Onderzoekers demonstreren nieuwe USB-aanval op Black Hat conferentie
Twee onderzoekers zullen volgende week tijdens de Black Hat conferentie in Las Vegas demonstreren hoe USB-sticks een computer volledig kunnen overnemen, door malware die niet op de stick zelf staat, maar in de firmware van het apparaat is verstopt en nauwelijks te detecteren.
Ook zullen onderzoekers Karsten Nohl en Jakob Lell een zichzelf verspreidend USB-virus laten zien. "USB is inmiddels zo gewoon dat we nog nauwelijks stilstaan over de veiligheidsgevolgen. USB-sticks worden af en toe op virussen gescand, maar we beschouwen USB gewoon als veilig, tot nu toe", zo laten de onderzoekers in hun aankondiging over BadUSB weten, zoals de aanval wordt genoemd.
De onderzoekers zijn maanden bezig geweest met het reverse engineeren van de firmware, die wordt gebruikt voor de besturing van de USB-stick. Ze ontdekten dat de firmware geherprogrammeerd kan worden om malware te verbergen. Het probleem is echter niet alleen beperkt tot USB-sticks, ook andere USB-apparaten zoals toestenborden, muizen en smartphones zouden kwetsbaar zijn.
Geen patch
"Deze problemen kunnen niet worden gepatcht", zo laten de onderzoekers tegenover Wired weten. "We maken misbruik van precies de manier hoe USB is ontworpen." Volgens Nohl moeten gebruikers een USB-stick dan ook als besmet beschouwen en weggooien zodra die in een onbetrouwbare computer is geweest. "Je kunt het aan je security-mensen geven, ze scannen het, verwijderen sommige bestanden en geven het terug met de boodschap dat die schoon is", zegt Nohl.
Tenzij de IT'ers de firmware kunnen analyseren blijft de besmetting van de firmware gewoon onopgemerkt. Via een besmet USB-apparaat kunnen allerlei aanvallen op de computer worden uitgevoerd. Zo is het mogelijk om software die wordt geïnstalleerd te vervangen door een versie met een backdoor. Ook kan de malware zich als een USB-toetsenbord voordoen en allerlei commando's uitvoeren, of bijvoorbeeld de DNS-instellingen aanpassen en zo het internetverkeer langs de servers van de aanvaller laten lopen.
Verder kan de malware de pc infecteren zodat allerlei nieuw aangesloten USB-apparaten ook besmet raken. De onderzoekers waarschuwden een Taiwanese fabrikant van USB-apparaten over hun BadUSB-onderzoek, maar het bedrijf ontkende steeds dat de aanval mogelijk was. Nohl zegt tegenover Reuters dat hij niet verrast is als inlichtingendiensten zoals de National Security Agency ook met de aanvalstechniek bekend zijn en weten hoe ze die moeten toepassen.
Oplossing
Het USB Implementers Forum, een nonprofit-onderneming die toeziet op de USB-standaard, adviseert consumenten om alleen USB-apparaten van een betrouwbare bron te gebruiken. Een advies waar ook Nohl zich in kan vinden. De beste oplossing voor de korte termijn is dan ook geen technische patch, maar een fundamentele verandering in de manier waarop USB-apparaten worden gebruikt. "Je moet een USB als besmet beschouwen en weggooien zodra die op een onbetrouwbare computer is geweest. En dat is niet compatibel met de manier hoe we USB-apparaten nu gebruiken", zegt Nohl.
De onderzoekers weten niet niet welke BadUSB-aanval ze tijdens de Black Hat conferentie volgende week zullen vrijgeven. Nohl zou bang zijn dat de kwaadaardige firmware zich snel kan verspreiden. Aan de andere kant moeten gebruikers wel bewust van de risico's worden, aldus de onderzoeker.
Binnenkort kun je bij onze servicedesk je stick, samen met een nieuwe stick, inleveren. De data wordt via http://circl.lu/projects/CIRCLean/ gekopieerd. We kijken nog of we de oude stick kunnen wissen, maar met bovenstaande informatie weet ik niet of ik dat nog wel wil doen.
Peter
Nog even en ik grijp weer naar de typemachine...
http://circl.lu/projects/CIRCLean/ dan werkt dit ook niet meer want dan zet je de info dus op een besmette stick zonder dat je het eenvoudig kunt controleren.
Als dergelijke zaken anaf de fabriek er op zowrden gezet, zijn er vele mensen die dat op zullen merken. Die hebben in de gaten dat er vreemde zaken op hun PC gebeuren om dat vervolgens verder uit te zoeken. Kijk naar wat met Sony gebeurde toen ze backdoors installeerden.
Voor USB leveranciers is het nog veel erger, want daar schakel je eenvoudig over naar een andere fabrikant.
Peter
Natuurlijk. Als je een USB controller ontwerpt kun je zo iets toevoegen.
Het wordt al vervelender gebruiken als het flashen van de firmware veel verderop in het productie proces moet gebeuren, misschien zelfs na packaging door de klant van een batch 'blanco' devices.
Het naar buiten brengen van zo'n hardware beveiliging (dip switch ? jumper ? ) wordt al lastig bij de formfactor van usb stickjes , en zeker als die eerst ingegoten worden .
Idem voor allerlei andere USB devices.
Ja, is te bedenken, maar krijg je niet makkelijk 'standaard' beschikbaar.
Iets bedenken waarbij de host computer minder automatisch met USB omgaat is waarschijnlijk wel mogelijk.
De data die een 'besmette' usb stick levert is dan nog steeds onbetrouwbaar maar de computer moet er beter tegen kunnen.
Mooi bedacht, maar niet verder gekomen dan de TPM-chip, onder andere door big brother en DRM angst (die trouwens ook nog steeds speelt rondom TPM).
Sindsdien hebben FaceBook et al Big Brother ingehaald, dus misschien moeten we toch nog eens kijken naar Trusted Computing... http://en.wikipedia.org/wiki/Trusted_Computing
Of misschien bedoelde Anoniem Peter wel:
"De data wordt via http://circl.lu/projects/CIRCLean/ gekopieerd." ;-)
Let op de zin: "Deze problemen kunnen niet worden gepatcht", zo laten de onderzoekers tegenover Wired weten.
"We maken misbruik van precies de manier hoe USB is ontworpen."
Het lijkt er afgaand op deze zin verdraaid veel op dat het voor alle huidige USB-types geldt, aangezien ze systematisch
op dezelfde soort manier werken. De verschillen tussen USB1, 2 & 3 hebben naar mijn weten betrekking op verschillen
in maximale USB-snelheid, en misschien nog wat andere kleinigheden. Maar principes blijven hetzelfde.
Je kunt je ook wel voorstellen dat een USB-device zich zowel in USB1, 2 als 3 kan voordoen als een USB-toetsenbord,
(dit wordt namelijk in het configuratiedeel van de firmware van het USB-device vastgelegd).
Meteen daarna kunnen automatisch vanuit de firmware toetsaanslagen naar de host worden gestuurd die door de host als commando's worden geïnterpreteerd. Net alsof jij van achter een USB-toetsenbord deze commando's intypt. (de host ziet geen verschil, en gelooft alles wat hij op USB ziet binnenkomen, ongeacht of het een USB1, USB2 of USB3-poort is...)
Het lijkt me wel dat het moet opvallen bij de oplettende gebruiker indien een USB-memorystick zich (ook) aanmeldt als
bijv. een "human interface device". Door hier op te letten is het misschien nog te detecteren dat er iets niet klopt.
Mvg, cluc-cluc
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
