您在 Black Hat 和 Def Con 2022 上可能错过的内容

黑客、研究人员、网络安全公司和政府官员上周齐聚拉斯维加斯参加 Black Hat 和 Def Con，这是一项网络安全双重法案，统称为“黑客夏令营”。

今年的网络聚会特别令人兴奋：它不仅标志着 Black Hat 成立 25 周年，而且也是自大流行开始以来，与会者第一次完全回到了广受欢迎的安全会议铺着地毯的走廊。这意味着在面具混乱和随后涌入的阳性测试中，黑客社区有很多事情要赶上。

我们收集了这两个节目中一些最好的公告。

Starlink 用 25 美元的自制 modchip 入侵

一位网络安全研究人员透露，使用 25 美元的设备可以侵入 Starlink 终端。比利时安全研究员 Lennert Wouters 周四在 Black Hat 的舞台上展示了​​他如何能够使用自制电路板或“modchip”破解 StarLink 的用户终端——被 Elon Musk 的 SpaceX 员工称为“ Dishy McFlatface ”。这个小工具允许进行故障注入攻击，绕过 Starlink 的安全系统，并允许访问 Starlink 原本打算锁定的控制功能。 Wouters 去年向 SpaceX 披露了该漏洞，从而在公司的漏洞赏金名人堂中赢得了一席之地。在他的演讲之后，SpaceX 回复了一份六页的论文，解释了它如何保护其系统以及固件更新，“使攻击更难执行，但并非不可能执行”。

Zoom 安装程序漏洞可在 macOS 上启用 root 访问权限

由于过去几年见证了向远程和混合工作的广泛转变，Zoom 已成为许多组织必不可少的通信工具，并安装在全球数百万台设备上。但安全研究员 Patrick Wardle 在 Def Con 的一次演讲中透露，Zoom 的 macOS 安装程序中的一个缺陷可能使攻击者获得对操作系统的最高级别的访问权限，包括系统文件和敏感的用户文档。 Wardle 发现Zoom macOS 安装程序具有自动更新功能，该功能在后台以提升的权限运行，允许攻击者通过更新功能运行任何程序并获得这些权限。尽管在 Wardle 演示时该漏洞尚未修复，但 Zoom 在周末发布的更新中修复了该问题。

乌克兰网络负责人出人意料地露面

乌克兰首席网络安全官员维克多·佐拉（Victor Zhora）对黑帽公司进行了突击访问，在那里他向与会者讲述了该国与俄罗斯冲突中的网络战状况。担任乌克兰国家特殊通信和信息保护局副主席的 Zhora 透露，自 2 月俄罗斯入侵以来，该国的网络事件增加了两倍，并补充说，截至 2022 年，乌克兰已发现 1,600 多起“重大”网络事件，包括发现Industroyer2 恶意软件，该恶意软件可以操纵电力设施中的设备以控制电力流动。

美国揭露涉嫌 Conti 勒索软件操作员

同样出人意料的还有美国国务院，它利用这个机会宣布悬赏 1000 万美元，以奖励能够识别和定位臭名昭著的俄罗斯支持的 Conti 勒索软件团伙的五名成员。该奖励是美国国务院司法奖励 (RFJ) 计划的一部分，该计划在周四分享了一张名为“Target”的知名 Conti 勒索软件运营商的图像，这标志着美国政府首次公开确定 Conti 特工。

Virtru 揭示了加密的经期跟踪应用程序原型

最近对 Roe v. Wade 的推翻引发了人们的担忧，即经期和排卵跟踪应用程序可能会被用来起诉因流产而寻求堕胎或医疗护理的人以及帮助他们的人。作为回应，以为企业和消费者提供电子邮件加密服务而闻名的 Virtru 在 Def Con展示了一款原型周期跟踪应用程序，声称可以让用户完全控制他们的私人信息。 SecureCycle 由 Virtru 员工团队在最近的一次公司黑客马拉松期间在三天内构建，它利用 OpenTDF 提供的开源端到端加密，如果任何第三方试图访问他们的数据，它将通知数据所有者。

“基本”安全漏洞造成重大 5G 风险

5G 商业网络开始推出，有望推出令人兴奋的新用例，如自动驾驶汽车、 更智能的医疗保健和智能传感器网络。但柏林工业大学的研究员 Altaf Shaik 表示，这些 5G 网络也可能带来新的安全挑战。 Shaik 和他的同事 Shinjo Park 检查了 10 家移动运营商提供的 API，这些 API 使开发人员可以访问物联网数据，并发现每个运营商都存在“基本”API 漏洞。 Shaik 告诉《连线》杂志，尽管这些缺陷很简单，但它们可能会被滥用以泄露 SIM 卡标识符、SIM 卡密钥、账单信息以及购买者的身份。

阅读有关 TechCrunch 的更多信息：

• 网络安全资金泡沫尚未破裂，但已开始缩小
• 美国财政部制裁 Tornado Cash，被指控洗钱被盗加密货币
• 黑客窃取了访问 140,000 个支付终端的密码
• Twilio 被针对互联网公司的网络钓鱼活动入侵
• 流行的 GPS 跟踪器中的安全漏洞暴露了 100 万个车辆位置
• 在 iOS 16 中使用锁定模式动手操作

原文： https://techcrunch.com/2022/08/15/black-hat-def-con-2022/