捡到U盘的圈套：从停车场诱饵到BadUSB与高压浪涌攻击
一枚躺在停车场里的裸U盘，是计算机安全领域最古老的诱饵之一，而且至今仍然奏效。2016年，来自谷歌和伊利诺伊大学厄巴纳-香槟分校的团队精确测量了它到底有多灵。本文回顾"捡到U盘"这一圈套的来龙去脉、那项实地实验的真正发现、现代诱饵硬件的本领，以及哪些防御规则经得起推敲。
从办公蠕虫到物理隔离的设施
借助可移动介质传播的恶意软件，比大多数人对它的认知更早。Sality病毒于2003年首次被检出；那些把自己复制到U盘上、静候下一个受害者的快捷方式型蠕虫，成了挥之不去的背景噪音。卡巴斯基研究人员仅在2017年就记录了1.138亿次针对可移动介质的检出，主要推手是LNK快捷方式家族——用户一点击其模仿的文件，它们便立即启动。 2010年，这一圈套进入了另一个量级：震网（Stuxnet）在一座没有互联网连接的核浓缩设施内被发现，而U盘正是它跨越隔离带的途径之一。它所利用的Windows LNK漏洞CVE-2010-2568于2015年3月才被修补，但Securelist在多年后仍将其列为U盘根目录下的主要威胁之一。Equation、Flame和Regin等高水平组织曾对隔离网络使用同一通道。也正是在那个年代，"停车场里的U盘"成了虚构作品中的固定画面，2015年的《黑客军团》（Mr. Robot）等剧集又让它在电视上回响。"掉落U盘"实验
由谷歌与伊利诺伊大学厄巴纳-香槟分校的Matthew Tischer及同事在2016年IEEE安全与隐私研讨会（IEEE Symposium on Security and Privacy）上发表的论文Users Really Do Plug in USB Drives They Find，在校园里散布了297枚U盘。作者估计，视U盘状况而定，有45%至98%被插入使用。而捡到者很少止步于"插入"：该研究的配套博客报告称，48%的U盘被连接且至少打开了一个文件。第一枚U盘在不到六分钟内就被连接。五分之一的连接发生在第一个小时内，一半发生在七之内。 让这项研究令人不安的正是细节。把U盘标注成考试盘或附上归还地址都不影响结果，投放地点也不影响：停车场的"战绩"与受保护的室内空间一样好。当被问及为何插入U盘时，68%的受访捡到者说是想物归原主，只有18%承认是出于好奇。研究人员发现，插入U盘的人与普通人群之间没有显著差异。文件是带有追踪图片的无害HTML页面，因此每一次连接都被记录在案，却没有感染任何人。更锋利的诱饵：BadUSB、HID攻击器与浪涌玩具
自2014年起，诱饵本身也在升级。在那年的Black Hat大会上，SR Labs的Karsten Nohl与Jakob Lell演示了BadUSB：藏在USB设备控制器固件中的攻击代码——重新格式化够不着它，杀毒软件也不会去看它。固件被重刷的硬件可以在插入的一瞬间伪装成键盘，随意敲击输入。正如Nohl对WIRED所说："这些问题无法通过补丁修复……我们利用的正是USB的设计本身。"他的结论是，信任只能来自来源：对待可移动驱动器，应当像对待从不共用的皮下注射针头。源自这一研究路线的可编程HID注入设备如今作为渗透测试工具公开出售，这让任何想要一根"插入即触发按键"的U盘的人门槛更低。 并非每一枚被投放的U盘都冲着数据来。USB杀手设备从端口取电，再把高压脉冲放电回数据线路，烧毁控制器，往往连后面的电路板也一并毁掉。2019年，奥尔巴尼圣罗斯学院（College of Saint Rose）的一名学生对用此类设备毁坏66台校园计算机的行为认罪；他被判处一年监禁，并被责令赔偿58471美元。
为什么谨慎会输
这项实验最常被引用的教训是：人会自我合理化。大多数捡到者并不认为自己是好奇的冒险者，而是把自己看作乐于助人的人。安全意识宣传活动多年来重复着同样的警告——CISA关于可移动介质的指引要求用户绝不插入捡到的U盘，而是把它交给IT或安全人员——但2016年的结果连同不断累积的蠕虫统计都表明，仅靠警告压不过这种条件反射。经得起推敲的规则
- 绝不要把来历不明的介质插进你在乎的机器。把捡到的U盘交给安全人员或IT才是正确做法，而不是打开它去寻找失主。
- 看U盘本身，而不是它的包装。研究发现，标签、附挂的钥匙和整洁的外观改变不了任何结果。
- 个人介质与工作介质分开存放；为随身数据设置密码保护并加密；做好备份。
- 禁用自动运行，保持安全软件与补丁更新；老旧的快捷方式蠕虫仍然依赖这条路径。
- 如果确需检查不受信任的介质，那也应放在专用的、离线的、非生产环境的机器上——绝不要用日常主力机；组织应通过策略在非关键端口上封锁存储类设备。