Noise Security Bit #12 (О ZeroNights v0x04)

Участники: Алексей Синцов (@asintsov), Дмитрий Евдокимов (@evdokimovds), Олег Купреев (@090h) и Никита Тараканов (@NTarakanov)

Этот выпуск посвящён обсуждению прошедшей конференции ZeroNights. Мы уже традиционно обсудили эволюцию эвента, а также поговорили о наиболее ярких моментах четвертой по счету конференции, которая полностью сфокусирована только на практических аспектах ИБ. 

Show Notes к подкасту можно найти здесь

ZeroNights'2012: еще одно мнение

Сначала хочется сказать, что чуть больше года назад у нас не было ни одной конференции нацеленной на исследователей в области ИБ. Сейчас есть два мероприятия, которые не только не уступают западным, но и превосходят многие по своей масштабности и качеству контента. Можно отметить, что произошла некоторая качественная эволюция всех этих бестолковых инфобезов ... (которые постепенно загибаются), в нечто совершенно иное и куда уже не стыдно пригласить  именитых зарубежных исследователей.

Ну, а теперь о самом мероприятии, конечно очень сложно сделать все идеально. Особенно когда мероприятие на несколько сотен человек готовится не большим коллективом и по большей части на энтузиазме. Хочу поблагодарить ребят из Digital Security за отличную конференцию, фейлы конечно были, но писать о них я не буду ;)

Win32/Flamer: Reverse Engineering and Framework Reconstruction

Одноименный доклад был представлен нами на конференции ZeroNights'2012. Целью доклада было осветить проблемы реверсинга больших программ на C++ в которых применяется ООП. Проблема освещалась через призму реконструкции объектно-ориентированной платформы на которой была разработана вредоносная программа Flame.

ZeroNights: глазами докладчика

Наконец-то нашлось время для того, чтобы как то упорядочить свои впечатления от прошедшей на днях конференции ZeroNights. Организаторам совершенно однозначно удалось достичь высокого уровня докладов и актуальности рассмотренных тем. Так как в этом году мне довелось посетить большое количество зарубежных конференций со всей ответственностью, могу заявить, что ZeroNights был на уровне. Но с точки зрения организации были конечно моменты, которые я озвучу лично оргам и которые хотелось бы избежать в будущих мероприятиях. Мне большего всего не хватало атмосферы "хакерской конференции", как это было на Ekoparty или Confidence.

Мое участие началось с доклада "Современные тенденции развития вредоносных программ для систем ДБО", в котором было рассказано о последних тенденциях и эволюции в разработке банковских троянов, заточенных под Россию. Если охарактеризовать текущую ситуацию одним слайдом, то это будет выглядеть примерно так:

ESET на ZeroNights

Осталось всего несколько дней до основного мероприятия этой осени для исследователей в области ИБ. Мы, как компания с большим штатом ресечеров просто не могли пройти мимо и решили поддержать ZeroNights став основным спонсором мероприятия. Для нашей компании это уже сложившаяся практика поддержки практических конференций. На нашем счету уже такие мероприятия, как PHD, Confidence, Ekoparty, REcon.

В рамках программы мероприятия от нас будет два доклада:

• Современные тенденции развития вредоносных программ для систем ДБО
• Win32/Duqu: инволюция червя Stuxnet (FastTrack)

А еще всех участников конференции ждет новый увлекательный квест по реверсингу, с главным призом Amazon Kindle DX. Подходите к нашему стенду, регистрируйтесь и участвуйте! Правила конкурса простые, кто первый сломал того и Kindle =)

Новая модификация Carberp использует буткит-функционал

Недавно  нам удалось обнаружить модификацию троянца Win32/Carberp, который в процессе заражения системы устанавливает буткит-функционал. Причем, после более детального анализа выяснилось, что буткит функциональность практически полностью копирует ранее известного буткита Rovnix.

Carberp, один из самых активных троянцев встречающихся в ДБО инцидентах в этом году. Мы провели небольшое расследование по этой теме помимо буткита, нашли еще много интересного.

Подробное исследование можно найти тут:

Evolution of Win32Carberp: going deeper [EN]

Банковский троянец Carberp приобрел буткит-функционал [RU]

А, так же более расширенную версию нашего расследования можно будет услышать на  конференции ZeroNights в ближайшую пятницу в рамках нашего доклада "Современные тенденции развития вредоносных программ для систем ДБО".