TeamT5 於台灣駭客年會 HITCON 2022 分享4場技術演講，本篇文章簡介各場演講，並提供活動官網的簡報下載連結。

本次演講首先聚焦在 macOS 的提權漏洞上，並介紹我們今年在實際案例所看到的權限問題，以及歸納相關的攻擊手法。接著探討 ESF 他的能力以及底層實作，說明如何透過 ESF 來做到有效偵測。

講者展示了哪些 ESF 事件是值得被使用，以及其對應可偵測到的內容，讓藍隊開發人員對於 ESF 的框架有更深入的了解，並可根據講者所歸納出的結果來開發出更有效的鑑識和行為偵測工具。

在2022年2月時，Linux kernel 5.8 之後被揭露了 arbitrary write read-only file 的漏洞，該漏洞被命名為 Dirty Pipe。對應到 Android 有 Google Pixel 6 和 SAMSUNG Galaxy S22 使用的 Android 12 可以觸發漏洞，我們嘗試在 Android 12 上透過此漏洞進行提權，並使用 Android Emulator x86_64 作為本次的環境，並移植到 Google Pixel 6。

在本次演講中，講者們介紹到是如何找到能夠 hijack 到 init process 的路徑、在 Dirty Pipe 無法寫入 page 的第一個 byte 的情況下 load kernel module、繞過 SELinux 的保護機制，以及最後如何在實際手機上也能夠成功拿到 reverse root shell的。

防毒軟體需要保護自己的行程不輕易被惡意程式關閉。由於 PatchGuard 的關係，在 64 位元的 Windows XP 和 Windows Server 2003 後無法進行 Kernel Hook 等操作。取而代之的是微軟提供的 ObRegisterCallbacks 等機制，可以在程式對行程與執行緒操作時進行偵測、阻擋。

攻擊者也需要避免惡意程式被防毒軟體偵測。若攻擊者成功取得 Kernel 的執行權時，除了想辦法繞過，也能癱瘓防毒軟體的功能。為了讓惡意程式更隱密，與其把防毒軟體關閉，不如使它功能失效，甚至讓防毒軟體自身來執行惡意程式。

In this work, we propose a novel yet simple method. It does cross validation of the passive DNS records, digital certificate history as well as service history of a specific DDNS of NAS devices. This method can effectively identify a compromised NAS device by examining its DDNS profile. We will validate our method by examining thousands of real cases and publish our experiment results. We will also have some case studies showing how APT actors abusing these compromised devices