Конференция ZeroNights 2012, как и в прошлом году, проходит при поддержке и участии «Яндекса». На днях «Яндекс» открыл программу по вознаграждению исследователей за найденные уязвимости в веб-сервисах и мобильных приложениях под названием «Охота за ошибками». Это первый разработчик ПО на постсоветском пространстве, который столь ответственно отнесся к безопасности своих продуктов. Первые результаты программы будут объявлены на ZeroNights 2012, которая, как и раньше, сосредоточит в себе все самое интересное и актуальное из мира ИБ в России.
Также организаторы с удовольствием сообщают, что сеть хостелов Bear Hostels предоставляет посетителям конференции 10-процентную скидку.
Ещё одна хорошая новость: благодаря тому, что удалось несколько оптимизировать бюджет конференции, стоимость билетов для физических лиц теперь составляет 7000 рублей. Участники RISSPA и DEFCON Group имеют право на 10-процентную скидку.
Также снято ограничение на количество регистраций по студенческому тарифу. Напомним, что с 1 октября стоимость участия для студентов и аспирантов составляет 1900 рублей. В студенческий пакет входит посещение конференции, включая все workshops, участие в конкурсах с призами, а также кофе-брейки.
Новые доклады
Обратный анализ и реконструкция объектно-ориентированной архитектуры Win32/Flamer
В основной программе великий и ужасный (:)) Александр Матросов совместно с Евгением Родионовым (Россия) без лишней болтовни расскажет о внутренностях Flamer.
В этом докладе вы не найдёте упоминания о разоблачении правительственных структур причастных к разработке Win32/Flamer, а так же различных конспирологических теорий на тему кибероружия. В докладе будут рассмотрены подходы к обратному анализу вредоносного программного обеспечения, имеющего объектно-ориентированную архитектуру, на примере одной из самых сложных угроз за всё время существования антивирусной индустрии. На примере Win32/Flamer будет представлена методика, разработанная авторами в процессе анализа таких сложных угроз, как Stuxnet, Duqu и Festi. В ходе выступления будут представлены проблемы, с которыми приходилось сталкиваться в процессе анализа данных угроз и пути их решения с использованием инструментария от Hex-Rays. Также авторы доклада представят результаты своих исследований, посвящённых реконструкции объектно-ориентированной платформы на базе которой был разработан Win32/Flamer, и продемонстрируют его родство со Stuxnet/Duqu/Gauss на уровне кода и архитектуры.
Прикладная анти-форензика: руткиты, уязвимости ядра и все-все-все
Дмитрий Олексюк aka Cr4sh (Россия) разорвёт ваше представление о продвинутых техниках работы руткитов и в том числе просветит аудиторию на тему применения руткитов в целевых атаках.
В настоящее время наиболее широкую известность получили руткиты, которые используются во вредоносных программах массового распространения. Однако они также применяются и при целевых атаках, из-за чего руткит-технологии можно разделить на две большие группы. Главное отличие руткитов, применяемых при целевых атаках, от их более массовых собратьев заключается в том, что они должны не только препятствовать обнаружению факта компрометации системы в режиме её повседневной эксплуатации (оставаться невидимыми для пользователя и антивирусных программ), но и обладать качествами, которые максимально затрудняли бы детектирование руткита при его целенаправленном поиске высококвалифицированными специалистами по криминалистической экспертизе.
В данном докладе будут подробно рассмотрены следующие вопросы:
- Основные подходы к выявлению вредоносного кода при исследовании скомпрометированной системы.
- Практические аспекты реализации руткитов для применения в целевых атаках.
- Демонстрация концептуальных руткитов, использующих интересные технические приёмы для сокрытия и исполнения кода в ring0.
- Способы детектирования рассмотренных в ходе доклада концептов.
P.S. Информация, которая будет представлена публике, не является очередным никому не нужным исследованием вида «новый способ перехвата какой-то фигни в ядре ОС». Главная цель докладчика заключается в демонстрации примеров и результатов комплексного подхода к разработке сложнодетектируемого вредоносного кода.
Обзор вредоносных программ для Mac OS X
С некоторых пор Apple перестала хвастаться отсутствием вирусов в своих продуктах, и с помощью Ивана Сорокина (Россия) вы сможете узнать о них подробнее.
На сегодняшний момент по классификации Dr.Web насчитывается порядка 20 разновидностей вредоносных программ для операционной системы Mac OS X. В докладе представлен сравнительный анализ основных представителей. При этом в качестве критериев сравнения рассматриваются различные аспекты, начиная от предназначения вредоносной программы и заканчивая отличительными особенностями каждого семейства угроз.
Как украсть у вора: ломаем IonCube VM и реверсим сборки эксплойтов
Докладчик: Mohamed Saher (США).
Набор эксплойтов — это набор вредоносных программ, которые, как правило, используются для выполнения автоматизированных driveby-атак с целью дальнейшего распространения вирусов. Такой набор можно купить на чёрном рынке (в основном у русских киберпреступников) по цене от нескольких сотен до пары тысяч долларов и даже больше. В последнее время обычной практикой также стала аренда эксплойт-паков, расположенных на определённом сервере. Таким образом, сформировался конкурентный рынок с множеством игроков, в том числе с множеством различных авторов. Несколько лет назад появился MPack — один из первых таких инструментов. Вскоре за ним последовали ICE-Pack, Fire-Pack и многие другие. Среди хорошо известных современных эксплойт-паков — например, Eleonore, YES Exploit Pack и Crimepack.
Чтобы защитить свои наборы эксплойтов, киберпреступники используют решения для перевода исходного кода в байткод (виртуализованный и обфусцированный). Затем он кодируется и передаётся загрузчику, который распространяет его через PHP-страницу. Проданные наборы эксплойтов также защищаются с помощью строгой политики лицензирования, запрещающей копирование и распространение.
В докладе расскажут о том, как система защиты от копирования ionCube используется для защиты наборов эксплойтов. Ещё будет показано, как взломать эту защиту и восстановить исходный код эксплойта, а также как выяснить, какие IP-адреса привязаны к определённой лицензии на набор эксплойтов.
План:
Понимание защиты от копирования (архитектура виртуальной машины)
- Внутренности ВМ
- Параметры ВМ
- Что у ВМ под капотом (декодирование и деобфускация)
- Взлом алгоритма шифрования лицензии
- Получение информации о лицензии из заголовка ВМ
- Выводы
На технологиях виртуализации базируются самые сложные системы защиты от копирования, и публичной информации по практической деобфускации реальных защит мало, так что настоятельно рекомендуем уделить внимание этому докладу.
Безопасность современных платежных технологий: EMV, NFC, etc.?
Здесь можно будет услышать страшную правду о безопасности современных платёжных технологий в исполнении Никиты Абдуллина (Россия) — человека, изучившего работу всей цепочки «клиент — карта — терминал — эквайрер — МПС — эмитент — деньги — эмитент — эквайрер — терминал — товар/услуга/деньги — клиент» на всех уровнях от железа до бухучёта.
Вы никогда не задумывались о надёжности и безопасности высокотехнологичных платёжных средств, обитающих в Вашем кошельке и карманах? Cамое время узнать об этом — в докладе рассматриваются аспекты безопасности современных электронных платежных технологий из «реального мира»: микропроцессорных банковских карт стандарта EMV и платёжных решений на основе устройств с поддержкой NFC (Near Field Communication). Будут изложены принципы работы данных технологий, рассмотрены как известные ранее, так и новые векторы атак и меры противодействия им, прогнозы и аналитика.
Fast Track
Fast track позволяет молодым энтузиастам ИБ в течение 15 минут выступить с презентацией исследования.
Кирилл Самосадный (Россия) расскажет об использовании потенциала Flash-баннерных сетей для реализации массовых CSRF-атак.
Федор Ярочкин (Тайвань), Владимир Кропотов (Россия) и Виталий Четвертаков (Россия) представят краткий обзор массовых кампаний распространения вредоносного ПО в 2012 году. Акцент будет сделан на техники обхода автоматического детектирования фактов наличия опасного контента на скомпрометированных серверах.
Подробнее: 2012.zeronights.ru/fasttrack.
Workshops
Случайные числа. Take Two
Workshop от русских экспертов – Арсения Реутова, Тимура Юнусова и Дмитрия Нагибина (Россия) – посвящён атакам на генератор случайных чисел в PHP.
В ходе анализа работы George Argyros и Aggelos Kiayias, представленной на BlackHat 2012 было обнаружено, что генераторы псевдослучайных чисел, используемые в PHP, очень даже «псевдо». В результате был создан набор инструментов для реализации атак на генераторы сессий и других элементов защиты в PHP. Также были подготовлены эксплойты для проведения данного вида атак на последние версии различных популярных веб-приложений.
В рамках workshop будут представлены:
- теоретические выкладки о механизмах создании сессий и инициализации/использования генератора псевдослучайных чисел в различных версиях PHP;
Advanced Exploit Development (x32). Browser Edition
Вас ждёт увлекательная практическая экскурсия в мир эксплойтов под Windows 7 с гидом – Алексеем Синцовым (Луна). Потратив всего 5 часов времени, вы будете разбираться от «А» до «Я» в разработке боевых эксплойтов для Windows 7, в частности, для браузера IE9.
Браузер — это окно в мир Интернета, поэтому неудивительно, что через окно различные неблагоприятные элементы лезут прямо в наш дом. Данный курс рассчитан на тех, кому интересно понять, как эти элементы проникают в дом, эксплуатируя такие уязвимости браузера (или его плагинов), как переполнение буфера или использование памяти после освобождения. Кроме того, будет рассмотрено в деталях, как работают и обманываются различные защитные механизмы, которые должны препятствовать проникновению. Мы изучим типовые атаки на защитные механизмы ОС и ПО, такие как DEP/ASLR/SafeSEH/GS, рассмотрим технику HeapSpray и выполним произвольный код в обход всех защит! Все атаки и эксплойты будут воспроизведены участниками в ходе воркшопа, что позволит им самостоятельно оценить угрозы и реальные возможности подобных атак.
В программу входит:
- Типовые проблемы браузера (на примере IE и его плагинов)
- Что такое BoF, и как взять контроль?
- RET
- SEH
- vTable
- Чем эксплуатация уязвимостей плагинов отличается от эксплуатации уязвимостей самого браузера?
- Особенности эксплуатации (чем отличается от серверного ПО, других браузеров)
- HeapSpray in IE9
- Обход защитных механизмов
- ванильный DEP (IE6-7)
- обход permanent DEP+ASLR (если есть модуль без поддержки ASLR)
- ROP (StackPivot)
- GS+DEP+ASLR
- safeSeh+GS+DEP+ASLR
- обход ASLR (даже если все модули с поддержкой ASLR!)
- Что такое UaF, и как взять контроль?
- Что мешает UaF?
- Отличия от Firefox/Opera/Safari/Chrome
На всех ключевых этапах будет получен calc.exe, то есть участники сами будут обходить защитные методы и собирать эксплойты — для этого будут подробно разобраны необходимые детали и суть атак.
Участник получит:
- Принципы эксплуатации уязвимостей в браузере IE
- Переполнение буфера в стеке
- Использование памяти после освобождения
- Навыки создания боевых эксплойтов для браузера
- Понимания принципа работы передовых защитных механизмов MS Windows 7
- DEP/Permanent DEP
- ASLR
- stack canary
- safeSEH
- Как обходят такую защиту
- Навыки работы с Immunity Debugger и плагином mona.py
RFID: Джокеры в рукаве
Кирилл Саламатин aka Del (Россия) и Андрей Цуманов (Россия) представят 4-часовой мастер-класс, где научат посетителей манипулировать бесконтактными картами и защищаться от таких манипуляций. Куртку-сниффер и многое другое можно будет пощупать и опробовать в действии!
В программу входит:
- Мир бесконтактных карт
- Области использования сегодня и в будущем
- Давайте уважать ст. 187 и ст. 159 УК РФ
- Примеры неудачно спроектированных систем (горнолыжные и аквапарки, центры развлечений, транспортные системы)
- Какие ошибки допускают разработчики систем
- Минимальная защищенность карт от клонирования
- Практические советы по защите СКУД от клонов
- Средства скрытого неавторизованного считывания данных на расстоянии
- Автономный клонер EM-Marine — покажем в работе
- Антенна EM-Marine для считывания на расстоянии метра — покажем картинку
- Традиционный ридер ACR122U — при желании легко маскируется
- Куртка-сниффер — гвоздь программы, дадим пощупать и покажем в действии
- Средства защиты от неавторизованного считывания карт
- Какие решения существуют на рынке
- Экранирующие обложки для биометрического паспорта — покажем в работе
- Экранирующие держатели для бесконтактных карт — тоже покажем, если успеют прийти
- «Клетка Фарадея» для бесконтактных карт своими руками — убеждаемся, что работает
- Манипуляции с картами 125kHz
- Просто считать
- Просто записать
- Несколько карт в одном устройстве
- Главная проблема использования EM-Marine
- Манипуляции с картами Mifare Classic
- Специализированные устройства-эмуляторы
- Дуальные смарт-карты JCOP31. Чем они могут помочь злоумышленнику?
- Эмуляция ридером
- Коммуникаторы с NFC
- Софт и железо для манипуляций
- Инструментарий для взлома карт Mifare Classic
- Получение ключей из карты Mifare Classic — демонстрация
- Mifare Zero
- Карты с перезаписываемым блоком производителя
- Какие они бывают
- Обзор софта для записи
- Демонстрация результата
- Средства защиты от клонов на уровне СКУД
