Black Hat aos 20 – Uma rápida recapitulação

O principal evangelista de pesquisa de ameaças da F5 veste seu chapéu de repórter para trazer a você alguns insights de uma das mais antigas conferências de hackers que existem.

A Black Hat tem 20 anos agora, o que parece antigo, mas só mostra o quão jovem nossa indústria é. Se Black Hat fosse uma pessoa, ainda seria jovem demais para apostar na cidade onde o evento é realizado. Antes de mergulhar nos detalhes deste ano, vamos dar uma olhada em alguns números de eventos para ilustrar o passado e o presente.

Palestra principal nº 1

Jeff Moss (também conhecido como Dark Tangent), fundador da Black Hat e da DEF CON, fez uma palestra que foi basicamente uma viagem pela memória. Não há nada de errado nisso, mas houve pouca visão para o futuro comunicada em seu discurso. Ele fez um apelo para que nós, veteranos cibernéticos “mais velhos”, orientássemos a próxima geração de white hats para que todos tivéssemos pessoas para contratar.  Concordo totalmente com esse sentimento, o que me faz querer terminar o curso Hacking 101 que estou preparando para os pequenos...

Palestra principal nº 2

Alex Stamos está fazendo algumas coisas certas. Como CISO do Facebook, ele está dando US$ 1.000.000 em prêmios para a melhor pesquisa defensiva apresentada na USENIX. Ele também está patrocinando programas educacionais[1] para ajudar os mais jovens a entrarem na segurança cibernética e fortalecer nossa infraestrutura digital com o projeto Internet Bug Bounty.[2] Ele passou um pouco de tempo demais promovendo muitos dos programas de extensão em que o Facebook está envolvido, e não tempo suficiente abordando o que muitos pensavam ser o elefante na sala — combater os problemas de "abuso humano" relacionados ao Facebook, como notícias falsas e cyberbullying.

Onde estão os dias zero, cara?

Uma reclamação comum sobre o Black Hat é: “Onde estão os dias zero, cara?” Bem, de acordo com Daniel Cuthbert, que fez uma apresentação no evento noturno Day Zero, este ano houve mais zero-days do que em qualquer conferência Black Hat anterior.

Por exemplo, quando cheguei em Las Vegas, meu iPhone educadamente me informou que queria atualizar para a versão mais recente: iOS 10.3.3. Atualizar meu computador, ou mesmo meu telefone, em uma conferência de hackers é algo que penso duas vezes.

Mas esta atualização do telefone é o resultado direto de um lançamento de dia zero na Black Hat 2017. A vulnerabilidade “Broadpwn” afeta o chipset Broadcom BCM43xx, que é usado por aparelhos iOS e Android. Então, parabéns a você, Black Hat, por realizar um dos maiores zero-days do ano em sua conferência.

Vibração geral

Se houve um tema oficial entre os briefings no Black Hat 2017, foi a vigilância. Ou talvez mais precisamente, como fazer antivigilância. Outros dois ataques Black Hat de dia zero foram lançados, e ambos tinham a ver com a quebra de redes móveis. O primeiro, “Ghost Telephonist”, explora uma autenticação ausente no fallback entre as redes LTE e 4G, permitindo que um espião intercepte chamadas e até mesmo mensagens SMS.[3]

A segunda vulnerabilidade móvel permite que um invasor (que esteja usando um dispositivo personalizado semelhante ao Stingray, de US$ 1.500, como proxy) localize e rastreie usuários móveis explorando outra etapa de autenticação ausente nos protocolos móveis.[4]

Meu briefing favorito foi “Hacking Serverless Runtimes”, onde os pesquisadores Andrew Krug e Graham Jones mostraram como extrair recursos das funções do AWS Lambda e executar código dentro de microsserviços de outras pessoas. [5] Hilário.

Krug e Jones também brincaram sobre o fato de alguém ter descoberto como incorporar um contêiner docker dentro de uma função lambda.[6 ] Por que você faria isso? Isso é ridículo!

Os prêmios Pwnie: Recompensando as falhas de segurança de 2017

Pwnies 2017: O 11º prêmio anual “Pwnies” teve algumas ótimas inscrições este ano. O vencedor do prêmio de Melhor Bug do Lado do Servidor foi para o The Equation Group (que não é a NSA, ha ha) pela vulnerabilidade EternalBlue SMB, que foi vazada pelos Shadow Brokers (que não é a Rússia, ha ha) e transformada em arma pelo Lazarus Group (que não é a Coreia do Norte, ha ha).

O prêmio Pwnie de melhor backdoor foi para o M.E. Doc, encontrado pela Kaspersky no sistema tributário ucraniano. O crédito vai para: “De jeito nenhum a Rússia, ha ha.” O prêmio Pwnie de melhor ataque criptográfico foi para o Google, que este ano forçou a primeira colisão SHA1 do mundo. E a controvérsia do SystemD ganhou com razão o prêmio de “resposta mais fraca do fornecedor”.

Malcolm Turnbull, do governo australiano, ganhou o prêmio de Maior Falha Épica por exigir que fornecedores descriptografassem dados de usuários para o governo.[7]

O Arsenal

Um espaço frequentemente esquecido no Black Hat é o Arsenal. É aqui que os entusiastas da segurança de código aberto demonstram suas ferramentas para sua diversão. Nem toda ferramenta é atraente, mas, ei, você consegue falar com o verdadeiro codificador da ferramenta. Minha ferramenta favorita deste ano foi a Pymultitor de Tomer Zait. [8] É um proxy local que usa vários processos TOR para permitir que você ignore contadores baseados em IP para páginas de login. Você sabe, para pesquisa. Não para forçar contas do Facebook.

Este ano, mais de 100 ferramentas foram apresentadas nas estações de trabalho do pequeno arsenal. O Arsenal é charmoso e voltado para a comunidade o suficiente para que a Black Hat ofereça um espaço mais proeminente para ele, em vez de colocá-lo no topo, bem no fundo da conferência.

Então... Black Hat ainda é relevante?

Para responder a isso, vamos voltar ao fundador. Durante seu discurso, Jeff Moss relembrou que assumiu que os briefings do Black Hat, como uma conferência, nunca durariam muito. Mas, depois de 20 anos de crescimento quase constante, a Black Hat está ganhando força e se consolidando como uma conferência de segurança bastante decente para uma de seu tamanho.

Referências

[1] https://codepath.com/

[2] https://internetbugbounty.org/

[3] https://www.blackhat.com/docs/us-17/thursday/us-17-Yuwei-Ghost-Telephonist-Link-Hijack-Exploitations-In-4G-LTE-CS-Fallback.pdf

[4] https://www.blackhat.com/docs/us-17/wednesday/us-17-Borgaonkar-New-Adventures-In-Spying-3G-And-4G-Users-Locate-Track-And-Monitor.pdf

[5] https://www.blackhat.com/docs/us-17/wednesday/us-17-Krug-Hacking-Severless-Runtimes.pdf

[6] https://hackernoon.com/how-did-i-hack-aws-lambda-to-run-docker-containers-7184dc47c09b

[7] http://www.huffingtonpost.com.au/2017/07/14/turnbull-vs-maths-how-do-you-snoop-on-encryption-without-ruining-it-for-everyone_a_23029275/

[8] https://github.com/realgam3/pymultitor