Bekend truukje, ding doet zich voor als keyboard wat dan een "Run" opent en een programmanaam intikt.
Maar wacht even, zo'n ding kan alleen maar programma's uitvoeren die op die stick staan
als de Software Restriction Policy (AppLocker) niet correct is ingesteld!
Dit is dus helemaal geen dreiging, het is alleen een motivatie om de systeembeheerder goed op te
leiden.

De ontwikkeling van Rubber ducky heeft een flinke opleving gekregen de laatste tijd. Na een wat trage start met beperkte mogelijkheden, is er nu een behoorlijk actieve community aan het ontstaan.

Eenvoudig met Kali-linux te maken. USB-apparatuur dus eerst op een stand-alone (zonder internet verbinding) controleren.

Ook onder windows goed te gebruiken. De firmwares zijn eenvoudig onder windows te installeren, en dit hoeft in principe niet eens. (standaard firmware meegeleverd)

Ik heb hem nu zo dat hij keyboard en usb stick tegelijk emuleert (composit device) waarbij ik de tools om onder windows de scripts te generen op de stick zelf heb staan. Nu kan ik makkelijk 'on the job' de scripts aanpassen. En doordat het een composit device is wekt het ook bij targets geen argwaan op omdat het gewoon een functionele USB stick is.

Bijkomend voordeel is nog dat je met deze combinatie software vanaf de stick kunt autorunnen.

Wel een beetje gedateerde berichtgeving. De Rubber Ducky is al jaren te verkrijgen bij Hak5, zelfde voor de Jasager.

Mac OS X - mogelijke maatregelen vooraf

(uitgebreide reactie omdat het nieuw zou zijn voor de Mac,
skip bij geen-lees-zin ook je min)



-> Mac Os X kent geen autorun mogelijkheid bij insert usb stick

-> Mac Os X kent wel een eventuele auto-open-.dmg functionaliteit!

Bekend van het downloaden van een app bijvoorbeeld.
Een applicatie-installer-finder-window opent dan bij aanklikken of automatisch (safari auto-open-safe-downloads) in de afbeeldingen/icon weergave waarbij je dan het ene bestand kan slepen naar een andere folder (bijvoorbeeld je programmafolder dat in dat geval een soort alias link is).


-> Misbruik "Acces for Assistive Devices" functie?


1) Mogelijke truc 1 :

Usb stick met een malware dmg-image (diskimage) dat bij insert automatisch uitpakt en opent in een finder window. Auto-open window menu scriptjes zijn bekend van installers op cd's / dvd bijvoorbeeld, dat script kan ook op een usb-stick.

Vanaf dat moment is Gebruikers-Interactie vereist en zal zoals bij de meeste van de (weinig) creatieve Mac-malware gebruik worden gemaakt van Social Engineering.
De gebruiker zal worden wijsgemaakt dat het om iets anders gaat en worden verleid een verborgen applicatie of script ergens te installeren.

Zoals bij meer programma's het geval is kan bij installatie het programma zichzelf toevoegen aan het lijstje "Login-Items" dat je kan vinden onder je SysteemVoorkeuren, accounts, betreffend account, tab-login-items.

Kijk dus altijd als je iets geïnstalleerd hebt of het zichzelf heeft toegevoegd aan deze lijst.
Bij inlog in je account start een toegevoegd programma automatisch op. Als dat een malware programma is mag je de rest van het mogelijke verloop er zelf bij uittekenen.

Wat kan je doen bij auto-open dmg-window?

* window toolbars visible maken door op het ovale knopje van het window rechtsboven te klikken.
* bij een zichtbare window bar verander je nu de icon weergave in een lijstweergave.
Deze stap kan je ook via je gewone finder menu doen.
* extensie weergave aan, staat er een .app extensie tussen?
* extra check op content-packages kan zijn ctrl-click op het file en kijken of er de optie weergeven pakket-inhoud tussenstaat.
Dan gaat het waarschijnlijk om een programma.


2) Mogelijke truc 2 waar nog aan gewerkt wordt :

De Mac laten geloven dat het een toetsenboard of een ander Usb device is.

De Mac (even algemeen, zoek het zelf op voor je eigen Os X versie), kan extra functionaliteit / "Acces" accepteren van "Assistive Devices".
Deze functie staat waarschijnlijk onder je SysteemVoorkeuren, Universal Acces, ...

Onderaan dat voorkeuren window kan je twee zaken aan of afvinken :
- Enable access for assistive devices
- Show Universal Access status in the menu bar

! De eerste optie is een security risico om aan te hebben staan, je hebt immers de mogelijkheid tot extra functionaliteit geactiveerd, die je overigens nog verder kunt specificeren.
Extra functionaliteit die heb je liever uit als je het niet nodig hebt!

Goede kans dat de MalwareMaker deze functionaliteit aangrijpt.
Zeer goede kans dat als dat zo is de malware niet werkt als jij deze optie hebt uitgevinkt ; je hebt dan rechten van externe devices geminimaliseerd, nep-toetsenboard of niet doet er dan al minder toe.
De MalwareMaker probeert juist maximaal van rechten gebruik te gaan maken (denk ik zo).

Complicatie; je gebruikt al standaard een wireless toetsenboard, wireless mouse.
Dan zou ik in ieder geval de Universal Access status in de menubar laten zien (2e optie aanvinken).
Kan je met een laptop de functie even uit zetten bij aansluiten vreemde usb-stick.

Lastig : met een Imac 'even een wired-toetsenboard en muis aansluiten is niet handig, laat ik aan de creativiteit van de lezer om daar iets voor te verzinnen.

# extraatje ; laat anders je virusscanner in ieder geval externe devices scannen bij aansluiten.
# of klik bij het auto-open finder window het window dicht en open het eventueel zelf met een normaal finder window.