Człowiek z telefonem przed ekranem widziany przez celownik termowizyjny, podpisy -- "Naruszenie bezpieczeństwa, cyberatak w toku".

Hakerzy: najnowsze metody ataków

Fot. Piotr Sokołowski
Na hakerskiej konferencji specjaliści zajmujący się cyberbezpieczeństwem pokazali aktualne techniki ataków na smartfony i komputery. Udowodnili, że urządzenia Apple bynajmniej nie są wolne od zagrożeń. Demonstrowali też włamania przez kabel ładujący telefon, za pomocą kamery termowizyjnej oraz z wykorzystaniem maszyny wirtualnej. Wśród ekspertów prowadzących szkolenie Black Hat byli m.in. Neil Wyler, Xiaolong Bai i Riccardo Spolaor.

Kiedy Neil Wyler, bardziej znany w hakerskiej branży jako Grifter, wchodzi do pokoju, każdy, kto w nim przebywa, wie, że coś musiało się wydarzyć. Wyler przeprowadził kontrolowany atak SQL na domenę publiczną. Oczywiście w celach szkoleniowych. Bo właśnie szkolenia to podstawa Black Hat. Wyler jest inżynierem ds. bezpieczeństwa informacji i naukowcem. Aktualnie spełnia się zawodowo w RSA Security, gdzie pracuje na stanowisku specjalisty ds. zaawansowanych operacji bezpieczeństwa. Od ponad 15 lat koncentruje się na ocenie podatności na zagrożenia i testach penetracyjnych. Z Black Hat Security Briefings jest związany od 13 lat.
Dzięki szkoleniom w ramach Black Hat nowicjusze mają szansę zobaczyć i zrozumieć, w jaki sposób potencjalni agresorzy mogą przeniknąć do kodu i urządzeń, włamać się do telefonu, znaleźć słabe punkty i zinfiltrować cel. Pokój, do którego wszedł Tyler, to miejsce przeprowadzania ataków w tzw. czasie rzeczywistym. To oswajanie przyszłych specjalistów do spraw bezpieczeństwa danych z sytuacją, która z pewnością kiedyś nastąpi. Będą musieli wykazać się wtedy nie tylko wiedzą, ale i odpowiednio szybką reakcją oraz podejmować właściwe decyzje. Podczas późniejszych wykładów adepci sztuki hakerskiej poznają szczegóły dotyczące przeprowadzonego ataku. Koszt takiego kursu? Kilka tysięcy euro.

Podatności urządzeń Apple

W obiegowej opinii, ochoczo podtrzymywanej przez samo Apple, urządzenia sygnowane symbolem nadgryzionego jabłka są wyjątkowo bezpieczne – niezależnie od tego, czy próbę ataku podejmuje haker, grupa cyberprzestępcza, czy policja lub agencje wywiadowcze. Opinia ta wynika w dużej mierze z samej architektury bezpieczeństwa urządzeń Apple z systemem iOS. Faktem jest, że Apple wiele elementów swojego oprogramowania i infrastruktury sprzętowej zaprojektowało tak, aby bardzo utrudnić, czy wręcz uniemożliwić nieuprawnionym użytkownikom (czyt. hakerom) wprowadzanie zmian w systemie. Ostatnią linią obrony jest nowy system plików Apple File System. Dlaczego ostatnią? Otóż, osoby, które będą w stanie wprowadzić zmiany w APFS, będą mogły również uzyskać dostęp do katalogu głównego urządzenia i wprowadzić tam swoje własne oprogramowanie, jak również pobrać dane bez wiedzy właściciela smartfonu.

Kod blokady z dodatkowo włączonym czyszczeniem pamięci iPhone’a po kilkakrotnym, błędnym wprowadzeniu hasła nie jest już skuteczną ochroną (graf. CHIP)

Na szkoleniu Black Hat jeden z najlepszych specjalistów i badaczy bezpieczeństwa systemu iOS, Xiaolong Bai, zademonstrował sposób na ominięcie systemu bezpieczeństwa APFS. Sam przyznaje, że nie było to trywialne zadanie. System plików zaprojektowany przez Apple jest tak zbudowany, że najpierw instaluje się w urządzeniu jako tylko do odczytu, tzn. z zabezpieczeniem zapisu. Jeżeli ktokolwiek próbuje zmienić zamontowany obraz sytemu, iOS automatycznie rozpoznaje niewłaściwy znacznik czasu i sumę kontrolną, reagując dobrze znanym kernel panic, czyli całkowitym przerwaniem pracy i zawieszeniem systemu. Bai był w stanie ominąć system bezpieczeństwa poprzez dość wyrafinowane działania polegające, w dużym uproszczeniu, na przeprowadzeniu ataku na jądro iOS-a tak, by móc podstawić własny system plików i na tej podstawie uzyskać prawidłowy znacznik czasu umożliwiający już modyfikację oryginalnego systemu plików. Demonstrując swoją metodę, pokazał nielegalny, teoretycznie niemożliwy do zainstalowania na urządzeniach Apple, nieautoryzowany przez producenta sklep z aplikacjami Cydia. Dostał ogromne brawa.

Z prezentacji Baia skorzysta także Apple. Programiści giganta z Cupertino reagują szybko i wprowadzają zmiany w kodzie, neutralizując potencjalny atak, który w najnowszych, zaktualizowanych wersjach systemu iOS już nie byłby skuteczny.

Reklama

Sposób na Apple ma również DriveSavers, grupa specjalistów, która jednak nie dzieli się wiedzą z producentem iPhone’ów. Przestępcy? Nic z tych rzeczy, po prostu utrzymanie tajemnicy leży w ich interesie. DriveSavers znają metodę na odczytanie kodu dostępu do zablokowanego urządzenia Apple i to nawet w sytuacji, gdy użytkownik skonfigurował system tak, żeby po dziesięciu nieudanych próbach wprowadzenia kodu PIN iOS aktywował procedurę usuwania wszystkich danych z urządzenia. Dzięki swojej wiedzy DriveSavers proponuje tym, którzy zapomnieli kodu, możliwość tworzenia kopii zapasowych wszystkich danych urządzenia. Dlaczego nie chcą ujawnić, jak dokładnie działa trik i jakie słabe punkty kodu Apple wykorzystuje? Stawka jest zbyt wysoka. Jednorazowe odblokowanie urządzenia kosztuje 3900 dolarów (blisko 15 tysięcy złotych). Ujawnienie ich wiedzy może i pomogłoby Apple, ale zniszczyłoby biznes DriveSavers. Co ciekawe, usługa skierowana jest do zwykłych użytkowników i choć może trudno w to uwierzyć, biorąc pod uwagę ceny, to klientów nie brakuje.

Rządy wolą Androida

W przypadku iOS-a atak, choć jest możliwy do przeprowadzenia, wymaga jednak wyrafinowanych metod, zaawansowanej wiedzy i dużych pieniędzy. Z Androidem jest zupełnie inaczej – i nie dlatego, że jest np. niedbale zaprojektowany. Problem leży w architekturze, a dokładnie w otwartości Androida, skrzętnie wykorzystywanej przez cyberprzestępców, cyberterrorystów oraz służby wywiadowcze. Eksperci z firmy Lookout, Michael Flossman, szef grupy specjalizującej się w wykrywaniu zagrożeń, oraz Kristin Del Rosso, analityczka wywiadu bezpieczeństwa, zbadali, jak działają profesjonaliści. Wzięli na warsztat narzędzia ataku wykorzystywane przez grupę hakerów znaną pod nazwą Syryjska Armia Elektroniczna. Syrian Electronic Army jest grupą najprawdopodobniej sponsorowaną przez agencje rządowe. Jej główne zadania to szpiegowanie przeciwników rządu Baszara el-Asada oraz rozpowszechnianie syryjskiej (prorządowej), a także prorosyjskiej propagandy.

Schemat działania SEA rozpoznany przez ekspertów z Lookout jest następujący. Syryjscy hakerzy przez podstawionych wydawców rejestrują w sklepie Google Play aplikacje, które, pobierane przez niczego nie podejrzewających użytkowników, służą do rozprzestrzeniania szpiegowskiego oprogramowania Silverhawk. Jak na ironię, oprogramowanie udaje aktualizacje popularnych komunikatorów, takich jak np. Telegram, Chat-Secure itp., czyli programów, z których korzystają raczej ci, którzy chcą uniknąć szpiegowania ich urządzeń (Telegram na przykład znany jest z szyfrowania end-to-end). Opisywany złośliwy kod może udawać również aktualizację MS Office’a.

Dla bezpieczeństwa Androida, warto nie tylko aktualizować aplikacje, ale też uruchamiać aktualizacje bezpośrednio w sklepie Google Play (graf. CHIP)

Po tym jak złośliwy kod w formie fałszywej aktualizacji trafi na telefon ofiary, Syryjska Armia Elektroniczna jest w stanie niezauważenie rejestrować dźwięk i obraz (zdjęcia, wideo). Ponadto może kopiować wiadomości SMS oraz kontakty i eksportować treści z komunikatorów takich jak WhatsApp czy wspomniany Telegram. Hakerzy mają dostęp do aktualnych danych lokalizacyjnych i całej historii GPS, a także wszystkich danych aplikacji. Złośliwy kod umożliwia też odczytanie danych poprzez połączenie z innym telefonem komórkowym.

Google oczywiście stara się neutralizować tego typu ataki w swoim sklepie, niemniej wciąż zdarzają się często. Recepta ekspertów? Korzystanie z mobilnego skanera antywirusowego. Ale przede wszystkim warto aktualizacje oprogramowania przeprowadzać, klikając przycisk Aktualizuj w samym Google Play, a nie poprzez np. powiadomienie, które pojawia się na pasku.


Na drugiej podstronie piszemy o włamaniach przez kabel zasilający i z wykorzystaniem kamery termowizyjnej.

0
Zamknij

Choć staramy się je ograniczać, wykorzystujemy mechanizmy takie jak ciasteczka, które pozwalają naszym partnerom na śledzenie Twojego zachowania w sieci. Dowiedz się więcej.