Computerbeveiliging - Hoe je bad guys buiten de deur houdt

Bescherm Windows PC tegen insteken USB-stick

12-05-2011, 09:53 door GeminiAlpha, 26 reacties
Waar vind ik (welke?) te nemen maatregelen tegen gevolgen van het insteken van een, laat ik maar zeggen, verdachte (gemanipuleerde) USB stick. Nu mijn kleindochter tussen school en thuis met een USB stick pendelt, wil ik goede preventieve maatregelen op mijn 2 desktop PC's nemen. Deze runnen beiden een volledig geüpdate WinXP-sp3 met MS Security Essentials. De USB aansluiting zit erg uitnodigend aan de voorzijde op de desktop!
Ook zoek ik een methode om het venster dat na het insteken van de stick getoond wordt (Automatisch afspelen cq. Opties voor schijf met gemengde inhoud) uit te breiden met een entry die de stick kan scannen met MS-SE. Maar hoe en waar doe ik dat?
Reacties (26)
12-05-2011, 10:09 door Anoniem
"Ook zoek ik een methode om het venster dat na het insteken van de stick getoond wordt (Automatisch afspelen cq. Opties voor schijf met gemengde inhoud) uit te breiden met een entry die de stick kan scannen met MS-SE."

Je moet de autorun juist uitschakelen, zodat de PC niet geinfecteerd kan worden. Indien ze zelf bestanden opent, dan worden deze gescanned met MS-SE, of een andere virusscanner. De vraag of het bestand op de stick of harddisk staat is daarbij niet van belang.

The best way to disable Autorun for protection from infected USB flash drives
http://blogs.computerworld.com/the_best_way_to_disable_autorun_to_be_protected_from_infected_usb_flash_drives

"De USB aansluiting zit erg uitnodigend aan de voorzijde op de desktop! "

Wat maakt het in hemelsnaam uit of de USB aansluiting aan de voorkant, zijkant of achterkant zit ?
12-05-2011, 11:59 door Spiff has left the building
Inmiddels is door middel van een update ingesteld dat AutoRun in het dialoogvenster Automatisch afspelen is beperkt tot cd- en dvd-stations. Het automatisch afspelen van bestanden van alle andere media dan cd of dvd is niet meer mogelijk. Dat is een zorg minder.
Zie:
http://security.nl/artikel/36112/1/Microsoft_elimineert_eindelijk_Windows_XP_Autorun.html
http://www.security.nl/artikel/36295/1/Microsoft_geeft_Autorun_laatste_doodsteek.html
Controleer eventueel voor de zekerheid of die update KB971029 daadwerkelijk is geïnstalleerd.

En verder, wanneer een bestand van usb-stick handmatig wordt geopend, dan zal de virusscanner dat eerst scannen, MS-SE of andere, zoals Anoniem 10:09 ook aangeeft.
12-05-2011, 12:12 door EDLIN
Ik weet niet of het mogelijk is om aan het autoplay schermpje een mogenlijkheid tot een virusscan toe te voegen
Je kunt wel altijd in "computer" rechts klikken op de betreffende usb-stick en dan kiezen voor "scannen met mse"

Ook kun je achter de dosprompt op een veilige manier met het commando "dir" zelf de bestanden op de stick bekijken.
Bestanden met b.v de extensie .inf .exe of .com zijn dan sowieso verdacht.
12-05-2011, 12:31 door Spiff has left the building
Door EDLIN: Je kunt wel altijd in "computer" rechts klikken op de betreffende usb-stick en dan kiezen voor "scannen met mse"
Ja, dat zou ik zelf toch ook verkiezen, boven het automatisch scannen bij het openen van een bestand.
Maar deugt de scanner, dan zal ook bij het automatisch scannen een eventuele installatie worden tegengehouden, mocht het malware betreffen. Daar zou geen verschil in horen te zijn.
12-05-2011, 12:32 door GeminiAlpha
@ anoniem 10:09 op "Wat maakt het in hemelsnaam uit of de USB aansluiting aan de voorkant, zijkant of achterkant zit ?"
LOL, niks natuurlijk, maar als je ergens iets in kunt steken...;-))
Dank voor de link naar "disable Autorun for protection from infected USB flash drives"; erg interessant artikel en goed uitvoerbaar.
12-05-2011, 12:39 door Anoniem
Of gebruik Panda USB Vaccine:
http://research.pandasecurity.com/panda-usb-vaccine-version-1-0-1-4/
12-05-2011, 12:46 door Spiff has left the building
Door Anoniem, 10:09 uur: The best way to disable Autorun for protection from infected USB flash drives
http://blogs.computerworld.com/the_best_way_to_disable_autorun_to_be_protected_from_infected_usb_flash_drives
Door GeminiAlpha: Dank voor de link naar "disable Autorun for protection from infected USB flash drives"; erg interessant artikel en goed uitvoerbaar.
Um, ja, maar dat betreft een artikel van januari 2009.
Inmiddels is update KB971029 verspreid, die AutoRun in Automatisch afspelen beperkt tot cd- en dvd-stations.
Zie mijn reactie van 11:59 uur, en nogmaals:
http://security.nl/artikel/36112/1/Microsoft_elimineert_eindelijk_Windows_XP_Autorun.html
http://www.security.nl/artikel/36295/1/Microsoft_geeft_Autorun_laatste_doodsteek.html

Hoe nuttig en nodig is het dan nog om dat wat in dat artikel uit 2009 voorgesteld wordt uit te gaan voeren?
12-05-2011, 12:49 door GeminiAlpha
Door EDLIN:
Ik weet niet of het mogelijk is om aan het autoplay schermpje een mogenlijkheid tot een virusscan toe te voegen

Zelf klikken op een "scan usb stick" entry in het autoplay schermpje lijkt mij de handigste extra veiligheidsoptie, "naast" de MS patch van KB971029 die autorun kills.

Maar waar en hoe fabriek je dat erbij?
12-05-2011, 12:59 door Anoniem
"Inmiddels is door middel van een update ingesteld dat AutoRun in het dialoogvenster Automatisch afspelen is beperkt tot cd- en dvd-stations."

Klopt, maar zoals je in de vraag kunt lezen is er sprake van een popup na het insteken van de stick. Ik neem dan dus ook aan dat deze update op de desbetreffende PC niet is geinstalleerd.

"Hoe nuttig en nodig is het dan nog om dat wat in dat artikel uit 2009 voorgesteld wordt uit te gaan voeren?"

Even nuttig als het installeren van de update, beiden hebben hetzelfde resultaat.

"Ik weet niet of het mogelijk is om aan het autoplay schermpje een mogenlijkheid tot een virusscan toe te voegen"

Het autoplay schermpje moet er niet komen, want dat is nou juist de belangrijkste manier om vanaf USB sticks je PC te infecteren.
12-05-2011, 13:00 door GeminiAlpha
Door Spiff:
Door Anoniem, 10:09 uur: The best way to disable Autorun for protection from infected USB flash drives
http://blogs.computerworld.com/the_best_way_to_disable_autorun_to_be_protected_from_infected_usb_flash_drives
Door GeminiAlpha: Dank voor de link naar "disable Autorun for protection from infected USB flash drives"; erg interessant artikel en goed uitvoerbaar.
Um, ja, maar dat betreft een artikel van januari 2009.
Inmiddels is update KB971029 verspreid, die AutoRun in Automatisch afspelen beperkt tot cd- en dvd-stations.
Zie mijn reactie van 11:59 uur, en nogmaals:
http://security.nl/artikel/36112/1/Microsoft_elimineert_eindelijk_Windows_XP_Autorun.html
http://www.security.nl/artikel/36295/1/Microsoft_geeft_Autorun_laatste_doodsteek.html

Hoe nuttig en nodig is het dan nog om dat wat in dat artikel uit 2009 voorgesteld wordt uit te gaan voeren?

NIET, maar usb stick kunnen scannen via extra entry in het autoplay schermpje lijkt me wel erg handig.
12-05-2011, 13:15 door Anoniem
"NIET, maar usb stick kunnen scannen via extra entry in het autoplay schermpje lijkt me wel erg handig."

Waarom wil je het autoplay schermpje zien, wetende dat dat nou juist de manier is om je PC te besmetten vanaf een USB stick ? Het uitschakelen van de autorun functie is de allerbelangrijkste maatregel om infectie vanaf je stick te voorkomen.

AutoRun for malware:One out of every eight attacks comes via a USB device
http://www.avast.com/pr-autorun-for-malware-one-out-of-every-eight-attacks-come-via-a-usb-device
12-05-2011, 13:40 door 0101
Even geGoogled (https://encrypted.google.com/search?q=add+option+to+autoplay+window): https://encrypted.google.com/search?q=add+option+to+autoplay+window&btnI=Ik+doe+een+gok
12-05-2011, 13:40 door Spiff has left the building
Door Spiff: Inmiddels is door middel van een update ingesteld dat AutoRun in het dialoogvenster Automatisch afspelen is beperkt tot cd- en dvd-stations.
Door Anoniem, 12:59: Klopt, maar zoals je in de vraag kunt lezen is er sprake van een popup na het insteken van de stick. Ik neem dan dus ook aan dat deze update op de desbetreffende PC niet is geinstalleerd.
Ook na het installeren van update KB971029 verschijnt er nog een popup "Automatisch afspelen", maar die biedt nu voor alles behalve cd en dvd alleen nog de optie "Map openen en bestanden weergeven", en niet meer het daadwerkelijk automatisch afspelen.
12-05-2011, 13:49 door Anoniem
"Ook na het installeren van update KB971029 verschijnt er nog een popup "Automatisch afspelen", maar die biedt nu voor alles behalve cd en dvd alleen nog de optie "Map openen en bestanden weergeven", en niet meer het daadwerkelijk automatisch afspelen."

Ah oki, dat wist ik niet.
12-05-2011, 16:39 door Anoniem
Ik kan de USB poorten uitzetten in de BIOS.. Wellicht een optie?
12-05-2011, 17:00 door Spiff has left the building
Door Anoniem, 16:39 uur: Ik kan de USB poorten uitzetten in de BIOS.. Wellicht een optie?
Waarmee je ook de mogelijkheden voor usb-aansluiting van keyboard, muis, printer, etc. verliest.
Een nogal zware maatregel, lijkt me.
12-05-2011, 19:29 door GeminiAlpha
Als met KB971029 het uitvoeren van "rommel" van de USB stick wordt voorkomen, is het insteken en vervolgens openen van "mijn computer" en rechts klikken op de usb drive om MSSE uit te voeren gevaarloos, lijkt mij. Yes?
Maar wat zou het gemakkelijk zijn als je metéén IN deze popup de stick met MSSE zou kunnen scannen. Immers gemak dient de mens!
Hoe je dit popup-menu zelf zou kunnen uitbreiden? Zo misschien... Met dank aan 0101 !

voor XP: http://lifehacker.com/371677/add-custom-options-to-the-windows-autoplay-dialog
voor Vista: http://lifehacker.com/5144187/add-custom-options-to-the-windows-vista-autoplay-dialog
deze verwijst door naar: http://www.vista4beginners.com/Add-custom-entries-to-Windows-Vista-AutoPlay

's Kijken of ik eruit kan komen...

In elk geval bedankt voor al jullie bijdragen!
12-05-2011, 19:56 door Spiff has left the building
Door GeminiAlpha: Als met KB971029 het uitvoeren van "rommel" van de USB stick wordt voorkomen, is het insteken en vervolgens openen van "mijn computer" en rechts klikken op de usb drive om MSSE uit te voeren gevaarloos, lijkt mij. Yes?
"Gevaarloos" is een wat gevaarlijk begrip, maar in het verband zoals we dat hier in deze thread bedoelen - ja.
De bestanden op usb-stick kunnen na update KB971029 niet automatisch starten, en je kunt ze rechtsklikken en de gewenste scanoptie kiezen.


Maar wat zou het gemakkelijk zijn als je metéén IN deze popup de stick met MSSE zou kunnen scannen. Immers gemak dient de mens!
Hoe je dit popup-menu zelf zou kunnen uitbreiden? Zo misschien... Met dank aan 0101 !

voor XP: http://lifehacker.com/371677/add-custom-options-to-the-windows-autoplay-dialog
voor Vista: http://lifehacker.com/5144187/add-custom-options-to-the-windows-vista-autoplay-dialog
deze verwijst door naar: http://www.vista4beginners.com/Add-custom-entries-to-Windows-Vista-AutoPlay
Ja, mooi gevonden.
Ik hoop dat de constructie werkt voor MSSE
én dat je daarmee dan niet slechts MSSE start maar er daadwerkelijk het scannen van de bestanden op de usb-stick mee kunt starten.

Houd je ons op de hoogte van de resultaten?
12-05-2011, 20:43 door Anoniem
Wat ik je kan aanraden is de software van Secure It Easy. Deze zal bij alle USB apparaten die men wil aansluiten met een password pop-up scherm komen zodat alleen geautoriseerde USB-apparaten toegang hebben. Dus als iemand een willekeurige USB-stick op een laptop of desktop wilt aansluiten en hij of zij weet het password niet dan zal dit niet gaan lukken. Je kunt het zelfs zo instellen dat bij een poging van ongeautoriseerde toegang, je een notificatie email ontvangt !

De url van deze website is: http://www.cososys.com/software/secureiteasy.html
En de prijs valt ook nog eens mee ;-))

Ik hoop dat je hier iets aanhebt.


Geert-Jan
12-05-2011, 20:47 door henkhooft
Trouwens er bestaat ook nog zoiets als een teensy voor als je echt paranoide bent ;-)

Teensy USB HID Attack Vector
The Teensy USB HID Attack Vector is a remarkable combination of customized hardware and bypassing restrictions by keyboard emulation. Traditionally when you insert a DVD/CD or USB if autorun is disabled, your autorun.inf isn’t called and you can’t execute your code automatically. With the Teensy HID based device you can emulate a keyboard and mouse. When you insert the device it will be detected as a keyboard, and with the microprocessor and onboard flash memory storage you can send a very fast set of keystrokes to the machine and completely compromise it. You can order a Teensy device for around 17 dollars at http://www.prjc.com. Quickly after David Kennedy, Josh Kelley, and Adrian Crewshaw’s talk on the Teensy devices, a PS3 hack came out utilizing the Teensy devices and they are currently backordered during the time of writing this tutorial.
Let’s setup or Teensy device to do a WSCRIPT downloader of a Metasploit payload. What will occur here is that a small wscript file will be written out which will download an executable and execute it. This will be our Metasploit payload and is all handled through the Social-Engineer Toolkit.
13-05-2011, 10:57 door Anoniem
Kit in je USB poorten, dan weet je het zeker...
13-05-2011, 21:54 door [Account Verwijderd]
[Verwijderd]
14-05-2011, 21:55 door Anoniem
Kan je bij de instellingen van mse niet instellen dat usb sticks automatisch worden gescand zodra ze in worden geplugd?
14-05-2011, 22:26 door Ilja. _V V
Ok, ik ben even anders gaan zoeken dan 0101, waarbij ik een gezamelijk resultaat vond & dat was:
http://windowsxp.mvps.org/autoplayhandlers.htm

Het lijkt verder aannnemelijk dat je de bijdragen van Bitwiper alhier over het Autorun gebeuren tot op zekere hoogte hebt doorgenomen:
http://www.google.nl/search?hl=nl&source=hp&q=site%3Asecurity.nl+bitwiper+autorun&meta=&aq=f&oq=

Ik kom erop uit dat wat jij wilt met MSSE niet kan, omdat het er zo niet in zit. Het heeft er geen commandoregel voor. Ja, zijn er wel, maar daarmee kan je niet op die manier specifiek een net ingestoken USB-stick scannen.

Omdat te doen zit er wel een andere oplossing in, via de opties van MSSE. Eigenlijk veel makkelijker, & eenmaal ingesteld kan je kleinkind met wel met tien hamers tegelijk de USB-stick proberen te openen, zal niet gebeuren tot MSSE akkoord gaat:
http://answers.microsoft.com/en-us/protect/forum/protect_scanning/microsoft-security-essentials-single-file-folder/67c7be88-e5a8-42bf-9714-baddefdc7f73
waarbij het om dit stukje gaat:
There is no need for this. Just open MSE, go to the SETTINGS tab, and select REAL-TIME PROTECTION. Once there, make sure that you check "Turn on real-time protection" AND "Scan all downloaded files and attachments".
Doc
February 22, 2010
Opvolgend dan de toepaspare commandoregels:
http://answers.microsoft.com/en-us/protect/forum/protect_scanning/does-mse-have-the-ability-to-scan-from-the-command/809b0b84-9396-49b2-95c4-68e7ec539fc7

Voor alle zekerheid nog even de Engelse Wikipedia over alle haken & ogen van Autorun (Of waarom het soms toch niet verstandig is om iets te openen met een RMK of via Explorer):
http://en.wikipedia.org/wiki/AutoRun#Registry_settings

Dan een scala van registeringrepen, waar ik geen voorstander van ben, waarmee je heel precies kan besturen wat er in je AutoPlay-venster wel of niet gebeurt & door welk apparaat:
http://msdn.microsoft.com/en-us/library/aa969331.aspx#autoplay2k_eventhandler_reg
http://msdn.microsoft.com/en-us/library/bb776871.aspx

Natuurlijk kan je ook Autoruns erbij pakken als je dat allemaal niet wil weten laat staan zelf doen:
http://technet.microsoft.com/en-us/sysinternals/bb963902

Tot slot nog twee documenten van Microsoft over Autorun, met de standaard register-instellingen, & een lesje saboteer de USB:
http://support.microsoft.com/kb/967715/nl
http://support.microsoft.com/kb/823732/nl

Zo, nu ga ik iets van honderd venstertjes dichtklikken. Staat gelijk aan: Interessante vraag!.. :-)
15-05-2011, 15:08 door Anoniem
ik heb avast security, en elk apparaat dat wordt aangesloten wordt onmiddelijk gescand, of het nu een mmc is een usb stick, of zelfs mijn blackberry. ik heb voor de lol een bat script geplaats op mijn blackberry, en dan aangesloten op mijn laptop, avast heeft het gelijk eruitgegooid.
16-05-2011, 10:34 door Anoniem
In principe is dit simpel: 'Autorun functie uitschakelen', is toch voor niets nodig.
Zoals Ilja reeds gemeld heeft in zijn 2 laatste links.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search