Google stellte einen Eingabeblockierer für schädliche USB-Geräte vor

Das Unternehmen Google veröffentlicht Dienstprogramm ukip, das es ermöglicht, zu verfolgen und zu blockieren Angriffe, die unter Verwendung von bösartigen USB-Geräten durchgeführt werden, die eine USB-Tastatur simulieren, um heimlich fiktive Tasteneingaben zu substituieren (zum Beispiel kann im Verlauf eines Angriffs simuliert eine Sequenz von Eingaben werden, die zur Öffnung eines Terminals und zur Ausführung beliebiger Befehle in diesem führen). Der Code ist in Python geschrieben und wird verbreitet unter der Apache 2.0 Lizenz.

Das Dienstprogramm wird als systemd-Dienst gestartet und kann in Überwachungs- und Schutzmodi betrieben werden. Im Überwachungsmodus erfolgt die Erkennung möglicher Angriffe und die Aufzeichnung von Aktivitäten, die mit dem unsachgemäßen Einsatz von USB-Geräten zur Eingabersubstitution verbunden sind. Im Schutzmodus wird bei der Erkennung eines potenziell schädlichen Geräts dessen Trennung vom System auf Treiber-Ebene durchgeführt.

Schädliches Verhalten wird anhand einer heuristischen Analyse der Eingabemuster und der Verzögerungen zwischen den Tasteneingaben erkannt – Angriffe erfolgen in der Regel in Anwesenheit des Benutzers und um unentdeckt zu bleiben, werden die simulierten Eingaben mit im Vergleich zur normalen Tastatureingabe untypischen minimalen Verzögerungen gesendet. Zur Änderung der Logik zur Angriffserkennung stehen zwei Einstellungen zur Verfügung: KEYSTROKE_WINDOW und ABNORMAL_TYPING (die erste definiert die Anzahl der Eingaben zur Analyse, während die zweite den Schwellenwert zwischen den Tasteneingaben festlegt).

Ein Angriff kann durch ein unauffälliges Gerät mit modifizierter Firmware erfolgen, zum Beispiel kann die Tastatur simuliert werden in einem USB-Speicherstick, USB-Hub, Webcam oder Smartphone (in Kali NetHunter wird ein spezielles Dienstprogramm angeboten, um Eingaben von einem über USB angeschlossenen Smartphone unter der Android-Plattform zu substituieren). Um Angriffe über USB zu erschweren, kann neben ukip auch das Paket USBGuard, das das Anschließen von Geräten nur aus der Whitelist erlaubt oder die Möglichkeit, fremde USB-Geräte während der Bildschirmsperrung anzuschließen, verhindert und die Nutzung solcher Geräte nach der Rückkehr des Benutzers nicht zulässt.

Quelle: opennet.ru