Wieczorem 12 grudnia 2006 napisałem na OpenRCE, że poszukuje pracy jako RE/programista. Po kilku godzinach otrzymałem maila od Julio Canto z hiszpańskiej firmy Hispasec z propozycją nawiązania współpracy, którą wkrótce faktycznie nawiązaliśmy. Od tego dnia minęły ponad trzy lata i dość nieoczekiwanie wyszło na to, że 19 sierpnia odchodzę z Hispasec, by 6 września rozpoczać pracę u nowego pracodawcy. Niniejszy post jest niejako podsumowaniem mojej współpracy z Hispasec, oraz podziękowaniem dla wspałniałych ludzi z którymi przyszło mi tam pracować :)


Miło jest zacząć dzień od spaceru przez park...

Jedną z zalet współpracy z Hispasec były bardzo różnorodne tematycznie zadania. Tak więc reversowałem malware, pisałem oprogramowanie w Javie, robiłem pentesty, pisałem skrypty w Pythonie/BAT, tworzyłem narzędzia w C/C++, pisałem w PHP, w wolnym czasie szukałem vulnów w oprogramowaniu, zdarzyło się i forensicsu trochę liznąć, a nawet w pewnym momencie założyliśmy w Polsce lab którym się opiekowałem od strony zarządzania (hehe nie jest to trywialna sprawa).
Użyłem w powyższym zdaniu formy pojedynczej, ale musze zaznaczyć, że sporo zadań realizowaliśmy w kilka osób, szczególnie gdy kilku kolejnych polaków (morel, Icewall, j00ru, pi3) dołączyło do Hispasec :)


Confidence 2008 - pierwsza konferencja security na której byłem; pamiątkowa fotka z orgami konferencji i CTF po wygraniu wargame i CTF :)

Inną zaletą były konferencje w których uczestniczyliśmy (dzięki dofinansowaniu od strony szefa) - zaczęło się od Confidence 2008, mojej pierwszej konferencji security, na której oprócz pracujących ówcześnie w Hispasec polaków (Icewall i morel) pojawili się także Emi i Julio z odziału w Maladze. Wspolnymi siłami udało nam się wtedy wygrać zarówno Wargame jak i Capture The Flag :) Dodam, że od tamtego czasu zespół Hispasec wygrywał również CTF/CrackMe na kolejnych edycjach Confidence, tj. CTF i Eset CrackMe na Confidence 2009 oraz Eset CrackMe na Confidence 2010 (nie było CTF ani Wargame ;/).


SysDay 2009, logo Hispasec po raz kolejny umieszczone w prezentacji :)

Po Confidence 2008 odwiedziłem jeszcze Sekit 2008 (jako prelegent, poznałem tam pi3 który jakiś czas potem pojawił się w Hispasec, by później przejść do CERN'u), IT Underground 2008 (jako uczestnik), SysDay 2009 (na którym z Hispasec miało dwie prelekcje - pi3 (streamowaną live) oraz moją), SEConference 2009 (jako prelegent), SecDay 2009 (Hispasec miało tam aż 3 prelekcje - Icewalla o bankerach, j00ru o bootkitach, i moją), CONFidence 2.0 (jako prelegent), Hack In The Box 2010 (duchem jako prelegent - jakiś islandzki wulkan odwołał loty i skończyło się na prowadzeniu przez telefon + video stream pulpitu), CONFidence 2010 (razem z j00ru mieliśmy prelekcje o bugach znalezionych przez nas), a teraz jestem (siedzę w hotelu w Monachium i czekam na przesiadkę) w drodzę na RECON gdzie po raz ostatni pojawi się logo Hispasec koło mojego nicka.


Confidence 2010 - dwa lata po pierwszej Confidence na której byłem; wspólna prelekcja z j00ru i obowiązkowe logo Hispasec ;)

W Hispasec zaczałem się bawić też w vulnerability research (aka bughunt), czego skutkiem były znalezione i zgłoszone błędy m.in. w Total Commander, SDL_Image (jak się okazało, tworzonym przez człowieka z Blizzarda), Mozilla Firefox, Opera, Apple Safari (a w zasadzie libie do przetwarzania bitmap w OSX), StarCrafcie, jak i (wspólnie z j00ru) w Windowsie (siedem różnych luk).
Sporo researchu udało się również udokumentować w postaci publikacji min. w Hakin9 (5 artykułów), Xploit (3 artykuły), HITB Magazine, jako posty na blogu bądź puszczony na sieć PDF (jak np. moja i j00ru publikacja "GDT and LDT in Windows kernel vulnerability exploitation).
Cóż, niewątpliwie był to pracowity i owocny okres :)

Bardzo dużo dowiedziałem się również o malware, o tym jak to działa od strony technicznej (programistyczno sieciowej), jak to działa od strony "biznesowej", etc. Czasami moja twarz przybierała wyraz "are you f*cking kidding me?", znany z popularnych ostatnio komiksów internetowych, gdy np. do analizy trafiał ważący 20 MB trojan w Delphi, z szyfrowaniem co poniektórych stringów za pomocą operacji XOR z kluczem 1-bajtowym, a potem okazywało się jeszcze, że takowy klient wrzuca skradzione dane na serwer łącząc się bezpośrednio z bazą SQL lub via FTP. Cóż.
Czasami jednak było ciekawiej, np. przy okazji MEBRoota zwanego przez nas Sinowal MBR (bootkit wmontowany w trojana, nice).


Sevilla nocą, rankiem praca

Jeśli zaś chodzi o tryb pracy - większość czasu pracowałem dla Hispasec zdalnie, ponieważ Wrocławskie lab powstało dopiero na początku zeszłego roku - czyli brak wyznaczonych godzin pracy, a co za tym idzie, zdarzały się "questy" od szefa w dziwnych godzinach, np. malware do analizy o 1szej w nocy (i tak chodzę późno spać ;>) ;)
Zdarzyło się również odwiedzić Hiszpanie, a konkretniej prześliczne miasto Sevilla, oczywiście w celach służbowych :)

Jeśli chodzi o ludzi, to, co tu dużo mówić, każdemu życzę takich współpracowników i szefa :) Masa ciekawych projektów, godziny ciekawych dyskusji, sporo rzeczy których się dowiedziałem, lub pomysłów o których mogłem dostać feedback. Ogólnie, luźna i bardzo kreatywna atmosfera ;)

Jak się za pewne już zorientowaliście, bardzo lubie swoją pracę w Hispasec, i trochę żal mi ją opuszczać...


Nowy kraj, nowe miasto, nowe logo na prezentacje...

Od 6 września rozpoczynam pracę w Zurichu w Szwajcarii, gdzie będę zajmował się w zasadzie podobnymi tematami jak w Hispasec, no może z wyłączeniem malware'u. Nowy kraj, nowe miasto, nowi ludzie i nowe wyzwania/research... sound like fun :)

A fun przypuszczam, że będzie, bo już same rozmowy kwalifikacyjne były ciekawe - np. pierwsza rozmowa telefoniczna, z Neelem, miała trwać 30-45 minut, ale w końcu zdecydowaliśmy się ją przedłużyć, i rozmawialiśmy przez półtorej godziny - było bardzo sympatycznie, ciekawie i na naprawdę fajnym poziomie. Niegorzej było na kolejnych, na miejscu w Zurichu ;)

No i w zasadzie tyle. Jak będzie, to pokaże przyszłość... ale będzie dobrze, w końcu jak ma być? ;> Do końca sierpnia czeka mnie trochę papierkowej roboty, a potem przeprowadzka. Cóż, zapowiada się pracowity okres i to jeszcze przed podjęciem nowej pracy ;)

P.S. Podziękowania dla lcamtufa, za namówienie mnie do podejścia w ogóle do procesu rekrutacji ;)