Podstęp ze znalezionym pendrive'em: od przynęty na parkingu po BadUSB i ataki przepięciowe
Goły pendrive leżący na parkingu to jedna z najstarszych przynęt w bezpieczeństwie komputerowym - i wciąż działa. W 2016 roku zespół z Google i University of Illinois Urbana-Champaign zmierzył dokładnie, jak bardzo. Ten tekst przygląda się, skąd wziął się podstęp ze znalezionym nośnikiem, co eksperyment terenowy naprawdę wykazał, co potrafi współczesna przynęta sprzętowa i które reguły obrony się bronią.
Od robactwa biurowego do sieci odizolowanych
Malware podróżujący na nośnikach wymiennych jest starszy niż świadomość tego u większości ludzi. Wirusa Sality wykryto po raz pierwszy w 2003 roku, a robaki oparte na skrótach, kopiujące się na pendrive'y i czekające na kolejną ofiarę, stały się stałym szumem tła. Badacze Kaspersky policzyli sam w 2017 roku 113,8 miliona wykryć na nośnikach wymiennych, głównie za sprawą rodzin skrótów LNK, które uruchamiają się, gdy użytkownik kliknie naśladowany plik. W 2010 roku podstęp przeszedł do innej ligi: Stuxneta odkryto w zakładzie wzbogacania uranu bez dostępu do internetu, a pendrive'y były wśród dróg, jakimi przeskoczył izolację. Wykorzystywaną przez niego lukę LNK w Windows, CVE-2010-2568, załatano w marcu 2015 roku, jednak Securelist relacjonował, że lata później wciąż była w czołówce zagrożeń w katalogu głównym dysków. Wyszukane grupy jak Equation, Flame i Regin używały tego samego kanału przeciw sieciom odizolowanym. Z tamtej epoki pochodzi scena z pendrive'em na parkingu, która stała się stałym obrazem fikcji i którą telewizja podchwyciła w serialach takich jak Mr. Robot w 2015 roku.Eksperyment z porzuconymi pendrive'ami
W pracy Users Really Do Plug in USB Drives They Find, zaprezentowanej na IEEE Symposium on Security and Privacy w 2016 roku, Matthew Tischer i koledzy z Google i University of Illinois Urbana-Champaign rozrzucili po kampusie 297 pendrive'ów. Autorzy oszacowali, że w zależności od stanu nośnika podłączono od 45 do 98 procent. A znajdujący rzadko kończyli na podłączeniu: towarzyszący badaniu blog informuje, że 48 procent pendrive'ów podłączono i otwarto w nich co najmniej jeden plik. Pierwszy podłączono w niecałe sześć minut. Jedna piąta podłączeń przypadła na pierwszą godzinę, połowa na pierwsze siedem. To szczegóły czynią badanie niewygodnym. Opisanie pendrive'ów jako egzaminów albo doklejenie adresu zwrotnego niczego nie zmieniło, a miejsce porzucenia też nie: parking działał tak dobrze jak chronione wnętrze. Na pytanie, czemu podłączyli nośnik, 68 procent ankietowanych znalazców odpowiedziało, że chcieli go oddać właścicielowi, a tylko 18 procent przyznało się do ciekawości. Badacze nie znaleźli istotnej różnicy między ludźmi podłączającymi pendrive'y a ogółem populacji. Plikami były nieszkodliwe strony HTML z obrazkiem liczącym, więc każde podłączenie było zliczane bez zarażania kogokolwiek.Przynęta ostrzejsza: BadUSB, pendrive'y HID i zabawki rozładowcze
Od 2014 roku poprawiła się i sama przynęta. Na Black Hat tamtego roku Karsten Nohl i Jakob Lell z SR Labs zademonstrowali BadUSB: kod ataku ukryty w firmware kontrolera urządzenia USB, gdzie nie sięga ani formatowanie, ani antywirus. Przeprogramowany sprzęt może udawać klawiaturę i wpisywać, co zechce, w momencie wpięcia. Jak powiedział Nohl dla WIRED:"Tych problemów nie da się załatać... Wykorzystujemy sam sposób, w jaki zaprojektowano USB."Jego wniosek: zaufanie może pochodzić tylko z pochodzenia; nośniki wymienne należy traktować jak igły hipodermiczne, którymi się nigdy nie dzieli. Skryptowalne wstrzykiwacze HID wywodzące się z tej linii badań sprzedawane są dziś otwarcie jako narzędzia pentestowe, co obniża próg każdemu, kto chce pendrive odpalający klawisze po wpięciu. Nie każdy podrzucony nośnik poluje na dane. Urządzenia USB killer pobierają zasilanie z portu i oddają impulsy wysokiego napięcia w linie danych, niszcząc kontroler, a często i płytę za nim. W 2019 roku student College of Saint Rose w Albany przyznał się do winy w zniszczeniu 66 komputerów kampusu takim urządzeniem; dostał rok więzienia i obowiązek zapłaty 58 471 dolarów odszkodowania.
Dlaczego ostrożność przegrywa
Najczęściej cytowana lekcja eksperymentu: ludzie racjonalizują. Większość znajdujących nie opisywała siebie jako ciekawskich ryzykantów, lecz jako pomocnych. Kampanie uświadamiające powtarzają to samo ostrzeżenie od lat - wytyczne CISA dotyczące nośników wymiennych każą nigdy nie wsuwać znalezionego nośnika i oddać go IT albo ochronie - a jednak wyniki z 2016 roku i nie cichnące statystyki robaka sugerują, że same ostrzeżenia nie przebiją odruchu.Reguły, które się bronią
- Nigdy nie podłączaj nośnika nieznanego pochodzenia do maszyny, na której ci zależy. Oddanie znaleziska ochronie albo IT to właściwa reakcja, nie otwieranie go, by znaleźć właściciela.
- Oceniaj nośnik, nie opakowanie. Badanie pokazało, że etykiety, dołączone klucze i schludny wygląd niczego nie zmieniały.
- Rozdzielaj nośniki prywatne i służbowe, chroń hasłem i szyfruj to, co nosisz, i trzymaj kopie zapasowe.
- Wyłącz autoodpalanie i aktualizuj antywirus oraz łatki; starsze robaki-skróty wciąż tą drogą chodzą.
- Jeśli podejrzany nośnik w ogóle musi być badany, to na dedykowanej, offline maszynie poza produkcją - nigdy na codziennym sprzęcie - a organizacje powinny polityką blokować klasy pamięci na nieużywanych portach.