BlackHat USA 2022

威胁棱镜 - BlackHat USA 2022 议题慢递

BlackHat USA 也是一个全球性的盛会，无需多言了。本届大会中大陆机构带来的议题一共有 9 个。如下所示，排名不分先后：

• 安恒：《The Journey Of Hunting In-The-Wild Windows LPE 0day》
• 蚂蚁金服：《DirectX: The New Hyper-V Attack Surface》
• 兰州大学：《Human or Not: Can You Really Detect the Fake Voices?》
• 360：《Another Way to Talk with Browser: Exploiting Chrome at Network Layer》
• 百度：《The Battle Against the Billion-Scale Internet Underground Industry: Advertising Fraud Detection and Defense》、《BrokenMesh: New Attack Surfaces of Bluetooth Mesh》、《Devils Are in the File Descriptors: It Is Time To Catch Them All》
• 阿里：《Ret2page: The Art of Exploiting Use-After-Free Vulnerabilities in the Dedicated Cache》
• 赛宁网安：《Is WebAssembly Really Safe? - WasmVMEscapeandRCE Vulnerabilities Have BeenFoundinNewWay》

今年议题的量也非常大，一共有近百个，笔者挑了部分感兴趣的二十余个议题看完做了这篇议题慢递。感兴趣的读者可能已经翻过一遍相关议题，没看过的可以看看这篇文章，对议题感兴趣可以去官网查看原汁原味的材料。

⭐⭐⭐⭐超大规模的神经网络模型如何应用于网络安全

Sophos 的首席科学家写过一系列与机器学习和网络安全交叉的研究文章，包括著作《Malware Data Science》（本书有中文版《基于数据科学的恶意软件分析》）。
GPT-3 可以有许多应用场景，例如：

• 将命令转化为 SOC 分析人员可读的描述性文字

• 可以训练检测恶意文档

利用自监督学习加上大规模模型，能够提供非同一般的拟合能力。例如“⽤寿司制作的美国地图，还在⼀杯红酒在旁边的桌⼦上”，不同模型参数规模下的情况：

如此大规模的模型，GitHub 也使用其进行代码生成。但是安全领域的机器学习模型仍然还很小，没有这么大：

将来这种超大规模的模型在网络安全领域的应用可能是：

• 更好地检测“未知”的攻击
• DevSecOps 中的 Auto-complete on steroids 模型
• 辅助逆向工程

• 安全运营中提供更贴近人类可理解的描述

  使用 GPT-3 检测垃圾邮件

  
  与随机森林相比还是好很多，而且训练 GPT-3 预测问题非常简单。
  

  🐷针对恶意命令生成人可读的解释

  大型企业中，安全运营人员要分析数千条可疑命令极有挑战。GPT-3 也能够用于为可疑命令生成解释，提高分析效率。
  
  还可以与 Sigma 和 Yara 规则匹配结合起来：
  
  源码可以参见：

• sophos/gpt3-and-cybersecurity

  ⭐⭐⭐⭐通过 Windows 内核仿真增强利用机器学习的恶意软件分类

  来自微软的工作，但研究人员强调该研究与微软的 Microsoft Defender for Endpoint 无关。
  此前利用静态特征的机器学习，无法应对加壳与对抗机器学习的情况。动态分析被寄予厚望，此前 Mandiant 也介绍过使用轻量级模拟器 Speakeasy 进行分析的例子，结果如下所示：
  
  借此实现机器学习：
  
  数据集情况：
  
  将文件路径和 API 调用进行序列建模：
  
  参考的一些内容：

• 20.12.11 - Word Embeddings: Intuition behind the vector representation of the words

• 19.11.20 - Named Entity Recognition : CRF & Neural network

• dtrizna/quo.vadis

  ⭐⭐⭐⭐与黑产的斗争：广告欺诈检测与防御

  来自百度的议题，属于业务安全的范畴，介绍了黑产的典型案例并引出了四种场景下的检测方法。

  SDK 中的恶意软件

  数据分析 SDK 从网络加载恶意软件的 DEX，使用不可见的 Webview 与 Activity 来进行自动点击广告欺诈。
  

  下载器捆绑的恶意软件

  下载器会捆绑恶意软件已经完全不新鲜了，攻击者会为浏览器安装恶意插件劫持用户访问，通过给自媒体涨粉、增加电商渠道推广等方式进行获利。
  

  各种恶意广告点击工具

  黑产通过易语言等方式编写类似刷量的工具，进行获利。
  

  黑产从业人群分析

  黑产专业化运作，注册大量自称是广告变现平台的公司，有数十人甚至数百人参与其中。各种团伙水平参差不齐：

• 低级团伙擅长使用易语言、Python、NodeJS 等。技术能力低但非常勤奋，工具水平不高所以利润也不大。

  高级也是从低级来的，只要肯努力总有一天做大做强💪💪💪

• 高级团伙技术手段高超，熟练掌握各种对抗技巧，自己具备较好的研发能力。

🐷检测与防御

百度为应对黑产启动了“赫拉克勒斯”计划，期望能够识别作弊与欺诈流量，并且跟踪黑产组织。
主要通过四项来实现：

• Headless/自动化浏览器检测
• 移动端不可见 Native/Webview 广告点击检测
• 安卓模拟器与手机按键精灵检测
• 桌面浏览器扩展劫持检测

此前对 Headless/自动化浏览器的检测，存在许多缺点，需要找到真正稳定的特征进行检测。例如通过检测浏览器打开的开发工具，可以稳定检测所有基于 Chromium 内核的 Headless/自动化浏览器，并且这部分代码对用户是无感、无害的。

恶意 SDK 会在后台自动点击广告获取利润分成，这会使手机变热、流量消耗增加、电池消耗速度加快。这些恶意软件都在检测与分析对抗上加了很多功夫，检测需要抓住关键点。

桌面浏览器扩展劫持检测则是依赖 Content-Security-Policy-Report-Only 实现的。

⭐⭐⭐⭐滥用 Early Launch AntiMalware

Early Launch AntiMalware 驱动可以在启动时尽早加载，但加载 ELAM 驱动必须要有 WHQL 签名，这也就要求必须是 Microsoft Virus Initiative（MVI）或者是 Virus Information Alliance（VIA）项目的成员才能拥有相关资格。
例如微软自己的 Microsoft Defender 的 ELAM 规则集 - WdBoot.sys：


在 VirusTotal 上狩猎 Early Launch AntiMalware 驱动，语法是：

• signature:”Microsoft Windows Early Launch Anti-malware Publisher” tag:native tag:signed tag:peexe not tag:invalid-signature

发现 766 个 Early Launch AntiMalware 驱动，厂商如下所示：

还有一些过度滥用的情况被发现：

其中也有被滥用的可执行文件：

这样宽松的 Early Launch AntiMalware 驱动破坏了第三方安全厂商的生态，也暴露了驱动的审查程序并不健全。
参考的链接：

• mattifestation/ELAM.ps1
• mattifestation/CertTBSHash.ps1

• mattifestation/AntimalwareBlight

  ⭐⭐⭐入侵美国政府使用的门禁系统

  
  Lenel 公司的 LNL-4420 通过了美国政府的认证，被列入门禁系统的采购清单中。
  
  研究分析发现了一系列高危漏洞：
  
  例如下面这个命令注入漏洞，研究人员对几个典型的漏洞进行了详细的介绍。
  

  ⭐⭐⭐GitHub Copilot 生成易受攻击的代码

  2021 年 6 月 29 日，Github Copilot 面世。该工具基于海量的代码编写模式，GitHub 利用 GPT-3 的商业版本，经过微调后为程序员提供自动代码补全功能。生成代码的简化方式为：
  
  但这种功能正确的代码，有可能是易受攻击的。分析的整体逻辑为：
  
  针对 Python 与 C 代码进行了评估，其中有很多易受攻击的场景：
  
  结果是超过五成的 C 代码场景下、接近四成的 Python 代码场景下，都存在易受攻击的情况。
  
  可选择的多个补全方案中，排第一的代码通常更加安全。可能开发人员还是不能完全相信 GitHub Copilot，也要以自己为主并将工具作为辅助。
  
  研究论文：

• Asleep at the Keyboard? Assessing the Security of GitHub Copilot’s Code Contributions

  ⭐⭐⭐解释安全风险认知中的一些问题

  业界中对风险计算的误判存在几个常见情况：

• CVSS 的分数不等同于风险水平，这样导致用户感知实际风险存在偏差。

• 将多个问题合并进一个 CVE 中

• 部分厂商并不披露细节

不完整的升级与缓解措施也会带来新的问题，甚至一而再再而三的补丁都没有完全解决问题。例如典型的 CVE-2019-0604：

其他厂商的此类案例也多如牛毛，导致一再发布补丁进行修复：

披露时间线往往只在乎修复时间，但其实被利用的时间、Patch 的时间、逆向分析的时间也都很重要。以 CVE-2021-21220 为例，Chrome 在四日后修复，Edge 在第二天就修复了。这中间就存在被攻击者利用的时间差。

不同的行业中也存在不同的方式：

不同情况要分别进行处理：

⭐⭐⭐DNSSEC 降级攻击

DNS 解析的过程不再赘述了，如下所示：

这其中的多个位置都会被攻击，而 DNSSEC 是实现 DNS 安全的首选解决方案，如下所示。

DNSSEC 构建的信任链：

根据调查，在 1487 个顶级域名中绝大多数都支持，但在 Tranco 前 50 万的域名中使用的却很少。

公开解析服务中的情况也不乐观：

但还不止于此，降级攻击可建模为：

针对 SHA-1 的攻击早在 2019 年就被证明，DNSSEC 中的 SHA-1 也不建议使用。但仍然广泛存在，使用 SHA-1 的统计调查如下所示。

研究人员展示了两种“安全降级”（更弱的 DS 套件、更弱的签名算法）与一种类似 SSL Stripping 的“安全破坏”攻击。对此感兴趣的读者可以参看，这里不展开介绍。

🐷⭐⭐⭐针对设备监控类恶意软件的内存取证新技术 | EDR 和沙箱

跨平台监控硬件设备的恶意软件经常是纯内存的，进行内存调查是唯一可行的方式。
Windows 枚举全局消息挂钩：

Windows 枚举特定线程挂钩：

Windows 枚举设备监视器：

Linux 检测 TIOCSTI 滥用：

macOS 检测 CGEventTapCreate 滥⽤：

想要进一步了解的可以在官网查看给出的白皮书，列举了代码、IDA Pro 截图和数据结构等详细信息，推荐给沙盒与 EDR 的相关人士参看。

⭐⭐中国法律对漏洞通报的影响

预计到 2027 年，全球漏洞赏金市场规模将超过 55 亿美元。按照美国乔治城安全与新兴技术中心（CSET）的研究员 Dakota Cary 在国会中的证词描述，匿名漏洞赏金按照国家/地区划分有很大一部分都流入了中国。

根据中国最新的法律法规《网络产品安全漏洞管理规定》要求组织需要上报工信部，该法规在 2020 年 7 月发布草案，2021 年 7 月正式通过，2021 年 9 月正式实施。由于中国在漏洞发现领域内的巨大影响力，研究这会对业界产生多大的冲击？
针对 Apple、Microsoft、RedHat、F5 与 VMware 的漏洞进行统计分析：



结论就是几乎没有影响（😅😅😅），但是作者还是对这一法律加以批判，固执地认为美国司法部、美国网络安全和基础设施安全局等设置的制度更优越，这可能就是受到意识形态的影响吧。当然，我们也希望能够构建更加透明与公开的披露方式，但这要基于事实来讨论而不是意识形态。

⭐⭐漏洞赏金进化

人都是怎么度过自己的一生？主要是睡觉、工作和玩，这可能是水深火热的资本主义国家的调查结果罢。

😡😡😡

赏金计划已经走过了几十年的历程。从最开始 1968 年高德纳给每位找到 The Art of Computer Programming 错误的人 2.56 美元（0xff个美分），1995 年火狐为软件安全漏洞提供 500 美元现金奖励。后来，谷歌、微软等巨头相继宣布自己的漏洞赏金计划，甚至美国国防部通过漏洞赏金计划来给自己发现漏洞。
漏洞协作成熟度模型（VCMM）：

通过漏洞赏金计划发现的漏洞越来越多，发出的漏洞赏金也越来越多，但是组织好像完全没有变得更安全。
必须要了解的是，漏洞只是过程出问题的表征，修复漏洞只是“治标”，修复过程才是“治本”。

⭐⭐短信网络钓鱼

大多数网络钓鱼防护机制都是针对电子邮件的，而 2021 年上半年基于短信的钓鱼攻击同比扩大了七倍。
目前能够将互联网上十分之一的电子邮件与一个有效的电话号码进行绑定。研究人员已经为超过 5 亿个电话号码和电子邮件进行了关联索引，构建了“电话彩虹表”：

SMS 没有任何验证，也饱受攻击的困扰。红队也积极将其融入攻击中，例如 Evilginx2：

⭐⭐可扩展的开源全系统iOS模拟器：TruEmu

目前对iOS的安全研究多基于真机，例如苹果提供的安全研究设备，以及越狱设备等。


当然也有商业的模拟器与虚拟机，其中比较为出名的是 Aleph Security 维护的 xnu-qemu-arm64。但该项目支持 iOS 版本有限，而且硬件支持也非常有限，因维护困难已经放弃。
开发了 TruEmu 模拟器，支持 iOS 14 到 16 的各种版本、便于调试且支持 Fuzzing。
其余介绍了许多有关内容，笔者不懂移动安全，不打算班门弄斧，对移动安全比较感兴趣的读者自行阅读：

• TrungNguyen1909/qemu-t8030

  ⭐⭐在野 CI/CD 管道失陷导致的 RCE 即服务

  
  CI/CD 中会面临许多安全问题，作者进行了总结与介绍，这里就不一一列举了。作者列出了一些预防措施：

• 威胁建模

• 网络分段
• 补丁管理
• 监控告警
• 秘密管理

• 最小权限（RBAC模型）

  ⭐⭐基于 WMI 的用户空间攻击可以绕过 SIEM 与 EDR

  WMI 的架构如下所示：
  
  Windows 11 有超过 4000 个内置的 WMI 程序，对攻击者和防御者来说都十分重要。针对 WMI 的威胁建模如下所示：
  
  研究人员在议题中讲了许多与 WMI 有关的内容，做端点安全的读者应该看一看。

  ⭐⭐绕过 Linux 系统调用跟踪

  
  在云上的虚拟机、容器与无服务容器上的系统调用跟踪如下所示：
  
  对此，研究人员进行了非常细致的介绍，不一一展开描述。
  

  ⭐⭐Windows 下的 eBPF 安全性

  eBPF 在这里就不再具体介绍了，感兴趣的可以查阅相关资料。
  
  Linux 上使用 eBPF 的程序也是非常多的，包括很多 EDR 产品。
  
  Windows 平台下的 eBPF 在 2021 年 5 月发布，后续也将会提供更多的支持。
  
  eBPF for Windows 能够允许未签名的代码在内核中运行，研究人员提出了以下攻击场景。
  
  研究人员利用 Fuzzing 发现了一些漏洞，其中包含一个严重的 ACE 漏洞。今年五月以来，微软也在积极引入模糊测试来改善代码的安全与健壮性。
  

  ⭐⭐使用 eBPF 检测内核漏洞利用

  针对 Linux 内核的漏洞利用有数百种，研究人员针对执行流重定向、逻辑错误与内核运行时更改这三种漏洞进行 eBPF 检测。尽管有许多方法可以禁用 eBPF，而且可能对内核性能产生重大影响，尽管不是一个理想的技术，但这毕竟是一个提高利用难度的尝试。
  

• Gui774ume/krie

  ⭐SpaceX Starlink 用户终端的安全评估

  星链终端搭建了全球太空互联网：
  
  许多安全研究员都进行了深入地研究：
  
  对硬件安全感兴趣的读者可以进一步延申阅读该议题，其中包含许多与硬件安全有关的内容。
  
  尽管成功率较低，但研究人员还是成功实现了入侵：
  

  ⭐对通信协议进行自动逆向工程

  PISE 结合使用学习自动机（Automata Learning）与符号执行（Symbolic Execution）两种技术：

• ron4548/PISE

举了尝试分析 gh0st RAT 通信的示例：

⭐全球选举相关虚假信息越来越多

近年来，对政治选举中利用社交媒体操弄虚假信息的研究越来越多。研究人员举了哥伦比亚选举中的例子：

再次强调，此类研究不可避免地涉及意识形态对抗，不代表笔者的立场和价值判断。

🐷⭐求职主题相关的 APT 攻击越来越多

普华永道总结了近年来朝鲜黑客与伊朗黑客利用求职、招聘等主题进行的 APT 攻击。

攻击者无所不用其极，虚假公司、虚假招聘人员、虚假域名、虚假网站、虚假面试，研究人员指出一定要加强员工的个人安全意识培训。

⭐开放式威胁狩猎框架

IBM 提出的开放式威胁狩猎框架，持续改进威胁狩猎流程：

总结

Black Hat USA 的议题量比 FIRST 2022 还要多，有一半在比较早的时间就写完了，另一半拖了好久好久才接着写，导致速递变成慢递了。尽管会迟到，但还是会一直坚持写下去的 ( - o -)。
若是通过本文的介绍，或者是查看官网议程安排后，对其中某些议题感兴趣的话，就可以在官网下载议题对应的材料进行扩展阅读。（PS：笔者根据自身的认知局限与好恶为部分议题打了推荐查看的星级，不代表对议题实际内容高下的评判，只是为部分时间宝贵的读者再节约些时间，这部分议题相对来说可能更加值得一看）

武器库

除了正式的议题外，Black Hat 的武器库也是一个重要的部分，完整可以参见官方网站：

这里列举了部分工具：

ArcherySec：漏洞评估与扫描工具

CANalyse：车载网络分析工具

GoTestWAF：开源 WAF 测试工具

MUSHIKAGO-femto：适用于 IT/OT 环境的自动渗透测试工具

Node Security Shield：NodeJS 的轻量级 RASP

Siembol：开源实时 SIEM 平台

stegoWiper：实时切断图片隐写 Payload 的工具

unblob：固件提取工具

Vajra：云环境攻击测试工具

Fuzzable：模糊测试工具

AzureGoat：存在漏洞的 Azure 环境

LATMA：横向平移分析工具

Stratus Red Team：云环境攻击模拟工具

Kestrel：用于威胁狩猎的工具

Tracee - Linux 运行时取证工具

EMBA：固件安全测试工具

Glyph：二进制分析工具，能够函数指纹识别

api-firewall - API 防火墙

Zuthaka：红队 C&C 框架

SubParse：恶意软件分析框架

Kubescape：Kubernetes 安全管理平台

VulnLab：Web 漏洞实验环境

AttackForge ReportGen：渗透测试报告工具

CWE_Checker - 二进制文件漏洞分析工具

DotDumper：.NET 恶意软件脱壳工具

Slips：基于行为的机器学习 IDS

AADInternals：Azure AD 和 M365 环境下的瑞士军刀

BloodyAD：活动目录提权框架

Recon.Cloud：AWS 云上攻击面管理与侦察工具

SquarePhish：高级网络钓鱼工具