Γνωρίστε τους φιναλίστ για τα Βραβεία Pwnie 2023

Με το Black Hat USA 2023 να πλησιάζει, ήρθε η ώρα να αρχίσουμε να σκεφτόμαστε τα Όσκαρ για την ασφάλεια στον κυβερνοχώρο. Βραβεία Pwnie. Τα αγαλματίδια θα δοθούν ζουν στο Λας Βέγκας την Τετάρτη, 9 Αυγούστου, στις 6:30 μ.μ. – με εξαίρεση το φετινό Lifetime Achievement Pwnie, το οποίο απονεμήθηκε στη συνάντηση των χάκερ του Summercon στο Μπρούκλιν της Νέας Υόρκης στις 14 Ιουλίου, όταν ανακοινώθηκαν οι άλλοι υποψήφιοι.

Margin Research's Sophia d'Antoine και Ian Roos παρουσίασε τους υποψηφίους. Ο Roos είπε σχετικά με τις περισσότερες από 80 υποψηφιότητες και τους 30 φιναλίστ: «Όλα αυτά έχουν συνημμένες ερευνητικές εργασίες, οπότε αν πιστεύετε ότι δεν κάναμε αποτελεσματική δουλειά στο να χαρακτηρίσουμε πόσο σημαντικό ήταν το ειδικό σφάλμα σας, είναι επειδή δεν το κάναμε. ”

Τώρα στους υποψηφίους, σε μορφή λίστας για συντομία. Πρώτα έρχεται το όνομα του σφάλματος. τότε ο υποψήφιος? και μετά μια σύντομη εξήγηση του τι είναι, όλα χωρισμένα με ερωτηματικά. Όπου υπάρχει, ο σχολιασμός εμφανίζεται στο τέλος του στοιχείου κουκκίδας.

Καλύτερο σφάλμα επιτραπέζιου υπολογιστή

• CountExposure; @b2ahex; CVE-2022-22036, "Το ύπουλο κακόβουλο λογισμικό βρήκε έναν νέο συμπαίκτη για την κλιμάκωση των τοπικών προνομίων και τις περιπέτειες διαφυγής στο sandbox!" Για τη σημασία του, ο d'Antoine είπε, "Είναι το πρώτο σφάλμα που κυκλοφόρησε τουλάχιστον την τελευταία δεκαετία σχετικά με τους μετρητές απόδοσης στα Windows."
• LPE και RCE στο RenderDoc, CVE-2023-33865 & CVE-2023-33864; η ομάδα Qualys? "Ένα αξιόπιστο, μίας λήψης απομακρυσμένη εκμετάλλευση έναντι του τελευταίου malloc της glibc" "Νομίζω ότι το ωραίο που πρέπει να φωνάξουμε εδώ είναι ότι η Qualys έχει κάνει υποψηφιότητες για Pwnie για τουλάχιστον τα τελευταία πέντε χρόνια", είπε ο d'Antoine. «Κάνουν εξαιρετική δουλειά».
• CS:GO: Από μηδέν έως 0-ημέρα. @neodyme; χρησιμοποίησε λογικά σφάλματα στο RCE Counter Strike. "Γιατί να χακάρεις για χρήματα όταν μπορείς να χακάρεις για πόντους Διαδικτύου;" ρώτησε ρητορικά ο ντ' Αντουάν.

Καλύτερο σφάλμα για κινητά (Lol RIP)

Για αυτήν την κατηγορία, το υπολογιστικό φύλλο είχε δύο καταχωρήσεις:

• «Δεν πρότεινα τίποτα, αλλά»
• "Δεν υπάρχουν επιτυχίες που να υπονοούν ότι υποστηρίζουμε το NSO Group φέτος, συγγνώμη Vice."

Η πρώτη καταχώρηση είναι αρκετά σαφής. Όπως εξήγησε ο d'Antoine, "Τα τελευταία χρόνια, έχουμε δει μια μείωση στον αριθμό των σφαλμάτων που υποβλήθηκαν για τα βραβεία Pwnie, αλλά και μόλις δημοσιοποιήθηκαν στο διαδίκτυο, ειδικά για κινητά."

Το δεύτερο είναι πιο κρυπτικό. Προφανώς αναφέρεται σε αυτό Άρθρο του Vice από το 2022, όπως τόνισε ο συγγραφέας αυτού του κομματιού από αυτό που μοιάζει με το πέμπτη σειρά στο Summercon. Ίσως χρειαστεί να στραβοκοιτάσει κανείς για να δει ότι αυτό υπονοεί μια ευνοϊκή γνώμη της NSO Group, ωστόσο.

Καλύτερη κρυπτογραφική επίθεση

• Πρακτικά εκμεταλλεύσιμα κρυπτογραφικά τρωτά σημεία στο Matrix. @martinralbrecht και @claucece; vulns στο πρότυπο Matrix για ομοσπονδιακές επικοινωνίες σε πραγματικό χρόνο και ειδικά τον εμβληματικό πελάτη, το Element. Οι δύο γηπεδούχοι έδειχναν να υπερβάλλουν την άγνοιά τους σε αυτή την κατηγορία. Ο d'Antoine τόλμησε, «Ξέρουμε ότι είναι ευρέως χρησιμοποιούμενο λογισμικό για κρυπτογραφημένη επικοινωνία», ενώ ο Roos είπε, «Το έχουμε δει κυρίως για την Αλ Κάιντα».
• MEGA: Η εύπλαστη κρυπτογράφηση πάει στραβά. Matilda Backendal, Miro Haller, Prof. Dr. Kenny Paterson; «Πέντε καταστροφικές επιθέσεις που επιτρέπουν την αποκρυπτογράφηση και τροποποίηση των δεδομένων χρήστη. Επιπλέον, οι εισβολείς έχουν τη δυνατότητα να εισάγουν κακόβουλα αρχεία στην πλατφόρμα, τα οποία οι πελάτες θα εξακολουθούν να ελέγχουν την ταυτότητα."
• Κρυπτανάλυση βασισμένη σε βίντεο: Εξαγωγή κρυπτογραφικών κλειδιών από βίντεο από το LED ισχύος μιας συσκευής. Μπεν Νάσι; "Νέα κρυπταναλυτική επίθεση πλευρικού καναλιού χρησιμοποιώντας τις τιμές RGB του LED της συσκευής." Ο Roos είπε, «Αυτό είναι πολύ ωραίο. Βασικά κατέγραψαν ένα LED σε ένα τηλέφωνο και στη συνέχεια μέσω των τιμών RGB, μπόρεσαν να το σπάσουν κρυπτογραφικά».

Το καλύτερο τραγούδι

Ο Roos ζήτησε συγγνώμη που δεν είχε τον χρόνο να παίξει τα τραγούδια, στη συνέχεια προσφέρθηκε να τα κάνει beatbox προτού διαμαρτυρηθεί, «Ξέρω ότι είμαι ντυμένος για τον ρόλο, αλλά δεν πρόκειται να αποδώσει».

«Φώναξε σε Hugo [Fortier] από την Recon που αφιερώσατε χρόνο για να υποβάλετε, όπως, 10 τραγούδια αυτής της κατηγορίας», είπε ο D'Antoine. "Χρειάζεται η κοινότητα για να πραγματοποιηθούν τα βραβεία Pwnie."

Η πιο καινοτόμος έρευνα

Όπως τόνισε ο Roos, «Πολλά από αυτά ήταν από Recon επισης."

• Μέσα στο Lightning της Apple: Προσθήκη ετικετών στο iPhone για θόρυβο και κέρδος. @ghidraninja; Ο Thomas [Roth] ανέπτυξε ένα καλώδιο iPhone JTAG που ονομάζεται καλώδιο Tamarin και ένα Lightning Fuzzer. https://www.youtube.com/watch?v=8p3Oi4DL0el&t=1s Αυτό το βίντεο δεν είναι πλέον διαθέσιμο, σύμφωνα με το YouTube, αλλά μπορείτε ακόμα να το δείτε Παρουσίαση DEF CON 30 του Roth.
• Μεμονωμένη εντολή Πολλαπλές διαρροές δεδομένων σε επεξεργαστές αιχμής, AKA Downfall. "Μερικοί άνθρωποι της Google" Το "EMBARGO'd LOL" — Τρίτη, 8 Αυγούστου 2023 — θα παρουσιαστεί στο Black Hat 8/9 και στο Usenix 8/11. Ο Ρος σημείωσε ότι το εμπάργκο αίρεται την Τρίτη και τα βραβεία είναι την επόμενη μέρα, γεγονός που περιορίζει την πρακτικότητα της ψηφοφορίας.
• Rowhammer Fingerprinting; Hari Venugopalan, Kaustav Goswami, Zainul Abi Din, Jason Lowe-Power, Samuel T. King, Zubair Shafiq; Centauri — Rowhammer Fingerprinting https://arxiv.org/abs/2307.00143

Η πιο υπο-υποφασισμένη έρευνα

• LPE και RCE στο RenderDoc, CVE-2023-33865 & 33864; η ομάδα Qualys? «Ένα αξιόπιστο, μίας λήψης απομακρυσμένη εκμετάλλευση ενάντια στο τελευταίο malloc glibc, το 2023! Επιπλέον, μια διασκεδαστική κλιμάκωση τοπικών προνομίων που περιλαμβάνει XDG και systemd.” Αυτή είναι μια επανάληψη από την κατηγορία Best Desktop Bug. Ο D'Antoine είπε, «Οι μέρες των RCE με μία λήψη είναι λίγες και μακρινές τώρα, και αυτή είναι μία από τις λίγες που έχουμε δει, τουλάχιστον φέτος».
• Δηλητηρίαση προσωρινής μνήμης περιβάλλοντος ενεργοποίησης; Ο Simon Zuckerbraun στην Trendmicro. «Αυτή η υποψηφιότητα υπογραμμίζει μια νέα κατηγορία τρωτών σημείων κλιμάκωσης προνομίων, γνωστή ως δηλητηρίαση κρυφής μνήμης περιβάλλοντος ενεργοποίησης. Αυτή η τεχνική χρησιμοποιήθηκε ενεργά από μια αυστριακή ομάδα hack-for-hire που παρακολουθήθηκε από τη Microsoft ως KNOTWEED».
• Κίνδυνοι και μετριασμός των κινδύνων ασφάλειας από τη συνεργασία στο Mobile-as-a-Gateway IoT. Xin'an Zhou, Jiale Guan, Luyi Xing, Zhiyun Qian; «Αυτοί οι ερευνητές ανακάλυψαν τρωτά σημεία που επηρέασαν σχεδόν όλες τις συσκευές IoT Mobile-as-a-Gateway (MaaG) και δημιούργησαν ασφαλή κρυπτογραφικά πρωτόκολλα για να βοηθήσουν στην προστασία των χρηστών τους».

Καλύτερη κλιμάκωση προνομίων

• URB Excalibur: Slicing Through the Gordian Knot of VMware VM Escapes. @danis_jiang, @0x140ce; "Αυτή η ομάδα πραγματοποίησε με επιτυχία VM escapes σε όλα τα προϊόντα εικονικής μηχανής VMware: Workstation, Fusion και ESXi (εντός του sandbox), καθιστώντας την τη μοναδική διαφυγή VMware VM στο pwn2own πέρυσι." Ο Roos είπε, «Μου αρέσει αυτό γιατί οι αποδράσεις του VMware είναι πραγματικά δύσκολες και αυτοί οι τύποι κατάφεραν να βρουν ένα. … Είναι πολύ σκληρή δουλειά, το πέτυχαν – στηρίγματα».
• Παράκαμψη λειτουργίας συμπλέγματος στην πλατφόρμα Databricks. Ο Florian Roth και ο Marius Bartholdy στο Sec-Consult "(Φωνάξτε για την υποψηφιότητα σας 12 φορές παιδιά)"; «Ένας χρήστης με χαμηλά προνόμια μπόρεσε να σπάσει την απομόνωση μεταξύ των συμπλεγμάτων υπολογιστών Databricks εντός των ορίων του ίδιου χώρου εργασίας και οργανισμού, αποκτώντας απομακρυσμένη εκτέλεση κώδικα. Αυτό στη συνέχεια θα επέτρεπε σε έναν εισβολέα να έχει πρόσβαση σε όλα τα αρχεία και τα μυστικά στον χώρο εργασίας, καθώς και να κλιμακώσει τα προνόμιά του σε αυτά ενός διαχειριστή χώρου εργασίας." Ο Ντ' Αντουάν συμβούλεψε ξεκάθαρα: «Υποτίθεται ότι πρέπει να κάνετε τους άλλους να προσποιηθούν ότι σας προτείνουν».
• UNCONTAINED: Αποκάλυψη σύγχυσης κοντέινερ στον πυρήνα του Linux. Jakob Koschel, Pietro Borrello, Daniele Cono D'Elia, Herbert Bos, Cristiano Giuffrida; «Το UNCONTAINED ανακαλύπτει και αναλύει τη σύγχυση κοντέινερ: μια νέα κατηγορία λεπτών σφαλμάτων σύγχυσης. Προκαλούμενη από τη διάχυτη (και ελάχιστα μελετημένη) εισαγωγή αντικειμενοστρεφών χαρακτηριστικών σε μεγάλα προγράμματα C, για παράδειγμα χρησιμοποιώντας την κοινή μακροεντολή CONTAINER_OF στον πυρήνα Linux, παρέχουν ένα νέο και γόνιμο κυνήγι για τους επιτιθέμενους και επιπλέον θλίψη για τους υπερασπιστές. Ο Roos και ο d'Antoine θυμήθηκαν ότι τα μέλη αυτής της ομάδας κέρδισαν δύο φορές πέρυσι, για Καλύτερο σφάλμα επιτραπέζιου υπολογιστή και Η πιο καινοτόμος έρευνα.

Καλύτερη απομακρυσμένη εκτέλεση κώδικα

• Αποκάλυψη τρωτών σημείων στην εξισορρόπηση φόρτου δικτύου των Windows: Εξερεύνηση των αδυναμιών. @b2ahex; CVE-2023-28240, "Αυτή η ευπάθεια επιτρέπει την απομακρυσμένη εκτέλεση κώδικα χωρίς να απαιτείται έλεγχος ταυτότητας."
• ClamAV RCE (CVE-2023-20032) @scannell_simon; "Τεχνική παράκαμψης ASLR που επιτρέπει 0 κλικ από την πλευρά του διακομιστή"
• Checkmk αλυσίδα RCE; @scryh_; «Όλα ξεκινούν με ένα περιορισμένο SSRF και καταλήγουν σε ένα πλήρες RCE μετά την αλυσίδα 5 τρωτών σημείων. Μάλλον ασυνήθιστο στον κόσμο του Ιστού!»

Τελειότερος Πωλητής

• Παράκαμψη ελέγχου ταυτότητας στο Mura CMS. Λογισμικό Mura; "Η Mura Software διεκδικεί πίστωση για το σφάλμα που τους αποκαλύφθηκε (όχι από αυτούς) και χρεώνει τους πελάτες 5000 $ για να το διορθώσουν." https://hoyahaxa.blogspot.com/2023/03/authentication-bypass-mura-masa.html. Το πλήθος αποδοκίμασε όταν ο Ρος διάβασε δυνατά τη φράση.
• Pinduoduo ή "TEMU σημαίνει Team Up, Exploit Down". PinDuoDuo; «Το Pinduoduo χτυπήθηκε από το κατάστημα Android επειδή εγκατέστησε κυριολεκτικά backdoors στη δική του εφαρμογή για να κατασκοπεύει τους χρήστες του. Αφού αποκαλύφθηκε από πολλές εταιρείες μέσων ενημέρωσης και ασφάλειας, ο Pinduoduo αρνήθηκε όλες τις κατηγορίες και κατηγόρησε την Google για την απομάκρυνσή του από το Play Store, αλλά γρήγορα και σιωπηλά διέγραψε όλο τον κακόβουλο κώδικα και διέλυσε την ομάδα που εργαζόταν σε αυτόν». Ακόμη και Το CNN πήρε την ιστορία.
• Three Lessons from Threema: Analysis of a Secure Messenger. Threema; «Η Threema δημοσίευσε μια μάλλον ξέφρενη ανάρτηση ιστολογίου βουρκωμένη σε ορισμένα vulns που αναφέρθηκαν από τη μεταπτυχιακή διατριβή ενός φοιτητή στο ETH Zurich». Φώναξε ο Ρος Η απάντηση της Threema «χτυπώντας κάτω».

Το πιο Epic Fail

• «Άγιος… bingle έχουμε τη λίστα nofly»· Η Διοίκηση Ασφάλειας Μεταφορών· «Η διαβόητη queer αναρχική χάκερ Maia Crimew ανακάλυψε το ολόκληρο το TSA no fly list ξαπλωμένος στο διαδίκτυο και είχε τις καλές χάρες να το αφήσει όλοι να το ξέρεις». Ο Ρος ρώτησε: «Έψαξε κάποιος άλλος, όπως, τον εαυτό του; Βρήκε κανείς τον εαυτό του; Οχι? Εντάξει."
• «Καταδικάστηκα σε 18 μήνες φυλάκιση για hacking back»· Jonathan Manzi; «Αυτός ο τύπος ανταπέδωσε έναν εργαζόμενο που παραιτήθηκε, χακάροντας και δυσφημώντας αυτόν και τον νέο του εργοδότη. Η άγρια ​​βόλτα ολοκληρώνεται με τον συγγραφέα να έχει μια στιγμή ερχομού του Θεού με έναν άστεγο και μερικές ανατριχιαστικές μεταφορές για την κβαντική μηχανική. Φαίνεται σχετικά αμετανόητος και μάλλον πρέπει να τον στείλουν πίσω». Του Η ανάρτηση στο blog του Manzi, ο d'Antoine επέτρεψε, "Αξίζει να το διαβάσετε."
• Ο ανυπόληπτος… Τζόναθαν Σκοτ. Τζόναθαν Σκοτ; «Ο μόνος λόγος που δεν έχει παραβιάσει τη FARA είναι επειδή είναι μάλλον πολύ ανόητος για να είναι εξαρχής ξένος πράκτορας». – Ένας σύμβουλος Pwnie. Ο Ρος είπε: «Σκεφτόμασταν να του ζητήσουμε να σταματήσει να κάνει tweet. Ίσως θα έπρεπε όλοι».

Επικό επίτευγμα

• Βρέθηκαν παρτίδες 0 ημέρας. @_clem1; Ο Clement [Lecigne] έκαψε 33 0-ημέρες στη φύση από το 2014 και έχει βρει 8 0-days ήδη μέχρι στιγμής φέτος. Ο Ντ' Αντουάν σκέφτηκε: «Αν το βρείτε στη φύση, δεν ξέρω αν αυτό μετράει ως ζωύφιο σας ή όχι. Ανιχνευτές φύλακες, ίσως; Δεν γνωρίζω."
• Branch History Injection (BHI / Spectre-BHB); Κάποιος στο VUsec; «Η έρευνα BHI / Spectre-BHB από τη VUsec έδειξε ότι κάποιος μπορεί να παραβιάσει μικροαρχιτεκτονικά το Branch History Buffer (αντί για το Branch Target Buffer) για να συνεχίσει να διαρρέει αυθαίρετη μνήμη πυρήνα από μη προνομιούχο χρήστη χρησιμοποιώντας επίθεση τύπου Spectre v2».
• Συμβιβασμός ολόκληρης της αλυσίδας εφοδιασμού PHP, δύο φορές. @swapgs; «Pwning Composer που εξυπηρετεί 2 δισεκατομμύρια πακέτα λογισμικού κάθε μήνα. Περισσότερα από εκατό εκατομμύρια από αυτά τα αιτήματα θα μπορούσαν να είχαν παραβιαστεί για να διανεμηθούν κακόβουλες εξαρτήσεις και να παραβιάσουν εκατομμύρια διακομιστές». https://www.sonarsource.com/blog/securing-developer-tools-a-new-supply-chain-attack-on-php/

Νικητής του Βραβείου Lifetime Achievement: Mudge

Πέρυσι, η ομάδα παρουσίασε ένα επιπλέον αγαλματίδιο στον Ντίνο Ντάι Ζόβι, ιδρυτής των βραβείων Pwnie, ως το πρώτο βραβείο ισόβιας επιτυχίας της τελετής. «Αποφασίσαμε ότι θα συνεχίσουμε να το κάνουμε αυτό», είπε ο Roos στο Μπρούκλιν την περασμένη εβδομάδα. «Αν δεν το έχετε ήδη μαντέψει, θα δώσουμε το Βραβείο Lifetime Achievement 2023 για τα Βραβεία Pwnie στον Mudge. Πού είναι ο Mudge; Είναι στο πράσινο δωμάτιο;»

Ο Ντ' Αντουάν πρόσθεσε: «Ξέρουμε ότι είναι εδώ».

Μετά από μερικές στιγμές, ο Mudge — μερικές φορές αποκαλούμενος Peiter Zatko, ο χάκερ L0pht που μεγάλωσε για να εργάζεται για DARPA, Google, Stripe και, το πιο διαβόητο, το Twitter, πριν αποδεχτεί τον τρέχοντα ρόλο του στο Rapid7 — βγήκε από τα παρασκήνια, φορώντας ένα κοντομάνικο ρεγκλάν μπλουζάκι και μαύρο τζιν.

Ο Roos είπε, «Αυτό είναι ένα βραβείο ισόβιας επιτυχίας για όλα όσα έχετε κάνει για να δημιουργήσετε τη βιομηχανία και να την τοποθετήσετε σε ένα μέρος όπου υπάρχει και είναι αληθινό. Λοιπόν, ευχαριστώ."

Ο Mudge αγκάλιασε τον Roos, μετά σήκωσε το Pwnie του και είπε (από το μικρόφωνο) «Ευχαριστώ».

Στο μικρόφωνο, ο Mudge είπε, «Είναι η κοινότητα, και όλοι οι άλλοι έχουν ενεργοποιήσει όλα αυτά, και μου αρέσει αυτή η κοινότητα. Αυτό σημαίνει πολλά για μένα. … Πάντα ήσουν εκεί, και ελπίζω να ήμουν εκεί για σένα».

• SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
• PlatoData.Network Vertical Generative Ai. Ενδυναμώστε τον εαυτό σας. Πρόσβαση εδώ.
• PlatoAiStream. Web3 Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
• PlatoESG. Αυτοκίνητο / EVs, Ανθρακας, Cleantech, Ενέργεια, Περιβάλλον, Ηλιακός, Διαχείριση των αποβλήτων. Πρόσβαση εδώ.
• BlockOffsets. Εκσυγχρονισμός της περιβαλλοντικής αντιστάθμισης ιδιοκτησίας. Πρόσβαση εδώ.
• πηγή: https://www.darkreading.com/edge/meet-the-finalists-for-the-2023-pwnie-awards