L'hacker fallisce per la vittoria

BLACK HAT EUROPE 2022 - Londra - Il ricercatore Douglas McKee non ha avuto fortuna nell'estrarre le password in un dispositivo medico di monitoraggio del paziente che stava sondando per le vulnerabilità. Lo strumento per decifrare la password della GPU che aveva eseguito per rimuovere i livelli di credenziali necessari per sezionare il dispositivo si è rivelato vuoto. Fu solo pochi mesi dopo, quando si sedette per leggere la documentazione del dispositivo medico, che scoprì che le password erano state stampate per tutto il tempo.

"Finalmente sono riuscito a leggere la documentazione, che chiaramente conteneva tutte le password in chiaro proprio nei documenti", ha raccontato McKee, direttore della ricerca sulle vulnerabilità di Trellix, in una presentazione qui oggi. Si è scoperto che anche le password erano codificate nel sistema, quindi il suo processo di cracking delle password fallito è stato enormemente eccessivo. Lui e il suo team hanno successivamente scoperto bug nel dispositivo che hanno permesso loro di falsificare le informazioni del paziente sul dispositivo del monitor.

Non riuscire a esaminare attentamente la documentazione è un passo falso comune da parte dei ricercatori di sicurezza desiderosi di scavare nei dispositivi hardware e software che stanno studiando e decodificando, secondo McKee. Lui e il suo collega Philippe Laulheret, ricercatore senior di sicurezza presso Trellix, nel loro “Fail Harder: Trovare 0 giorni critici nonostante noi stessi” presentazione qui, ha condiviso alcune delle loro storie di guerra su errori o calcoli errati che hanno fatto nei loro progetti di hacking: contrattempi che secondo loro servono come lezioni utili per i ricercatori.

"A tutte le conferenze a cui andiamo [loro] mostrano i risultati brillanti" e i successi nella ricerca sulla sicurezza come gli zero-days, ha detto Laulheret. Non sempre puoi sentire parlare delle serie di fallimenti e battute d'arresto lungo la strada quando fiuti i vulns, hanno detto i ricercatori. Nel loro caso, è stato di tutto, dagli hack hardware che hanno bruciato i circuiti stampati a uno shellcode nitido e prolisso che non è stato eseguito.

In quest'ultimo caso, McKee e il suo team avevano scoperto una vulnerabilità nel Belkin Wemo Insight SmartPlug, un dispositivo consumer abilitato Wi-Fi per l'accensione e lo spegnimento remoto dei dispositivi ad esso collegati. “Il mio shellcode non arrivava allo stack. Se avessi letto la libreria XML, era chiaro che XML filtra i caratteri e c'è un set di caratteri limitato consentito attraverso il filtro XML. Questo è stato un altro esempio di tempo perso se avessi letto il codice con cui stavo effettivamente lavorando", dice. "Quando l'abbiamo decostruito, abbiamo trovato un buffer overflow che ti permetteva di controllare il dispositivo da remoto."

Non dare per scontato: istruito dalla "Sicurezza" dell'app per l'apprendimento a distanza

In un altro progetto, i ricercatori hanno studiato uno strumento software per l'apprendimento a distanza di Netop chiamato Vision Pro che, tra le altre cose, include la possibilità per gli insegnanti di accedere in remoto alle macchine degli studenti e scambiare file con i loro studenti. La funzionalità basata su Remote Desktop Protocol sembrava abbastanza semplice: "Consente agli insegnanti di accedere utilizzando le credenziali Microsoft per ottenere l'accesso completo alla macchina di uno studente", ha spiegato McKee.

I ricercatori avevano ipotizzato che le credenziali fossero crittografate in rete, che sarebbe stata la migliore pratica di sicurezza logica. Ma mentre monitoravano le loro catture di rete da Wireshark, sono rimasti scioccati nello scoprire che le credenziali viaggiavano attraverso la rete non crittografate. "Molte volte le ipotesi possono essere la morte del modo in cui fai un progetto di ricerca", ha detto McKee.

Nel frattempo, raccomandano di avere in mano più versioni di un prodotto che stai cercando nel caso in cui uno venga danneggiato. McKee ha ammesso di essere diventato un po' troppo zelante nel decostruire la batteria e gli interni della pompa per infusione B Bruan Infusomat. Lui e il suo team hanno smontato la batteria dopo aver individuato un indirizzo MAC su un adesivo apposto su di essa. Hanno trovato un circuito stampato e un chip flash all'interno e hanno finito per danneggiare fisicamente il chip mentre cercavano di accedere al software su di esso.

"Cerca di eseguire prima il processo meno invasivo", ha detto McKee, e non saltare a forzare l'hardware dall'inizio. "Rompere le cose fa parte del processo di hacking dell'hardware", ha affermato.