Linux Forum Казахстан

[size="3"]На конференции Black Hat будет представлено многоплатформенное троянское ПО[/size]

Конференция Black Hat, которая будет проходить со 2-го по 7-е августа, и ее продолжение DefCon обещают превратить последующие несколько недель в период, насыщенный интересными идеями и разработками в области информационной безопасности. Эксперты, которые соберутся в Лас-Вегасе на это мероприятие, продемонстрируют различные, ранее не известные, уязвимости в современных технологиях обеспечения сетевого взаимодействия. Это позволит по новому взглянуть на защищенность персональных компьютеров, проводных и беспроводных LAN и интернета в целом.

Itzik Kotler, специалист по проблемам безопасности из Radware-центра говорит, что его компания на конференции представит программу-троян Jinx. Kotler описывает Jinx, как алгоритм, позволяющий захватить управление компьютером жертвы, используя уязвимую версию браузера Firefox 3, которая предшествовала последнему релизу 3.0.1.

Jinx представляет собой код, написанный на Javascript, который может индексировать и затем отсылать злоумышленнику файлы с жесткого диска жертвы не зависимо от платформы (Macintosh, Windows или Linux), которую использует последний. Так же Jinx способен превратить компьютер незадачливого пользователя в спам-машину.

«Эта программа является образцом, подтверждающим потенциальную возможность такого метода атаки. При этом не требуется ни внедрение особого кода, ни модификации ядра ОС» - сказал Kotler, намекнув так же, что Radware работает над аналогичным трояном, использующим уязвимости Microsoft Internet Explorer. По окончание конференции исходный код Jinx будет выложен для всеобщего обозрения.

В Radware уверены, что в связи с растущей популярностью Web 2.0 и выпуском браузеров, отвечающих требованиям этой спецификации, пользователи должны знать о потенциальной угрозе их информационной безопасности и быть готовыми к ее отражению. Браузеры получили огромные полномочия по управлению работой компьютера и любая ошибка в их внутренней логике может спровоцировать атаку на незащищенные данные.

[size="3"]Озвучены имена победителей Pwnie Awords 2011 [/size]

На проходящей в эти дни конференции Black Hat в Лас Вегасе состоялась (http://pwnies.com/winners/) церемония вручения наград Pwnie Awords, ежегодной премии, которой удостаиваются люди, сделавшие самые значимые, а также самые спорные открытия в области информационной безопасности. Pwnie Awords считается аналогом Оскара в области компьютерной безопасности и проводится ежегодно начиная с 2007 года.

 Всего в этом году было представлено восемь номинаций:

• Лучшая серверная ошибка, победителем в которой становится человек, нашедший и использовавший наиболее технически сложную и интересную ошибку в сетевом сервисе. Среди конкурсантов были
  • Matt Bergin, нашедший ошибку в Microsoft FTP server, позволяющую получить контроль над сервером (CVE-2010-3972 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3972)),
  • Sebastian Krahmer и Marius Tomaschewski, нашедшие способ выполнить произвольный код в ISC dhclient (CVE-2011-0997 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0997)),
  • Tavis Ormandy, нашедший уязвимость в коде IPSec, сетевого стека BSD (CVE-2011-1547 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1547)),
  • неизвестный автор эксплоита против сервера Exim (CVE-2010-4344 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4344))
  • ставшие победителями, Juliano Rizzo, Thai Duong, нашедшие способ компрометации любого ASP.NET-приложения (CVE-2010-3332 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3332)).
• Лучшая ошибка в клиентском ПО, аналогичная награда в области клиентских приложений, на которую претендовали пять человек:
  • VUPEN, нашедший способ выхода за пределы песочницы браузера Google Chrome и исполнения любого кода с правами текущего пользователя (демо (http://www.vupen.com/demos/VUPEN_Pwning_Chrome.php)),
  • Frédéric Hoguin, нашедший уязвимость в виртуальной машине Java, позволяющую исполнить произвольный код с помощью стандартных средств JRE (CVE-2010-4452 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4452)),
  • Vincenzo Iozzo, Willem Pinckaers и Ralf-Phillipp Weinmann, использовавшие уязвимости в HTML-движке WebKit для выполнения (http://www.opennet.ru/opennews/art.shtml?num=29864) произвольного кода на смартфоне Blackberry,
  • Jon Oberheide, который нашел способ (http://jon.oberheide.org/blog/2011/03/07/how-i-almost-won-pwn2own-via-xss/) установки произвольного приложения на Android-смартфон жертвы через специальным образом сформированную ссылку (XSS-уязвимость в веб-версии Android Market)
  • ставший победителем, Comex, нашедший уязвимость растеризаторе шрифтов FreeType для платформы iOS, которая помогла тысячам людей в снятии блокировки iPhone (CVE-2011-0226 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0226)).
• Лучшая уязвимость, приводящая к повышению привилегий. На получение приза в этой номинации претендовали четыре человека:
  • Matthew 'j00ru' Jurczyk - выход за пределы Windows CSRSS (CVE-2011-1281),  (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1281)
  • Nelson Elhage - DoS-уязвимость в ядре Linux ( (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1281)CVE-2010-4258 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4258)),
  • Tavis Ormandy - способ получений root-привилегий с помощью уязвимости в glibc (CVE-2010-3847 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3847))
  • победитель Tarjei Mandt, нашедший более 40 уязвимостей в ядре Windows (MS11-034 (http://www.microsoft.com/technet/security/bulletin/MS11-034.mspx)).
• Наиболее инновационное исследование. Присуждается людям, сделавшим наиболее интересное открытие. В этом году номинантами были:
  • Jon Oberheide и Dan Rosenberg, представившие (http://jon.oberheide.org/blog/2011/04/20/stackjacking-your-way-to-grsec-pax-bypass/) несколько техник использования уязвимостей в Linux-ядре с модулем GRSecurity,
  • Haifei Li, опубликовавший (http://www.fortiguard.com/papers/CanSecWest2011_Flash_ActionScript.pdf) исследование, посвященное уявимостям во Flash-плеере,
  • Aaron Portnoy и Logan Brown, представившие (http://cansecwest.com/csw11/Adobe_Shockwave-AaronPortnoy_LoganBrown.pptx) очень подробное исследование аллокатора памяти SmartHeap в Adobe Shockwave,
  • Chris Valasek, опубликовавший (http://illmatics.com/Understanding_the_LFH.pdf) детальный обзор принципов работы Low Fragmentation Heap в Windows Vista и Windows 7
  • победивший Piotr Bania, представивший (http://piotrbania.com/all/articles/pbania-securing-the-kernel2011.pdf) способ бинарного переписывания драйверов устройств в Windows.
• Самый ламерский ответ вендора (Lamest Vendor Response). Присуждается компаниям, наиболее неадекватно отреагировавшим на информацию об уязвимости в их продуктах. В этом году три номинанта:
  • Novell, которая приняла уязвимость (http://dvlabs.tippingpoint.com/blog/2010/09/01/zdi-10-169-on-exploitability), которую можно использовать для выполнения кода, за DoS-уязвимость и отказалась исправлять ошибку,
  • Magix, угрожавшей засудить исследователя, сообщившего руководству компании об уязвимости (https://www.corelan.be/index.php/forum/security-advisories/corelan-11-002-magix-music-maker-16-stack-buffer-overflow/) в том случае, если он опубликует эксплойт
  • победитель, RSA, которая после взлома (http://blogs.rsa.com/rivner/anatomy-of-an-attack/) одного из своих серверов, заявила, что хранившиеся на сервере SecurID-токены обновлять не обязательно, после чего с помощью украденных токенов произошел взлом (http://www.nytimes.com/2011/06/08/business/08security.html) Lockheed-Martin.
• Самый большой провал (Most Epic FAIL). В этой номинации безоговорочную победу одержала компания Sony, которая и была единственный номинантом целых пять раз за свою реакцию на различные события, начиная от взлома PS3 и заканчивая взломом PlayStation Network и последовавшим за этим увольнением большого количества сотрудников безопасности.
• Самый веселый взлом (Epic 0wnage). Награда за самый разрушительный, наиболее освещаемый СМИ и веселый взлом, а также за публикацию информации об уязвимости, приведшей к этому взлому. В этом году четыре номинанта:
  • Аноним, за взлом HBGary Federal, администратор которого использовал один и тот же пароль для доступа к административному разделу сайта и к Google Apps,
  • LulzSec за взлом всех и вся (Fox News, PBS, Nintendo, pron.com, the NHS, Infraguard, the US senate, Bethesda, Minecraft, League of Legends, The Escapist magazine, EVE online, the CIA, The Times, The Sun), Bradley Manning
  • Wikileaks за все события мирового масштаба,
  • победитель: компьютерный червь Stuxnet (http://ru.wikipedia.org/wiki/Stuxnet), поражающий промышленные системы на базе Windows, за наведение ужаса (http://www.wired.com/threatlevel/tag/stuxnet/) на весь мир.
• Приз за лучшую музыкальную композицию, написанную хакером, получил George Hotz aka 'geohot' за песню The Light It Up Contest (http://www.youtube.com/watch?v=9iUvuaChDEg&feature=player_embedded).