10 skumleste hackangrep fra svart hatt 2014

Black Hat i år var to intense dager med orienteringer, da sikkerhetsforskere demonstrerte hvor enkelt det var å hacke seg inn i biler, termostater, satellittkommunikasjon og hotell. Samtidig var det nok av samtaler om hvordan man kan øke sikkerheten. De ti politiske forslagene fra Dan Geers hovedtale fokuserte på å gjøre verden til et bedre sted ved å forbedre vår tilnærming til informasjonssikkerhet. Blant problemene den tok opp var dagens sårbarhetsarme, foreldet programvare og behovet for å behandle informasjonssikkerhet som et yrke. Vi gikk alle bort med hodene våre svømmet med nye fakta, ideer og - fremfor alt - bekymringer. Så veldig mange bekymringer.

En av tingene du alltid kan stole på på Black Hat er å høre om sårbarheter i ting du ikke en gang trodde kunne være under angrep. Det er betryggende å vite at disse demonstrasjonene først og fremst er akademiske, og at disse spørsmålene for tiden ikke blir utnyttet i naturen. Men på samme måte er det skremmende å innse at hvis Black Hat-presentatørene har funnet feilene, hvem som skal si at noen andre med langt mer ondsinnede intensjoner (og muligens bedre finansiering) ikke har det - eller ikke?

Tenk på dette: vi hørte om hacking av minibanker på Black Hat for tre år siden, og kriminelle har endelig begynt å plyndre minibanker i Europa akkurat i år. Det var minst tre økter i år om hvordan salgsstedsterminaler for chip-og-PIN-kort kan hackes. Hvis vi ikke lytter og sikrer betalingsinfrastrukturen vår om tre år, vil vi se et nytt brudd på mållignende proporsjoner via chip-og-PIN-kort? Det er en virkelig skremmende tanke.

Black Hat 2014 kan være over, men vi vil snakke om de sjokkerende tingene vi så der i ganske lang tid. Forhåpentligvis blir det som erfaringer som førte til implementerte løsninger, og ikke som tapte muligheter som førte til forferdelige forbrytelser.

Her er sikkerhetsvaktens ta på de tingene vi så på Black Hat som vil holde oss oppe om natten.

1 1. Internet of Fail

Det er ganske enkelt å forsvare datamaskinen eller telefonen; bare følg noen tips for sunn fornuft og installer sikkerhetsprogramvare, så er du god til å gå. Men hva med tingenes internett? I økt etter økt viste forskere at kritiske enheter som var koblet til Internett var lett tilgjengelige. Teamet som hacket den Nest smarte termostaten fikk sitt angrep ned til 15 sekunder, og de er nå harde i gang med et luftangrep. Billy Rios fant standardpassord som er hardkodet inn i skannemaskinene som var mandat til bruk ved TSA-sjekkpunkter over hele landet. Vi er fremdeles overrasket av 15-sekunders hacket.

• 2 2. Hacking av flylinjer, skip og mer!

  Når det gjelder bakdører, er enhetene som skip, fly, journalister og (kanskje) militæret er avhengige av for å kommunisere heller ikke så sikre som vi trodde. IOActives Ruben Santamarta demonstrerte at mange av disse systemene har bakdører, tilsynelatende for vedlikehold eller passordgjenoppretting. Selv om noen av bakdørene visstnok var sikret, var han i stand til å omgå sikringstiltakene. Angrepet som traff nærmest hjemme var, overraskende, Santamartas påstand om at han kunne hacke fly ved hjelp av inflight Wi-Fi. Han var tydelig på at dette ikke ville la ham "krasje fly", men han påpekte også at kritisk kommunikasjon går gjennom det samme systemet. I praten sin hacket han en nautisk nødfyr for å vise en videospilleautomat i stedet for en SOS. Tenk på den samme typen hack på jumbojet, og du får ideen om hvor bekymringsfull dette kan være.



3 3. Stjele passord med Google Glass, smartklokker, smarttelefoner og videokameraer

Det er mange måter å stjele et passord på, men med en ny tilnærming kan skurkene (eller et myndighetsorgan) skille inn tastetrykkene dine uten å se skjermen eller installere skadelig programvare. En programleder på Black Hat viste frem sitt nye system som automatisk leser passord med 90 prosent nøyaktighet. Det fungerer til og med når målet er på gateplan og angriperen fire etasjer opp og over gaten. Metoden fungerer best med digitale videokameraer, men teamet fant ut at smarttelefoner, smartklokker og til og med Google Glass kunne brukes til å ta brukbar video på kort rekkevidde. Glasshull, ja!

Bilde via Flickr-bruker Ted Eytan



4 4. Glem MasterKey, Meet Fake ID

Jeff Forristal snudde hodet i fjor da han avduket den såkalte MasterKey-sårbarheten som kunne la ondsinnede apper gå fra seg som legitime. I år kom han tilbake med Fake ID, som utnytter de grunnleggende feilene i Androids sikkerhetsarkitektur. Spesifikt hvordan apper signerer sertifikater og hvordan Android behandler disse sertifikatene. Det praktiske resultatet er at med en ondsinnet app som ikke krever spesielle tillatelser, kunne Forristal injisere ondsinnet kode i fem lovlige apper på en telefon. Derfra hadde han dyp tilgang og innsikt i hva den infiserte telefonen var opp til.

Bilde via Flickr-bruker JD Hancock



5 5. En ond USB kan overta PCen din

Du har hørt at USB-stasjoner kan være farlige hvis du ikke deaktiverer AutoPlay. Den siste USB-baserte trusselen er langt verre. Ved å hacking USB-stasjons firmware, klarte et par forskere et bredt utvalg av hacks på Windows og Linux-maskiner, inkludert ekvivalent til et boot sektor-virus. Deres gimmicked USB-stasjon emulerte et USB-tastatur og befalte ett testsystem for å laste ned skadelig programvare. Det tilbød et falskt Ethernet-knutepunkt i en annen test, så da offeret besøkte PayPal i nettleseren, gikk det faktisk til et passord-stjele PayPal-etterligningssted. Dette var ingen ren teoretisk øvelse; de demonstrerte disse og andre hacks på scenen. Vi vil aldri se på en USB-enhet på samme måte igjen!

Bilde via Flickr-bruker Windell Oskay



6 6. Har den en radio? La oss hacke det!

Radio kan virke som forældet teknologi i internettalderen, men det er fremdeles den beste måten for enheter som babymonitorer, hjemmesikkerhetssystemer og eksterne bilstartere å overføre informasjon trådløst. Og det gjør det til et hovedmål for hackere. I en snakk viste Silvio Cesare hvordan han beseiret hver av disse igjen ved hjelp av programvaredefinert radio og en liten smule hobbyist. Hans var ikke den eneste snakken på programvaredefinert radio. Balint Seeber fortalte en mengde hvordan han var i stand til å lytte på radarskåler i lufttrafikken og spore gjenstander nær bakkenivå. Ikke fullt så skummelt, men veldig, veldig kult.

Bilde via Flickr-bruker Martin Fisch



7 7. Vi kan ikke stoppe Malware fra myndighetene

Du har hørt om den regjeringssponserte Stuxnet-ormen som saboterte Irans atomprogram, de kinesiske generalene saksøkt av regjeringen vår for hacking og mer. F-Secures hovedforskningsdirektør Mikko Hypponen advarte om at regjeringssponsert malware har eksistert i lengre tid enn du er klar over og bare vil øke med tiden. Med ressursene til en nasjonalstat bak seg, kan disse angrepene være nesten umulige å blokkere. For ikke å tro at vår egen regjering ikke ville bøye seg så lavt, bla han gjennom en samling stillinger av militære entreprenører som spesielt lette etter skadelig programvare og utnytter forfattere.

Bilde via Flcikr-bruker Kevin Burkett



8 8. Én sveip kredittkortlesere

Etter detaljhandelsbruddene 2013 og 2014, snakker alle om den nåværende utrullingen av chip-og-PIN-kort. Det viser seg at med mindre vi endrer hvordan betalingsbehandlingen fungerer, handler vi bare ett problem med et annet. Vi så også hvordan mobile salgssteder som håndterer chip-og-PIN-kort kan bli kompromittert ved bruk av ondsinnet laget kort. Angripere kan bare sveipe et kort inn i leseren og laste en trojan som høster PIN-koder på leseren selv. Et annet useriøst kort kopierer deretter filen som inneholder den innhøstede informasjonen. Det andre kortet kan til og med slette trojaneren, og forhandleren er kanskje aldri klar over bruddet! Dette er nok til å nesten få oss til å ville tilbake til et kontantbasert samfunn.

Bilde via Flickr-bruker Sean MacEntee



9 9. Nettverksstasjonen din spionerer på deg

Vi har den siste tiden fokusert mye oppmerksomhet på hjemmerutere og hvordan angripere kompromitterer dem. Det viser seg at nettverkstilkoblede lagringsenheter er like problematiske, om ikke mer, ifølge Jacob Holcomb fra Independent Security Evaluators. Han så på NAS-enheter fra 10 produsenter - Asustor, TRENDnet, QNAP, Seagate, Netgear, D-Link, Lenovo, Buffalo, Western Digital og ZyXEL - og fant sårbarheter i dem alle. Problemene er vanlige feil, som for eksempel injeksjon av kommandoer, forfalskning på tvers av nettstedet, overløp av buffer, autentisering av forbikjøringer og feil, informasjonsavdekking, kontoer bak døren, dårlig sesjonsadministrasjon og katalogoverføring. Ved å kombinere noen av disse problemene, kan angripere få full kontroll over enhetene. Hva er det på NAS-en din?

Bilde via Flickr-bruker wonderferret



10 10. Angrep på medisinske enheter: Et spørsmål om liv og død

Ingen i informasjonssikkerhetsbransjen lo av nyheten om at tidligere visepresident Dick Cheneys leger var bekymret for at pacemakeren hans skulle bli hacket. Medisinsk utstyrsbord på Black Hat så på hvordan man kan balansere pasientens helse med sikkerhet. Det siste vi ønsker er sikkerhet som bremser helsevesenet, der sekunder kan bety forskjellen mellom liv og død, bemerket moderator Jay Radcliffe. Den nøkterne erkjennelsen av at vi ikke bare kan bruke normal sikkerhetspraksis for medisinsk utstyr fulgte oss til DEF CON, der forskere fra SecMedic diskuterte et prosjekt som undersøkte sårbarheter i alle slags enheter, inkludert hjertestartere . Den skumleste delen? Mange av disse feilene ble funnet i løpet av en time ved hjelp av åpen kildekodeverktøy. Nå vil du virkelig ikke dra til sykehus, ikke sant?

Via Flickr-bruker Phalinn Ooi