15 สิ่งที่น่ากลัวที่สุดที่ black hat 2015

4 การขโมยไฟล์ออกจากระบบคลาวด์

บริการพื้นที่เก็บข้อมูลบนคลาวด์เช่น Dropbox และ Google Drive กลายเป็นเครื่องมือสำคัญในการทำงานให้เสร็จอย่างรวดเร็ว นั่นเป็นสาเหตุที่การโจมตีครั้งใหม่จากนักวิจัย Imperva ที่สามารถขโมยไฟล์ทั้งหมดของคุณจากระบบคลาวด์นั้นหนาวเหน็บ สิ่งที่แย่กว่านั้นคือ Imperva กล่าวว่าการโจมตีนั้นไม่สามารถตรวจจับได้โดยการป้องกันรอบด้านและเครื่องมือรักษาความปลอดภัยจุดสิ้นสุดแบบดั้งเดิม

ส่วนที่ชาญฉลาดของการโจมตีครั้งนี้คือการหลีกเลี่ยงปัญหาการขโมยข้อมูลประจำตัวของผู้ที่ตกเป็นเหยื่อหรือประนีประนอมกับแพลตฟอร์มคลาวด์ แต่ผู้โจมตีหลอกให้เหยื่อติดตั้งมัลแวร์ซึ่งเปลี่ยนเส้นทางสำเนาของไฟล์ระบบคลาวด์ที่เก็บไว้ในเครื่องไปยังเซิร์ฟเวอร์อื่นซึ่งคอมพิวเตอร์ของคุณส่งไฟล์สำคัญทั้งหมดของคุณอย่างมีความสุข

5 การยึดการควบคุมโทรศัพท์ Android ของคุณ

โทรจันระยะไกลหรือ RATs ให้ผู้โจมตีเข้าถึงโทรศัพท์หรือคอมพิวเตอร์ของคุณจากระยะไกลราวกับว่าพวกเขากำลังนั่งอยู่ข้างหน้า พวกเขาสามารถเห็นสิ่งที่คุณเห็นและแม้กระทั่งถ่ายภาพฟังด้วยไมโครโฟนหรือถ่ายวิดีโอโดยที่คุณไม่รู้ตัว มันเป็นหนึ่งในมัลแวร์ที่น่ากลัวที่สุดและนักวิจัยบอกว่าพวกเขาพบวิธีที่จะเข้าถึงประเภทนี้ได้บนอุปกรณ์ Android หลายล้านเครื่อง

ปัญหาคือผู้ผลิต Android บางรายมีปลั๊กอินพิเศษที่โดยปกติแล้วจะไม่ได้ใช้งานจนกว่าจะมีบริการสนับสนุนระยะไกลอย่าง LogMeIn หรือ TeamViewer ทำการติดต่อ จากนั้นปลั๊กอินจะเปิดและอนุญาตให้ บริษัท เข้าถึงอุปกรณ์ Android ราวกับว่าตัวแทนสนับสนุนที่ใช้โทรศัพท์ นักวิจัยจุดตรวจสอบ Ohad Bobrov และ Avi Bashan ค้นพบวิธีการใช้ปลั๊กอินเหล่านี้เพื่อความชั่วร้ายปล่อยให้พวกเขาควบคุมโทรศัพท์ Android ส่วนที่แย่ที่สุด? เนื่องจากปลั๊กอินเหล่านี้ถูกติดตั้งโดยผู้ผลิตจึงไม่มีอะไรที่คุณสามารถทำได้เพื่อปกป้องตัวคุณเอง

6 Stagefright ขโมยการแสดง

เปิดเผยก่อนหน้า Black Hat โดย Josh Drake นักวิจัยของ Zimperium Stagefright เป็นช่องโหว่ใหม่ที่ใหญ่และน่ากลัวใน Android ใหญ่แค่ไหน? คาดว่าจะส่งผลกระทบต่อ 95 เปอร์เซ็นต์ของอุปกรณ์ Android ทั้งหมด น่ากลัวแค่ไหน? Drake แสดงให้เห็นว่าเขาสามารถสร้างรหัสโทรศัพท์ Android ให้ส่งข้อความได้ เมื่อรวมกับการโจมตีที่เหมาะสมสิ่งนี้อาจทำลายล้างได้

Drake อยู่ในมือที่ Black Hat เพื่อพูดคุยเกี่ยวกับ Stagefright มันมาจากไหนและสิ่งที่เขาค้นพบในขณะที่ทำการค้นคว้า สิ่งที่ยิ่งใหญ่คือโค้ดเบสของ Android นั้นใหญ่โตและรับประกันความสนใจมากกว่า “ นี่อาจจะไม่ใช่รหัสเดียวที่เขียนขึ้นอย่างรวดเร็ว” Drake กล่าว

นอกจากนี้การเข้าร่วม Black Hat ก็เป็นหัวหน้าฝ่ายความปลอดภัยของ Android ของ Google Adrian Ludwig (ในภาพด้านบน) เขายอมรับขอบเขตของ Stagefright แต่ประกาศว่า Google และคู่ค้าของตนกำลังพยายามอย่างหนักหน่วงในการปกป้อง Android จากการแสวงหาประโยชน์จาก Stagefright ลุดวิกยังเน้นย้ำถึงงานที่ Google ทำเพื่อรักษาความปลอดภัยให้กับ Android ในการเผชิญกับการโจมตีจำนวนมากเขากล่าวว่า Android ยังคงแข็งแกร่ง

7 แฮ็คปืนไรเฟิลลีนุกซ์

ในไม่ช้าอินเทอร์เน็ตแห่งสิ่งต่าง ๆ จะอยู่รอบตัวเรา ที่จริงแล้วมันคือ (ดูสมาร์ททีวีและเราเตอร์ของคุณ!) แต่มีบางสถานที่ที่เทคโนโลยีที่เชื่อมต่อกับอินเทอร์เน็ตเพิ่งเริ่มบุกเข้ามาเช่นอาวุธปืน Runa Sandvik และนักวิจัยร่วมของเธอ Michael Auger ซื้อทำลายและเจาะแฮ็คปืนสมาร์ทแทร็กพอยท์ได้สำเร็จ ภายใต้สถานการณ์ปกติปืนไรเฟิลนี้จะช่วยให้คุณทำเครื่องหมายของคุณทุกครั้ง ภายใต้การควบคุมของแฮกเกอร์มันสามารถล็อคทำพลาดเป้าหมายและชักนำให้เกิดการโจมตีเป้าหมายอื่น ๆ

สิ่งหนึ่งที่ชัดเจนจากงานของ Sandvik และ Auger คือการเจาะปืนไรเฟิลไม่ใช่เรื่องง่าย พวกเขาใช้เวลาในการชี้ให้เห็นสิ่งต่าง ๆ ที่จุดติดตามถูกต้องและให้คำแนะนำกับอุตสาหกรรมเกี่ยวกับวิธีที่พวกเขาสามารถปรับปรุงอุปกรณ์ IOT บางทีการแฮ็คปืนไรเฟิลวันนี้อาจนำไปสู่โลกที่มีเครื่องปิ้งขนมปังที่ปลอดภัยยิ่งขึ้น

8 แฮกเกอร์สามารถเปิดการเชื่อมต่อที่บ้านของคุณเชื่อมต่อ

ระบบอัตโนมัติภายในบ้านของ ZigBee ช่วยให้คุณควบคุมการล็อคประตูไฟและเทอร์โมสตัทได้อย่างง่ายดาย แต่มันอาจขยายการควบคุมนั้นไปยังแฮ็กเกอร์ด้วยเช่นกัน ในงานนำเสนอที่น่าทึ่งนักวิจัย Tobias Zillner และ Sebastian Strobl แสดงให้เห็นว่าพวกเขาสามารถควบคุมระบบที่ใช้ ZigBee ได้อย่างไร

ความผิดดูเหมือนว่าไม่ได้โกหกกับ ZigBee แต่กับผู้ขายที่ใช้ระบบสื่อสารของมัน ZigBee เสนอเครื่องมือรักษาความปลอดภัยมากมายเพื่อให้แน่ใจว่ามีเพียงคนที่เหมาะสมเท่านั้นที่กำลังพูดคุยกับอุปกรณ์ แต่ผู้ขายก็ไม่ได้ใช้เครื่องมือเหล่านั้นแทนที่จะพึ่งพาระบบสำรองข้อมูลที่มีความปลอดภัยน้อยกว่า โชคดีที่มันเป็นเรื่องยากที่การโจมตีจะดึงออก แต่ผู้ผลิตอุปกรณ์จำเป็นต้องก้าวขึ้นเกมกลุ่มของพวกเขา

9 ลายนิ้วมือของคุณปลอดภัยแค่ไหน?

อุปกรณ์มือถือมากขึ้นรวมถึงเซ็นเซอร์ลายนิ้วมือและในอนาคตเราสามารถคาดหวังการพิสูจน์ตัวตนแบบไบโอเมตริกซ์ที่แปลกใหม่เช่นกัน แต่ข้อมูลลายนิ้วมือของคุณอาจไม่ได้รับการจัดเก็บอย่างปลอดภัยในโทรศัพท์ของคุณและผู้อ่านอาจถูกแฮ็กเกอร์โจมตี นักวิจัย FireEye Tao Wei และ Yulong Zhang นำเสนอการโจมตีสี่ครั้งที่สามารถขโมยข้อมูลลายนิ้วมือของคุณ นั่นไม่ใช่ข้อตกลงที่ใหญ่เกินไปหากคุณไม่มีนิ้วเหลืออยู่

จากการโจมตีทั้งสี่ครั้งที่จางนำเสนอนั้นมีความน่าสนใจเป็นพิเศษ สิ่งแรกแสดงให้เห็นว่าด้วยเครื่องมือที่เหมาะสมผู้โจมตีสามารถหลอกหน้าจอปลดล็อคเพื่อหลอกเหยื่อให้ตวัดนิ้วบนสแกนเนอร์ Simple! อีกประการหนึ่งการโจมตีที่ซับซ้อนยิ่งขึ้นสามารถเข้าถึงข้อมูลจากเครื่องสแกนลายนิ้วมือได้โดยไม่ต้องเจาะเข้าไปในส่วน TrustZone ที่ปลอดภัยของอุปกรณ์ Android แม้ว่าช่องโหว่ที่จางและเหว่ยค้นพบนั้นได้รับการติดตั้งแล้ว แต่ก็มีโอกาสที่จะค้นพบได้อีกมากมาย ( รูปภาพ )

10 การแฮ็กโรงงานเคมีนั้นยากจริงๆ

หนึ่งในการนำเสนอที่ซับซ้อนที่สุดที่ Black Hat, Marina Krotofil อธิบายว่าผู้โจมตีสามารถนำโรงงานเคมีมาคุกเข่าเพื่อความสนุกและได้ผลกำไรอย่างไร ส่วนใหญ่แล้วผลกำไร กระบวนการนี้เต็มไปด้วยความท้าทายที่ไม่เหมือนใครสิ่งที่ยิ่งใหญ่ที่สุดคือการหาวิธีที่จะเข้าใจการทำงานภายในที่ซับซ้อนของพืชซึ่งก๊าซและของเหลวกำลังเคลื่อนที่ในรูปแบบแปลก ๆ ซึ่งไม่สามารถติดตามได้อย่างง่ายดายโดยอุปกรณ์อิเล็กทรอนิกส์ที่แฮ็กเกอร์ แล้วก็ต้องจัดการกับฟิสิกส์ที่น่ารำคาญของโรงงาน ลดแรงดันน้ำลงมากเกินไปและกรดอาจถึงอุณหภูมิวิกฤตและดึงดูดการโจมตีของคุณ

ส่วนที่น่ากลัวที่สุดของการนำเสนอของ Krotofil คือความจริงที่ว่าแฮ็กเกอร์ประสบความสำเร็จในการรีดไถเงินจากระบบสาธารณูปโภคและพืชในอดีตที่ผ่านมา แต่ข้อมูลเหล่านั้นไม่สามารถหาได้จากนักวิจัย ( รูปภาพ )

11 อนาคตที่มั่นคงของสังคม

ในระหว่างการกล่าวปาฐกถาพิเศษ Jennifer Granick ทนายความผู้มีชื่อเสียงโด่งดังได้อธิบายว่าพวกแฮ็คของความก้าวหน้าทางสังคมผ่านเทคโนโลยีได้สูญเสียความพึงพอใจการควบคุมของรัฐบาลและผลประโยชน์ขององค์กรอย่างไร เธอกล่าวว่าในความฝันของอินเทอร์เน็ตที่เปิดกว้างและฟรีที่ทำให้ความรู้และการสื่อสารไร้รอยต่อและการเหยียดสีผิวการแบ่งแยกชนชั้นและการกีดกันทางเพศไม่เคยเกิดขึ้นจริงและหายไปอย่างรวดเร็ว

เธออธิบายว่าเธอกลัวว่าเทคโนโลยีสารสนเทศจะสร้างโลกที่ใช้การวิเคราะห์ข้อมูลสำหรับทุกสิ่ง สิ่งนี้จะเป็นการเสริมโครงสร้างพลังงานที่มีอยู่เธอพูดและทำร้ายผู้คนมากที่สุด นอกจากนี้เธอยังเตือนรัฐบาลที่ใช้ความปลอดภัยเป็นวิธีการสร้างพลังงานสร้างความปลอดภัยและความปลอดภัย สิ่งที่น่ากลัว

12 วิธีที่จะไม่ถูกจับ

หนึ่งในการประชุมที่มีการพูดถึงมากที่สุดในบรรดาผู้เข้าร่วมประชุม Black Hat คือการประชุมที่จัดโดยกระทรวงยุติธรรม สำหรับคนทั่วไปมันอาจฟังดูทื่อ ๆ แต่เซสชั่นที่มีชีวิตชีวานี้พยายามให้ความรู้แก่ผู้ชมและอธิบายว่าแฮ็กเกอร์สามารถทำงานต่อไปได้อย่างไรโดยไม่ผิดกฎหมาย

Leonard Bailey ที่ปรึกษาพิเศษด้านความมั่นคงแห่งชาติของ DOJ ในแผนกอาชญากรรมคอมพิวเตอร์และทรัพย์สินทางปัญญาของหน่วยงานอธิบายให้ผู้เข้าร่วมประชุมว่าพวกเขาสามารถทำการสแกนช่องโหว่และทดสอบการเจาะได้อย่างปลอดภัย แต่สิ่งที่สำคัญกว่านั้นคือความพยายามของ DOJ เพื่อให้แน่ใจว่าการบังคับใช้กฎหมายไม่มีผลกระทบอย่างรุนแรงต่อการวิจัยด้านความปลอดภัย

13 ผู้โจมตีบนเครือข่าย

อย่าเชื่อถือเครือข่าย Black Hat มีผู้คนมากมายในเครือข่ายและผู้เข้าร่วมประชุมจำนวนมากใช้โอกาสในการลองใช้เทคนิคและเทคนิคใหม่ ๆ ที่พวกเขาเรียนรู้ในระหว่างสัปดาห์ Fortinet จัดการศูนย์ปฏิบัติการด้านความปลอดภัยสำหรับ Black Hat ในปีนี้และตรวจสอบกิจกรรมทั้งหมดในเครือข่ายทั้งแบบมีสายและไร้สายในสถานที่ ในขณะที่มีหน้าจอจำนวนมากที่แสดงว่าแอปพลิเคชั่นทำงานอยู่การวิเคราะห์จำนวนมากดำเนินการโดยทีมอาสาสมัครผู้เชี่ยวชาญด้านความปลอดภัยทั้งหมด ชั้นเรียนหนึ่งเรียนรู้เทคนิคการโจมตีเว็บรุกขั้นสูงหลุดออกไปเล็กน้อยกระตุ้นให้ ISP โทรหาทีมปฏิบัติการเพื่อบอกให้พวกเขาหยุด

14 การปิดระบบ Robo-Calls

นี่ไม่ได้อยู่ที่ Black Hat แต่ DEF CON Humanity Strikes Back เป็นการประกวด FTC ที่ DEF CON ซึ่งแฮกเกอร์สร้างซอฟต์แวร์ต่อต้าน robocall แนวคิดคือการสร้างเครื่องมือที่จะวิเคราะห์เสียงการโทรและหากการโทรนั้นถูกกำหนดให้เป็น robocall เพื่อบล็อกมันจากผู้ใช้ปลายทางและส่งต่อการโทรไปยัง honeypot ผู้เข้ารอบสองคนแสดงซอฟต์แวร์ของพวกเขาที่โต๊ะบริบทระหว่าง DEF CON ในขณะที่หุ่นยนต์ตัวนี้เสนอวันหยุดพักผ่อนล่องเรือฟรีอย่างสนุกสนานถ้าคุณกด 1

15 ทำอย่างไรจึงจะเป็นแฮ็กเกอร์

ตอนนี้คุณรู้แล้วว่าจะไม่ถูกจับเพื่อการวิจัยด้านความปลอดภัยหรือไม่คุณอาจสนใจที่จะเล่นกับเครื่องมือแฮ็คของคุณเองบ้างไหม เข้าสู่ Kali Linux แพลตฟอร์มที่ปรับแต่งได้ซึ่งให้คุณสนุกสนานได้ทุกรูปแบบ

Kali Linux นั้นง่าย แต่ที่สำคัญกว่านั้นคือยืดหยุ่นได้ คุณสามารถเพิ่มหรือลบเครื่องมือสำหรับการทดสอบมัลแวร์การทดสอบเครือข่ายการทดสอบการเจาะ - คุณตั้งชื่อ คุณสามารถติดตั้งเครื่องมือบน Raspberry Pi สำหรับการทดสอบความปลอดภัยได้ทุกที่