S3 Ep113: การทำลายเคอร์เนลของ Windows – พวกมิจฉาชีพที่หลอกลวง Microsoft [เสียง + ข้อความ]

คลิกแล้วลากบนคลื่นเสียงด้านล่างเพื่อข้ามไปยังจุดใดก็ได้ นอกจากนี้คุณยังสามารถ ฟังโดยตรง บนซาวด์คลาวด์

ดั๊ก.  สปายแวร์ไร้สาย การสกิมมิ่งของบัตรเครดิต และแพตช์มากมาย

ทั้งหมดนั้นและอีกมากมายในพอดแคสต์ Naked Security

[โมเด็มดนตรี]

ยินดีต้อนรับสู่พอดคาสต์ทุกคน

ฉัน Doug Aamoth; เขาคือพอล ดักคลิน

พอล เป็นยังไง?

---

เป็ด.  ฉันสบายดี ดั๊ก

เย็นชา แต่ดี

---

ดั๊ก.  ที่นี่ก็หนาวเหมือนกัน และทุกคนก็ป่วย… แต่นั่นคือเดือนธันวาคมสำหรับคุณ

เมื่อพูดถึงเดือนธันวาคม เราอยากจะเริ่มต้นการแสดงด้วย สัปดาห์นี้ในประวัติศาสตร์เทคโนโลยี ส่วน

เรามีรายการที่น่าตื่นเต้นในสัปดาห์นี้ เมื่อวันที่ 16 ธันวาคม พ.ศ. 2003 กฎหมาย CAN-SPAM ได้รับการลงนามเป็นกฎหมายโดยประธานาธิบดีจอร์จ ดับเบิลยู บุชในขณะนั้น

คำพ้องความหมายสำหรับ ควบคุมการโจมตีของสื่อลามกที่ไม่ได้ร้องขอและการตลาด, CAN-SPAM ถูกมองว่าค่อนข้างไร้เหตุผลด้วยเหตุผลต่างๆ เช่น ไม่ต้องการความยินยอมจากผู้รับในการรับอีเมลการตลาด และไม่อนุญาตให้บุคคลฟ้องร้องผู้ส่งสแปม

เชื่อกันว่าภายในปี 2004 มีสแปมน้อยกว่า 1% ที่ปฏิบัติตามพระราชบัญญัตินี้

---

เป็ด.  ใช่ มันง่ายที่จะพูดสิ่งนี้ด้วยการมองย้อนกลับไป...

…แต่อย่างที่พวกเราบางคนพูดติดตลกในตอนนั้น เราคิดว่าพวกเขาเรียกมันว่า CAN-SPAM เพราะนั่นเป็นสิ่งที่ *แน่นอน* ที่คุณสามารถทำได้ [หัวเราะ]

---

ดั๊ก.  “คุณสามารถสแปม!”

---

เป็ด.  ฉันเดาว่าแนวคิดคือ "เรามาเริ่มด้วยวิธีที่นุ่มนวลและนุ่มนวล"

[WRY TONE] ดังนั้นมันจึงเป็นจุดเริ่มต้น ยอมรับว่าไม่มากมายขนาดนั้น

---

ดั๊ก.  [หัวเราะ] เราจะไปถึงจุดนั้นในที่สุด

พูดถึงสิ่งที่แย่และแย่กว่านั้น…

…Microsoft Patch Tuesday – ไม่มีอะไรให้ดูที่นี่ เว้นแต่คุณจะนับ a ไดรเวอร์เคอร์เนลที่เป็นอันตรายที่ลงนาม?!

มัลแวร์ไดรเวอร์ที่ลงนามจะยกระดับห่วงโซ่ความน่าเชื่อถือของซอฟต์แวร์

---

เป็ด.  จริงๆ แล้วมีหลายอย่าง – ทีม Sophos Rapid Response พบสิ่งประดิษฐ์เหล่านี้ในภารกิจที่พวกเขาทำ

ไม่ใช่แค่ Sophos เท่านั้น – Microsoft มีกลุ่มวิจัยความปลอดภัยทางไซเบอร์อีกอย่างน้อยสองกลุ่มที่ระบุว่าพบสิ่งเหล่านี้โดยบังเอิญ: ไดรเวอร์เคอร์เนลที่ได้รับการอนุมัติจาก Microsoft อย่างมีประสิทธิภาพ

ขณะนี้ Microsoft มีคำแนะนำที่กล่าวโทษพันธมิตรที่หลอกลวง

พวกเขาสร้างบริษัทที่แสร้งทำฮาร์ดแวร์โดยเฉพาะเพื่อเข้าร่วมโปรแกรมไดรเวอร์ด้วยความตั้งใจที่จะแอบดูไดรเวอร์เคอร์เนลที่หลบเลี่ยงหรือไม่?

หรือว่าพวกเขาติดสินบนบริษัทที่เป็นส่วนหนึ่งของโปรแกรมอยู่แล้วเพื่อเล่นบอลกับพวกเขา?

หรือว่าพวกเขาแฮ็กเข้าไปในบริษัทที่ไม่รู้ด้วยซ้ำว่ากำลังถูกใช้เป็นเครื่องมือในการพูดกับ Microsoft ว่า “เฮ้ เราต้องผลิตไดรเวอร์เคอร์เนลนี้ – คุณจะรับรองหรือไม่”...

แน่นอนว่าปัญหาเกี่ยวกับไดรเวอร์เคอร์เนลที่ผ่านการรับรองนั้นเป็นเพราะพวกเขาต้องลงนามโดย Microsoft และเนื่องจากการลงนามไดรเวอร์เป็นข้อบังคับใน Windows หมายความว่าหากคุณสามารถลงชื่อไดรเวอร์เคอร์เนลได้ คุณไม่จำเป็นต้องแฮ็กหรือช่องโหว่หรือ การหาประโยชน์เพื่อให้สามารถโหลดได้เป็นส่วนหนึ่งของการโจมตีทางไซเบอร์

คุณเพียงแค่ติดตั้งไดรเวอร์และระบบจะไป "โอ้ เซ็นชื่อแล้ว ดังนั้นจึงอนุญาตให้โหลดได้”

และแน่นอน คุณสามารถสร้างความเสียหายได้มากเมื่อคุณอยู่ในเคอร์เนล มากกว่าที่คุณจะทำได้เมื่อคุณเป็นผู้ดูแลระบบ "เพียง"

โดยเฉพาะอย่างยิ่ง คุณจะได้รับสิทธิ์เข้าถึงการจัดการกระบวนการจากวงใน

ในฐานะผู้ดูแลระบบ คุณสามารถเรียกใช้โปรแกรมที่ระบุว่า “ฉันต้องการฆ่าโปรแกรม XYZ” ซึ่งอาจกล่าวได้ว่าเป็นโปรแกรมป้องกันไวรัสหรือเครื่องมือค้นหาภัยคุกคาม

และโปรแกรมนั้นสามารถต่อต้านการปิดตัวลงได้ เพราะหากสมมติว่าเป็นระดับผู้ดูแลระบบแล้ว กระบวนการทั้งสองก็ไม่สามารถอ้างสิทธิ์ความเป็นอันดับหนึ่งเหนืออีกกระบวนการหนึ่งได้

แต่ถ้าคุณอยู่ในระบบปฏิบัติการ มันคือระบบปฏิบัติการที่เกี่ยวข้องกับกระบวนการเริ่มต้นและสิ้นสุด ดังนั้นคุณจะได้รับพลังมากขึ้นในการปิดการใช้งานสิ่งต่างๆ เช่น ซอฟต์แวร์รักษาความปลอดภัย...

…และเห็นได้ชัดว่านั่นคือสิ่งที่พวกอาชญากรเหล่านี้กำลังทำอยู่

ใน “ประวัติศาสตร์ซ้ำรอย” ฉันจำได้ว่าเมื่อหลายปีก่อน เมื่อเราตรวจสอบซอฟต์แวร์ที่อาชญากรใช้เพื่อยุติโปรแกรมรักษาความปลอดภัย พวกเขามักจะมีรายการระหว่าง 100 ถึง 200 กระบวนการที่พวกเขาสนใจที่จะกำจัด: ระบบปฏิบัติการ กระบวนการ โปรแกรมป้องกันไวรัสจากผู้ขายที่แตกต่างกัน 20 ราย อะไรทำนองนั้น

และคราวนี้ ฉันคิดว่ามีโปรแกรม 186 โปรแกรม ที่ไดรเวอร์ของพวกเขาอยู่ที่นั่นเพื่อฆ่า

ค่อนข้างลำบากใจสำหรับ Microsoft

โชคดีที่ตอนนี้พวกเขาได้ไล่โปรแกรมโกงเหล่านั้นออกจากโปรแกรมสำหรับนักพัฒนาแล้ว

---

ดั๊ก.  นั่นไม่ใช่ทั้งหมดที่เป็น เปิดเผยใน Patch Tuesday.

นอกจากนี้ยังมีซีโร่เดย์ บั๊กของ RCE และสิ่งอื่นๆ ในลักษณะนั้นด้วย:

Patch Tuesday: 0-days, RCE bugs และเรื่องราวที่น่าสงสัยของมัลแวร์ที่ลงนาม

---

เป็ด.  ใช่.

โชคดีที่การแก้ไขข้อบกพร่องแบบ Zero-day ในเดือนนี้ไม่ใช่สิ่งที่เรียกว่า RCE หรือ การเรียกใช้โค้ดจากระยะไกล หลุม

ดังนั้นพวกเขาจึงไม่ได้กำหนดเส้นทางโดยตรงให้กับผู้โจมตีภายนอกเพียงเพื่อกระโดดเข้าสู่เครือข่ายของคุณและดำเนินการตามที่พวกเขาต้องการ

แต่มีข้อบกพร่องของไดรเวอร์เคอร์เนลใน DirectX ที่จะอนุญาตให้คนที่เคยอยู่ในคอมพิวเตอร์ของคุณโดยทั่วไปสามารถส่งเสริมตนเองให้มีพลังระดับเคอร์เนลได้

นั่นก็เหมือนกับการนำไดรเวอร์ที่ลงลายมือชื่อมาเอง – คุณ *ทราบ* ว่าคุณสามารถโหลดได้

ในกรณีนี้ คุณจะใช้ประโยชน์จากจุดบกพร่องในไดรเวอร์ที่เชื่อถือได้ และนั่นทำให้คุณทำสิ่งต่างๆ ภายในเคอร์เนลได้

เห็นได้ชัดว่านั่นคือสิ่งที่ทำให้การโจมตีทางไซเบอร์ที่เป็นข่าวร้ายอยู่แล้วกลายเป็นสิ่งที่แย่กว่านั้นมาก

ดังนั้นคุณจึงต้องการแก้ไขอย่างแน่นอน

น่าประหลาดใจที่ดูเหมือนว่าจะใช้กับบิลด์ล่าสุดเท่านั้น เช่น 2022H2 (ครึ่งปีหลัง H2 ย่อมาจากอะไร) ของ Windows 11

คุณต้องการให้แน่ใจว่าคุณได้รับสิ่งนั้นอย่างแน่นอน

และมีข้อบกพร่องที่น่าสนใจใน Windows SmartScreen ซึ่งโดยพื้นฐานแล้วเป็นเครื่องมือกรองของ Windows ที่เมื่อคุณพยายามดาวน์โหลดสิ่งที่อาจเป็นหรือเป็นอันตราย จะแสดงคำเตือนให้คุณทราบ

เห็นได้ชัดว่าหากโจรพบ "โอ้ไม่! เราโดนมัลแวร์โจมตี และมันก็ทำงานได้ดีจริงๆ แต่ตอนนี้ Smart Screen กำลังบล็อกมันอยู่ เราจะทำอย่างไรดี?”...

…ไม่ว่าจะวิ่งหนีและสร้างการโจมตีใหม่ทั้งหมด หรืออาจพบช่องโหว่ที่ทำให้เลี่ยง Smart Screen เพื่อไม่ให้คำเตือนปรากฏขึ้น

และนั่นคือสิ่งที่เกิดขึ้นใน CVE-2022-44698 ดักลาส

นั่นคือวันศูนย์

อย่างที่คุณพูด มีข้อบกพร่องในการเรียกใช้โค้ดจากระยะไกลอยู่ปะปนกัน แต่ไม่มีสิ่งใดที่ทราบกันดีว่ามีอยู่จริง

หากคุณแก้ไขสิ่งเหล่านั้น คุณก็นำหน้าพวกมิจฉาชีพ แทนที่จะไล่ตามทัน

---

ดั๊ก.  โอเค เรามาเข้าเรื่องแพทช์กันดีกว่า...

…และฉันรักส่วนแรกของสิ่งนี้ พาดหัว.

มันแค่บอกว่า “Apple แก้ไขทุกอย่าง”:

Apple แพตช์ทุกอย่าง ในที่สุดก็เผยความลึกลับของ iOS 16.1.2

---

เป็ด.  ใช่ ฉันคิดวิธีแสดงรายการระบบปฏิบัติการทั้งหมดไม่เกิน 70 อักขระไม่ได้ [หัวเราะ]

ฉันเลยคิดว่า "อืม นี่มันทุกอย่างจริงๆ"

และปัญหาคือครั้งล่าสุดที่เราเขียนเกี่ยวกับการอัปเดตของ Apple มันคือ iOS เท่านั้น (iPhones) และ iOS 16.1.2 เท่านั้น:

Apple ออกอัปเดตความปลอดภัย iOS ที่เข้มงวดกว่าที่เคย

ถ้าคุณมี iOS 15 คุณจะทำอย่างไร?

คุณมีความเสี่ยงหรือไม่?

คุณจะได้รับการอัปเดตในภายหลังหรือไม่

คราวนี้ข่าวเกี่ยวกับการอัปเดตล่าสุดก็ออกมาในที่สุด

ดูเหมือนว่า ดั๊ก เหตุผลที่เราได้รับการอัปเดต iOS 16.1.2 ก็คือมีการหาประโยชน์จากภายนอก ซึ่งปัจจุบันรู้จักกันในชื่อ CVE-2022-42856 และนั่นเป็นข้อบกพร่องใน WebKit ซึ่งเป็นเครื่องมือแสดงผลเว็บ ภายในระบบปฏิบัติการของ Apple

และเห็นได้ชัดว่าบั๊กนั้นสามารถถูกกระตุ้นได้โดยการล่อให้คุณดูเนื้อหาที่ติดกับดัก – ซึ่งเป็นที่รู้จักกันในการแลกเปลี่ยนว่าเป็น ติดตั้งไดรฟ์โดยที่คุณแค่เหลือบไปเห็นหน้าเว็บและ "โอ้ ที่รัก" ในเบื้องหลัง มัลแวร์จะถูกติดตั้ง

เห็นได้ชัดว่าช่องโหว่ที่พบใช้งานได้บน iOS เท่านั้น

นั่นน่าจะเป็นสาเหตุที่ Apple ไม่รีบอัปเดตสำหรับแพลตฟอร์มอื่นๆ ทั้งหมด แม้ว่า macOS (ทั้งสามเวอร์ชันที่รองรับ), tvOS, iPadOS... ล้วนมีข้อบกพร่องนั้นอยู่จริง

ระบบเดียวที่ดูเหมือนจะไม่ใช่คือ watchOS

ดังนั้น ข้อบกพร่องดังกล่าวจึงอยู่ในซอฟต์แวร์เกือบทั้งหมดของ Apple แต่เห็นได้ชัดว่ามันสามารถใช้ประโยชน์ได้เท่านั้น เท่าที่พวกเขารู้ ผ่านการแสวงหาผลประโยชน์แบบธรรมดาบน iOS

แต่ที่แปลกคือตอนนี้พวกเขากำลังพูดว่า “เฉพาะบน iOS ก่อน 15.1” ซึ่งทำให้คุณสงสัยว่า “ทำไมพวกเขาถึงไม่ปล่อยอัปเดตสำหรับ iOS 15 ในกรณีนั้น”

เราไม่รู้!

บางทีพวกเขาอาจหวังว่าหากพวกเขาออก iOS 16.1.2 บางคนที่ใช้ iOS 15 จะอัปเดตอยู่ดี และนั่นจะแก้ปัญหาให้พวกเขาได้

หรือบางทีพวกเขาอาจยังไม่แน่ใจว่า iOS 16 ไม่มีช่องโหว่ และการอัปเดต (ซึ่งพวกเขามีกระบวนการที่กำหนดไว้อย่างดี) นั้นเร็วกว่าและง่ายกว่าที่จะทำการทดสอบอย่างเพียงพอเพื่อตัดสินว่าข้อบกพร่องนั้นไม่สามารถทำได้" ไม่ถูกโจมตีบน iOS 16 อย่างง่ายดาย

เราคงไม่มีทางรู้หรอก ดั๊ก แต่ทั้งหมดนี้มีเรื่องราวเบื้องหลังที่น่าสนใจทีเดียว!

แต่อย่างที่คุณพูด มีการอัปเดตสำหรับทุกคนที่มีผลิตภัณฑ์ที่มีโลโก้ Apple อยู่

ดังนั้น อย่ารอช้า/ทำวันนี้เลย

---

ดั๊ก.  ให้เราย้ายไปหาเพื่อนของเราที่ Ben-Gurion University… พวกเขากลับมาที่นี่อีกครั้ง

พวกเขาได้พัฒนาสปายแวร์ไร้สาย – เพียงเล็กน้อยที่ดี เคล็ดลับสปายแวร์ไร้สาย:

COVID-bit: เคล็ดลับสปายแวร์ไร้สายที่มีชื่ออัปมงคล

---

เป็ด.  ใช่… ฉันไม่แน่ใจเกี่ยวกับชื่อ; ฉันไม่รู้ว่าพวกเขาคิดอะไรอยู่

พวกเขาเรียกมันว่า COVID-bit.

---

ดั๊ก.  แปลกเล็กน้อย

---

เป็ด.  ฉันคิดว่าเราทุกคนถูกโควิดกัดไม่ทางใดก็ทางหนึ่ง…

---

ดั๊ก.  อาจจะเป็นอย่างนั้น?

---

เป็ด.  พื้นที่ COV มีไว้เพื่อยืนหยัด แอบแฝงและพวกเขาไม่พูดอะไร ID-bit หมายถึง.

ฉันเดาว่ามันอาจจะเป็น "การเปิดเผยข้อมูลทีละนิด" แต่ก็ยังเป็นเรื่องราวที่น่าสนใจ

เราชอบที่จะเขียนเกี่ยวกับการวิจัยที่แผนกนี้ทำ เพราะแม้ว่าพวกเราส่วนใหญ่จะเป็นเรื่องสมมุติเล็กน้อย...

…พวกเขากำลังมองหาวิธีละเมิดช่องว่างของเครือข่าย ซึ่งเป็นจุดที่คุณใช้เครือข่ายที่ปลอดภัยซึ่งคุณจงใจแยกออกจากสิ่งอื่นทั้งหมด

สำหรับพวกเราส่วนใหญ่ นั่นไม่ใช่ปัญหาใหญ่ อย่างน้อยก็ที่บ้าน

แต่สิ่งที่พวกเขากำลังดูคือ *แม้ว่าคุณจะปิดเครือข่ายหนึ่งจากอีกเครือข่ายหนึ่ง* และทุกวันนี้เข้าไปและฉีกการ์ดไร้สายทั้งหมด การ์ด Bluetooth การ์ด Near Field Communications หรือตัดสายและทำลาย ร่องรอยวงจรบนแผงวงจรเพื่อหยุดการเชื่อมต่อไร้สายใดๆ ที่ทำงาน…

…ยังมีวิธีใดที่ผู้โจมตีที่ได้รับสิทธิ์เข้าถึงพื้นที่ปลอดภัยเพียงครั้งเดียวหรือคนวงในที่เสียหาย อาจทำให้ข้อมูลรั่วไหลโดยที่ไม่สามารถติดตามได้

และน่าเสียดายที่ปรากฎว่าการปิดเครือข่ายอุปกรณ์คอมพิวเตอร์เครื่องหนึ่งโดยสิ้นเชิงนั้นยากกว่าที่คุณคิด

ผู้อ่านทั่วไปจะรู้ว่าเราได้เขียนเกี่ยวกับสิ่งต่าง ๆ มากมายที่คนเหล่านี้เคยคิดมาก่อน

พวกเขามี GAIROSCOPE ซึ่งเป็นที่ที่คุณนำโทรศัพท์มือถือมาใช้ใหม่ ชิปเข็มทิศ เป็นไมโครโฟนที่มีความเที่ยงตรงต่ำ

---

ดั๊ก.  [หัวเราะ] ฉันจำได้ว่า:

การละเมิดความปลอดภัย airgap: ใช้ไจโรสโคปของโทรศัพท์เป็นไมโครโฟน

---

เป็ด.  เนื่องจากชิปเหล่านั้นสามารถรับรู้ถึงแรงสั่นสะเทือนได้ดีพอสมควร

พวกเขามี LANTENNA ซึ่งเป็นที่ที่คุณวางสัญญาณบนเครือข่ายแบบใช้สายที่อยู่ภายในพื้นที่ปลอดภัย และจริงๆ แล้ว สายเคเบิลเครือข่ายทำหน้าที่เป็น สถานีวิทยุขนาดเล็ก.

พวกเขาปล่อยรังสีแม่เหล็กไฟฟ้าออกมามากพอที่คุณจะรับมันได้นอกพื้นที่ปลอดภัย ดังนั้นพวกเขาจึงใช้เครือข่ายแบบใช้สายเป็นตัวส่งสัญญาณไร้สาย

และพวกเขามีสิ่งที่พวกเขาเรียกกันติดตลกว่า FANSMITTER ซึ่งก็คือที่ที่คุณไป "เอาล่ะ เราส่งสัญญาณเสียงได้ไหม? แน่นอนว่าถ้าเราแค่เล่นเพลงผ่านลำโพง เช่น [เสียงการโทร] บี๊บ-บี๊บ-บี๊บ-บี๊บ-บี๊บ มันจะค่อนข้างชัดเจน”

แต่จะเป็นอย่างไรถ้าเราเปลี่ยนโหลด CPU เพื่อให้พัดลมเร็วขึ้นและช้าลง - เราสามารถใช้ การเปลี่ยนแปลงความเร็วพัดลม เกือบจะเหมือนสัญญาณแบบใด?

แฟนคอมพิวเตอร์ของคุณสามารถใช้สอดแนมคุณได้หรือไม่?

และในการโจมตีครั้งล่าสุดนี้ พวกเขาคิดว่า "เราจะเปลี่ยนบางสิ่งในคอมพิวเตอร์เกือบทุกเครื่องในโลกนี้ได้อย่างไร บางอย่างที่ดูไร้เดียงสาพอ... เราจะเปลี่ยนมันให้เป็นสถานีวิทยุที่ใช้พลังงานต่ำมากๆ ได้อย่างไร"

และในกรณีนี้ พวกเขาสามารถทำได้โดยใช้แหล่งจ่ายไฟ

พวกเขาสามารถทำได้ใน Raspberry Pi ในแล็ปท็อป Dell และในเดสก์ท็อปพีซีหลายเครื่อง

พวกเขากำลังใช้แหล่งจ่ายไฟของคอมพิวเตอร์ ซึ่งโดยพื้นฐานแล้วจะทำการสวิตชิ่ง DC ความถี่สูงมากๆ เพื่อตัดแรงดันไฟฟ้ากระแสตรง ซึ่งโดยปกติแล้วเพื่อลดแรงดันไฟฟ้าลง หลายร้อยหลายพันหรือหลายล้านครั้งต่อวินาที

พวกเขาพบวิธีที่จะรั่วไหลของรังสีแม่เหล็กไฟฟ้า ซึ่งเป็นคลื่นวิทยุที่พวกเขาสามารถรับได้ไกลถึง 2 เมตรบนโทรศัพท์มือถือ...

…แม้ว่าโทรศัพท์มือถือเครื่องนั้นจะปิดอุปกรณ์ไร้สายทั้งหมด หรือแม้กระทั่งถอดออกจากอุปกรณ์ก็ตาม

เคล็ดลับที่พวกเขาคิดขึ้นคือ: คุณเปลี่ยนความเร็วที่มันกำลังเปลี่ยน และคุณตรวจพบการเปลี่ยนแปลงของความถี่ในการเปลี่ยน

ลองนึกภาพถ้าคุณต้องการแรงดันไฟฟ้าที่ต่ำกว่า (ถ้าคุณต้องการ เช่น ลด 12V ลงเหลือ 4V) คลื่นสี่เหลี่ยมจะเปิดหนึ่งในสามของเวลา และปิดเป็นเวลาสองในสาม

หากคุณต้องการ 2V คุณต้องเปลี่ยนอัตราส่วนตามนั้น

และกลายเป็นว่า CPU สมัยใหม่นั้นเปลี่ยนแปลงทั้งความถี่และแรงดันไฟฟ้าเพื่อจัดการพลังงานและความร้อนสูงเกินไป

ดังนั้น โดยการเปลี่ยนภาระของ CPU บนคอร์อย่างน้อยหนึ่งคอร์ใน CPU – เพียงแค่เพิ่มงานและลดงานลงที่ความถี่ค่อนข้างต่ำระหว่าง 5000 ถึง 8000 ครั้งต่อวินาที – พวกเขาสามารถรับโหมดสวิตช์ได้ แหล่งจ่ายไฟเพื่อ *สลับโหมดการสลับ* ที่ความถี่ต่ำเหล่านั้น

และนั่นทำให้เกิดคลื่นวิทยุความถี่ต่ำมากจากร่องรอยของวงจรหรือลวดทองแดงในแหล่งจ่ายไฟ

และพวกเขาสามารถตรวจจับการเล็ดลอดเหล่านั้นได้โดยใช้เสาอากาศวิทยุที่ไม่ซับซ้อนมากไปกว่าห่วงลวดแบบธรรมดา!

แล้วคุณจะทำอย่างไรกับห่วงลวด?

ดั๊กแกล้งทำเป็นว่าเป็นสายไมโครโฟนหรือสายหูฟัง

คุณเชื่อมต่อกับแจ็คเสียง 3.5 มม. และคุณเสียบเข้ากับโทรศัพท์มือถือของคุณเหมือนเป็นชุดหูฟัง...

---

ดั๊ก.  โอ้โฮ

---

เป็ด.  คุณบันทึกสัญญาณเสียงที่สร้างขึ้นจากห่วงลวด เพราะโดยพื้นฐานแล้วสัญญาณเสียงนั้นเป็นตัวแทนดิจิทัลของสัญญาณวิทยุความถี่ต่ำมากที่คุณรับมา

พวกเขาสามารถดึงข้อมูลจากมันในอัตราใดก็ได้ระหว่าง 100 บิตต่อวินาทีเมื่อพวกเขาใช้แล็ปท็อป 200 บิตต่อวินาทีด้วย Raspberry Pi และที่ใดก็ได้สูงถึง 1000 บิตต่อวินาทีโดยมีอัตราข้อผิดพลาดต่ำมาก จาก คอมพิวเตอร์เดสก์ท็อป

คุณสามารถรับสิ่งต่างๆ เช่น คีย์ AES, คีย์ RSA หรือแม้แต่ไฟล์ข้อมูลขนาดเล็กด้วยความเร็วระดับนั้น

ฉันคิดว่านั่นเป็นเรื่องราวที่น่าสนใจ

หากคุณดำเนินการในพื้นที่ที่ปลอดภัย คุณต้องติดตามสิ่งนี้อย่างแน่นอน เพราะอย่างที่คำโบราณกล่าวไว้ว่า “การโจมตีจะดีขึ้นหรือฉลาดขึ้นเท่านั้น”

---

ดั๊ก.  และเทคโนโลยีที่ต่ำกว่า [หัวเราะ]

ทุกอย่างเป็นดิจิทัล ยกเว้นเรามีการรั่วไหลของอะนาล็อกที่ใช้เพื่อขโมยคีย์ AES

มันช่างน่าทึ่ง!

---

เป็ด.  ขอย้ำเตือนว่าคุณต้องคิดถึงสิ่งที่อยู่อีกด้านของกำแพงที่มั่นคง เพราะ “สิ่งที่มองไม่เห็นนั้นไม่จำเป็นต้องอยู่ในความคิดเสมอไป”

---

ดั๊ก.  นั่นก็ประกบเข้ากับเราเป็นอย่างดี เรื่องสุดท้าย - สิ่งที่มองไม่เห็น แต่ไม่อยู่ในใจ:

การขโมยข้อมูลบัตรเครดิต – เส้นทางที่ยาวและคดเคี้ยวของความล้มเหลวของห่วงโซ่อุปทาน

หากคุณเคยสร้างหน้าเว็บ คุณจะทราบดีว่าคุณสามารถวางโค้ดการวิเคราะห์ ซึ่งเป็น JavaScript บรรทัดเล็กๆ ลงในนั้นเพื่อให้ Google Analytics หรือบริษัทอื่นๆ คล้ายคลึงกัน เพื่อดูว่าสถิติของคุณเป็นอย่างไร

มีบริษัทวิเคราะห์ฟรีชื่อ Cockpit ในช่วงต้นปี 2010 ผู้คนจึงใส่โค้ด Cockpit นี้ ซึ่งเป็น JavaScript บรรทัดเล็กๆ ในหน้าเว็บของพวกเขา

แต่ห้องนักบินปิดตัวลงในปี 2014 และปล่อยให้ชื่อโดเมนหมดอายุ

จากนั้นในปี 2021 อาชญากรไซเบอร์คิดว่า “เว็บไซต์อีคอมเมิร์ซบางแห่งยังคงปล่อยให้รหัสนี้ทำงาน พวกเขายังคงเรียกสิ่งนี้ว่า JavaScript ทำไมเราไม่ซื้อชื่อโดเมนแล้วใส่อะไรก็ได้ที่เราต้องการลงในเว็บไซต์เหล่านี้ที่ยังไม่ได้ลบ JavaScript บรรทัดนั้นออก”

---

เป็ด.  ใช่.

อะไรจะเป็นไปได้ดี ดั๊ก?

---

ดั๊ก.  [หัวเราะ] เป๊ะ!

---

เป็ด.  เจ็ดปี!

พวกเขาจะมีรายการในบันทึกการทดสอบทั้งหมดว่า Could not source the file cockpit.js (หรืออะไรก็ตาม) from site cockpit.jpฉันคิดว่ามันเป็น

อย่างที่คุณพูด เมื่ออาชญากรจุดไฟโดเมนอีกครั้ง และเริ่มวางไฟล์ไว้ที่นั่นเพื่อดูว่าจะเกิดอะไรขึ้น...

…พวกเขาสังเกตเห็นว่าไซต์อีคอมเมิร์ซจำนวนมากสุ่มสี่สุ่มห้าและใช้งานโค้ด JavaScript ของอาชญากรในเว็บเบราว์เซอร์ของลูกค้าอย่างมีความสุข

---

ดั๊ก.  [หัวเราะ] “เฮ้ ไซต์ของฉันไม่ได้ส่งข้อผิดพลาดอีกต่อไป มันใช้งานได้แล้ว”

---

เป็ด.  [INCREDULOUS] “พวกเขาต้องแก้ไขมันแล้ว”… เพื่อความเข้าใจเป็นพิเศษเกี่ยวกับคำว่า “คงที่” Doug

แน่นอน ถ้าคุณสามารถใส่ JavaScript ลงในหน้าเว็บของใครก็ได้ คุณก็สามารถทำให้หน้าเว็บนั้นทำอะไรก็ได้ที่คุณต้องการ

และถ้าโดยเฉพาะอย่างยิ่ง คุณกำลังกำหนดเป้าหมายไซต์อีคอมเมิร์ซ คุณสามารถตั้งค่าสิ่งที่เป็นรหัสสปายแวร์เป็นหลักเพื่อค้นหาหน้าเว็บเฉพาะที่มีรูปแบบเว็บเฉพาะพร้อมช่องที่มีชื่อเฉพาะบนหน้าเหล่านั้น...

…เช่น หมายเลขหนังสือเดินทาง หมายเลขบัตรเครดิต CVV อะไรก็ตาม

และคุณสามารถดูดข้อมูลลับที่ไม่ได้เข้ารหัสทั้งหมด ข้อมูลส่วนบุคคล ที่ผู้ใช้ใส่เข้าไป

มันยังไม่ได้เข้าสู่กระบวนการเข้ารหัส HTTPS ดังนั้นคุณจึงดูดมันออกจากเบราว์เซอร์ เข้ารหัส HTTPS *ด้วยตัวคุณเอง* แล้วส่งออกไปยังฐานข้อมูลที่เรียกใช้โดยมิจฉาชีพ

และแน่นอน อีกอย่างที่คุณสามารถทำได้คือคุณสามารถแก้ไขหน้าเว็บเมื่อมาถึง

ดังนั้นคุณจึงสามารถล่อให้ใครบางคนมาที่เว็บไซต์ได้ – เว็บไซต์ที่เป็น *ใช่*; เป็นเว็บไซต์ที่พวกเขาเคยไปมาก่อน ซึ่งพวกเขารู้ว่าเชื่อถือได้ (หรือคิดว่าเชื่อถือได้)

หากมีแบบฟอร์มบนเว็บในเว็บไซต์นั้น ซึ่งโดยปกติแล้วจะขอชื่อและหมายเลขอ้างอิงบัญชีจากพวกเขา คุณก็เพียงแค่ใส่ฟิลด์พิเศษสองสามฟิลด์ลงไป และพิจารณาว่าบุคคลนั้นเชื่อถือไซต์นั้นอยู่แล้ว...

… ถ้าคุณพูดชื่อ ID และ [เพิ่มใน] วันเกิด?

เป็นไปได้มากว่าพวกเขาจะใส่วันเกิดเพราะคิดว่า "ฉันคิดว่ามันเป็นส่วนหนึ่งของการตรวจสอบตัวตน"

---

ดั๊ก.  สิ่งนี้หลีกเลี่ยงได้

คุณสามารถเริ่มต้นด้วย ตรวจสอบการเชื่อมโยงห่วงโซ่อุปทานบนเว็บของคุณ.

---

เป็ด.  ใช่.

บางทีทุกๆเจ็ดปีอาจจะเป็นการเริ่มต้น? [หัวเราะ]

หากคุณไม่มองหา แสดงว่าคุณเป็นส่วนหนึ่งของปัญหาจริงๆ ไม่ใช่ส่วนหนึ่งของการแก้ปัญหา

---

ดั๊ก.  คุณยังสามารถ โอ้ ฉันไม่รู้... ตรวจสอบบันทึกของคุณ?

---

เป็ด.  ใช่.

อีกครั้งทุกๆเจ็ดปีอาจจะเริ่มต้น?

ให้ฉันพูดตามที่เราเคยพูดไปแล้วในพอดแคสต์ ดั๊ก...

…ถ้าคุณจะเก็บบันทึกที่คุณไม่เคยเปิดดู *อย่าไปเก็บมันเลย*

หยุดหลอกตัวเองและอย่ารวบรวมข้อมูล

เพราะที่จริงแล้ว สิ่งที่ดีที่สุดที่อาจเกิดขึ้นกับข้อมูล หากคุณกำลังเก็บรวบรวมข้อมูลและไม่ได้ดูข้อมูลนั้น ก็คือคนที่เข้าใจผิดจะไม่เข้าถึงข้อมูลโดยไม่ได้ตั้งใจ

---

ดั๊ก.  จากนั้นทำธุรกรรมทดสอบเป็นประจำ

---

เป็ด.  ฉันควรจะพูดว่า “ทุก ๆ เจ็ดปีจะเป็นการเริ่มต้น” หรือไม่? [หัวเราะ]

---

ดั๊ก.  แน่นอน ใช่… [WRY] นั่นอาจเป็นเรื่องปกติพอ ฉันคิดว่า

---

เป็ด.  หากคุณเป็นบริษัทอีคอมเมิร์ซ และคุณคาดหวังให้ผู้ใช้เยี่ยมชมเว็บไซต์ของคุณ ทำความคุ้นเคยกับรูปลักษณ์เฉพาะ และไว้วางใจ...

… จากนั้นคุณเป็นหนี้พวกเขาที่จะทดสอบว่ารูปลักษณ์และความรู้สึกนั้นถูกต้อง

อย่างสม่ำเสมอและบ่อยครั้ง

ง่ายอย่างนั้น

---

ดั๊ก.  โอเคดีมาก ๆ.

และเมื่อการแสดงเริ่มจบลง ให้เราได้ยินจากผู้อ่านคนหนึ่งของเราเกี่ยวกับเรื่องนี้

แลร์รี่แสดงความคิดเห็น:

ตรวจสอบการเชื่อมโยงห่วงโซ่อุปทานตามเว็บของคุณหรือไม่

Wish Epic Software ทำสิ่งนี้ก่อนที่จะส่งข้อผิดพลาดการติดตาม Meta ให้กับลูกค้าของพวกเขาทั้งหมด

ฉันเชื่อว่ามีนักพัฒนารุ่นใหม่ที่คิดว่าการพัฒนานั้นเกี่ยวกับการค้นหาชิ้นส่วนโค้ดที่ใดก็ได้บนอินเทอร์เน็ตและวางลงในผลิตภัณฑ์งานของพวกเขาอย่างไร้เหตุผล

---

เป็ด.  ถ้าเราไม่พัฒนาโค้ดแบบนั้น...

…คุณจะไปที่ไหน “ฉันรู้ ฉันจะใช้ห้องสมุดนี้ ฉันจะดาวน์โหลดจากหน้า GitHub ที่ยอดเยี่ยมที่ฉันพบ

โอ้ มันต้องมีอะไรอีกเพียบ!?

โอ้ ดูสิ มันสามารถตอบสนองความต้องการได้โดยอัตโนมัติ… เอาล่ะ มาทำอย่างนั้นกันเถอะ!”

น่าเสียดายที่คุณต้อง *เป็นเจ้าของซัพพลายเชนของคุณ* และนั่นหมายถึงการเข้าใจทุกอย่างที่เกี่ยวข้อง

หากคุณกำลังคิดตาม Software Bill of Materials [SBoM] ถนน ซึ่งคุณคิดว่า “ใช่ ฉันจะแสดงรายการทุกอย่างที่ฉันใช้” การแสดงรายการระดับแรกของสิ่งที่คุณใช้นั้นไม่เพียงพอ

คุณยังจำเป็นต้องรู้และสามารถจัดทำเป็นเอกสาร และรู้ว่าคุณสามารถเชื่อถือได้ ทุกสิ่งที่สิ่งเหล่านั้นขึ้นอยู่กับ และอื่น ๆ ต่อ ๆ ไป:

หมัดตัวเล็กมีหมัดน้อยกว่า เมื่อหลังกัดพวกมัน และหมัดน้อยกว่าก็มีหมัดน้อยกว่า และไม่มีที่สิ้นสุด

*นั่นคือ* วิธีที่คุณต้องไล่ตามห่วงโซ่อุปทานของคุณ!

---

ดั๊ก.  พูดได้ดี!

เอาล่ะ ขอบคุณมาก Larry ที่ส่งความคิดเห็นนั้นมาให้

หากคุณมีเรื่องราว ข้อคิดเห็น หรือคำถามที่น่าสนใจที่คุณต้องการส่ง เรายินดีที่จะอ่านในพอดแคสต์

คุณสามารถส่งอีเมลไปที่ tips@sophos.com แสดงความคิดเห็นเกี่ยวกับบทความของเรา หรือจะติดต่อผ่านโซเชียลได้ที่ @NakedSecurity

นั่นคือการแสดงของเราในวันนี้ ขอบคุณมากสำหรับการฟัง

สำหรับ Paul Ducklin ฉัน Doug Aamoth เตือนคุณจนถึงครั้งต่อไป ให้...

---

ทั้งสอง  รักษาความปลอดภัย!

[โมเด็มดนตรี]