1. Virus ontleden

Beveiligingsspecialist Tom Parker en cryptograaf Nate Lawson ontleedden het Stuxnet virus. Uit hun onderzoek blijkt dat de auteurs van het virus erg amateuristisch zijn, wat er volgens de twee onderzoekers op zou wijzen dat het ongedierte niet door een Westerse staat zou zijn ontwikkeld. Dat is in tegenstelling tot de vaak herhaalde bewering dat het virus afkomstig zou zijn van de Amerikaanse of Israëlische staat.

Cryptograaf Lawson zegt te hopen dat het virus niet door de VS is ontwikkeld, omdat hij toch wel wil geloven dat de ontwikkelaars van cyberwapens in ieder geval al bekend zijn met informatie waar Bulgaarse tieners in 1990 al over beschikten. Zowel Parker als Lawson hebben vooral hun twijfels bij de applicatie die gebruikt wordt om de kwaadaardige lading van het virus op een computer te zetten. Vanuit die computer verspreidt het virus zich dan naar de systemen die het plat moet leggen.

De twee denken dat er twee groepen hebben samengewerkt aan Stuxnet. De code van Stuxnet zelf en de exploits zouden door een ervaren en talentvolle groep zijn ontwikkeld. Een minder ervaren groep programmeurs zou tegelijkertijd de applicatie hebben schreven die een computer met het virus besmet. Volgens Parker zouden de programmeurs van die tool zich moeten schamen voor de kwaliteit van hun code.

2. Mobiele telefoons afluisteren

Het afluisteren van alle mobiele telefoons in een bepaald gebied wordt steeds groter. Twee beveiligingsonderzoekers laten bijvoorbeeld zien dat het met een budget van 10.000 dollar (6893 euro) al mogelijk is om een GSM-basisstation op de kop te tikken. Kwaadwillenden kunnen met dat station uitzenden en zo al het data- en spraakverkeer wat er langs komt stelen. Telefoons maken automatisch contact met het valse basisstation. Dat kan omdat de oudere standaarden GSM, GPRS en EDGE geen authenticatie van twee kanten gebruiken.

Ook de Luxemburger Ralf-Philipp Weinmann misbruikt een basisstation om zijn doel te bereiken. Hij luistert echter niet alleen mobiel verkeer af, maar hackt ook de baseband processor in een telefoon. Die processor zorgt voor de communicatiesystemen in het toestel. Als die baseband processor eenmaal gehackt is, heeft een kwaadwillende alle controle over een telefoon en hoeft hij niet langer een basisstation te gebruiken om iemand af te luisteren. Met name iPhones en Android-toetellen zouden hier vatbaar voor zijn.

Mogelijk dat het ook mogelijk is om een erg goedkoop zelfgebouwd bassistation te gebruiken. Een hacker toonde dat vorig jaar op de conferentie Defcon in Las Vegas.

3. Beveiliging kraken met de cloud

Het is al langer bekend dat het door gebruik te maken van grafische processors in de cloud van Amazon vrij eenvoudig is om wachtwoorden te kraken. De Duitse hacker Thomas Roth bewees dat in november door wachtwoorden die opgeslagen waren met de veelgebruikte maar verouderde encryptiemethode SHA-1 te kraken.

Vorige week herhaalde hij die methode door het voor hem onbekende WPA-wachtwoord dat de WiFi-verbinding van zijn buurman met diezelfde Amazon cloud te kraken. Roth demonstreert zijn vindingen vandaag voor het eerst op Black Hat. Bovendien brengt hij later vandaag een open-source tooltje uit waardoor het voor iedereen mogelijk is om WiFi-verbindingen in de cloud te kraken.

Roth wil hiermee aantonen dat het gebruik van eenvoudige wachtwoorden op zo’n verbinding niet aan te raden is. Die zouden namelijk binnen 6 minuten te kraken moeten zijn. De processorcapaciteit kost een hacker 28 dollarcent per minuut.

4. Terughacken

Black Hat is van oudsher ook een conferentie waar veel aandacht besteed wordt aan het beter beveiligen van systemen. Hackers doen dat niet alleen door beveiligingsproblemen aan te tonen, maar ze geven ook specifieke tips om inbrekers tegen te houden.

Zo gaf de hacker Matthew Weeks gisteren tips om hackers die gebruik maken van de tookit Metasploit terug te pakken. Metasploit is een framework waarin duizenden exploits voor verschillende applicaties en besturingssystemen zitten. Daarmee maken hackers het zichzelf een stuk eenvoudiger om in te breken op systemen, zonder dat ze zelf naar gaten hoeven te zoeken. Weeks heeft wel ontdekt dat er gaten in Metasploit zitten.

Weeks legt uit hoe systeembeheerders deze halve scriptkiddies een lesje kunnen leren. Door gebruik te maken van de gaten in Metasploit zelf kan de hacker uiteindelijk de gehackte worden, maar het is volgens Weeks ook gewoon leuk om deze inbreker eerst even flink te verwarren.

5. Mobieltjes met ARM overnemen

De Israëlische beveiligingsspecialist Itzhak Avraham ontdekte dat alle ARM-processors erg vatbaar zijn voor een buffer overflow. Door een programma buiten de toegewezen bufferruimte te laten schrijven is het mogelijk om een apparaat met zo’n processor over te nemen. Aangezien bijna alle mobiele apparaten tegenwoordig op ARM draaien, kan dat erg aantrekkelijk zijn voor kwaadwillenden.

Avraham laat zien hoe zijn vinding met behulp van de applicatie Ret2ZP uitgevoerd wordt op een Android telefoon. In de standaardsoftware die op de telefoons met dat besturingssysteem wordt geleverd zit namelijk een applicatie die vatbaar is voor een buffer overflow. Met behulp van die applicatie kan een Android telefoon ook van buitenaf overgenomen worden.

De Israëliër legt het publiek vandaag ook uit hoe toestellen met ARM nog steeds te kapen zijn als er in de toekomst betere preventie tegen buffer overflows wordt toegepast, zoals de NX-bit die op x86-processors inmiddels normaal is.

6. Macs te grazen nemen

De hackers Dino Dai Zovi en Vincenzo Iozzo laten in een demonstratie live zien hoe ze bugs in Apples besturingssysteem Mac OS X kunnen misbruiken. Ze geven enkele voorbeelden van bekende en onbekende exploits in het besturingssysteem, waaronder een bug waarmee het mogelijk is om een gebruiker meer rechten te geven. Ook tonen de onderzoekers een bug waardoor iemand via Safari remote toegang kan krijgen tot het systeem.

De twee gaan uitgebreid in op iedere stap die nodig is om controle te krijgen over een systeem en laten het publiek live meedoen. Vanzelfsprekend hadden de bezoekers die mee wilden doen wel een Apple computer met Snow Leopard nodig.

Het is opvallend dat de hackers een aantal onopgeloste exploits in de laatste versie van Mac OS X vonden. Het desktopbesturingssysteem van Apple staat namelijk bekend als erg veilig, maar blijkt toch niet waterdicht te zijn. Veel gebruikers hebben bovendien geen beveiliging op hun computer staan, waardoor ze extra vatbaar zijn voor inbrekers. McAfee voorspelde daarom eind vorig jaar al dat de aanvallen op Mac OS X dit jaar heviger zouden worden.

7. Spelen in Apples zandbak

Dat laatste blijkt op Black Hat niet alleen uit de demonstratie van Zovi en Iozzo. Er wordt namelijk ook steeds meer bekend over de sandbox waar bepaalde serverapplicaties voor Mac OS X en alle applicaties op de iPhone in draaien. Onderzoeker Dionysus Blazakis geeft de bezoekers van Black Hat een uitgebreide ‘rondleiding’ door de binnenste delen van de sandbox.

Door die informatie wordt het voor onderzoekers en ontwikkelaars van exploits eenvoudiger om de sandbox op Macs en iOS-toestellen te omzeilen. Blazakis geeft bovendien een tooltje vrij waarmee het nog eenvoudiger wordt om extra informatie over de sandbox en de gebruiksrechten op het apparaat te krijgen.

Apparaten met iOS, zoals de iPhone en iPad, worden veiliger geacht dan bijvoorbeeld hun concurrenten met Android omdat alle applicaties in een beveiligde omgeving draaien. Als die sandbox ook gekraakt kan worden, is dat voordeel weg.