Black Hat USA 2023 yaklaşırken, siber güvenliğin Oscar’ları olan Pwnie Ödüllerini düşünmeye başlamanın zamanı geldi. Heykelcikler, 9 Ağustos Çarşamba günü saat 18:30’da Las Vegas’ta canlı olarak dağıtılacak – 14 Temmuz’da Brooklyn, New York’ta düzenlenen Summercon bilgisayar korsanları buluşmasında diğer adayların açıklandığı bu yılki Yaşam Boyu Başarı Pwnie dışında.
Margin Research’ten Sophia d’Antoine ve Ian Roos adayları sundu. Roos, 80’den fazla aday ve 30 finalist hakkında şunları söyledi: “Hepsinin ekinde araştırma kağıtları var, bu nedenle, özel hatanızın ne kadar önemli olduğunu karakterize etmede etkili bir iş yapmadığımızı düşünüyorsanız, bunun nedeni yapmamış olmamızdır.”
Şimdi kısa olması için liste formatında adaylara geçelim. Önce böceğin adı gelir; ardından aday; ve sonra, hepsi noktalı virgülle ayrılmış, ne olduğuna dair kısa bir açıklama. Varsa, madde işareti öğesinin sonunda açıklama görünür.
En İyi Masaüstü Hatası
- Pozlama Sayısı; @b2ahex; CVE-2022-22036, “Sneaky kötü amaçlı yazılım, yerel ayrıcalık yükseltme ve sanal alandan kaçış maceraları için yeni bir oyun arkadaşı buldu!” D’Antoine, önemi hakkında, “Bu, en azından son on yılda Windows’taki performans sayaçları hakkında piyasaya sürülen ilk hatadır” dedi.
- RenderDoc, CVE-2023-33865 ve CVE-2023-33864’te LPE ve RCE; Qualys ekibi; “En yeni glibc malloc’a karşı güvenilir, tek seferlik bir uzaktan istismar” “Bence burada haykırmak için harika olan şey, Qualys’in en azından son beş yıldır Pwnie adaylığı yapmış olması,” dedi d’Antoine. “Harika işler yapıyorlar.”
- CS:GO: Sıfırdan 0-güne; @neodyme; RCE Counter Strike için mantık hataları kullandı. “İnternet puanları için hack yapabiliyorken neden para için hack yapasınız?” diye sordu d’Antoine retorik bir şekilde.
En İyi Mobil Hata (Lol RIP)
Bu kategori için e-tabloda iki giriş vardı:
- “Siz hiçbir şey yapmadınız”
- “Bu yıl NSO Group’u desteklediğimizi ima eden hit parça yok, üzgünüm Vice.”
İlk giriş oldukça açık. D’Antoine’ın açıkladığı gibi, “Geçtiğimiz birkaç yılda, Pwnie Ödülleri’ne aday gösterilen, ancak aynı zamanda özellikle mobil cihazlarla ilgili olarak çevrimiçi olarak duyurulan hataların sayısında bir azalma gördük.”
İkincisi daha şifreli. Görünüşe göre 2022’deki bu Vice makalesine atıfta bulunuyor, çünkü o parçanın yazarı Summercon’daki beşinci sıraya benzeyen yerden işaret etti. Yine de, bunun NSO Group’un olumlu bir görüşünü ima ettiğini görmek için gözlerini kısmak gerekebilir.
En İyi Kriptografik Saldırı
- Matrix’te pratik olarak yararlanılabilen kriptografik güvenlik açıkları; @martinralbrecht ve @claucece; birleştirilmiş gerçek zamanlı iletişimler ve özellikle amiral gemisi istemcisi Element için Matrix standardındaki güvenlik açıkları. İki ev sahibi, bu kategorideki cehaletlerini abartıyor gibiydi. d’Antoine, “Şifreli iletişim için yaygın olarak kullanılan yazılımlar olduklarını biliyoruz” derken, Roos, “Bunu çoğunlukla El Kaide hakkında gördük” dedi.
- MEGA: Esnek şifreleme ters gidiyor; Matilda Backendal, Miro Haller, Prof. Dr. Kenny Paterson; “Kullanıcı verilerinin şifresinin çözülmesine ve değiştirilmesine izin veren beş yıkıcı saldırı. Ek olarak, saldırganlar, istemcilerin kimliğini doğrulamaya devam edecekleri platforma kötü amaçlı dosyalar enjekte etme yeteneğine sahiptir.”
- Video tabanlı kriptanaliz: Bir Cihazın Güç LED’inin Video Görüntüsünden Kriptografik Anahtarların Çıkarılması; Ben Nassi; “cihazın LED’inin RGB değerlerini kullanan yeni kriptanalitik yan kanal saldırısı.” Roos, “Bu gerçekten harika. Temelde bir telefona bir LED kaydettiler ve ardından RGB değerleri aracılığıyla onu kriptografik olarak kırmayı başardılar.”
En iyi şarkı
Roos, şarkıları çalmak için vakti olmadığı için özür diledi, ardından onları beatbox yapmayı teklif etti ve itiraz etmeden önce, “Rol için giyindiğimi biliyorum, ancak işe yaramayacak.”
“Hugo’ya sesleniyorum [Fortier] D’Antoine, “Pwnie Ödüllerini gerçekleştirmek için topluluk gerekir.”
En Yenilikçi Araştırma
Roos’un belirttiği gibi, “Bunların çoğu da Recon’dandı.”
- Apple’ın Lightning’inin İçinde: Tüylenme ve Kar için iPhone’u J-etiketleme; @ghidraninja; Tomas [Roth] Tamarin Kablosu ve Yıldırım Fuzzer adlı bir iPhone JTAG kablosu geliştirdi. https://www.youtube.com/watch?v=8p3Oi4DL0el&t=1s YouTube’a göre bu video artık mevcut değil, ancak yine de Roth’un DEF CON 30 sunumunu izleyebilirsiniz.
- Son Teknoloji CPU’larda Tek Yönerge Çoklu Veri Sızıntıları, AKA Çöküşü; “Bazı Google çalışanları”; “EMBARGO’d LOL” – 8 Ağustos 2023 Salı – Black Hat 8/9 ve Usenix 8/11’de sunulacak. Roos, salı günü ambargonun kalktığını ve ödüllerin ertesi gün verildiğini, bunun da oylamanın pratikliğini sınırladığını kaydetti.
- Rowhammer Parmak İzi; Hari Venugopalan, Kaustav Goswami, Zainul Abi Din, Jason Lowe-Power, Samuel T. King, Zubair Shafiq; Centauri — Rowhammer Parmak İzi https://arxiv.org/abs/2307.00143
En Az Abartılı Araştırma
- RenderDoc, CVE-2023-33865 ve 33864’te LPE ve RCE; Qualys ekibi; “2023’te en son glibc malloc’a karşı güvenilir, tek seferlik bir uzaktan istismar! Ayrıca XDG ve systemd’yi içeren eğlenceli bir yerel ayrıcalık artışı.” Bu, En İyi Masaüstü Hatası kategorisinden bir tekrardır. D’Antoine, “Tek atışlık RCE’lerin günleri artık çok az ve bu, en azından bu yıl gördüğümüz birkaç kişiden biri.”
- Aktivasyon Bağlamı Önbellek Zehirlenmesi; Trendmicro’da Simon Zuckerbraun; “Bu adaylık, etkinleştirme bağlamında önbellek zehirlenmesi olarak bilinen yeni bir ayrıcalık yükseltme güvenlik açıkları sınıfını vurgulamaktadır. Bu teknik, Microsoft tarafından KNOTWEED olarak izlenen Avusturyalı bir kiralık hack grubu tarafından aktif olarak kullanılıyordu”
- Ağ Geçidi Olarak Mobil IoT’de İşbirliğinin Tehlikeleri ve Güvenlik Risklerinin Azaltılması; Xin’an Zhou, Jiale Guan, Luyi Xing, Zhiyun Qian; “Bu araştırmacılar, neredeyse tüm Ağ Geçidi Olarak Mobil (MaaG) IoT cihazlarını etkileyen güvenlik açıklarını ortaya çıkardılar ve kullanıcılarını korumaya yardımcı olmak için güvenli kriptografik protokoller oluşturdular.”
En İyi Ayrıcalık Yükseltmesi
- URB Excalibur: VMware VM Escapes’in Gordian Düğümünden Dilimleme; @danis_jiang, @0x140ce; “Bu ekip, VMware kaçışlarını tüm VMware sanal makine ürünlerinde başarıyla gerçekleştirdi: İş İstasyonu, Fusion ve ESXi (korumalı alan içinde), geçen yıl pwn2own’daki tek VMware VM kaçışı oldu.” Roos, “Bunu seviyorum çünkü VMware’den kaçmak gerçekten zor ve bu adamlar bir tane bulmayı başardılar. … Yapması çok zor bir iş, başardılar – aksesuarlar.”
- Databricks Platformunda Küme İşlemini Atlamak; Sec-Consult’ta Florian Roth ve Marius Bartholdy “(Kendinizi 12 kez aday gösterenler için bağırın beyler)”; “Düşük ayrıcalığa sahip bir kullanıcı, aynı çalışma alanı ve kuruluşun sınırları içindeki Databricks bilgi işlem kümeleri arasındaki izolasyonu uzaktan kod yürütme elde ederek kırmayı başardı. Bu, daha sonra bir saldırganın çalışma alanındaki tüm dosyalara ve sırlara erişmesine ve ayrıcalıklarını bir çalışma alanı yöneticisinin ayrıcalıklarına yükseltmesine izin verirdi.” D’Antoine kuru bir tavsiyede bulundu, “Başkalarının en azından sizi aday gösteriyormuş gibi yapmalarını sağlamanız gerekiyor.”
- UNCONTAINED: Linux Çekirdeğinde Konteyner Karışıklığını Ortaya Çıkarma; Jakob Koschel, Pietro Borrello, Daniele Cono D’Elia, Herbert Bos, Cristiano Giuffrida; “UNCONTAINED, konteyner karışıklığını keşfeder ve analiz eder: yeni bir incelikli tipte karışıklık böcekleri sınıfı. Büyük C programlarındaki nesne yönelimli özelliklerin yaygın (ve neredeyse hiç çalışılmamış) tanıtımından kaynaklanır, örneğin Linux çekirdeğinde yaygın CONTAINER_OF makrosu kullanılır, bunlar saldırganlar için yeni ve verimli bir avlanma alanı ve savunucular için ek keder sağlar.” Roos ve d’Antoine, bu grubun üyelerinin geçen yıl En İyi Masaüstü Böceği ve En Yenilikçi Araştırma olmak üzere iki kez kazandığını hatırladı.
En İyi Uzaktan Kod Yürütme
- Windows Ağ Yükü Dengelemede Güvenlik Açıklarını Ortaya Çıkarma: Zayıf Yönleri Keşfetme; @b2ahex; CVE-2023-28240, “Bu güvenlik açığı, herhangi bir kimlik doğrulama gerektirmeden uzaktan kod yürütülmesine izin veriyor.”
- ClamAV RCE (CVE-2023-20032); @scannell_simon; “ASLR baypas tekniği, 0 tıklama sunucu tarafı istismarına olanak tanır”
- Checkmk RCE zinciri; @scryh_; “Her şey sınırlı bir SSRF ile başlar ve zincirleme 5 güvenlik açığının ardından tamamen gelişmiş bir RCE ile sona erer. Web dünyasında oldukça nadir!”
Daire Satıcısı
- Mura CMS’de Kimlik Doğrulama Atlaması; Mura Yazılım; “Mura Software, kendilerine ifşa edilen (onlar tarafından değil) hata için hak iddia ediyor ve bunu düzeltmek için müşterilerden 5000$ talep ediyor.” https://hoyahaxa.blogspot.com/2023/03/authentication-bypass-mura-masa.html. Roos tanıtım yazısını yüksek sesle okuduğunda kalabalık yuhalandı.
- Pinduoduo veya “TEMU, Team Up, Exploit Down anlamına gelir”; PinDuoDuo; “Pinduoduo, kullanıcılarını gözetlemek için kendi uygulamalarına gerçek anlamda arka kapılar yüklediği için Android mağazasından atıldı. Birden fazla medya ve güvenlik şirketi tarafından ifşa edildikten sonra, Pinduoduo tüm suçlamaları reddetti ve onu Play Store’dan çıkarmakla Google’ı suçladı, ancak tüm kötü niyetli kodu hızlı ve sessizce sildi ve üzerinde çalışan ekibi dağıttı.” CNN bile hikayeyi aldı.
- Threema’dan Üç Ders: Güvenli Bir Habercinin Analizi; üçma; “Threema, bir öğrencinin ETH Zürih’teki yüksek lisans tezi tarafından bildirilen bazı güvenlik açıklarına giren oldukça huysuz bir blog yazısı yayınladı.” Roos, Threema’nın yanıtını “yumruk atmak” olarak nitelendirdi.
En Epik Başarısızlık
- “kutsal … bingle, uçmayanlar listesine sahibiz”; Ulaştırma Güvenliği İdaresi; “Kötü şöhretli queer anarşist bilgisayar korsanı Maia Crimew, TSA’nın uçuş yasağı listesinin tamamını internette dolaştığını keşfetti ve izin verme nezaketini gösterdi. herkes bunu biliyor.” Roos sordu, “Başka kimse kendini aradı mı? Kendini bulan var mı? HAYIR? Elbette.”
- “Geri Hack Yaptığım İçin 18 Ay Hapse Mahkûm Edildim”; Jonathan Manzi; “Bu adam, kendisini ve yeni işverenini hackleyerek ve karalayarak işten ayrılan bir çalışana misillemede bulundu. Çılgın yolculuk, yazarın evsiz bir kişiyle Tanrı’ya varma anı yaşamasıyla ve kuantum mekaniği hakkında bazı utanç verici metaforlarla sona eriyor. Nispeten pişmanlık duymuyor ve muhtemelen geri gönderilmesi gerekiyor.” Manzi’nin blog yazısı için d’Antoine, “Okumaya değer” dedi.
- İtibarsız … Jonathan Scott; Jonathan Scott; “‘FARA’yı ihlal etmemesinin tek nedeni, en başta bir yabancı ajan olamayacak kadar aptal olması.’ – Bir Pwnie danışmanı.” Roos, “Ondan tweet atmayı bırakmasını istemeyi düşünüyorduk. Belki de hepimiz yapmalıyız.”
Epik Başarı
- 0 gün çok bulundu; @_clem1; Clement [Lecigne] 2014’ten bu yana 33 vahşi ortamda 0 gün yandı ve bu yıl şimdiye kadar 8 0 gün buldu. D’Antoine, “Onu vahşi doğada bulursan, bunun senin böceğin olup olmadığını bilmiyorum. Belki bulucu bekçileridir? Bilmiyorum.”
- Şube Geçmişi Enjeksiyonu (BHI / Spectre-BHB); VUsec’te biri mi?; “VUsec tarafından yapılan BHI / Spectre-BHB araştırması, Spectre v2 tarzı bir saldırı kullanarak ayrıcalıksız kullanıcıdan rastgele çekirdek belleğini sızdırmaya devam etmek için Şube Geçmişi Tamponunu (Dal Hedef Tamponu yerine) mikromimari olarak kurcalayabileceğini gösterdi.”
- Tüm PHP tedarik zincirinden iki kez ödün verilmesi; @takas; “Her ay 2 milyar yazılım paketi sunan Pwning Composer. Bu isteklerin yüz milyondan fazlası, kötü amaçlı bağımlılıkları dağıtmak ve milyonlarca sunucuyu tehlikeye atmak için kaçırılmış olabilir.” https://www.sonarsource.com/blog/securing-developer-tools-a-new-supply-chain-attack-on-php/
Yaşam Boyu Başarı Ödülü Sahibi: Mudge
Geçen yıl ekip, törenin ilk yaşam boyu başarı ödülü olarak Pwnie Awards’ın kurucusu Dino Dai Zovi’ye fazladan bir heykelcik takdim etti. Roos geçen hafta Brooklyn’de “Bunu yapmaya devam edeceğimize karar verdik” dedi. “Henüz tahmin etmediyseniz, 2023 Pwnie Ödülleri için Yaşam Boyu Başarı Ödülü’nü Mudge’a vereceğiz. Mudge nerede? Yeşil odada mı?”
D’Antoine, “Onun burada olduğunu biliyoruz,” diye ekledi.
Birkaç dakika sonra, Rapid7’deki şu anki rolünü kabul etmeden önce DARPA, Google, Stripe ve en kötü şöhretiyle Twitter’da çalışmak üzere büyümüş olan ve bazen Peiter Zatko olarak anılan L0pht hacker’ı olan Mudge, kısa kollu bir raglan tişört ve siyah kot pantolonla sahne arkasından çıktı.
Roos, “Bu, endüstriyi yaratmak ve onu var olduğu ve gerçek olduğu bir yere koymak için yaptığınız her şey için bir ömür boyu başarı ödülü. Bu yüzden, teşekkür ederim.”
Mudge, Roos’a sarıldı, ardından Pwnie’sini kaldırdı ve (mikrofon kapalı) “Teşekkürler” dedi.
Mudge mikrofonda, “Topluluk ve tüm bunları mümkün kılan diğer herkes ve bu topluluğu seviyorum. Bu benim için çok şey ifade ediyor. … Her zaman oradaydın ve umarım ben de senin yanında oldum.”