Black Hat 2022已在拉斯維加斯落下帷幕，每屆大會(huì)都會(huì)公布一些安全研究成果，這些研究成果反映了當(dāng)前網(wǎng)絡(luò)安全領(lǐng)域諸多殘酷的現(xiàn)實(shí)和趨勢(shì)，同時(shí)兼具啟發(fā)性和討論性。近日，PCMag列出了本屆大會(huì)上14個(gè)重磅研究成果，現(xiàn)在就讓我們通過(guò)本文來(lái)一一窺探。

1. 跨越四分之一世紀(jì)的黑客活動(dòng)

從首次舉辦至今，黑帽大會(huì)迎來(lái)了它的第25歲生日，在感嘆時(shí)間流逝之快的同時(shí)，為紀(jì)念這一時(shí)刻，會(huì)議將其中兩個(gè)主題演講的重點(diǎn)聚焦在安全的未來(lái)，涉及到與烏克蘭相關(guān)的網(wǎng)絡(luò)戰(zhàn)爭(zhēng)、網(wǎng)上虛假信息的興起，以及聲稱(chēng)2020年美國(guó)大選是欺詐性選舉的政治動(dòng)蕩事件。

網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）前局長(zhǎng)Chris Krebs介紹了網(wǎng)絡(luò)安全世界面臨的許多挑戰(zhàn)。他呼吁與會(huì)者和安全公司接受一套原則，以在面對(duì)未來(lái)可能的動(dòng)蕩時(shí)能夠運(yùn)籌帷幄。

知名網(wǎng)絡(luò)安全記者描述了近年來(lái)一些令人震驚的安全事件，包括震網(wǎng)病毒（Stuxnet）、Colonial管道攻擊等，并強(qiáng)調(diào)這些攻擊都是可以預(yù)測(cè)的，在造成巨大災(zāi)害或損失之前就有過(guò)許多警告信號(hào)，只是人們未能提前采取積極有效的預(yù)防措施。

2. 短信代碼讓多因素認(rèn)證失效

當(dāng)密碼不足以應(yīng)對(duì)安全風(fēng)險(xiǎn)時(shí)，銀行和敏感網(wǎng)站就會(huì)轉(zhuǎn)向多因素認(rèn)證。但這也存在漏洞。一個(gè)瑞典的研究小組證明，通過(guò)短信發(fā)送認(rèn)證碼本身就是不安全的。他們追蹤了最近一些因雙因素安全保護(hù)措施失效的事件，稱(chēng)如果黑客擁有用戶(hù)的登錄憑證和電話號(hào)碼，基于文本的認(rèn)證就不能起到有效的保護(hù)作用。

3. “隱形手指”操控觸摸屏

想象一下，你走進(jìn)會(huì)議室，把手機(jī)放在桌子上，這時(shí)，一只看不見(jiàn)的手指將其解鎖并安裝了惡意軟件。一個(gè)學(xué)術(shù)研究小組模擬了一種攻擊技術(shù)，能從幾厘米外操控手機(jī)觸摸屏。如果受害者把設(shè)備放在他們事先布置好隱藏天線的桌子上，他們就可以利用這一“看不見(jiàn)的手指”對(duì)設(shè)備實(shí)施觸摸操作。

4. 打破無(wú)用規(guī)則，采取實(shí)際措施

安全初創(chuàng)公司 Copado 的副總裁兼安全主管 Kyle Tobener 在會(huì)上提出，如果某些威脅難以避免，最佳的方式就是采取手段將造成的損害降到最低。這種減少傷害的理念多年來(lái)在醫(yī)學(xué)上被證明是有效的，例如，僅告誡吸毒者不許吸毒幾乎很難起到實(shí)質(zhì)性作用，不如向他們提供干凈的針頭來(lái)減少其它危害。相信這種理念在安全領(lǐng)域也可以發(fā)揮作用。

5. 重大網(wǎng)絡(luò)事件調(diào)查手冊(cè)

對(duì)已經(jīng)發(fā)生的重大網(wǎng)絡(luò)事件，如果企業(yè)不花時(shí)間追本溯源，那在下一次危機(jī)來(lái)臨時(shí)注定要重蹈覆轍。會(huì)議期間，一研究小組試圖通過(guò)創(chuàng)建《重大網(wǎng)絡(luò)事件調(diào)查手冊(cè)》，為事件調(diào)查提出了完善的可行性方案。

該手冊(cè)文件包含了一份在企業(yè)或組織中創(chuàng)建獨(dú)立審查委員會(huì)的指南，從決定誰(shuí)應(yīng)該成為委員會(huì)成員到向相關(guān)方展示調(diào)查結(jié)果。這些小組的任務(wù)是收集有關(guān)網(wǎng)絡(luò)安全事件的事實(shí)，然后與更廣泛的網(wǎng)絡(luò)安全社區(qū)在線共享這些信息。目前，該文檔在 GitHub 上可用。

6. 惡意軟件瞄準(zhǔn)求職者

普華永道的兩名威脅情報(bào)專(zhuān)家表示，全球威脅行為者正在通過(guò)網(wǎng)絡(luò)釣魚(yú)鏈接攻擊在線求職者。黑客通過(guò)創(chuàng)建虛假網(wǎng)站、虛假的社交媒體資料，發(fā)布虛假的職位，向受害者提供惡意鏈接和文件附件。

專(zhuān)家建議求職者不要點(diǎn)擊陌生電子郵件或LinkedIn 消息中的鏈接，尤其是在職但準(zhǔn)備跳槽的求職者，如果因此中招惡意軟件并感染了公司網(wǎng)絡(luò)，會(huì)讓自身在公司的處境變得格外難堪。

7. 初創(chuàng)公司忽視安全

會(huì)議期間，一項(xiàng)關(guān)于提高漏洞獎(jiǎng)勵(lì)方法的黑帽簡(jiǎn)報(bào)似乎提醒人們，許多快速發(fā)展的初創(chuàng)公司并沒(méi)有將安全納入其早期發(fā)展計(jì)劃。Luta Security 創(chuàng)始人兼首席執(zhí)行官 Katie Moussouris 講述了她是如何在去年發(fā)現(xiàn)Clubhouse 應(yīng)用程序中的嚴(yán)重漏洞，并花了大量精力才使對(duì)方公司注意的艱難歷程。她坦言：“我花了幾個(gè)星期才找到合適的聯(lián)系人?！?/p>

8. Apple 安全性漏洞

Mac 比 PC 安全是一條近乎公認(rèn)的真理，每次對(duì) macOS 進(jìn)行更新時(shí)，安全層都會(huì)不斷增加，但并非操作平臺(tái)的每個(gè)組件都跟上這些安全升級(jí)。一位研究人員通過(guò)長(zhǎng)期深入研究 macOS，提出了一種進(jìn)程注入攻擊，使他能夠繞過(guò)所有這些安全層。他演示了使用這種攻擊來(lái)逃避沙箱、提升權(quán)限并繞過(guò)系統(tǒng)完整性保護(hù)系統(tǒng)。安全漏洞在macOS Monterey中已修復(fù)，甚至可以向后移植到 Big Sur 和 Catalina，但在每個(gè)應(yīng)用程序都進(jìn)行簡(jiǎn)單調(diào)整之前，它不會(huì)完全關(guān)閉。

9. ELAM的兩面性

微軟正在盡最大努力使 Windows 更加安全，但有時(shí)安全工作可能會(huì)適得其反。Early Launch Antimalware (ELAM) 系統(tǒng)允許安全程序在啟動(dòng)過(guò)程中進(jìn)行超前啟動(dòng)，并保護(hù)它們免受所有篡改。受微軟的批準(zhǔn)政策，ELAM 驅(qū)動(dòng)程序無(wú)法偽造或用戶(hù)自行調(diào)整，但一位研究人通過(guò)現(xiàn)有的批準(zhǔn)規(guī)則不嚴(yán)格的驅(qū)動(dòng)程序中找到了一個(gè)漏洞，其結(jié)果是某惡意程序不僅可以進(jìn)入ELAM提供的“安全掩體”，還可以破壞其中的防病毒程序。

10. 漏洞獵人的危機(jī)

成為安全漏洞獵人往往讓人心生羨慕，可以通過(guò)報(bào)告嚴(yán)重的安全漏洞而獲得高達(dá)六位數(shù)的獎(jiǎng)金，但光鮮的背后，也可能被起訴或被指控犯罪。最近的政策變化保護(hù)了那些誠(chéng)實(shí)的黑客，但它們并沒(méi)有解決一個(gè)特定的問(wèn)題：在收集信息來(lái)證明報(bào)告的漏洞時(shí)，獵手通常會(huì)捕獲大量個(gè)人信息記錄，如果因此而被起訴，獵手可與律師合作尋求最佳的解決方案。

11. 汽車(chē)鑰匙的重放攻擊

使用筆記本電腦和合適的設(shè)備可以輕松記錄和回放無(wú)線電信號(hào)，這就是為什么汽車(chē)鑰匙采用了滾動(dòng)編碼系統(tǒng)，每按一次按鈕就會(huì)發(fā)出不同的信號(hào)，一個(gè)預(yù)先錄制的信號(hào)不會(huì)起任何作用。然而，研究人員發(fā)現(xiàn)，對(duì)于一些汽車(chē)來(lái)說(shuō)，多個(gè)舊信號(hào)可以使?jié)L動(dòng)代碼系統(tǒng)回滾，讓攻擊者打開(kāi)車(chē)門(mén)。不僅如此，研究人員發(fā)現(xiàn)這種沒(méi)有時(shí)間限制，舊的代碼在被捕獲后超過(guò)100天仍被接受。

12. 使用 Zoom IM 放大惡意軟件

自新冠疫情大流行開(kāi)始以來(lái)，Zoom已成為遠(yuǎn)程辦公、視頻聊天的重要工具。事實(shí)證明，Zoom的即時(shí)通訊是建立在XMPP上，一位研究人員構(gòu)建出出了多種濫用XMPP的方式，從而最終實(shí)現(xiàn)在目標(biāo)計(jì)算機(jī)上進(jìn)行遠(yuǎn)程代碼執(zhí)行。

13. 欺騙跟蹤設(shè)備

將位置報(bào)告標(biāo)簽附加到目標(biāo)身上時(shí)，跟蹤就變得輕而易舉，但這類(lèi)系統(tǒng)很容易被濫用。會(huì)上，安全研究人員展示了一種針對(duì)基于超寬帶 ( UWB ) 無(wú)線電技術(shù)跟蹤系統(tǒng)的新型攻擊，能夠在目標(biāo)不知情的情況下實(shí)現(xiàn)跟蹤，甚至使目標(biāo)看起來(lái)按照攻擊者的意愿移動(dòng)。UWB 已被用于包括蘋(píng)果公司在內(nèi)的多個(gè)公司的產(chǎn)品中，甚至也被用于大型基礎(chǔ)設(shè)施項(xiàng)目，例如紐約的地鐵信號(hào)設(shè)施系統(tǒng)。

14. 俄烏網(wǎng)絡(luò)戰(zhàn)，電網(wǎng)成打擊目標(biāo)

俄烏爭(zhēng)端和該地區(qū)持續(xù)的戰(zhàn)亂已成為黑帽會(huì)議多次演講的主題，來(lái)自鄰國(guó)斯洛伐克的安全公司 ESET 的研究人員向與會(huì)者介紹了對(duì)烏克蘭電網(wǎng)的攻擊時(shí)間表，如果最近使用的Industroyer2惡意軟件成功實(shí)施攻擊，可能會(huì)導(dǎo)致 200 萬(wàn)居民斷電。

有趣的是，Industroyer2 使用“Wiper”惡意軟件使受感染的機(jī)器無(wú)法使用，從而減慢了恢復(fù)工作。SentinelOne 的研究人員 Tom Hegel 和 Juan Andres Guerrero-Saade 指出，這一做法也意味著攻擊者必須放棄對(duì)受感染機(jī)器的訪問(wèn)權(quán)限。他們分析了可觀察到的網(wǎng)絡(luò)攻擊，并強(qiáng)調(diào)很難得出結(jié)論，因?yàn)闄z測(cè)到的可能只是實(shí)際攻擊發(fā)生的一小部分。

Industroyer 和 Industroyer2 的一個(gè)重要部分是使用可以與變電站中的斷路器和其他機(jī)制進(jìn)行通信的工業(yè)協(xié)議。最初的 Industroyer 配備了4個(gè)協(xié)議，但 Industroyer2 只使用 IEC-104 協(xié)議。該協(xié)議用于許多電網(wǎng)且很容易受到攻擊，因?yàn)樗菐资昵霸O(shè)計(jì)的，已經(jīng)沒(méi)有安全性可言。

參考來(lái)源：??The 14 Scariest Things We Saw at Black Hat 2022??