книги хакеры / журнал хакер / ха-285_Optimized

Мы благодарим всех, кто поддерживает редакцию и помогает нам компенсировать авторам и редакторам их труд. Без вас «Хакер» не мог бы существовать, и каждый новый подписчик делает его чуть лучше.

Напоминаем, что дает годовая подписка:

год доступа ко всем материалам, уже опубликованным на Xakep.ru;

год доступа к новым статьям, которые выходят по будням;

полное отсутствие рекламы на сайте (при условии, что ты залогинишься); возможность скачивать выходящие

каждый месяц номера в PDF, чтобы читать на любом удобном устройстве;

личную скидку 20%, которую можно использовать для продления

годовой подписки. Скидка накапливается с каждым продлением.

Если по каким-то причинам у тебя еще нет подписки или она скоро кончится, спеши исправить это!

КОЛОНКА ГЛАВРЕДА

Сразу­ хочу предуп­ редить­ : никаких прозрений­ по поводу будущего­ ИИ у меня нет. Как и все, я дивлюсь­ тому, какой путь машинное­ обучение­ прошло­ за пос­ ледние пять лет, и пытаюсь­ прикинуть­ , что будет еще через пять. Поэтому­ просто­ выступлю­ в жанре­ TJournal (светлая­ ему память), где была полезней­ ­ шая, на мой взгляд, рубрика­ : в ней брали­ какой то новый мем и собирали­ из соцсетей­ лучшие­ экземпля­ ры­ творчес­ тва­ на его тему. Только­ вместо­ мемов у нас будут примеры­ использования­ ChatGPT в инфобезе­ .

ChatGPT (Chat Generative Pre-trained Transformer) — это модель языка­ , которая была обучена­ на большом­ корпусе­ текста­ для генерации­ ответов­ в чат ботах. Она была разработа­ на­ OpenAI и является­ разновид­ ностью­ технологии­ пред­ варительно­ обучен­ ных­ трансфор­ меров­ (Pre-trained Transformer).

Предваритель­ но­ обучен­ ные­ трансфор­ меры­ — это модели, которые были обучены­ на большом­ корпусе­ текста­ для задачи токенизации­ (разбиения­ текста­ на отдельные­ слова­ и символы­ ) и затем используют­ ся­ для решения различных­ задач на основе­ этой информации­ . После­ предваритель­ ного­ обучения­ модель может быть дообучена­ для решения конкрет­ ной­ задачи, например­ генерации­ текста­ или классифика­ ции­ документов­ . ChatGPT был специаль­ но­ разработан­

для использования­ в чат ботах.

ChatGPT был разработан­ компани­ ей­ OpenAI. OpenAI — это некоммерчес­ ­ кая организа­ ция­ , которая занимается­ исследова­ нием­ искусствен­ ного­ интеллекта­ и его примене­ ния­ . Она основана­ в 2015 году и считает­ ся­ одним из ведущих игроков­ в области искусствен­ ного­ интеллекта­ . OpenAI разработа­ ла­ множес­ тво­ моделей языка­ , в том числе­ GPT и GPT-2, которые также­ являются­ предваритель­ но­ обучен­ ными­ трансфор­ мерами­ .

Обычно­ люди удивляют­ ­ся тому, насколь­ ­ко хорошо ChatGPT справляет­ ­ся с генерацией­ ответов­ в чат ботах. Она умеет­ отвечать­ на различные­ вопросы­ , выполнять­ команды­ и даже постить­ шутки­ . Часто­ ChatGPT удивляет­ людей сво­ ей способ­ ­ностью генерировать­ текст, который читается­ натурально­ и не отли­ чается­ от текста­ , написанного­ человеком­ .

Текст этой врезки­ сгенери­ рован­ при помощи ChatGPT в ответ на воп-­

росы «Что такое ChatGPT?», «Кто разработал­ ChatGPT?» и «Почему

ChatGPT поражает­ людей?»

ных языках­ , и этот код даже иногда­ запускает­ ся­ и работает­ как положено­ . И в информацион­ ной­ безопасности­ примене­ ний­ тоже предос­ таточ­ но­ .

Вот пользователь­ @gf_256 просит­ ChatGPT глянуть­ на исходник смарт кон­ тракта­ , а тот коррек­ тно­ идентифици­ рует­ потенциаль­ ную­ уязвимость­ .

А вот пример­ поиска­ уязвимос­ тей­ в веб сервере­ на Python и Flask за авторс­ твом @dyngnosis. На этот раз ChatGPT составил­ подробный­ список­ потен­ циальных­ дыр и сгенери­ ровал­ готовый скрипт с перебором­ нагрузок­ .

Как насчет­ дел бинарных­ ? В примере­ @JusticeRage ChatGPT дают посмотреть­

на свежий­ вывод дизассем­ бле­ ра­ , и нейросет­ ка­ определя­ ет­ , что это криптогра­ ­ фическая­ функция­ , и описыва­ ет­ алгоритм­ ее работы.

А вот @breakersall исполь­ зует­ ChatGPT для организа­ ции­ фишинговой­ кам­ пании. Нейросеть­ по запросу­ пишет скрипт для деплоя­ evilginx2 в AWS.

Настра­ ивает­ файрвол­ .

И выдает­ скрипт на Python для регистра­ ции­ домена.

Затем­ пишет фишинговое­ письмо­ и скрипт для его рассылки­ . Под конец еще и генерирует­ отчет (картинки­ кликабель­ ные­ ).

Еще мне очень понравилось­ , как ChatGPT придумал­ несуществу­ ющий­ язык программи­ рова­ ния­ Sack, а потом стал писать программы­ на нем.

Но окончатель­ но­ покорила­ история­ с «виртуаль­ ной­ машиной». ChatGPT попросили­ предста­ вить­ , что он терминал­ на машине с Linux, и отвечать­ на пос­ тупающие­ команды­ bash. Дальше­ пользователь­ ходит по каталогам­ , открывает­ файлы­ , запускает­ команды­ , делает­ сетевые запросы­ , а нейросеть­ пытается­ сделать­ вид, что это действи­ тель­ но­ настоящий­ компьютер­ , и дать реалис­ тичный вывод. Такая вот сисадмин­ ская­ версия­ Dungeons & Dragons, где гейм мастер­ — нейросеть­ .

Соосно­ ­ватель и исполнитель­ ­ный директор­ OpenAI Сэм Альтман­ пишет­ :

«ChatGPT сейчас­ невероятно­ ограничен­ , но кое в чем достаточ­ ­но хорош, чтобы­ создать­ ложное­ впечат­ ­ление величия. Будет ошибкой­ сейчас­ на него полагаться­ в чем то важном­ . Это превью прогресса­ : нам пред­- » стоит­ еще много­ работы над гибкостью­ и точностью­ .

Как хороши будут ягодки­ , коль так хороши цветоч­ ки­ ? Да и вообще­ , в хакерском­ деле точный­ инстру­ мент­ иногда­ и не нужен. Бывает­ достаточ­ но­ догадки­ , а уж ее провер­ кой­ пока что займет­ ся­ человек.

Насмотрев­ шись­ примеров­ в интернете­ , я тоже пошел пообщать­ ся­

сChatGPT. Первым­ делом хотелось узнать, насколь­ ­ко хорошо он справляет­ ­ся

сзадачами­ авторов­ «Хакера». Вопрос­ за вопросом­ я стал вытягивать­ из ней­

росетки­ статью про взлом Wi-Fi.

ChatGPT, как видишь, немного­ пококетничал­ , сторонясь­ пикантной­ темы, но под конец таки разговорил­ ­ся и пошел сочинять эксплей­ ­нер про перехват­ хендшей­ ­ков и Aircrack-ng.

Неплохо­ ! Но живые авторы­ нам по прежнему­ нужны­ (кстати­ , если хочешь стать одним из них, шли темы на pismenny@glc.ru). Я же не удержался­ и стал про­ сить нейросеть­ сочинить балладу­ о кротову­ хе­ . На этом работа встала­ .

Продолжение статьи →

Мария «Mifrill» Нефёдова nefedova@glc.ru

До нового года осталось­ всего­ ничего, а значит­ , пора под­ вести итоги­ и вспомнить­ самые интерес­ ­ные, важные­ и странные­ события последних­ двенад­ ­цати месяцев. Мы

уже выбрали­ «призеров­ » в десяти номинациях­ и готовы расска­ ­зать тебе о наиболее­ заметных­ атаках­ , взломах­ , утечках­ , фейлах­ и других­ событиях­ уходяще­ ­го 2022-го.

АТАКА ГОДА

LAPSUS$

От хакерских­ атак постоян­ ­но страдают­ компании­ и организа­ ­ции по всему­ миру, но мало кому удается­ устроить­ такой марафон взломов­ , какой в этом году про­ демонстри­ ­рова­ла хак группа­ Lapsus$. Всего­ за несколь­ ­ко месяцев эти парни­ успели­ скомпро­ ­мети­ровать и пошантажиро­ ­вать Nvidia, слить исходные коды

Ubisoft, Microsoft и Samsung, взломать­ компанию­ Okta.

Лидером­ Lapsus$ считают­ 17-летнего­ подрос­ тка­ из Великобритании­ , которого­ , наряду с другими­ участни­ ками­ группы­ , уже арестовали­ власти­ . Одна­ ко после­ этих задержаний­ атаки­ не прекратились­ , и «список­ заслуг­ » группиров­ ­ ки пополнился­ не менее громкими­ взломами­ Uber и Rockstar Games (из за которого­ в сеть утекли­ десятки­ видео с геймпле­ ем­ GTA VI и куски­ исходных кодов компании­ ).

В настоящий­ момент неясно­ , сколько­ еще участни­ ­ков Lapsus$ могут оста­ ваться­ на свободе­ .

Другие громкие взломы 2022 года

1.Кросс чейн мост Nomad лишился­ 200 миллионов­ долларов­ из за взлома­ . Одна из крупней­ ­ших криптовалют­ ­ных атак года, которую эксперты­ назвали­ «первым­ в истории­ децентра­ ­лизо­ван­ным массовым­ ограблением­ ».

2.Вредонос­ RuRansom уничтожа­ ­ет данные­ в россий­ ­ских системах­ . В отличие­ от обычных­ шифроваль­ ­щиков, которые вымогают­ выкуп, автор RuRansom не просит­ денег, а просто­ стремит­ ­ся причинить­ больше­ ущерба­ .

3.Поезда­ в Дании останови­ ­лись из за кибератаки­ . Работа Государствен­ ­ных железных­ дорог Дании (DSB) оказалась­ парализова­ ­на на несколь­ ­ко часов из за атаки­ на сторон­ ­него поставщи­ ­ка ИТ услуг — компанию­ Supeo.

4.Сотни­ новостных­ сайтов­ в США скомпро­ ­мети­рова­ны и заражены­ вредоно­ ­

5.Группиров­ ­ка Yanluowang взломала­ компанию­ Cisco. В компании­ заверили­ , что хакеры сумели похитить только­ неконфиден­ ­циаль­ные данные­ .

Год от года мощность­ DDoS-атак бьет всё новые рекорды­ . В 2022 году произош­ ло­ сразу­ нес­ колько­ крупных­ инциден­ тов­ , вновь «повысивших­ планку­ » в этой области.

Клиент­ компании­ Imperva, неназванный­ китайский­ поставщик­ телекоммуника­ ­цион­ных услуг, под­ вергся­ атаке­ , которая длилась­ более четырех­ часов, и за это время­ жертва­ суммарно­ получила­ 25,3 миллиар­ да­ запросов­ . Пиковая мощность­ атаки­ составила­ 3 900 000 зап­ росов в секунду­ .

УТЕЧКА ГОДА

РОССИЙСКИЕ

КОМПАНИИ

К сожалению­ , в этом году бесспор­ ными­ лидерами­ по количеству­ утечек­ данных­ стали­ россий­ ские­ компании­ . Посуди сам: за год в сеть попали личные­ данные­ пользовате­ лей­ Яндекс­ Еды и Delivery Club, «Почты­ России­ », провай­ дера­ «Дом.ру», сервиса­ покупки­ билетов «Туту­ .ру», онлайн магазинов­ «Вкусвилл­ », DNS и «Онлайн­ трейд», кикшерин­ га­ Whoosh, медицинской­ лаборатории­ «Ге­ мотест», сервисов­ CDEK.Shopping и «СДЭК.Маркет­ », сайта­ Pikabu, участни­ ков­ программы­ лояльнос­ ти­ Tele2 — и на этом список­ не исчерпывает­ ся­ .

Отдель­ ного­ упомина­ ния­ также­ стоит­ серия­ утечек­ , которую специалис­ ты­ Минцифры­ связыва­ ют­ с «Почтой­ России­ », а хакеры заявляют­ , что украли­ дан­ ные пользовате­ лей­ «Госуслуг­ », якобы­ полученные­ из Единой­ системы­ иден­ тификации­ и аутентифика­ ции­ .

Недав­ но­ эксперты­ Group-IB и вовсе­ сообщили­ , что только­ за три летних­ месяца 2022 года в сеть попало 140 баз россий­ ских­ компаний­ , а общее количество­ строк в этих сливах­ равняет­ ся­ пример­ но­ 304 миллионам­ .

На фоне участивших­ ­ся утечек­ Минцифры­ рассмат­ ­рива­ет возможность­ ввес­ ти оборот­ ­ные штрафы­ для компаний­ в размере­ 3% от оборота­ . Глава­ минис­ терства­ Максут­ Шадаев­ считает­ , что это будет стимули­ ­ровать бизнес­ вкла­ дываться­ в безопасность­ данных­ .

Другие утечки 2022 года

1.Хакеры­ похитили­ информацию­ и хранили­ ща­ паролей пользовате­ лей­ LastPass. Злоумыш­ ленни­ ки­ проник­ ли­ в облачное хранили­ ще­ компании­ ,

и теперь пароли пользовате­ ­лей в теории могут быть взломаны­ .

2.Данные­ 5,4 миллиона­ пользовате­ ­лей Twitter попали в открытый­ доступ­ . Информация­ , украден­ ­ная с помощью уязвимос­ ­ти API, бесплат­ ­но рас­ пространяет­ ­ся в сети.

3.Произош­ ­ла утечка­ документации­ и BIOS для процес­ ­соров Intel Alder Lake. У произво­ ­дите­ля украли­ исходный код, приват­ ­ные ключи­ , журналы­ изме­ нений и инстру­ ­мен­ты компиляции­ для UEFI BIOS.

4.В даркне­ ­те продают­ данные­ миллиар­ ­да граждан­ Китая. Злоумыш­ ­ленник оценил­ дамп в 10 биткоинов­ , и эта утечка­ может быть самой серьезной­ из когда­ либо затрагивав­ ­ших Китай.

5.Утекшие­ исходники­ шифроваль­ ­щика Conti используют­ ­ся для атак на рос­ сийские­ компании­ . Раскол­ в хак группе­ привел­ к утечке­ исходных кодов опасной­ малвари­ .

Даже­ в 2022 году список­ самых распростра­ нен­ ных­ и ненадеж­ ных паролей по прежнему­ возглав­ ляет­ password, а за ним сле­

дуют 123456, 123456789, gest и qwerty.

На взлом таких паролей требует­ ­ся от < 1 до 11 секунд.

ИССЛЕДОВАНИЕ ГОДА

ВЗЛОМ CAPTCHA

В ДАРКНЕТЕ

Научные­ доклады­ на сотни­ страниц­ и исследова­ тель­ ские­ статьи обычно­ получают­ куда меньше­ внимания­ от прессы­ и пользовате­ лей­ , чем очеред­ ной­ взлом, скам, утечка­ данных­ или ограбление­ криптовалют­ ной­ биржи­ . Но зачас­ тую именно­ из таких трудов­ «вырастают­ » новые векторы­ и методы атак и бла­ годаря­ им обнаружи­ вают­ ся­ опасные­ уязвимос­ ти­ .

В прошед­ шем­ году интерес­ ных­ ресерчей­ было немало. Например­ , группа­ исследова­ телей­ из универ­ ситетов­ Аризоны­ , Джорджии­ и Южной Флориды­ соз­ дала мощный­ инстру­ мент­ DW-GAN для решения CAPTCHA на ресурсах­ даркне­ ­ та. По утвержде­ нию­ авторов­ , DW-GAN может обойти­ 94,4% защитных­ механиз­ мов на андеграундных­ сайтах­ .

Сложность­ заключалась­ в том, что практичес­ ­ки все сайты­ даркне­ ­та исполь­ зуют CAPTCHA собствен­ ­ной разработ­ ­ки, и раньше­ создание­ инстру­ ­мен­та, который мог бы решить большинс­ ­тво из них, попросту­ считали­ невозможным­ .

Другие исследования 2022 года

1.К зашифрован­ ­ным архивам­ ZIP подходят­ два разных­ пароля. Оказалось­ , у запаролен­ ­ных архивов­ может быть сразу­ два правиль­ ­ных пароля, причем­ оба дадут одинако­ ­вый результат­ при извлечении­ файлов­ .

2.Иссле­ ­дова­тель показал, как извлечь текст из пикселизи­ ­рован­ных изоб­ ражений. Если нужно­ скрыть текст на картинке­ , лучше­ использовать­ прос­ тые черные­ полосы, закрыва­ ­ющие его полностью­ . Пикселиза­ ­цию, размытие­ и искажение­ можно­ снова­ превратить­ в читаемый­ текст.

3.Продемонс­ ­три­рова­на атака­ «браузер­ в браузе­ ­ре», позволя­ ­ющая под­

делывать окна в Chrome. Эксперт создал­ новый метод атак на браузе­ ры­ , который позволя­ ет­ создавать­ фишинговые­ формы­ входа­ , используя­ для этого­ фейковые­ окна.

4.Mozilla: на YouTube практичес­ ­ки не работают­ кнопки­ «Не нравит­ ­ся» и «Не интерес­ ­но». Инженеры­ Mozilla долго­ изучали­ алгорит­ ­мы YouTube и пришли­ к выводу, что кнопки­ обратной связи­ на платформе­ практичес­ ­ки не работа­ ют.

5.Угнать­ за 130 секунд: баг позволя­ ­ет добавить новый NFC-ключ для авто­ мобиля­ Tesla. Член хакерско­ ­го исследова­ ­тель­ско­го коллекти­ ­ва Trifnite Group, занимающе­ ­гося проблемами­ BLE, продол­ ­жает изучать­ и ломать про­

дукцию­ Tesla.

Хакеры­ ломают­ хакеров: за последние­ 12 месяцев мошенники­ выманили­ у своих­ «коллег­ » более 2 500 000 долларов­ только­ на трех отдельных­ хак форумах: Exploit, XSS и BreachForums.

УЯЗВИМОСТЬ ГОДА

PROXYNOTSHELL

В этой номинации­ хочется­ порадовать­ ся­ тому, что не каждый­ год специалис­ ­ там приходит­ ся­ сталкивать­ ся­ с проблемами­ масшта­ ба­ Heartbleed, Meltdown

иSpectre или WannaCry. Среди­ багов «калибром­ » поменьше­ в этом году явно выделялись­ уязвимос­ ­ти ProxyNotShell, родствен­ ­ные старому­ багу ProxyShell

иблагода­ ­ря этому­ получившие­ название­ .

Уязвимос­ ти­ в Microsoft Exchange вызвали­ такой интерес­ среди­ злоумыш­ ­ ленников­ , что в сети даже пытались продавать­ фейковые­ экспло­ иты­ для них.

Другие уязвимости 2022 года

1.Уязвимость­ Follina превратили­ в оружие­ , но Microsoft не торопится­ с патчем­ . Проблема­ нулевого­ дня в Microsoft Ofce стала­ настоящим­ подарком­ для хакеров, а патч разрабаты­ ­вали несколь­ ­ко месяцев.

2.Смартфо­ ­ны Xiaomi с чипами MediaTek уязвимы­ перед подделкой­ платежей­ . Пользовате­ ­лям посоветова­ ­ли отказать­ ­ся от мобильных­ платежей­ и свести­ к минимуму­ количество­ установ­ ­ленных на устройстве­ приложе­ ­ний.

3.В OpenSSL патчат­ уязвимость­ , сравнимую­ с Heartbleed по степени­ серь­ езности. Проблема­ представ­ ­ляла угрозу­ для 64-разрядных­ систем­ с под­

держкой­ Intel AVX-512 (Advanced Vector Extensions 512).

4.В антивиру­ ­сах Avast и AVG нашли­ баги десятилет­ ­ней давности­ . Хакеры с ограничен­ ­ными привиле­ ­гиями могли­ выполнить­ код в режиме ядра и в итоге­ получить полный­ контроль­ над устройством­ .

5.Apple M1 уязвим­ для атаки­ PACMAN, и это нельзя­ исправить­ . Баг носит аппарат­ ­ный характер­ и связан­ с аутентифика­ ­цией указате­ ­ля (pointer authentication), позволяя­ выполнять­ произволь­ ­ный код на уязвимом­ устрой­ стве.

В Qrator Labs считают­ , что отказоус­ той­ чивость­ Рунета ухуд­

шается­ : в этом году Россия­ потеряла­ сразу­ 8 позиций, смес­ тившись на 10-е место­ в общемиро­ вом­ топ-20.

БЛОКИРОВКА ГОДА

СОЦИАЛЬНЫЕ СЕТИ

Пожалуй­ , это будет самый грустный­ раздел­ нашего дайджес­ та­ . О блокиров­ ках­ , с которыми­ россий­ ские­ пользовате­ ли­ столкну­ лись­ в 2022 году, можно­ написать цикл статей­ и все равно­ упустить­ из вида что нибудь важное­ . Ведь в реестр запрещен­ ных­ сайтов­ в 2022 году было внесено­ 247 492 ссылки­ на сайты­ или конкрет­ ные­ страницы­ в интернете­ .

Наибо­ лее­ знаковым­ «баном» этого­ года, по нашему мнению­ , стала­ бло­ кировка­ социаль­ ных­ сетей Twitter, Facebook* и Instagram*, а также­ признание­ деятельнос­ ти­ компании­ Meta Platforms** экстре­ мист­ ской­ с последу­ ющим­ зап­ ретом на территории­ России­ .

Теперь­ Facebook* и Instagram* ежедневно­ пользуют­ ­ся лишь 0,2% и 8% населения­ .

Вчисле­ прочего­ в РФ были отключены­ и рекламные­ инстру­ ­мен­ты YouTube

иGoogle Ads, из за чего россий­ ­ские блогеры­ потеряли­ 80–90% своего­ дохода,

а лидерство­ среди­ соцсетей­ в РФ теперь держат­ «Вконтакте­ » и Telegram, чей трафик­ заметно­ увеличил­ ся­ за прошед­ ший­ год.

Другие блокировки 2022 года

1.Арестованы­ двое россиян­ , которых обвиняют­ в управлении­ теневой биб­ лиотекой­ Z-Library. Американ­ ­ские власти­ начали борьбу­ с Z-Library: Минюст и ФБР конфиско­ ­вали более 130 доменов библиоте­ ­ки, а также­ арестовали­

3.Американ­ ­ские власти­ наложили­ санкции­ на криптовалют­ ­ный миксер­ Tornado Cash. Разработ­ ­чик сервиса­ арестован­ , а предста­ ­вите­ли криптоин­ ­дус­трии считают­ это неправомер­ ­ным и подали в суд на Министерс­ ­тво финансов­ США.

4.Роскомнад­ ­зор заявил о блокиров­ ­ке VPN-сервисов­ , включая­ Proton VPN. В этом году было забанено­ множес­ ­тво VPN-сервисов­ , но Proton VPN стал одной из самых значимых­ потерь.

5.GitHub блокиру­ ­ет аккаунты­ россий­ ­ских банков­ и разработ­ ­чиков. К сожале­ нию, такие проблемы­ давно­ возника­ ­ют у разработ­ ­чиков из стран, находя­ щихся­ под санкци­ ­ями США.

Вымога­ тель­ ские­ группиров­ ки­ снижают­ свои запросы­ : по срав­ нению с прошлым­ годом величина­ выкупов снизилась­ более

чем в 20 раз, а цены на шифроваль­ ­щики в даркне­ ­те упали­ в 10– 12 раз.

НАРУШИТЕЛЬ ПРИВАТНОСТИ ГОДА

IPHONE

В прошлом­ году мы назвали­ главным­ нарушителем­ приват­ ­ности Android, одна­ ко устройства­ Apple тоже таят в себе немало проблем­ . К примеру­ , специалис­ ­ты из Дармштадтско­ ­го техничес­ ­кого универ­ ­ситета обнаружи­ ­ли, что для iPhone можно­ создать­ вредонос­ ­ное ПО, которое будет работать даже на выключен­ ­ ном устройстве­ . И хотя такая малварь­ существу­ ­ет лишь в качестве­ исследова­ ­ тельско­ ­го концепта­ , в мобильных­ устройствах­ под управлением­ iOS действи­ ­ тельно­ есть ряд чипов, продол­ ­жающих работать, даже когда­ питание отсутс­ твует­ . Теоретичес­ ­ки это может превратить­ выключен­ ­ный телефон в устройство­ для слежки­ за его владель­ ­цем.

Среди­ других­ проблем­ с приват­ ­ностью, обнаружен­ ­ных в этом году в iOS, можно­ отметить­ атаку­ NoReboot, которая помогает­ имитиро­ ­вать процесс­ вык­ лючения устройства­ , хотя на самом деле iPhone по прежнему­ работает­ , и баг, который позволял­ подслу­ ­шивать разговоры­ пользовате­ ­лей с Siri и записывать­ аудио диктовки­ текста­ .

Другие новости приватности 2022 года

1.Пользовате­ ­ли Android смогут­ отключить­ 2G и защититься­ от атак перех­ ватчиков­ . Google наконец предос­ ­тавила людям возможность­ не разрешать­ соединения­ 2G на своих­ устройствах­ .

2.Обновлен­ ­ный Tor Browser автомати­ ­чес­ки обходит­ ограниче­ ­ния. Поль­ зователям­ больше­ не придет­ ­ся вручную­ перебирать­ конфигура­ ­ции мостов­ .

3.Google: шпионское­ ПО атакует­ пользовате­ ­лей iOS и Android при поддер­ ­жке интернет провай­ ­деров. Легальная­ спайварь­ RCS Lab полагается­ на помощь интернет провай­ ­деров в некоторых­ странах­ .

4.Браузер­ DuckDuckGo разрешал­ работу трекеров­ Microsoft. После­ скандала­ разработ­ ­чики объяви­ ­ли, что их браузер­ все же будет блокиро­ ­вать все сто­ ронние­ следящие­ скрипты­ Microsoft, хотя ранее это было невозможно­ из за соглашения­ о поиске­ , заключен­ ­ного между­ компани­ ­ями.

5.Иссле­ ­дова­тели говорят, что VPN в iOS по прежнему­ не работает­ нормаль­ ­ но. VPN-приложе­ ­ния всё так же не могут шифровать­ весь трафик­ в iOS.

В среднем­ на исправление­ 0-day-багов у компаний­ уходит­

52 дня, тогда­ как еще три года назад для этого­ требова­ ­лось в среднем­ 80 дней.

Продолжение статьи →

В «Хакере» мы каждый­ день расска­ зыва­ ем­ о новой малвари­ , угрозах­ , дар­ кнет сервисах­ и вредонос­ ных­ кампани­ ях­ . Выбирать «победителя­ » в этой категории­ всегда­ трудно­ , ведь нельзя­ с точностью­ сказать­ , что хуже: появление­ новой версии­ известно­ го­ шифроваль­ щика­ LockBit 3.0 (авторы­ которого­ к тому же запустили­ собствен­ ную­ программу­ bug bounty) или появление­ в продаже­ нового UEFI-буткита­ Black Lotus.

Так как многочис­ ­ленные вымогатели­ и стилеры­ уже давно­ никого не удив­ ляют, на общем фоне заметно­ выделился­ дроппер­ Raspberry Robin, обла­ дающий функци­ ­ональ­ностью червя­ . Его авторы­ продают­ доступы­ к скомпро­ ­ метирован­ ­ным сетям вымогатель­ ­ским группиров­ ­кам и операто­ ­рам другой­ малвари­ .

Raspberry Robin заразил тысячи­ организа­ ­ций по всему­ миру, что особен­ ­но примеча­ ­тель­но, так как распростра­ ­няет­ся он с помощью USB-накопителей­ (заражает­ устройства­ вредонос­ ­ным ПО после­ клика­ по файлу­ .LNK).

Экспер­ ты­ связыва­ ют­ его с такими небезызвес­ тны­ ми­ хак группами­ , как FIN11 и Clop, а также­ с распростра­ нени­ ем­ полезных­ нагрузок­ вредоно­ сов­

Bumblebee, IcedID и TrueBot.

Другие заметные вредоносы 2022 года

1.Сервис­ Parrot TDS использует­ 61 000 сайтов­ для распростра­ ­нения малвари­ . Parrot опирает­ ­ся в работе на взломан­ ­ные серверы­ , где размеща­ ­ются сайты­ универ­ ­ситетов, муниципаль­ ­ных органов­ власти­ , контент­ для взрослых­ и лич­ ные блоги­ .

2.Хакеры­ злоупот­ ­ребля­ют возможнос­ ­тями Brute Ratel C4. В сети обнаружи­ ­ли взломан­ ­ную версию­ red team инстру­ ­мен­та Brute Ratel. Не Cobalt Strike’ом единым­ …

3.За рекордны­ ­ми DDoS-атаками­ на клиентов­ Cloudfare стоял­ ботнет­ Mantis. Всего­ за 30 дней наблюдений­ Mantis запустил­ более 3000 DDoS-атак, которые были направле­ ­ны против­ почти­ 1000 клиентов­ Cloudfare.

4.Вымога­ ­тель­ская группиров­ ­ка Conti прекратила­ работу и распалась­ на нес­ колько­ групп поменьше­ . Хотя бренда­ Conti больше­ не существу­ ­ет, экспер­ ты уверены­ , что этот преступный­ синдикат­ еще долго­ будет играть важную­ роль в вымогатель­ ­ской «индустрии­ ».

5.Ботнет­ Emotet возобновил­ активность после­ пяти месяцев простоя­ . Emotet по прежнему­ жив и продол­ ­жает массовые­ рассылки­ вредонос­ ­ного спама­ .

По данным­ Роскомнад­ ­зора, с начала специаль­ ­ной военной­ операции­ на Украине­ произош­ ло­ более 140 утечек­ персональ­ ­ ных данных­ и в сеть попали пример­ но­ 600 миллионов­ записей

о россиянах­ .

ХАРДВЕРНЫЙ ВЗЛОМ ГОДА

ТЕРМИНАЛ SPACEX

Специалист­ из Левенско­ ­го католичес­ ­кого универ­ ­ситета Леннерт­ Воутерс (Lennert Wouters) в деталях расска­ ­зал, как ему удалось­ осущес­ ­твить один из первых­ взломов­ терминалов­ Starlink с помощью самодельного­ мод чипа стоимостью­ 25 долларов­ . Воутерс заявил, что намерен сделать­ этот инстру­ ­ мент полностью­ доступным­ для копирования­ .

Хотя­ SpaceX выпустила­ обновление­ , чтобы­ затруднить­ потенциаль­ ­ные атаки­ (в ответ Воутерс изменил­ свой мод чип), основная проблема­ не может быть исправлена­ , пока компания­ не обновит­ железо. По этой причине­ все поль­ зовательские­ терминалы­ Starlink по прежнему­ уязвимы­ , хотя после­ патча­ реализовать­ атаку­ стало­ заметно­ труднее­ .

Другие «железные» новости 2022 года

1. Песня­ Джанет­ Джексон­ выводила­ из строя жесткие­ диски­ в старых­ ноут­ буках. Музыкальный­ клип на песню­ Rhythm Nation негативно­ влиял­ на некоторые­ жесткие­ диски­ со скоростью­ вращения­ 5400 об/мин. Виноват

в этом был обычный­ резонанс.

2.Вышла­ обновленная­ версия­ хакерско­ ­го инстру­ ­мен­та USB Rubber Ducky. Авторы­ обновили­ DuckyScript (язык, который использует­ ­ся для создания­ команд), научили­ устройство­ определять­ , подклю­ ­чено оно к Windowsмашине или Mac, а также­ генерировать­ псевдослу­ ­чай­ные числа­ .

3.Появил­ ­ся PoC-экспло­ ­ит для PlayStation 5. Он срабаты­ ­вает лишь в 30% слу­ чаев. Разработ­ ­чики заявляют­ , что это важный­ шаг на пути к полному­ взлому­ консоли­ .

4.Кабель­ O.MG Elite получил расширен­ ­ные сетевые возможнос­ ­ти. Новинка­

способ­ ­на поддержи­ ­вать двухсто­ ­рон­нюю связь со своим­ операто­ ­ром

и может похвастать­ ­ся увеличен­ ­ным хранили­ ­щем для полезных­ нагрузок­ .

5.Создано­ устройство­ TickTock, способ­ ­ное обнаружи­ ­вать прослушку­ . Девайс, постро­ ­енный на базе Raspberry Pi 4 Model B, может проверить­ , не исполь­ зуется­ ли микрофон­ ноутбука­ или смартфо­ ­на для тайной­ записи разговоров­ пользовате­ ­ля.

Опрос­ StackOverfow показал: в 2022 году 40,23% разработ­ ­ чиков предпочли­ использовать­ Linux в качестве­ основной ОС. Однако­ первое­ место­ все равно­ удержива­ ­ет Windows с резуль­ татом в 62,33%.

СТРАННОСТЬ ГОДА

ДОБРЫЙ

ШИФРОВАЛЬЩИК

Далеко­ не все события, происхо­ дящие­ в областях ИТ и инфосека­ , можно­ отнести к разряду­ серьезных­ , а некоторые­ инциден­ ты­ и вовсе­ напоминают­ то ли первоап­ рель­ скую­ шутку­ , то ли нарочито­ абсурдные­ фальшивые­ новости­ в стиле­ ИА «Панорама­ ».

Один из ярких примеров­ — вымогатель­ GoodWill, который не требует­ у пос­ традав­ ших­ деньги­ , но заставля­ ет­ их совершать­ добрые­ дела в обмен на дешифрование­ файлов­ . К примеру­ , операто­ ры­ вредоно­ са­ велят раздавать­ одежду­ бездомным­ или оплачивать­ медицинские­ счета­ тем, кто нуждает­ ся­ в срочной­ медицинской­ помощи, но не может себе этого­ позволить­ .

GoodWill распростра­ ­няет­ся преиму­ ­щес­твен­но в Индии и, судя по всему­ , был создан­ в этой же стране­ . Исследова­ ­тели считают­ , что шифроваль­ ­щик явля­ ется чьим то эксперимен­ ­том.

Другие странные новости 2022 года

1.Школьники­ нашли­ баг в терминалах­ самообслу­ ­жива­ния «Вкусно­ — и точка­ »

иели гамбурге­ ­ры бесплат­ ­но. Отключение­ питания терминала­ автомати­ ­чес­ ки возвра­ ­щало деньги­ за последний­ заказ.

2.Француз­ случай­ ­но лишил интернета­ целый город, пытаясь­ отключить­ интернет своим­ детям. Отец семейства­ использовал­ «глушил­ ­ку», чтобы­ заблокиро­ ­вать своим­ детям доступ­ к сети, а в итоге­ оставил­ без связи­ всех соседей.

3.Взломан­ аноним­ ­ный сайт для рассылки­ фекалий по почте­ . Скучающий­ хакер взломал­ ShitExpress и опубликовал­ несколь­ ­ко особен­ ­но забавных­ посланий­ , которыми­ клиенты­ сервиса­ сопровож­ ­дали свои «заказы».

4.Создатель­ Oculus Rift показал VR-гарнитуру­ , которая убьет­ пользовате­ ­ля, если тот умер в игре. Палмер­ Лаки вдохновил­ ­ся идеями­ из Sword Art Online

исконстру­ ­иро­вал по настояще­ ­му убийствен­ ­ный гаджет­ .

5.Google отправила­ инженера­ в оплачива­ ­емый отпуск, когда­ тот заявил, что ИИ компании­ обрел сознание­ . Программист­ Google опубликовал­ интервью с чат ботом LaMDA (Language Model for Dialogue Applications), в котором ИИ признался­ , что испытыва­ ­ет чувство­ одиночес­ ­тва и жаждет­ духовных­ знаний­ .

Самым­ популярным­ языком­ программи­ рова­ ния­ на GitHub по прежнему­ остается­ JavaScript. Второе­ место­ занимает­ Python, третье — Java. Эти лидеры не меняются­ уже несколь­ ко­ лет.

ФЕЙЛ ГОДА

FTX

Осенью 2022 года криптовалют­ ­ное сообщес­ ­тво пережило­ серьезное­ пот­ рясение — неожидан­ ­ный крах биржи­ FTX, которая еще недавно­ считалась­ одной из крупней­ ­ших в мире наряду с Binance и Coinbase и оценива­ ­лась в 32 миллиар­ ­да долларов­ . Крах и банкротс­ ­тво FTX оказали­ огромное влияние­

на всю индустрию­ , а последс­ ­твия произо­ ­шед­шего еще долго­ будут сказывать­ ­ ся на всем рынке­ в целом.

В этой истории­ есть все необходимые­ составля­ ющие­ для настояще­ го­ эпик­ фейла­ : пропав­ шие­ миллиар­ ды­ , обманутые­ инвесторы­ и вопиющая­ халатность­ . К примеру­ , главы­ FTX регулярно­ тратили­ средства­ на покупку­ предметов­ рос­ коши и элитной­ недвижимос­ ти­ на Багамах, ведь оказалось­ , что никакого­ кон­ троля­ расходов­ в компании­ вовсе­ не было: платежи­ утвержда­ лись­ с помощью персонали­ зиро­ ван­ ных­ эмодзи­ в онлайн чатах.

Бывший­ глава­ и основатель­ FTX Сэм Бэнкман­ Фрид уже экстра­ ­диро­ван в США после­ ареста­ на Багамских­ островах­ . Правда­ , на родине его сразу­ же освободи­ ­ли под залог в размере­ 250 миллионов­ долларов­ и отправили­ под домашний­ арест.

Теперь­ Бэнкма­ ну­ Фриду­ и другим­ бывшим­ руководите­ лям­ FTX и фонда­ Alameda Research грозит­ тюремное­ заключение­ сроком­ 110–115 лет.

Другие провалы 2022 года

1.Инфотей­ ­мент системы­ в автомоби­ ­лях Mazda отключились­ после­ прос­ лушивания­ радиостанции­ в Сиэтле­ . Радиостанция­ трансли­ ­рова­ла через HD Radio файлы­ изображений­ , не имевшие­ расширений­ , а инфотей­ ­мент сис­ темы автомоби­ ­лей 2014–2017 годов выпуска­ обязатель­ ­но должны­ «знать» расширение­ файла­ .

2.Японские­ компании­ оказались­ не готовы к отключению­ Internet Explorer. Прекращение­ поддер­ ­жки IE спровоци­ ­рова­ло настоящий­ хаос в Японии­ , где браузер­ по прежнему­ в ходу у многих­ компаний­ и госструк­ ­тур.

3.В Telegram аннулиро­ ­вали подписки­ Premium, полученные­ обманным путем. Трое школьников­ нашли­ способ­ создания­ бесплат­ ­ных Premium-подписок­ , стали­ продавать­ их и довели этот «бизнес­ » до абсурда.

4.Акции­ фармацев­ ­тичес­кой компании­ подешевели­ из за фальшивого­ твита­ про бесплат­ ­ный инсулин­ . Из за фейковой­ новости­ компания­ Eli Lilly потеря­ ла больше­ 16 миллиар­ ­дов рыночной­ капитализа­ ­ции.

5.Мошен­ ­ники обманули­ банкоматы­ «Альфа­ банка­ » с помощью купюр «банка­ приколов­ ». Преступни­ ­ки внесли­ в банкоматы­ фальшивые­ купюры на общую сумму­ более 60 миллионов­ рублей­ , после­ чего сняли­ уже настоящие­ день­ ги.

ЧЕМ ЕЩЕ ЗАПОМНИТСЯ 2022 ГОД

Разработ­ ­чики Winamp, о которых в 2022 году вряд ли вспомина­ ­ло много­ людей, сдержали­ свое обещание­ и все же выпус­ ­тили новую версию­ легендарно­ ­го плеера­ (Winamp 5.9). Подготов­ ­ка к обновлению­ и перезапус­ ­ку Winamp велась с 2018 года.

В начале года ФСБ РФ заявила­ , что члены­ нашумевшей­ хак группы­ REvil арестованы­ по запросу­ властей­ США. Это сообщение­ посеяло­ настоящую­ панику в рядах хакеров, но к ноябрю­ дело окончатель­ но­ зашло­ в тупик, так как, по данным­ СМИ, американ­ ская­ сторона­ «в односторон­ нем­ порядке­ вышла­ из переговор­ ного­ процес­ са­ ».

Националь­ ный­ институт­ стандартов­ и технологий­ США (NIST) сообщил­ об отказе­ от исполь­ зования криптогра­ фичес­ кого­ алгорит­ ма­ SHA-1 и рекомендовал­ полностью­ перейти­ на более безопасные­ SHA-2 и SHA-3 до 31 декабря­ 2030 года.

Илон Маск купил­ компанию­ Twitter за 44 миллиар­ ­да долларов­ , сразу­ же уволил­ весь топ менеджмент­ , две трети­ сот­рудни­ков и теперь так активно модернизиру­ ­ет соцсеть­ , что Twitter лишился­ многих­ крупных­ рекламода­ ­телей, а пользовате­ ­ли массово­ переходят­

в Mastodon.

* Принад­ ­лежат компании­ Meta, деятельность­ которой признана­ экстре­ ­-

мистской­ , организа­ ­ция запрещена­ в России­ .

** Meta Platforms Inc. признана­ экстре­ ­мист­ской организа­ цией­ и зап­-

рещена в РФ.

СОБИРАЕМ ИНФОРМАЦИЮ ОБ АТАКУЕМОЙ СИСТЕМЕ

Фраза­ «Enumeration is the key» широко известна­ в среде­ пентесте­ ­ров. Вначале­

порта­ столько­ информации­ , сколько­ возможно­ . И чем больше­ такой информа­ ции получит хакер, тем проще­ ему будет на следующих­ этапах­ .

Сегод­ ня­ на серверах­ крутит­ ся­ столько­ разнооб­ разных­ служб, что описания­ всех приемов­ для каждой­ из них хватило­ бы на целую книгу­ . Поэтому­ сегодня­ мы коснемся­ самых основ, того, на чем работает­ каждый­ сервис­ , — стека­ про­ токолов­ TCP/IP. Думаю, ты крайне­ удивишь­ ся­ , узнав, сколько­ информации­ реально­ достать­ , не поднима­ ясь­ выше уровня­ L2/L3/L4 и не имея доступа­

к удален­ ­ному серверу­ , а просто­ зная его IP-адрес и отправляя­ ему те или иные пакеты. Большинс­ ­тво приемов­ примени­ ­мо абсолют­ ­но к любым узлам интерне­ та.

Итак, используя­ только­ лишь протоко­ ­лы сетевого­ и транспортно­ ­го уровней­ (IP, TCP и ICMP), мы сможем­ определить­ :

•операци­ ­онную систему­ ;

•сетевую­ активность (speed rate);

•время­ непрерыв­ ­ной работы операци­ ­онной системы­ (uptime);

•время­ на удален­ ­ном сервере­ ;

•сколько­ серверов­ реально­ находятся­ за IP-адресом­ ;

•сколько­ балансировоч­ ­ных серверов­ на порте­ ;

•принад­ ­лежат ли порты­ одному­ серверу­ ;

•сколько­ IP-адресов­ у сервера­ ;

•тополо­ ­гию маршру­ ­та до цели;

•ложные­ открытые­ порты­ .

Встатье я буду показывать­ все примеры­ двумя­ способа­ ­ми: с помощью базового­ инстру­ ­мен­тария и с использовани­ ­ем собствен­ ­ного набора скриптов­ .

Вкоде этих скриптов­ ты найдешь­ полезные­ примеры­ использования­ библиоте­ ­

ки для крафтинга­ пакетов scapy, чтобы­ при необходимос­ ти­ кастомизи­ ровать­ их под свою задачу.

ARP

Обычно­ с ARP ассоциируют­ ­ся атаки­ перехвата­ трафика­ , но мы взглянем­ на этот протокол­ с другой­ стороны­ .

В каждом­ ARP-пакете есть поле с src_mac.

И именно­ по содержимому­ этого­ поля мы сможем­ ответить­ на ряд вопросов­ .

Выявление хостов за файрволом

Думаешь­ , если удален­ ный­ узел не отвечает­ на ping, то его там нет? Когда­ ты инициируешь­ любое обращение­ к узлу из текущего­ сетевого­ сегмента­ , будь то команда­ ping или обращение­ через браузер­ , твоя ОС сначала­ выполняет­ ARPзапрос­ , чтобы­ узнать MAC-адрес удален­ ного­ хоста­ . И обычно­ файрво­ лы­ (даже если они настро­ ены­ на полную­ блокиров­ ку­ всего­ входяще­ го­ трафика­ ) не тро­ гают канальные­ протоко­ лы­ (Ethernet), а также­ ARP, посколь­ ку­ из за этого­ может быть нарушена­ работоспособ­ ность­ сети.

Например­ , имеется­ хост из текущего­ сетевого­ сегмента­ . Этого­ хоста­ вроде­ как нет, посколь­ ­ку на ping он не отзывает­ ­ся. Тем не менее в кеше присутс­ ­тву­ет его MAC-адрес, следова­ ­тель­но, сетевой узел существу­ ­ет.

Чтобы­ обнаружить­ подобные­ скрытые­ узлы во всем сетевом сегменте­ , можно­ использовать­ скрипт, который автомати­ чес­ ки­ выполняет­ описан­ ные­ выше дей­ ствия.

Эта информация­ может быть также­ полезна­ в сетях, где нет DHCP, но тебе нужно­ аккурат­ но­ занять IP-адрес. Кроме­ того, она просто­ дает понимание­ , что тот или иной сервер­ не выключен­ , а находится­ за файрво­ лом­ .

Обнаружение хостов с несколькими IP

То, что в сетевом сегменте­ мы можем видеть MAC-адреса­ удален­ ­ных узлов, позволя­ ­ет выявить системы­ с несколь­ ­кими IP-адресами­ .

Все просто­ : если несколь­ ким­ IP-адресам­ соответс­ тву­ ет­ один MAC, с большой­ долей вероятности­ находится­ узел, сетевой карте­ которого­ присвоено­ нес­ колько­ IP-адресов­ (alias). Стоит­ отметить­ , что так мы не увидим­ dual-homed- машины (несколь­ ко­ сетевых карт). Как их можно­ обнаружить­ , я расска­ жу­ чуть позже­ .

Определение аппаратной части удаленного хоста

Первые­ три октета­ MAC-адреса­ резервиру­ ­ются за произво­ ­дите­лями оборудо­ ­ вания и потому достаточ­ ­но точно­ могут идентифици­ ­ровать железо.

Хорошо­ видно­ , что рядом с нами в сети присутс­ ­тву­ют четыре IP-камеры

ичетыре сетевых устройства­ . Информация­ об этом находится­ в OUI-базах:

•/usr/share/arp-scan/ieee-oui.txt;

•/usr/share/airgraph-ng/oui.txt.

В зависимос­ ­ти от MAC-адреса­ удален­ ­ного узла мы можем сделать­ еще и дос­ таточно­ точный­ вывод о том, физический­ перед нами сервер­ или виртуаль­ ­ный. Например­ , популярная­ в Enterprise-секторе­ VMware по умолчанию­ использует­

MAC-адреса­ вида 00:50:56:xx:xx:xx.

Stale Network Address Configurations

С ARP связана­ еще одна не столь очевид­ ­ная атака­ под названи­ ­ем SNAC, которая выявляет­ устарев­ ­шие информацион­ ­ные потоки. Учитывая­ , что для непосредс­ ­твен­ной коммуника­ ­ции узлов в локальных­ сетях требует­ ­ся зап­ рашиваемый­ по ARP MAC-адрес, и при этом запрашива­ ­емый широковеща­ ­ тельно­ (так что его слышат­ все), мы можем узнать, а все ли запрашива­ ­емые узлы реально­ существу­ ­ют.

Так как ARP-ответ уже не идет широковеща­ тель­ но­ , а отправляет­ ся­ непосредс­ ­ твенно­ запрашива­ емой­ стороне­ , его мы не услышим­ . Поэтому­ скрипт выпол­ няет повторный­ ARP-запрос­ , чтобы­ проверить­ , реально­ ли существу­ ет­ в текущем сетевом сегменте­ запрашива­ емый­ хост. Если да, он подсве­ чива­ ­ ется зеленым, как действу­ ющий­ информацион­ ный­ поток, если нет — красным­ , как недейству­ ющий­ . Во время­ работы скрипт постоян­ но­ обновляет­ граф, визу­ ализиру­ ющий­ эти самые информацион­ ные­ потоки.

Просто­ анализи­ руя­ ARP, можем видеть, что некто­ (через шлюз 192.168.8.1), расположен­ ный­ в другом­ сетевом сегменте­ , пытался­ соединить­ ся­ с несущес­ твующи­ ми­ хостами­ . Или например­ , что сразу­ три узла (82, 79 и 83) связыва­ ­

ются с хостом­ 192.168.8.73.

Вполне­ очевид­ ­ным действи­ ­ем будет занять свобод­ ­ный, но запрашива­ ­емый IP-адрес, присвоив­ своей­ сетевой карте­ сколько­ нужно­ адресов­ . Результатом­ может стать абсолют­ ­но что угодно­ , любой информацион­ ­ный поток вплоть до разгла­ ­шения паролей (например­ , если присвоен­ ­ный адрес принад­ ­лежит серверу­ MS SQL) или хешей (если это адрес сетевого­ диска­ ). Впрочем­ , это уже отдельная­ история­ .

SNAC крайне­ сложно­ увидеть­ невоору­ жен­ ным­ взглядом­ , ведь часто­ при­ чиной успешной атаки­ становит­ ся­ всеми­ забытый конфиг­ . В то же время­ угроза­ не столь очевид­ на­ , когда­ у сервера­ меняется­ IP-адрес: мало кто задумывает­ ся­ о том, что его может занять атакующий­ .

SNAC просто­ незаменим­ при атаках­ на так называемые­ стенды­ , когда­ исследуемые­ узлы просто­ выдергива­ ­ются из продук­ ­тивных сетей, разрывая­ информацион­ ­ные потоки.

АНАЛИЗ IP.TTL

В любом IP-пакете есть поле ttl.

Его особен­ ность­ заключа­ ется­ в том, что каждое­ сетевое устройство­ , которое доставля­ ет­ твой IP-пакет до цели, вычитает­ из значения­ этого­ поля единицу­ . Если устройств­ по пути до цели много­ , значение­ IP.ttl будет уменьшать­ ся­ по мере удлинения­ маршру­ та­ следова­ ния­ пакета. Как только­ содержимое­ поля IP.ttl станет­ равным­ нулю, пакет удалит­ ся­ . Так реализова­ на­ защита от зацик­ ливания пакетов на пути следова­ ния­ . Отправляющая­ сторона­ вольна­ устанав­ ­ ливать любое значение­ ttl, a удален­ ная­ сторона­ при этом ответит­ пакетом со своим­ IP.ttl.

Определение ОС

Отправ­ ­ляющая сторона­ (твой ПК) устанав­ ­лива­ет определен­ ­ное начальное­ зна­ чение IP.ttl. Точно­ так же удален­ ­ная сторона­ в ответ отправит­ тебе пакет со своим­ начальным­ IP.ttl (значение­ которого­ может уменьшить­ ­ся на длину­ трассиров­ ­ки). И это значение­ специфич­ ­но для ОС.

Сущес­ тву­ ет­ четыре популярных­ начальных­ значения­ IP.ttl, достаточ­ но­ точно­ описыва­ ющих­ семейство­ ОС удален­ ного­ узла:

•255 — Cisco;

•128 — Windows;

•64 — Linux, Android, BSD, macOS;

•32 — embedded-системы­ .

Так что даже обычной­ командой­ ping мы можем определить­ тип операци­ онной­ системы­ .

В локальной­ сети, где между­ твоей­ машиной и целью не так много­ межсетевых­ экранов­ , этот метод будет работать достаточ­ ­но точно­ . Атакующе­ ­му полученная­ информация­ позволит­ сразу­ понять, что за устройство­ перед ним, и подобрать­ подходящий­ список­ портов­ для сканиро­ ­вания под те или иные популярные­ экс­ плоиты­ .

А для защищающей­ ­ся стороны­ повод насторожить­ ­ся, если в пользователь­ ­ ском сегменте­ , где все компьюте­ ­ры работают­ под управлением­ Windows, вдруг появляет­ ­ся Linux (возможно­ даже Kali).

Зато­ в глобаль­ ной­ сети на ping (ICMP) полагаться­ особо­ не стоит­ . Пакет на пути следова­ ния­ преодо­ леет­ множес­ тво­ межсетевых­ экранов­ со своими­ правила­ ми­ и может попросту­ не дойти­ до цели, даже если на целевом IP слу­ шаются­ порты­ , работают­ службы­ . Именно­ поэтому­ Nmap нужно­ всегда­ запус­ кать с флагом­ -Pn, если ты уверен­ , что IP живой.

Поле­ ttl относит­ ­ся к протоко­ ­лу IP, а под ним, помимо ICMP (ping), работа­ ют наши любимые TCP- и UDP-транспор­ ­ты. Так что анализи­ ­ровать IP.ttl мож­ но прямо­ с TCP-порта­ .

Если­ на удален­ ном­ IP имеется­ ряд открытых­ портов­ , то далеко не факт, что все порты­ будут иметь одинако­ вый­ IP.ttl. Нужно­ иметь в виду, что в интернете­ не всегда­ весь сервер­ относит­ ся­ к одному­ IP-адресу­ . На деле это может быть некое сетевое устройство­ , отправляющее­ часть портов­ на один сервер­ в DMZ, а часть на другие­ .

В данном­ случае­ , судя по IP.ttl, мы можем заключить­ , что за IP-адресом­ реально­ скрывает­ ­ся четыре системы­ . Причем­ одна из них — это Windows и три — Unix. Чуть позже­ мы научимся­ определять­ принад­ ­лежность портов­

к системам­ более точно­ .

Выявление помех

То, что IP.ttl будет уменьшать­ ­ся с удлинени­ ­ем маршру­ ­та, мы можем использовать­ для определе­ ­ния помех при сканиро­ ­вании — ложных­ срабаты­ ­ ваний. Достаточ­ ­но часто­ при сканиро­ ­вании из «цензуриру­ ­емых» сетей (кор­ поративные­ сети, VPN и подобное­ ) часть трафика­ не выходит наружу. Чаще всего­ ты этого­ даже не заметишь, но иногда­ это проявля­ ­ется в наличии ложных­ открытых­ портов­ . Так получается­ из за того, что определен­ ­ные соединения­ заворачива­ ­ют на тот или иной внутренний­ узел, например­ Proxy-, DNSили SMTP-сервер­ . На иллюстра­ ­ции ниже показан наглядный­ пример­ такой ситуации­ .

Но если посмотреть­ на IP.ttl ответных пакетов, то мы заметим нечто­ стран­ ное.

Продолжение статьи →

СОБИРАЕМ ИНФОРМАЦИЮ ОБ АТАКУЕМОЙ СИСТЕМЕ

Вспомина­ ­ем про начальные­ значения­ IP.ttl: 255, 128, 64, 32, и картина­ начинает­ прояснять­ ­ся. У двух портов­ IP.ttl изменил­ ­ся на 6, что в общем похоже на правду­ , но у одного­ из портов­ значение­ изменилось­ только­ на 1. Иными­ словами­ , между­ тобой и целью (сервером­ Google) одно сетевое устройство­ , словно­ вы оба находитесь­ в Кремниевой­ долине, а не на разных­ континен­ ­тах. В результате­ мы понимаем­ , что сетевое оборудо­ ­вание твоего­ провай­ ­дера, корпоратив­ ­ного офиса­ или VPN заворачива­ ­ет эту часть трафика­ .

Понима­ ­ние этого­ сильно­ упростит жизнь при исследова­ ­нии сети.