Трюк із знайденою USB-флешкою: від приманки на паркінгу до BadUSB та атак перенапругою
Гола USB-флешка, що лежить на паркінгу, — одна з найстаріших приманок у комп'ютерній безпеці, і вона досі працює. 2016 року команда з Google та Іллінойського університету в Урбані-Шампейн точно виміряла, наскільки добре. У цьому матеріалі — звідки прийшов трюк із «знайденою флешкою», що насправді виявив той польовий експеримент, на що здатне сучасне приманкове залізо та які правила оборони витримують перевірку часом.
Від офісних черв'яків до ізольованих від мережі об'єктів
Шкідливе ПЗ, що подорожує на знімних носіях, старше за обізнаність із ним більшості людей. Вірус Sality уперше виявили 2003 року, а черв'яки на основі ярликів, які копіюють себе на флешки й чекають наступну жертву, стали постійним фоновим шумом. Дослідники Kaspersky лише за 2017 рік нарахували 113,8 млн спрацьовувань на знімних носіях; головним двигуном були родини LNK-ярликів, що запускаються, щойно користувач клікає файл, який вони імітують. 2010 року трюк перейшов в іншу лігу: Stuxnet виявили всередині підприємства з ядерного збагачення, яке не мало інтернет-з'єднання, і USB-флешки були серед способів перетнути цей розрив. Використану ним вразливість Windows LNK (CVE-2010-2568) закрили патчем у березні 2015-го, але Securelist ще роки по тому зараховував її до найпоширеніших загроз у корені носіїв. Складні угруповання, зокрема Equation, Flame і Regin, застосовували той самий канал проти ізольованих мереж. Саме з тієї доби сцена «флешка на паркінгу» стала штампом у фантастиці; 2015 року її відлунням на телебаченні став серіал Mr. Robot.Експеримент із «загубленими» флешками
Доповідь Users Really Do Plug in USB Drives They Find, яку 2016 року на IEEE Symposium on Security and Privacy представили Метью Тішер і колеги з Google та Іллінойського університету в Урбані-Шампейн, розкидала по кампусу 297 флешок. Автори оцінили, що під'єднали 45–98% із них, залежно від стану флешки. І знаходячі рідко зупинялися на під'єднанні: у супровідному блозі дослідження повідомляється, що 48% флешок було під'єднано й щонайменше один файл відкрито. Першу флешку під'єднали менш ніж за шість хвилин. П'ята частина під'єднань сталася протягом першої години, половина — протягом семи. Незручним дослідження роблять деталі. Позначки «іспитові» на флешках чи адреса для повернення нічого не змінили; не змінило й місце: паркінг працював не гірше за охоронюване приміщення. Коли знаходячих питали, чому вони під'єднали флешку, 68% опитаних сказали, що хотіли повернути її власнику, і лише 18% призналися в цікавості. Дослідники не знайшли суттєвої різниці між тими, хто під'єднував флешки, й загальною популяцією. Файлами були нешкідливі HTML-сторінки з трекінговим зображенням, тож кожне під'єднання рахували, нікого не заражаючи.Гостріша приманка: BadUSB, HID-флешки та іграшки з перенапругою
Від 2014 року сама приманка стала кращою. На конференції Black Hat того року Карстен Нол і Якоб Лелл із SR Labs продемонстрували BadUSB: шкідливий код, схований у прошивці контролера USB-пристрою, куди не дістає переформатування й куди не заглядає антивірус. Перепрошений пристрій може видати себе за клавіатуру й надрукувати все, що завгодно, щойно його встромляють. Як розповів Нол WIRED:«Ці проблеми не виправити патчем... Ми експлуатуємо сам принцип, за яким влаштований USB.»Його висновок: довіра має виходити лише з походження — зі знімними носіями слід поводитися як із підшкірними голками, які ніколи не передають. Скриптовані HID-інжектори, що походять із цієї лінії досліджень, тепер відкрито продаються як інструменти для пентесту, і це знижує планку для будь-кого, хто хоче флешку, що вистрілює натискання клавіш одразу після вставлення. Не кожна підкладена флешка полює на дані. Пристрої USB killer беруть живлення з порту й розряджають високовольтні імпульси назад у лінії даних, спалюючи контролер і часто плату позаду нього. 2019 року студент коледжу College of Saint Rose в Олбані визнав провину в знищенні 66 кампусних комп'ютерів таким пристроєм; його засудили до року в'язниці та зобов'язали сплатити 58 471 долар відшкодування.
Чому обережність програє
Найцитованіший урок експерименту — люди раціоналізують. Більшість знайшовших не описували себе як допитливих шукачів ризику; вони описували себе як людей, що хочуть допомогти. Кампанії з підвищення обізнаності роками повторюють те саме попередження — настанови CISA щодо знімних носіїв велять користувачам ніколи не встромляти знайдену флешку, а передати її IT або службі безпеки, — але результати 2016-го й статистика черв'яків, що надходить без перерв, підказують: самі попередження цей рефлекс не переборюють.Правила, які витримують перевірку
- Ніколи не під'єднуйте носії невідомого походження до машини, яку вам шкода. Правильна реакція на знайдену флешку — віддати її фахівцям безпеки або IT, а не відкривати, щоб знайти власника.
- Оцінюйте флешку, а не її оформлення. Дослідження показало: ярлики, причеплені ключі й охайний вигляд нічого не змінюють.
- Тримайте особисті та робочі носії окремо, захищайте паролем і шифруйте те, що носите із собою, і робіть резервні копії.
- Вимкніть автозапуск і тримайте антивірус та патчі актуальними; старі черв'яки-ярлики досі розраховують на цей шлях.
- Якщо недовірений носій узагалі треба дослідити, місце йому на виділеній, офлайновій, непродакшн машині — ніколи не на щоденному комп'ютері, — а організаціям варто політикою блокувати пристрої класу сховища на другорядних портах.