Хек в коробке

eto’o (nikitoz@glc.ru)

Хакер, номер #101, стр. 100

Отчет с конференции Hack In The Box 2007 в Дубае

Твоя школьная учительница по биологии всю жизнь считала, что хек – это такая рыба. На самом же деле хек – это специальное занятие, которым каждый день занимается несколько миллионов талантливых людей по всему миру. Бывает такое время, когда все эти люди слетаются в одно место и занимаются хеком друг с другом, демонстрируя свои навыки и последние идеи. Этой весной, с 2 по 5 апреля, хеком занимались в Дубае, на конференции HITB (Hack In The Box – Хек В Коробке).

О HITB

Вообще-то HITB – это очень молодая конференция, впервые проведенная в 2003 году в Куала Лумпуре малазийским хлопцем L33td@wg. За 4 года существования HITB стала одной из самых авторитетных deep knowledge конференций: на нее приезжали такие люди как Брюс Шнайер, Жоанна Рутковска и бла бла.

По своей сути HITB – это не массовая увеселительная хакерская тусовка, это Deep Knowledge Conference – конференция глубоких знаний, куда приезжают те люди, которым реально есть что показать и те, которые реально хотят послушать и поучиться. В качестве спикеров всегда приглашаются самые авторитетные специалисты, участие в конференции в качестве слушателя стоит не самых смешных денег и сама структура мероприятия рассчитана на сотню-две человек, не больше.

В качестве партнеров конференции уже несколько лет выступают такие компании как Microsoft, Hewlett Packard, Scanit и т.д. Причем это обстоятельно не мешает спикерам показывать уничижительные презентации о продуктах этих уважаемых компаний, прежде всего, понятное дело, о продуктах Microsoft. Не бывает такого, чтобы на HITB не был показал новый способ взлома осей мелкомягких. Однако к их чести они не тушуются и привозят собственных специалистов, которые горячо спорят с докладчиками, пытаясь выгородить родную систему :).

Впрочем, не буду забегать вперед.

Дубай

Вообще-то мы собирались лететь на HITB вдвоем со Степом, но у нашего любителя PC-зоны и DVD-диска случился обломос с бдительными бюрократическими институтами: из-за пяти судимостей и претензий по неуплаченным алиментам от трех бывших жен Степу не дали вовремя загран и оставили негодяя на родине. В итоге в Дубай я отправился в одиночку: пять часов лета на стареньком Ил 82, мимо Астрахани, вдоль всего Каспийского Моря, чуть-чуть над Ираном, - и я в месте, где Аравийская пустыня обрезается Персидским заливом, где скопилось 10% всех запасов нефти и нефтедолларов, соответственно.

Я прилетел вечером 3-го апреля и первым делом надо было отыскать пафосную 5* гостиницу Dubai Sheraton Creek, где с утра стартовала конференция HITB. Training-часть HITB, состоящая из 4 образовательных хакерских курсов, была проведена 2 и 3 числа. Сама же конференция стартовала 4 апреля.

Достаточно быстро сориентировавшись по убогой гостиничной карте, я отыскал этот отель и весь вечер заворожено гулял по теплым, влажным и поросшим пальмами, улицам Дубая. Это на удивление приятный город, где очень много реально богатых людей. Местное население очень четко следует своему культурному наследию: женщины ходят в платках (это не мешает каждой второй водить SLK 500), а мужики ходят в белых одеждах и кожаных шлепанцах.

Очень много в Эмиратах иностранцев: как турья, так и работающих людей. Узнать иностранцев очень просто: они нормально одеты, в обычную одежду.

Работать в Эмираты приезжают из Таиланда, Индии, Индонезии и прочих стран юго-восточной Азии.

Конференция

Проснувшись с утра достаточно рано, я отправился уже по знакомому маршруту к Sheraton Creek на первый день конференции. У столика регистрации милая малазийская девушка Amy очень обрадовалась логотипу на моей визитке: “Official media partner :). That’s cool, I saw this logo” и позвала L33td@wg’а, организатора конференции, с которым я до этого общался только по мылу. Литдог оказался очень веселым парнем, который очень переживал о конференции: она начиналась уже скоро и обменявшись несколькими фразами он проводил меня в зал, где уже начал скапливаться народ.

Внутри F-Secure

Конференция стартовала очень мощной и яркой презентацией финна Микко Хайпонена на тему электронной преступности. Микко – это достаточно известный чувак, который работает руководителем отдела исследований в F-Secure, конторе, которая занимается вопросами электронной безопасности и предоставляет кучу сервисов в этом направлении: начиная с security-консалтинга заканчивая собственным антивирусом и файрволом.

Речь финна была зомбирующе хороша: он говорил прямыми терминами и зрелищно показывал интересные вещи.

Начал с небольшого пиара своей компании: показал внутренности системы, с помощью которой они исследуют вирусы. Скрытый от Интернета web-интерфейс системы (Микко подключился к корпоративной VPN) показывает всю статистику и предоставляет доступ к описаниям многих тысяч вредоносных бинарников. По каждой заразе строится подробный репорт: какие ключи в реестре создает, какие руткит технологии использует, какие хуки ставит, в какие процессы инжектится, какие строчки ищет и так далее. Полное описание всей функциональности.

Для примера финн открыл описание довольно стандартного банковского трояна, одного из тех, которые получили очень широкое распространение сейчас. Прячется в системе с помощью хитрых руткит-технологий, перехватывает формы, инжектится в iexplorer.exe и explorer.exe, ищет строки с доменами популярных банков, e-gold, webmoney и так далее. По всей видимости, внутри реализован процесс автозалива: человек заходит на свой аккаунт и после пройденной авторизации тайком совершается транзакция по переводу части денег на хакерский счет. В общем, достаточно стандартный современный троян, написанный, наверное, где-то на территории СНГ.

Лаборатория F-Secure получает троянов из трех источников:

1. Из спама: в виде аттачей и присылаемых ссылок. С помощью рассылок сейчас распространяется очень большое число вирусов, поэтому спам вносит значимый вклад в пополнение баз F-Secure.
2. Из honeypot-сетей, главным образом под Windows, конечно: сети непропатченных машин ходят по самым разным сайтам в поисках тех, на которых им с помощью сплойтов загрузят трояна.
3. От пользователей софта. Юзеры посылают найденные вирусы в лабораторию на изучение.

Для анализа вирусов спецы F-Secure используют специальную технологию, которая анализирует все изменения, которые осуществляет зараза в системе. Делается snapshot системы до установки трояна, и после нее. Разница фиксируется в виде XML-документа, который может быть красиво отображен с помощью специальной программы. Она строит диаграммы со всеми ресурсами системы, выделяя красным те, которые добавились или изменились после установки троя. В целом выглядит неплохо :).

Who are they?

Вторая часть презентации была еще интересней. Микко рассуждал о том, кто такие хакеры, и каким же образом они получают баблос с вирусов и троянов.

Он написал следующий список:

• Кража банковских аккаунтов
• Кража личной информации: e-mail, номера социального страхования и т.д.
• Кража номеров CC
• Кража аккаунтов электронных платежных систем
• DDOS, спам
• Кража акков для покера, букмекерских контор и т.д.

Рассуждая о том, кто же такие хакеры и где они живут, он показал забавную схему.

На карте мира по очереди у каждого континента появлялись подписи с тем, кто, где и чем занимается. По его статистике, в штатах больше всего занимаются спамом и фишингом, из южной Америки исходит угроза троянов, а плашечка со сплойтами и направленными атаками стоит напротив Китая и Азии. Микко выдержал паузу и дал присмотреться к схеме: явно несуразно смотрелась пустота на территории России.

После этого он нажал пробел на своем ноутбуке и показалась самая большая и грозная плашка: из России, Белоруссии, Украины и всех стран СНГ исходят все возможные угрозы.

Дальнейшие рассуждения финна протекали в следующем ключе.

Если ты крутой талантливый программист и родился в штатах или Европе – будь уверен: хорошая работа и куча лавэ. А если родился в Сибири? Будь уверен: путь к лавэ лежит только через электронную преступность. Пиши трояна и поднимай бабло.

В выступлении наступил кульминационный момент, который Микко грамотно развил. Он рассказал об одном небольшом его расследовании. Чуть побольше, чем год назад, чуваки из F-Secure увидели в сети первый WMF-эксплоит, который был установлен на нескольких дедиках и загружал троев. Они начали его изучать и сразу же выложили ссылку на сплойт на своем сайте.

В теле сплойта они, после долгого ресеча, нашли странную строку: «О600КО 078». Мудрый финн подумал, и решил, что она тут не просто так. Случайно зайдя на один российский сайт по безопасности, он нашел коммент под выложенным сплойтом, содержащий нецензурную брань чувака с ником sp0raw, сводящуюся к следующему: «суки, слили мазу :(». Зайдя на сайт www.sporaw.ru и найдя ЖЖ Спорава, Микко выяснил о нем много интересного: что ему 21 год, что живет он в Питере и что водит Mersedes S600. “It’s a good car for a 21-old child” – сказал Финн и открыл пост, где Спорав писал о небольшой аварии с его участием. На одной из фотографий отчетливо виден номер его машины: О600КО 78 – та самая строка из сплойта.

По-русски финн читать толком не умеет, поэтому не нашел еще один интересный пост Спорава:

«В распространении wmf-эксплоита виноваты АНТИВИРУСНИКИ F-Secure. Еще неделю назад этот эксплоит стоял на нескольких хостах, и спокойно выполнял свою работу. Тихо, мирно, никому не мешая. Однако после того, как F-Secure опубликовал в своем weblog'е линк на заражение, этот эксплоит тут же украли и выложили на всех security-порталах. И теперь только ленивый не ставит его на свой хост. Вопрос: кто же добился такой ситуации, что при unpatched bug, эксплоит сейчас на "каждом углу" в интернете?»

Позже, когда я болтал с Микко, он очень интересовался у меня о Sp0raw – был явно впечатлен возможностями крякера из Санкт-Петербурга. Действительно, талантливый малый.

Продолжение

Структура конференции была такова, что одновременно показывались сразу две презентации, и необходимо было выбирать, что интересней. В первый день я составил для себя такое расписание: Digging into SNMP 2007, Robbing Banks: Easier Done Than Said, Vboot Kit: Compromising Windows Vista Security и Ravage Unleashed: The Tactical VoIP Toolkit.

Наибольший интерес для меня представляли вторая и третья презентации о взломе банков и Висты, поскольку с SNMP я толком не работал, да и презентация носила достаточно специальный формат.

Выступление же о взломе Висты однозначно было одним из самых главных событий. Спикерами были Индонезийские братья Випин Кумар и Нитин Кумар. Забавные ребята, которые на потрясающем английском (смотри и слушай видео на DVD) предложили интересную концепцию по взлому Висты. В качестве пути для повышения полномочий в системе они предложили создать собственный хакерский загрузочный сектор и с его помощью выполнить код на уровне ядра. Разработка получила название Vbootkit и были реализована в виде загрузочного iso-образа диска, при загрузке с которого любой пользователь мог выполнять код на уровне ядра. Концепт, понятное дело, локальный, но очень лихо обделал все встроенные в Vista механизмы защиты.

На нашем диске, кстати, лежит презентация с полными сорцами, - можешь поупражняться :).

Очень забавная вещь произошла во время время выступления: один прилично одетый молодой человек то и дело нервно задавал вопросы, не унимаясь в технических деталях и что-то все время недовольно комментировал. К концу выступления Випин спросил чувака прямо: «Are you from Microsoft»? Оказалось парень действительно из Майкрософта. Беднягу послали выгораживать Висту из трудной ситуации :).

Что касается взлома банков, то лично я для себя не много нового из этой презентации со смачным названием «Ограбить банк: проще сделать, чем сказать» узнал. Fabrice Marie рассказал об общих проблемах банковских технологий. Все атаки он разделил на три части: атаки банкоматов, сетевые атаки и прямые атаки банковских приложений. Проблемы банковской безопасности назвал такие:

• Магнитные банковские карты – устаревшая и несовершенная технология. Все карты могут быть легко скопированы.
• Банкоматы могут быть «протроянены» с помощью скимерского оборудования
• Подключение банкоматов к сети может быть взломано и произойдет утечка информации. Как правило подключение банкоматов на физическом уровне не безопасно.
• Нередко все ATM банка используют один и тот же код для аутентификации в процессинговом центре банка

В конце презентации Фабрис привел несколько забавных случаев из его практики.

В Бангкоке он видел целую сеть банкоматов, у которых прямо на виду лежал X25 модем, который можно было отключить, подрубить к ноутбуку и прослушивать трафик.

В славном городе Тайпэй был банк, банкоматы которого страдали другой, даже более забавной ошибкой. Запросив у банкомата, к примеру, $100 пользователь мог забрать только 4 или пяти бумажек: $80. Банкомат ждат минуту и «съедал» деньги назад, попутно отменяя транзакцию. В итоге юзер получал $80 налом, а счет его не изменялся :).

Парень из Net-Square

Из второго дня мне больше всего запомнилась презентация крутого дядьки из Net-square Шрирая Шаха о взломе WEB-сервисов и AJAX-движков. Он разложил все по полочкам и привел занимательную статистику:

• CSS-баги присутствуют на 14.5% всех сайтов
• SQL-инъекции можно реализовтаь на 10% ресурсов
• Столько же подвержено переполнениям буферов
• 3% некорректно работают с файлами можно перемещаться и просматривать файловую систему

Отдельное место в презентации занял Ajaxer, тулза для ajax-fingerprinting’а. С помощью достаточно примитивных операций она определяет, какой движок используется.

Catch the flag

Параллельно конференции, в соседнем помещении, проходили хакерские соревнования Capture The flag. В этом году участвовало три команды: полицейские Дубая (TEAM ELEETE), американские военные (ARMY STRONG) и команда хакеров из Болгарии (NDTEAM). Все задания были направлены на реверс инжениринг и взлом бинаников под виндой и Unix. Особенно тут рассказывать нечего, кроме того, что все участники облажались: только Болгары смогли пройти задание нулевой сложности. Амеры и Дубайские полицейские оказались, как сказал L33td@wg, - «lame, realy lame» :). А призовой фонд в 6 тысяч долларов переносится в Малайзиую: на осенний HITB, который будет в сентябре. Смотри, можешь слетать поднять бабла :). Амеры-то видишь, какие ламеры отборные.

DVD

На нашем диске ты найдешь все материалы с HITB 2007: 16 злободневных security-презентаций.

VIDEO

На диске лежит видеоотчет с конференции, который я снял для тебя на свою камеру :).

WWW

• www.hitb.org – сайт конференции. Там можно найти фотографии с конфы, видео с предыдущих мероприятий, а так же все материалы и информацию о новых ивентах.
• sporaw.livejournal.com – блог sp0raw, где есть следы недопонимания между ним и компанией F-Secure.