De truc met de gevonden usb-stick: van parkeerterrein-lokaas tot BadUSB en spanningspulsaanvallen
Een blote usb-stick op een parkeerterrein is een van de oudste lokmiddelen in de computerbeveiliging, en hij werkt nog steeds. In 2016 mat een team van Google en de University of Illinois Urbana-Champaign precies hoe goed. Dit stuk kijkt naar waar de truc met de gevonden stick vandaan komt, wat dat veldexperiment werkelijk opleverde, wat modern lokmateriaal kan en welke verdedigingsregels overeind blijven.
Van kantoormwormen naar geïsoleerde netwerken
Malware die op verwijderbare media reist is ouder dan het besef daarvan bij de meeste mensen. Het Sality-virus werd voor het eerst gezien in 2003, en snelkoppelingswormen die zich op sticks kopiëren en op het volgende slachtoffer wachten werden permanent achtergrondgeruis. Kaspersky-onderzoekers telden alleen al in 2017 113,8 miljoen detecties op verwijderbare media, vooral aangedreven door LNK-snelkoppelingenfamilies die uitvoeren zodra een gebruiker op het geïmiteerde bestand klikt. De truc ging in 2010 een klasse hoger, toen Stuxnet werd ontdekt in een nucleaire verrijkingsinstallatie zonder internetverbinding; usb-sticks behoorden tot de wegen waarlangs hij de kloof overbrugde. Het Windows-LNK-gebrek dat hij misbruikte, CVE-2010-2568, werd in maart 2015 gepatcht, maar Securelist meldde dat hij jaren later nog altijd bij de top van dreigingen in de hoofdmap van schijven hoorde. Geavanceerde groepen als Equation, Flame en Regin gebruikten hetzelfde kanaal tegen geïsoleerde netwerken. Uit die tijd stamt ook het tafereel van de stick op het parkeerterrein dat een vast beeld in fictie werd, opgepakt op televisie door series als Mr. Robot in 2015.Het experiment met de achtergelaten sticks
In het paper Users Really Do Plug in USB Drives They Find, gepresenteerd op het IEEE Symposium on Security and Privacy van 2016, strooiden Matthew Tischer en collega's van Google en de University of Illinois Urbana-Champaign 297 sticks uit over de campus. De auteurs schatten dat, afhankelijk van de toestand, 45 tot 98 procent werd aangesloten. En wie een stick vond bleef zelden bij het aansluiten: de begeleidende blog van de studie meldt dat 48 procent van de sticks werd verbonden en dat er minstens één bestand werd geopend. De eerste werd binnen zes minuten aangesloten. Een vijfde van de verbindingen gebeurde binnen het eerste uur, de helft binnen zeven. De details maken de studie ongemakkelijk. Sticks als tentamen labelen of een retouradres aanbrengen veranderde niets aan de uitkomst, en de locatie al evenmin: een parkeerterrein werkte net zo goed als een beveiligde binnenruimte. Gevraagd waarom ze de stick aansloten, zei 68 procent van de ondervraagde vinders hem terug te willen geven aan de eigenaar en slechts 18 procent gaf nieuwsgierigheid toe. De onderzoekers vonden geen wezenlijk verschil tussen mensen die sticks aansluiten en de algemene bevolking. De bestanden waren onschuldige HTML-pagina's met een trackingafbeelding, zodat elke verbinding werd geteld zonder iemand te besmetten.Scherper lokaas: BadUSB, HID-sticks en spanningspopjes
Sinds 2014 is ook het lokaas verbeterd. Op de Black Hat van dat jaar lieten Karsten Nohl en Jakob Lell van SR Labs BadUSB zien: aanvalscode verborgen in de firmware van de controller van een usb-apparaat, waar hertoewijzen niet reikt en antivirus niet kijkt. Herschreven hardware kan zich voordoen als toetsenbord en op het moment van insteken typen wat het wil. Zoals Nohl tegen WIRED zei:"Deze problemen kunnen niet gepatcht worden... We misbruiken de manier waarop USB zelf is ontworpen."Zijn conclusie: vertrouwen kan alleen uit herkomst komen; verwijderbare media behoren als hypodermische naalden te worden behandeld die je nooit deelt. Scriptbare HID-injectieapparaten die uit die onderzoekslijn zijn voortgekomen worden tegenwoordig openlijk verkocht als pentestingtools, wat de drempel verlaagt voor wie een stick wil die bij het insteken toetsaanslagen vuurt. Niet elke geplante stick wil data. USB killer-apparaten halen stroom uit de poort en ontladen hoogspanningspulsen terug in de datalijnen, waarbij de controller en vaak de printplaat erachter wordt verwoest. In 2019 bekende een student van het College of Saint Rose in Albany schuld aan het vernielen van 66 campuscomputers met zo'n apparaat; hij kreeg een jaar gevangenis en moest 58.471 dollar schadevergoeding betalen.
Waarom voorzichtigheid verliest
De meest geciteerde les van het experiment: mensen rationaliseren. De meeste vinders omschreven zichzelf niet als nieuwsgierige durfalen, maar als behulpzaam. Voorlichtingscampagnes herhalen dezelfde waarschuwing al jaren - de CISA-richtlijn over verwijderbare media zegt gebruikers een gevonden stick nooit in te pluggen maar af te geven aan IT of beveiliging - toch suggereren de resultaten van 2016 en de blijvend aanstromende wormstatistieken dat waarschuwingen alleen de reflex niet overrulen.Regels die overeind blijven
- Plug media van onbekende oorsprong nooit in een machine waar u om geeft. Een gevonden stick afgeven aan security of IT is het juiste antwoord, niet openen om de eigenaar te achterhalen.
- Beoordeel de stick, niet de verpakking. De studie toonde dat labels, bijgevoegde sleutels en een nette uitstraling niets veranderden.
- Houd persoonlijke en zakelijke media gescheiden, beveilig met wachtwoord en versleuteling wat u meedraagt, en houd back-ups bij.
- Schakel autorun uit en houd antivirus en patches actueel; de oudere snelkoppelingswormen nemen nog steeds die route.
- Moet verdacht medium echt onderzocht worden, dan op een toegewijde, offline machine buiten productie - nooit op de dagelijkse pc - en organisaties dienen opslagklassen op niet-essentiële poorten bij beleid te blokkeren.