Konferencje poświęcone bezpieczeństwu IT zawsze wzbudzają we mnie mieszane uczucia. Z jednej – tej najważniejszej – strony, nie ma lepszego sposobu na bycie „up to date” z tym co dzieje się w branży i na świecie, niż posłuchanie o tym z ust doświadczonych (i często niesłychanie charyzmatycznych) praktyków. Z drugiej jednak – nie dość, że za każdą taką wizytą słyszę, że jest źle i nie zanosi się, że będzie lepiej, to jeszcze wiem, że to prawda. Nie inaczej było na zakończonej wczoraj 21. już edycji konferencji Secure.
Co tak naprawdę robił Stuxnet?
Znacie to powiedzonko o Hitchcockowskim pomyśle na dobry film? Że trzeba zacząć od wybuchu atomowego, a potem emocje mają rosnąć? Organizatorzy wzięli to do siebie, keynoterką była bowiem amerykańska dziennikarka Kim Zetter, publikująca m.in. na temat cyberbezpieczeństwa głównie na łamach Wired, ale także m.in. w Los Angeles Times, San Francisco Chronicle, Sydney Morning Herald i PC World, nie obca także ekranom telewizji CNN. Wykład Kim to w zasadzie historia stojąca za jej nową książką, „Odliczając do dnia zero. Stuxnet, czyli prawdziwa historia cyfrowej broni”.
Nawet jednak z tą świadomością Kim oglądało się i słuchało niczym narratora sensacyjnego filmu. O tym, że Stuxnet niszczył wirówki do wzbogacania uranu w irańskim ośrodku w Natanz, wiedziałem. Ale o tym jak to zrobił, w jaki sposób znalazł się w docelowej sieci i jak został wykryty? O tym dowiedziałem się od Kim. Wciągająca prezentacja, otwierająca konferencję, „sprzedana” w idealny sposób – techniczna, ale nie do tego stopnia, by nie dało się jej zrozumieć. Świetny wybór.
Analogowy phishing
Tyle czytam i mówię o socjotechnice, ale w takiej formie jeszcze jej nie widziałem. Pomysł organizatorów, by na konferencji o bezpieczeństwie wystąpił… iluzjonista wydał się szalony, ale Adrian „Just Edi” Pruski, półfinalista ostatniej edycji programu Mam Talent przygotował się pod kątem bardzo konkretnej grupy docelowej. To było 20 minut absolutnej esencji tego, jak ważne – nie tylko w phishingu – jest odwrócenie uwagi.
Potem jednak zrobiło się nieco poważniej. Eireann Leverett rozmawiał o kursie kolizyjnym Internetu Rzeczy i odpowiedzialności na produkt. „Skoro IoT będzie we wszystkim, znacznie łatwiej będzie wszystko popsuć” – to niby oczywiste, ale kto z nas o tym tak naprawdę myśli? Internet of Things to nie tylko samochody („Czy Tesla z 2017 roku będzie dostawała nowe oprogramowanie w 2037 roku?”; „Kto opanuje patch management przy takiej ilości produktów?”). To też… podstacje energetyczne (z cyklem życia 40 lat i protokołem komunikacyjnym, który był tworzony przed erą przestępczości i… nie wymaga autentykacji). To nawet automatyczne strzykawki i pompy infuzyjne, które w tym samym modelu potrafią mieć różnie rozmieszczone przyciski! I teraz wyobraźcie sobie pielęgniarkę, która rutynowo zaaplikuje 900 (klawiatura z 987 na górze) zamiast 100 (123) mililitrów! Błędy User Experience potrafią zabić!
Social media kłamstwem stoją?
W dzisiejszych czasach nie mogło oczywiście zabraknąć wystąpień o fake news, które Władimir Kropotow określił bliżej – nomen omen – prawdzie mianem „Manipulacji opinią publiczną”. Anna Mierzyńska pokusiła się natomiast o badania… ilu fanów politycznych na polskim Facebooku nie istnieje. Kilkumiesięczna szczegółowa analiza fanów prezydenta Andrzeja Dudy, premier Beaty Szydło, Grzegorza Schetyny i Ryszarda Petru wykazała, że wśród reagujących na posty polityczne co trzecia reakcja pochodziła z konta nietypowego, zaś u liderów wśród komentujących – co druga! Trochę to smutne. Po obu prezentacjach doszedłem do wniosku, że całe social media są jednym wielkim kłamstwem na sprzedaż.
Człowiek, który przyciąga podatności
Jestem wielkim fanem Inbara Raza (to ten gość na zdjęciu, ilustrującym tekst). Były żołnierz izraelskiej armii z charakterystyczną protezą lewej ręki to człowiek z olbrzymią charyzmą, mój niedościgniony wzór, jeśli chodzi o sztukę prezentacji. A do tego człowiek, któremu podatności same wpadają w ręce 🙂 Niestety dla Was, tym razem prezentacja Inbara oznaczona była informacją „No media”, a to dlatego, że spora część opisywanych przez niego przygód z dziurawymi systemami nie została jeszcze zakończona. A więc – zgodnie z zasadami etycznego hackowania – nie powinno się o nich mówić publicznie.
Napomknę więc tylko o najbardziej spektakularnym, gdy na jednym z lotnisk nasz bohater zajrzał do internetowej kafejki i „ z ciekawości” sprawdził, czy zaloguje się na router. Niestety hasło „admin” nie zadziałało, ale gdy przypadkiem zamiast wyjścia z okna logowania zalogował się jeszcze raz, okazało się, że… tym razem się udało. Tak – hasło było po prostu puste! Ale to nie koniec przygód – „router” okazał się głównym przełącznikiem, dającym (bez hasła!) dostęp do wszystkich podsieci. Każdemu. Na lotnisku (!). Jesteście ciekawi gdzie? I tu jest najlepszy numer. W Polsce… Na szczęście ta luka została akurat załatana w ciągu kilkunastu minut, gdy zszokowany Inbar jeszcze na lotnisku skontaktował się z CERT Polska.
Ransomware na wesoło i na smutno
Drugi dzień na konferencji tradycyjnie już był nieco spokojniejszy, ale znalazło się w jego trakcie kilka kwestii godnych zanotowania. Adam Haertle i Adam Lange pod szyldem Zaufanej Trzeciej Strony opowiadali o kolejnych kampaniach phishingowych niejakiego Tomasa. Jeśli dostajecie polskojęzyczny phishing, udający maila od znanej firmy, niemal w stu procentach autorem jest właśnie ten gagatek, konsekwentnie od lat usiłujący wyciągać pieniądze z rodaków. Może trwa to tyle dlatego, że nie za bardzo umie to robić? Swoje ostatnie kampanie ransomware oparł o rozwiązanie opensource’owe, nie bardzo je zmieniając. Do tego stopnia, że gdy pojawi się okienko, z pytaniem, czy chcemy zaszyfrować pliki, a my odpowiemy „nie” – nic się nie stanie 🙂
Nie było jednak już tak śmiesznie, gdy na scenę wszedł Raj Samani.
– Kiedyś byłem świadkiem rozmowy ofiary z napastnikiem, przeprowadzającym DDoS. Na pytanie, czemu nie weźmie się na normalną pracę, odpowiedział: „Ależ to jest moja praca. Twoja konkurencja płaci mi za to, bym wyłączył cię z biznesu”.
Nie dajmy się tosterowi!
„Musimy się postawić! Inaczej niedługo zaczną nas szantażować sprzęty domowe” – mówił prelegent, nawiązując do popularnego satyrycznego rysunku (i poniekąd do prezentacji Leveretta z pierwszego dnia). Śmieszne? Może i tak, ale sami sobie powiedzmy, czy naprawdę nierealne? Ransomware to nieprzebrana kopalnia złota! Cryptowall zarobił dla swoich twórców 325 mln dolarów (WannaCry zaledwie 200 tys., co stawia pod znakiem zapytania jego faktyczny cel)!
Dlatego powstał serwis NoMoreRansom, wspomagany przez ponad setkę partnerów z całego świata, gdzie możemy wrzuć zaszyfrowany plik, dostać odpowiedź jaki ransomware zrobił nam krzywdę i – jeśli nam się poszczęści – link do narzędzia odszyfrowującego. Wszystko za darmo. I muszę Wam powiedzieć, że mam przeczucie, iż ten serwis będzie się cieszył coraz większym zainteresowaniem. My chcemy korzystać z sieci, mieć wszystko szybko i nie musieć poświęcać czasu „na głupoty”. Przestępcy o tym wiedzą i skoro sukcesy odnosi nawet Tomas, to co dopiero w przypadku przestępczego „produktu” na najwyższym światowym poziomie?
Quo vadis, internecie?
Witam,a kiedy będą dostępne Iphony X w ofercie dla firm? Pozdrawiam
