Black Hat 和 DEF CON 综述

今年在 BSides LV、Black Hat USA 和 DEF CON（也统称为黑客夏令营）上没有什么特别之处。 为期一周的网络安全会议汇集了不拘一格的与会者来学习、建立网络、破解和玩乐。 这一周甚至包括一个 罕见的拉斯维加斯山洪 （不是新的 DDoS 技术）周四在一个赌场造成混乱。

过去的一周，虽然不是“典型的”，但对与会者来说是对常态的一种认可。 参加活动的人数比上一年有所增加，而在 2021 年，由于出席人数减少和对 COVID 的担忧而减弱。 以下是今年展会的领先研究、主题和嗡嗡声的综述。

笔记研究

视频会议宠儿Zoom是 Patrick Wardle 在 DEF CON 上的亮点，Objective-See 基金会的创始人，获得了一项黑客技术，使他能够使用 macOS 版本的 Zoom 提升权限并获得对整个 macOS 操作系统的访问权限。

Pen Test Partners 揭示了一些波音飞机飞行员使用的电子飞行包平板电脑存在缺陷，该缺陷可能允许对手修改数据，“并导致飞行员做出危险的误判”， 根据路透社的报道.

Starlink 是由 SpaceX 运营的卫星，可为超过 36 个国家/地区提供互联网接入，但它很容易受到 通过 25 美元的 modchip 破解. 比利时研究员 Lennert Wouters 在 Black Hat 上透露了他如何成功地对用于管理卫星的用户终端进行故障注入攻击。

据来自 Portswigger 的 The Daily Swig.

记者 Eduard Kovacs 报道了该公司 eCos SDK 中的一个高严重性 Realtek 错误。 由 Faraday Security 发现并在 DEF CON 上进行了讨论，eCos SDK 用于各种路由器、接入点和网络中继器， 根据他的报告.

对于 FUD 的粉丝，PC 杂志有一个很好的“我们在 14 年黑帽大会上看到的 2022 件最可怕的事情“。 让他们保持活力的是 SMS 代码未通过 MFA、触摸屏设备的“隐形手指控制”以及微软在启动其早期启动反恶意软件 (ELAM) 时出现的问题。

讨论话题

黑帽大会的主要主题演讲来自前网络安全和基础设施安全局 (CISA) 的 Chris Krebs，他对美国的信息安全方法持乐观态度。 然而， 他确实表达了 悲观的是，美国的网络防御过于关注民族国家的攻击者，而不是更平凡和紧迫的担忧，据他估计，比如勒索软件。

乌克兰战争和 Log4j 也是每次会议的主要主题。 ESET 向黑帽会议参与者提供了针对乌克兰的网络攻击的最新信息。 CyCognito 等公司警告说，我们 还没有脱离 Log4j 树林. SiliconAngle 的一份报告援引国土安全部负责政策的副部长罗伯特·西尔弗斯（Robert Silvers）的话回应了这些担忧，他告诉与会者“[Log4j] 组织最有可能在至少十年甚至更长时间内处理 Log4j 问题。”

乌克兰国家特殊通信服务局副局长维克多·佐拉（Victor Zhora）告诉 Black Hat 与会者，自俄罗斯入侵该国以来，乌克兰的基础设施网络事件增加了 300%。 据一位消息人士称，这次访问是未经宣布的 美国之音报道.

与此同时，现任白宫网络主管 Chris Inglis 在 DEF CON 会议上告诉记者 Kim Zetter，他专注于“近年来取得进展的‘三波攻击’”，据一位 Nextgov报告.

第一波“专注于将数据和系统置于风险之中的对手”。 其次，攻击者“仍然使数据和系统处于危险之中，但他们随后将其抽象为使关键功能处于危险之中”。 第三是对信心的攻击，例如对殖民管道的攻击。 – 下一个政府。

对于 DEF CON，这是赛事的第 30 场^th 周年纪念日，活动组织者称其不是生日，而是黑客回归。

“这是疯狂的几年，”一位官员说 DEF CON 论坛帖子.

“全球大流行将 DEF CON 28 变成了 DEF CON 安全模式。 一些放宽的限制和一些严格的出勤规则给了我们 DC29 的混合骗局。 可以肯定的是，这是一种改进，但缺少完整的 DEF CON 体验……我们希望 DEF CON 30 具有团聚的能量……为了纪念这一切，我们将 DEF CON 30 称为“黑客归来”。”