Zloben USB pogon bi lahko neopazno prevzel vaš računalnik

Če v računalniku še niste izklopili samodejnega predvajanja USB, je mogoče, da bi z vtiranjem okuženega pogona USB v vaš sistem namestili zlonamerno programsko opremo. Inženirji, katerih centrifuge za čiščenje urana je Stuxnet razstrelil, so se naučili na težko pot. Vendar se izkaže, da zlonamerna programska oprema za samodejno predvajanje ni edini način, kako USB naprave lahko orožijo. Na konferenci Black Hat 2014 sta dva raziskovalca iz berlinskega podjetja SRLabs razkrila tehniko za spreminjanje čipa krmilnika USB naprave, tako da lahko "ponareja različne druge vrste naprav, da bi prevzeli nadzor nad računalnikom, razčistili podatke ali vohunili za uporabnikom.. " To se sliši nekako slabo, ampak v resnici je res, grozno.

Obrnite se na Temno stran

"Smo hekerski laboratorij, ki je običajno osredotočen na vgrajeno varnost, " je povedala raziskovalka Karsten Noll v nagovoru z napolnjeno sobo. "Prvič smo si ogledali računalniško varnost z vgrajenim kotom. Kako je mogoče USB spremeniti na zlonamerne načine?"

Raziskovalec Jakob Lell je skočil naravnost v demonstracijo. USB-pogon je priključil v računalnik z operacijskim sistemom Windows; pokazala se je kot pogon, tako kot bi pričakovali. Toda kmalu zatem se je na novo opredelil kot tipkovnica USB in izdal ukaz, ki je prenesel Trojan na daljavo. To je potegnilo aplavz!

"Ne bomo govorili o virusih v USB-shrambi, " je dejal Noll. "Naša tehnika deluje s praznim diskom. Lahko ga celo preoblikujete. To ni ranljivost Windows, ki bi jo bilo mogoče popraviti. Osredotočeni smo na uvajanje, ne na Trojan."

Krmiljenje krmilnika

"USB je zelo priljubljen, " je dejal Noll. "Večina (če ne vseh) USB naprav ima krmilnik čipa. Z čipom nikoli ne komunicirate, niti OS ga ne vidi. Toda ta krmilnik govori o USB-ju."

Čip USB identificira njegovo vrsto naprave v računalniku in ta postopek lahko kadar koli ponovi. Noll je opozoril, da obstajajo utemeljeni razlogi, da se ena naprava predstavi kot več kot na primer spletna kamera, ki ima en gonilnik za video in drugega za priloženi mikrofon. In resnično je prepoznati USB pogone težko, saj serijska številka ni obvezna in nima določene oblike.

Lell je prehodil natančne korake, ki jih je ekipa sprejela za reprogramiranje vdelane programske opreme na določeno vrsto krmilnika USB. Na kratko so morali prekiniti postopek posodobitve vdelane programske opreme, obrniti inženirje in nato ustvariti spremenjeno različico vdelane programske opreme, ki vsebuje njihovo zlonamerno kodo. "Nismo pokvarili vsega o USB-ju, " je opozoril Noll. "Zamenjali smo dva zelo priljubljena čipa krmilnika. Prvi je trajal morda dva meseca, drugi pa en mesec."

Samoreplikacija

Za drugo predstavitev je Lell v okuženi računalnik vstavil povsem nov prazen USB-pogon iz prvega demo. Okuženi računalnik je reprogramiral vdelano programsko opremo USB diska in se tako razmnožil. Ojoj.

Nato je pravkar okužen pogon vtaknil v prenosni računalnik Linux, kjer je vidno izdal ukaze tipkovnice za nalaganje zlonamerne kode. Demon je še enkrat potegnil aplavz občinstva.

Kraja gesla

"To je bil drugi primer, ko en USB odmeva drugo vrsto naprave, " je dejal Noll, "vendar je to le vrh ledene gore. Za naš naslednji predstavitveni program smo ponovno programirali USB 3 pogon, ki je težje zaznati. Pazi pozorno, skoraj je nemogoče opaziti."

Dejansko nisem mogel zaznati utripanja ikone omrežja, toda po vklopu USB pogona se je pojavilo novo omrežje. Noll je pojasnil, da je pogon zdaj emuliral povezavo Ethernet in preusmeril iskanje računalnika DNS. Če uporabnik obišče spletno mesto PayPal, bo nevidno preusmerjen na spletno mesto za krajo gesla. Ja, demonski demoni so to trdili; ni delovalo.

Zaupanje v USB

"Za trenutek razpravljajmo o zaupanju, ki ga dajemo USB-ju, " je dejal Noll. "To je priljubljeno, ker ga je enostavno uporabljati. Izmenjava datotek prek USB-ja je boljša kot uporaba nešifrirane e-pošte ali shranjevanja v oblaku. USB je osvojil svet. Vatiramo, kako lahko virus USB skeniramo. Še bolj zaupamo tipkovnici USB. Ta raziskava poruši to zaupanje."

"Ne gre samo za situacijo, ko ti nekdo da USB, " je nadaljeval. "Že samo priključitev naprave na računalnik bi jo lahko okužila. Za zadnjo predstavitev bomo uporabili najlažji USB napadalec, telefon Android."

"Pritrdimo ta standardni Android telefon na računalnik, " je dejal Lell, "in poglejmo, kaj se zgodi. Oh, nenadoma se pojavi dodatna omrežna naprava. Pojdimo na PayPal in se prijavimo. Ni sporočila o napaki, ničesar. Ampak zajeli smo uporabniško ime in geslo! " Tokrat je bil gromoglasni aplavz.

"Ali boste zaznali, da se je Android telefon spremenil v Ethernet napravo?" je vprašal Noll. "Ali vaša naprava nadzoruje ali preprečuje programsko opremo za preprečevanje izgube podatkov? Po naših izkušnjah večina ne. In večina se osredotoča samo na pomnilnik USB, ne na druge vrste naprav."

Vrnitev okužbe sektorja škorenj

"BIOS opravi drugačno vrsto naštevanja USB kot operacijski sistem, " je dejal Noll. "To lahko izkoristimo z napravo, ki posnema dva pogona in tipkovnico. Operacijski sistem bo videl samo en pogon. Drugi se prikaže le v BIOS-u, ki se bo z njega zagnal, če je tako konfiguriran. Če ni, lahko pošljemo poljuben pritisk na tipko, morda F12, da omogočimo zagon iz naprave."

Noll je opozoril, da se koda rootkita naloži pred operacijskim sistemom in da lahko okuži druge pogone USB. "To je popolna namestitev virusa, " je dejal. "V računalniku že deluje, preden se lahko naloži kateri koli protivirus. To je vrnitev virusa zagonskega sektorja."

Kaj je mogoče storiti?

Noll je poudaril, da bi bilo izjemno težko odstraniti virus, ki je ostal v strojni opremi USB. Izvlecite ga iz bliskovnega pogona USB, saj se lahko znova okuži s tipkovnico USB. Celo naprave USB, vgrajene v računalnik, se lahko okužijo.

"Na žalost ni preproste rešitve. Skoraj vse naše ideje o zaščiti bi motile uporabnost USB, " je dejal Noll. "Ali bi lahko na seznam zaupali USB napravam? No, lahko bi bili, če bi bile USB naprave enolično prepoznavne, vendar niso."

"Lahko bi popolnoma blokirali USB, vendar to vpliva na uporabnost, " je nadaljeval. "Blokirate lahko kritične vrste naprav, vendar je mogoče zlorabiti celo zelo osnovne razrede. Odstranite jih in ni veliko ostalo. Kaj pa skeniranje zlonamerne programske opreme? Na žalost se morate za branje vdelane programske opreme zanašati na funkcije same programske opreme. zlonamerna programska oprema lahko pokvari zakonito."

"V drugih situacijah prodajalci z digitalnimi podpisi blokirajo posodobitve zlonamerne programske opreme, " je dejal Noll. "Toda varno kriptografijo je težko implementirati na majhnih krmilnikih. Vsekakor pa milijarde obstoječih naprav ostanejo ranljive."

"Ena od izvedljivih zamisli je bila, da v tovarni onemogočimo posodobitve strojne programske opreme, " je dejal Noll. "Zadnji korak: naredite, da vdelane programske opreme ni mogoče znova programirati. Lahko bi jo celo popravili v programski opremi. Zapeljite novo posodobitev vdelane programske opreme, ki blokira vse nadaljnje posodobitve. Lahko bi povrnili malo sfere zaupanja vrednih USB naprav."

Noll se je zaključil s poudarjanjem nekaj pozitivnih uporab tehnik za spreminjanje krmilnika, opisanih tukaj. "Obstajati je treba primer ljudi, ki se igrajo s tem, " vendar ne v zaupanja vrednem okolju. " Jaz, na primer, nikoli ne bom pogledal nobene USB naprave, kot sem jo včasih.