Компания Google утилита , която позволява проследяване и блокиране , осъществявани с помощта на злонамерени USB устройства, симулиращи USB клавиатура за скрито задействане на фиктивни натискания на клавиши (например, в хода на атаката може да бъде последователност от натискания, водещи до отваряне на терминал и изпълнение на произволни команди в него). Кодът е написан на Python и е под лицензия Apache 2.0.
Утилитата се стартира под формата на systemd услуга и може да работи в режими на мониторинг и предотвратяване на атаки. В режим на мониторинг се осъществява идентифициране на възможни атаки и записва в лог активността, свързана с опити за използване на USB устройства не по предназначение за симулиране на вход. В режим на защита, при откриване на потенциално злонамерено устройство, се извършва неговото изключване от системата на ниво драйвер.
Злонамерената активност се определя на базата на хазарден анализ на характера на въведението и времето между натисканията на клавиши — атаката обикновено се провежда в присъствие на потребителя и за да остане незабелязана, симулираните натискания се изпращат с нетипични за нормално клавиатурно въвеждане минимални закъснения. За изменение на логиката на определяне на атаките са предложени две настройки KEYSTROKE_WINDOW и ABNORMAL_TYPING (първата определя броя натискания за анализ, а втората — прагова интервала между натисканията).
Атаката може да бъде извършена с помощта на устройство, което не буди съмнения с модифициран фърмуер, например, клавиатурата може да се симулира в , , или (в предлага се специална утилита за симулиране на вход с свързан смартфон към USB порта, работещ с Android платформа). За усложняване на атаките през USB, освен ukip, може да се използва и пакетът , който разрешава свързването на устройства само от бял списък или блокира възможността за свързване на непознати USB устройства по време на заключване на екрана и предотвратява работа с такива устройства след завръщането на потребителя.
Източник: opennet.ru
