Bulunan USB tuzağı: otopark yeminden BadUSB'ye ve aşırı gerilim saldırılarına
Otoparkta duran çıplak bir USB bellek, bilgisayar güvenliğinin en eski yemlerinden biridir ve hâlâ işe yarar. 2016'da Google ve Illinois Üniversitesi Urbana-Champaign'den bir ekip bunun tam olarak ne kadar iyi çalıştığını ölçtü. Bu yazıda bulunan-USB tuzağının nereden çıktığına, o saha deneyinin gerçekte ne bulduğuna, modern yem donanımının neler yapabildiğine ve hangi savunma kurallarının ayakta kaldığına bakıyoruz.
Ofis solucanlarından hava boşluklu tesislere
Taşınabilir ortamlara taşınan kötücül yazılımlar, çoğu insanın farkında olmasından daha eski. Sality virüsü ilk kez 2003'te tespit edildi; kendisini belleklere kopyalayan ve bir sonraki kurbanı bekleyen kısayol tabanlı solucanlar kalıcı bir arka plan gürültüsüne dönüştü. Kaspersky'nin araştırmacıları yalnızca 2017'de 113,8 milyon taşınabilir ortam tespiti saydı; bunun motoru, kullanıcı taklit ettiği dosyaya tıklar tıklamaz devreye giren LNK kısayol aileleriydi. Tuzak 2010'da bambaşka bir sınıfa geçti: İnternet bağlantısı olmayan bir nükleer zenginleştirme tesisinin içinde Stuxnet keşfedildi; USB bellekler, virüsün bu boşluğu aşmasının yollarından biriydi. Sömürdüğü Windows LNK açığı CVE-2010-2568 Mart 2015'te yamalandı; yine de Securelist yıllar sonra bile bu açığı sürücü kökündeki en yaygın tehditler arasında gösteriyordu. Equation, Flame ve Regin gibi gelişmiş gruplar izole ağlara karşı aynı kanalı kullandı. Otoparkta USB bellek sahnesi de kurguda klişeleşen bu dönemden gelir; 2015'te Mr. Robot gibi dizilerle televizyonda yankılandı.Bırakılan bellek deneyi
Matthew Tischer ile Google ve Illinois Üniversitesi Urbana-Champaign'den meslektaşlarının 2016 IEEE Symposium on Security and Privacy'de sunduğu Users Really Do Plug in USB Drives They Find adlı makale, kampüsün dört bir yanına 297 bellek bıraktı. Yazarlar, belleğin durumuna bağlı olarak yüzde 45 ile 98'inin takıldığını tahmin etti. Bulanlar da genellikle takmakla kalmadı: çalışmanın eşlik eden blog yazısı, belleklerin yüzde 48'inin bağlandığını ve en az bir dosyanın açıldığını aktarıyor. İlk bellek altı dakikadan kısa sürede bağlandı. Bağlantıların beşte biri ilk saat içinde, yarısı yedi içinde gerçekleşti. Çalışmayı rahatsız eden şey detayları. Bellekleri sınav diye etiketlemek ya da üstüne iade adresi iliştirmek sonuçları değiştirmedi; bırakma yeri de: otopark, korumalı bir kapalı alan kadar iyi işledi. Belleği neden taktıkları sorulduğunda ankete katılan bulanların yüzde 68'i sahibine iade etmek istediğini söyledi; yalnızca yüzde 18 merakı itiraf etti. Araştırmacılar, bellek takanlarla genel nüfus arasında anlamlı bir fark bulmadı. Dosyalar, izleme görüntüsü içeren zararsız HTML sayfalarıydı; böylece kimseye bulaştırmadan her bağlantı sayıldı.Daha keskin yem: BadUSB, HID bellekler ve gerilim oyuncakları
2014'ten bu yana yem kendisi de gelişti. O yılki Black Hat konferansında SR Labs'tan Karsten Nohl ve Jakob Lell BadUSB'yi gösterdi: USB aygıtının denetleyici aygıt yazılımına (firmware) gizlenmiş saldırı kodu; biçimlendirme oraya ulaşmaz, antivirüs de oraya bakmaz. Aygıt yazılımı değiştirilmiş donanım, takıldığı anda klavyeye dönüşüp istediğini yazabilir. Nohl'un WIRED'a söylediği:"Bu sorunlar yamayla giderilemez... USB'nin tasarlandığı işleyişin ta kendisini sömürüyoruz."Vardığı sonuç, güvenin yalnızca kökenin bilinmesinden gelebileceğiydi: taşınabilir belleklere, asla paylaşılmayan hipodermik iğneler gibi davranılmalı. Bu araştırma hattından türeyen betiklenebilir HID enjeksiyon aygıtları bugün açıkça sızma testi aracı olarak satılıyor; takıldığı anda tuş vuruşları ateşleyen bir bellek isteyen herkes için baraj düşmüş durumda. Bırakılan her bellek veri peşinde değildir. USB killer aygıtları porttan güç çeker ve yüksek gerilimli darbeleri veri hatlarına geri boşaltır; denetleyiciyi ve çoğu zaman arkasındaki kartı da yok eder. 2019'da Albany'deki College of Saint Rose'da okuyan bir öğrenci, böyle bir aygılla 66 kampüs bilgisayarını yok etme suçunu kabul etti; bir yıl hapis cezasına çarptırıldı ve 58.471 dolar tazminat ödemeye mahkûm edildi.
Dikkat neden kazanamıyor
Deneyin en çok alıntılanan dersi, insanların davranışlarını rasyonelleştirmesi. Bulanların çoğu kendini meraklı bir risk tutkunu olarak değil, yardımsever olarak tanımladı. Farkındalık kampanyaları aynı uyarıyı yıllardır yineliyor - CISA'nın taşınabilir ortam rehberi kullanıcıdan bulunan belleği asla takmamasını, BT ya da güvenlik personeline teslim etmesini istiyor - ama 2016 sonuçları da art arda gelen solucan istatistikleri de, uyarıların tek başına refleksi bastıramadığını gösteriyor.Ayakta kalan kurallar
- Bilinmeyen kaynaklı ortamı, değer verdiğiniz bir makineye asla takmayın. Bulunan belleği güvenlik personeline ya da BT'ye teslim etmek doğru yanıttır; sahibini tespit etmek için açmak değil.
- Belleği ambalajına göre değil, kendine göre yargılayın. Çalışma, etiketlerin, iliştirilmiş anahtarların ve derli toplu görünümün hiçbir şeyi değiştirmediğini gösterdi.
- Kişisel ve iş ortamlarını ayrı tutun, taşıdıklarınızı parolayla koruyup şifreleyin ve yedeklerinizi ihmal etmeyin.
- Otomatik çalıştırmayı (autorun) kapatın, güvenlik yazılımınızı ve yamalarınızı güncel tutun; eski kısayol solucanları hâlâ bu yola güvenir.
- Güvenilmeyen ortamın incelenmesi gerçekten gerekiyorsa bu, özel amaçlı, çevrimdışı, üretim dışı bir makinede yapılmalı - asla günlük kullandığınız makinede değil - ve kuruluşlar, politika gereği kritik olmayan portlarda depolama sınıfı aygıtları engellemeli.