De Nederlandse beveiligingsonderzoeker Niels van Dijkhuizen heeft vandaag tijdens een securityconferentie in Luxemburg een nieuwe USB HID-aanval gepresenteerd waarmee het mogelijk is om vergrendelde systemen aan te vallen en bestaande beveiligingsmaatregelen te omzeilen.

In het verleden zijn er meerdere aanvallen gedemonstreerd waarbij een aanvaller een usb-apparaatje aansluit om allerlei informatie te stelen. Bekende voorbeelden zijn de Rubber Ducky of het aangepaste Teensy-board dat Google-onderzoeker Elie Bursztein vorig jaar demonstreerde. Deze usb-apparaten maken gebruik van HID (Human Interface Device) spoofing. De computer denkt in dit geval dat het aangesloten usb-apparaat een toetsenbord is. Dit nep-toetsenbord kan bijvoorbeeld allerlei commando's uitvoeren waarmee de computer van het slachtoffer wordt gehackt of toetsaanslagen opslaan.

Volgens Van Dijkhuizen zijn veel van dergelijke apparaten of de manier waarop ze werken te opzichtig en vallen zodoende op. Gebruikers zullen in dit geval doorhebben dat er iets mis is. Aanvallen met dergelijke apparatuur werken hierdoor alleen als de computer ontgrendeld is, aldus de onderzoeker tijdens de Hack.lu-conferentie. Vanwege het risico van USB HID-aanvallen werden verschillende oplossingen ontwikkeld, zoals de USBProxy, USG en Beamgun.

De Nederlandse onderzoeker wilde een HID-aanval ontwikkelen die tegen een vergrendelde computer werkt en in staat is om bekende beveiligingsmaatregelen te omzeilen Het usb-apparaat moest daarnaast goedkoop, klein en onopgemerkt zijn. Tevens moest het apparaat over-the-air (ota) kunnen communiceren. Op deze manier is remote sniffing en beheer mogelijk. De oplossing die Van Dijkhuizen ontwikkelde kreeg de naam Keynterceptor, wat de onderzoeker als een 'proof of concept keyboard implant' omschrijft. Voor zijn ontwerp maakte Van Dijkhuizen onder andere gebruik van een Teensy 2.0 Arduino-board, een soort van micro-computer, en een 433MHz draadloze UART-module. In totaal kostte het usb-apparaatje bij elkaar 30 euro.

Om beveiligingsmaatregelen te omzeilen besloot de onderzoeker de usb-omschrijving van toetsenborden te klonen. De Keynterceptor kan zich op deze manier als een vertrouwd toetsenbord voordoen. Ook paste hij nog verschillende andere trucs toe, zoals Keynterceptor met menselijke snelheid laten typen. Eenmaal aangesloten is het mogelijk om op afstand het toetsenbord te bedienen, automatisch in te loggen met gestolen inloggegevens, maar ook de invoer van de gebruiker te blokkeren via een radiofrequentie kill-switch. Tevens ontwikkelde de onderzoeker een uitbreiding die op een power adapter lijkt en over een 4G-dongle en een 433MHz-ontvanger beschikt. Het communiceren op deze frequentie valt minder op dan het gebruik van wifi.

Een mogelijke oplossing tegen deze aanval is een extra verificatiestap bij het inloggen/ontgrendelen. Het gaat dan bijvoorbeeld om een captcha of twee/multifactor-authenticatie. "Als ethisch hacker wil ik graag aandacht voor de hoge mate van vertrouwen in onze usb-apparatuur", zo laat Van Dijkhuizen tegenover Security.NL weten. Ook onderzoekers Karsten Nohl en Jakob Lell waarschuwen hiervoor naar aanleiding van hun BadUSB-aanval in 2014. Van Dijkhuizen hoopt dan ook dat de industrie met een oplossing komt, omdat usb-apparaten op dit moment niet te vertrouwen zijn, zo liet hij afsluitend weten.

Video - Hack.lu 2017 Keynterceptor: Press any key to continue. Bron: YouTube