В конце прошлой недели компания Nexon Korea Corp., разработчик популярной онлайн-игры Maple Story, заявила о взломе игровых серверов. По данным специалистов компании, взломщики получили доступ к данным миллионов пользователей игры, включая ID, имена, пароли и регистрационные государственные номера.

Понадобилось мне узнать стандартную пару логин-пароль для престарелого роутера производства LevelOne. Поиск забросил меня в F.A.Q. сайта Level One Russia.
В вопросе № 29 можно наблюдать примерно следующее:

HDCP (англ. High-bandwidth Digital Content Protection — защита цифрового содержимого с высокой пропускной способностью) — технология защиты медиаконтента, разработанная корпорацией Intel и предназначенная для предотвращения незаконного копирования высококачественного видеосигнала, передаваемого через интерфейсы DVI, DisplayPort, HDMI, GVIF или UDI. Защищённый видеосигнал может быть воспроизведён только на оборудовании, поддерживающем HDCP.
Википедия.

Уже более десяти лет широко используется защита от копирования HDCP, разработанная фирмой Intel. Этой защите доверяют медиа-корпорации, ведущие бизнес в сфере цифрового видео и аудио высокого разрешения, с оборотом в миллиарды долларов. Исследователи из рабочей группы по информационной безопасности аппаратного обеспечения во главе с профессором по имени Tim Güneysu из Рурского университета (Ruhr-Universität Bochum, RUB, Германия) смогли поставить мат защитной системе всей отрасли относительно небольшими усилиями с использованием так называемой атаки "Man-in-the-Middle" (MitM). Они продемонстрировали свои результаты на международной конференции ReConFig 2011.

Одно время я работал на free-lance.ru. С утра я обычно мониторил заказы, а после обеда непосредственно работал. Однажды я наткнулся на заказ, сумма за выполнение которого была очень аппетитной. Я сразу отписался по заказу, и буквально через минуту получил ТЗ на проект в личку. Поначалу меня удивила скорость ответа, и то что меня сразу выбрали исполнителем, но с другой стороны такое уже частенько бывало. Файл с ТЗ мне показался странным, в него была встроена ссылка на flash ролик. Проверив файл на вирусы и получив ответ, что угроз не обнаружено, я таки усыпил свою бдительность и щелкнул по ссылке на flash ролик. А щелкать не стоило.

Хакерская группа Anonymous, известная рядом громких инцидентов, связанных с нарушением компьютерной безопасности ряда весьма серьезных военных, финансовых и криминальных организаций, явно не сидит сложа руки: на днях стало известно, что атаке подверглось информационно-аналитическое агенство StratFor, занимающееся всесторонним анализом для таких структур как ЦРУ, а вот теперь новая жертва — скомпрометирована личная информация проекта SpecialForces.com, занимающегося поставками товаров для военных и силовых ведомств.

В результате, как утверждают(ет) Anonymous, в течение последних месяцев в распоряжении группы оказались около 14 000 паролей и порядка 8000 кредитных карт из базы данных проекта. К сожалению, почти никаких технических подробностей группа не сообщает, за исключением того, что уязвимость на сайте проекта была обнаружена самим же персоналом сайта еще 15 декабря, однако, никаких действий, тем не менее, предпринято не было; краденные пароли, в отличие от данных StratFor, все-таки были зашифрованы. Хакеры в этой записи на PasteBin описали мотивы своих действий, не забыв поиздеваться над защитой проекта, осуществляющего военные поставки — сайт содержал «внушительные» заявления ""Scanned by GoDaddy.com: secured website" и "McAfee SECURE sites help keep you safe from identity theft, credit card fraud, spyware, spam, viruses, and online scams”, которые и оказались высмеяны злоумышленниками.

В пострадавшей SpecialForces.com не отрицают (твиттер с письмом о взломе базы данных) факт утечки закрытой информации, отмечая при этом, что на данный момент база клиентов заблокирована и войти в клиентскую систему по какому-либо логину или паролю из базы сейчас невозможно. Это выглядит вполне естественным шагом с их стороны, поскольку Anonymous не забыли оставить ссылки на архивы с паролями клиентов на привселюдное обозрение (сейчас ссылки не работают, но найти файлы specialforces_passwords.txt и specialforces_full.txt.gz едва ли будет проблемой для интересующихся).

Ante Scriptum

До 20 января 2012 года любой желающий может проверить свои силы в оценке защищенности, поиске и эксплуатации уязвимостей, реверсинге и просто хакерстве. Регистрация и информация по подключению доступна по адресу: http://phday.ru/smt.asp?gnum=1 (рус) и http://phday.com/smt.asp?gnum=1 (eng).

Вступайте и компилируйте!

Scriptum

26 декабря закончились соревнования по информационной безопасности PHDays CTF Quals и PHDays CTF Afterpaty. Командные состязания CTF Quals проходили по правилам task-based CTF и позволили нам выявить финалистов, которые примут участие в очном туре 30-31 мая 2012 года на форуме Positive Hack Days. Сольная битва дала нам возможность найти наиболее мощных хакеров, которые получат возможность принять участие в PHDays, а также станут обладателями ценных призов от организатора соревнований – компании Positive Technologies, включая легендарный сканер безопасности XSpider 7.8. В пылу битвы участники не только нашли все заложенные нами уязвимости но и обнаружили как минимум одну уязвимость нулевого дня (0-day): mPDF <= 5.3 File Disclosure.

На хабре существует множество статей, посвящённых историям различных взломов, рекомендаций по генерации паролей и прочих основ информационной безопасности. Я решил внести и свою лепту, написав небольшой отчёт по исследованию одного из достаточно крупных сайтов, близкого к IT-тематике, в котором на фоне хорошей защищённости от основных методик взлома мной обнаружены совершенно банальные ошибки проектирования самой системы.

Подробнее о том, на что нужно обращать внимание при проектировании своих сайтов под катом.

Миллионы IP-адресов, десятки тысяч узлов, сотни веб-серверов и всего лишь месяц времени…

Какие вызовы ожидают аудитора при тестировании сети телекома? На что стоит обратить внимание? Как наиболее эффективно использовать отведенное на работу время? Почему абонент опасней хакера? Почему подрядчик опасней абонента? Как связать уязвимость и финансовые потери?

Ответы на все эти вопросы – в вебинаре технического директора Positive Technologies Сергея Гордейчика «Как взломать телеком и остаться в живых».

А еще – самые громкие, смешные и просто интересные случаи тестирования на проникновения телекоммуникационных сетей.

Welcome! У вас осталось совсем немного времени, начало вебинара в 14.00.

Участие бесплатное, наше единственное условие – предварительная регистрация. Зарегистрироваться.

ЗЫ: Для тех, кто не успеет или не сможет принять участие в вебинаре – запись и презентация будет выложена на нашем сайте здесь

В квартальной форме отчётности 10-Q для комиссии SEC компания VeriSign упомянула факт неоднократного несанкционированного доступа в её корпоративную сеть в 2010 году. Как сообщает компания, неизвестные «получили доступ к данным на маленькой части наших компьютеров и серверов». Какая конкретно информация попала к злоумышленникам — неизвестно, но «мы провели расследование и не верим, что эти атаки проникли к серверам, на которых работает система DNS», указано в отчёте на странице 33.

Информация была доведена до менеджмента только в сентябре 2011 года. VeriSign вынуждена разгласить эти факты в связи с новыми требованиями SEC по публикации информации о взломах.

Напомним, что у VeriSign размещаются два из 13-ти корневых серверов DNS, а до августа 2010 года компания также являлась Удостоверяющим центром (Certification authority), который выпускал сертификаты ключей электронной цифровой подписи, затем этот бизнес был продан Symantec.

Группа анонимных хактивистов Anonymous, которую связывают с протестным движением «Захвати Уолл-стрит», во вторник выполнила дефейс и вывела из строя сайт пенсильванской компании Combined Systems Inc. (не работает на данный момент), являющейся производителем средств контроля массовых собраний людей — слезоточивого газа, аэрозольных, звуковых и световых гранат, наручников и т.п. Около года назад, во время массовых волнений в Египте, компания поставила местным властям более 46 тонн производимых ей товаров — именно это и стало причиной атаки, которая, к тому же, была приурочена к годовщине событий в Бахрейне. В результате атаки были украдены личные данные сотрудников компании и её клиентов. Владельцы компании пока никак не комментировали компрометацию своего сайта.

Вполне традиционно хактивисты разместили на PasteBin запись, поясняющую мотивы своих действий и, собственно, «слитые данные» — фамилии и имена сотрудников, клиентов, дистрибьюторов, их логины, пароли, письма, номера телефонов; также присутствуют дампы таблиц MySQL.

Эта статья посвящена развитию систем защиты на аппаратных ключах, видам атак, с которыми пришлось столкнуться за последние годы, и тому, как им удалось противостоять. Рассмотрены возможности электронных ключей, которые напрямую влияют на степень защиты программного обеспечения, и основные проблемы, присущие данной технологии. Автор статьи является ведущим разработчиком проекта Guardant, компания «Актив».

Современные электронные ключи подразделяются на ключи с симметричной криптографией, ключи с асимметричной криптографией и ключи с загружаемым кодом. Последний тип устройств требует более детального анализа, выходящего за рамки данной статьи.

Рассмотрим защиту Windows-приложений, разработанных с использованием компилируемых языков программирования (C, C++, Pascal, Delphi, Fortran и т.д.).

Мы уже писали о том, что на форуме Positive Hack Days пройдут международные хакерские соревнования – PHDays CTF. А еще конкурсы hack2own, где участники смогут попробовать взломать айфон или банкомат. В этом году мы соберем передовые хакерские команды и просто одиночные дарования со всего мира. Как мы их находим? В том числе, с помощью отборочных соревнований.

Чтобы отобрать сильнейших, которые в мае примут участие в битве за монолит, мы провели два отборочных конкурса – командный и индивидуальный. В последнем победу одержал участник небезызвестной российской команды Smoked Chicken – kyprizel. Он единственный решил все задания 2011 года и набрал 100 баллов. За что получил большой респект от организаторов и легендарный XSpider 7.8!

Kyprizel любезно согласился ответить на несколько вопросов о заданиях, CTF, хакерах в России вообще.

Напомним правила: всем участникам нужно было решить задания, которые были представлены на прошлогоднем PHDays CTF. Времени – 2 недели, ресурсы – не ограничены.

Команда европейских и американских математиков проанализировала свыше 11 000 000 сертификатов, принадлежащих различным сайтам и обнаружила, что в среднем на тысячу из них приходится около 2х со слабыми параметрами, позволяющими восстановить секретный ключ.

Никто никогда не может на все 100% гарантировать, что в его сервисе нету дыр или каких-либо лазеек. А если и могут — не нужно верить этим людям, они не компетентны в таких вопросах.
Даже на таких крупных проектах, как Яндекс.Деньги и то бывали дыры. Так что чего уж говорить о небольшом сервисе для покупок за границей — eBayToday.ru.

Дело это было вечером, делать, как говорится, мне было нечего… и решил я тогда чисто ради интереса посмотреть — а есть ли дыры на сайте, через который я сделал столько покупок? Может быть в один прекрасный момент я закажу себе новенький iPad 3, а через день зайду и узнаю, что аккаунт у меня угнали, адрес поменяли, да и вообще iPad уже давно в чужих руках…

Уважаемые Хабровчане! Вчерашний вариант статьи я полагал, что находится в черновиках. И посему отобразился недописанным. Предлагаю полную, дописанную версию



Многие он-лайн сервисы стремятся обезопасить аккаунты своих пользователей самыми различными способами. Кто-то отслеживает IP-адрес, сбрасывая кукисы при его изменении (так происходит на Секлабе; вКонтакте просто просит подтвердить последние 4 цифры мобильника). У кого-то сессия живёт ограниченное время, заставляя пользователя авторизоваться снова и снова. У этих способов есть свои достоинства и недостатки. Но какой бы из механизмов не использовался, отслеживание параметров браузера и ОС пользователя придаст дополнительную защиту от угона аккаунтов (как дополнительная защита, но ни в коем случае не основная). И очень странно, что я до сих пор не смог встретить ни одного сервиса, поддерживающего этот механизм защиты.

Задайтесь вопросом: в каких случаях при очередном посещении ресурса у пользователя кукисы будут аналогичны прошлому посещению, но изменятся данные браузера и используемой ОС (которые можно выцепить из User-Agent)? Только в 3-х случаях:

1. Пользователь авторизовался с разных компьютеров (например, дома и на работе) и по некоторым причинам использует разные браузеры.
2. Пользователь авторизовался с 1 компьютера в разных браузерах (этим будут страдать, пожалуй, только веб-разработчики и особо любопытные). Либо те, кто загаживает ОС непонятными фенечками (привет любителям vkSaver)
3. У пользователя угнали сессию.

Детектить предлагается не весь параметр User-Agent, а тип браузера (IE, FF, Chrome, Safari и т.д.) и операционную систему (Windows, Linux, MacOS). Это решит проблемы ложного срабатывания при обновлении ПО на компе пользователя.

Да, User-Agent можно подменять. Но:
1. Довольно часто с этим никто из угонщиков сессии не парится.
2. Подмену User-Agent можно определить (читайте ниже как).

Рассмотрим предлагаемый метод защиты в дополнение к имеющимся. В совокупности с классическими случаями угона сессии.

Первый день весны ознаменовался крупной кражей биткоинов. Злоумышленники избрали своими жертвами владельцев биткоинов, хранивших свои кошельки в облачном хостинге Linode.com.

Первым заметил следы атаки владелец одного из известных майнинг-пулов mining.bitcoin.cz Marek Palatinus, известный в bitcoin-кругах под ником slush. Как он пишет в своем блоге, рано утром он получил SMS о том, что баланс кошелька, используемого его пулом для выплаты намайненных монет, опустился ниже установленного порога.

Как и планировалось, 14-го марта 2012 года мы завершили NeoQUEST-2012. Суммарные баллы подсчитаны, победители названы; в ближайшие несколько дней мы обязательно свяжемся с ними и определим, когда и где они получат свои честно заслуженные призы (в том числе и наш главный приз, тот самый MacBookPro, засветившийся и в самом квесте).
Теперь можно подвести итоги квеста, рассказать о том, как мы его делали и о том, с какими трудностями столкнулись. И, конечно, поблагодарить всех тех, кто принимал участие как в самом квесте, так и в его создании и отладке.

Наверное многие уже видели эту новость, кто не видел могут прочитать новость здесь.
Факт который меня ввел в ступор:
Расследованием занималось министерство национальной безопасности Казахстана, однако «запеленговать» взломщиков удалось в 2011 году, а установить личности — лишь сейчас.
Больше всего меня поразила цитата:
Следователи предполагают, что все же не школьник играл ключевую роль во всей этой операции

У кого есть какие мысли по этому поводу, на сайте до сих пор присутствуют уязвимости. Как думаете это халатность разработчиков или недостаточное финансирование сайта и проекта в целом?

25 марта был опубликован расшифрованный бинарный файл Skype v. 5.5. Теперь появилась возможность запускать Skype в отладчике, чего нельзя было делать раньше, так как оригинальная версия сильно обфусцирована и имела защиту от отладки. Цель проекта — создать Skype с открытым исходным кодом.

Сообщение об этом появилось в блоге Ефима Бушманова, который год назад расшифровал протокол Skype версии 1.x/3.x/4.x и опубликовал рабочую версию программы.

Не только XSS…

Последнее время многие обращают внимание на уязвимости ПО, используемого в банковском секторе: в частности, недавно прошумела новость об уязвимостях класса XSS на веб-сайтах различных банков. Общественность негодует, и СМИ шумят. Но ведь банки богаты не только веб-составляющей. Начиная с конца 2000-х я собирал уязвимости в модулях ActiveX, которые банки гордо раздают своим пользователям, а именно клиентам системы дистанционного банковского обслуживания (ДБО). Раз в год я брал одну или две системы и ковырял их. Начиная просто так, любопытства ради (начал это дело, еще будучи сотрудником банка) и продолжая уже из исследовательского интереса. В итоге за 3–4 года я выявил уязвимости в системах от таких производителей, как BSS, Inist, R-Style, ЦФТ. Под катом находится информация об одной такой уязвимости. Большая часть описания уделена созданию простенького эксплойта для выполнения произвольного кода на стороне клиента (Windows7, IE +DEP/ASLR). Возможно, это будет полезно тем, кто хотел бы понять принципы эксплуатации старых ‘strcpy’ багов и создания ROP-эксплойтов.