2018的黑客手法
這是惡意黑客膽大妄為的一年，某些手法此前根本想象不到——佯攻、加密貨幣劫持、社會工程和破壞性惡意軟件行動。但即便是在2018年民族國家和網(wǎng)絡(luò)犯罪攻擊日漸猖獗的背景下，安全研究人員還是找到了一些以黑治黑預(yù)先制止壞人攻擊的創(chuàng)新手法。
?? ??
2018年，包括青少年在內(nèi)的白帽子黑客攻入了一系列重要目標(biāo)，比如機載衛(wèi)星設(shè)備、美國大選仿真網(wǎng)站和吸塵機器人。他們還運用社會工程和網(wǎng)絡(luò)釣魚者自己的戰(zhàn)術(shù)和人工智能(AI)挫敗了壞人自己的陰謀，在漏洞被濫用之前搶先曝光。
我們不妨先忘了那些失敗的比特幣挖礦實驗、家庭路由器中的俄羅斯黑客和網(wǎng)絡(luò)上潛伏著的武器化PowerShell腳本，花幾分鐘時間回顧一下安全研究人員今年的創(chuàng)新黑客壯舉。
1. 飛機上的黑客
雖然耗時四年，但 Ruben Santamarta 最終證明了他在2014年報告的衛(wèi)星設(shè)備固件重大漏洞是可以被武器化的。這位IOActive的研究員從地面黑進了機上WiFi網(wǎng)絡(luò)，暗中觀察乘客的互聯(lián)網(wǎng)活動，并侵入機載衛(wèi)星通信設(shè)備，充分展示了他之前得出的漏洞利用理論的正確性，駁斥了當(dāng)時某些專家的懷疑。
2018年8月美國黑帽大會上演示之前，Santamarta就告訴媒體：每個人都說這不可能。但這從根本上是可行的。如今有了證明。
Santamarta稱自己在衛(wèi)星通信設(shè)備中發(fā)現(xiàn)了一系列后門、不安全協(xié)議和網(wǎng)絡(luò)錯誤配置，影響西南航空、挪威航空和冰島航空公司的數(shù)百架商業(yè)飛機。盡管這些漏洞可以使黑客遠程奪取飛機機上WiFi控制權(quán)，但鑒于機上WiFi網(wǎng)絡(luò)是隔離且經(jīng)配置的，目前對飛機本身尚未顯現(xiàn)出什么安全威脅。
另外，Santamarta在黑帽大會上透露，2018年11月掃描挪威航空公司從馬德里飛往哥本哈根的航班上WiFi網(wǎng)絡(luò)時，他遭到了真正的惡意軟件的阻撓：機上衛(wèi)星調(diào)制解調(diào)數(shù)據(jù)單元中運行有一個后門，Gafgyt物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)中的一臺路由器正在訪問該機上衛(wèi)星通信調(diào)制解調(diào)器，掃描新的僵尸網(wǎng)絡(luò)預(yù)備役。幸運的是，飛機上的衛(wèi)星通信終端無一被感染，但這也敲響了航空業(yè)潛在威脅的警鐘。
2. 語義曝光網(wǎng)絡(luò)釣魚者
社會工程是最簡單最可靠的網(wǎng)絡(luò)攻擊第一步，而且垃圾郵件過濾器肯定濾不掉所有的網(wǎng)絡(luò)釣魚郵件。所以，兩名研究人員設(shè)計了通過“黑”攻擊者所用語言來檢測社會工程師/網(wǎng)絡(luò)釣魚者的方法：他們創(chuàng)建了一款工具，可以對文本進行語義分析，運用自然語言處理識別不明確行為，判斷惡意意圖。
加州大學(xué)教授 Ian Harris 和Lootcore首席顧問 Marcel Carlsson 基本上通過文本或語音轉(zhuǎn)換的文本中所用的語言就能暴露出攻擊者。Harris和Carlsson的網(wǎng)絡(luò)釣魚者黑客工具檢測電子郵件中尋求隱私數(shù)據(jù)和惡意指令的問題——這些通常都是潛在社會工程攻擊的跡象。該工具也可用于標(biāo)識惡意文本消息和電話。
此類文字黑客工具會對照隨機抽取的網(wǎng)絡(luò)釣魚郵件對比文本中的動賓結(jié)構(gòu)短語，分析語義和選詞。
為什么社會工程總是引人深究?這是因為任何信息安全沖突中社會工程都是其中最弱一環(huán)。人們總是很善良，樂于助人。你當(dāng)然能利用這種善意或者操縱他們把信息交給你。 |
3. Mac-A-Mal
蘋果公司直到2012年都在宣傳Mac對病毒免疫，但如今，MacOS電腦也落入了惡意軟件作者的視野。
荷蘭 Sfylabs BV 惡意軟件分析師 Pham Duy Phuc 和意大利特倫托大學(xué)教授 Fabio Massacci 決定改良不斷壯大的Mac惡意代碼生態(tài)系統(tǒng)的檢測及分析過程。這一過程目前為止都是繁瑣的人工過程，兩位安全研究員為此開發(fā)了一套Mac-A-Mal框架，融合靜態(tài)及動態(tài)代碼分析以查找并暴露Mac惡意軟件的內(nèi)部機制，包括最為隱秘的那些變種。
他們的工具可以靜默運行，能抓取惡意軟件行為模式，比如網(wǎng)絡(luò)流量、規(guī)避方式和文件操作。Phuc表示：
該工具能在沙箱中拾取惡意軟件樣本和執(zhí)行中的實際行為數(shù)據(jù)。 |
兩名研究人員用該工具發(fā)現(xiàn)了數(shù)百個新型Mac惡意軟件樣本。他們發(fā)現(xiàn)，2017年VirusTotal上的半數(shù)Mac惡意軟件都是后門，而大多數(shù)變種都是廣告軟件。
4. 上帝模式
硬件黑客在2018年很火。2018一開年就是舉世震驚的現(xiàn)代微處理器漏洞幽靈和熔斷的曝光，然后是各種防濫用緩解措施。夏天時一名研究人員披露了他令人毛骨悚然的CPU安全功能黑客手法。
研究員 Christopher Domas 發(fā)現(xiàn)了突破現(xiàn)代 CPU ring權(quán)限模式的突破方法，讓他可以獲得計算機內(nèi)核級權(quán)限并繞過軟件和硬件安全措施檢測。8月份的美國黑帽大會上Domas做了題為《上帝模式解鎖：X86 CPU 硬件后門》 的演講。
Domas分享了他是如何通過某些機型x86微處理中的一個硬件漏洞奪取到主機“上帝模式”控制權(quán)的。該后門在某些系統(tǒng)上默認啟用，可令攻擊者獲取內(nèi)核控制。不過，Domas表示，僅 VIA C3 CPU 可被該攻擊攻破，后面的處理器可對此漏洞免疫。
他將自己的漏洞利用工具 Project Rosenbridge 放到了GitHub上供其他研究人員實驗。工程主頁上Domas寫道：
本項目僅作為案例研究和思維實驗，例證后門可在當(dāng)今越來越復(fù)雜的處理器中出現(xiàn)，證明研究人員和終端用戶也有可能發(fā)現(xiàn)此類功能。此處放出的工具和研究為更深層次的處理器漏洞研究提供了起始點。 |
5. 吸塵機器人間諜
先是冰箱，現(xiàn)在連吸塵機器人都開始窺探家中動靜了。
Positive Technologies 的研究人員發(fā)現(xiàn)東莞蒂奇360吸塵機器人中存在漏洞，可變身移動監(jiān)視設(shè)備，通過其內(nèi)置網(wǎng)絡(luò)攝像頭或智能手機控制的導(dǎo)航功能監(jiān)聽消費者對話和窺探主人行動。
該遠程代碼執(zhí)行漏洞可令攻擊者獲取設(shè)備超級用戶權(quán)限——通過了設(shè)備默認登錄功能的脆弱身份驗證之后。另外還有一個漏洞存在于該設(shè)備的固件更新過程中，攻擊者可以用手插入惡意microSD卡。
吸塵機器人的間諜功能很明顯：攻擊者可將之轉(zhuǎn)變?yōu)楸O(jiān)視消費者和盜取消費者信息的中心，甚至強征該吸塵機器人進入IoT僵尸網(wǎng)絡(luò)大軍。這是消費級IoT設(shè)備加入互聯(lián)網(wǎng)訪問功能卻沒有考慮安全問題的又一個例子。
6. AI即武器
打敗對手的途徑之一就是像對手一樣思考。Cyxtera Technologies 的研究人員便是受這種思維啟發(fā)，打造了模擬壞人武器化AI用于更精準網(wǎng)絡(luò)釣魚攻擊的算法。
DeepPhish算法旨在學(xué)習(xí)攻擊者是如何利用AI和機器學(xué)習(xí)工具繞過惡意行為及內(nèi)容安全監(jiān)測工具的。2018年末，Cyxtera研究副總裁 Alejandro Correa 表示，超過一半的網(wǎng)絡(luò)釣魚攻擊將通過存在惡意 TLS Web 證書的網(wǎng)站發(fā)起。攻擊者往自己的釣魚網(wǎng)站中加入Web證書毫無難度。
Correa及其團隊收集攻擊者手動創(chuàng)建的URL，建起神經(jīng)網(wǎng)絡(luò)學(xué)習(xí)這些URL中哪些突破了黑名單或其他防御措施。然后他們便可以產(chǎn)生出成功率更高的網(wǎng)絡(luò)釣魚URL。一次測試中，攻擊者原先的成功率僅為0.7%，用了DeepPhish工具后成功率激增至20.9%。
該工具可使我們在面對加持了AI技術(shù)的攻擊者時有能力找出防御方法，與之對抗。 |
7. 腳本小子
2018年的DefCon安全大會上，兩名11歲的小黑客往佛羅里達州州務(wù)卿的模擬網(wǎng)站中植入了SQL注入代碼。15分鐘里，他們攻入網(wǎng)站后臺，修改了投票計數(shù)報告。
Emmett Brewer 在10分鐘里就破解了該模擬網(wǎng)站，5分鐘后，與他同齡的Audrey修改了模擬佛羅里達州選區(qū)投票網(wǎng)站的票數(shù)。Brewer把選票全計到了自己頭上，發(fā)了條推特：我覺得我贏下了佛羅里達州中期選舉。
幸好該網(wǎng)站并非佛州網(wǎng)站的精確模擬，但令人擔(dān)憂的是，兩位小朋友僅僅是看過SQL注入教程就黑掉了模型網(wǎng)站——這些講義是 DefCon R00tz 兒童訓(xùn)練營的組織者發(fā)放給這些小黑客的。
DefCon投票村共同創(chuàng)始人兼組織者 Jake Braun 稱：投票與選舉黑客活動和R00tz訓(xùn)練營并不是要制造一種“好容易啊”的感覺，選舉系統(tǒng)最有價值的部分是這些網(wǎng)站。
【本文是51CTO專欄作者“李少鵬”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
