Journal Hack.lu 2014

Cher journal,

Hack.lu, c'est fini, c'était la semaine passée. Alors, je vais te faire un résumé rapide des conférences que j'ai ou dont j'ai entendu parlées qui étaient particulièrement intéressantes. Vous pouvez retrouver une partie des supports de présentation dans les archives, elles n'étaient cependant pas filmées. Je ne vais pas détailler plus que ça parce que je n'ai pas forcément vu les conférences et puis, avec Google et le titre, vous trouverez plein d'informations si le sujet vous intéresse, si vous avez des questions, n'hésitez pas à utiliser le bouton carré avec écrit « Envoyer un commentaire ». Premièrement, les lightning talks de mardi. Elles commencent avec une démonstration par Philippe Teuwen pour montrer, à ceux qui en doutait encore, que le chiffrement ECB ne cache pas grand chose et que le CBC n'est pas forcément sûr non plus. Ensuite une démonstration d'Axelle Apvrille pour cacher un apk dans une image (développé avec Ange Albertini) et contourner ainsi beaucoup de systèmes de détection.

La première conférence de mardi était faite par Filippo Valsorda qui a développé l'outil de test d'Heartbleed juste pour tester et qui s'est retrouvé submergé par les requêtes qui ne faisaient qu'augmenter au cours du temps. Il a notamment évoquer les extensions des navigateurs qui testaient les site pour vérifier s'ils étaient impactées qui, au final, lui envoyaient toute l'historique de navigation de ceux qui l'avaient installé. Ensuite, une explication sur le fonctionnement de l'application Android FinFisher par Attila Marosi, si jamais vous êtes infecté, vous pourrez la reconfigurer pour qu'elle s'autodétruise et être tranquille. Paul Jung nous a ensuite montré comment détecter l'exécution dans une machine virtuelle ou une sanbox, très utile si vous écrivez un malware ;) La conclusion est que pour éviter les virus, il vaut mieux avoir son système qui tourne en permanence dans ces environnement. Serge "sans paille" Guelton nous a parlé d'obfuscation de code Python. L'obfuscation de source n'est pas très utile dans ce langage, par contre, il existe d'autre technique pour éviter qu'on ne lise votre code trop simplement. La plus simple/efficace est de livrer un interpréteur modifié. Enfin, la journée s'est terminée avec une (longue) conférence de Xeno Kovah du MITRE explicant comment faire tourner un code en infectant l'UEFI et ayant le contrôle sur tout le système. L'exemple donnée est un programme qui scanne la mémoire en permanence à la recherche d'une signature particulière et qui exécute le code suivant cette signature. Cela veut dire qu'avec cela actif, il vous suffit d'un simple ping pour briquer le PC cible.

Dans les lightning talks du mercredi, j'ai retenu celle de Philippe Teuwen sur les élection électronique belges, quelle était le bug et le portage sous Linux du système de vote pour le vérifier. Serge Guelton nous a encore parler d'obfuscation, il s'agissait ici d'une démonstration d'Epona, un outil de d'obfuscation basé sur LLVM. Il parait aussi que la conférence sur TR-069 était intéressante. Il s'agit un protocole utilisés par les routeurs domestiques (les box des FAI) pour se mettre à jour. Beaucoup d'implémentations sont très mauvaise au point de vue de la sécurité et il facile de pousser un firmware personnel sans accès physique. Xeno Kovah est aussi revenu pour nous parler de la suite la veille, et comment éviter la détection d'un BIOS modifié et comment éviter l'évitage de détection et… j'ai fais un stack overflow :). Au final, vos PC sont destinés à être hacké et vous ne pouvez pas faire grand chose pour contrer cela. La journée s'est terminée avec la fragmentation des paquets IPv6 et comment l'utiliser pour contourner les IDS (slides) par Enno Rey, les failles ont été rapportés aux différents dévelopeurs de ceux, mais comme chez Sourcefire, ils étaient trop occupés à compter leur stock options, plutôt qu'à répondre aux failles de sécurité, on a pu assisté à un beau 0day en direct. La conclusion est que les RFC sur IPv6 sont beaucoup trop bordéliques laxistes pour avoir une pile sûre (ou même respectant la norme).

Je n'ai pas assisté aux conférences du jeudi mais il y en avait une sur Virtualbox et comment utiliser les instructions 3D pour en sortir des machines virtuelles. Saumil Shah a aussi jouer avec les images et a montré des exemples d'images qui sont aussi un fichier JavaScript valide ou même un JPEG qui est aussi du HTML et du JavaScript, une catastrophe pour la détection de comportement anormaux et le forensic d'une attaque.

Je sais c'est un peu décousu mais moi je vous retranscris ça pèle-mêle aussi.