【隨行小編報導】趨勢科技贊助HITCON 戰隊出征世界最大駭客競賽DEF CON CTF(下)

由於去年HITCON戰隊以黑馬之姿取得第二名的好成績,HITCON戰隊在今年DEF CON CTF決賽成為眾多強隊鎖定的攻擊對象,而來自韓國的強隊DEFKOR更是韓國政府頃全國之力,發起BoB(Best of Best) 資安菁英人才培訓計畫所栽培出的菁英隊伍。

雖然今年HITCON戰隊實力較去年成長相當多,不過世界各國強隊實力也快速增長,成員一直努力不懈奮戰到最後一刻,無論面對多緊急的賽況都能臨危不亂、發揮團隊精神持續專注爭取積分,成功擊敗來自中國、美國等11支強隊勇奪第四名!

 

  • DEF CON CTF介紹

相信大家都很想知道CTF為何這麼有魅力、這麼重要呢?

Capture The Flag (CTF)是資訊安全領域的駭客攻防競賽,演變至今不僅比拼的是駭客攻防的技術,甚至包含全方位的電腦科學技術,包括系統安全、演算法、密碼學以及程式設計功力,這類競賽能培訓高階資安人才,讓他們有一較高下的舞台,發展自今有兩種較常見的比賽模式Jeopardy 和 Attack and Defense。

DEF CON CTF是Attack and Defense形式,主辦單位會為所有參加的隊伍準備需要守護的伺服器,這台伺服器上會有網站系統、遊戲或其他特殊用途的服務。每個服務都有數個漏洞,漏洞可能只是簡單的資訊洩露或阻斷服務; 也可能是一個嚴重的漏洞讓客戶端可以在伺服器上執行任意指令。參賽的隊伍需要做的事情就是守護好自己的伺服器,打進對手的伺服器偷取Token來得分。通常這類駭客競賽都是長達兩三天的競賽,因此除了須具備技術實力外,還要拼體力,對於選手們是相當具挑戰性的考驗。

2015 DEF CON CTF攻防實況

本屆DEFCON CTF比賽時間長達51小時,從8/7上午11點打到8/9下午2點。上午11點到晚上8點開放各隊派出8名選手於場內比賽,這段時間可進行攻擊;而晚上8點到隔天上午11點間,各隊選手只能修補自身漏洞、分析他人攻擊流量。如在此段時間內找到敵隊的漏洞,即有機會於隔天開賽進行攻擊並取得積分。

1

 

看完了DEF CON CTF介紹,相信大家都知道這場競賽難度有多高、有多重要,而HITCON戰隊又將為台灣資安界帶來什麼樣的傳說呢?

  • DEF CON CTF 第一天賽事

8/7一大早,團隊成員依舊是一臉淡定的現身會場,在10點到11點進行設備架設後,11點終於正式開打了!

HITCON戰隊在第一天的賽事中反應相當迅速,雖然沒在第一時間找到漏洞,但修補漏洞的速度快,藉由快速分析對方流量,加以利用取得積分並與其他隊伍拉開差距。HITCON戰隊與韓國隊伍DEFKOR成為唯二兩支於第一天下午率先得分、維持分數正成長的隊伍,在第一天賽事結束時,以第二名之姿領先群雄。(CTF為攻防戰,在攻擊別人取得積分時,也可能被對手找到漏洞失去分數)

2

 

  • DEF CON CTF 第二天賽事

第一天晚上八點後,選手們一返回房間即進行戰術討論、漏洞分析與修補,不眠不休找尋其他服務的漏洞,於第二天開賽時進行攻擊,成功於第二天開賽30秒內取得First Blood,維持第二名領先優勢!

3

 

 

4

 

繼續閱讀

未來學(FuTuRology):一窺熱門技術的威脅

你覺得資安環境會在未來兩年或三年後演變成什麼樣子?

趨勢科技前瞻性威脅研究團隊這樣的研究小組在腦力激盪的活動方面,最感到興奮的就是要去預測未來。我們無法知道將會發生什麼,但根據我們所擁有的數據可以讓我們做出推測。讓我們可以預測未來。這樣的腦力活動就是我們所說的「未來學」。

「未來學」一開始是嘗試去解決醫療產業未來的思考活動,它可能會如何發展而容易遭受攻擊。我們了解到這也可以應用在像交通、科技、農業等其他重要產業上。

這是「未來學」系列文章的第一篇,專注在預測熱門技術所可能面臨威脅。我們將在下一篇中深入醫療課題,但今天我們會關注在預測行為上。

聽起來不錯?讓我們進行下去。

 

預測和「黑天鵝」

為了預測未來的攻擊,我們需要知道現有的技術會如何發展。我們都知道惡意分子會追著使用者跑。比方說在趨勢科技對2015年及之後的安全預測中,我們基於現在網路犯罪分子對行動平台的興趣而預測他們會如何發現更多的漏洞。今年過了一半,果真看到了三星SwiftKeyApache Cordova和其他漏洞的出現。 繼續閱讀

Ashley Madiso的性、謊言和資料外洩故事,給企業的啟示與四個具體建議

媒體可能會報導資料外洩事件,但人們的興趣往往只持續一兩個禮拜,之後就歸於平靜。但最近的Ashley Madison 資料外洩事件,是個例外,這個鼓勵偷情的網站與名為 Impact Team的駭客組織對峙長達一個月。

延伸閱讀:》駭客給偷情網站的警告:關閉網站,否則公布 3700萬男女風流帳

七月,Ashley Madison 成為資料外洩的受害者。發動攻擊的 Impact Team要求該網站和其他相關網站永久關閉。駭客接著披露片段帳號資料及公司資料,其中包括了公司內部的伺服器。

got-hacked IT MIS 企業 駭客 被駭 資料外洩

該駭客團體對其威脅說到做到,帳號資料很快就流入了深層網路。被洩露的資料有幾個可探討之處。例如有15,000個帳號使用了.mil或.gov的電子郵件地址。整理了郵件地址後,其他媒體發現工作用郵件地址被大量的用在帳號中。
》延伸閱讀:偷情網站3700萬名會員名單曝光,猜猜香港、台灣以政府機關網址登記的會員有多少?

(有趣的是,上述外洩的資料證明該網站實行其他網站所沒有的安全措施。例如,用某種形式的加密來儲存密碼,而非只使用明文。) 繼續閱讀

從Hacking Team 資料外洩,回顧目前為止的 2015漏洞

2015年到目前為止對資安研究人員來說普遍處在忙碌狀態,尤其是 Hacking Team 資料外洩事件,導致多個零時差漏洞披露,以及討論不法買賣漏洞攻擊碼與「工具」的電子郵件流出,為資安環境投下了震撼彈。

網路犯罪分子一直都在努力地整合這些新漏洞到自己的「產品」內以試圖加駭更多人;同時各家廠商也在努力地提供使用者安全更新,現在讓我們回顧目前為止的 2015漏洞。

零時差攻擊

到 2015年七月底止,趨勢科技研究人員發現並揭露了 26 個漏洞
8個零時差漏洞中有兩個已被 APT 攻擊利用

正如今年早些時候所提到,使用OS X、iOS、Android和Flash Player的風險已經增加。趨勢科技的研究加上 Hacking Team 資料外洩反映了此一趨勢。到2015年七月底止,趨勢科技的研究人員發現並揭露了26個漏洞;8個是零時差漏洞。

零時差漏洞中有兩個已被用來發動 APT攻擊,包括Pawn Storm攻擊活動及在韓國和日本的攻擊。透過監視熱門漏洞攻擊包和趨勢科技產品的反饋資料發現了兩個Flash零時差漏洞(CVE-2015-0311CVE-2015-0313)。四個零時差漏洞被發現是 Hacking Team流出資料的一部分,後來證實至少有一個(CVE-2015-5122)很快就被整入漏洞攻擊包中。截至今年七月,各研究者在常用的桌面應用程式共發現了15個值得注意的零時差漏洞,其中有8個是由趨勢科技的研究人員所發現。

 

圖1、2015年趨勢科技所發現零時差和重大漏洞的時間軸

 

以下是趨勢科技在2015年至今所發現的漏洞列表,受影響軟體以及相關的廠商公告。以粗體顯示的為零時差漏洞:

繼續閱讀

汽車聯網安全嗎?

你在五年前可以想像到你所開的汽車有著比登陸月球的阿波羅11號更強的運算能力嗎?你能想像這些擁有最先進車身結構、安全氣囊和防鎖死系統以防止發生事故的汽車,卻沒有足夠的網路安全防護嗎?不幸的是,這是我們現在所要面對的現實。防護物聯網(IoT ,Internet of Things)和聯網汽車已經成為黑帽駭客大會的一大主題。

red car

高速前進的科技往往超越網路安全措施。我們在電腦軟體和智慧型手機應用程式上已經看到因為商業迫切需求而匆匆上架的商品。不幸的是,新一代聯網汽車似乎也面臨同樣的狀況 – 產品匆促推出卻帶有潛在的嚴重軟體缺陷。跟智慧型手機應用程式不同的是,這些漏洞可能會危及人身安全。

在黑帽駭客大會上研究人員Charlie Miller和 Chris Valasek 展示對 Jeep Cherokee休旅車進行攻擊,示範如何透過車上的無線上網系統 Uconnect 取得入侵路徑。他們聲稱能夠遠端控制引擎和剎車,所需的只是汽車的公共IP地址。

趨勢科技已經研究這塊網路安全新興領域有一段時間了。我們最近發現攻擊者可以輕易地進入Skoda汽車的SmartGate系統,該系統讓車主可以讀取車輛數據(包括速度和油耗)。駭客所需的是保持在汽車50英尺範圍內,辨識其無線網路並破解密碼。在真實世界的測試裡,我們能夠用每小時30到40公里的速度跟在汽車後面來破解密碼。Wi-Fi Direct 也讓駭客更容易確認密碼。

雖然這漏洞不大可能造成司機的人身危險。但沒有幾個Skoda車主會樂意知道因為車上電腦系統的設計不良可能導致被網路犯罪分子所跟蹤。

很明顯地,當提到汽車網路安全時,我們才剛剛起步,我期待可以聽到更多像這次在黑帽駭客大會這樣吸引人的研究。 繼續閱讀