• Компания D-Link по ошибке опубликовала секретные ключи для подписи прошивок



      Производитель маршрутизаторов и другого оборудования D-Link случайно опубликовал секретные ключи шифрования сертификатов для подписи программного обеспечения, в том числе прошивок устройств.

      Пользователь под ником bartvbl приобрел камеру видеонаблюдения D-Link DCS-5020L и скачал обновление прошивки. Данный софт выпускается под свободной лицензией GPL, что дает возможность изучения исходного кода. Пользователь изучил код прошивки для своего устройства и обнаружил в нем четыре «зашитых» ключа шифрования для создания подписи. Некоторые файлы прошивки содержали сами ключи для подписи кода, а в некоторых даже были скрипты с необходимыми командами и паролями.
      Читать дальше →
      • +27
      • 27.6k
      • 8
    • Как мы проводили конкурс hardware hack на Chaos Constructions 2015

        Всем привет!

        На этих выходных в Санкт-Петербурге прошёл очередной фестиваль Chaos Constructions, на котором собрались фанаты, программисты и разработчики, чтобы посоревноваться в мастерстве создания demo.

        О том, что такое demo, можно почитать на сайте организаторов. А если вкратце, то участникам даётся задача сделать что-то впечатляющее на spectrum'е или аналогичном ретро-железе, и при этом ставятся ограничения на размер программ и длительность демки. Например, меня очень впечатлила вот эта на Spectrum'е, которая уместилась всего в 256 байт! Да, демка выводится на большой экран с отличным звуком, поэтому зрелище впечатляет!

        Наша компания выступила спонсором фестиваля, а мы с коллегами организовали и провели конкурс hardware hack, целью которого стало определить архитекутуру процессора, имея минимум знаний о ней и скромный набор инструментов.



        О том, как проходил конкурс, как и что мы к нему готовили и будет моя статья. Кому интересно, прошу под кат.
        Читать дальше →
        • +14
        • 6.4k
        • 6
      • Новый курс «Анализ безопасности веб-проектов» на Stepic



          Вниманию всех начинающих разработчиков, желающих создавать не только красивые и интересные, но и защищённые сервисы: 10 сентября на Stepic откроется новый курс по программе Технопарка Mail.Ru «Анализ безопасности веб-проектов». Преподаватель Технопарка Ярослав Рабоволюк расскажет о том, как злоумышленники подходят ко взлому сервисов и как не дать им этого сделать. Также студенты под чутким руководством преподавателя сами попробуют свои силы во взломе сервера. Чтобы поймать преступника, нужно думать как преступник. В общем, скучно не будет!
          Читать дальше →
        • Анализируем необычные прошивки: разбор конкурса Best Reverser



            Когда мы придумывали задание для конкурса по обратной разработке, который состоялся на форуме PHDays V, то хотели отразить реальные проблемы, с которыми сталкиваются специалисты по RE, но при этом старались избежать шаблонных решений.

            Как обычно выглядят задачки на реверс? Есть исполняемый файл под Windows (или Linux, или MacOS, или другую популярную операционную систему), его можно запускать, смотреть под отладчиком, крутить как угодно в виртуальных средах. Формат файла — известный. Система команд процессора — x86, AMD64 или ARM.

            Библиотечные функции и системные вызовы — задокументированы. Доступ к оборудованию — только через механизмы операционной системы.

            С использованием существующих инструментов (например, IDAPro с HеxRays и всеми сопутствующими возможностями) анализ подобных приложений становится практически детской забавой: все получается просто и быстро.
            Читать дальше →
            • +18
            • 14.4k
            • 2
          • No cON Name CTF 2014 Final

              С 30 октября по 1 ноября в Барселоне проходила международная конференция по информационной безопасности No cON Name 2014, в рамках которой уже второй раз проводился финал соревнований «Capture The Flag». Команда университета Иннополис BalalaikaCr3w приняла участие в этом соревновании и заняла первое место. Под катом наш рассказ о том, как это было, несколько примеров заданий и благодарности тем, кто нам в этом помог.


              CTF-зона во время финала
              Читать дальше →
              • +19
              • 10.8k
              • 8
            • Как была взломана локальная версия сайта Intuit.Ru

              image

              Connection establishment…


              Просматривая результаты (довольно таки неутешительные) очередного экзамена на INTUIT-e, я в сотый раз задался вопросом «Ну почему опять этот вопрос не верно?! Ведь на 100% был уверен в ответе…». Проявив толику малодушия, я решил поискать правильные ответы на тесты и был сильно удивлен их отсутствием в открытом доступе. Кое что безусловно было, но это в основном была замануха вида «10 случайных ответов бесплатно, а за остальное будьте добры перечислить нам денежку». Деньги там не большие, но платить за ответы не хотелось и я решил пойти другим путем.
              Читать дальше →
            • Уязвимость 19-летней давности позволяет захватить компьютер через Internet Explorer

                Исследователи из IBM X-Force обнаружили опасную уязвимость CVE-2014-6332, которой, по их заявлениям, подвержены все версии Microsoft Windows, начиная с Windows 95. Основное потенциально уязвимое приложение с этим багом — Internet Explorer, начиная от версии 3.0. Уязвимость позволяет получать несанкционированный доступ к пользовательским данным или удалённо запускать вредоносные программы на атакованном компьютере. При этом атакующий может обойти такие защитные механизмы, как «песочница» Enhanced Protected Mode, используемая в IE 11, и система безопасности Enhanced Mitigation Experience Toolkit (EMET).

                image

                Уязвимость появилась в коде приложений Windows ещё в 1996 году с выходом IE 3.0, где стал использоваться Visual Basic Script (VBScript). Атаки на основе этой уязвимости относятся к классу «манипуляции данными», то есть являются более редкой и более опасной техникой, чем «переполнение буфера» и другие классические способы взлома. Уязвимость связана с некорректной отработкой процедуры изменения размера массивов SafeArray, что позволяет незаметно сбивать адресацию и получать доступ к данным по любому адресу, а не только в рамках заданного массива.
                Читать дальше →
              • Установка, настройка и использование сканера уязвимостей сервера rkhunter

                • Tutorial
                На хабре не раз было упомянуто приложение под названием rkhunter. Хотелось бы остановиться на нем по подробней.

                Rkhunter — это сканер различных видов локальных (потенциальных) уязвимостей (бэкдоров, эксплоитов и руткитов) со своей регулярно обновляемой базой.
                Он написан на bash и perl, поэтому будет работать под любой серверной ОС на базе unix без каких-либо проблем.



                Читать дальше →
              • Современные АСУ ТП

                Здравствуйте!

                Прочитав интересную статью, мне захотелось поделиться своими знаниями и соображениями по поводу современных АСУ ТП. Описанное ниже относиться в большей степени к продукции таких фирм как Yokogawa, Siemens и Honeywell. Сразу хочу сказать, что у каждой из систем есть свои особенности, преимущества и недостатки, так что я описываю лишь общие характеристики современных АСУ ТП.
                Современные автоматизированные системы управления технологическими процессами (АСУ ТП), применяемые на опасных производствах и предприятиях (химическая, нефтехимическая промышленности, ГЭС, ТЭС, АЭС и т.д.), как правило, состоят из распределенной системы управления (РСУ) и системы противоаварийной автоматической защиты (ПАЗ).

                Читать дальше →
              • SCADA под прицелом: Анализ защищенности АСУ ТП

                  Червь Stuxnet, обнаруженный на атомной станции в Бушере, наделал много шума. «Кто стоял за всем этим?» — пожалуй, на этот вопрос не ответят еще несколько десятилетий. Объекты критически важных инфраструктур представляют сегодня большой интерес для многих: начиная с конкурирующих корпораций и заканчивая спецслужбами враждующих государств.image
                  Читать дальше →
                • Криптографические решения. От криптопровайдеров до браузерных плагинов

                    Производители средств криптографической защиты информации (СКЗИ) предлагают различные механизмы для интеграции криптосредств в информационные системы. Существуют решения, ориентированные на поддержку систем с Web-интерфейсом, мобильных и десктопных приложений, серверных компонентов. СКЗИ интегрируются в приложения Microsoft и в продукты Open Source, обеспечивают поддержку различных прикладных протоколов и форматов электронной подписи.

                    С учетом растущего количества проектов с применением ЭЦП и появления массовых проектов для физических лиц, разработчикам подобных проектов требуется хорошо ориентироваться в предлагаемых производителями решениях по ЭЦП для того, чтобы сделать систему удобной в эксплуатации и недорогой в плане техподдержки. Таким образом, если еще лет 5 назад главным фактором выбора криптосредства являлось его полное соответствие требованиям регуляторов, то при сегодняшнем разнообразии важными критериями могут выступать охват поддерживаемых платформ, возможность интеграции с браузером, поддержка мобильных пользователей, возможность установки без прав системного администратора и т.п.

                    В данном материале сделана попытка классифицировать средства криптографической защиты информации.
                    • Рассмотрены в основном СКЗИ, использующиеся на клиентских местах для защиты клиент-серверных соединений по протоколу TLS, для организации ЭЦП, шифрования передаваемых данных;
                    • Не рассматриваются СКЗИ, применяемые для создания VPN и шифрования файловой системы, хранимых данных, а так же УЦ;
                    • Отдельно выделены аппаратные криптографические устройства.

                    Классификация построена на основе:
                    • технологий интеграции (CryptoAPI, Active-X, NPAPI и др.), которые поддерживают СКЗИ для встраивания в приложения и прикладные системы;
                    • интерфейсов, которые предоставляют СКЗИ для встраивания в приложения и прикладные системы.

                    Кроме того, показаны способы интеграции СКЗИ с Web-приложениями и возможность его использования на мобильных платформах

                    Общая схема классификации приведена в таблице:
                    Криптопровайдеры Нативные библиотеки (openssl-style, PKCS#11, NSS, собственные интерфейсы) Локальные прокси Браузерные плагины Облачная подпись Браузеры с российской криптографией
                    Почтовые клиенты с российской криптографией Российская криптография в фреймворках, платформах, интерпретаторах Настольные криптографические приложения Криптография в BIOS UEFI Сервис-провайдеры ЭЦП Эмуляторы доверенной среды
                    Аппаратные средства

                    В первой статье рассмотрим решения, начиная с криптопровайдеров по браузерные плагины включительно. В последующих статьях будут рассмотрены остальные средства.

                    Читать дальше →
                  • Небольшой рассказ о BlackHat Europe 2014



                      На прошлой неделе завершилось одно из знаковых ежегодных мероприятий в мире практической информационной безопасности — BlackHat Europe 2014. О том, как оно проходило, чем запомнилось, и пара фото — под катом.
                      Читать дальше →
                      • +15
                      • 10.5k
                      • 3
                    • DDoS любого сайта с использованием заметок Facebook

                        Полтора месяца назад, chr13 обнаружил способ произвести DDoS любого сайта с помощью Google Spreadsheet, а теперь же он применил такой способ в Facebook Notes. И он сработал!

                        Способ эксплуатации совершенно такой же, как и в Google Spreadsheet:
                        1. Сделайте список «уникальных» «картинок»
                          <img src=http://targetname/file?r=1></img>
                          <img src=http://targetname/file?r=2></img>
                          ...
                          <img src=http://targetname/file?r=1000></img>
                        2. Создайте заметку через m.facebook.com. Сервис обрежет заметку после какой-то фиксированной длины
                        3. Создайте несколько таких заметок под одним или несколькими пользователями. Каждая заметка будет делать 1000+ HTTP-запросов
                        4. Откройте все заметки одновременно. Указанный сервер получит гору HTTP-трафика. Тысячи запросов уйдут на сервер в течение пары секунд.
                        Читать дальше →
                      • Новая 0day уязвимость в Windows эксплуатируется in-the-wild

                          Специалисты компании iSIGHT Partners сегодня сообщили о новой уязвимости CVE-2014-4114 в Windows 7+, которая была обнаружена ими месяцем ранее. По информации аналитиков компании уязвимость эксплуатировалась киберпреступной группой, следы которой ведут в Россию. Эксплуатация уязвимости возможна с использованием специальным образом сформированного документа MS PowerPoint, который содержит в себе встраиваемые объекты OLE. В компоненте подсистемы Windows, который отвечает за обработку встраиваемых объектов, содержится уязвимость, позволяющая загрузить .INF-файл с удаленного сервера и установить его в системе.



                          Эксплойт представляет из себя документ PowerPoint, который содержит в себе два объекта oleObject1.bin и oleObject2.bin. Каждый из этих файлов содержит ссылку на внешний IP-адрес. Один из них используется для загрузки .INF-файла, который будет использован для установки вредоносной программы, а второй содержит ссылку на саму вредоносную программу — дроппер BlackEnergy Lite (Win32/Rootkit.BlackEnergy). Этот дроппер будет установлен в систему с помощью загруженного .INF-файла. Мы недавно писали про вредоносную кампанию по распространению BlackEnergy Lite одной из хакерских групп, корни которой также уходят в Россию. В обоих случаях целями становятся страны НАТО.

                          Читать дальше →
                        • Приглашаем на семинар «Практика выбора решений для защиты от угроз нулевого дня и целевых атак»



                            В среду, 15 октября, в московском офисе Mail.Ru Group пройдёт семинар для специалистов всех уровней в области информационной безопасности. Общая тема семинара «Практика выбора решений для защиты от угроз нулевого дня и целевых атак», организатором проведения является Ассоциация RISSPA при поддержке Mail.Ru Group. На семинаре будут представлены доклады отраслевых экспертов и поставщиков решений в области информационной безопасности.
                            Читать дальше →
                            • +12
                            • 4.5k
                            • 1
                          • Скрестить ужа с ежом. Найти все-все 0-day. Захватить Вселенную!11

                              Краткое содержание


                              1. Несовместимость DAST / SAST.
                              2. IAST: Buzzword и реальность.
                              3. Третий путь.

                              Как мы отмечали ранее, у систем поиска уязвимостей SAST и DAST есть как преимущества, так и недостатки, поэтому проблема поиска оптимального подхода к автоматизации анализа безопасности приложений не теряет своей актуальности. За последние несколько лет было выработано как минимум три подхода к решению этой задачи.
                              Читать дальше →
                            • ZeroNights 2014 — hackquest

                                image

                                ZeroNights — это конференция по практической информационной безопасности, которую мы проводим в этом году уже в четвертый раз! Мы не раз о ней рассказывали, а многие хабрахабровцы принимали в ней участие.

                                И есть у нас традиция — перед самой конференцией проводить хакквест, предлагая участникам различные задания (поломать веб, отреверсить, проанализировать, написать эксплойт для бинарщины — в общем практика). За победу мы даем приглашение на конференцию и с прошлого года вносим в «зал славы». Правила таковы:

                                • Квест идёт 7 дней, стартует 1 октября в 20:00 и заканчивается 8 октября в 20:00 (по Москве);
                                • Каждый день — одно задание. Длительность каждого задания — 24 часа;
                                • Всего заданий — 7;
                                • Кто первый решает задание — получает инвайт (всего инвайтов: 7);
                                • В некоторых ситуациях мы можем попросить участника рассказать как было решено задание (не стоит пытаться нас обмануть, мы за честные и равные соревнования!)

                                Читать дальше →
                              • Кевин Митник осваивает профессию будущего



                                  Во времена своей молодости Кевин Митник стал самым знаменитым хакером в мире. Для многих он стал образцом для подражания. Его метод проникновения в сеть телекоммуникационной компании с помощью женитьбы на сотруднице этой компании — это вообще классика жанра.

                                  Но после выхода из тюрьмы Кевин Митник превратился в «белого» хакера: он занимался пентестингом, консультировал компании в сфере ИТ-безопасности, публиковал книги по социальной инженерии, читал лекции. Однако, этого оказалось недостаточно, и теперь Кевин, так сказать, возвращается к корням: он продаёт 0day-эксплоиты.
                                  Читать дальше →
                                • CVE-2014-6271, CVE-2014-7169: удалённое выполнение кода в Bash

                                    image
                                    Сегодня были опубликованы детали об уязвимости в Bash.
                                    Вкратце, Bash позволяет экспортировать функции как переменные окружения:

                                    $ myfunc() { echo "Hello"; }
                                    $ export -f myfunc
                                    $ env | grep -A1 ^myfunc
                                    myfunc=() {  echo "Hello"
                                    }


                                    Уязвимость состоит в том, что если после тела функции (после последнего символа "}") добавить ещё какую-нибудь команду, и экспортировать её — она будет выполнена при вызове дочернего интерпретатора:
                                    Читать дальше →
                                  • Что делать с пыльным GPU, если ты — пентестер. Часть 1: Legacy ATI/AMD RADEON

                                    image

                                    Привет, хабр! Закончилось лето, деревья роняют свои листья на холодную землю, в Новосибирске идет первый снег, а я в это время хочу рассказать небольшую историю о настройке платформы для перебора паролей WPA/WPA2 на базе устаревшей на сегодняшний день видеокарты RADEON HD4890.
                                    Читать дальше →