«Человек посередине», теперь я знаю, как ты выглядишь. Фото с крупнейшей ИБ-конференции.

Эй, роутер, если однажды твой производитель оставит приватный ключ в твоей прошивке на видном месте, то можешь с гордостью встретить своего «человека посередине» из вчерашнего поста.

- Можете ли вы вкратце рассказать о своей работе?
- 🦸🏻‍♂️

Где-то там, в 2020 году, в российском исследовательском институте большой компании только начинает собираться команда, которая станет сильнейшей в области кибербезопасности 5G и телекоммуникаций. С уникальными экспертами: от исследователей уязвимостей в облачных приложениях до математиков, которые ищут недостатки в алгоритмах.

И где-то там же, в 2020-м, сидя за кухонным столом в офисе, я чувствую себя %superhero_name, который не дает уязвимостям остановить прогресс.

Бэкдоры на заднем дворе D-Link: часть 2

Продолжение первой части отчета об анализе роутера, который достался от провайдера. Помимо зашитых в код учетных записей, бедолага без авторизации отдавал содержимое конфигурационного файла с паролями.

CVE-2018-12677 хранит все учетные данные пользователя в открытом виде в конфиге внутри прошивки. И это не было бы так критично, если бы вторая уязвимость (CVE-2018-12419) не сохраняла этот конфиг в JS-переменной, которая доступна для гостя. Без авторизации. В исходном коде страницы.

И еще один бэкдор в прошивке роутера D-Link DIR-620, который достался вместе с договором от провайдера услуг.

Как мы выяснили вчера, прошивка хранит пароли в конфигурационном файле в открытом виде. Помимо пользовательских данных в нем можно найти строку формата “support<substring>”. Это логин предустановленной учетной записи для веб-панели администратора, предназначенный для нужд сервис-провайдера, а пароль лежит рядом в открытом виде. Вот так появилась CVE-2018–12676.

Если встретил нечто подобное в своем кофигурационном файле, то лучше обнови роутер до актуальной версии заводской прошивки.

Итогом исследования стал отчет об уязвимостях, который был отправлен производителю, провайдеру связи и MITRE.

На фото я показываю примерный размер обнаруженной проблемы.

Результат: производитель выпустил новую версию прошивки с исправлениями для устройства, которое уже давно снято с поддержки.

«Вы мучали старую модель роутера. Может посмотрите нашу high-end модель на актуальном технологическом стеке?» - спросил вендор и отправил новый роутер для анализа.

Ок.

Следующий объект исследования: Digital Video Recorder китайского производства, распространяемый по модели “white label”.

Чем примечателен: низкобюджетная, но чрезвычайно популярная модель DVR, экспортируемая китайским производителем на внешние рынки.

Ландшафт угрозы: более 120000 устройств, доступных в Интернет.

Шансы на успешный анализ защищенности: 100%. Еще бы, там на поверхности неприкрытый auth bypass в административной веб-панели: просто меняем ссылку на “http://<IP>/<video_stream>.html”, чтобы получить доступ к видеопотокам.

Не стань частью IoT-ботнета: уязвимости в Network Video Recorder.

Результатом анализа DVR/NVR системы китайского производителя стали следующие уязвимости:
- обход аутентификации в веб-панели администратора;
- зашитая в прошивку административная учетная запись для Telnet;
- зашитые в прошивку учетные записи для веб-панели и RTSP-сервера.

Отчет с описанием обнаруженных проблем и рекомендациями по их исправлению отправлен вендору и в китайский национальный центр реагирования на компьютерные инциденты (CNCERT).

Рабочий процесс киберпреступников для пополнения ботнета:
- мониторинг новой версии прошивки;
- извлечение содержимого прошивки;
- поиск в файловой системе и добавление зашитых учетных записей в брут-лист.

Рабочий процесс исследователя для борьбы с ботнетом:
- поиск уязвимости;
- уведомление производителя и CERT;
- обучение пользователей.

Затяжная война с разными целями.

Вторая открытая лекция в рамках курса безопасности приложений НИЯУ МИФИ: “Безопасность алгоритмов машинного обучения”

Иван Капунин, исследователь команды Advanced Security Research крупного R&D центра (днем - студент факультета ВМК МГУ, ночью - игрок CTF), познакомит слушателей с историей и основными понятиями Adversarial Machine Learning. Иван рассмотрит виды атак и особенности их применения в разных сферах, а также разберет несколько практических примеров, чтобы в итоге сделать выводы о методах и средствах защиты.

Место: трансляция в телеграм-канале @makrushind
Время: 18:00, 2 декабря.

Запрыгивай на лекцию и присоединяйся к обсуждению!

Интересный факт: SQL-инъекция без возможности исполнения произвольного кода в последней версии прошивки Mi Router 3 приводит к подарку от Xiaomi.

И, разумеется, к зарегистрированному номеру в базе MITRE: CVE-2018-19526.

Нашел критическую уязвимость, сообщил о ней разработчику, получил отказ в исправлении. Что дальше?

Интересный ответ на вопрос «Что дальше?» дала языковая модель ChatGPT, которую Омар Ганиев привел в комментарии к записи в Linkedin.

Короткий ответ: если разработчик не исправляет проблему, то информацию нужно публиковать, придерживаясь политики ответственного разглашения.

Важный нюанс: модель также отметила, что над исправлением важно работать вместе с «соответствующими органами власти, чтобы обеспечить принятие всех необходимых мер предосторожности для защиты людей и организаций от уязвимости».

Доклад о том, как злодеи пополняют ботнеты и эксплуатируют уязвимые IoT-устройства на периметре корпоративных сетей. Выступление в Сеуле на мероприятии “International Symposium on Cybercrime Response”.

Задача мероприятия: обсудить новые методы, которые используют киберпреступники. Задача выступления: напомнить об актуальности старых методов.