Одной из самых ярких ИТ-конференций уходящей весны стала Positive Hack Days – крупнейшая хакерская встреча, проводящаяся вот уже шестой год. 17 мая с лёгким сердцем и тяжёлой зеркалкой наперевес я оказался на открытии форума, посвящённого практическим аспектам защиты и взлома.
В день открытия PHDays VI у входа в Центр международной торговли Москвы собралась внушительная толпа. Организаторы позже подсчитали, что пришло более 4200 человек.
Форум шёл два дня и проводился одновременно на двух этажах. Параллельно были организованы выступления в пяти залах, многочисленные соревнования и конкурсы. Даже за полчаса до их начала порой было физически не подойти к выбранной локации. Люди сидели на полу между рядов и стояли плотной стеной ещё на дальних подступах в коридоре. Поэтому часто приходилось проникать через заднюю дверь, применять социальный инжиниринг, а то и просто снимать поверх голов, когда периметр надёжно охранялся.
Поговорка «в тесноте, да не в обиде» оказалась здесь весьма точной. С докладами и практическими демонстрациями обычно выступали сами исследователи, разработавшие методики реверс-инжиниринга закрытых систем, способы перехвата управления чего угодно, а также обнаружившие любопытные уязвимости, написавшие эксплоиты, фреймворки, защитные утилиты и прочий специфический софт.
Разумеется, на конференции был Wi-Fi, и даже в избытке.
Многие посетители подключались к общедоступным сетям сразу после подробного доклада о том, какие они могут представлять угрозы.
Особенно забавно было наблюдать, что на хакерскую тусовку некоторые пришли с ноутбуками, на которых были настроены админские расшары и открыты все порты. Поначалу я решил, что это honeypots, но мёд в них был какой-то неправильный.
Просто сканируя сети файловым менеджером со смартфона можно было найти много любопытного, но всё же самое интересное происходило в оффлайне. Прямо в холле напротив стойки регистрации отгородили место для конкурса CAR4ALL. В ходе него предлагалось взломать автомобиль BMW.
Как и большинство современных машин, BMW M5 – это целая локальная сеть на колёсах. Бортовой компьютер и множество микроконтроллеров объединены в ней между собой, а также со всевозможными датчиками и актуаторами по шине CAN, доступной через диагностический интерфейс. С помощью утилиты CANToolz можно получить дамп передаваемых по шине данных, выделить из них управляющие команды и отправить их как будто со штатных органов управления.
В ходе демонстрации метода с ноутбука заводили двигатель машины, разблокировали двери, опускали стёкла, включали фары и продолжали издеваться не столько над машиной, сколько над потерявшим управление водителем. Подробнее о конкурсе и возможностях утилиты смотрите в блоге разработчика CANToolz Алексея Синцова.
Общая информативность докладов на PHDays была высокой, хотя на их полную эксклюзивность рассчитывать не приходилось. Многие частично повторяли свои презентации с пятой конференции ZeroNights. Например, Эмиль Олейников вновь выступал с известной презентацией как автор отечественной разработки EAST Framework – основы для пентеста промышленных и медицинских систем.
Этот фреймворк интересен в первую очередь своими русскими корнями и лёгкостью использования. Он написан на Python и является кроссплатформенным. При его создании был сделан акцент на блочной архитектуре и простоте добавления своих модулей. В отличие от популярных аналогов зарубежного происхождения (Metasploit, CoreImpact, Canvas), EAST даёт возможность использовать полностью доверенный и относительно легко верифицируемый код, проще добывать и писать собственные эксплоит-паки.
Крупные компании всегда ищут новые таланты, и атмосфера форума для этого подходила как нельзя кстати. Молодых исследователей всегда выдают их вопросы и неподдельная заинтересованность, но ничто не говорит об их уровне так как демонстрация практических навыков.
Поэтому параллельно с выступлениями проходили многочисленные конкурсы по взлому. В конгресс-зале один из них был как раз посвящён промышленным системам (SCADA / АСУ ТП). Показать свои навыки предлагалось на разных макетах. Например, на стендах EAST4SCADA и CIA:Blackout очень наглядно воссоздавались объекты городской инфраструктуры. Весь хард был игрушечными, а вот софт – настоящим. По заданию атаковать нужно было электростанцию и другие ключевые объекты.
Пока все системы защиты были активны и настроены на максимально жёсткие правила, конкурсантам не удавалось прорваться дальше DMZ. Возможно, при запасе в несколько дней они и сумели бы найти обходные пути, но долговременные атаки выходили за рамки конкурса. Поэтому организаторы пошли навстречу и смоделировали более реалистичный сценарий – с админом-оптимистом и не самыми безопасными настройками.
После частичного отключения модулей защиты одному из участников конкурса Critical Infrastructure Attack: Blackout удалось войти в корпоративную сеть, а через неё попасть в технологическую подсеть АСУ ТП. Просканировав её, он обнаружил терминал удалённого управления трансформатором электростанции с открытым портом TCP 102.
Сначала с помощью стандартного MMS-клиента на него была отправлена команда отключения оборудования и произошёл кратковременный blackout. Затем семнадцатилетний учащийся десятого класса по схожему сценарию атаки обошёл защиту протоколов управления на модели подстанции высокого (500 кВ) напряжения. Он спровоцировал на ней короткое замыкание, отдав команду отключить блокировку и опустить заземляющие ножи. Для этого он воспользовался уязвимостью SCADA-систем Siemens через доступный в интернете инженерный софт.
Из-за возгорания подстанция вышла из строя. На ГЭС автоматике пришлось отключить генераторы и произвести аварийный сброс воды. Вскоре после серии НСД макет города стал похож на съёмочную площадку фильма-катастрофы. Он оказался обесточен и затоплен.
«Сегодня уровень защищенности промышленных протоколов недостаточно высок. Поэтому злоумышленник, которому удастся получить доступ к оборудованию электрической подстанции, может нанести крайне серьезный ущерб, даже не обладая высокой квалификацией», – отмечает эксперт Positive Technologies Илья Карпов.
В перерывах между докладами и конкурсами можно было сходить в обычный бар или найти робота-бармена, который наливал нанопорцию пунша за каждую серию правильных ответов. Вопросы были простыми, а правильный ответ легко угадывался среди шуточных. Однако, чтобы наполнить таким образом хотя бы половину стакана, требовалось проявить изрядное терпение… или взломать робота вне конкурса.
Другой робот на форуме был деревянным. Он изображал гуманоидный гибрид марсохода и скворечника, раздавая визитки и демонстрируя разные эмоции. В основном он сердился, когда кто-то всерьёз воспринимал его предложение положить руку ему в рот для предсказания будущего. Жаль, что в него не уместились ни сканер отпечатков, ни шредер.
На второй день форума мне удалось побеседовать с Даном Корецким и узнать подробности о представленном им методе атаки на устройства с ОС Android. Впрочем, это уже совсем другая история.