Google een tool , waarmee het mogelijk is om te volgen en te blokkeren , uitgevoerd met behulp van schadelijke USB-apparaten die zich voordoen als USB-toetsenborden voor het verhuld invoegen van valse toetsaanslagen (bijvoorbeeld in het kader van een aanval kan zijn toetsaanslagen leiden tot het openen van een terminal en het uitvoeren van willekeurige commando's). De code is geschreven in de programmeertaal Python en onder de Apache 2.0-licentie.
De tool wordt opgestart in de vorm van een systemd-service en kan werken in de modi van monitoring en aanvalpreventie. In de monitoringsmodus wordt de mogelijke aanvallen geĆÆdentificeerd en wordt de activiteit gelogd die verband houdt met pogingen om USB-apparaten niet volgens hun doel te gebruiken voor invoeging. In de beschermingsmodus wordt, bij het detecteren van een potentieel schadelijk apparaat, dit op driver-niveau van het systeem losgekoppeld.
Schaadelijke activiteit wordt bepaald op basis van heuristische analyse van de aard van de invoer en de vertragingen tussen toetsaanslagen - een aanval wordt meestal uitgevoerd in aanwezigheid van de gebruiker en om onopgemerkt te blijven, worden de gesimuleerde toetsaanslagen verzonden met atypische minimale vertragingen voor normale toetsenbordinvoer. Voor het aanpassen van de logica voor het vaststellen van aanvallen zijn twee instellingen voorgesteld: KEYSTROKE_WINDOW en ABNORMAL_TYPING (de eerste bepaalt het aantal toetsaanslagen voor analyse, terwijl de tweede de drempelwaarde tussen toetsaanslagen stelt).
Een aanval kan worden uitgevoerd met behulp van een onopvallend apparaat met gewijzigde firmware, bijvoorbeeld, een toetsenbord kan gesimuleerd worden in , , of (in er is een speciale tool beschikbaar voor het invoegen van invoer vanaf een smartphone die is aangesloten op de USB-poort en draait op een Android-platform). Om aanvallen via USB te bemoeilijken kan naast ukip ook het pakket worden gebruikt , wat de verbinding van apparaten alleen uit een witte lijst toestaat of de mogelijkheid blokkeert om ongewenste USB-apparaten aan te sluiten terwijl het scherm is vergrendeld en voorkomt dat er met dergelijke apparaten wordt gewerkt nadat de gebruiker terugkeert.
Bron: opennet.ru
