Sommige malware-aanvallen kunnen zeer machiavellistische zijn. Dat is een recent geval van cyberveiligheid experts van Trustwave geanalyseerd.
Een zeldzame BadUSB Attack Going Under Analyse
De aanval in kwestie is zeer gerichte, en ingezet een zeer sluwe social engineering truc met behulp van een valse gift card en fysieke media, bekend als “rubber ducky”. Een “rubber ducky” is een kwaadaardig USB-toetsenbord voorgeladen met aanslagen, die eruit ziet als een gewone USB-stick.
"Die soort aanvallen zijn meestal zo expliciet gericht dat het zeldzaam om ze te vinden uit de werkelijke aanvallers in het wild. Bijzonder, maar er nog steeds," Trustwave zegt.
Het doelwit?
Een geheime Amerikaanse gastvrijheid provider. Het bedrijf ontving een envelop met een fake BestBuy gift card en een USB-stick. Het bedrijf kreeg de opdracht om de USB aansluiten op een computer om een lijst van items voor de gift card te gebruiken. Echter, USB bleek een “rubber ducky” ook bekend als BadUSB zijn – een zeldzame aanval die functioneert als een toetsenbord bij aansluiting op een pc. De aanval emuleert toetsaanslagen gericht op een reeks van geautomatiseerde aanvallen te lanceren.
Het goede nieuws is dat de gerichte bedrijf vermoedde dat dit een kwaadaardige poging, en stak zijn hand uit naar Trustwave. De security experts zeggen in hun rapport dat als ze eenmaal aangesloten op de BadUSB, leidde zij een reeks van geautomatiseerde toetsaanslagen die een PowerShell commando gelanceerd.
Om de analyse te starten, we inspecteerde de aandrijving voor opschriften zoals serienummers. Aan het hoofd van de aandrijving op de printplaat zagen we “HW-374”. Een snelle Google-zoekopdracht voor deze string vond een “BadUSB Leonardo USB ATmega32U4” te koop op shopee.tw, in het verslag staat.
BadUSB Attack Downloads onbekende malware
De opdracht PowerShell downloadde een PowerShell script van een website, en vervolgens geïnstalleerd specifieke malware op de computer van de onderzoekers geïdentificeerd als een Jscript-gebaseerde bot. Blijkbaar, tijdens het uitvoeren van deze analyse konden de onderzoekers een ander soortgelijk stam van deze malware niet vinden.
“De malware is ons onbekend. Het is ook moeilijk te zeggen of het wordt op maat gebouwd, maar het is waarschijnlijk, omdat het niet breed verspreid en lijkt te worden gericht,” Phil Hay, Senior Research Manager bij Trustwave zei in een e-mail correspondentie met ZDNet.
Kort na de eerste analyse, echter, Trustwave ontdekte een bestand vergelijkbaar met de onbekende malware geupload op VirusTotal. Verdere analyse door collega cyberveiligheid onderzoekers van Facebook en Kaspersky blijkt dat de onbekende malware meest waarschijnlijke is bedacht door een hack groep genaamd FIN7, geacht worden achter de Carbanak malware. Onderzoekers zijn zich niet bewust of het bestand is geüpload door een andere cybersecurity bedrijf op dit moment onderzoek naar de dezelfde stam, of door iemand anders.
Deze zeldzame hack-poging dient als een voorbeeld dat BadUSB aanvallen wel plaatsvinden in de echte wereld. De laatste van deze aanval werd uitgewerkt in 2018 door Kaspersky onderzoekers.
Een merkwaardig feit is dat rubber ducky aanval genoemd in een aflevering van de tv te laten zien Mr. Robot. In dat specifieke seizoen 2 aflevering, Angela moest een rubber gebruiken ducky voor het geval ze niet met de femtocell hack. Ze moest de stekker in het rubber ducky, en steek de stekker uit in een paar seconden. Dit zou hebben verleend fsociety een greep van meerdere FBI wachtwoorden.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: