Hacker khai thác firmware ổ flash USB để cài mã độc như thế nào

Mỗi ổ flash USB đều có một bộ vi điều khiển nhỏ chạy firmware riêng, và ở nhiều mẫu giá rẻ, firmware này có thể được ghi đè mà không cần xác thực. Khi bị sửa, ổ USB có thể tự khai báo là bàn phím, card mạng hoặc ổ đĩa có phân vùng ẩn, điều mà phần mềm diệt virus quét tệp thông thường không nhìn thấy. Bảo vệ hiệu quả dựa vào nguồn gốc thiết bị, chính sách hạn chế loại thiết bị USB và quan sát hành vi, chứ không chỉ quét virus. Bài viết giải thích cơ chế ở mức khái niệm để bạn hiểu rủi ro, không đi vào chi tiết kỹ thuật tấn công.

Bên trong một ổ USB có gì

Nhìn từ ngoài, USB chỉ là vỏ nhựa và đầu cắm. Bên trong có hai thành phần chính: chip nhớ flash lưu dữ liệu và bộ điều khiển (controller). Bộ điều khiển chịu trách nhiệm giao tiếp với máy tính, quản lý việc ghi đều lên các ô nhớ, xử lý khối hỏng. Nó làm việc này nhờ firmware, một chương trình nhỏ được nạp sẵn từ nhà máy.

Chuẩn USB cho phép một thiết bị tự khai báo mình thuộc lớp nào: lưu trữ, bàn phím, chuột, âm thanh, mạng. Máy tính tin vào lời khai báo đó để nạp trình điều khiển phù hợp. Đây là thiết kế giúp USB "cắm là chạy", nhưng cũng là điểm yếu: nếu firmware bị thay đổi, thiết bị có thể khai báo bất cứ điều gì.

Vì sao firmware lại sửa được

Nhà sản xuất cần cập nhật firmware để sửa lỗi hoặc dùng chung một bộ điều khiển cho nhiều dòng sản phẩm. Vì vậy nhiều bộ điều khiển có chế độ nạp lại firmware. Ở các dòng giá rẻ, chế độ này thường không yêu cầu chữ ký số, nghĩa là bất kỳ ai có công cụ phù hợp đều nạp được firmware khác vào.

Năm 2014, các nhà nghiên cứu bảo mật đã công bố công khai khái niệm BadUSB tại hội nghị Black Hat, cho thấy firmware của một số bộ điều khiển phổ biến có thể bị lập trình lại. Từ đó, cộng đồng bảo mật hiểu rằng vấn đề nằm ở thiết kế chung của hệ sinh thái USB chứ không phải lỗi của một hãng riêng lẻ.

Firmware bị sửa có thể làm gì

Ở mức khái niệm, có vài nhóm hành vi mà người phòng thủ cần biết:

• Giả làm bàn phím. Thiết bị tự gõ một chuỗi phím rất nhanh ngay khi được cắm, như thể có người đang ngồi gõ. Vì là "bàn phím", máy tính không hỏi quyền.
• Giả làm card mạng. Thiết bị có thể khiến máy chuyển hướng một phần lưu lượng mạng qua nó.
• Ẩn phân vùng. Ổ đĩa hiển thị dung lượng nhỏ hơn thực tế, phần còn lại chứa dữ liệu không thấy được bằng File Explorer.
• Thay đổi nội dung khi đọc. Ổ có thể trả về tệp khác nhau tùy thời điểm, gây khó cho việc kiểm tra.

Hành vi giả bàn phím là phổ biến nhất trong thực tế và được phân tích kỹ trong bài về hiểm họa tấn công bằng thiết bị BadUSB.

Vì sao phần mềm diệt virus khó phát hiện

Phần mềm diệt virus quét tệp tin. Firmware không phải tệp trên ổ đĩa mà nằm trong bộ nhớ riêng của bộ điều khiển, máy tính không đọc được bằng cách thông thường. Khi thiết bị giả làm bàn phím, các phím bấm nó gửi đi về mặt kỹ thuật không khác phím người dùng gõ. Vì vậy cách phòng thủ phải dựa vào hành vi và chính sách: chặn loại thiết bị không mong muốn, phát hiện bàn phím mới xuất hiện bất thường, giới hạn quyền của tài khoản người dùng để các lệnh tự gõ không làm được gì nghiêm trọng.

Cũng cần nói rõ: format hay xóa sạch dữ liệu trên USB không khôi phục firmware. Một ổ bị nghi sửa firmware nên bị loại bỏ, không tái sử dụng.

Dấu hiệu nhận biết một USB đáng ngờ

Không dấu hiệu nào là bằng chứng chắc chắn, nhưng xuất hiện bất kỳ điều nào cũng đủ để rút thiết bị và báo bộ phận IT.

Phòng thủ cho người dùng cá nhân

1. Chỉ dùng USB có nguồn gốc rõ ràng. Mua ở cửa hàng chính hãng, tránh hàng không thương hiệu, tránh USB quà tặng từ người lạ, và tuyệt đối không cắm USB nhặt được.
2. Không cắm USB khi máy đang mở khóa và bạn không theo dõi. Thiết bị giả bàn phím cần phiên làm việc đang mở để gõ lệnh.
3. Dùng tài khoản người dùng thường, không dùng tài khoản quản trị hằng ngày. Nhiều lệnh nguy hiểm sẽ bị chặn bởi UAC.
4. Để ý thông báo cài thiết bị mới. Nếu bạn cắm USB lưu trữ mà Windows báo nhận bàn phím, hãy rút ra ngay.
5. Cập nhật hệ điều hành. Các bản vá giúp hạn chế những hành vi mà lệnh tự động có thể thực hiện.

Phòng thủ cho doanh nghiệp

Ở môi trường văn phòng, rủi ro lớn hơn vì một máy bị xâm nhập có thể là bàn đạp vào mạng nội bộ. Các biện pháp nên cân nhắc:

• Dùng chính sách kiểm soát thiết bị để chỉ cho phép USB đã đăng ký theo mã nhà sản xuất và mã sản phẩm, chặn thiết bị HID mới xuất hiện trên máy chủ.
• Cấp cho nhân viên USB mã hóa có firmware được ký số, thay vì để mỗi người dùng ổ cá nhân.
• Theo dõi nhật ký sự kiện cài đặt thiết bị qua công cụ EDR hoặc SIEM để phát hiện bàn phím mới gắn vào máy không có người.
• Khóa cổng USB không dùng đến; tham khảo lý do nên khóa cổng USB vật lý ở văn phòng.
• Huấn luyện nhân viên về USB lạ, vì kịch bản thả USB ở bãi xe, sảnh tòa nhà vẫn được dùng trong các bài kiểm thử xã hội.

Với tổ chức xử lý nhiều dữ liệu khách hàng, việc kiểm soát cổng USB nên nằm trong chiến lược rộng hơn về hệ thống phòng chống thất thoát dữ liệu, để vừa chặn mã độc vào vừa chặn dữ liệu ra.

Nếu đã lỡ cắm một USB nghi bị sửa firmware

Rút thiết bị, ngắt kết nối mạng của máy, ghi lại thời điểm và những gì quan sát được. Kiểm tra Device Manager, Task Scheduler và danh sách chương trình khởi động cùng Windows. Đổi mật khẩu các tài khoản quan trọng từ một máy khác. Nếu là máy công ty, chuyển ngay cho bộ phận IT để họ thu thập nhật ký trước khi bạn làm gì thêm. Chiếc USB nên được cất riêng để phân tích hoặc tiêu hủy, không cắm thử vào máy khác "để xem có gì". Hướng dẫn cô lập máy tính nghi nhiễm độc mô tả các bước tiếp theo.