Декабрь 2021 года. Мероприятие YaTalks. Вместе с технологическими лидерами компаний Яндекс, VK и Ozon мы рассуждаем о ключевых элементах «анти-хрупкости» для построения устойчивой IT-инфраструктуры.

Декабрь 2022 года. Тема мероприятия YaTalks: «Люди превыше всего». Вот он - ключевой элемент.

Шаг 1: вставить JS-код на этапе регистрации в OpenEMR - системе управления медицинскими картами с открытым исходным кодом.
Шаг 2: открыть страницу с внедренным кодом в режиме киоска.
Шаг 3: собрать аккаунты пользователей медицинской системы.
Шаг 4: повысить привилегии в системе в случае получения учетки с правами админа.

Шаг 5: отправить информацию владельцам репозитория, зарегистрировать уязвимость CVE-2019-6449.

CVE-2019-6449: почти 500 экземпляров уязвимой версии OpenEMR доступны онлайн. Некоторые из них наверняка являются ханипотами, но даже в таком случае, в открытом доступе находятся гигабайты медицинских данных.

YaTalks 2021: секция "Технологии: Backend".

Антихрупкость - ключевая тема обсуждения. Лидеры компаний, меняющих мир - участники дискуссии. Информационная безопасность - фундамент, на котором строится стратегия устойчивых процессов в IT.

Интересно обнаружить сервис мониторинга Docker, который доступен без авторизации любому пользователю местного wi-fi. Кажется, что панель управления контейнерами где-то в этой же сети. В этом же поезде.

Просто напоминание: знай свой предел, а затем игнорируй его.
С Новым Годом!

«В будущем эти уязвимости могут использоваться для изменения и стирания воспоминаний или для причинения физического вреда» - ключевая мысль статьи, опубликованной в ZDNet.

По мотивам нашего совместного исследования с Группой Нейрохирургии Оксфордского Университета.

«Рынок воспоминаний: подготовка к будущему, в котором кибер-угрозы нацелены на ваше прошлое»

Отчет о совместном исследовании с Оксфордской Группой Нейрохирургии. Объект исследования: импланты для нейростимуляции (имлантируемый генератор импульсов).

А началось все с идеи анализа защищенности медицинского устройства.

Обратная сторона eBPF: новые возможности для вредоносного ПО

Интересный блогпост снова поднимает проблему использования возможностей подсистемы eBPF вредоносным кодом для Linux. Примечательные моменты, описанные в статье:

* Авторы доступно описали ключевые стадии жизненного цикла eBPF-программы.
* Приведены примеры функций ядра, которые могут использоваться eBPF-программой для манипуляций с памятью запущенного процесса. При этом приведены ранее известные концепции вредоносного eBPF-кода, который может проводить манипуляции с памятью целевого процесса в user-space. Хорошая возможность для руткитов.
* Описано использование подсистем работы с трафиком для сокрытия каналов коммуникации с C2-сервером. Кстати, ранее уже был обнаружена малварь, которая использует манипуляции с socket-фильтрами с помощью eBPF (Symbiote). А вот экземпляров, которые используют обработку трафика с помощью технологий XDP (eXpress Data Path) или TC (traffic control) в дикой природе пока замечено не было.
* Перечислены меры защиты. Если кратко: не разрешай исполнение привилегированного eBPF-кода, запрещай странные соединения с помощью файрволла.

Готовимся к появлению вредоносного eBPF-кода с функциями ransomware?

«Как в сериале “Черное Зеркало”: что хакеры могут сделать с воспоминаниями»

Так называется подкаст, в котором мы вместе с Лори Пайкрофт (Oxford) и Дмитрием Галовым (Kaspersky) рассказали австралийскому изданию о возможных последствиях атак на нейро-импланты.

Высыпайся, потому что завтра нам нужно принимать ключевые решения. Завтра нам нужно создать технологию, которая спасет чью-то жизнь. Завтра предстоит найти уязвимость в стоге кода. Все это требует концентрации.

Высыпайся.

Пункт 6 инструкции исследователя: подготовить доклад для отраслевых мероприятий.

В какой стране выбрать конференцию или митап для публикации отчетов с уязвимостями в IoT-устройствах? В той, где Shodan показал наибольшее количество этих устройств.

Так я оказался в Каире, на региональном чаптере конференции BSides.

BSides Cairo 2019: Mitigating New Entry Points To The Jewels

Запись выступления в Каире. Через 5 минут после начала трансляция останавливается, и с этого момента никто не отвлекает от слайдов.

Итоги конференции BSides Cairo:

1. Знакомство с экспертами EG-CERT и передача отчетов с уязвимостями и ландшафтом угроз для региона.
2. Заряженные студенты местных факультетов Computer Science, которые теперь хотят продолжить обучение в направлении Cyber Security.
3. Запрос о менторстве от талантливого студента из Mansoura University для его подготовки к докладу на конференции в следующем году (позже я расскажу, что из этого получилось).
4. Приглашение в состав Review Board мероприятия.

Если ты еще по-прежнему посещаешь конференции в онлайне, чтобы послушать эксклюзивный контент, то пересмотри свое отношение к отраслевым мероприятиям и ищи дополнительную ценность.

Инженер DevOps, прежде чем разворачивать микросервис PostgreSQL из конфигурационного файла с учетными данными, убедись, что после деплоя ты поменяешь все учетки. И, конечно, не будь как те владельцы PostgreSQL, кто вообще не использует пароли.

The Connected World has been disconnected: Survival Guide in IoThreats Era

От умного дома до умного города: исследование безопасности IoT и Industrial-IoT, представленное на конференциях Defcon (USA) и RSA Conference (USA). Оставлю слайды здесь на случай, если кто-то вспомнит о безопасности технологий Smart City.

На что похожа работа в ИБ.

Утечка исходного кода - это почти всегда печальное событие для бизнеса. Оно может откатить развитие продукта на несколько лет назад, подорвать доверие к компании и ее процессам, ударить по бюджету и репутации. Но только в том случае, если утечка - это не тщательно спланированная акция, чтобы искусственно снизить стоимость активов компании, передать интеллектуальную собственность третьей стороне (например, дочерней структуре) в обход каких-то ограничений, создать инфоповод.

И почти всегда, утечка - это интересное событие для исследователя и возможность изучить внутренние процессы компании, поискать уязвимости в продукте (особенно, если у владельца исходников есть программы bug bounty), достать инсайты о внутренних инструментах разработки и безопасности.

Возьмем геймдев и утекшие исходники игры от CD Projekt RED. На скриншоте зашитые в код секреты (токены) для подключения к внутреннему сервису log management и пароль от доски в Jira для отправки отчетов о багах.

ITшный Египет: региональные конференции и митапы, за которыми стоит следить

Я уже делал обзор региональных мероприятий, которые проходят без шума и фестивалей (как это обычно происходит на Black Hat и Defcon), но собирают контент, который не уступает по качеству публикациям на крупнейших международных конференциях.

Теперь поговорим про локальные события в египетском IT:

* BSides Cairo - посвятил этому митапу не один пост. Доклады технические, на английском языке и публикуются онлайн.

* Arab Security Conference - мероприятие для C-level в области ИБ. Технических докладов мало. Контент в основном посвящен развитию индустрии в регионе, расследованию кибер-преступлений и технологиям защиты.

* Egypt International Security & Safety Exhibition and Conference (EISE) - конференция и выставка вендоров в области безопасности и приватности. Если ты работаешь в ведоре, который открывает для себя новые рынки в регионе META (Middle East, Turkey, Africa), то присутствие на этом мероприятии - обязательно.

Хранимая XSS в опен-сорсной системе управления медицинскими записями OpenMRS. Дежа вю: похожую уязвимость обнаружил в другой подобной системе - OpenEMR.

Хронология поиска баги:
1. посадка в самолет в Женеву на конференцию Insomni’Hack;
2. деплой докер-контейнера с OpenMRS в качестве объекта анализа;
3. запуск веб-фаззера;
4. запуск Burp Suite;
5. заказ кофе и воды;
6. попытка сразу же проверить XSS-сценарий, который ранее встретил в OpenEMR;
7. результат пункта 6: уязвимость обнаружена;
8. отправка issue в гитхаб владельца OpenMRS;
9. принесли кофе 👍
10. добавление находки в слайды для доклада. Приземление.