Adam Ziaja

Adam Ziaja (ur. 27 września 1986) – polski informatyk, ekspert cyberbezpieczeństwa specjalizujący się w testach penetracyjnych, red teamingu, informatyce śledczej i reagowaniu na incydenty. Autor wydanej przez Wydawnictwo Naukowe PWN monografii Praktyczna analiza powłamaniowa oraz współautor podręczników szkoleniowych Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) dla zespołów CSIRT. W 2019 roku ujawnił trwające od lat nadużycie podatności BadWPAD w polskiej domenie krajowej. Ustalenia te, przypisane mu imiennie przez CERT Polska, CERT Orange i Zaufaną Trzecią Stronę, doprowadziły do przejęcia wykorzystywanych w kampanii domen przez NASK. Biegły sądowy z zakresu informatyki przy Sądzie Okręgowym w Warszawie, prezes zarządu spółki RED TEAM.

Życiorys Zajmuje się zarówno ofensywną, jak i defensywną stroną cyberbezpieczeństwa, w tym analizą powłamaniową i threat huntingiem. Na liście biegłych sądowych Sądu Okręgowego w Warszawie figuruje z tytułem zawodowym inżyniera w dziedzinie informatyki, ze specjalnościami obejmującymi informatykę śledczą, analizę powłamaniową, testy bezpieczeństwa i testy penetracyjne oraz hacking i cyberprzestępczość.

W latach 2013–2014 był współautorem podręczników szkoleniowych ENISA dla zespołów CERT/CSIRT – Digital forensics (2013), Identifying and handling cybercrime traces (2013) oraz Common Framework for Artifact Analysis Activities (2014). W 2014 roku wchodził w skład zespołu ComCERT SA, który zajął pierwsze miejsce w ćwiczeniach ENISA Cyber Europe. Od 2013 roku należy do międzynarodowej grupy MalwareMustDie, zajmującej się analizą złośliwego oprogramowania.

Kieruje spółką RED TEAM, której zespół reagowania na incydenty figuruje w katalogu zespołów CSIRT Trusted Introducer. Zespół brał udział m.in. w międzynarodowych ćwiczeniach Critical Infrastructure Security Showdown organizowanych przez singapurski iTrust.

Badania nad podatnościami Od 2012 roku zgłaszał w trybie responsible disclosure podatności w oprogramowaniu firm i instytucji, otrzymując podziękowania publikowane na ich oficjalnych stronach – m.in. Adobe, Apple, Uniwersytet Harvarda, Netflix i Nokia. Jest autorem zgłoszeń podatności zarejestrowanych w bazie CVE: podatności typu cross-site scripting i clickjacking w systemie OTRS (CVE-2014-1695 i CVE-2014-2554) oraz podatności typu cross-site scripting w forum MyBB (CVE-2015-2149) i routerach DASAN Zhone ZNID (CVE-2019-10677). W 2013 roku zgłosił podatność typu server-side request forgery (SSRF) w oprogramowaniu GeoNode, wykorzystywanym m.in. przez Uniwersytet Harvarda. Za jej wykrycie otrzymał podziękowania od twórców projektu, a Uniwersytet Harvarda odnotował jego wkład w podziękowaniach na stronie projektu WorldMap.

W 2019 roku opublikował serię artykułów o wykorzystaniu podatności BadWPAD w polskiej domenie krajowej. Ustalił, że od 2007 roku prywatna spółka utrzymywała domeny wpad.*.pl, z których serwowano pliki konfiguracyjne kierujące żądania do popularnych programów afiliacyjnych przez serwer proxy podmieniający identyfikator polecającego. Zawartość tych plików z kolejnych lat odtworzył na podstawie archiwum internetu. Ta sama infrastruktura obejmowała domeny wpad także w innych domenach najwyższego poziomu, m.in. czeskiej, włoskiej i tajwańskiej. Po ujawnieniu sprawy właściciel przekazał domeny pod kontrolę NASK, a CERT Polska skierował je na sinkhole, który w tygodniu od 15 do 22 maja 2019 roku odnotował 6,5 mln żądań HTTP z około 40 tysięcy unikatowych adresów IP. Wpis o przejęciu domen wskazuje go imiennie jako autora tych ustaleń, a CERT Polska poinformował, że domeny przejęto z pomocą prowadzonej przez niego firmy. W Raporcie rocznym 2019 zespołu sprawie poświęcono osobny rozdział, w którym również wymieniono go z nazwiska i opisano skalę zagrożenia. Badanie omówiły również CERT Orange i SANS Internet Storm Center oraz badacz bezpieczeństwa Kacper Szurek, według którego po publikacji Ziai większość domen tego rodzaju przejął CERT Polska.

Przegląd badań nad bezpieczeństwem protokołu WPAD, opublikowany w lutym 2023 roku w czasopiśmie ACM Computing Surveys, przedstawia ustalenia zespołu REDTEAM.PL jako kontynuację badań Maxime'a Goncharova zaprezentowanych na konferencji Black Hat w 2016 roku, a publikację o sprawie przywołuje w bibliografii pod jego nazwiskiem. Autorzy przeglądu wykorzystali statystyki z sinkhole'a NASK, obejmującego 153 domeny wpad, a w podziękowaniach wymienili go z nazwiska.

W 2020 roku przeanalizował działanie ransomware Black Kingdom, wykorzystującego podatność CVE-2019-11510 w oprogramowaniu Pulse Secure VPN. Analizę, wraz z jego komentarzem dla redakcji, omówił serwis BleepingComputer.

Publikacje i wystąpienia W 2017 roku Wydawnictwo Naukowe PWN wydało jego monografię Praktyczna analiza powłamaniowa. Aplikacja webowa w środowisku Linux (275 s.), poświęconą informatyce śledczej i reagowaniu na incydenty w systemie Linux. Książka ukazała się w serii Cyberbezpieczeństwo. Recenzentem naukowym był dr hab. inż. Jerzy Kosiński, wówczas profesor uczelni w Wyższej Szkole Policji w Szczytnie i biegły sądowy. Książkę zrecenzował także serwis NF.sec. Książka jest cytowana w literaturze naukowej, m.in. w artykule o analizie ruchu sieciowego opublikowanym w 2022 roku w czasopiśmie Zeszyty Naukowe Pro Publico Bono. Patronat medialny nad publikacją objęły magazyny Programista i Linux Magazine, ISSA Polska, Fundacja Bezpieczna Cyberprzestrzeń, Instytut Informatyki Śledczej oraz serwisy Zaufana Trzecia Strona i Sekurak.

W 2019 roku opublikował analizę DNS based threat hunting and DoH (DNS over HTTPS), poświęconą wykrywaniu zagrożeń na podstawie ruchu DNS oraz wykorzystaniu protokołu DNS over HTTPS do omijania zabezpieczeń. Wskazał w niej m.in., że blokowanie DoH po nazwie hosta można obejść techniką domain fronting. W comiesięcznym zestawieniu lektur firmy Splunk jej strateg bezpieczeństwa (Staff Security Strategist) uznał tekst za techniczne wprowadzenie do tego, jak atakujący mogą – łącząc DoH z domain frontingiem – obejść praktycznie wszystkie stosowane zabezpieczenia, i stwierdził, że dla opisanego scenariusza nie zna skutecznej metody obrony.

Jest autorem rozdziału Bezpieczeństwo aplikacji webowych w pracy zbiorowej Przestępczość teleinformatyczna 2014 wydanej przez Wyższą Szkołę Policji w Szczytnie oraz współautorem poradnika Bezpieczeństwo IT w kancelarii, opublikowanego przez stowarzyszenie ISSA Polska pod patronatem Naczelnej Rady Adwokackiej.

Występował jako prelegent na konferencjach branżowych i naukowych, m.in. Techniczne Aspekty Przestępczości Teleinformatycznej (TAPT) Wyższej Szkoły Policji w Szczytnie, Security Case Study Fundacji Bezpieczna Cyberprzestrzeń, PolCAAT Instytutu Audytorów Wewnętrznych IIA Polska oraz CSO Council. W 2020 roku przedstawił podczas Lightning Sekurak Hacking Party prelekcję o ataku z wykorzystaniem kolizji DNS, a w 2024 roku wystąpił na konferencji Sekurak Cyberstarter z prezentacją o threat huntingu.

Przypisy ; pełny tekst recenzji udostępniony przez autora książki:

, w tym ; spółka zarejestrowana w Krajowym Rejestrze Sądowym pod numerem KRS 0000718490 (wcześniej RED TEAM Sp. z o.o. Sp.k., KRS 0000720860).

; funkcja autora wpisu:

; pełny tekst:

Linki zewnętrzne

Kategoria:Ludzie związani z bezpieczeństwem komputerowym Kategoria:Polscy biegli sądowi Kategoria:Polscy informatycy Kategoria:Polscy przedsiębiorcy XXI wieku Kategoria:Urodzeni w 1986