BadUSB и сервисные центры

[djafar 1]

Добрый день, Евгений.

Небольшой пролог. Я бросаю курить и являюсь пользователем электронных сигарет. К несчастью на днях на аккумуляторном блоке электронной сигареты одной уважаемой фирмы "запал" microUSB-порт. Я обратился в официальный сервисный центр официальных представителей этой известной фирмы. USB порт мне заменили, но моя винда, при зарядке этой сигареты от системного блока стала активно сообщать, что системе не удалось установить usb-устройство.

Теперь вопрос - теоретически есть небольшая вероятность установки в корпус аккумуляторного мода небольшой микросхемки, которая и заряжать аккумуляторы будет и прошивочку на борту иметь?

Можно ли как-то диагностировать badUSB-эксплойт на устройстве? Визуально осмотреть "обновленный" блок не могу - корпус не разбирается в домашних условиях, а в сервисный центр обращаться раньше времени не хочу, просто снимут блок и поставят кому другому (если мои подозрения не беспочвенны).

p.s.: пока буду заряжаться от сетевых адаптеров и внешнего аккумулятора...

 

Сообщение от модератора Mark D. Pearlstone

Тема перемещена из раздела "Задай вопрос Евгению Касперскому"

Ну раз не по уставу вышло, значит и мнения других участников выслушаю... Я то грешным делом подумал, что такая актуальная темка заинтересует Евгения Валентиновича(или его экспертов), раз он про badUSB даже в твиттер написал. А там глядишь и попросят у меня аккумулятор "на экспертизу"  , а что я готов предоставить (хоть и без него опять останусь на время)... 

А пока действ-но страшно соединять девайс с компом, на работе-то я специально под пользователем без прав сижу, а что будет если дома под админом "подзаряжусь" - экспериментировать не охота )

2Moderators: Перенесите хоть в "Компьтерную помощь"...

[lammer 594]

"ОНИ" следят только за теми, у кого параноя....

Назовите хоть одну причину, по которой сотрудники ОФИЦИАЛЬНОГО сервис-центра ОФИЦИАЛЬНОГО представителя (по вашим же словам) будут устанавливать в зарядки чипы сомнительного происхождения и противозаконного действия, дискредитируя торговую марку, ведь, как вы сами сказали, гипотетически такие чипы могут быть обнаружены.

Изменено 11 февраля, 2015 пользователем lammer

[kmscom 2 286]

USB порт мне заменили, но моя винда, при зарядке этой сигареты от системного блока стала активно сообщать, что системе не удалось установить usb-устройство.

а до замены оно устанавливалось как USB Smouke Device ?

 

обратился в официальный сервисный центр официальных представителей этой известной фирмы

драйвера теперь попросите новые

 

есть небольшая вероятность установки в корпус аккумуляторного мода небольшой микросхемки, которая и заряжать аккумуляторы будет и прошивочку на борту иметь?

вероятность есть, но она должна только за зарядкой и следить, и отключать аккумуляторы для избежания перезарядки, навороченный блок получается, всего лишь для какой-то сигареты.

выломайте к чертям собачим контакты D+ и D-

[djafar 1]

приветствую )
Я в аппаратной части совсем не дока, аккумуляторный блок действительно устроен довольно просто - вариатор и кнопка "парения", она же кнопка переключения режимов питания (напряжение/мощность), так что минимальные мозги в девайсе есть. У более навороченных моделей конечно и прошивки существуют, правда зачем они нужны - не интересовался.
 
А по поводу того что случилось варианта у меня всего два:
1. У меня действительно паранойя, а сервисмен меняя usb-порт тупо помимо контактов питания припаял контакты, отвечающие за обмен данными. В результате ОС, которая до этого вообще никак не реагировала на подключение стала пытаться заинсталлить девайс.
2. Мне дей-но впаяли "жучка"... Зачем? Тем более сотруднику оф.сервиса - не знаю, тут от масштабов зависит - от пробы сил в качестве "хакера" конкретным сервисменом до, извиняюсь за термин, "преступной группировки"  . Клиенты (особенно крутых моделей) сплошь упакованные топ-менеджеры. К тому же "пересобрать" сигарету можно не только во время ремонта, но и новую, тем более что и магазин и сервис в одном помещении... А может и не сервисмен виноват, может им партия контроллеров пришла "упакованная"  , сервисмен говорил, что будет контроллер менять (а я то думал только порт на площадку приклеить)
 
Я далек от обвинений...The Guardian писал как-то о том, что попадаются е-сигареты с зашитыми эксплойтами.
А что, поставил воткнул себе топ-менеджер сигаретку в бук, работает, перезагрузился - доступ к биос, эмуляция работы клавиатуры и дальше на что фантазии хватит ))) А собранные данные потом толкнуть можно кому ))
 
 

выломайте к чертям собачим контакты D+ и D-

Снаружи у микро юсб поинт выломаешь, у меня микроскопа и пинцета такого нет, а изнутри - поинт знает как блок разбирать, сервисмен, когда я спросил (на будущее) сказал, что методом "нагрева и раскатки"... 
 

а до замены оно устанавливалось как USB Smouke Device  ?

Вообще никак не реагировало 

 

"ОНИ" следят только за теми, у кого параноя....

Назовите хоть одну причину, по которой сотрудники ОФИЦИАЛЬНОГО сервис-центра ОФИЦИАЛЬНОГО представителя (по вашим же словам) будут устанавливать в зарядки чипы сомнительного происхождения и противозаконного действия, дискредитируя торговую марку, ведь, как вы сами сказали, гипотетически такие чипы могут быть обнаружены.

Я вообще не сторонник теории заговоров, но... 

Из того что я нашел про badUSB в инете диагностировать можно только последствия, а в ОФИЦИАЛЬНЫX компаниях работают самые обычные неофициальные люди ))) Я же не говорю, что это КОМПАНИЯ наводняет рынок дырами безопасности, я вообще не уверен, что у меня "жучок" - потому и адресовал вопрос Евгению Валентиновичу.

 

Один момент сомнительный во всем этом - то что винда среагировала на устройство, если это грамотный "жучок" - должен был тупо проинсталиться через plug&play и тихо отработать, я бы только недоумевал потом - откуда у меня трояны... Либо все по пункту 1 и у меня паранойя, либо слишком умный "жучок" - перебирал возможности "встраивания" в систему и спалился, либо косяк "программиста" жучка..... 

 

Я кстати вообще наверное на все это внимания не орбатил, если бы винда не начала в трей спамить о "своих проблемах" с установкой.... с периодичностью в секунду, потом долгий перерыв и опять 10-15 сообщений подряд... поведение для "обычного" девайса странное 

[lammer 594]

Пора залепить все USB эпоксидкой... Да и к сетевой розетке питания надо бы повнимательнее... тоже можно , видимо, подцепить чего-нибудь)))

[djafar 1]

О как, вот так узнаешь вещи... оказывается для моей сигареты тоже прошивка есть, которую можно обновлять(eCom):

 

http://joyetech.by/p80-proshiwki_i_programmnoje_obespechenie_evic.html

 

так что возможностей для второго варианта - есть ))

 

 

Зато и третий вариант появился - новый контроллер мне поставили, но прошивка либо не установлена, либо забагованная...

Пора залепить все USB эпоксидкой... Да и к сетевой розетке питания надо бы повнимательнее... тоже можно , видимо, подцепить чего-нибудь)))

Будете смеяться, но есть оказывается уже более "технологичный" способ ))) "USB-презерватив" ))))

http://hitech.vesti.ru/news/view/id/2909

Ну и насчет серьезности badUSB пара статей под катом:
"Инженеры Адам Коудилл (Adam Caudill) и Брэндон Уилсон (Brandon Wilson) опубликовали на GitHub инструкцию по взлому порта USB с помощью неустранимой уязвимости":

Группа инженеров опубликовала в сети код для неустранимого взлома USB
Инженеры Адам Коудилл (Adam Caudill) и Брэндон Уилсон (Brandon Wilson) опубликовали на GitHub инструкцию по взлому порта USB с помощью неустранимой уязвимости, о существовании которой было объявлено в конце июля. Об этом сообщает Wired.


В конце июля исследователи в области компьютерной безопасности Карстен Нол и Джейкоб Лелл заявили, что в результате реверс-инжиниринга прошивки, отвечающей за коммуникационные функции порта USB, им удалось найти в нём неустранимую уязвимость.

Эта «дыра» позволила инженерам написать код под названием BadUSB, который позволяет заражать компьютеры с помощью устройств, у которых даже нет собственной памяти: вирус хранится непосредственно в чипе-контроллере, и поэтому не может быть обнаружен любыми стандартными средствами.

Тогда Нол и Лелл отказались публиковать свою находку в сети, чтобы дать индустрии время разобраться с проблемой, однако спустя два месяца это решение приняли за них. В рамках конференции DerbyCon инженеры Адам Коудилл и Брэндон Уилсон заявили, что им удалось повторить BadUSB, но они убеждены, что только публикация этого кода в сети может заставить крупные корпорации зашевелиться.

Если подобное могут сделать только люди с большим бюджетом, производители пальца о палец не ударят. Мы должны доказать миру, что на практике подобное может сделать кто угодно.
Адам Коудилл

Поскольку проблема BadUSB кроется в самой сути стандарта USB, в текущих его версиях (2.0 и 3.0) её устранить нельзя. Для этого нужна новая версия USB с дополнительным слоем защиты.

Люди смотрят на эти штуки [флешки] и не видят в них ничего кроме хранилищ данных. Они не понимают, что держат в руках перепрограммируемый компьютер.
Адам Коудилл

BadUSB может быть использован для захвата управления PC, скрытого изменения файлов пользователя и перенаправления интернет-трафика. Более того, после того, как флешка заразила компьютер, он может заразить и другое USB-устройство, тем самым запустив эпидемию.

2014 год уже по праву можно считать годом глобальных уязвимостей, подобных этой. Весной серьёзную «дыру» обнаружили в стандарте шифрования данных OpenSSL, из-за чего многим крупным сайтам пришлось сбросить пароли своих пользователей, а в конце сентября — в популярной среди пользователей Linux и Mac командной оболочке Bash. На полное устранение этих проблем могут уйти годы.

 

BadUSB — новый тип уязвимости USB-устройств:

USB-устройства временами переносят вредоносные программы. «Здоровье» нашей машины зависит от качества антивирусников и нашей внимательности. Но, оказывается, проблема с безопасностью USB куда глубже: риск не в хранящейся информации, но в прошивке устройства.

USB-устройство может остаться заражённым даже после полного форматирования.
Эти выводы сделали исследователи в области безопасности Karsten Nohl и Jakob Lell. Вредоносный код, созданный ими и названный BadUSB, может быть установлен на любом USB-устройстве для получения контроля над машиной пользователя, как то:
изменение файлов;
исполнение файлов;
перехват интернет-траффика.


По словам исследоватетей, эту уязвимость настолько сложно устранить, что проще полностью отказаться от работы со стандартом USB. Nohl и Lell оказались едва ли не первыми, кто указал на способ хранения и распространение вредоносного кода данным способом. После нескольких месяцев работы бул получен код, позволяющий обмениваться данными между флэшкой и компьютером. Основной вывод работы состоит в том, что все существующие прошивки можно переписать, спрятав изменения.

«Вы можете отдать флэш-карту на анализ вашим IT-специалистам, и те, удалив некоторые файлы, скажут вам, что карта чиста. Однако, они даже не коснулись того, о чём говорим мы» — Nohl


Проблема не ограничивается флэш-накопителями. Все виды USB-устройств, от клавиатур до смартфонов имеют драйвера, которые могут быть подвержены той же атаке, что и флэш-карты. Nohl и Lell говорят, что проверили это на BadUSB-инфецированном Android-телефоне. В их опыте телефону удалось выдать себя за клавиатуру и начать вводить команды от её лица.

«Он мог сделать всё, что могла бы сделать клавиатура» — Nohl


BadUSB-инфецированные машины могут перехватить Интернет-траффик, изменить настройки DNS; если BadUSB-код находится на телефоне, то телефон может выступать в качестве MITM.

Большинство из нас привыкло не запускать левые исполняемые файлы, однако, этих мер недостаточно для остановки эпидемии BadUSB: ведь USB-устройства не имеют подписи кода, и проверить «оригинальность» прошивки проблематично.

Исследование Nohl и Lell показывает, что BadUSB-инфекция может путешествовать как с устройства на компьютер, так и обратно. Каждый раз, когда флэш-устройство подключено к компьютеру, его прошивка может быть перепрограммирована, и владельцу это будет непросто заметить.

Nohl соглашается, что быстро проблема не решится: она настолько обширная, что надо писать не патч, а полностью перерабатывать концепцию USB. Что надо не подключать устройств USB к компьютерам, которым не доверяете.

«В новом образе мышления вы не можете доверять флэш-носителю просто потому что знаете, что там вируса быть не должно. Доверие может быть только тогда, когда вы знаете, что USB этого устройства никогда не касался компьютера. Это несовместимо с тем, как мы используем устройства сейчас» — Nohl

 

Ну и мнение Касперского Евгения Валентиновича:

https://twitter.com/e_kaspersky/status/518055653172985856

"Если у вас паранойя - это не значит что за вами не следят" 

[lammer 594]

Просто не надо зацикливаться на одной из возможностей взлома.... В том же браузере, например, мы иногда совершаем кучу необдуманных или откровенно опасных действий, которые могут привести к плачевным последствиям, или , возьмем настройки роутеров... У многих WEP шифрование, по умолчанию WDS всегда включен, или пароль дефолтный админ/админ так и оставляют. В рейтинге опасностей ЮСБ уж явно не на первом месте.

   Есть еще и заведомо "дырявый" софт, типа "Zona"

Изменено 12 февраля, 2015 пользователем lammer

[djafar 1]

Зацикливаться не надо, но бесит вероятность того, что тебя могли "поиметь" как наперсточники лоха )))

Таки включу параноидальный режим антивиря на домашнем компе и рискну подключить девайс, понаблюдаю...

И все-таки вопрос к специалистам - есть ли возможность мониторить активность USB-порта?

Т.е. если я подозреваю, что у меня "троянская флешка/mp3-плееер/и т.п." могу ли я с помощью подручных средств "взять на карандаш" usb-порт компьютера и смотреть что он пытается вытворять? Кем представляется системе и т.п.

[Zaitsev Oleg 220]

Зацикливаться не надо, но бесит вероятность того, что тебя могли "поиметь" как наперсточники лоха )))

Таки включу параноидальный режим антивиря на домашнем компе и рискну подключить девайс, понаблюдаю...

И все-таки вопрос к специалистам - есть ли возможность мониторить активность USB-порта?

Т.е. если я подозреваю, что у меня "троянская флешка/mp3-плееер/и т.п." могу ли я с помощью подручных средств "взять на карандаш" usb-порт компьютера и смотреть что он пытается вытворять? Кем представляется системе и т.п.

Реальный BadUSB опасен как раз тем, что в нем все отлично работает и не заметно для юзера (почти), в частности никаких ошибок или непонятных устройств от его работы не появляется. Заметить при желании работу его можно визуально, так как идет или симуляция клавиатурного ввода, или появляется "лишнее" сетевое устройство. "Лишнее" сетевое устройство будет видно длительное время, клавиатурное может быть видно кратковременно, но его появление/исчезновение несложно заметить, при условии конечно, оно не появляется через час после подключения устройства. Средства мониторинга USB конечно есть, но они платные и без соответствующей подготовки интерпретировать результаты мониторинга не очень просто.

По поводу защиты и чтобы не бесили вероятности,  а также во избежание негарантийного ремонта материнской платы - есть такое устройство, "китайский USB зарядник", он же "блок питания USB" называется  обычно моноблок, включаемый в розетку, с 1-2 разъемами USB (иногда по виду напоминает фирменную зарядку iPhone и стоит 150 руб при этом), втыкается в розетку и отдает через USB разъемы ток порядка 1 ампера. Вариантов исполнения - миллион, продаются на каждом углу, есть с USB разъемами, есть сразу с кабелями c разъемами mini|micro USB на конце.  Можно купить более фирменное устройство (почти наверняка тот-же китай, только дороже в 5 раз), можно купить как вариант USB хаб с внешним питанием (и не подключать его к ПК) - не суть важно, все эти варианты дают от одного до N USB портов, предназначенных только для питания/зарядки и ничего более. К таким зарядникам можно подключать что угодно не рискуя нарваться на атаку типа BadUSB, не рискуя глюками в работе операционки или риском спалить порты USB на материнской плате. Такой совет я даю всем - порты USB нужны для подключения известных устройств с целью обмена с ними информацией. Если задачи обмена информацией нет, а тем более если устройство какое-то левое/непонятное - включаем его в зарядник и проблем нет...

[djafar 1]

Есть и сетевые адаптеры c usb портами, и даже внешний аккумулятор, от компа было просто удобнее заряжать.

Но принципе понятен и я с ним согласен  - "К компьютеру подключать только те устройства, которые нужны для взаимодействия с ним"