Конференция ZeroNights 2012, как и в прошлом году, проходит при поддержке и участии «Яндекса». На днях «Яндекс» открыл программу по вознаграждению исследователей за найденные уязвимости в веб-сервисах и мобильных приложениях под названием «Охота за ошибками». Это первый разработчик ПО на постсоветском пространстве, который столь ответственно отнесся к безопасности своих продуктов. Первые результаты программы будут объявлены на ZeroNights 2012, которая, как и раньше, сосредоточит в себе все самое интересное и актуальное из мира ИБ в России.

Также организаторы с удовольствием сообщают, что сеть хостелов Bear Hostels предоставляет посетителям конференции 10-процентную скидку.

Ещё одна хорошая новость: благодаря тому, что удалось несколько оптимизировать бюджет конференции, стоимость билетов для физических лиц теперь составляет 7000 рублей. Участники RISSPA и DEFCON Group имеют право на 10-процентную скидку.

Также снято ограничение на количество регистраций по студенческому тарифу. Напомним, что с 1 октября стоимость участия для студентов и аспирантов составляет 1900 рублей. В студенческий пакет входит посещение конференции, включая все workshops, участие в конкурсах с призами, а также кофе-брейки.

Новые доклады

Обратный анализ и реконструкция объектно-ориентированной архитектуры Win32/Flamer

В основной программе великий и ужасный (:)) Александр Матросов совместно с Евгением Родионовым (Россия) без лишней болтовни расскажет о внутренностях Flamer.

В этом докладе вы не найдёте упоминания о разоблачении правительственных структур причастных к разработке Win32/Flamer, а так же различных конспирологических теорий на тему кибероружия. В докладе будут рассмотрены подходы к обратному анализу вредоносного программного обеспечения, имеющего объектно-ориентированную архитектуру, на примере одной из самых сложных угроз за всё время существования антивирусной индустрии. На примере Win32/Flamer будет представлена методика, разработанная авторами в процессе анализа таких сложных угроз, как Stuxnet, Duqu и Festi. В ходе выступления будут представлены проблемы, с которыми приходилось сталкиваться в процессе анализа данных угроз и пути их решения с использованием инструментария от Hex-Rays. Также авторы доклада представят результаты своих исследований, посвящённых реконструкции объектно-ориентированной платформы на базе которой был разработан Win32/Flamer, и продемонстрируют его родство со Stuxnet/Duqu/Gauss на уровне кода и архитектуры.

Прикладная анти-форензика: руткиты, уязвимости ядра и все-все-все

Дмитрий Олексюк aka Cr4sh (Россия) разорвёт ваше представление о продвинутых техниках работы руткитов и в том числе просветит аудиторию на тему применения руткитов в целевых атаках.

В настоящее время наиболее широкую известность получили руткиты, которые используются во вредоносных программах массового распространения. Однако они также применяются и при целевых атаках, из-за чего руткит-технологии можно разделить на две большие группы. Главное отличие руткитов, применяемых при целевых атаках, от их более массовых собратьев заключается в том, что они должны не только препятствовать обнаружению факта компрометации системы в режиме её повседневной эксплуатации (оставаться невидимыми для пользователя и антивирусных программ), но и обладать качествами, которые максимально затрудняли бы детектирование руткита при его целенаправленном поиске высококвалифицированными специалистами по криминалистической экспертизе.

В данном докладе будут подробно рассмотрены следующие вопросы:

  • Основные подходы к выявлению вредоносного кода при исследовании скомпрометированной системы.
  • Практические аспекты реализации руткитов для применения в целевых атаках.
  • Демонстрация концептуальных руткитов, использующих интересные технические приёмы для сокрытия и исполнения кода в ring0.
  • Способы детектирования рассмотренных в ходе доклада концептов.

P.S. Информация, которая будет представлена публике, не является очередным никому не нужным исследованием вида «новый способ перехвата какой-то фигни в ядре ОС». Главная цель докладчика заключается в демонстрации примеров и результатов комплексного подхода к разработке сложнодетектируемого вредоносного кода.

Обзор вредоносных программ для Mac OS X

С некоторых пор Apple перестала хвастаться отсутствием вирусов в своих продуктах, и с помощью Ивана Сорокина (Россия) вы сможете узнать о них подробнее.

На сегодняшний момент по классификации Dr.Web насчитывается порядка 20 разновидностей вредоносных программ для операционной системы Mac OS X. В докладе представлен сравнительный анализ основных представителей. При этом в качестве критериев сравнения рассматриваются различные аспекты, начиная от предназначения вредоносной программы и заканчивая отличительными особенностями каждого семейства угроз.

Как украсть у вора: ломаем IonCube VM и реверсим сборки эксплойтов

Докладчик: Mohamed Saher (США).

Набор эксплойтов — это набор вредоносных программ, которые, как правило, используются для выполнения автоматизированных driveby-атак с целью дальнейшего распространения вирусов. Такой набор можно купить на чёрном рынке (в основном у русских киберпреступников) по цене от нескольких сотен до пары тысяч долларов и даже больше. В последнее время обычной практикой также стала аренда эксплойт-паков, расположенных на определённом сервере. Таким образом, сформировался конкурентный рынок с множеством игроков, в том числе с множеством различных авторов. Несколько лет назад появился MPack — один из первых таких инструментов. Вскоре за ним последовали ICE-Pack, Fire-Pack и многие другие. Среди хорошо известных современных эксплойт-паков — например, Eleonore, YES Exploit Pack и Crimepack.

Чтобы защитить свои наборы эксплойтов, киберпреступники используют решения для перевода исходного кода в байткод (виртуализованный и обфусцированный). Затем он кодируется и передаётся загрузчику, который распространяет его через PHP-страницу. Проданные наборы эксплойтов также защищаются с помощью строгой политики лицензирования, запрещающей копирование и распространение.

В докладе расскажут о том, как система защиты от копирования ionCube используется для защиты наборов эксплойтов. Ещё будет показано, как взломать эту защиту и восстановить исходный код эксплойта, а также как выяснить, какие IP-адреса привязаны к определённой лицензии на набор эксплойтов.

План:

Понимание защиты от копирования (архитектура виртуальной машины)

  • Внутренности ВМ
  • Параметры ВМ
  • Что у ВМ под капотом (декодирование и деобфускация)
  • Взлом алгоритма шифрования лицензии
  • Получение информации о лицензии из заголовка ВМ
  • Выводы

На технологиях виртуализации базируются самые сложные системы защиты от копирования, и публичной информации по практической деобфускации реальных защит мало, так что настоятельно рекомендуем уделить внимание этому докладу.

Безопасность современных платежных технологий: EMV, NFC, etc.?

Здесь можно будет услышать страшную правду о безопасности современных платёжных технологий в исполнении Никиты Абдуллина (Россия) — человека, изучившего работу всей цепочки «клиент — карта — терминал — эквайрер — МПС — эмитент — деньги — эмитент — эквайрер — терминал — товар/услуга/деньги — клиент» на всех уровнях от железа до бухучёта.

Вы никогда не задумывались о надёжности и безопасности высокотехнологичных платёжных средств, обитающих в Вашем кошельке и карманах? Cамое время узнать об этом — в докладе рассматриваются аспекты безопасности современных электронных платежных технологий из «реального мира»: микропроцессорных банковских карт стандарта EMV и платёжных решений на основе устройств с поддержкой NFC (Near Field Communication). Будут изложены принципы работы данных технологий, рассмотрены как известные ранее, так и новые векторы атак и меры противодействия им, прогнозы и аналитика.

Fast Track

Fast track позволяет молодым энтузиастам ИБ в течение 15 минут выступить с презентацией исследования.

Кирилл Самосадный (Россия) расскажет об использовании потенциала Flash-баннерных сетей для реализации массовых CSRF-атак.

Федор Ярочкин (Тайвань), Владимир Кропотов (Россия) и Виталий Четвертаков (Россия) представят краткий обзор массовых кампаний распространения вредоносного ПО в 2012 году. Акцент будет сделан на техники обхода автоматического детектирования фактов наличия опасного контента на скомпрометированных серверах.

Подробнее: 2012.zeronights.ru/fasttrack.

Workshops

Случайные числа. Take Two

Workshop от русских экспертов – Арсения Реутова, Тимура Юнусова и Дмитрия Нагибина (Россия) – посвящён атакам на генератор случайных чисел в PHP.

В ходе анализа работы George Argyros и Aggelos Kiayias, представленной на BlackHat 2012 было обнаружено, что генераторы псевдослучайных чисел, используемые в PHP, очень даже «псевдо». В результате был создан набор инструментов для реализации атак на генераторы сессий и других элементов защиты в PHP. Также были подготовлены эксплойты для проведения данного вида атак на последние версии различных популярных веб-приложений.

В рамках workshop будут представлены:

  • теоретические выкладки о механизмах создании сессий и инициализации/использования генератора псевдослучайных чисел в различных версиях PHP;
  • практическая реализация атак предугадывания случайных токенов сброса пароля и случайных новых паролей, и утилита PHPSESSID Seed Bruteforce, осуществляющая атаку на генератор случайных чисел;
  • уязвимости в последних версиях веб-приложений UMI.CMS, OpenCart, Data Life Engine;
  • рекомендации для разработчиков, позволяющие избежать подобных проблем.
  • Advanced Exploit Development (x32). Browser Edition

    Вас ждёт увлекательная практическая экскурсия в мир эксплойтов под Windows 7 с гидом – Алексеем Синцовым (Луна). Потратив всего 5 часов времени, вы будете разбираться от «А» до «Я» в разработке боевых эксплойтов для Windows 7, в частности, для браузера IE9.

    Браузер — это окно в мир Интернета, поэтому неудивительно, что через окно различные неблагоприятные элементы лезут прямо в наш дом. Данный курс рассчитан на тех, кому интересно понять, как эти элементы проникают в дом, эксплуатируя такие уязвимости браузера (или его плагинов), как переполнение буфера или использование памяти после освобождения. Кроме того, будет рассмотрено в деталях, как работают и обманываются различные защитные механизмы, которые должны препятствовать проникновению. Мы изучим типовые атаки на защитные механизмы ОС и ПО, такие как DEP/ASLR/SafeSEH/GS, рассмотрим технику HeapSpray и выполним произвольный код в обход всех защит! Все атаки и эксплойты будут воспроизведены участниками в ходе воркшопа, что позволит им самостоятельно оценить угрозы и реальные возможности подобных атак.

    В программу входит:

    • Типовые проблемы браузера (на примере IE и его плагинов)
      • Что такое BoF, и как взять контроль?
        • RET
        • SEH
        • vTable
      • Чем эксплуатация уязвимостей плагинов отличается от эксплуатации уязвимостей самого браузера?
    • Особенности эксплуатации (чем отличается от серверного ПО, других браузеров)
      • HeapSpray in IE9
      • Обход защитных механизмов
      • ванильный DEP (IE6-7)
      • обход permanent DEP+ASLR (если есть модуль без поддержки ASLR)
      • ROP (StackPivot)
      • GS+DEP+ASLR
      • safeSeh+GS+DEP+ASLR
      • обход ASLR (даже если все модули с поддержкой ASLR!)
    • Что такое UaF, и как взять контроль?
      • Что мешает UaF?
    • Отличия от Firefox/Opera/Safari/Chrome

    На всех ключевых этапах будет получен calc.exe, то есть участники сами будут обходить защитные методы и собирать эксплойты — для этого будут подробно разобраны необходимые детали и суть атак.

    Участник получит:

    • Принципы эксплуатации уязвимостей в браузере IE
      • Переполнение буфера в стеке
      • Использование памяти после освобождения
    • Навыки создания боевых эксплойтов для браузера
    • Понимания принципа работы передовых защитных механизмов MS Windows 7
      • DEP/Permanent DEP
      • ASLR
      • stack canary
      • safeSEH
    • Как обходят такую защиту
    • Навыки работы с Immunity Debugger и плагином mona.py

    RFID: Джокеры в рукаве

    Кирилл Саламатин aka Del (Россия) и Андрей Цуманов (Россия) представят 4-часовой мастер-класс, где научат посетителей манипулировать бесконтактными картами и защищаться от таких манипуляций. Куртку-сниффер и многое другое можно будет пощупать и опробовать в действии!

    В программу входит:

    • Мир бесконтактных карт
      • Области использования сегодня и в будущем
      • Давайте уважать ст. 187 и ст. 159 УК РФ
      • Примеры неудачно спроектированных систем (горнолыжные и аквапарки, центры развлечений, транспортные системы)
      • Какие ошибки допускают разработчики систем
      • Минимальная защищенность карт от клонирования
      • Практические советы по защите СКУД от клонов
    • Средства скрытого неавторизованного считывания данных на расстоянии
      • Автономный клонер EM-Marine — покажем в работе
      • Антенна EM-Marine для считывания на расстоянии метра — покажем картинку
      • Традиционный ридер ACR122U — при желании легко маскируется
      • Куртка-сниффер — гвоздь программы, дадим пощупать и покажем в действии
    • Средства защиты от неавторизованного считывания карт
      • Какие решения существуют на рынке
      • Экранирующие обложки для биометрического паспорта — покажем в работе
      • Экранирующие держатели для бесконтактных карт — тоже покажем, если успеют прийти
      • «Клетка Фарадея» для бесконтактных карт своими руками — убеждаемся, что работает
    • Манипуляции с картами 125kHz
      • Просто считать
      • Просто записать
      • Несколько карт в одном устройстве
      • Главная проблема использования EM-Marine
    • Манипуляции с картами Mifare Classic
      • Специализированные устройства-эмуляторы
      • Дуальные смарт-карты JCOP31. Чем они могут помочь злоумышленнику?
      • Эмуляция ридером
      • Коммуникаторы с NFC
      • Софт и железо для манипуляций
      • Инструментарий для взлома карт Mifare Classic
      • Получение ключей из карты Mifare Classic — демонстрация
    • Mifare Zero
      • Карты с перезаписываемым блоком производителя
      • Какие они бывают
      • Обзор софта для записи
      • Демонстрация результата
      • Средства защиты от клонов на уровне СКУД

    Всех заинтересованных ждут в «Инфопространстве» 19 и 20 ноября!



    Оставить мнение