Nederlandse onderzoeker presenteert nieuwe USB HID-aanval
De Nederlandse beveiligingsonderzoeker Niels van Dijkhuizen heeft vandaag tijdens een securityconferentie in Luxemburg een nieuwe USB HID-aanval gepresenteerd waarmee het mogelijk is om vergrendelde systemen aan te vallen en bestaande beveiligingsmaatregelen te omzeilen.
In het verleden zijn er meerdere aanvallen gedemonstreerd waarbij een aanvaller een usb-apparaatje aansluit om allerlei informatie te stelen. Bekende voorbeelden zijn de Rubber Ducky of het aangepaste Teensy-board dat Google-onderzoeker Elie Bursztein vorig jaar demonstreerde. Deze usb-apparaten maken gebruik van HID (Human Interface Device) spoofing. De computer denkt in dit geval dat het aangesloten usb-apparaat een toetsenbord is. Dit nep-toetsenbord kan bijvoorbeeld allerlei commando's uitvoeren waarmee de computer van het slachtoffer wordt gehackt of toetsaanslagen opslaan.
Volgens Van Dijkhuizen zijn veel van dergelijke apparaten of de manier waarop ze werken te opzichtig en vallen zodoende op. Gebruikers zullen in dit geval doorhebben dat er iets mis is. Aanvallen met dergelijke apparatuur werken hierdoor alleen als de computer ontgrendeld is, aldus de onderzoeker tijdens de Hack.lu-conferentie. Vanwege het risico van USB HID-aanvallen werden verschillende oplossingen ontwikkeld, zoals de USBProxy, USG en Beamgun.
De Nederlandse onderzoeker wilde een HID-aanval ontwikkelen die tegen een vergrendelde computer werkt en in staat is om bekende beveiligingsmaatregelen te omzeilen Het usb-apparaat moest daarnaast goedkoop, klein en onopgemerkt zijn. Tevens moest het apparaat over-the-air (ota) kunnen communiceren. Op deze manier is remote sniffing en beheer mogelijk. De oplossing die Van Dijkhuizen ontwikkelde kreeg de naam Keynterceptor, wat de onderzoeker als een 'proof of concept keyboard implant' omschrijft. Voor zijn ontwerp maakte Van Dijkhuizen onder andere gebruik van een Teensy 2.0 Arduino-board, een soort van micro-computer, en een 433MHz draadloze UART-module. In totaal kostte het usb-apparaatje bij elkaar 30 euro.
Om beveiligingsmaatregelen te omzeilen besloot de onderzoeker de usb-omschrijving van toetsenborden te klonen. De Keynterceptor kan zich op deze manier als een vertrouwd toetsenbord voordoen. Ook paste hij nog verschillende andere trucs toe, zoals Keynterceptor met menselijke snelheid laten typen. Eenmaal aangesloten is het mogelijk om op afstand het toetsenbord te bedienen, automatisch in te loggen met gestolen inloggegevens, maar ook de invoer van de gebruiker te blokkeren via een radiofrequentie kill-switch. Tevens ontwikkelde de onderzoeker een uitbreiding die op een power adapter lijkt en over een 4G-dongle en een 433MHz-ontvanger beschikt. Het communiceren op deze frequentie valt minder op dan het gebruik van wifi.
Een mogelijke oplossing tegen deze aanval is een extra verificatiestap bij het inloggen/ontgrendelen. Het gaat dan bijvoorbeeld om een captcha of twee/multifactor-authenticatie. "Als ethisch hacker wil ik graag aandacht voor de hoge mate van vertrouwen in onze usb-apparatuur", zo laat Van Dijkhuizen tegenover Security.NL weten. Ook onderzoekers Karsten Nohl en Jakob Lell waarschuwen hiervoor naar aanleiding van hun BadUSB-aanval in 2014. Van Dijkhuizen hoopt dan ook dat de industrie met een oplossing komt, omdat usb-apparaten op dit moment niet te vertrouwen zijn, zo liet hij afsluitend weten.
Video - Hack.lu 2017 Keynterceptor: Press any key to continue. Bron: YouTube
Maar wat heeft'ie nou echt gedaan, behalve zichzelf als bombastische idioot af te schilderen? Ik zie dus echt niet hoe dit meer is dan een kleine variatie op en verherverpakking van reeds lang bestaande truuks, en daarmee niet nieuw te noemen. Een hoop geschreeuw, en weinig wol. Precies wat de verwoording ook al van de daken schreeuwde.
Maar wat heeft'ie nou echt gedaan, behalve zichzelf als bombastische idioot af te schilderen? Ik zie dus echt niet hoe dit meer is dan een kleine variatie op en verherverpakking van reeds lang bestaande truuks, en daarmee niet nieuw te noemen. Een hoop geschreeuw, en weinig wol. Precies wat de verwoording ook al van de daken schreeuwde.
Heb je het filmpje van de presentatie uberhaupt bekeken? Om deze onderzoeker af te schilderen als een bombastische idioot
vind ik nogal kort door de bocht.
De man toont aan dat door het gebruik van een device dat zich voordoet als toetsenbord, en daardoor veel beveiligingspolicies op het gebied van usb omzeilt, een keylogger installeerd terwijl de computer gelocked is, dit in tegenstelling tot een rubber ducky welke alleen gebruikt kan worden als een computer unlocked is.
Tevens omzeilt hij het "superhuman" typen van de rubber ducky welke makkelijk gedetecteerd kan worden.
Deze proof of concept is wel degelijk relevant. Iemand met fysieke toegang tot een computer kan dit concept gebruiken om binnen te komen. Ga bij een groot bedrijf maar eens kijken wie er buiten de medewerkers fysieke toegang heeft... Denk ook aan bijvoorbeeld schoonmakers. Het enige wat iemand hoeft te doen is aan de achterkant iets in een usb poort proppen en weglopen.
Misschien is het in jouw ogen een verherverpakking van bestaande trucks, hij heeft wel een aantal praktische problemen aangepakt waar je bijvoorbeeld met een rubber ducky tegen aanloopt. Of komt je reactie voort uit jaloezie?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.