The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

03.10.2014 15:59  Открыт код инструментария для проведения атак через модификацию прошивок USB-накопителей

Летом на конференции Black Hat был представлен и продемонстрирован новый класс атак BadUSB, проводимых с USB-устройств со специально модифицированной прошивкой. Суть атаки сводится к эмуляции одним устройством совершенно другого типа USB-устройств или модификации передаваемых данных, например, USB-накопитель в определённый момент может притвориться USB-клавиатурой или подменить копируемые данные, но активировать подмену только при определённых условиях для того чтобы проверка по контрольной сумме не выявила расхождений.

Атаку представил известный исследователь безопасности Карстен Нол (Karsten Nohl), который опубликовал только тестовый прототип эмуляции устройств для платформы Android. Наиболее интересные и опасные наработки, связанные с изменениями прошивок остались недоступны широкой публике. Позднее, разработчики проекта Kali Linux подготовили собственную реализацию метода и включили её в продукт Kali NetHunter, предназначенный для использования на смартфонах под управлением платформы Android. Метод позволяет при помощи смартфона эмулировать сетевой USB-адаптер, который может использоваться для MITM-атак, или USB-клавиатуру, выполняющую подстановку символов.

Два независимых исследователя, Brandon Wilson и Adam Caudill, сумели воспроизвести технику атаки для USB-накопителей и несколько дней назад опубликовали на GitHub исходные тексты компонентов, необходимых для модификации прошивок накопителей с чипами контроллеров компании Phison Electronics, а также примеры патчей для прошивок с реализацией метода подстановки клавиатурного ввода и создания полностью скрытого от внешнего мира раздела (прошивка выводит правильный размер итогового накопителя, но часть данных скрывает и показывает только при наступлении определённых событий). Код опубликован под лицензией MIT.

В состав входит приложение для взаимодействия с накопителями Phison, программа для встраивания в прошивку дополнительной функциональности в формате Rubber Ducky, скрипты для загрузки прошивки на устройство, программа для извлечения адресов из прошивки и встраивания кода в прошивку, пример собственной прошивки и коллекция патчей для прошивок. На wiki-странице проекта доступна подробная документация по внесению изменений в прошивку. Разработчики надеются, что публикация инструментария для совершения атаки станет стимулом для внедрения производителями технологий верификации прошивок по цифровым подписям.

Производители USB-устройств оказались совершенно не готовы для данного класса атак, так как в настоящее время системы рассчитаны на то, что USB-устройства выполняют только штатные действия и пользуются слишком высоким уровнем доверия. USB-устройство выглядит для системы чёрным ящиком, в котором невозможно проверить корректность прошивки, а наличие вредоносных модификаций прошивки невозможно зафиксировать до момента совершения атаки. Получить код прошивки с внешнего USB-устройства можно только при участии самой прошивки, которая может успешно скрывать все изменения. Анализ прошивки возможен через такие методы, как физическое дизасcемблирование и обратный инжиниринг устройства, проведение которых возможно только при наличии специализированного оборудования. При этом провести изначальную модификацию прошивки можно в обычном программном окружении без привлечения спецсредств.



  1. Главная ссылка к новости (http://threatpost.com/badusb-a...)
  2. OpenNews: Kali NetHunter, превращающий Android-устройство в окружение исследователя безопасности
  3. OpenNews: Новый вид атак с использованием перепрограммированных USB-устройств
Лицензия: CC-BY
Тип: К сведению
Ключевые слова: badusb
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Линейный вид | Ajax | Показать все | RSS
 
  • 1.1, pavlinux, 21:37, 03/10/2014 [ответить] [смотреть все]
  • +2 +/
    > при помощи смартфона эмулировать сетевой USB-адаптер, который может использоваться для MITM-атак

    In The Middle между кем?

    ---
    > Разработчики надеются, что публикация инструментария для совершения атаки станет стимулом
    > для внедрения производителями технологий верификации прошивок по цифровым подписям.

    Какие нафиг подписи, вы чо?! Одноразовую, не перезаписываемую флеш и всё!
    Так дело дойдёт и до ЭЦП кондеров/резисторов/катушек и втыкание сертифицированных коннекторов.

    ---
    To set up a build environment, you need to:

    Install Visual Studio 2012 Express (for building the tools).
    Install SDCC (Small Device C Compiler) suite to C:\Program Files\SDCC (for building the firmware and patches).

    не, ну я так не играю ...

     
     
  • 2.6, Skif, 22:27, 03/10/2014 [^] [ответить] [смотреть все] [показать ветку]
  • +1 +/
    Перепbшите под gcc, в чём проблема?
     
     
  • 3.8, pavlinux, 22:31, 03/10/2014 [^] [ответить] [смотреть все]
  • +/
    Слухай, сходи ссылочки wiki почитай, на Писон сайт слазай, через неделю с ре... весь текст скрыт [показать]
     
     
  • 4.22, Аноним, 01:24, 04/10/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    Слушай, павлин, DiHalt уж сто лет назад патченой мышкой с завода данные спер Пр... весь текст скрыт [показать]
     
     
  • 5.43, pavlinux, 05:25, 05/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Гонишь батенька 1 Если комп в ящике, как мышь воткнули 2 Если комп в ящике... весь текст скрыт [показать]
     
     
  • 6.49, Онаним, 10:46, 06/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Открою Вам тайну Есть такая отмычка для компов в железном ящике - социнженерия ... весь текст скрыт [показать]
     
     
  • 7.55, Посторонним В, 18:27, 06/10/2014 [^] [ответить] [смотреть все]  
  • +/
    О какие тайны всплывают-то А до этого казалось-бы всего-то и хакерства нужно бы... весь текст скрыт [показать]
     
  • 2.7, Anonymus, 22:28, 03/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Ещё и ЭЦП проводов Давным-давно же было кино где вирус в куске кабеля мог жить ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.12, Аноним, 23:00, 03/10/2014 [^] [ответить] [смотреть все]  
  • +3 +/
    А теперь в куске кабеля спокойно умещается микропроцессор и флеш-память Есть да... весь текст скрыт [показать]
     
  • 2.23, Аноним, 01:29, 04/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Между юзерскими программами и настоящим адаптером Хоть я и не понимаю как сетев... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.35, Аноним, 12:33, 04/10/2014 [^] [ответить] [смотреть все]  
  • +2 +/
    Внедрить шелл через сбой в своем собственном драйвере думаешь совсем не вариант ... весь текст скрыт [показать]
     
  • 3.37, vi, 19:12, 04/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Не баг, а фича Ни через полдня, а после окончания гарантийного срока Так ч... весь текст скрыт [показать]
     
  • 3.44, pavlinux, 05:40, 05/10/2014 [^] [ответить] [смотреть все]  
  • +/
    То есть приходим, втыкаем сетевуху, куда-то сливаем трафик это MITM сейчас на... весь текст скрыт [показать]
     
  • 2.50, bOOster, 15:32, 06/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Никто не готов к отвественности одноразовой записи Раньше на тестирование проши... весь текст скрыт [показать] [показать ветку]
     
  • 1.2, arzeth, 21:37, 03/10/2014 [ответить] [смотреть все]  
  • –1 +/
    Если я правильно понял, то вот решение:
    Перед тем как пользовать USB-устройство, будет каждый раз появляться окно, где будут написаны тип устройства, какой драйвер, когда и в какой порт был воткнут, «введите пароль от root».
     
     
  • 2.3, pavlinux, 21:50, 03/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    >  «введите пароль от root».

    Ага, пакетам на уровне шины USB


     
     
  • 3.10, Аноним, 22:54, 03/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Все проще, каркуша Флешка-которая-клава будет иногда наудачу посылать тебе паро... весь текст скрыт [показать]
     
     
  • 4.13, Аноним, 23:05, 03/10/2014 [^] [ответить] [смотреть все]  
  • +2 +/
    И фейковой мышой по рекламным ссылкам тыкать.
     
     
  • 5.14, Аноним, 23:24, 03/10/2014 [^] [ответить] [смотреть все]  
  • +/
    А это уже хардварное читерство Вроде для всяких боттеров добывающих виртуальные... весь текст скрыт [показать]
     
  • 4.32, YetAnotherOnanym, 12:07, 04/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Сделают привязку сеанса к устройству, с которого был введён пароль, если этого е... весь текст скрыт [показать]
     
  • 4.45, pavlinux, 05:49, 05/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Ты б хоть для приличия спеки, хотя бы USB 1 0, прочел А то размечтались тут ... весь текст скрыт [показать]
     
  • 2.4, Аноним, 21:51, 03/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Нет Все устройства в светлом настоящем и будущем должны взаимно проверять подпи... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.33, YetAnotherOnanym, 12:08, 04/10/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    А у кого прошивка без подписи - линчевать ... весь текст скрыт [показать]
     
  • 3.38, vi, 19:18, 04/10/2014 [^] [ответить] [смотреть все]  
  • +/
    А за подписями куда обращаться, в Матрицу ... весь текст скрыт [показать]
     
  • 1.9, Phis0n, 22:39, 03/10/2014 [ответить] [смотреть все]  
  • –4 +/
    Потрясающая новость Уже собрал и накатил свой патч, добавляющий кое-какую функц... весь текст скрыт [показать]
     
     
  • 2.25, Аноним, 02:01, 04/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Че Даже если твоя флешка будет работать как сетевой адаптер, то данные на него ... весь текст скрыт [показать] [показать ветку]
     
  • 2.54, Посторонним В, 18:02, 06/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Только есть риск Что пожизненной выплатой компенсации всех убытков дело может н... весь текст скрыт [показать] [показать ветку]
     
  • 1.11, Аноним, 22:56, 03/10/2014 [ответить] [смотреть все]  
  • +/
    Я узнал что у меня Есть огромная семья MP5, бронежилет, Нож, фонарь и взрывпаке... весь текст скрыт [показать]
     
     
  • 2.48, commiethebeastie, 11:38, 05/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    Хакер с армовской платой обрушит биржу, парализует банковскую систему и доведет ... весь текст скрыт [показать] [показать ветку]
     
  • 1.15, Kodir, 23:50, 03/10/2014 [ответить] [смотреть все]  
  • –2 +/
    Я бы не сказал, что всё совсем уж страшно - ОС сама должна говорить юзеру "подключаю внешний диск - ОК?".

    Насколько я слышал, сам USB стандарт - полное гуано, слишком сложный для полной реализации (и какой му***ак его придумал?), так что замена USB - вполне хорошая альтернатива. Особенно в сфере надвигающегося Lightning.

     
     
  • 2.16, Xasd, 23:55, 03/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    USB-мышки и USB-клавиатуры -- работают хорошо нет смысла их заменять на что-то ... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.18, Crazy Alex, 00:50, 04/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Ну, мышки и клавиатуры - прекрасно работают и PS2 Клавиатуры - даже лучше, чем ... весь текст скрыт [показать]
     
     
  • 4.20, Аноним, 01:20, 04/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Правда на половине мамок разъемы или выпилили или оставили 1 вместо 2 И чем луч... весь текст скрыт [показать]
     
     
  • 5.27, Xasd, 02:32, 04/10/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    уж точно лучше не тем фактом что PS 2 в отличии от USB запрещается втыкать в... весь текст скрыт [показать]
     
     
  • 6.36, Аноним, 14:52, 04/10/2014 [^] [ответить] [смотреть все]  
  • +/
    В современных матерях, кстати, с этим всё в порядке С PS 2 проблемы в другом В... весь текст скрыт [показать]
     
     
  • 7.47, pavlinux, 06:43, 05/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Не пиши больше Какая в пясту шина ISA У PS 2 свой контроллер, - трех регистро... весь текст скрыт [показать]
     
  • 6.46, pavlinux, 05:58, 05/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Ты явно не в IT сфере работаешь В общем, там где есть что скрывать, для замены ... весь текст скрыт [показать]
     
  • 3.21, j3qq4, 01:22, 04/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Не, то Fire-Wire ... весь текст скрыт [показать]
     
     
  • 4.24, Аноним, 01:30, 04/10/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    А в lightning вроде как додумались PCI-E наружу вывешивать, там тоже DMA можно ... весь текст скрыт [показать]
     
     
  • 5.29, Аноним, 10:21, 04/10/2014 [^] [ответить] [смотреть все]  
  • +/
    а что вас смущает это несколько линий pcie, выведенных как провод, а не разъём ... весь текст скрыт [показать]
     
  • 2.19, Аноним, 01:19, 04/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +1 +/
    Вот когда будешь разрабатывать usb девайсы - тогда и будешь свое мнение толкать ... весь текст скрыт [показать] [показать ветку]
     
     ....нить скрыта, показать (11)

  • 1.26, Аноним, 02:09, 04/10/2014 [ответить] [смотреть все]  
  • +/
    Выводить сообщения в трей подключен ums, подключена клавиатура и т д, а лучше ... весь текст скрыт [показать]
     
     
  • 2.28, Аноним, 02:39, 04/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    А что делать при загрузке ОС Зафлудить юзера сообщениями а я тут 100500 девайс... весь текст скрыт [показать] [показать ветку]
     
     
  • 3.30, Алексей, 11:01, 04/10/2014 [^] [ответить] [смотреть все]  
  • –1 +/
    как вариант отслеживать только многофункциональные устройства типа и модем и сд-... весь текст скрыт [показать]
     
     
  • 4.31, Аноним, 11:52, 04/10/2014 [^] [ответить] [смотреть все]  
  • +1 +/
    да, всего надо - глазок высокого разрешения над компьютером, софт от агенства и ... весь текст скрыт [показать]
     
  • 4.41, Аноним, 03:42, 05/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Да нынче по статьям типа 273 если захотят - тоже нехило припаяют А если не захо... весь текст скрыт [показать]
     
  • 4.42, Аноним, 03:49, 05/10/2014 [^] [ответить] [смотреть все]  
  • +/
    А что делать если некий девайс однажды объявит себя покемоном и решит стать мног... весь текст скрыт [показать]
     
  • 1.34, Аноним, 12:28, 04/10/2014 [ответить] [смотреть все]  
  • +/
    Подобный клас атак известен давно, в Линукс разработаны средства для защиты от л... весь текст скрыт [показать]
     
     
  • 2.39, vi, 19:29, 04/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • –1 +/
    >[оверквотинг удален]
    > Там где доступ к железу ограничить нельзя, и люди суют флешки есть
    > две опции ядра Линукс гарантирующие защиту от атак с любым плохим
    > USB девайсом:
    > GRKERNSEC_DENYUSB
    > GRKERNSEC_DENYUSB_FORCE
    > https://en.wikibooks.org/wiki/Grsecurity/Appendix/Grsecurity_and_PaX_Configura
    > Проверить защиту вашего Линукса можно:
    > ls /proc/sys/kernel/grsecurity/deny_new_usb
    > если такой файл есть то для защиты всего то надо
    > echo 1 > /proc/sys/kernel/grsecurity/deny_new_usb

    Спс, Аноним!
    grsecurity - это нужная штука! (ИМХО)

     
  • 2.40, Аноним, 03:41, 05/10/2014 [^] [ответить] [смотреть все] [показать ветку]  
  • +/
    А что помешает девайсу делать пакости после ребута? :)
     
     
  • 3.51, Аноним, 15:38, 06/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Держать машину на UPS и перед ребутом осматривать все USB щели не вставил ли кт... весь текст скрыт [показать]
     
  • 3.52, Постороннм В, 17:30, 06/10/2014 [^] [ответить] [смотреть все]  
  • +/
    > А что помешает девайсу делать пакости после ребута? :)

    Очевидно не так уж и много чего. Помешает. Особенно с учётом возможностей загрузки с флеш-накопителей, вставленных в USB...

     
     
  • 4.53, Посторонним В, 17:42, 06/10/2014 [^] [ответить] [смотреть все]  
  • +/
    ...и проблема давняя из windows. В которой вообще есть автозапуск. Вот видит windows, что флешка подключена с некоей установочной программой, оно её запускает. Автоматически и без спроса. Для удобства :-) Это поведение ещё со времён CD имеет место быть. Таким же путём там без спроса могут быть запущены программы со случайно вставленных CD, только от того, что они вставлены...
     
     
  • 5.58, yantux, 11:21, 07/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Автозапуск отключается антивирусом или изменением переменной в реестре.

    Однако, если к компу подключить usb устройство, которое определиться, как сетевая карта, то уже удалённо можно атаковать.

    Кроме того, если устройство определиться, как клава и флеш диск, то уже можно комбинацией клавиш сделать "пуск->выполнить->"... Тут тоже, лечиться настойкой в антивирусе запрета на запуск исполняемых файлов с флешки.

    Хотя запрет на выполнение файлов с флешки не панацея. У libtiff была уязвимость, что она откроет с флешки специально подготовленный tiff файл с вирусом, то при попытке просмотра он запуститься. Так что есть риск, что антивирус это пропустит.

     
  • 4.57, Аноним, 08:18, 07/10/2014 [^] [ответить] [смотреть все]  
  • +/
    Физичиская защита и грамотный пользователь решают сию проблему Считаю защиту во... весь текст скрыт [показать]
     
  • 1.56, yantux, 19:11, 06/10/2014 [ответить] [смотреть все]  
  • –1 +/
    Универсальность usb это одна сторона, а фигня с безопасностью - другая.

    Можно без всяких прошивок сделать железку, чтобы на ней были контроллеры клавы, мыши и дисков. Тогда железка сможет попеременно включать сразу несколько контроллеров или все сразу, как ей вздумается и вдувать к комп ту инфу, которая требуется, ну и получать соответственно.

    Потенциально эту проблему может решить шифрование данных по usb, как сделано у fabless конторы Миландр.

     
  • 1.59, Аноним, 11:31, 06/04/2017 [ответить] [смотреть все]  
  • +/
    На этой планете остались хоть какието положительные новости?  ))
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor TopList