L'hacker fallisce per la vittoria

BLACK HAT EUROPE 2022 – Londra – Il ricercatore Douglas McKee non ha avuto fortuna nell’estrarre le password in un dispositivo medico di monitoraggio dei pazienti di cui stava indagando le vulnerabilità. Lo strumento di cracking delle password della GPU che aveva utilizzato per sollevare i livelli di credenziali necessari per analizzare il dispositivo si è rivelato vuoto. Fu solo qualche mese dopo, quando si sedette a leggere la documentazione del dispositivo medico, che scoprì che le password erano state stampate lì per tutto il tempo.

"Alla fine sono riuscito a leggere la documentazione, che chiaramente conteneva tutte le password in chiaro proprio nei documenti", ha raccontato McKee, direttore della ricerca sulle vulnerabilità di Trellix, in una presentazione qui oggi. Si è scoperto che anche le password erano codificate nel sistema, quindi il suo fallito processo di cracking delle password è stato enormemente eccessivo. Lui e il suo team hanno successivamente scoperto dei bug nel dispositivo che hanno permesso loro di falsificare le informazioni del paziente sul dispositivo di monitoraggio.

Secondo McKee, non analizzare attentamente la documentazione è un passo falso comune da parte dei ricercatori di sicurezza desiderosi di approfondire i dispositivi hardware e software che stanno studiando e di decodificarli. Lui e il suo collega Philippe Laulheret, ricercatore senior sulla sicurezza presso Trellix, nel loro "Fail Harder: Trovare 0 giorni critici nonostante noi stessi" presentazione qui, hanno condiviso alcune delle loro storie di guerra per errori o calcoli errati commessi nei loro progetti di hacking: contrattempi che secondo loro servono come lezioni utili per i ricercatori.

"In tutte le conferenze a cui andiamo mostrano i risultati brillanti" e i successi nella ricerca sulla sicurezza come zero-day, ha detto Laulheret. Non sempre si riesce a sentire parlare delle serie di fallimenti e battute d'arresto lungo il percorso quando si fiutano le vulnerabilità, hanno detto i ricercatori. Nel loro caso, si è trattato di tutto, dagli hack hardware che hanno bruciato i circuiti stampati a un codice shell prolisso e prolisso che non è riuscito a funzionare.

In quest'ultimo caso, McKee e il suo team avevano scoperto una vulnerabilità nel Belkin Wemo Insight SmartPlug, un dispositivo consumer abilitato Wi-Fi per accendere e spegnere da remoto i dispositivi ad esso collegati. "Il mio shellcode non riusciva a raggiungere lo stack. Se avessi letto la libreria XML, sarebbe stato chiaro che XML filtra i caratteri e che c'è un set di caratteri limitato consentito attraverso il filtro XML. Questo era un altro esempio di tempo perso se avessi letto attraverso il codice con cui stavo effettivamente lavorando", afferma. "Quando l'abbiamo smontato, abbiamo trovato un buffer overflow che permetteva di controllare il dispositivo da remoto."

Non dare per scontato: istruiti dalla "Sicurezza" dell'app per l'apprendimento a distanza

In un altro progetto, i ricercatori hanno studiato uno strumento software per l'apprendimento a distanza di Netop chiamato Vision Pro che, tra le altre cose, include la possibilità per gli insegnanti di connettersi in remoto alle macchine degli studenti e scambiare file con i loro studenti. La funzionalità basata sul protocollo Desktop remoto sembrava abbastanza semplice: "Consente agli insegnanti di accedere utilizzando le credenziali Microsoft per ottenere l'accesso completo al computer di uno studente", ha spiegato McKee.

I ricercatori avevano ipotizzato che le credenziali fossero crittografate durante la trasmissione, il che sarebbe stata la migliore pratica logica di sicurezza. Ma mentre monitoravano le acquisizioni di rete da Wireshark, sono rimasti scioccati nello scoprire che le credenziali viaggiavano attraverso la rete non crittografate. "Molte volte le supposizioni possono essere la morte del modo in cui si porta avanti un progetto di ricerca", ha detto McKee.

Nel frattempo, consigliano di avere a portata di mano più versioni di un prodotto che stai ricercando nel caso in cui una venga danneggiata. McKee ha ammesso di essere stato un po' troppo zelante nello scomporre la batteria e gli interni della pompa di infusione B Bruan Infusomat. Lui e il suo team hanno smontato la batteria dopo aver individuato un indirizzo MAC su un adesivo apposto su di essa. All'interno hanno trovato un circuito stampato e un chip flash e hanno finito per danneggiare fisicamente il chip mentre cercavano di accedere al software su di esso.

"Provare prima a eseguire il processo meno invasivo", ha affermato McKee, e non affrettarsi a rompere l'hardware dall'inizio. "Rompere le cose fa parte del processo di hacking dell'hardware", ha detto.