Briefing o čiernom klobúku: budovanie miliónu botnetov prehliadača za lacné

Ak chcete vytvoriť botnet, musíte nájsť spôsob, ako prevziať kontrolu nad tisíckami počítačov a ohnúť ich podľa svojej vôle. To je ťažká práca, však? No, nie. V prezentácii na Black Hat v Las Vegas Jeremiah Grossman, zakladateľ a CTO spoločnosti WhiteHat Security a Matt Johansen, manažér Centra pre výskum hrozieb spoločnosti WhiteHat, odhalili mimoriadne jednoduchý spôsob, ako môže niekto ovládať tisíce alebo dokonca milióny prehliadačov.

Grossman odštartoval s nadšením a povedal: „Na tom pracujeme šesť mesiacov a my sa veľmi radi predstavíme. Toto pôjde rýchlo a budeme sa baviť. Prelomíme prehliadače a použijeme ich na rozbitie webových stránok.."

Sila webu

Grossman pokračoval v poznámke: „Web má takmer úplnú kontrolu nad vaším prehliadačom, pokiaľ ste pripojení. Všetko, čo robíme v našej ukážke, nič hackujeme. Používame web tak, ako to malo slúžiť. byť použitý." Johansen dodal: „Ospravedlňujem sa, nemáme riešenie.“

Prezentácia preskúmala veľké množstvo spôsobov, ako webové stránky môžu subvert váš prehliadač jednoducho pomocou riadku alebo dvoch Javascriptu, alebo dokonca jednoduchú (ale vylepšenú) HTML požiadavku. „Ovládame prehliadač bez útokov v nultý deň, “ povedal Grossman, „a máme úplnú kontrolu.“

Ilustráciu so snímkou ​​znázorňujúcou jednoduchý jednoduchý kód povedal: „Môžeme prinútiť váš prehliadač, aby prelomil inú webovú stránku, stiahol nelegálne súbory z torrentov, uskutočnil trápne vyhľadávanie, uverejnil urážlivé správy, dokonca hlasoval pre Eda Snowdena ako časovej osoby roku."

Milión prehliadača Botnet

To všetko bol len úvod do prezentovaného výskumu. Johansen a Grossman vymysleli veľmi jednoduchý útok na odmietnutie služby a testovali ho na svojom vlastnom serveri. Dokonca to demonštrovali v reálnom čase počas Black Hat. Tento konkrétny útok neurobil nič iné ako preťaženie servera požiadavkami na pripojenie, ale použitá technika mohla urobiť viac, oveľa viac. A všetko, čo museli urobiť, bolo minúť pár dolárov na umiestnenie reklamy obsahujúcej útok.

„Niektoré reklamné siete v reklame umožňujú ľubovoľný jazyk Javascript, “ povedal Grossman, „a niektoré nie.“ Tím nemal problémy s nastavením útoku na Javascript. „Recenzenti reklamných sietí neboli schopní čítať ani sa o Javascript starať, “ povedal Johansen. „Skutočným problémom bolo vytvorenie obrázkovej reklamy, ktorá vyzerala pekne a vyzerala ako reklama.“

Tím bol spočiatku spomalený potrebou opätovného schválenia z reklamnej siete zakaždým, keď zmenili kód Javascript. Vyriešili to tak, že kód presunuli na svojho hostiteľa a jednoducho ho zavolali z kódu reklamy. Tento krok nechal reklamnú sieť úplne nevidieť, čo by kód mohol urobiť; Nezdalo sa, že by ich to zaujímalo.

Akonáhle povolili kód útoku, začal sa spúšťať vo všetkých prehľadávačoch. Zakaždým, keď niekto prešiel na stránku obsahujúcu reklamu, začal sa vytvárať spojenia so serverom obete. Server nedokázal vydržať zaťaženie; zlyhalo.

Všetky prehliadače ukladajú limit na počet súčasných pripojení. Johansen a Grossman našli spôsob, ako zvýšiť limit Firefoxu zo šiestich na stovky. Ukázalo sa, že ich jednoduchý útok bol úplne efektívny aj bez tohto zapnutia, takže ho nepoužili.

Koho problém opraviť?

„Tento útok nie je trvalý, “ povedal Grossman. „Neexistuje žiadna stopa. Spravuje to zobrazovanie reklám a zmizne. Kód nie je šialený fantasticky, iba používa web tak, ako má fungovať. Takže, ktorého problémom je opraviť?“

Rovnaká technika by sa mohla použiť na spustenie distribuovaných výpočtov prostredníctvom Javascriptu, napríklad na hrubé vynútenie crack hesla a hashe. „Pokúsime sa to popraskať na ďalší Black Hat, “ povedal Grossman. „Koľko môžete crackovať za každých 50 centov za platené zobrazenia stránky?“

Prezentácia zanechala účastníkom znepokojujúcu myšlienku, že opísaný útok používa web presne tak, ako sa má používať, a my naozaj nevieme, za akú zodpovednosť by mala byť oprava. Grossman v minulosti povedal, že ak chceme web opraviť, musíme web rozbiť. Mohol by mať pravdu? Dokážeme prežiť reštart celého internetu?

Nezabudnite sledovať SecurityWatch pre ďalšie novinky z Black Hat 2013.