Хакер терпит неудачу

BLACK HAT EUROPE 2022 — Лондон. Исследователю Дугласу Макки не удалось извлечь пароли из медицинского устройства монитора пациента, которое он исследовал на наличие уязвимостей. Инструмент для взлома паролей графического процессора, который он запустил, чтобы поднять уровни учетных данных, необходимых для анализа устройства, оказался пустым. Лишь несколько месяцев спустя, когда он сел читать документацию по медицинскому устройству, он обнаружил, что пароли все это время были распечатаны.

«Наконец-то мне удалось прочитать документацию, в которой явно были все пароли в виде открытого текста прямо в документах», — рассказал Макки, директор по исследованию уязвимостей в Trellix, в своей сегодняшней презентации. Выяснилось, что пароли также были жестко запрограммированы в системе, так что его неудавшийся процесс взлома паролей был огромным излишеством. Позже он и его команда обнаружили в устройстве ошибки, которые позволили им фальсифицировать информацию о пациентах на мониторе.

По словам Макки, неспособность тщательно изучить документацию является распространенной ошибкой исследователей безопасности, стремящихся копаться в аппаратных устройствах и программном обеспечении, которое они изучают и реконструируют. Он и его коллега Филипп Лаульере, старший исследователь Trellix по вопросам безопасности, в своем «Сильнее терпеть неудачу: найти критические нулевые дни вопреки себе” здесь, поделились своими военными историями из-за ошибок или просчетов, которые они допустили в своих хакерских проектах: неудачи, которые, по их словам, служат полезным уроком для исследователей.

«На всех конференциях, на которые мы ходим, [они] демонстрируют блестящие результаты» и успехи в исследованиях в области безопасности, подобные нулевым дням, — сказал Лаульхерет. По словам исследователей, вы не всегда можете услышать о череде неудач и неудач на своем пути, когда вынюхиваете уязвимости. В их случае это было все: от аппаратных взломов, которые сжигали печатные платы до хрустящей корочки, до длинного шелл-кода, который не запускался.

В последнем случае Макки и его команда обнаружили уязвимость в Belkin Wemo Insight SmartPlug, потребительском устройстве с поддержкой Wi-Fi для удаленного включения и выключения подключенных к нему устройств. «Мой шелл-код не попадал в стек. Если бы я читал библиотеку XML, было бы ясно, что XML отфильтровывает символы и существует ограниченный набор символов, разрешенный через фильтр XML. Это был еще один пример потерянного времени, если бы я прочитал код, с которым на самом деле работал», — говорит он. «Когда мы разобрали его, мы обнаружили переполнение буфера, что позволило вам удаленно управлять устройством».

Не предполагайте: обучение с помощью приложения дистанционного обучения «Безопасность»

В другом проекте исследователи изучили программный инструмент дистанционного обучения Netop под названием Vision Pro, который, среди прочего, включает в себя возможность для учителей удаленно подключаться к компьютерам учеников и обмениваться файлами со своими учениками. Функция, основанная на протоколе удаленного рабочего стола, казалась достаточно простой: «Он позволяет учителям входить в систему, используя учетные данные Microsoft, чтобы получить полный доступ к компьютеру ученика», — объяснил Макки.

Исследователи предположили, что учетные данные были зашифрованы при передаче по сети, что, по логике вещей, было бы лучшей практикой безопасности. Но, наблюдая за своими сетевыми захватами с помощью Wireshark, они были потрясены, обнаружив, что учетные данные перемещаются по сети в незашифрованном виде. «Часто предположения могут стать причиной смерти вашего исследовательского проекта», — сказал Макки.

Между тем, они рекомендуют иметь под рукой несколько версий продукта, который вы исследуете, на случай, если одна из них будет повреждена. Макки признался, что немного переусердствовал, разбирая аккумулятор и внутренние компоненты инфузионного насоса B Bruan Infusomat. Он и его команда разобрали батарею после того, как заметили MAC-адрес на наклейке, прикрепленной к ней. Внутри они обнаружили печатную плату и чип флэш-памяти, и в итоге они физически повредили чип, пытаясь добраться до программного обеспечения на нем.

«Сначала попытайтесь выполнить наименее инвазивный процесс», — сказал Макки, и не спешите ломать оборудование с самого начала. «Разрушение вещей — это часть процесса взлома оборудования», — сказал он.