Ежегодная Казахстанская практическая конференция по кибербезопасности Kaz'Hack'Stan-2019, которая завершилась на днях в Нур-Султане, проходит третий раз. В рамках мероприятия по традиции был запущен киберполигон, в котором IT-специалисты могли испытать свои силы.

Фото astana.ppz.kz

В этом году победителями стали парни из Костаная, которые заняли 1-е и 3-е место. @w0rms стал фаворитом, а @undefi увёз бронзу.

Ник вместо имени – это традиция подобных соревнований. Кстати, хакерами их можно назвать только “белыми” - ведь цель не навредить, а найти уязвимые места в системе, чтобы в итоге повысить её безопасность.

«НГ» удалось подробно расспросить костанайских "хакеров". @w0rms (Степан) и @undefi (Олег) участвовали в соревнованиях на площадке Cyber Polygon впервые.

Фото Георгия ГОВОРОВА

В этом году организаторы подготовили макет “умного” города, где всей инфраструктурой (электроснабжение, освещение, светофоры, шлагбаумы и т.д.) управляла компьютерная система. Легенда полигона такова: “2025 год. В Казахстане, на берегу озера Балхаш, построена и работает АЭС, на территории станции заложена бомба. Безопасность региона оказалась под угрозой серьезной опасности. Основной вопрос – удастся ли избежать катастрофы или хакеры взорвут бомбу?”. Играть можно было на любой стороне, а за прохождение этапов заданий участникам начислялись очки. Обезвреживание “бомбы”, как и ее взрыв были самыми дорогими заданиями.

Фото astana.ppz.kz

@undefi пошёл по программному пути:

-  Я 2 дня почти не отходил от ноутбука, - вспоминает он. – Мне первому удалось захватить управление светофорами и перевести их в аварийный режим. Потом удалось расширить свои права и получить на управляющем светофорами сервере статус пользователя, который давал больше возможностей. Спустя какое-то время я нашёл ещё одну уязвимость, которая позволяла повысить свои привелегии в системе до суперпользователя (root). Как оказалось, я был не один. В то же время другой участник, более опытный, шёл тем же путём... Это такой адреналин! Жили на энергетиках и кофе. Мы идём практически ноздря в ноздрю, и я успеваю включить зелёный свет первым! Сдаю задание, получаю очки и выхожу в лидеры по итогу 2х дней. Но на радостях я забыл очистить историю своих действий на сервере и другой участник смог повторить их. Так как он сумел выполнить ещё одно задание в первый день, то я сместился на второе место.

А вот @w0rms сделал ставку на аппаратную задачу и не прогадал! Спасти регион ему удалось всего за 20 минут до окончания соревнований. Для этого он взломал местную систему сотовой связи, перехватил смс с кодом дезактивации и обезвредил “бомбу”, что принесло ему безусловное лидерство и позволило сдвинуть всех на одну позицию вниз. Организаторы конкурса особо отметили, что успешный взлом системы GSM на полигоне был осуществлен впервые, поскольку данная задача является весьма трудной и требует от атакующего высокого уровня внимательности и знаний. Поэтому победу Степана в этом конкурсе можно назвать двойной: не только первое место, но и первый в истории полигона взлом такого уровня.

По итогу двух дней киберполигона набрать очки удалось только 7 участникам из 35. Многие просто не смогли найти уязвимые точки входа.

Кстати, @undefi (Олег) на Kaz’Hack’Stan был награждён и ещё за одно “хакерское” достижение.

- За несколько месяцев до конференции, организаторами был объявлен конкурс «Miss Kaz'Hack'Stan», где нужно было выбрать самую красивую девушку, - рассказывает @undefi. – Поначалу никакого интереса конкурс не вызвал, пока однажды, после очередного анонса уже финального этапа, любопытство не взяло верх. Открыв  сайт конкурса, проголосовал за девушку. Потом решил покопаться в исходном коде. Это же всё-таки сайт от KHS, серьёзных парней. Посмотрел код, глазом зацепился за некоторые детали и попробовал проголосовать ещё раз. У меня получилось и неоднократно. Первая мысль была: “Не понимаю, как у такой крупной организации, такие серьёзные проблемы с кибербезопасностью?”. Я накручиваю 100 голосов и вдруг всё блокируется. Паника. Я всё сломал? Меня вычислили? Выясняю, что дальше можно продолжить накрутку голосов, но уже только обойдя защиту от роботов. Осознав, что не всё так просто с этим конкурсом, я выбрал одну из аутсайдеров и стал её протежировать. Автоматизировал процессы накрутки голосов, обходил разного рода всё новые и новые виды защит. Позже выяснилось, что я не один такой любопытный и нашлись ещё желающие помочь красавицам. Оказалось, что это не столько конкурс красоты, сколько необъявленное соревнование для "белых" хакеров, которое продлилось почти 3 недели. По итогу мне удалось “накрутить” больше 100 000 голосов, выиграть “конкурс красоты” и получить награду.

- У нас есть костанайское IT-сообщество, которое базируется в Telegram, QoS-IT community, - рассказал "НГ" @w0rms. - Там мы собрали IT-специалистов Костаная. Сообщество молодое, только в январе 2019 его создали. В феврале провели нулевой митап. Пока нас 189 “айтишников”. В жизни многие из нас работают сисадминами, программистами и другими специалистами IT. В мае к нам приезжала команда KHS community, они же 2600 Qazaqstan (“2600” – мировое хакерское сообщество). Практически все члены команды работают в Центре Анализа и Расследования КиберАтак (ЦАРКА). Именно эти ребята зарядили нас поехать в столицу и поучаствовать в этом году в полигоне.

Фото astana.ppz.kz

ЦАРКА – одна из ведущих казахстанских организаций в области информационной и технологической безопасности, организатор практической конференции Kaz'Hack'Stan. Особая стратегия Центра – тесное сотрудничество с вузами в сфере подготовки квалифицированных специалистов в области ИБ и развитие научно-исследовательской и опытно-конструкторской работы в данной сфере.

- Все хорошие специалисты стремятся к самообразованию. Образование может дать базу, но сделать профессионалом, навряд ли, - считают "хакеры". - Поэтому мы создали QoS-IT сообщество, где обмениваемся опытом, тренируем навыки, решаем IT-задачи, с которыми сталкиваемся в процессе работы и обучения. Скоро мы вновь соберемся нашим комьюнити и расскажем коллегам о Kaz'Hack'Stan со всеми техническими подробностями.

@w0rms и @undefi намерены развивать своё сообщество. И приглашают IT специалистов в свои ряды. Ищите их в Telegram)