Google værktøjet , der muliggør overvågning og blokering , udført ved hjælp af ondsindede USB-enheder, der simulerer et USB-tastatur for skjult indtastning af falske tastetryk (f.eks. kan der i løbet af et angreb være en sekvens af tastetryk, der fører til åbningen af et terminalvindue og udførelsen af vilkårlige kommandoer). Koden er skrevet i Python og er under Apache 2.0-licensen.
værktøjet kører som en systemd-tjeneste og kan fungere i tilstandsmonitorering og angrebsforebyggelse. I overvågningsmode registreres mulige angreb og logges aktivitet relateret til forsøg på at bruge USB-enheder forkert til indtastning. I beskyttelsesmode, når et potentielt skadeligt enhed opdages, frakobles det fra systemet på driverniveau.
Ondsindet aktivitet identificeres baseret på heuristisk analyse af indtastningskarakter og forsinkelse mellem tastetryk - et angreb udføres typisk i nærvær af brugeren, og for at det skal forblive uset, sendes de simulerede tastetryk med usædvanlige, for det normale tastaturindgang, minimale forsinkelser. For at ændre logikken for angrebsdetektion er der foreslået to indstillinger KEYSTROKE_WINDOW og ABNORMAL_TYPING (den første bestemmer antallet af tastetryk til analyse, og den anden den tærskelværdi for intervallet mellem tastetryk).
Et angreb kan udføres ved hjælp af en uskyldig enhed med modificeret firmware, f.eks. kan et tastatur simuleres i , , eller (i der tilbydes et specialværktøj til indtastningssubstitution med en smartphone tilsluttet USB-porten, der kører på Android-platformen). For at komplicere angreb via USB kan man udover ukip også anvende pakken , der tillader tilslutning af enheder kun fra hvidlisten eller blokerer muligheden for at tilslutte fremmede USB-enheder under låseskærmen og forhindrer brug af sådanne enheder efter at brugeren er vendt tilbage.
Kilde: opennet.ru
