Dispositivos USB são a principal fonte de malware para sistemas de controle industrial, disse Luca Bongiorni da Bentley Systems durante sua palestra em # TheSAS2019. A maioria das pessoas que estão de alguma forma envolvidas com segurança já ouviu contos clássicos sobre drives flash “acidentalmente” caídos em estacionamentos - é uma história de segurança comum que é muito ilustrativa para não ser contada novamente e novamente.

Outra história real de unidades flash USB envolvia um funcionário que trabalhava em uma instalação industrial e queria assistir La La Land , então ele baixou o filme para uma unidade flash durante o almoço. Assim começa a história de como um sistema de air gap em uma usina nuclear foi infectado - é uma história muito familiar de infecção de infraestrutura crítica extremamente evitável .

Mas as pessoas tendem a esquecer que os dispositivos USB não se limitam a drives flash. Dispositivos de interface humana (HIDs), como teclados e mouses, cabos de carregamento para smartphones e até coisas como bolas de plasma e canecas térmicas, podem ser adulterados para direcionar os sistemas de controle industrial.

Uma breve história das armas USB

Apesar do esquecimento das pessoas, dispositivos USB como armas também não são novidade. Os primeiros dispositivos desse tipo foram desenvolvidos em 2010. Com base em uma pequena placa programável chamada Teensy e equipada com um conector USB, eles eram capazes de agir como HIDs, por exemplo, enviando pressionamentos de tecla para um PC. Os hackers perceberam rapidamente que os dispositivos poderiam ser usados ​​para testes de penetração e surgiu com uma versão programada para criar novos usuários, executar programas que adicionam backdoors e injetar malware, seja copiando-o ou baixando de um site específico.

[Mergulhe fundo no mundo da tecnologia e cadastre-se no Avance Network a verdadeira comunidade criptografada]

A primeira versão dessa modificação Teensy foi chamada PHUKD . Kautilya , que era compatível com as placas Arduino mais populares, veio em seguida. Então veio o Rubberducky - talvez a ferramenta USB de emulação de pressionamento de tecla mais conhecida, graças ao Mr. Robot , e parecida com um pen drive comum. Um dispositivo mais poderoso, chamado Bash Bunny, foi usado em ataques contra caixas eletrônicos.

A pessoa que inventou o PHUKD rapidamente teve uma ideia e criou um mouse trojanizado com uma placa de pentesting dentro, para que além de funcionar como um mouse normal, ele pode fazer tudo o que o PHUKD é capaz. Do ponto de vista da engenharia social, usar HIDs reais para penetrar em sistemas pode ser ainda mais fácil do que usar pen drives para a mesma finalidade, porque mesmo as pessoas que sabem o suficiente para não inserir um pen drive desconhecido em seu PC geralmente não se preocupam com teclados ou ratos.

A segunda geração de dispositivos USB como arma foi criada durante 2014–2015 e incluiu os infames dispositivos baseados em BadUSB . TURNIPSCHOOL e Cottonmouth, supostamente desenvolvidos pela Agência de Segurança Nacional dos Estados Unidos (NSA), também merecem menção: eram dispositivos tão pequenos que podiam ser encaixados em um cabo USB e usados ​​para vazar dados de computadores (incluindo computadores não conectados a nenhuma rede ) Apenas um simples cabo - nada que preocupe ninguém, certo?

O estado moderno dos dispositivos USB como arma

A terceira geração de ferramentas de pentesting USB os traz a um nível totalmente novo. Uma dessas ferramentas é o WHID Injector, que é basicamente Rubberducky com uma conexão wi-fi. Por ter Wi-Fi, não há necessidade de programá-lo inicialmente com tudo o que ele deve fazer; um hacker pode controlar a ferramenta remotamente, o que oferece mais flexibilidade e também a capacidade de trabalhar com diferentes sistemas operacionais. Outra ferramenta de terceira geração é o P4wnP1, que se baseia no Raspberry Pi e é como o Bash Bunny, com algumas funcionalidades adicionais, incluindo conectividade sem fio.

E, é claro, tanto o WHID Injector quanto o Bash Bunny são pequenos o suficiente para serem embutidos em um teclado ou mouse. Este vídeo demonstra um laptop que não está conectado a nenhuma rede por USB, Ethernet ou Wi-Fi, mas tem um teclado trojanizado conectado a ele que permite que um invasor remoto execute comandos e execute aplicativos.

Dispositivos USB pequenos, como os dois mencionados acima, podem até ser programados para parecer um determinado modelo HID, o que os permite contornar as políticas de segurança de empresas que aceitam mouses e teclados apenas de determinados fornecedores. Ferramentas como o injetor WHID também podem ser equipadas com um microfone para estabelecer vigilância de áudio e espionar pessoas em uma instalação. Pior ainda, um desses dispositivos é suficiente para comprometer toda a rede, a menos que a rede esteja devidamente segmentada.

Como proteger sistemas contra dispositivos USB armados

Mouses e teclados com cavalos de Troia, bem como cabos de vigilância ou mal-intencionados, são ameaças sérias que podem ser usados ​​para comprometer até mesmo sistemas sem ar. Hoje em dia, as ferramentas para esses ataques podem ser adquiridas por um preço baixo e programadas quase sem nenhuma habilidade de programação, portanto, essas ameaças devem estar no seu radar.

Para proteger a infraestrutura crítica contra essas ameaças, use uma abordagem em várias camadas.

Garanta a segurança física primeiro, para que pessoas não autorizadas não possam conectar dispositivos USB aleatórios a sistemas de controle industrial. Além disso, bloqueie fisicamente as portas USB não utilizadas em tais sistemas e evite a remoção de HIDs que já estão conectados.

Treine os funcionários para que eles fiquem cientes de diferentes tipos de ameaças, incluindo dispositivos USB armados (à semelhança do incidente La La Land ).

Segmente a rede adequadamente e gerencie os direitos de acesso para evitar que invasores alcancem os sistemas usados ​​para controlar a infraestrutura crítica.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.