей стандарта IEEE 802.15.4 и маломощных радиомодулей Nordic RF. SAP, SCADA, ERP Доклад: Юдин Алексей, «ERP глазами злоумышленника». Видео доступно по этой ссылке (начиная с 15:00). Доклад: Андрей Петрович Духвалов, «Защита индустриальных информационных систем — фактор выживания человечества» [видео]. Доклад: Евгения Шумахер, «Как узнать зарплату коллеги, не вставая с рабочего места, или Безопасность SAP HR» [видео]. Доклад: Александр Михайлович Поляков, «Небезопасность SAP: новое и лучшее» [видео]. Доклад был посвящен десятку наиболее интересных уязвимостей и векторов атак на SAP-системы: от проблем с шифрованием до обходов аутентификации, от забавных ошибок до сложных векторов атак. С немалой частью представленных в докладе уязвимостей широкая публика познакомилась впервые. Мастер-класс: Алексей Юдин, «Безопасность SAP своими руками» [видео]. Участники этого мастер-класса научились проводить базовый анализ безопасности систем SAP R/3 и NetWeaver (включая серверы приложений и инфраструктуру) с использованием доступных инструментов. Веб-безопасность Мастер-класс: Владимир Лепихин, Атаки на веб-приложения. Основы. Видео доступно по этой ссылке (начиная с 09:00). В докладе были систематизированно представлены механизмы реализации атак на веб-приложения, приемы и инструменты нарушителей (специализированные сканеры безопасности, утилиты, использование результатов их работы в ходе ручного анализа). На практических примерах были наглядно продемонстрированы основные слабости веб-приложений, делающие возможным проведение атак, а также проиллюстрированы недостатки используемых средств защиты и методы их обхода. Доклад: Мирослав Штампар, «Утечки данных через DNS: использование sqlmap» [видео]. Докладчик представил технику DNS-эксфильтрации с помощью SQL-инъекций, рассказал о ее плюсах и минусах, а также провел наглядные демонстрации. Доклад: Владимир Воронцов, «Атаки на веб-клиентов сетей Microsoft» [видео]. В докладе были описаны методы, позволяющие проводить атаки пользователей браузера Internet Explorer в рамках сетей Microsfot, и рассмотрены атаки, нацеленные на получение конфиденциальных данных пользователей, расположенных как на удаленных серверах (обход ограничений политики доступа), так и на локальных ПК. Мастер-класс: Андрес Рьянчо, «Безопасность Web 2.0. Продвинутые техники» [видео]. На мастер-классе были рассмотрены техники защиты от атак, использующих XML, HPP/HPC, а также атак типа Click Jacking и Session Puzzling. Доклад: Сергей Щербель, «Не все PHP одинаково полезны». Видео доступно по этой ссылке (начиная с 16:00). В докладе были рассмотрены выявленные проблемы безопасности и особенности эксплуатации веб-приложений при использовании сторонних реализаций PHP, а также приведены примеры уязвимостей нулевого дня. Доклад: Тибо Кёхлен, «Naxsi — брандмауэр веб-приложений с открытым кодом, основанный на позитивной модели безопасности» [видео]. Доклад: Алексей Москвин, «О безопасном использовании PHP wrappers» [видео]. Доклад: Владимир Кочетков, «Взломать сайт на ASP.NET? Сложно, но можно!» [видео]. В докладе были рассмотрены примеры новых уязвимостей нулевого дня и возможные техники их эксплуатации, включая принципиально новый вид атак класса «Внедрение кода». Безопасность мобильных устройств Мастер-класс: Маниш Часта, «Безопасность приложений для Android» [видео]. В докладе были кратко освещены техники обнаружения и устранения уязвимостей в приложениях Android Mobile. Кроме того, в презентации затрагивались вопросы получения прав администратора для устройств, работающих на платформе Android (Android rooting), анализа баз данных SQLite, применения пакета Android Debug Bridge (ADB) и угроз, связанных с мобильным сервером. Вниманию слушателей также был представлен список десяти самых опасных угроз для мобильных приложений, опубликованный сообществом Open Web Application Security Project (OWASP). Доклад: Маркус Нимиц, «Перехват пользовательского интерфейса в Android» [видео]. Мастер-класс: Сергей Невструев, «Практические аспекты мобильной безопасности» [видео]. Борьба с ботнетами Доклад: Мария Гарнаева, «Методы вставки палок в колеса ботмастерам: ботнет Kelihos». Видео доступно по этой ссылке (начиная с 09:10). Доклад: Александр Гостев. Изначально доклад назывался «Тайна DuQu», однако затем докладчик решил сосредоточиться на новой угрозе под названием Flame. Видео доступно по этой ссылке (начиная с 14:00). Доклад: Александр Лямин, «DDоS: практическое руководство к выживанию. Часть 2». Видео доступно по этой ссылке (начиная с 17:03). Доклад: Федор Ярочкин, Владимир Кропотов, «Жизненный цикл ботнетов и их обнаружение путем анализа сетевого трафика» [видео]. Мастер-класс: Пьер-Марк Бюро. «Win32/Georbot. Особенности вредоносных программ и их автоматизированный анализ» [видео]. Первый в мире мастер-класс по данному ботнету. Проблемы парольной защиты Доклад: Алексей Евгеньевич Жуков, «Легковесная криптография: нетребовательная к ресурсам и стойкая к атакам». Видео доступно по этой ссылке (начиная с 12:00). Доклад: Дмитрий Скляров, Андрей Беленко, «Secure Password Managers и Military-Grade Encryption для смартфонов: "Чё, серьезно?.."». Видео доступно по этой ссылке (начиная с 10:15). Доклад: Александр (Solar Designer) Песляк, «Парольная защита: прошлое, настоящее, будущее» [видео]. В рамках выступления были рассмотрены вопросы парольной защиты, история развития и ближайшие перспективы технологии аутентификации. Доклад: Бенжамен Делпи, «Mimikatz. Восстанавливаем пароли Windows 8» [видео]. Хакеры и деньги Секция: Артем Сычев, «Как защищают деньги?» [видео] Доклад: Дмитрий Горелов, «Смарт-карты в России: от таксофонов до УЭК». Видео доступно по этой ссылке (начиная с 10:00 ) Доклад: Александр Матросов, Евгений Родионов, «Уязвимости смарт-карт с точки зрения современных банковских вредоносных программ». Видео доступно по этой ссылке (начиная с 11:07). При подготовке доклада «Уязвимости смарт-карт с точки зрения современных банковских вредоносных программ» докладчики провели исследование наиболее распространенных таких программ, а также выявили интересные уязвимости при использовании двухфакторной аутентификации и смарт-карт. Кроме того, в докладе рассматриваются приемы и ухищрения злоумышленников, препятствующие проведению криминалистической экспертизы. Доклад: Миха Боррманн, «Расплачиваетесь кредитной картой в Интернете? Будьте готовы к головной боли» [видео]. Практическая безопасность Мастер-класс: Борис Рютин, «Безопасность без антивирусов» [видео]. Четырехчасовой мастер-класс, участники которого получили базовые навыки выявления троянских программ в операционной системе, изучили самые современные технологии разработки троянов для Windows (SpyEye, Carberp, Duqu), рассмотрели трояны для Android, а также познакомятся с анализом актуальных эксплойтов (PDF, Java). Доклад: Юрий Губанов, «Как найти слона в стоге сена» [видео]. Доклад: Дмитрий Евдокимов, «Средства анализа кода: светлая и темная сторона» [видео]. Дмитрий рассмотрел способы инструментации исходного кода, байт-кода и бинарного кода. Доклад: Никита Тараканов, Александр Бажанюк, «Средство автоматического поиска уязвимостей». Видео доступно по этой ссылке (начиная с 17:00). Доклад: Игорь Котенко, «Кибервойны программных агентов: применение теории командной работы интеллектуальных агентов для построения киберармий» [видео]. Доклад: Ульрих Флек, Мартин Айзнер, «Атаки от 0-day до APT на примере популярного фреймворка» [видео]. Секция: Демо-секция «Лучше один раз увидеть». Видео доступно по этой ссылке (начиная с 17:10). Anonymous и LulzSec Доклад: Джерри Гэмблин, «Какой урок можно (и нужно) вынести из истории с LulzSec» [видео]. Во время доклада Джерри стал объектом «троллинга» со стороны группы людей, но отреагировал с потрясающим чувством юмора [видео]. Доклад: Хейзем Эль Мир, «Как Тунис противостоял Anonymous». Видео доступно по этой ссылке (начиная с 14:10). Другие темы Доклад: Алексей Андреев (Мерси Шелли), «Прошлое и будущее киберпанка» [видео]. Алексей поделился своими взглядами на развитие российского киберпанка. Награждение: победители получают призы [видео]. Концерт: группа «Ундервуд» на закрытии форума [видео].
Отгремел Positive Hack Days 2012: хакеры взломали планету
Отгремел Positive Hack Days 2012: хакеры взломали планету В Москве 30 и 31 мая прошел Positive Hack Days 2012 — международный форум для специалистов по практической информационной безопасности, организованный компанией Positive Technologies. За два дня на форуме побывало полторы тысячи человек: профессионалы мира ИБ, хакеры со всей планеты, представители бизнеса, государства и интернет-сообщества. Раньше многие из этих людей даже не подозревали, что могут оказаться в одном помещении. На PHDays 2012 выступили легендарный криптограф Брюс Шнайер и глава IMPACT Датук Мохд Нур Амин, были представлены десятки докладов и мастер-классов, состоялись масштабные соревнования CTF и огромное количество конкурсов по взлому и анализу защищенности. Capture the Flag и HackQuest Киберпанковский сценарий и реальные уязвимости стали отличительными чертами центрального хакерского события форума — соревнования CTF (Capture the Flag). По сюжету команды должны были отправиться в будущее, чтобы спасти земную цивилизацию от катастрофы. В охоте за флагами приняли участие 12 коллективов из России, Германии, Индии, Нидерландов, США, Туниса, Франции, Швейцарии и Японии. Двое суток подряд хакеры искали уязвимости в системах противников, чтобы получить доступ к секретной информации, а также защищали свои сети, устраняя в них уязвимости. Победу в PHDays CTF 2012 одержала российская команда Leet More из Санкт-Петербурга, получившая приз — 150 000 руб. Второе место — у команды 0daysober из Швейцарии (100 000 руб.), третье — у испанцев Int3pids (50 000 руб.). Прошлогодние победители PHDays CTF — американские хакеры из PPP — заняли четвертое место. К обнаружению уязвимостей и поиску флагов могли присоединиться также интернет-участники в соревновании Online HackQuest. Первое и второе место заняли россияне BECHED ahack.ru и ufologists, а бронза досталась немецкому специалисту stratum0. Перехват дрона Беспилотная авиация встречается не только в романах Пелевина, но и широко используется вооруженными силами различных стран, эффективно уничтожая противников. Организаторы форума в игровой форме решили смоделировать ситуацию, в которой управление беспилотником будет захвачено врагом. Согласно легенде второго дня PHDays CTF, командам нужно было добыть транспорт — летательный аппарат. Специально для этого задания организаторы подготовили пару AR.Drone — устройств, которые управляются с телефона через небезопасные беспроводные соединения. Участники команд CTF должны были за полчаса перехватить управление аппаратом. Быстрее всех завладел пилотированием квадрокоптера российский эксперт по информационной безопасности Сергей Азовсков из Екатеринбурга. «PHDays еще в прошлом году задал очень высокую планку в смысле организации мероприятия по информационной безопасности. В этом году форум превзошел прошлогодний успех, показав, что мероприятие в нашей области может быть не скучным, а интересным, динамичным и позитивным. Видно, что PHDays был сделан с любовью и от души, а это залог успеха! Мы давно сотрудничаем с Positive Technologies и уже во второй раз поддерживаем PHDays. Я уверен, эта традиция будет продолжена», — отметил Алексей Лукацкий (Cisco Systems). Взлом Apple iPhone и Windows XP В современном информационном пространстве обнаружить совершенно новую уязвимость в популярном и отлаженном продукте равнозначно серьезному изобретению. Поэтому конкурсы по взлому различных операционных систем и приложений занимали особенное место в программе форума. Как и в CTF, наибольший урожай призов собрали российские специалисты: Никита Тараканов продемонстрировал опасную уязвимость нулевого дня в операционной системе Windows XP, получив за победу денежный приз в размере 50 000 руб. Павел Шувалов, известный свой утилитой Vulndisco Mobile 1.7, предназначенной для джейлбрейка устройств на базе iOS, — взломал iPhone 4S, используя уязвимость в популярном приложении Office² Plus. Павел стал обладателем взломанного iPhone 4S и денежного приза в размере 75 000 руб. Кроме того, представитель команды Leet More (победителей CTF 2012) прямо во время напряженной схватки PHDays CTF 2012 обнаружил уязвимость нулевого дня в операционной системе FreeBSD 8.3. Эта уязвимость позволяет любому локальному пользователю обойти ограничения безопасности (FreeBSD Jail). Александр Гостев («Лаборатория Касперского») поделился впечатлениями от мероприятия: «Я был приятно удивлен. В России не хватает подобных мероприятий. Отмечу уникальную дружескую атмосферу, которую удалось создать организаторам. Форум оправдывает свое название: по контенту, по составу участников, по качеству докладов он гораздо сильнее, чем в прошлом году. PHDays вышел на новый уровень, сумев сохранить важные особенности: — неповторимый эмоциональный уровень и возможность неформального общения с множеством интересных людей». Делиться опытом — это интересно Практическую направленность PHDays 2012 по достоинству оценили гости и участники форума. Около пятидесяти докладов, мастер-классы и круглые столы прошли под девизом «минимум маркетинга — максимум опыта». После банковской секции, на которой присутствовали эксперты по информационной безопасности и представители финансовых организаций, состоялся конкурс «Большой Ku$h». Хакеры, используя типичные уязвимости систем дистанционного банковского обслуживания, переводили на свои виртуальные счета различные денежные суммы, а затем снимали их через банкомат, который располагался неподалеку от места проведения конкурса. Победителем стал Алексей Осипов, студент пятого курса Московского энергетического института: ему удалось «увести» из банка 3500 руб. К слову сказать, во время банковской секции Артем Сычев из «Россельхозбанка» сообщил весьма тревожную информацию: каждый день в России фиксируется 15—20 попыток хищения денег с банковских счетов. Настоящий аншлаг вызвало выступление Брюса Шнайера — легендарного исследователя в области криптографии. Брюс в свойственной ему ироничной манере поддержал людей, которых любопытство заставляет время от времени нарушать закон: нарушая правила, они служат развитию общества. Увлекательным опытом обнаружения и устранения уязвимостей в сетях телекоммуникационных операторов поделился технический директор компании — организатора форума Сергей Гордейчик. Конвергенция различных типов сетей и оборудования приводит к тому, что они могут быть взломаны при помощи нескольких десятков методов: например, через канал, используемый сотрудниками для онлайн-игр, уязвимый интерфейс веб-камеры слежения, точку доступа Wi-Fi подрядчика, недружественный ресурс на хостинге. Андрей Костин показал, как и зачем хакеры ломают принтеры, Маркус Нимиц рассказал о недостатках системы безопасности Android OS, а Владимир Воронцов объяснил назначение XXE-атак, попутно обнародовав уязвимость нулевого дня. Александр Гостев из «Лаборатории Касперского» рассказал новые подробности о недавно обнаруженном шпионском кибероружии нового поколения — Flame. Тему организованного хакерства продолжил Хейзем Эль Мир, ИБ-специалист из Туниса: в своем докладе о противостоянии тунисского Агентства компьютерной безопасности и хакерской группировки Anonymous он развеял миф о профессионализме «Анонимусов» (многие считают, что группа состоит из лучших в мире хакеров). Интересная деталь: когда Джерри Гэмблин представлял свой анализ деятельности группы LulzSec, взломавшей сайт ЦРУ, в зал вошли несколько человек в масках Гая Фокса. Докладчик ничуть не смутился, с удовольствием примерив после выступления одну из масок. Эксперты исследовательского центра Positive Research рассказали об уязвимостях в распространенном корпоративном ПО: системе управления сетевым оборудованием Cisco Secure ACS, популярном веб-сервере nginx, системе виртуализации Citrix Xen и еще более чем о десятке уязвимостей в различных веб-приложениях. В рамках спецсекции по безопасности АСУ ТП (SCADA) были анонсированы инициативы Positive Technologies в области защиты систем управления производством: совместные с Siemens работы по поиску и устранению уязвимостей в SCADA Simatic WinCC и разработку стандартов безопасной конфигурации распространенных систем АСУ ТП. На форуме также был анонсирован образовательный проект Positive Education, в рамках которого специалисты Positive Technologies будут содействовать преподавателям российских технических вузов в подготовке практических учебных программ по информационной безопасности. Состоялось представление докладов молодых ученых, привлеченных со всей России в рамках конкурса Young School. Второй Positive Hack Days впервые прошел при поддержке десятков хакспейсов, поддержавших форум в рамках инициативы PHDays Everywhere. География онлайн-плацдармов, на которых собралась местная хакерская элита — от Токио до Краснодара, от Индии до Туниса. Для посетителей хакспейсов, помимо интерактивной онлайн-трансляции с прямыми включениями, предназначался конкурс «Взломать за 137 секунд», требующий навыки взлома сетевых устройств на базе оборудования Cisco. Победила команда DCUA из Украины, второе место заняли XBios из Индии. «На мой взгляд, мероприятие дает замечательную возможность для встречи с друзьями и партнерами, для знакомства с новыми интересными людьми, для самого разнообразного общения, ну и конечно для получения заряда позитива на весь год. И я уверен, что этот год точно пройдет — пролетит! — в ожидании PHDays версии 3.0. PHDays и Positive Technologies ждет великое будущее. Очень приятно быть причастным к началу большого пути этой компании», — говорит Айдар Гузаиров («ICL-КПО ВС»). Планета нуждается в позитивных хакерах Ключевые докладчики форума — Брюс Шнайер и Датук Мохд Нур Амин (председатель IMPACT) — не сговариваясь, отметили важную роль позитивных хакеров в развитии прогресса и обеспечении безопасности простых граждан. Поэтому не случайно, что Positive Hack Days 2012 завершился веселым и зажигательным конкурсом «Наливайка». Каждые пять минут участнику, на действия которого чаще всего реагировал фильтр безопасности, предлагалось выпить 50 мл текилы и продолжить попытки взломать приложение. Лучшим стал Владимир Воронцов из компании ONSec: на пути к победе ему пришлось опустошить 7 рюмок крепкого напитка! «Судя по отзывам, Positive Hack Days стал тем, чем мы старались его сделать, — местом, где обмениваются знаниями совершенно разные люди: от писателя-фантаста до министерского чиновника. Местом, где люди с диаметрально противоположными взглядами могут услышать друг друга, а также получить самую свежую информацию о безопасности информационных систем. Местом, где создается будущее», — заявил Сергей Гордейчик (Positive Technologies).
На PHDays 2012 взломали Apple iPhone, Windows XP и FreeBSD
На PHDays 2012 взломали Apple iPhone, Windows XP и FreeBSD На международном форуме по практической информационной безопасности Positive Hack Days 2012 участники конкурса Hack2own продемонстрировали взлом Apple iPhone 4S и популярной операционной системы Windows XP. Кроме того, в ходе соревнований CTF была обнаружена новая уязвимость в операционной системе FreeBSD, а на конкурсе «Большой ку$h» хакеры сумели продемонстрировать, каким образом можно украсть деньги, используя типичные уязвимости в системе дистанционного банковского обслуживания. Отдельного внимания заслуживает выступление отечественных хакеров. Взлом iPhone Российский ИБ-специалист Павел Шувалов в рамках конкурса PHDays Hack2own продемонстрировал взлом Apple iPhone. Уязвимость содержалась в приложении Office² Plus, распространяемом через официальный магазин Apple App Store. За победу хакер получил взломанный iPhone 4S, а также денежный приз в размере 75 000 руб. Павел Шувалов известен свой утилитой Vulndisco Mobile 1.7, предназначенной для джейлбрейка устройств на базе iOS. Сама по себе система iOS оказалась крепких орешком: главный приз в 137 000 руб. за взлом оболочки iOS без использования уязвимостей сторонних приложений — так и остался у организаторов форума. Уязвимость нулевого дня в Windows XP Популярную операционную систему Windows XP удалось взломать независимому эксперту по информационной безопасности Никите Тараканову. Для получения максимальных привилегий в системе он использовал новую уязвимость в ядре операционной системы. Благодаря этому успеху Никита стал победителем конкурса Hack2own в категории операционных систем и получил денежный приз — 50 000 руб. Интересно, что в прошлом году на форуме Positive Hack Days 2011 Никита Тараканов сумел взломать браузер Safari для Windows. Взлом ДБО Финальным аккордом банковской секции, на которой присутствовали эксперты по информационной безопасности и представители финансовых организаций, стал конкурс «Большой ку$h». На их глазах хакеры, используя типичные уязвимости систем ДБО, сумели перевести на свои виртуальные счета различные денежные суммы, а затем снять их через банкомат, который располагался рядом с местом проведения конкурса. Победителем стал Алексей Осипов, студент пятого курса Московского энергетического института: ему удалось «увести» из банка 3500 руб. AR.Drone и FreeBSD 8.3 В рамках соревнований PHDays CTF 2012 российский специалист в области национальной безопасности Сергей Азовсков из Екатеринбурга стал победителем конкурса по взлому радиоуправляемого дрона. Такие устройства, являясь «двоюродными братьями» беспилотных самолетов, подходят не только для игр: будучи оснащены видеокамерами, они могут использоваться для шпионажа. Другой участник CTF из команды Leet More прямо во время напряженной схватки PHDays CTF 2012 обнаружил уязвимость нулевого дня в операционной системе FreeBSD 8.3. Уязвимость позволяет любому локальному пользователю обойти ограничения безопасности. Множество конкурсов На PHDays 2012 прошли десятки разнообразных состязаний по взлому и анализу защищенности. Участники преодолевали шифрование WPA-PSK для Wi-Fi, клонировали RFID-метки с большого расстояния, искали способы обойти межсетевые экраны, взламывали оборудование Cisco и подбирали алгоритмы шифрования паролей. В ближайшие дни мы подробно расскажем обо всех конкурсах, состоявшихся на PHDays 2012, и назовем всех победителей.
Результаты соревнований CTF
Результаты соревнований CTF По итогам CTF команды расположились следующим образом: 1. Leet More (Россия) – 150.000 р. 2. 0daysober (Швейцария) – 100.000 р. 3. Int3pids (Испания) – 50.000 р. 4. Plaid Parliament of Pwning (США) 5. eindbazen (Нидерланды) 6. C.o.P (Франция) 7. HackerDom (Россия) 8. FluxFingers (Германия) 9. Tachikoma (Япония) 10. Shell-storm (Франция/Швейцария) 11. ForbiddenBITS (Тунис) 12. BIOS (Индия)
PHDays 2012: день первый
PHDays 2012: день первый Международный форум по информационной безопасности Positive Hack Days, организованный компанией Positive Technologies, в первый же день собрал около 1000 участников. На площадке техноцентра Digital October 30 мая сошлись хакеры, представители государства и бизнеса, эксперты ИБ, студены, ученые — чтобы общаться и слушать доклады, чтобы учить и учиться. Как отметил в своем выступлении автор сценария и режиссер форума Сергей Гордейчик, российская отрасль ИБ сегодня разобщена. Несмотря на ультрасовременные государственные проекты в сфере информатизации, существует ряд проблем: дефицит кадров, утечка мозгов, высокий уровень коррупции, а главное — отсутствие единой стратегии развития. Именно поэтому был организован форум PHDays, основная цель которого — свести вместе «пиджаки» и «футболки» и сделать, чтобы они вместе смогли сделать работу с информацией безопасной. Объять необъятное В первый день PHDays посетители слушали доклады на шести потоках конференции, соревновались в конкурсах по взлому различных информационных систем, активно участвовали в мастер-классах. Взлом таксофона, препарирование банкомата, поиск кодов в мусорном баке, охота за перемещающейся точкой доступа Wi-Fi — вот лишь некоторые из событий форума. Плохие парни нарушают закон и хорошие парни нарушают закон Отдельного внимания заслуживает выступление ключевого спикера PHDays — Брюса Шнайера, мировой легенды криптографии. Г-н Шнайер рассказал о том, почему общество нуждается в индивидах, которые нарушают закон, и почему для общества важно время от времени действовать не по правилам. Знаменитый криптограф оправдал хакеров, которые служат прогрессу, катализируя социальные изменения. Революционеры из Anonymous Хейзем Эль Мир, ИБ-специалист из Туниса, рассказал о противостоянии тунисского Агентства компьютерной безопасности и хакерской группировки Anonymous. Она состоит главным образом из обычных пользователей, которые применяют простые в обращении утилиты, разработанные хакерами. Это свидетельствует о том, что взлом информационных систем сегодня стал доступен каждому, а не только профессионалам. Тем не менее, современные киберугрозы — это не только спам или мошенничество, но и более серьезные опасности, способные поставить под удар жизни многих людей. Об этом на пресс-конференции говорил Датук Мохд Нур Амин, председатель Международного многостороннего партнерства против киберугроз (IMPACT). Основная задача IMPACT — направить усилия всех стран на совместное противодействие распространению кибероружия. Не последнюю роль в борьбе играют «белые» хакеры. CTF Хакерские команды из 12 стран мира весь день и целую ночь выполняли различные задания по взлому и защите информации. По итогам первых суток в соревновании лидирует команда Leet More из Санкт-Петербурга, второе место занимают швейцарцы 0daysober, третье — у команды int3pids из Испании. PHDays Everywhere Максимально расширив географию форума, к мероприятию присоединились десятки хакспейсов — от Токио до Краснодара, от Индии до Туниса, — в которых собралась местная хакерская элита. Именно для посетителей хакспейсов предназначался конкурс «Взломать за 137 секунд», посвященный сетевым устройствам на базе оборудования Cisco. Победила команда DCUA из Украины, второе место заняли XBios из Индии. Второй день 31 мая, помимо большого количества мастер-классов и докладов, гостей форума ожидают выступление ключевого докладчика форума — г-на Нур Амина, демонстрация уязвимостей нулевого дня, а также финалы всех конкурсов и награждение победителей (призовой фонд Hack2own — около 700 тыс. руб., CTF — 300 тыс. руб.).
Сюрпризы PHDays
Сюрпризы PHDays Как мы уже писали, на форуме Positive Hack Days будут смоделированы ситуации, в которых киберпреступники похищают деньги из банкоматов и систем ДБО, а также захватывают управление над промышленными объектами, внедряясь в АСУ ТП (SCADA). Игровой взлом банкомата и АСУ ТП (SCADA) В условиях, максимально приближенных к реальным, эксперты Positive Technoliogies продемонстрируют вывод настоящих денег из банкомата и проникновение в SCADA. Увидеть, как это делается, можно будет несколько раз — во время цикла мастер-классов в течение двух дней проведения форума. Кроме того, специалисты продемонстрируют взлом банкомата в рамках конкурса «Большой ку$h» (после секции «Как защищают деньги?» 31 мая в 11:30). Расписание 30 мая 10:00—11:00 — мастер-класс по взлому банкомата 11:00—13:00 — мастер-класс по АСУ ТП (SCADA) 14:00—15:00 — мастер-класс по взлому банкомата 15:00—17:00 — мастер-класс по АСУ ТП (SCADA) 31 мая 12:00—13:00 — мастер-класс по взлому банкомата 13:00—15:00 — мастер-класс по АСУ ТП (SCADA) 16:00—18:00 — в зоне мастер-классов эксперты будут отвечать на вопросы о взломе банкомата и АСУ ТП (SCADA) Работы финалистов конкурса PHDays Young School опубликуют в журнале «БИТ»! С гордостью сообщаем, что работы всех финалистов конкурса PHDays Young School были одобрены для публикации в журнале «Безопасность информационных технологий». Отметим, что журнал входит в перечень ведущих рецензируемых научных журналов и изданий ВАК, в которых должны быть опубликованы основные научные результаты диссертаций на соискание ученых степеней доктора и кандидата наук. Этот факт в очередной раз подтверждает уровень качества заявок, отобранных для участия в финале, а также непредвзятость и высокий профессионализм рецензентов и программного комитета конкурса. Приглашаем участников форума посетить выступления молодых ученых и поддержать их в борьбе за главный приз конкурса! главный приз конкурса!
Проблемы безопасности ДБО, SCADA и телекома, демонстрация уязвимостей 0-day: Positive Technologies на PHDays
Для компании Positive Technologies форум PHDays — это не только дружеская встреча коллег и единомышленников, но и мероприятие, на котором мы демонстрируем свои самые значительные достижения. В 2012 году на PHDays мы представим собственные наработки в области информационной безопасности для банковского сектора, телекома, промышленных систем и веб-приложений. Но особое внимание мы уделим проектам в сфере образования: наболело!.. Учим учителей. We do need now education Если не заниматься подготовкой почвы, ничего хорошего на ней не вырастет — разве что бузина и чертополох. Нужно признать, что отечественный уровень вузовского образования в области информационной безопасности весьма далек от идеала. Анекдоты про школьных учителей информатики конкурируют с историями про Вовочку и Чапаева, а нам бы хотелось, чтобы подготовка специалистов по ИБ велась на качественно ином уровне. В рамках секции «Кадры. Инструкция по сборке» на PHDays мы представим новый проект Positive Education. Не будем раскрывать всех секретов, скажем лишь, что мы готовы использовать все возможные инструменты, чтобы наладить взаимодействие между экспертами-практиками и преподавателями. Тему поиска и «огранки» талантов поддержит еще одна наша образовательная инициатива — конкурс молодых ученых в области информационной безопасности PHDays Young School. С помощью форума Positive Hack Days мы хотим помочь молодым ученым проявить себя и сделать так, чтобы о результатах их исследований заговорили. Свежие идеи, новая энергия, разнообразие тем — вот наша цель. Банки. Как защищают деньги? После обсуждения проблем безопасности финансового сектора состоится конкурс «Большой куш» — кульминация банковской секции. Участникам будет предложено в режиме реального времени «взломать» систему ДБО вымышленного банка и вывести из нее «деньги». Система создана специально для конкурса, но содержит реальные уязвимости и ошибки, обнаруженные специалистами Positive Technologies в ходе тестов на проникновение и анализа выполнения требований стандартов PCI DSS и СТО БР. На втором этапе конкурса задача будет сложнее: участникам нужно будет взломать ту же самую систему ДБО — после того как над ее защитой поработают участники международных соревнований по защите информации PHDays CTF 2012, проводимых в рамках форума. В состав команд PHDays CTF 2012 входят специалисты из Германии, Нидерландов, России, США, Туниса, Франции и Японии; конкурс позволит выяснить, какая страна лучше других готова к защите своих банков. Как взломать телеком и остаться в живых — 2. Достучаться до биллинга Основной IT-ценностью телекоммуникационной компании является ее технологическая сеть. И зачастую при тестировании на проникновение «пробив» периметра является только первым этапом работ. Заказчик требует показать бизнес-риски, обосновать зависимость его бизнеса от найденных уязвимостей и проблем. Где хранятся ключи от технологической сети? Как завладеть биллингом, не создав проблем для основного бизнеса компании? Об этом, а также о новых показательных и забавных случаях тестирования на проникновения телекоммуникационных сетей расскажет в своем новом докладе Сергей Гордейчик, технический директор компании Positive Technologies. Дайджест всего самого интересного на PHDays 2012. Лучше один раз увидеть! В презентации, основанной на лучших материалах форума Positive Hack Days 2012, будут представлены новейшие достижения хакерской мысли и самые актуальные исследования в области ИБ. Модератор секции — Дмитрий Евтеев — собрал лучших экспертов, которые наглядно продемонстрируют, как взламываются системы RFID и SCADA, сколько времени нужно, чтобы извлечь пароли из мобильного телефона, и как через браузер администратора управлять корпоративной сетью. Дмитрий является одним из идеологов и создателей Positive Hack Days. В компании Positive Technologies он прошел путь от эксперта по информационной безопасности до руководителя отдела анализа защищенности; под его началом проводятся десятки комплексных тестирований на проникновение в информационные системы. Место за круглым столом секции «Лучше один раз увидеть!» займет Михаил Афанасьев (GLEG) с рассказом о безопасности АСУ ТП (SCADA) с точки зрения веб-вектора. Кроме того, Александр Зайцев (Positive Technologies) поведает о защищенности RFID-устройств, Алиса Шевченко (eSage Lab) объяснит, куда утекают онлайн-деньги при безмолвном согласии антивируса, Артем Чайкин (Positive Technologies) поднимет тему мобильных троянов. О прослушивании мобильной сети расскажет Сильвен Мюно, а эксперт Positive Technologies Максим Цой продемонстрирует, как завладеть виртуальной инфраструктурой. Веб-приложения: уязвимости 0-day Боевой десант исследовательского центра Positive Research выстрелит пачкой новых уязвимостей, связанных с Web. Свои доклады представят: Сергей Щербель, «Не все PHP одинаково полезны»; Алексей Москвин, «О безопасном использовании PHP wrappers»; Владимир Кочетков, «Взломать сайт на ASP.NET? Сложно, но можно!» От Anonymous до ERP Эксперты-практики Positive Technologies подготовили для PHDays 2012 целый ряд актуальных и неожиданных тем, начиная от уязвимостей в отделе кадров и заканчивая личным опытом противостояния атакам группы Anonymous на стороне государственных структур Туниса. Хейзем Эль Мир, «Как Тунис противостоял атакам Anonymous»; Евгения Шумахер, «Как узнать зарплату коллеги, не вставая с рабочего места, или Безопасность SAP HR№; Алексей Юдин, «ERP глазами злоумышленника». Но и это еще не все! Специально для PHDays были подготовлены практические демонстрации и hands-on labs, в ходе которых: Глеб Грицай, Роман Ильин и Юрий Гольцев покажут, как с помощью сетевого анализатора и генератора пакетов управлять атомной станцией и атаковать SCADA-системы; Алексей Юдин проведет глубокий практический тренинг по безопасности ERP-систем SAP R/3 и SAP NetWeaver; Александр Зайцев наглядно покажет, как устроена подсистема безопасности современных банкоматов. Ждем вас на Positive Hack Days 30 и 31 мая!
Программа форума PHD 2012
Программа форума PHD 2012 Опубликована программа форума Positive Hack Days 2012. Загрузить программу в формате PDF на русском или английском языке.
«Хакеры» против «Криминалистов» — 1:0 в пользу черных шляп?
«Хакеры» против «Криминалистов» — 1:0 в пользу черных шляп? Мы уже писали о том, что в данный момент проходят два конкурса, в которых разыгрываются пригласительные билеты на форум по информационной безопасности Positive Hack Days 2012 — «Взорвем городишко» и «Хакеры против форензики». Победители и призеры соревнований получат инвайты на PHDays (I место — 5 билетов, II место — 3 билета, III место — 2 билета). Ажиотаж вокруг форума велик: регистрация на мероприятие, которая проходила 14 мая, была закрыта по достижении максимального числа желающих уже через 8 минут. Значит, дополнительные билеты точно никому не помешают. Конкурс «Взорвем городишко» привлек большое количество участников, которые активно соревнуются уже на протяжении нескольких дней. Посмотреть текущий рейтинг можно на официальном сайте форума PHDays 2012. В соревновании «Хакеры против форензики», в ходе которого каждый желающий имеет возможность примерить как черную, так и белую шляпу, — ситуация несколько иная. На данный момент хакеры представили всего один образ ОС с внедренным трояном, и пока со стороны криминалистов не последовало ни одного верного ответа об основных функциях трояна и ключевых механизмах его жизнедеятельности. Хакеры, таким образом, пока лидируют, и если ситуация не изменится, то единственный смельчак, представивший зараженный образ, заслуженно получит все 10 разыгрываемых инвайтов. Конкурс продлится до 25 мая, и у каждого есть шанс стать обладателем приглашения на форум. Подробности участия в соревновании на стороне «криминалистов» подробно описаны на официальном сайте PHDays.