В рамках состоявшегося в Москве 26 и 27 мая форума по информационной безопасности Positive Hack Days V прошел традиционный конкурс по анализу защищенности систем ДБО «Большой ку$h». Соревнование проходило в два этапа: сначала участникам были предоставлены копии виртуальных машин, содержащие уязвимые веб-сервисы ДБО, аналогичные реальным системам. На втором этапе за один час участники должны были воспользоваться проблемами безопасности, обнаруженными при анализе образа системы ДБО, и перевести деньги из банка на свой счет.

В этом году отдельные конкурсы стали частью CTF (подробнее в нашей статье на Хабрахабре), и, наряду с гостями форума, участвовать в соревнованиях могли CTF-команды. Общее число участников конкурса составило порядка 30 человек, а призовой фонд в этом году увеличился до 40 тысяч рублей (в прошлом году можно было «украсть» 20 тысяч).

Всем известно, что современным миром правят «люди кода». Однако в российской художественной литературе наших дней это почти не отражается. Персонаж в виде программиста или хакера может иногда промелькнуть, но главным героем он почти никогда не бывает — в отличие, скажем, от женщин-милиционеров, которыми завалены все прилавки отечественных книжных.

Будучи организаторами хакерской конференции Positive Hack Days, мы решили как-то исправить этот крен в общественном сознании. Начали с того, что в прошлом году пригласили на PHDays IV создателей культовой радиопередачи «Модель для сборки» (МДС), предложив им прочитать со сцены нашей конференции пару рассказов в самом близком для нас жанре «киберпанк».

Технологическая сингулярность ожидается только через 15 лет, но фазовый переход Positive Hack Days происходит прямо сейчас. Пятый форум посетили рекордное число участников — более 3500 человек, что сравнимо с ведущими международными хакерскими конференциями, а количество докладов, секций и различных активностей перевалило за сотню. На площадке состоялась невероятная конкурсная программа со взломом ракет, электроподстанций, банкоматов, железной дороги, а главные хакерские соревнования года PHDays CTF выиграла команда More Smoked Leet Chicken, лучше всех преуспев в увлекательных биржевых спекуляциях, — поздравляем! Но обо всем этом мы подробно расскажем чуть позже. В данном материале коротко рассмотрим ряд сугубо практических техник и рекомендаций, которые мы отметили 26 и 27 мая в ЦМТ.

В первый же день форума Positive Hack Days, стартовавшего 26 мая, эксперты по кибербезопасности со всего мира продемонстрировали различные техники взлома банкоматов, онлайн-банкинга, сетей операторов сотовой связи, систем управления энергетикой, транспортом и промышленными предприятиями. В Центре международной торговли прозвучало более 50 докладов, прошли мастер-классы и круглые столы, состоялись десятки хакерских конкурсов. Все самое интересное транслировалось на сайте форума в несколько потоков.

Ущерб от кибератак часто измеряется миллиардами долларов, но реальная себестоимость взлома, как правило, невелика. По данным исследовательского центра Positive Technologies, любой желающий, потратив на оборудование меньше 10 тыс. долл., может удаленно получить доступ к чужой SIM-карте – а значит, и к трафику абонента, SMS, звонкам и данным о местоположении. И для таких атак уязвимы 20% «симок»! Конфиденциальную информацию абонента можно получить и атакуя оборудование оператора. Цена вопроса при подготовке атаки на соту GSM-сети – порядка 1000 долл., а для взлома базовой станции оператора требуется только ПК и доступ к сети SS7.



Банковская отрасль не отстает от телекоммуникаций. В одном банкомате может оказаться более 10 млн рублей, а для интеллектуального взлома ATM достаточно 60 долл, если использовать Raspberry Pi, либо специальное оборудование вовсе не требуется. В прошлом году Россия заняла второе место в мире (после Пакистана) по числу банкоматов, которые можно обнаружить с помощью специальных поисковых систем и дистанционно перепрограммировать, используя небезопасные протоколы и многочисленные уязвимости в Windows XP. С электронными деньгами ситуация не лучше: 70% мобильных приложений для Android и 50% для iOS в 2014 году содержали уязвимости, достаточные для получения доступа к счету.

Возможно, вы обращали внимание, что для вскрытия кодового замка домофона в подъезде не обязательно выдавать себя за почтальона или искать инженерные пароли — достаточно нажать три наиболее отполированные кнопки. В корпоративной среде ситуация похожа: компании расходуют немалые средства на информационную безопасность, но серверный шкаф с корпоративными тайнами запирают копеечным замком, который можно взломать скрепкой.



На PHDays уже дважды выступали «крестные отцы» локпикинга и физической безопасности из организации TOOOL (The Open Organisation Of Lockpickers) — профессиональные медвежатники в белых шляпах и лучшие специалисты в мире по недостаткам различных типов замков. Их стол с отмычками и замками традиционно был одним из самых популярных на форуме и любой из участников имел возможность попробовать себя в роли взломщика.

Хорошо известно, что вовремя полученная инсайдерская информация об успехах и неудачах крупных корпораций при правильной игре на бирже может принести обладателю миллионы. И у кого, как не у хакеров, есть возможность добывать такую информацию или самим влиять на деятельность компаний, взламывая важные бизнес-системы? Так почему бы не заработать на своих знаниях во время форума Positive Hack Days V?

В этом году участники PHDays смогут приобщиться к жизни государства United States of Soviet Unions (USSU), продавая и покупая ценные бумаги на бирже PHDays Stock Market. Не только участники CTF и других конкурсов, но и все посетители форума смогут торговать акциями представленных в конкурсах «корпораций» (напрямую или через брокера) и использовать инсайдерскую информацию для игры на бирже.

Уязвимости высокого уровня риска в исходном коде, а также серьезные недостатки механизмов аутентификации и авторизации во многих системах дистанционного банковского обслуживания позволяют проводить несанкционированные транзакции или даже получить полный контроль над системой со стороны внешнего злоумышленника, что может привести к существенным финансовым и репутационным потерям. Такие выводы содержатся в исследовании уязвимостей ДБО, обнаруженных экспертами Positive Technologies в 2013 и 2014 годах в ходе работ по анализу защищенности для ряда крупнейших российских банков. В данной статье мы представляем некоторые результаты этого исследования.

В рамках исследования было рассмотрено 28 систем дистанционного банковского обслуживания физических (77%) и юридических лиц (23%). Среди них были и мобильные системы ДБО, представленные серверной и клиентской частью (54%). Две трети систем (67%) являлись собственными разработками банков (использовались Java, C# и PHP), остальные были развернуты на базе платформ известных вендоров. Большинство систем ДБО (74%) находились в промышленной эксплуатации и были доступны для клиентов, а четверть ресурсов составляли тестовые стенды, готовые к переводу в эксплуатацию.

В ходе эстонских киберучений НАТО в апреле 2015 года стало известно, что основному киберподразделению Североатлантического Альянса уже не столь интересны устройства на Android или веб-камеры: фокус внимания военных хакеров сместился в сторону систем Windows и SCADA.

Месяц назад исследовали из Dell отметили, что в 2014 году произошел двукратный рост числа зловредов, разработанных для атак на магазинные POS-системы и SCADA-системы, а сегодня и мы расскажем о некоторых цифрах и наблюдениях в сфере АСУ ТП (ISC/SCADA), собранных нашими экспертами за последние три года.

Международный форум по практической безопасности PHDays (26—27 мая) привлекает все больше творческих людей — музыкантов, арт-изобретателей, ретрофутуристов, писателей. В 2015 году здесь могут взломать не только банкомат или умный дом, но и, например, традиционные представления о графическом дизайне. Сегодня мы расскажем о промежуточных итогах конкурса киберпанковских рассказов и о некоторых сюрпризах, которые позволят отвлечься от хардкора основной технической программы.

Шесть млн знаков киберпанка

На литературный конкурс «Взломанное будущее» вы прислали более 200 рассказов, причем некоторые из них были значительно длиннее положенных 30 тысяч знаков. Спасибо вам большое! Ни один рассказ не остался без внимания. После первоначального отбора в лонг-лист конкурса попали 53 рассказа, с ними сейчас работает жюри — участники проекта «Модель для сборки» Владислав Копп и Сергей Чекмаев, руководитель издательства «Снежный ком» Глеб Гусаков и писатель Алексей Андреев, известный под псевдонимом Мерси Шелли. Наиболее интересные рассказы (шорт-лист) будут переведены на английский язык и отправлены главному судье конкурса, одному из отцов жанра киберпанка — Брюсу Стерлингу. Победители будут объявлены 26 мая в 19:30 на площадке Positive Hack Days V, и сразу после этого коллектив «Модель для сборки» прочитает их рассказы для всех участников конференции.

Форум Positive Hack Days славится своей разносторонней и оригинальной конкурсной программой. Соревнования по анализу защищенности систем ДБО, АСУ ТП и банкоматов стали визитной карточкой PHDays.

Однако мы не собираемся останавливаться на достигнутом и сегодня представляем вашему вниманию три совершенно новых хакерских конкурса, принять участие в которых сможет любой участник мероприятия.

Об этой уязвимости нулевого дня в Windows стало известно еще 20 апреля, когда компания FireEye и агентство Bloomberg сообщили о неудачной кибератаке на правительственное ведомство зарубежного государства, обсуждавшее с США политику санкций против России. В причастности к содеянному, а также в попытках взлома спецслужб НАТО, госорганов Грузии, Польши, Венгрии в FireEye обвинили «русских хакеров» из группировки APT28.

Атака была реализована с помощью ранее неизвестных уязвимостей CVE-2015-3043 в Adobe Flash и CVE-2015-1701 в Windows. Пользователя отправляли по ссылке на зараженный сайт, где скрипт JavaScript с помощью Flash-уязвимости подгружал в компьютер исполняемый файл, который посредством дыры CVE-2015-1701 в Windows повышал привилегии и похищал ключи шифрования.

Компания Adobe в течение считанных часов устранила уязвимость во Flash, но в Microsoft не торопились и выпустили патч только накануне. В этом материале мы расскажем об основных особенностях данного бага.

Ценная gSharedInfo

Сначала следует описать некоторые структуры и механизмы, используемые для эксплуатации CVE-2015-1701 уязвимости. Без печально известной win32k.sys не обошлось и на этот раз, поэтому первым делом остановимся на структуре win32k!tagSHAREDINFO, которой отвечает символ win32k!gSharedInfo, а также на типе данных HWND, который с ней очень тесно связан.



Наша gSharedInfo хранит указатели на различные связанные с окнами структуры и, что самое замечательное, многие из этих структур отображены в пользовательское пространство (смаплены в юзер-мод, по-нашему), причём соответствующий символ user32!gSharedInfo с некоторых пор (либо с висты, либо с семёрки) стал экспортируемым.

Как и в прошлом году, редакция «Хакера» приглашает своих читателей превратиться в писателей и бесплатно попасть на конференцию Positive Hack Days. Пять лучших материалов, которые вы пришлете до 15 мая 2015 года, будут опубликованы на страницах издания, а их авторы получат гонорар вместе с приглашениями на форум.

Помимо редакции журнала, материалы оценит программный комитет, который отвечает за Call for Papers на PHDays. Автор наиболее интересного исследования на темы компьютерной криминалистики, практических взломов, атак на веб- и корпоративные приложения, новых открытий в области конкурентной разведки и т.д. получит сразу три инвайта на форум, а остальные участники — по одному приглашению.

26 и 27 мая в ЦМТ состоится пятый по счету форум Positive Hack Days. Подготовка к мероприятию идет полным ходом: формируется программа докладов и мастер-классов (проголосовать за то или иное выступление можно на сайте), к инициативе PHDays Everywhere присоединились первые площадки из разных стран, но это еще не все.

Традиционно на форуме проходил много конкурсов. Сегодня мы расскажем о том, в каких соревнованиях смогут принять участие гости PHDays и интернет-пользователи, а также о том, какие призы ждут победителей.

Хотя до конференции Positive Hack Days V ещё почти месяц, некоторые традиционные активности, приуроченные к этому мероприятию, начнутся гораздо раньше. Сегодня мы расскажем о том, как принять участие в двух популярных хакерских конкурсах, которые стартуют 11 мая и 15 мая. Помимо памятных призов, команды-победители получат бесплатные инвайты на конференцию!

Пятый международный форум по практической безопасности Positive Hack Days состоится 26 и 27 мая 2015 года в московском Центре международной торговли. Недавно завершилась вторая волна Call For Papers и сегодня мы представляем вашему вниманию новую порцию выступлений.

На рынке информационной безопасности сейчас очень интересное время. В первом квартале 2015 года американские стартап-проекты, работающие в области ИБ, привлекли $1,02 млрд инвестиций, тогда как за весь 2011 год сумма была менее $1 млрд. Инвестиционные фонды и венчурные подразделения компаний все активнее ищут новые проекты в ожидании резкого увеличения бюджетов, выделяемых на безопасность, отмечает Financial Times со ссылкой на исследование PrivCo.

Причин для столь бурного роста более чем достаточно, и все о них наслышаны. Хакерские атаки на Sony Pictures и Home Depot, «фотоскандалы» Apple, потеря доверия к Bitcoin, появление в 2014 году «уязвимостей века» Heartbleed и Shellshock, а также естественное после такого хаоса ужесточение требований регуляторов почти во всех ведущих странах.

По прогнозам аналитиков Gartner, в 2015 году расходы на информационную безопасность увеличатся на 8,2% и составят $76,9 млрд. Сумма значительная, но и причины для этого не менее существенные. Хакерские атаки лишили Sony Pictures $100 млн, а ущерб шестого ритейлера США, компании Target, расценивается в $162 млн. В случае c американским дискаунтером оружием послужила программа KAPTOXA (позже переименованная в BlackPOS).



Большинство идей по защите информации, на которые обратили внимание инвесторы за последние пару лет, крутятся вокруг облачной и мобильной безопасности, а также технологий поведенческого анализа, как отмечает обозреватель Dark Reading Эрика Чиковски (Ericka Chickowski).

Четвертый год подряд в рамках подготовки к Positive Hack Days проводится конкурс для молодых ученых Young School. Цель соревнования — поддержка талантливых специалистов в области ИБ. Финалисты Young School получают возможность представить результаты своих работ перед международной аудиторией форума.

В конкурсе обычно участвуют исследования по широкому спектру тем, от безопасности бизнес-систем и приложений до прикладной криптографии. В этом году формат был расширен: допущены не только классические тезисы, но и результаты практических экспериментов (подробно об условиях мы написали в анонсе).

Компания Schneider Electric в начале апреля выпустила несколько обновлений и патчей, закрывающих уязвимости в программном обеспечении, которое используется для построения систем SCADA и HMI на атомных электростанциях, химических заводах и других критически важных объектах.

Под угрозой оказались InTouch Machine Edition 2014 версии 7.1.3.2 и InduSoft Web Studio 7.1.3.2, а также предыдущие версии этих продуктов. Среди исправленных ошибок: возможность исполнения произвольного кода, хранение и передача конфиденциальных данных в незашифрованном виде. Воспользоваться этими уязвимостями для совершения атаки может даже начинающий хакер. Производитель рекомендует пользователям как можно скорее установить выпущенные патчи.

Векторы атак для преодоления сетевого периметра

Сложность проведения атак в 2014 году оказалась заметно ниже, чем в предыдущие годы, а преодолеть сетевой периметр в 60% систем оказалось возможно через уязвимости веб-приложений. Также в 2014 году существенно снизился уровень осведомленности сотрудников компаний по вопросам безопасности: они стали во много раз чаще переходить по незнакомым ссылкам и открывать приложенные к письмам файлы. Такие наблюдения содержатся в исследовании компании Positive Technologies на основе тестов на проникновение, проводившихся в 2014 году, и сравнения полученных данных с прошлогодними результатами. В данном статье мы поделимся некоторыми результатами исследования.

18-20 апреля в МИФИ на базе факультета кибернетики и информационной безопасности состоится третья всероссийская студенческая олимпиада по информационной безопасности. Принять участие в соревновании могут не только студенты МИФИ, но и учащиеся других вузов в возрасте 18-25 лет.