Уловка с найденной флешкой: от приманки на парковке до BadUSB и атак по питанию
Голая флешка на парковке - одна из старейших приманок в компьютерной безопасности, и она до сих пор срабатывает. В 2016 году команда из Google и Университета Иллинойса в Урбане-Шампейне точно измерила, насколько. В этом материале - откуда взялся приём с найденной флешкой, что на самом деле показал полевой эксперимент, что умеет современная приманка в железе и какие защитные правила выдерживают проверку.
От офисных червей к изолированным сетям
Вредоносы, которые ездят на съёмных носителях, старше, чем осознание этого большинством. Вирус Sality впервые заметили в 2003 году, а черви на ярлыках, копирующие себя на флешки и ждущие следующую жертву, стали постоянным фоновым шумом. Исследователи Kaspersky насчитали только за 2017 год 113,8 миллиона срабатываний на съёмных носителях - в основном из-за семейств LNK-ярлыков, которые запускаются, как только пользователь кликает на имитируемый файл. В 2010 году приём перешёл в другую лигу: Stuxnet обнаружили на ядерном обогатительном предприятии без доступа в интернет, и USB-накопители были среди путей, которыми он пересёк изоляцию. Использованную им уязвимость LNK в Windows, CVE-2010-2568, закрыли в марте 2015 года, однако Securelist сообщал, что спустя годы она всё ещё входила в топ угроз в корне дисков. Сложные группы вроде Equation, Flame и Regin использовали тот же канал против изолированных сетей. Именно с той эпохи сцена с флешкой на парковке стала штампом фантастики, подхваченным и телевидением - например, сериалом Mr. Robot в 2015 году.Эксперимент с подброшенными флешками
В работе Users Really Do Plug in USB Drives They Find, представленной на IEEE Symposium on Security and Privacy в 2016 году, Мэтью Тишер и коллеги из Google и Университета Иллинойса в Урбане-Шампейне разбросали по кампусу 297 флешек. Авторы оценили, что в зависимости от состояния накопителя их вставляли от 45 до 98 процентов. И нашедшие редко останавливались на подключении: сопутствующий блог исследования сообщает, что 48 процентов флешек подключили и открыли хотя бы один файл. Первую вставили менее чем за шесть минут. Пятая часть подключений пришлась на первый час, половина - на первые семь. Детали - вот что делает исследование неуютным. Надписи про экзамены или наклейка с обратным адресом ничего не меняли, как и место находки: парковка работала не хуже охраняемого помещения. На вопрос, зачем вставили флешку, 68 процентов опрошенных ответили, что хотели вернуть её владельцу, и лишь 18 процентов признались в любопытстве. Значимой разницы между теми, кто вставляет чужие флешки, и общей популяцией исследователи не нашли. Файлами были безвредные HTML-страницы с картинкой-счётчиком, поэтому каждое подключение считалось, никого не заражая.Приманка потоньше: BadUSB, HID-стики и разрядные игрушки
С 2014 года улучшилась и сама приманка. На Black Hat того года Карстен Ноль и Якоб Лелл из SR Labs показали BadUSB: вредоносный код спрятан в прошивке контроллера USB-устройства, куда не добираются ни форматирование, ни антивирус. Перепрошитое железо притворяется клавиатурой и печатает что угодно в момент подключения. Как сказал Ноль WIRED:"Эти проблемы не залатать... Мы используем саму конструкцию USB."Его вывод: доверять можно только происхождению, а съёмные носители должны обращаться как шприцы, которые никому не передают. Скриптуемые HID-инжекторы, выросшие из этой линии исследований, сегодня открыто продаются как инструменты пентеста - барьер для тех, кому нужен стик, печатающий нажатия при вставке, заметно упал. Не каждая подброшенная флешка охотится за данными. Устройства USB killer берут питание из порта и разряжают импульсы высокого напряжения обратно в линии данных, уничтожая контроллер, а часто и плату за ним. В 2019 году студент колледжа Сент-Роуз в Олбани признал вину в уничтожении 66 компьютеров кампуса таким устройством; он получил год тюрьмы и обязанность выплатить 58 471 доллар возмещения.
Почему осторожность проигрывает
Самый цитируемый урок эксперимента: люди рационализируют. Большинство нашедших не считали себя любопытными рисковыми - они считали себя полезными. Просветительские кампании годами повторяют одно и то же предупреждение - руководство CISA по съёмным носителям велит никогда не вставлять найденную флешку, а отдать её в ИТ или службу безопасности, - однако результаты 2016 года и не утихающая статистика червей говорят, что одними предупреждениями рефлекс не перебить.Правила, которые держатся
- Никогда не вставляйте носители неизвестного происхождения в машину, которая вам дорога. Правильный ответ - отдать находку в безопасность или ИТ, а не открывать её, чтобы найти владельца.
- Оценивайте флешку, а не упаковку. Исследование показало: надписи, приложенные ключи и опрятный вид ничего не меняли.
- Разделяйте личные и рабочие носители, защищайте паролем и шифруйте то, что носите с собой, и держите резервные копии.
- Отключите автозапуск и держите антивирус и патчи актуальными: старые черви-ярлыки по-прежнему ходят этим путём.
- Если подозрительный носитель вообще нужно изучать - то на выделенной офлайн-машине вне продуктива, никогда не на повседневном компьютере; организациям стоит политикой блокировать классы накопителей на неиспользуемых портах.