ZeroNights 2012: вы хотели хардкора?

в 10:48, , рубрики: digital security, security, zeronights, Блог компании «Digital Security», информационная безопасность, конференция, метки: , , ,

image

ZeroNights 2012, как и в прошлом году, проходит при поддержке и участии Yandex. Мы очень рады вновь сотрудничать с такой знаменитой компанией. На днях компания «Яндекс» открыла программу по вознаграждению исследователей за найденные уязвимости в веб-сервисах и мобильных приложениях под названием «Охота за ошибками». С гордостью отметим, что это первый разработчик ПО на постсоветском пространстве, который столь ответственно отнесся к безопасности своих продуктов. Первые результаты программы будут объявлены на ZeroNights 2012, которая, как и раньше, сосредоточит в себе все самое интересное и актуальное из мира ИБ в России.

Также мы с удовольствием сообщаем, что сеть хостелов Bear Hostels предоставляет посетителям конференции 10-процентную скидку. Мы ждем вас в гости, в каком бы городе вы ни жили!

Еще одна хорошая новость: благодаря тому, что нам удалось несколько оптимизировать бюджет конференции, стоимость билетов для физических лиц теперь составляет 7000 рублей. Участники RISSPA и DEFCON Group имеют право на 10-процентную скидку.

Мы также сняли ограничение на количество регистраций по студенческому тарифу. Напомним, что с 1 октября стоимость участия для студентов и аспирантов составляет 1900 рублей. В студенческий пакет входит посещение конференции, включая все workshops, участие в конкурсах с призами, а также кофе-брейки.

Новые доклады

Обратный анализ и реконструкция объектно-ориентированной архитектуры Win32/Flamer

В основной программе великий и ужасный (:)) Александр Матросов совместно с Евгением Родионовым (Россия) без лишней болтовни расскажет о внутренностях Flamer.

В этом докладе вы не найдете упоминания о разоблачении правительственных структур причастных к разработке Win32/Flamer, а так же различных конспирологических теорий на тему кибероружия. В докладе будут рассмотрены подходы к обратному анализу вредоносного программного обеспечения, имеющего объектно-ориетнитрованную архитектуру, на примере одной из самых сложных угроз за все время существования антивирусной индустрии. На примере Win32/Flamer будет представлена методика, разработанная авторами в процессе анализа таких сложных угроз, как Stuxnet, Duqu и Festi. В ходе выступления будут представлены проблемы, с которыми приходилось сталкиваться в процессе анализа данных угроз и пути их решения с использованием инструментария от Hex-Rays. Также авторы доклада представят результаты своих исследований, посвященных реконструкции объектно-ориентированной платформы на базе которой был разработан Win32/Flamer, и продемонстрируют его родство со Stuxnet/Duqu/Gauss на уровне кода и архитектуры.

Прикладная анти-форензика: руткиты, уязвимости ядра и все-все-все

Дмитрий Олексюк aka Cr4sh (Россия) разорвет ваше представление о продвинутых техниках работы руткитов и в том числе просветит аудиторию на тему применения руткитов в целевых атаках.

В настоящее время наиболее широкую известность получили руткиты, которые используются во вредоносных программах массового распространения. Однако они также применяются и при целевых атаках, из-за чего руткит-технологии можно разделить на две большие группы. Главное отличие руткитов, применяемых при целевых атаках, от их более массовых собратьев заключается в том, что они должны не только препятствовать обнаружению факта компрометации системы в режиме её повседневной эксплуатации (оставаться невидимыми для пользователя и антивирусных программ), но и обладать качествами, которые максимально затрудняли бы детектирование руткита при его целенаправленном поиске высококвалифицированными специалистами по криминалистической экспертизе.

В данном докладе будут подробно рассмотрены следующие вопросы:

  • Основные подходы к выявлению вредоносного кода при исследовании скомпрометированной системы.
  • Практические аспекты реализации руткитов для применения в целевых атаках.
  • Демонстрация концептуальных руткитов, использующих интересные технические приёмы для сокрытия и исполнения кода в ring0.
  • Способы детектирования рассмотренных в ходе доклада концептов.

P.S. Информация, которая будет представлена публике, не является очередным никому не нужным исследованием вида «новый способ перехвата какой-то фигни в ядре ОС». Главная цель докладчика заключается в демонстрации примеров и результатов комплексного подхода к разработке сложнодетектируемого вредоносного кода.

Обзор вредоносных программ для Mac OS X

С некоторых пор Apple перестала хвастаться отсутствием вирусов в своих продуктах, и с помощью Ивана Сорокина (Россия) вы сможете узнать об этом подробнее.

На сегодняшний момент по классификации Dr.Web насчитывается порядка 20 разновидностей вредоносных программ для операционной системы Mac OS X. В докладе представлен сравнительный анализ основных представителей. При этом в качестве критериев сравнения рассматриваются различные аспекты, начиная от предназначения вредоносной программы и заканчивая отличительными особенностями каждого семейства угроз.

Как украсть у вора: ломаем IonCube VM и реверсим сборки эксплойтов

Докладчик: Mohamed Saher (США).

Набор эксплойтов — это набор вредоносных программ, которые, как правило, используются для выполнения автоматизированных driveby-атак с целью дальнейшего распространения вирусов. Такой набор можно купить на черном рынке (в основном у русских киберпреступников) по цене от нескольких сотен до пары тысяч долларов и даже больше. В последнее время обычной практикой также стала аренда эксплойт-паков, расположенных на определенном сервере. Таким образом, сформировался конкурентный рынок с множеством игроков, в том числе с множеством различных авторов. Несколько лет назад появился MPack – один из первых таких инструментов. Вскоре за ним последовали ICE-Pack, Fire-Pack и многие другие. Среди хорошо известных современных эксплойт-паков – например, Eleonore, YES Exploit Pack и Crimepack.

Чтобы защитить свои наборы эксплойтов, киберпреступники используют решения для перевода исходного кода в байткод (виртуализованный и обфусцированный). Затем он кодируется и передается загрузчику, который распространяет его через PHP-страницу. Проданные наборы эксплойтов также защищаются с помощью строгой политики лицензирования, запрещающей копирование и распространение.

В своем докладе я расскажу о том, как система защиты от копирования ionCube используется для защиты наборов эксплойтов. Еще я покажу, как взломать эту защиту и восстановить исходный код эксплойта, а также как выяснить, какие IP-адреса привязаны к определенной лицензии на набор эксплойтов.

План:

  • Понимание защиты от копирования (архитектура виртуальной машины)
  • Внутренности ВМ
  • Параметры ВМ
  • Что у ВМ под капотом (декодирование и деобфускация)
  • Взлом алгоритма шифрования лицензии
  • Получение информации о лицензии из заголовка ВМ
  • Выводы

На технологиях виртуализации базируются самые сложные системы защиты от копирования, и публичной информации по практической деобфускации реальных защит мало, так что настоятельно рекомендуем уделить внимание этому докладу.

Безопасность современных платежных технологий: EMV, NFC, etc.?

Здесь можно будет услышать страшную правду о безопасности современных платежных технологий в исполнении Никиты Абдуллина (Россия) — человека, изучившего работу всей цепочки «клиент — карта — терминал — эквайрер — МПС — эмитент — деньги — эмитент — эквайрер — терминал — товар/услуга/деньги — клиент» на всех уровнях от железа до бухучета.

Вы никогда не задумывались о надежности и безопасности высокотехнологичных платежных средств, обитающих в Вашем кошельке и карманах? Cамое время узнать об этом — в докладе рассматриваются аспекты безопасности современных электронных платежных технологий из «реального мира»: микропроцессорных банковских карт стандарта EMV и платежных решений на основе устройств с поддержкой NFC (Near Field Communication). Будут изложены принципы работы данных технологий, рассмотрены как известные ранее, так и новые вектора атак и меры противодействия им, прогнозы и аналитика.

Fast Track

Fast track позволяет молодым энтузиастам ИБ в течение 15 минут выступить с презентацией исследования.

Кирилл Самосадный (Россия) расскажет об использовании потенциала Flash-баннерных сетей для реализации массовых CSRF-атак.
Федор Ярочкин (Тайвань), Владимир Кропотов (Россия) и Виталий Четвертаков (Россия) представят краткий обзор массовых кампаний распространения вредоносного ПО в 2012 году. Акцент будет сделан на техники обхода автоматического детектирования фактов наличия опасного контента на скомпрометированных серверах.

Подробнее: 2012.zeronights.ru/fasttrack

Workshops

Случайные числа. Take Two

Workshop от русских экспертов – Арсения Реутова, Тимура Юнусова и Дмитрия Нагибина (Россия) – посвящен атакам на генератор случайных чисел в PHP.

В ходе анализа работы George Argyros и Aggelos Kiayias, представленной на BlackHat 2012 было обнаружено, что генераторы псевдослучайных чисел, используемые в PHP, очень даже «псевдо». В результате был создан набор инструментов для реализации атак на генераторы сессий и других элементов защиты в PHP. Также были подготовлены эксплойты для проведения данного вида атак на последние версии различных популярных веб-приложений.

В рамках workshop будут представлены:

  • теоретические выкладки о механизмах создании сессий и инициализации/использования генератора псевдослучайных чисел в различных версиях PHP;
  • практическая реализация атак предугадывания случайных токенов сброса пароля и случайных новых паролей, и утилита PHPSESSID Seed Bruteforce, осуществляющая атаку на генератор случайных чисел;
  • уязвимости в последних версиях веб-приложений UMI.CMS, OpenCart, Data Life Engine;
  • рекомендации для разработчиков, позволяющие избежать подобных проблем.

Advanced Exploit Development (x32). Browser Edition

Вас ждет увлекательная практическая экскурсия в мир эксплойтов под Windows 7 с нашим гидом – Алексеем Синцовым (Луна). Потратив всего 5 часов времени, вы будете разбираться от «А» до «Я» в разработке боевых эксплойтов для Windows 7, в частности для браузера IE9.

Браузер — это окно в мир Интернета, поэтому неудивительно, что через окно различные неблагоприятные элементы лезут прямо в наш дом. Данный курс рассчитан на тех, кому интересно понять, как эти элементы проникают в дом, эксплуатируя такие уязвимости браузера (или его плагинов), как переполнение буфера или использование памяти после освобождения. Кроме того, будет рассмотрено в деталях, как работают и обманываются различные защитные механизмы, которые должны препятствовать проникновению. Мы изучим типовые атаки на защитные механизмы ОС и ПО, такие как DEP/ASLR/SafeSEH/GS, рассмотрим технику HeapSpray и выполним произвольный код в обход всех защит! Все атаки и эксплойты будут воспроизведены участниками в ходе воркшопа, что позволит им самостоятельно оценить угрозы и реальные возможности подобных атак.

В программу входит:

  • Типовые проблемы браузера (на примере IE и его плагинов)
    • Что такое BoF, и как взять контроль?
      • RET
      • SEH
      • vTable
    • Чем эксплуатация уязвимостей плагинов отличается от эксплуатации уязвимостей самого браузера?
  • Особенности эксплуатации (чем отличается от серверного ПО, других браузеров)
    • HeapSpray in IE9
    • обход защитных механизмов
    • ванильный DEP (IE6-7)
    • обход permanent DEP+ASLR (если есть модуль без поддержки ASLR)
    • ROP (StackPivot)
    • GS+DEP+ASLR
    • safeSeh+GS+DEP+ASLR
    • обход ASLR (даже если все модули с поддержкой ASLR!)
  • Что такое UaF, и как взять контроль?
    • Что мешает UaF?
  • Отличия от Firefox/Opera/Safari/Chrome

На всех ключевых этапах будет получен calc.exe, то есть участники сами будут обходить защитные методы и собирать эксплойты — для этого будут подробно разобраны необходимые детали и суть атак.

Участник получит:

  • Принципы эксплуатации уязвимостей в браузере IE
    • Переполнение буфера в стеке
    • Использование памяти после освобождения
  • Навыки создания боевых эксплойтов для браузера
  • Понимания принципа работы передовых защитных механизмов MS Windows 7
    • DEP/Permanent DEP
    • ASLR
    • stack canary
    • safeSEH
  • Как обходят такую защиту
  • Навыки работы с Immunity Debugger и плагином mona.py

RFID: Джокеры в рукаве

Кирилл Саламатин aka Del (Россия) и Андрей Цуманов (Россия) представят 4-часовой мастер-класс, где научат посетителей манипулировать бесконтактными картами и защищаться от таких манипуляций. Куртку-сниффер и многое другое можно будет пощупать и опробовать в действии!

image

В программу входит:

  • Мир бесконтактных карт
    • Области использования сегодня и в будущем
    • Давайте уважать ст. 187 и ст. 159 УК РФ
    • Примеры неудачно спроектированных систем (горнолыжные и аквапарки, центры развлечений, транспортные системы)
    • Какие ошибки допускают разработчики систем
    • Минимальная защищенность карт от клонирования
    • Практические советы по защите СКУД от клонов

  • Средства скрытого неавторизованного считывания данных на расстоянии
    • Автономный клонер EM-Marine — покажем в работе
    • Антенна EM-Marine для считывания на расстоянии метра — покажем картинку
    • Традиционный ридер ACR122U — при желании легко маскируется
    • Куртка-сниффер — гвоздь программы, дадим пощупать и покажем в действии

  • Средства защиты от неавторизованного считывания карт
    • Какие решения существуют на рынке
    • Экранирующие обложки для биометрического паспорта — покажем в работе
    • Экранирующие держатели для бесконтактных карт — тоже покажем, если успеют прийти
    • «Клетка Фарадея» для бесконтактных карт своими руками — убеждаемся, что работает

  • Манипуляции с картами 125kHz
    • Просто считать
    • Просто записать
    • Несколько карт в одном устройстве
    • Главная проблема использования EM-Marine

  • Манипуляции с картами Mifare Classic
    • Специализированные устройства-эмуляторы
    • Дуальные смарт-карты JCOP31. Чем они могут помочь злоумышленнику?
    • Эмуляция ридером
    • Коммуникаторы с NFC
    • Софт и железо для манипуляций
    • Инструментарий для взлома карт Mifare Classic
    • Получение ключей из карты Mifare Classic — демонстрация

  • Mifare Zero
    • Карты с перезаписываемым блоком производителя
    • Какие они бывают
    • Обзор софта для записи
    • Демонстрация результата
    • Средства защиты от клонов на уровне СКУД

Ждем вас в Инфопространстве 19 и 20 ноября!

Автор: oprisko

Поделиться

* - обязательные к заполнению поля