כובע שחור ו-DEF CON Roundup

לא היה שום דבר אופייני השנה ב-BSides LV, Black Hat USA ו-DEF CON - הידוע גם כ-Hacker Summer Camp. האוסף בן השבוע של ועידות אבטחת סייבר הציג שילוב אקלקטי של משתתפים ללמוד, לרשת, לפרוץ ולהנות. השבוע אפילו כלל א שיטפון פלאש נדיר בלאס וגאס (לא טכניקת DDoS חדשה) ביום חמישי יוצרת כאוס בבתי קזינו אחד.

השבוע האחרון, למרות שלא 'אופייני', היה קריצה לנורמליות עבור המשתתפים. הנוכחות באירועים עלתה לעומת השנה הקודמת, שבשנת 2021 הושתקה בגלל נוכחות נמוכה יותר וחששות מ-COVID. הנה סיכום של מחקרים, נושאים ובאזז מובילים מהתוכניות של השנה.

מחקר של הערה

ועידת וידאו יקירי זום היה הודגש ב-DEF CON על ידי פטריק ורדל, מייסד קרן Objective-See, על טכניקת פריצה שאפשרה לו, באמצעות גרסת macOS של Zoom, להגדיל הרשאות ולקבל גישה לכל מערכת ההפעלה macOS.

Pen Test Partners חשפו פגם בטאבלטים Electronic Flight Bag המשמשים כמה טייסי מטוסי בואינג שיכול היה לאפשר ליריב לשנות נתונים "ולגרום לטייסים לבצע חישובים שגויים מסוכנים". על פי דו"ח רויטרס.

Starlink, הלוויין המופעל על ידי SpaceX המספק גישה לאינטרנט ליותר מ-36 מדינות, הוכח כפגיע ל- פריצה באמצעות 25 $ modchip. החוקר הבלגי לנרט ווטרס חשף ב-Black Hat כיצד ביצע התקפת הזרקת תקלות מוצלחת על מסוף משתמש ששימש לניהול הלוויין.

החוקר ג'יימס קטל הציג לראשונה סוג חדש של מתקפת הברחת בקשות HTTP שאפשרה לו לסכן את אמזון ואקאמאי, לשבור TLS ולנצל שרתי אפאצ'י, על פי דיווח מ- The Daily Swig של פורטסוויגר.

העיתונאי Eduard Kovacs דיווח על באג בחומרה גבוהה של Realtek ב-eCos SDK של החברה. נמצא על ידי Faraday Security ונדון ב-DEF CON, ה-eCos SDK משמש במגוון נתבים, נקודות גישה ומשחזרי רשת, לפי הדיווח שלו.

לחובבי FUD, למגזין PC יש סקירה יפה של "14 הדברים המפחידים ביותר שראינו ב-Black Hat 2022". דברים ששומרים עליהם הם קודי SMS זרוקים של MFA, "אצבע בלתי נראית להשתלט" על מכשיר מסך המגע שלך ושיהוק של מיקרוסופט בעת השקת Antimalware להפעלה מוקדמת (ELAM).

נושאי דיון

ההרצאה המרכזית ב-Black Hat הייתה של כריס קרבס, לשעבר סוכנות אבטחת סייבר ותשתיות (CISA), שחלק את האופטימיות שלו בכל הנוגע לגישה האמריקנית לאבטחת מידע. למרות זאת, הוא כן הביע פסימיות שהגנת הסייבר של ארה"ב הייתה ממוקדת מדי בתוקפי מדינות לאום לעומת חששות ארציים ודוחקים יותר, להערכתו, כגון תוכנות כופר.

מלחמת אוקראינה ו-Log4j היו גם נושאים מרכזיים בכל אחד מהכנסים. ESET סיפקה למשתתפי Black Hat עדכון על מתקפות סייבר נגד אוקראינה. חברות כמו CyCognito הזהירו שאנחנו אינם מחוץ ליער Log4j. דו"ח של SiliconAngle מצטט את רוברט סילברס, תת-מזכיר המדיניות במשרד לביטחון המולדת, הדהד את החששות האלה שאמר למשתתפים כי "סביר להניח שארגונים יתמודדו עם בעיות Log4j במשך עשור לפחות ואולי יותר."

ויקטור ז'ורה, סגן ראש שירות התקשורת המיוחד של אוקראינה, אמר לנוכחי Black Hat כי התשתית של ארצו חוותה עלייה של 300 אחוז בתקריות סייבר מאז פלישת רוסיה למדינה. הביקור היה ללא הודעה מוקדמת, לדברי א דו"ח קול אמריקה.

בינתיים, מנהל הסייבר הנוכחי של הבית הלבן, כריס אינגליס, אמר לעיתונאית קים זטר, במהלך ישיבת DEF CON, שהוא מתמקד ב"שלושת גלי התקפות" שהתקדמו בשנים האחרונות", על פי א. דו"ח Nextgov.

הגל הראשון "התמקד ביריבים המחזיקים נתונים ומערכות בסיכון". בשנייה, התוקפים "עדיין החזיקו נתונים ומערכות בסיכון, אבל אז הם הפיקו את זה לשמירה על פונקציות קריטיות בסיכון." השלישית היא התקפה על אמון, כפי שמדגימה המתקפה על הצינור הקולוניאלי. – Nextgov.

עבור DEF CON, זה היה ה-30 של האירוע^th יום נישואין, שמארגני אירועים קבעו כי לא יום הולדת אלא שיבה הביתה של האקר.

"אלה היו שנתיים מטורפות", על פי גורם רשמי פוסט בפורום DEF CON.

"מגיפה עולמית הפכה את DEF CON 28 למצב בטוח של DEF CON. הקלות מסוימות של ההגבלות וכמה כללי נוכחות נוקשים נתנו לנו קון היברידי עבור DC29. שיפור, ללא ספק, אבל משהו פחות מחוויית DEF CON מלאה... אנחנו רוצים ש-DEF CON 30 תהיה בעלת אנרגיה של מפגש מחודש... לכבוד כל זה, אנו קוראים ל-DEF CON 30 'Hacker Homecoming'."