Видео: BMR-X Final stages (Finally!!) (Ноември 2024)
Ако не сте изключили USB автоматичното възпроизвеждане на вашия компютър, възможно е включването на заразено USB устройство да инсталира злонамерен софтуер на вашата система. Инженерите, чиито центрофуги за пречистване на уран бяха взривени от Stuxnet, научиха, че по трудния начин. Оказва се, обаче, че злонамереният софтуер за автоматична игра не е единственият начин USB устройствата да могат да бъдат въоръжени. По време на конференцията Black Hat 2014 двама изследователи от базираната в Берлин SRLabs разкриха техника за модифициране на чипа на контролера на USB устройство, така че да може да „излъчва различни други типове устройства, за да поеме контрола над компютър, да ексфилтрира данни или да шпионира потребителя. " Това звучи доста зле, но всъщност е наистина, наистина страховито.
Обърнете се към Тъмната страна
"Ние сме хакерска лаборатория, която обикновено е фокусирана върху вградената сигурност", заяви изследователят Карстен Нол, изказвайки се в пълна стая. "Това е първият път, когато разгледахме компютърна защита с вграден ъгъл. Как може USB да бъде пренареден по злонамерен начин?"
Изследователят Якоб Лел скочи право в демонстрация. Той включи USB устройство в компютър с Windows; тя се показа като нагон, точно както очаквате. Но малко по-късно той се предефинира като USB клавиатура и издаде команда, която изтегли троянския достъп с отдалечен достъп. Това привлече аплодисменти!
"Няма да говорим за вируси в USB хранилището", каза Нол. "Нашата техника работи с празен диск. Можете дори да я преформатирате. Това не е уязвимост на Windows, която може да бъде кръпка. Ние сме фокусирани върху внедряването, а не върху троянския."
Контрол на контролера
"USB е много популярен", каза Нол. "Повечето (ако не всички) USB устройства имат чип на контролера. Никога не взаимодействате с чипа, нито пък операционната система го вижда. Но този контролер е това, което говори USB."
USB чипът идентифицира типа му устройство към компютъра и той може да повтори този процес по всяко време. Нол посочи, че има основателни причини едно устройство да се представи като повече от едно, например уеб камера, която има един драйвер за видео и друг за прикачения микрофон. И наистина идентифицирането на USB устройства е трудно, тъй като сериен номер е незадължителен и няма фиксиран формат.
Лел премина през точните стъпки, предприети от екипа, за да препрограмира фърмуера на конкретен тип USB контролер. Накратко, те трябваше да прекъснат процеса на актуализиране на фърмуера, да обърнат обратно инженерния софтуер и след това да създадат модифицирана версия на фърмуера, съдържаща техния зловреден код. "Не сме нарушили всичко за USB", отбеляза Нол. "Ние реинженерираме два много популярни чипа на контролера. Първият отне може би два месеца, вторият един месец."
Саморепликиращо
За втората демонстрация Lell вкара чисто ново празно USB устройство в заразения компютър от първата демонстрация. Заразеният компютър препрограмира фърмуера на празния USB диск, като по този начин се репликира. О Боже.
След това той включи току-що заразения диск в преносим компютър на Linux, където видимо издаде команди от клавиатурата, за да зареди злонамерен код. За пореден път демото привлече аплодисменти от публиката.
Кражба на пароли
"Това беше втори пример, при който един USB ехо от друг тип устройство", каза Нол, "но това е само върхът на айсберга. За следващото ни демонстрация препрограмирахме USB 3 устройство, за да бъде тип устройство, което е по-трудно да се открие. Гледайте внимателно, това е почти невъзможно да видите."
Наистина не можах да открия трептенето на иконата на мрежата, но след като USB устройството беше включено, се появи нова мрежа. Нол обясни, че устройството сега емулира Ethernet връзка, пренасочвайки търсенето на DNS на компютъра. По-конкретно, ако потребителят посети уебсайта на PayPal, той ще бъде невидимо пренасочен към сайт за кражба на парола. Уви, демоните твърдяха това; не работи.
Доверете се на USB
"Нека да обсъдим за момент доверието, което ние даваме на USB", каза Нол. „Популярен е, защото е лесен за използване. Обменът на файлове чрез USB е по-добър, отколкото използването на незашифрована електронна поща или съхранение в облак. USB е завладял света. Ние знаем как да сканираме USB устройство, да се доверим на USB клавиатурата още повече. Това проучване разрушава това доверие."
"Не е само ситуацията, когато някой ви даде USB", продължи той. „Самото свързване на устройството към вашия компютър може да го зарази. За последно демонстрация ще използваме най-лесния USB нападател, телефон с Android.“
"Нека просто прикачим този стандартен Android телефон към компютъра", каза Лел, "и вижте какво ще се случи. О, изведнъж има допълнително мрежово устройство. Нека отидем на PayPal и да влезем. Няма съобщение за грешка, нищо. Но ние заснехме потребителското име и паролата! " Този път аплодисментите бяха гръмотевични.
"Ще откриете ли, че Android телефонът се е превърнал в Ethernet устройство?" - попита Нол. "Контролира ли вашето устройство или софтуерът за предотвратяване на загуба на данни? По наш опит повечето не го правят. И повечето се фокусират само върху USB съхранение, а не върху други типове устройства."
Връщането на заразения от сектора обувки
"BIOS прави различен тип USB изброяване от операционната система", заяви Нол. „Можем да се възползваме от това с устройство, което емулира два диска и клавиатура. Операционната система ще вижда само едно устройство. Второто се появява само в BIOS, който ще се зарежда от него, ако е конфигуриран да го направи. Ако не е, можем да изпратим каквото и да е натискане на клавиша, може би F12, за да активираме зареждане от устройството."
Нол посочи, че кода на rootkit се зарежда преди операционната система и че може да зарази други USB устройства. „Това е перфектното внедряване на вирус“, каза той. "Вече работи на компютъра, преди някой антивирусен да може да се зареди. Това е връщането на вируса на зареждащия сектор."
Какво може да се направи?
Нол посочи, че би било изключително трудно да се премахне вирус, останал във фърмуера на USB. Извадете го от USB флаш устройството, може да се инфектира отново от вашата USB клавиатура. Дори USB устройствата, вградени във вашия компютър, могат да бъдат заразени.
"За съжаление няма просто решение. Почти всички наши идеи за защита биха попречили на полезността на USB", каза Нол. „Бихте ли могли да имате бели списъци с доверени USB устройства? Е, бихте могли, ако USB устройствата се идентифицират по уникален начин, но не са.“
„Бихте могли да блокирате изцяло USB, но това се отразява на използваемостта“, продължи той. „Бихте могли да блокирате критични типове устройства, но дори и много основни класове могат да бъдат злоупотребявани. Премахнете тези и не е останало много. Какво ще кажете за сканирането на злонамерен софтуер? За съжаление, за да прочетете фърмуера, трябва да разчитате на функциите на самия фърмуер, така че злонамерен фърмуер може да измами законен."
„В други ситуации доставчиците блокират актуализации на злонамерен фърмуер, използвайки цифрови подписи“, каза Нол. "Но сигурната криптография е трудна за изпълнение на малки контролери. Във всеки случай милиарди съществуващи устройства остават уязвими."
"Единствената работеща идея, която измислихме, беше да деактивираме актуализациите на фърмуера във фабриката", каза Нол. "Последната стъпка, която правите, така че фърмуерът да не може да бъде препрограмиран. Можете дори да го поправите в софтуера. Изгорете една нова надстройка на фърмуера, която блокира всички допълнителни актуализации. Бихме могли да завладеем малко от сферата на надеждни USB устройства."
Noll приключи, като посочи някои положителни приложения за техниката за модификация на контролера, описана тук. "Трябва да се направи случай на хора, които си играят с това", каза той, "но не в надеждни среди". Аз, например, никога няма да погледна нито едно USB устройство по начина, по който преди.
