Home Research Оружие инсайдера: ядовитый USB.

Оружие инсайдера: ядовитый USB.

by Denis Makrushin
858 views

Инсайд – пожалуй, самое ущербное явление в корпоративной среде. Как в прямом, так и переносном смысле. Грамотно продуманная техническая сторона защиты периметра корпоративной инфраструктуры еще не гарантирует полной безопасности циркулирующей в ней информации. В данном случае работает всем известный принцип: защищенность системы в целом определяется степенью защищенности ее самого слабого звена. Самым слабым звеном является человеческий фактор. Персонал, через который проходит определенный объем информации, может ее «выносить» за пределы защитного периметра.

Человек, сам того не осознавая, может оказаться инсайдером. Например, в результате социального инженеринга или по-русски говоря: развода.

Нам такие личности не интересны, благо с ними в большинстве случаев справляется внутренний устав компании, регламентирующий порядок работы с информацией каждого служащего. Гораздо опаснее инсайдеры, специально подготовленные и имеющие определенную цель.

Что и говорить про обычных пользователей, которые каждый день рискуют попасть (и попадают) под колпак троянов. Причем тут инсайд? При том, что каждый может использовать оружие «засланного казачка» в своих целях, а в пользовательской среде сделать это гораздо эффективнее, нежели в корпоративной.

Для начала, рекомендую ознакомиться со статьей Андрея Комарова «Глазами инсайдера», в которой автор классифицирует основные технические инструменты промышленных «шпионов» и рассматривает условия, при которых можно благополучно «слить» нужную информацию.

Политика разрешения на подключение USB-устройств может сыграть на руку злоумышленнику. Если даже во многих организациях не задумываются над этими вопросами, то что твориться у обычных пользователей… Любой flash-накопитель, плеер и т.п. usb-девайс, имея в наличии специальное ПО, может собрать необходимую информацию с целевого ПК так, что у администратора не появится подозрений.

Созданием такого программного обеспечения для usb-девайсов мы и займемся. Естественно в интересах эксперимента. Неадекваты, воспринимающие материал как руководство к действию, идут косить изюм.

Определяем характеристики оружия.

Любой usb-flash накопитель имеет контроллер – микросхему, которая выполняет роль шлюза между микросхемой памяти и интерфейсом USB компьютера.

Определить тип контроллера, не разламывая корпус флешки, поможет утилита ChipGenius.

Из списка USB-контроллеров выбираем нашу флешку и в области «The details of selected device:» смотрим подробную информацию. Нам необходимо поле «Chip Vendor», которое содержит название производителя микросхемы; поле «Chip Part-Number» показывает версию прошивки.

Этой информации достаточно для перепрошивки девайса.

В моем случае (Kingston DataTraveler 4GB):

Chip Vendor: phison
Chip Part-Number: UP8~UP10.

Модернизируем спусковой механизм.

Некоторое время назад на прилавках магазинов можно было наблюдать USB-flash память, поддерживающую технологию U3. Ничего принципиально нового такие флешки не содержали, за исключением специального ПО, которое позволяло запускать программное обеспечение, содержащееся в памяти накопителя в режиме автозагрузки.

Главная особенность – специальный раздел (по типу CD-ROM), который был доступен только для чтения и который, собственно, содержал портируемые (portable) версии программ.

В настоящее время эти девайсы на прилавках отсутствуют, т. к. содержали специфичную «багу», которая позволяла перезаписать автозагружаемую область и запускать любое ПО или .bat-файл. В ряде случаев это может привести к плачевным последствиям и поставить крест на конфиденциальной информации.

Условие текущей задачи: на входе – обычная usb-flash; на выходе – usb-flash с поддержкой U3.

Идем на сайт flashboot.ru и находим нужный пак для нашего контроллера. Производитель: Phison. А вот с версией пришлось поэкспериментировать, потому что прошивка содержит свои особенности для уникального девайса.

Требуется создание на флешке специального CD-ROM раздела, чтобы она стала поддерживать U3 или (по научному) работать в 21 режиме (Mode 21). Запускаем находящуюся в паке перепрошивки утилиту ParamEdt-F1-v1.0.20.2.exe и сразу открываем вкладку «F1-1» и устанавливаем все, как на скриншоте:

Напомню, что нам нужен Mode 21.

Переходим к вкладке «F1-2» и в поле CD-ROM выбираем образ CD, который будет автозагрузочным. Это может быть любая LiveCD или PE-версия Windows. Однако отметьте для себя, что в будущем мы будем использовать специально подготовленный .iso-образ, созданием которого займемся в следующем разделе. Далее переходим к вкладке «Controller», где в области IC Type (Тип контроллера) выбираем пункт Previous vision (Возможно старый), а в области Used MP Tools выбираем пункт Last Version. Сохраняем все настройки в файл boot.ini, нажав на кнопку «Save As».

Запускаем F1_90_v196_00.exe и выбираем созданный boot.ini. Нажимаем «Start» и наблюдаем за процессом тестирования и записи образа. Процесс закончится, когда окно будет окрашено в зеленый цвет (светодиод накопителя при этом будет мерцать).

В результате всех манипуляций мы получаем флешку с двумя разделами: CD-ROM и накопитель стандартного типа.

Заряжаем.

Дальнейший материал основан на статье и разработках Вадима Даньшина ([email protected]), которые он привел в июньском (126) номере ][akep’a («Троян в мозгах Flash»).

Вкратце скажу, что от Kingston выпущен патч для U3-флешек, который представляет собой незащищенный RAR-архив, что позволяет изменять его содержимое по своему желанию. Именно это и сделал Вадим Даньшин, модифицировав файл автозапуска защищенного диска таким образом, что он направлял выполнение кода сначала на специальный обработчик, а уже затем на файлы LaunchU3-обработчика.

Результатом его исследований стала подборка файлов, которая должна присутствовать на защищенном разделе флешки. Скачать архив, содержащий эти файлы можно здесь: www.defec.ru/sites/default/files/System.rar.
Прежде, чем записать эти файлы (используя методы, описанные в предыдущем разделе) в защищенную часть, перекинем их в .iso –образ. Как это сделать, я думаю, рассказывать не имеет смысла.

Перейдем к содержимому рабочей части – именно ей (а точнее скриптам) передается управление с защищенного хранилища. Основу рабочей области можно найти в архиве.

Я немного облегчил систему, убрав ненужный функционал (например, воспроизведение музыки) и удалив не имеющие отношение к системе файлы. Содержимое рабочей части каждый может «заточить» под свои нужды (естественно, не забываем про копирайты), благо в данном случае не придется при любом изменении перепрошивать девайс.

Выстрел!

Нет сомнений, что эта система работает и делает то, что, собственно, и требовалось доказать. Кому-то она покажется новым видом троянского коня, а для кого-то станет рабочей лошадкой.

Важно другое: пока администраторы не оставят свою наивность – данные как сливали, так и будут сливать. А этот концепт – всего лишь решение данной теоремы.

Исходные коды рассмотренной системы. 



You may also like

11 comments

Anonymous August 17, 2009 - 04:29

хочу пообщатся по поводу flash

Reply
c0n Difesa August 17, 2009 - 07:14

Всегда пожалуйста. Обращайтесь ко мне в электронную почту. 

Reply
Сварщик March 3, 2010 - 12:03

 

Вот это тема!

Спасибо за статью!

Reply
Вадим Даньшин March 23, 2010 - 13:46

 

Здравствуйте)))

Не ожидал, что моя система будет популярной)). Я кстати выпустил несколько патчей, сейчас работаю над впихиванием в эту подборку кучи всяких приятных плюшек. Удалось сделать жесткий диск в формате У3. Удалось сделать, независимый от винды, доступ к жестким дискам из под доса, а также работа с сетями vpn, lan и internet из под винды и доса. работает на всех виндовсах начиная с w2k и кончая семеркой. В патчах устранена проблема, того что мой дистрибутив палился парочкой антивирусов. В конечном итоге я получил полностью рабочий троян сдеанный на батниках. Также мои разработки коснулись и усовершенствования работы командной строки и ее возможностей. Мной создана новая оснастка для командной строки, которая позволяет работать с почтой, получать вешний ип адрес, работать с текстами веб страниц, позволяет читать содержимое защищенных разделов оперативной памяти а также при выполнении нескольких условий править ее. И все это ТОЛЬКО BAT-никами)). 

 

я просто фанат этого языка и не считаю его уёбищем))

по вопросам можете стучаться в аську 386387561

 

С Уважением, Даньшин

Вадим

Reply
c0n Difesa March 23, 2010 - 19:44

 

Приветствую, Вадим! :)

Очень приятно, что автор данной идеи заметил этот материал.

Радует также и тот факт, что Вы продолжаете работу над системой и, судя по описанию, достигли хороших результатов в ее совершенствовании, а это, в свою очередь, еще раз доказывает, что даже такой, казалось бы, примитивный (хотя последние версии операционных систем Windows показывают обратное) инструмент, как BAT-файлы, в руках профессионала в сочетании с оригинальной идеей может стать серьезным оружием.

Желаю Вам продуктивных исследований и дальнейшей реализации своих идей. И конечно же, не забывайте делиться результатами своей работы с нами ;).

Reply
я April 12, 2010 - 11:52

Еб*ные копирайтеры опять выложили чужую идею в интернет, вот суки!!!!!

Reply
c0n Difesa April 12, 2010 - 15:56

Если Вы читали статью «Троян в мозгах Flash» (журнал "Хакер", #126), то обязательно обратили внимание на сноску, в которой автор предложил процесс перепрошивки флеш-памяти сделать в качестве «домашнего задания». Я осуществил предложенную работу и подробно описал процесс. Оригинальная идея Вадима Даньшина была дополнена моей статьей в виде «отчета о перепрошивке девайса».

Reply
я April 22, 2010 - 12:39

Ну и молодец, только в качестве задания было перепрошивка, а не исходники системы. Зачем их на сайт выложил? Очень добрый? Хочешь за счет других прославиться?

Reply
c0n Difesa April 22, 2010 - 13:59

Исходные коды системы выложил для того, чтобы люди не затрудняли себя их поиском и имели представление о предмете статьи. 

Еще раз повторю: авторское право на идею сохранено в полной мере (с указанием автора) и в статье никоим образом не искажается.

Reply
WhiteWolk July 18, 2010 - 04:20

Здравствуй Вадим Даньшин.

Заметил, что хоть кто-то кроме меня не считает “я просто фанат этого языка и не считаю его у…”.

я ОЧЕНЬ начинающий программист и мне нужна твоя помощь, или помощь того, кто умеет обращаться с BAT-файлаи.

Меня озарила сумасшедшая идея. Написать вирус – убийцу… других вирусов. Самых популярных и недающих покоя. на теории я конечно накидал порядок действий, и даже могу попробовать создать это счастье в VB 6,0. Нол вот в чём проблема. из-за веса проги (.exe) любой антиирус заметит самораспрастранение, да и другие вирусы его могут покушать, поэтому я остановился на выборе командной строки.

столкнулся со следующими проблемами:

Нужно прочитать версию bat-файла (обновление) и при выполнении понятно каких условий заменить файлы один-другим. Так же почему-то не получается у меня запускать bat-файл с помощью autorun.ini (попробую ч\з U3 как описано выше.).

Если у кого-то есть свободное время на меня – прошу запросить авторизацию на майлАгент [email protected]

заранее спасибо

Reply
c0n Difesa July 19, 2010 - 06:06

Здравствуйте.

Думаю, вряд ли Вадим прочитает это сообщение здесь. Думаю, Вам стоит связаться с ним по указанному номеру ICQ (386387561, Вадим).

Reply

Leave a Comment