Хакер терпит неудачу

BLACK HAT EUROPE 2022 – Лондон – Исследователю Дугласу Макки не удалось извлечь пароли в медицинском устройстве для мониторинга пациентов, которое он исследовал на наличие уязвимостей. Инструмент для взлома паролей графического процессора, который он запустил, чтобы снять уровни учетных данных, необходимые для анализа устройства, оказался пустым. Лишь несколько месяцев спустя, когда он сел читать документацию к медицинскому устройству, он обнаружил, что пароли все это время были напечатаны прямо здесь.

«Наконец-то мне удалось прочитать документацию, в которой все пароли были явно указаны в виде открытого текста прямо в документах», — рассказал Макки, директор по исследованиям уязвимостей в Trellix, в сегодняшней презентации. Оказалось, что пароли также были жестко запрограммированы в системе, поэтому его неудачный процесс взлома пароля был огромным излишним. Позже он и его команда обнаружили в устройстве ошибки, которые позволили им фальсифицировать информацию о пациенте на мониторе.

По словам Макки, неспособность тщательно изучить документацию является распространенной ошибкой среди исследователей безопасности, стремящихся изучить аппаратные устройства и программное обеспечение, которые они изучают и проводят реверс-инжиниринг. Он и его коллега Филипп Лолере, старший исследователь безопасности в Trellix, в своей «Сильнее терпеть неудачу: найти критические нулевые дни вопреки себеВ представленной здесь презентации они поделились некоторыми из своих военных историй об ошибках или просчетах, которые они допустили в своих хакерских проектах: неудачи, которые, по их словам, служат полезными уроками для исследователей.

«На всех конференциях, которые мы посещаем, [они] демонстрируют блестящие результаты» и успехи в исследованиях безопасности, такие как «нулевые дни», — сказал Лолерет. По словам исследователей, при обнаружении уязвимостей не всегда можно услышать о череде неудач и неудач на пути к обнаружению уязвимостей. В их случае это было всё: от взлома оборудования, приводившего к сгоранию печатных плат, до длинного шелл-кода, который не удалось запустить.

В последнем случае Макки и его команда обнаружили уязвимость в Belkin Wemo Insight SmartPlug, потребительском устройстве с поддержкой Wi-Fi для удаленного включения и выключения подключенных к нему устройств. «Мой шелл-код не попадал в стек. Если бы я читал библиотеку XML, то было бы ясно, что XML отфильтровывает символы и существует ограниченный набор символов, разрешенный через фильтр XML. Это был еще один пример потерянного времени, если бы я прочитал через код, с которым я фактически работал», — говорит он. «Когда мы разобрали его, мы обнаружили переполнение буфера, которое позволяло удаленно управлять устройством».

Не предполагайте: обучение с помощью приложения дистанционного обучения «Безопасность»

В другом проекте исследователи изучили программный инструмент дистанционного обучения от Netop под названием Vision Pro, который, среди прочего, включает в себя возможность учителям удаленно подключаться к машинам учеников и обмениваться файлами со своими учениками. Функция на основе протокола удаленного рабочего стола казалась достаточно простой: «Она позволяет учителям входить в систему, используя учетные данные Microsoft, чтобы получить полный доступ к компьютеру ученика», — объяснил Макки.

Исследователи предположили, что учетные данные передаются в зашифрованном виде, что было бы лучшей логической практикой обеспечения безопасности. Но, отслеживая свои сетевые захваты с помощью Wireshark, они были потрясены, обнаружив, что учетные данные передаются по сети в незашифрованном виде. «Во многих случаях предположения могут стать причиной смерти того, как вы выполняете исследовательский проект», — сказал Макки.

Между тем, они рекомендуют иметь под рукой несколько версий продукта, который вы исследуете, на случай, если одна из них будет повреждена. Макки признался, что немного переусердствовал, разбирая батарею и внутренние части инфузомата B Bruan Infusomat. Он и его команда разобрали аккумулятор после того, как заметили MAC-адрес на наклейке, прикрепленной к нему. Внутри они обнаружили печатную плату и флэш-чип, и в итоге физически повредили чип, пытаясь добраться до установленного на нем программного обеспечения.

«Сначала постарайтесь выполнить наименее инвазивный процесс», — сказал Макки, и не бросайтесь взламывать оборудование с самого начала. «Взлом — это часть процесса взлома оборудования», — сказал он.