Google представи блокировчик на въвеждането чрез злонамерени USB устройства

Компания Google е публикувала инструмент ukip, което позволява проследяване и блокиране атака, извършвани чрез злонамерени USB устройства, симулиращи USB клавиатура за скрито въвеждане на фалшиви натискания на клавиши (например, по време на атака може да бъде симулирана последователност на натискания, водеща до отваряне на терминал и изпълнение на произволни команди). Кодът е написан на Python и се разпространява се разпространява под лицензия Apache 2.0.

Утилитата стартира като systemd услуга и може да работи в режими на наблюдение и предотвратяване на атаки. В режим на наблюдение се определят възможни атаки и се записва активността, свързана с опити за използване на USB устройства не по предназначение за подмяна на вход. В режим на защита, при установяване на потенциално злонамерено устройство, то се извежда от системата на драйверско ниво.

Злонамерената активност се определя на основа на евристичен анализ на характера на входа и забавянията между натисканията на клавиши — атаката обикновено се провежда в присъствието на потребителя и за да остане незабелязана, симулираните натискания се изпращат с нетипични за обикновеното въвеждане минимални забавяния. За промяна на логиката за определяне на атаките са предложени две настройки KEYSTROKE_WINDOW и ABNORMAL_TYPING (първата определя броя натискания за анализ, а втората — праговия интервал между натисканията).

Атаката може да бъде извършена с устройство, което не предизвиква подозрения и с модифициран фърмуер, например, клавиатура може да се симулира в USB флашка, USB хъб, уеб камера или смартфон (на Kali NetHunter предлага се специална утилита за подмяна на входа с прикрепен смартфон към USB порта, работещ под управлението на Android). За усложняване на атаките чрез USB, освен ukip, може да се използва пакета USBGuard, който разрешава свързването на устройства само от бял списък или блокира възможността за свързване на непознати USB устройства по време на блокиране на екрана и не позволява работа с такива устройства след завръщането на потребителя.

Източник: opennet.ru