Black Hat ve Def Con 2024’ten en iyi hackler ve güvenlik araştırmaları

Binlerce bilgisayar korsanı, araştırmacı ve güvenlik uzmanı, bu hafta Las Vegas’taki Black Hat ve Def Con güvenlik konferanslarına katıldı; bu, güvenlik topluluğu genelinde en son araştırmaları, hack’leri ve bilgileri paylaşmayı amaçlayan yıllık bir ziyaretti. Ve TechCrunch arka arkaya gösteriler hakkında rapor vermek ve en son araştırmalardan bazılarını ele almak için sahadaydı.

CrowdStrike ilgi odağı oldu ve kesinlikle istemediği “destansı başarısızlık” ödülünü aldı. Ancak şirket, işlerin karıştığını kabul etti ve küresel bir BT kesintisine yol açan hatalı bir yazılım güncellemesi yayınladıktan birkaç hafta sonra skandalla ilgilendi. Bilgisayar korsanları ve güvenlik araştırmacıları, kolay kolay unutamasalar da, büyük ölçüde affetmeye istekli görünüyorlardı.

Black Hat ve Def Con konferanslarının bir turu daha sona ererken, kaçırmış olabileceğiniz programdaki öne çıkan bazı konulara ve araştırmaların en iyilerine bir göz atıyoruz.

Ecovac robotlarını internet üzerinden sahiplerini gözetlemek için hacklemek

Güvenlik araştırmacıları, Def Con konuşmasında, Ecovacs’ın bir dizi ev tipi elektrikli süpürge ve çim biçme makinesi robotunun, yakınlardaki savunmasız bir robota kötü amaçlı bir Bluetooth sinyali göndererek ele geçirilmesinin mümkün olduğunu ortaya çıkardı. Buradan, yerleşik mikrofon ve kamera internet üzerinden uzaktan etkinleştirilebiliyor ve saldırganın robotun kulak ve kamera görüntüsü içindeki herkesi gözetlemesine olanak sağlanıyor.

Kötü haber ise Ecovacs’ın araştırmacılara veya TechCrunch’ın yorum talebine hiçbir zaman yanıt vermemesi ve hataların düzeltildiğine dair hiçbir kanıtın bulunmaması. İyi haber şu ki, saldırıya uğramış bir Ecovacs robotunun yerleşik kamerasından alınan bir köpeğin bu inanılmaz ekran görüntüsüne hâlâ sahibiz.

LockBit fidye yazılımı oyununa sızma ve elebaşını karalamanın uzun oyunu

Güvenlik araştırmacısı Jon DiMaggio ile yalnızca LockBitSupp olarak bilinen LockBit fidye yazılımı ve gasp çetesinin elebaşı arasındaki yoğun kedi fare oyunu, DiMaggio’yu kötü şöhretli hackerın gerçek dünyadaki kimliğini belirlemek için açık kaynaklı istihbarat toplamanın bir tavşan deliğine sürükledi.

DiMaggio, son derece ayrıntılı günlük serisinde, LockBitSupp tarafından kullanıldığı iddia edilen bir e-posta adresinin anonim bir ihbarı ve çetenin kurbanları için adaleti sağlamaya yönelik köklü bir arzunun teşvikiyle, sonunda adamın kimliğini tespit etti ve federal ajanlardan önce bile oraya ulaştı. hackerın Rus uyruklu Dmitry Khoroshev olduğunu söyledi. DiMaggio, Def Con’da ilk kez kendi bakış açısıyla hikayesini kalabalık bir odaya anlattı.

Hacker klavye vuruşlarınızı duyabilen lazer mikrofon geliştirdi

Ünlü bilgisayar korsanı Samy Kamkar, yakındaki bir pencereden görünmez bir lazeri hedef alarak dizüstü bilgisayarın klavyesinden yapılan her dokunuşu gizlice belirlemeyi amaçlayan yeni bir teknik geliştirdi. Def Con’da gösterilen ve Wired tarafından açıklandığı gibi bu teknik, “bilgisayardaki farklı tuşlara basıldığında oluşturulan ince akustikten yararlanıyor” ve bilgisayar korsanı, lazerden hedefe kadar görüş hattına sahip olduğu sürece çalışıyor. dizüstü bilgisayarın kendisi.

Hızlı enjeksiyonlar Microsoft Copilot’u kolayca kandırabilir

Zenity tarafından geliştirilen yeni bir hızlı enjeksiyon tekniği, Microsoft’un yapay zeka destekli sohbet robotu arkadaşı Copilot’tan hassas bilgilerin çıkarılmasının mümkün olduğunu gösteriyor. Zenity baş teknoloji sorumlusu Michael Bargury, Black Hat konferansında bu istismarı göstererek Copilot AI’nin çıktısını değiştirme isteminin nasıl manipüle edileceğini gösterdi.

Bargury, tweet attığı bir örnekte, kötü niyetli bir saldırgan tarafından kontrol edilen bir banka hesap numarasını içeren HTML kodunu beslemenin ve Copilot’u sıradan kullanıcılara geri gönderilen yanıtlarda bu banka hesap numarasını geri vermesi için kandırmanın mümkün olduğunu gösterdi. Bu, bazı popüler ticari dolandırıcılıkların temelini oluşturan, şüphelenmeyen insanları yanlış yere para göndermeleri için kandırmak için kullanılabilir.

Fidye yazılımı sızıntı sitelerindeki fidye yazılımı kusurları sayesinde altı şirket büyük fidyelerden kurtuldu

Güvenlik araştırmacısı Vangelis Stykas, düzinelerce fidye yazılımı çetesini incelemeye ve bu çetelerin kamuya açık altyapılarındaki gasp sızıntısı siteleri gibi potansiyel açıkları tespit etmeye koyuldu. Black Hat konuşmasında Stykas, üç fidye yazılımı çetesinin (Mallox, BlackCat ve Everest) web altyapısındaki güvenlik açıklarını nasıl bulduğunu açıkladı. toplam altı şirket yüklü miktarda fidye karşılığında kurtarıldı.

Fidye yazılımları iyileşmiyor, ancak kolluk kuvvetlerinin kurbanlarını şifreleyen ve gasp eden çetelere karşı kullandığı taktikler daha yeni ve ilginç hale geliyor ve bu, çetelerin ileriye dönük olarak dikkate alınması gereken bir yaklaşım olabilir.