Hackers interface-heaven – misbruik van USB

Door: Rob Hulsebos, Honeywell

Voor hackers is USB een ideaal medium. Allerlei soorten apparatuur zijn er op aan te sluiten, en die kunnen zich anders voordoen dan hun uiterlijk suggereert. Dit geeft ongekende mogelijkheden om systemen aan te vallen, vaak zonder dat de eigenaar iets in de gaten heeft. En veel hackers-gadgets zijn voor een paar tientjes op internet te bestellen.

USB is een interface walhalla. Het is zowat overal beschikbaar, biedt voeding voor aan te sluiten elektronica, heeft een zeer hoge snelheid, en is erg flexibel qua mogelijkheden. Uiteraard kent iedereen de USB-stick, USB-toetsenborden en USB-muizen. Maar we gebruiken het ook om onze mobiele telefoon aan te sluiten en op te laden. Natuurlijk zijn er ook camera’s, disks, cdrom/dvd spelers, printers, seriële en protocolconverters, netwerk interfaces, monitors, toetsenborden, industriële besturingen, et cetera op aan te sluiten. Daarnaast is USB populair als stroombron, bijvoorbeeld voor het opladen van mobiele telefoons.

Ook hackers maken graag gebruik van USB. In de eerste plaats voor verspreiding van malware, daar waar dat vroeger via een floppy ging, gebruiken ze nu USB-sticks. Maar voor data-exfiltratie is USB ook bruikbaar: via internet of GSM kan datadiefstal ongezien plaatsvinden als via de USB een onzichtbare netwerkinterface aan een apparaat is toegevoegd.

Datadiefstal

Datadiefstal is ook makkelijker nu mobiele telefoons vaak moeten worden opgeladen. Maar wat zit er eigenlijk achter die laadmogelijkheid in een café, restaurant of benzinepomp? USB is namelijk tevens altijd een datalink. Dus misschien installeert iemand, terwijl de mobiele telefoon aan de oplader hangt, tegelijkertijd ook wel malware op de telefoon. Ook al vraagt de telefoon eerst om toegang vrij te geven, dat is geen absolute beveiliging: het is ook maar software.

Als hacker hoef je bijna geen kennis van USB te hebben om aan de slag te gaan; er is heel veel kant-en-klaar te koop. Al die hackergadgets kosten maar een paar tientjes, vanuit China, maar ook (bijvoorbeeld) via Amazon Duitsland, waar ik zelf een keylogger kocht. Het is zó geïnstalleerd; een aanvaller hoeft vaak nauwelijks iets van de techniek af te weten want USB is immers plug & play. En de elektronica krimpt ook steeds meer: een afstandsbesturing van een PC is volledig in te bouwen in de USB-stekker zelf. En alles op USB is onzichtbaar voor een virusscanner of een firewall.

Honeywell rapport

Voor de risico’s van USB wordt al heel lang gewaarschuwd, maar ging het hier om feiten of praatte iedereen elkaar na? In november 2018 kwam Honeywell met een rapport uit over hun ervaringen met USB-sticks in industriële installaties, en de getallen zijn verontrustend. Hoe weet Honeywell dit? Met hun product genaamd SMX (Secure Medium Exchange) kan een bedrijf geheugenmedia laten scannen op aanwezigheid van malware vóórdat het gebruik ervan toegestaan in een industriële omgeving. Nu SMX één jaar op de markt is en bij 50 klanten in gebruik, is er veel informatie bekend geworden over wat er zoal is aangetroffen in de dagelijkse praktijk.

De gegevens tonen aan dat infectie van malware via USB een zeer realistisch scenario is:

• In 44% van de gevallen zijn er één of meer verdachte bestanden aangetroffen.
• Hiervan zou 26% een verstoring in een industrieel systeem veroorzaakt hebben.
• Acht jaar na dato is nog steeds Stuxnet-malware actief.
• Eén van de zes malwares was speciaal gemaakt voor industriële besturingen.

Alle soorten van malware werden door SMX gezien: adware, password krakers, virussen, ransomware, rootkits, en adware. Honeywell zag ook dat 10% van de malware minder dan één week oud was. Dat wil zeggen dat een virusscanner die een week geen update heeft gekregen deze malware al zou missen. Overigens werd 11% van de malware door geen enkele antivirusscanner ontdekt.

Normale USB sticks

De doodgewone USB memory sticks, die tegenwoordig iedereen overal gebruikt, zijn al een flink risico op zich. Uiteraard zal iedereen zijn eigen USB-sticks goed controleren op aanwezigheid van malware (toch ?). Doch als je kinderen ‘even’ een USB-stick van je bureau pakken om een spreekbeurt mee naar school te nemen: hoe goed is de school beveiligd? (op de basisschool van mijn jongste zoon bestond de ‘IT-afdeling’ uit de conciërge, dus dan weet je al genoeg).

En wat gebeurt er als u een product koopt en alle software / drivers / documentatie staan op de meegeleverde USB-stick? Waarschijnlijk gaat u er van uit dat de leveranciers hun meegeleverde USB-sticks wel controleren voordat ze uitgeleverd worden? Helaas is dit niet altijd zo, zelfs zeer gerenommeerde bedrijven laten hier wel eens een steekje vallen. En pas trouwens ook op voor USB-sticks die u krijgt op beurzen.

Hackers pogen weleens om via besmette USB-sticks, die ze op de parkeerplaats van een bedrijf achterlaten, gericht bij een bedrijf binnen te komen – wat doet iemand die ‘s ochtends een USB stick vindt? Waarschijnlijk ‘even kijken wat er op staat’. Een directere toegang tot een bedrijf kan een hacker zich niet wensen!

Een paar jaar geleden ontving ik van een grote automatiseerder een envelop met daarin wat promotiefolders, en tevens een plat stuk karton waaruit een USB-stekker stak (foto rechtsboven).
Nadat ik dit in mijn PC plugde, nam het direct de controle over: het lanceerde een browser, typte een URL van een website in, en ging vervolgens die website opzoeken. Daarna stopte het. Gelukkig ging het in dit geval echt om reclame, maar het had ook een website kunnen zijn waar de malware al klaar stond om zichzelf te installeren.

Nog meer voorbeelden

Er zijn genoeg voorbeelden te vinden van commerciële producten die in hun fabriek (onbewust) voorzien zijn van malware. Het eerste voorbeeld is de Energizer Duo, een apparaat om via de USB accu’s op te laden. Maar het was ook voorzien van de BKDR_Arugizer-malware, die een PC openzet om commando’s van buitenaf te ontvangen. Denk overigens niet dat alleen goedkope consumentenproducten mogelijk gevaarlijk zijn; ook professionele producten kunnen voorzien zijn van malware. Een voorbeeld van dit laatste is de Schneider Conext Battery Monitor, waarvoor het bedrijf afgelopen augustus dan ook waarschuwde. Een derde voorbeeld betreft de oplader voor een elektrische sigaret. Een directeur die dit apparaat op zijn PC aansloot besmette onbewust zijn bedrijf met malware.

We zouden nog heel veel meer voorbeelden kunnen behandelen, maar die zijn ook al beschreven op bleepingcomputer.com.

Voorbeelden van USB gadgets voor hackers

Hieronder volgen wat voorbeelden van USB apparatuur waarvan de feitelijke werking anders is dan je op het eerste gezicht denkt:

Wat nu te doen?

Uiteraard is de kans klein dat jouw systemen besmet raken via een USB-apparaat. Maar die kans is niet nul en de gevolgen kunnen fors zijn. Veel bedrijven zijn in 2018 getroffen door ransomware, waarbij alle bestanden in een PC en op netwerkdisks verloren zijn gegaan, en soms de backups ook. Ook genoeg privé-personen zullen getroffen zijn, maar daarover komt meestal niets in het nieuws. Vertrouw niet op firewalls en virusscanners. Pas op met via de post binnenkomende USB-sticks, evenals USB-sticks die op beurzen zijn uitgedeeld of die je op straat vindt. Voor kritische systemen is het verstandig om alle USB-poorten fysiek af te koppelen.