Как вредоносное по может быть запущено с usb носителя

Обновлено: 04.07.2024

Как правило, большинство пентестов проводятся по довольно простой схеме. Сначала при помощи социальной инженерии обеспечивается доступ к целевой среде или ее отдельному звену, а затем производится ее заражение техническими средствами. Вариации проведения атаки могут быть разными, однако обычно классический пентест — это сплав технической части и социальной инженерии в самых различных пропорциях. Недостаток классического пентеста заключается в том, что надо «нащупать» того самого сотрудника и после этого переходить к следующему этапу. Если бы можно было автоматизировать процесс поиска слабого звена и его дальнейшую эксплуатацию, то это могло бы ускорить процесс пентестинга и значительно повысить конечные шансы на успех.

WARNING!

Вся информация предоставлена исключительно в ознакомительных целях. Ни автор, ни редакция не несут ответственности за любой возможный вред, причиненный материалами данной статьи.

Согласно известной статистике, приведенной антивирусными компаниями, около 30% пользователей не пользуются антивирусами, попросту отключают их или не обновляют базы. Отталкиваясь от этого, можно утверждать, что в любой среднестатистической компании найдется определенная группа людей, которая очень пренебрежительно относится к информационной безопасности, и, в свою очередь, именно этих людей целесообразно использовать для проведения атаки. Кроме того, любая функционирующая система может быть подвержена влиянию целого ряда случайных факторов, которые также могут временно парализовать систему безопасности:

слетели настройки прокси-сервера, из-за чего антивирусные базы не были обновлены;
закончился срок лицензии антивируса, а о ее продлении руководство вовремя не позаботилось;
сбой работы сети сделал невозможным удаленную распечатку файлов, из-за чего все сотрудники были вынуждены скопировать документы на флешку и распечатать их в другом отделе.

Достаточно только включить воображение, и можно добавить еще десяток вариантов развития событий. Резюмируя сказанное, можно утверждать, что в любой среднестатистической организации есть потенциально ненадежные сотрудники и иногда возникают обстоятельства, которые могут нарушить привычную работу и парализовать защиту. Поэтому если ударить в нужном месте в нужное время, то атака будет успешна.

Процентное соотношения компьютеров на наличие real-time защиты

На деле задача сводится к следующему: определить, что в данный момент произошло одно из случайных событий, которое привело к снижению безопасности, а после этого воспользоваться данной ситуацией в качестве маскировки и незаметно осуществить атаку.

Фактически задача сводится к тому, чтобы найти человека, который забивает на безопасность, и почему бы не использовать для этого флешки?

Многие вирусописатели очень полюбили флеш-носители, так как они позволяют легко и быстро заражать компьютеры и даже самый элементарный USB-вирус имеет неплохие шансы на успех. Бум autorun-вирусов, который пришелся на 2008 год, спустя пять лет не сбавляет оборотов, более того, USB-вирусы стали еще наглее и порой даже не скрывают своего присутствия. И в то же время зараженная флешка — это универсальный индикатор грамотности ее владельца в вопросе элементарной ИБ. К примеру, если собрать десять флешек у различных людей, то наверняка у троих-четверых из них будут на флешках вирусы. Если спустя неделю повторно взять у этих людей флешки, то у двоих-троих вирусы останутся. Исходя из этого, можно утверждать, что на компьютерах, с которыми работают с данной флешки, не стоит даже самая элементарная защита или она по каким-то причинам отключена или не работает вовсе. Таким образом, даже если распространять самый заурядный вирус, который успешно детектится всеми антивирусами, только среди данной группы людей, то он сможет заразить большое количество компьютеров, прежде чем будет обнаружен. А раз эти компьютеры не имеют защиты, то также он долго сможет оставаться работоспособным.

Подверженность компьютерным угрозам исходя из наличия real-time защиты

На определенный компьютер, к которому периодически подключают флешки, устанавливаем специальную программу, работающую по следующему алгоритму. При подключении очередной флешки программа пытается определить, заражена ли она. Так как нельзя учесть все многообразие USB-вирусов, то имеет смысл использовать эвристический подход определения заражения на основе следующих критериев:

наличие файла autorun.inf;
атрибуты файлов RHS;
малый размер подозрительного файла;
файловая система не NTFS;
отсутствие папки c именем autorun.inf;
наличие файлов ярлыков.

Если данная флешка заражена, то программа записывает ее в базу с указанием серийного номера и хеша подозрительного файла. Если спустя несколько дней флешка повторно подключается к этому компьютеру (а такое происходит почти всегда) и на ней все так же остаются подозрительные файлы, то производится ее заражение нашим «вирусом»; если же подозрительного файла не осталось, то программа удаляет из базы серийный номер этой флешки. Когда же заражается новый компьютер, вирус запоминает серийный номер материнской флешки и никогда ее не заражает и не анализирует, чтобы спустя время не выдать себя, если владелец флешки «поумнеет».

Для получения серийного номера напишем следующую функцию на основе API GetVolumeInformation:

Надо отметить, что функция GetFlashSerial получает не статичный уникальный кодификатор устройства, а лишь серийный номер тома. Этот номер задается случайным числом и, как правило, меняется каждый раз при форматировании устройства. В наших же целях достаточно только серийного номера флешки, так как задача жесткой привязки не стоит, а форматирование подразумевает полное уничтожение информации, фактически приравнивая отформатированную флешку к новой.

Теперь приступим к реализации самой эвристики.

Алгоритм эвристической функции достаточно прост. Сначала мы отсеиваем все устройства с файловой системой NTFS и те, которые не содержат файл autorun.inf. Как правило, все флешки по умолчанию идут с файловой системой FAT32 (реже FAT и еще реже exFAT), однако иногда системные администраторы или другие сотрудники IT-отдела форматируют их в систему NTFS для своих нужд. «Умники» нам не нужны, их мы сразу исключаем. Следующим этапом проверяем файл autorun.inf на атрибуты «скрытый» и «системный». Файл autorun.inf может принадлежать и совершенно законной программе, но если в нем присутствуют данные атрибуты, то можно с очень большой вероятностью утверждать, что флешка заражена вирусом.

Сейчас многие вирусописатели стали реже использовать файл autorun.inf для заражения машин. Причин сразу несколько: во-первых, почти все антивирусы или пользователи отключают опцию автозапуска; во-вторых, на компьютере может быть несколько вирусов, использующих одинаковый способ распространения, и каждый из них перезаписывает файл на свой лад. Поэтому все чаще начал использоваться способ заражения через создание ярлыков и скрытие оригинальных папок. Чтобы не оставить и эти флешки без внимания, мы проверяем наличие файла ярлыка и наличие папки с таким же именем в корне тома. Если при этом папка также имеет атрибуты «скрытый» и «системный», то помечаем эту флешку как зараженную.

Конечно, эвристика имеет свои погрешности и нюансы, поэтому есть смысл ее тщательно проработать к конкретной задаче, однако в нашем случае можно со 100%-й вероятностью утверждать ее корректность.

Если с эвристическим анализом флешки все в целом ясно, то с «заражением» возможны нюансы. Например, можно попросту перезаписать старый вирус нашим без каких-либо поправок в файл autorun.inf, файлы, ярлыки и прочее. Таким образом, наш «вирус» получит управление на новом компьютере, но предварительно лучше также сделать старую копию вируса и сохранить в том же каталоге с чуть отличающимся именем. Если по каким-то причинам на другом компьютере будет работать антивирус, то он обнаружит старый вирус, удалит его, выдаст пользователю предупреждение об успешном уничтожении угрозы — и тем самым обеспечит ложное чувство безопасности у пользователя, а наш «вирус» останется незамеченным.

Кроме этого, в декабрьском выпуске «Хакера» мы также писали об уязвимостях DLL hijacking в различном ПО и о его эффективном применении. Поэтому если предполагается, что на флешках могут находиться такие программы, как менеджеры паролей или портативные версии различного ПО, то имеет смысл использовать данную уязвимость и тем самым расширить спектр пораженных машин и ценность полученных данных для пентеста.

Кстати, не всегда имеет смысл прибегать к заражению флешек. К примеру, если у ИБ-отдела стоит задача просто периодического мониторинга сотрудников на наличие «ненадежных людей», то разумнее установить данную программу на несколько машин и просто записывать серийные номера флешек и время создания вредоносного файла для сбора статистики. Тем самым не требуется буквальным образом обыскивать всех сотрудников, и при этом сохраняется конфиденциальность данных на флешках, а на основе полученных данных можно судить также о возможном заражении домашних компьютеров пользователей и состояния ИБ в целом. Ведь, как мы уже писали ранее, любая система подвержена случайным факторам и не исключен риск появления угроз.

Значения самых популярных угроз

Развернув программу в относительно средней по масштабу сети, уже через неделю мы получили достаточно красноречивые данные. Более 20% всех подключенных флешек были инфицированы каким-либо вирусом или трояном, и более 15% по-прежнему оставались инфицированными при повторном подключении спустя пару дней. Надо также отметить, что на многих компьютерах стояла антивирусная защита, которая периодически исполняла свои обязанности. Однако то привычное равнодушие к выскакивающему предупреждению антивируса, к которому уже давно привыкли пользователи при подключении флешки, не позволяла им предположить, что они имеют дело с совершенно иной угрозой. Ложное чувство безопасности позволяло пользователям без смущения подключать флешку к различным компьютерам, а нашей программе успешно делать свое дело.

Графическое сравнение самых популярных угроз

Устанавливаем нашу программу на компьютеры в компании.
Сканируем подключаемые флешки на наличие признаков зараженности.
«Заражаем» флешки пользователей нашим тестовым «вирусом» или переписываем их номера для статистики.
Докладываем начальству, наказываем пользователей-раздолбаев, держим, не пущаем и запрещаем.

Подводя черту, можно сказать, что главный недостаток этого метода — его неопределенность. Никто не знает, когда именно к компьютеру будет подключена та самая «подходящая» флешка, поскольку это сильно зависит от среды, в которой развернута программа. Однако этот недостаток не умаляет главного преимущества метода. Можно очень долго оставаться незамеченными и, растворяясь среди других угроз, поражать все новые и новые машины полностью в автоматическом режиме. Несложно заметить, что такая методика имеет определенный эффект масштаба. Чем больше сотрудников работает в организации и чем разнообразнее внутренние коммуникации, тем больший будет результат. Хотя этот подход будет отлично работать в структуре совершенно любого масштаба, ведь его основная задача сводится не к массовому поражению системы, а к целевому удару по самому слабому звену — человеку. ][

В наш век, когда USB-устройства получили такое широкое распространение, некоторые, не совсем законопослушные личности или даже компании, занимающиеся программными разработками, не могли этим не воспользоваться. Как оказалось любое USB-устройство может представлять опасность для вашего компьютера. Речь идет не о вредоносном программном обеспечении, записанном на флеш-накопитель, которое при подключении к компьютеру использует механизмы автозапуска Windows и запускается само, речь идет о микропрограммах, вшитых в любое USB-устройство и управляющих его работой. Это значит, что любая такая управляющая прошивка - микропрограмма может иметь встроенный вредоносный программный код, который, не влияя на работу USB-устройства, отлично выполняет свою черную задачу. Самое нехорошее в этом то, что такой вредоносный код не является обычным программным обеспечением, к которому антивирус компьютера имеет доступ, поэтому у обычного пользователя нет реального способа проверить прошивку USB-устройства на безопасность.

Давайте разберемся, какие не хорошие задачи может выполнить вредоносный код прошивки USB-устройства. Для начала разберемся, что такое USB, без заумных слов и в доступной форме. USB расшифровывается как Universal Serial Bus, это универсальный тип порта, используемый для подключения к компьютеру различных устройств и использующий свой протокол связи. Подключаемые USB-устройства могут быть самыми разнообразными, такими, как флэш-накопители и внешние жесткие диски, мыши, клавиатуры, игровые устройства, аудиогарнитуры, сетевые адаптеры и много чего другого, но функционировать они могут лишь под управлением вшитой микропрограммы. Естественно, что для каждого типа приборов применяются свои прошивки. Например, микропрограмма flash drive firmware, управляющая работой типичного флэш-накопителя, позволяет передавать файлы с устройства на компьютер и наоборот, а прошивка USB-клавиатуры конвертирует физическое нажатие клавиш в цифровые коды соответствующие этим клавишам, а также осуществляет передачу этих кодов. Вот тут и начинается самое интересное и в то же время неприятное. Например, обычный флэш-накопитель с встроенным вредоносным кодом может выполнять функции USB-клавиатуры и, используя интернет подключение вашего компьютера передавать данные. Это значит, что когда вы будете делать что-либо в интернете, а вышеописанная флэшка будет подключена к вашему системному блоку, у вас запросто смогут украсть все вводимые вами пароли. Эта же флэшка может позволить злоумышленнику получить удаленный доступ к вашему компьютеру, другими словами злоумышленник сможет, как бы через удаленную USB-клавиатуру открыть на вашем компьютере командную строку, скачать из интернета вредоносную программу и запустить ее, дав согласие на запрос контроля учетных записей (UAC). Еще такие флэшки могут иметь собственное, скрытное интернет соединение для передачи информации с компьютера, например, при промышленном шпионаже. Еще модифицированные прошивки флэшек могут добавлять вредоносный код к файлам, хранящимся на них. Также модифицированное (прошивка имеет вредоносный код) устройство хранения информации, может работать в качестве загрузочного устройства при включении компьютера, это значит, что вначале на компьютер загрузится вредоносная программа – руткит, а затем операционная система, которая будет работать под вредоносной программой. Из всего выше сказанного видно, как простая USB-флэшка может выполнять не совсем обычные функции при помощи вредоносных программных кодов встроенных в прошивку.

И это о флэшках еще не все, сейчас появились вредоносные программы которые, заражая компьютер любым способом, дают ему способность перепрограммировать любые подключенные к нему USB-устройства, превращая их из обычных во вредоносные.

Ну и в конце этого повествования немного о том, как нам избежать применения модифицированных USB-устройств и защитить себя от неприятностей ими вызываемых.

Самое первое это проявление осторожности при применении подозрительных устройств, проще говоря, если вы нашли флэшку и используете ее, то лучше в это время полностью отключите интернет. Также у вас должна быть установлена рабочая версия антивирусной программы, это в какой-то мере поможет избежать заражения вашего компьютера программами перепрограммирующими прошивку USB-устройства, а также не даст прошивке устройства добавить вредоносный код к файлам, хранящимся на самом запоминающем устройстве. Ну и напоследок, по статистике наиболее часто модифицированные флэшки можно найти на автостоянках принадлежащих крупным финансовым компаниям или компаниям, имеющим свои бизнес секреты или разработки.

Желаю Вам успеха! Ставьте лайк, если понравилась статья, а также подписывайтесь на канал, узнаете много нового!

HID-устройства, превращенные в «троянских коней», и кабели-шпионы могут использоваться для проникновения даже в изолированные системы.

Однако не стоит забывать о том, что USB-устройства — это не только флешки. Устройства типа human interface devices (HID), такие как клавиатуры и мыши, зарядные кабели для смартфонов и даже плазменные шары и термокружки — все они могут быть использованы при атаке на промышленные системы.

Краткая история зловредных USB-устройств

Кибероружие в виде USB-устройств появилось довольно давно, первые модели увидели свет еще в 2010 году. В них была небольшая программируемая плата Teensy со стандартным USB-разъемом. Они могли имитировать работу HID-устройства (например, клавиатуры). Злоумышленники быстро сообразили, что такие устройства можно использовать для проникновения: они разработали версию, которая умела создавать новых пользователей в системе, запускать программы с бэкдорами и загружать в систему вредоносное ПО, копируя его с устройства или скачивая с сайта.

Первая модификация Teensy получила название PHUKD. За ней последовала Kautilya, совместимая с большинством популярных плат Arduino. Позже появился Rubberducky — пожалуй, самый известный USB-эмулятор нажатий клавиш (скажем спасибо Mr. Robot), выглядевший как обычная флешка. Более мощное устройство под названием Bash Bunny использовалось для атак на банкоматы.

Второе поколение вредоносных USB-устройств было создано в 2014–2015 годах — среди них, в частности, печально известные решения на базе BadUSB. Еще заслуживают упоминания TURNIPSCHOOL и Cottonmouth, которые, возможно, были разработаны Агентством национальной безопасности США. Эти устройства были настолько крохотными, что запросто помещались внутри USB-кабеля. С их помощью можно было добыть данные даже из компьютеров, которые не были подключены ни к каким сетям. Это же самый обычный кабель — кто заподозрит неладное?

Как сейчас обстоят дела со зловредными USB-устройствами

Третье поколение USB-устройств, тестирующих системы на проникновение, — это уже совершенно другой уровень. Один из таких инструментов — WHID Injector. По сути, это Rubberducky с возможностью удаленного подключения. Благодаря поддержке Wi-Fi его уже не надо заранее программировать на определенный род деятельности: преступник может управлять устройством дистанционно, что дает ему возможность действовать по ситуации и работать в разных операционных системах. Еще один инструмент третьего поколения — P4wnP1, основанный на Raspberry Pi, модификация Bash Bunny с дополнительными функциями, включая беспроводное подключение.

Разумеется, и WHID Injector, и Bash Bunny достаточно компактны и легко помещаются в клавиатуру или мышь. На этом видеоролике показан ноутбук, который не подключен к Интернету ни по локальной сети, ни через Wi-Fi, но к нему подсоединена клавиатура с трояном, которая позволяет атакующему удаленно выполнять команды и запускать приложения.

Миниатюрные USB-устройства вроде тех, о которых мы говорили выше, можно запрограммировать так, чтобы они выдавали себя за определенную модель HID-устройства. Так можно обходить политики безопасности в компаниях, где требуют использовать мыши и клавиатуры только определенных производителей. В инструментах вроде WHID Injector также может быть микрофон, который используется для прослушки и наблюдения за сотрудниками. Одного такого устройства может быть достаточно, чтобы скомпрометировать всю сеть целиком, если она не сегментирована надлежащим образом.

Как защитить системы от вредоносных USB-устройств

Троянизированные мыши, клавиатуры и кабели-шпионы представляют серьезную угрозу даже для изолированных систем. Сегодня инструменты для таких атак стоят дешево, а чтобы их программировать, не нужны специальные навыки. Так что вам следует постоянно быть начеку.

Для защиты критически важной инфраструктуры следует использовать многоуровневый подход.

Список из десяти киберугроз для съёмных носителей, основанный на данных глобальной облачной сети Kaspersky Security Network (KSN), включает семейство троянцев Windows LNK, уязвимость CVE-2010-2568, которую применили при внедрении Stuxnet, и известного криптомайнера Trojan.Win64.Miner.all.

Эксперты «Лаборатории Касперского» рассказали о том, какие зловреды чаще всего заражают компьютеры через USB-накопители. Список из десяти киберугроз для съёмных носителей, основанный на данных глобальной облачной сети Kaspersky Security Network (KSN), включает семейство троянцев Windows LNK, уязвимость CVE-2010-2568, которую применили при внедрении Stuxnet, и известного криптомайнера Trojan.Win64.Miner.all.

Криптомайнер, детектируемый KSN как Trojan.Win32.Miner.ays и Trojan.Win64.Miner.all, известен с 2014 года. Он загружает приложение для майнинга на заражённое устройство, затем устанавливает и незаметно запускает его. Доля обнаружений 64-битной версии этого вредоноса увеличивается: в 2017 году она выросла на 18% по сравнению с 2016 годом, а в 2018 году — на 16% по сравнению с 2017 годом.

В августе 2018 года USB-устройства были задействованы в атаках Dark Tequila — сложного банковского зловреда. Более того, по данным KSN, в первой половине 2018 года 8% киберугроз, нацеленных на промышленные системы управления, были распространены именно посредством съёмных носителей.

«Лаборатория Касперского» рекомендует придерживаться нескольких простых правил, чтобы использование USB-устройств и других съёмных носителей было безопасным.

Советы для всех пользователей:
— будьте осторожны с устройствами, которые подключаете к компьютеру;
— используйте защитное решение, которое проверяет все съёмные носители на наличие вредоносного ПО;
— инвестируйте в зашифрованные USB-устройства от надёжных производителей: таким образом, ваши данные будут в безопасности, даже если вы потеряете такое устройство;
— убедитесь, что все данные, хранящиеся на USB-устройстве, шифруются.

Читайте также: