Video: Cyber Gaming vs eSuba @ Hitpoint Winter | Den 7 (November 2024)
Na konferencii Black Hat 2014 v Las Vegas Rob Ragan a Oscar Salazar, testeri penetrácie od Bishopa Foxa, demonštrovali techniku ťažby bitcoínov v cloude, ktorá ich stojí presne… nič. V tejto chvíli stojí jeden bitcoin v hodnote 576, 57 USD. Pri takomto silnom výmennom kurze by mohla byť ťažba bitcoínov bez potreby venovať veľké výpočtové zdroje dosť lukratívna.
Nie je to presne legitímna činnosť, ale úlohou penetračného testera je hackovať systémy, aby ich opravili. Ragan poznamenal, že experiment „porušil peklo z niektorých podmienok služby“. Aby získali prístup k potrebnej spracovateľskej sile, museli vygenerovať obrovské množstvo jedinečných e-mailových adries a zaregistrovať sa na veľa bezplatných skúšobných účtov. Keď tak urobili, podarilo sa im vybudovať plne funkčný botnet na ťažbu bitcoínov. Podľa Ragana: „Tento botnet nie je označený ako malware, blokovaný webovými filtrami alebo prevzatý. To je nočná mora!“
Kopanie detailov
„Sme testeri penetrácie, “ povedal Ragan. „Na tomto projekte pracujeme minulý rok. Ukázali sme, že určite môžeme vybudovať botnet z voľne dostupných cloudových služieb. Pýtali sme sa na otázku, či je nedostatočná anti-automatizácia prehliadnutým rizikom? Malo by sa to považovať za desať najlepších? zraniteľnosť?"
„Tieto cloudové služby robia veľa rôznych vecí, “ povedal Salazar, „ale účelom je umožniť vývojárom, aby niečo okamžite spustili a spustili.“ „Vystrihne všetku legáciu a umožní vám čo najrýchlejšie zostaviť aplikáciu, “ dodal Ragan. „Platforma ako služba je komodita, ktorá je veľmi žiadaná. Ak by to však uľahčilo život vývojára, uľahčilo by to aj škodlivému útočníkovi? Presne to sme preskúmali.“
Neobmedzené e-mailové adresy
Všetci sme mali skúsenosti s registráciou na web alebo službu a bolo nám povedané, že registrácia bude dokončená, keď klikneme na e-mailový odkaz. Naši výskumníci v oblasti cestovania potrebovali spôsob, ako tento proces úplne automatizovať.
Táto relácia podrobne vysvetlila, ako sa im podarilo vytvoriť neobmedzené e-mailové účty s realistickými užívateľskými menami a širokou škálou rôznych domén. Ďalším krokom bolo nastavenie automatickej odpovede na tieto účty, aby mohli reagovať na akýkoľvek e-mail s potvrdením kliknutím na tento odkaz. Fungovalo to! V tomto okamihu mali systém na vytváranie neobmedzených jedinečných e-mailov bez interakcie človeka. Uložili všetky podrobnosti pomocou bezplatnej skúšobnej verzie MongoDB založenej na cloude. Áno, účastníci budú môcť získať všetok kód, ktorý bol použitý v tomto experimente.
Zábavné aktivity!
„Teraz môžeme robiť veci ako DDoS, ťažbu kryptomeny, ukladanie dát a ďalšie, “ povedal Ragan. „Ako tester penetrácie bolo cieľom mať distribuovaný botnet pod našou kontrolou.“ Mať krotký botnet na spustenie testov DDoS s bielym klobúkom proti ochotným klientom bolo určite cenné.
Experimentovali s tým, čo je možné, keď máte e-mailové adresy pre neobmedzený počet „priateľov“. Mnoho online úložných systémov vám dáva ďalšie gigabajty pre úspešné odovzdanie priateľov. Niektorí obmedzujú celkovú sumu, ktorú môžete získať týmto spôsobom, iní nie. „Terabajt sme dostali zadarmo pri jednej službe, “ povedal Ragan, „čo je viac, než za čo môžete zaplatiť.“
Na svojom vrchole experimentálny botanický systém LiteCoin generoval okolo 25 centov za deň na účet. S 1 000 aktívnymi účtami to predstavuje 250 USD za deň. „Nechceli sme byť škodliví, len aby sme ukázali, ako sa to darí, “ povedal Ragan, „tak sme sa zastavili. Ale počuli sme, že ľudia v krátkom čase zarobia veľa peňazí. Nechali sme niekoľko účtov bežať niekoľko týždňov len preto, aby zistili, či budú odhalené.
Anti-Automation
V priebehu experimentu niekoľko služieb revidovalo svoje systémy overovania, aby sa zabránilo automatickému vytváraniu účtov. Jeden dokonca uviedol, že dôvodom bolo šírenie botnetov.
Zmyslom tohto cvičenia bolo, samozrejme, neprinášať zle získané zisky. Teraz, keď je jasné, čo sa dá urobiť pomocou skúšobných účtov, je pravdepodobné, že poskytovatelia pridajú viac ochranných prostriedkov, aby zabránili zneužitiu svojich systémov. „Existuje veľa spôsobov, ako identifikovať ľudí bez nepríjemných používateľov, “ uviedol Ragan. Spomenul príklady vrátane logických hádaniek, overovania kreditnou kartou a dokonca aj živých operátorov. Zdá sa zrejmé, že akákoľvek služba typu cloud bez významnej anti-automatizácie bude pravdepodobne mať viac botnetov ako skutoční používatelia.
