Black Hat Europe 2013

Сегодня последний день докладов (14-15 марта) на конференции Black Hat Europe 2013. Как обычно на мероприятиях подобного рода презентуются доклады с интересным содержимым, не стал исключением и этот год. Список докладчиков можно найти здесь. На этот раз конференция проходила в Амстердаме. Black Hat получил известность по нескольким причинам, например, многие доклады в разные годы заложили тренды развития некоторых областей в области security analysis. Кроме этого, он представляет из себя известную конференцию, на которой предлагается материал из различных областей security analysis, ранее не публиковавшийся.

Один из интересных докладов, на наш взгляд, представил Zhenhua ‘Eric’ Liu, специалист компании Fortinet. Его доклад назывался «Advanced Heap Manipulation in Windows 8».

Доклад посвящен, в частности, эксплуатации kernel pool в режиме ядра и очевидно может служить хорошим дополнением к уже ставшему очень популярному материалу Tarjei Mandt (aka kernelpool) — «Kernel Pool Exploitation on Windows 7», который можно посмотреть здесь. В отличие от доклада Tarjei Mandt, новый материал охватывает технику эксплуатации пула на Windows 8. Также этот доклад включает в себя демонстрацию техники эксплуатации user mode heap. Полная версия доклада.

Zhenhua Liu will present on Wednesday, March 15th at 2:00 pm its research paper entitled: “Advanced Heap Manipulation in Window 8”. Inspired by the infamous «Heap Feng Shui» technique, he will demonstrate an advanced method to manipulate the heap layout (both kernel pool and user heap) on Windows 8, hence enabling the exploitation of a whole class of vulnerabilities, which were previously rendered moot by built-in Windows 8 exploit mitigation improvements.

Другой интересный доклад представили Никита Тараканов (NTarakanov) и Олег Купреев. Их анализ назывался «Huawei — from China with Love». В нем идет речь о модемах производства производства Huawei и уязвимостях во встроенном ПО, которое поставляется с ними, приводящие к их возможной эксплуатации. Полный доклад можно посмотреть здесь.

3G/4G networks are getting popular more and more these days. Most of users nowadays have USB 3G/4G modems – they’re small, easy-to-use and pretty cheap. That’s why we started this research. The main idea of it – find an opportunity to infect as much as possible.
As a result of this research we can say that software that manages the USB device is full of vulnerabilities (from Remote Code Execution to Local Privilege Execution) So, full pwnage of a box. The main goal of modem infection can become constructing world-wide botnet: from infecting one Website — to pwnage of all users of Huawei USB modems.

О возможной эксплуатации современных песочниц/сандбоксов (sandboxes) доклад представили Rafal Wojtczuk и Rahul Kashyap. Исследование называется «The sandbox roulette — are you ready for the gamble?». В ней даются заметки о возможных уязвимостях в различных типах сандбоксов. Сам доклад можно посмотреть здесь. Рассматриваются архитектуры различных типов сандбоксов, например, Sandboxie и встроенный сандбокс в браузер Google Chrome.

This talk will present an in-depth, security focused, technical analysis of the application sandboxing technologies available today. It will provide a comparison framework for different vendor technologies that is consistent, measurable, and understandable by both IT administrators and security specialists. In addition we will explore each of the major commercially available sandbox flavors, and evaluate their ability to protect enterprise data and the enterprise infrastructure as a whole. We will provide an architectural decomposition of sandboxing to highlight its advantages and limitations, and will interweave the discussion with examples of exploit vectors that are likely to be used by sophisticated malware to actively target sandboxes in the future.

Доклады, представленные на конференции, можно посмотреть здесь.