Hiểm họa tấn công mạng bằng thiết bị BadUSB giả mạo bàn phím

BadUSB giả mạo bàn phím là thiết bị trông như ổ flash hay cáp thông thường nhưng tự khai báo với máy tính là bàn phím, rồi gõ một chuỗi lệnh định sẵn nhanh hơn bất kỳ người nào. Vì máy tính tin tưởng bàn phím, thiết bị không cần khai thác lỗ hổng nào: nó chỉ làm điều mà người ngồi trước máy làm được. Cách phòng chủ yếu là không để máy mở khóa khi vắng mặt, không cắm thiết bị lạ, giới hạn quyền tài khoản và dùng chính sách kiểm soát thiết bị trên máy quan trọng.

Vì sao bàn phím lại là "cửa sau" lý tưởng

Khi bạn cắm một bàn phím mới, hệ điều hành gần như không hỏi gì: nó nạp trình điều khiển chuẩn và cho phép thiết bị gõ ngay. Thiết kế này có lý do: nếu hệ điều hành bắt bạn xác nhận bằng bàn phím mới thì bạn sẽ dùng gì để xác nhận? Chính sự tin tưởng mặc định đó khiến kiểu tấn công giả bàn phím (thường gọi là keystroke injection) tồn tại.

Một thiết bị BadUSB loại này thực chất là một vi điều khiển nhỏ có cổng USB, được lập trình để gửi chuỗi phím. Nó có thể nằm trong vỏ ổ flash, trong đầu cáp sạc, thậm chí trong một con chuột hay bàn phím thật được sửa đổi. Trong ngành kiểm thử xâm nhập, các thiết bị này được dùng hợp pháp để đánh giá mức độ cảnh giác của tổ chức; vấn đề là kẻ xấu cũng có thể mua hoặc tự chế tạo chúng.

Những kịch bản thường gặp

Máy đang mở khóa và chủ máy vừa rời đi

Đây là kịch bản nguy hiểm nhất. Chỉ cần vài giây, thiết bị có thể mở cửa sổ lệnh, tải và chạy một chương trình, hoặc thay đổi cấu hình. Người quay lại có thể không thấy dấu vết nào trên màn hình.

USB "thất lạc" được cố tình để lại

Thiết bị được đặt ở bãi xe, sảnh tòa nhà, phòng họp, kèm nhãn hấp dẫn như "Bảng lương" hay "Ảnh". Người nhặt cắm vào máy vì tò mò. Lý do vì sao không bao giờ nên làm vậy được phân tích trong bài vì sao không cắm USB lạ nhặt được.

Quà tặng và phụ kiện khuyến mãi

USB, cáp, quạt mini cắm cổng USB được gửi tới văn phòng dưới dạng quà tặng từ "đối tác". Người nhận cắm thử và thiết bị bắt đầu gõ.

Thiết bị cắm vào máy không ai trông

Máy tra cứu ở thư viện, máy tính tại quầy lễ tân, máy chủ đặt ở phòng không khóa. Kẻ gian cắm thiết bị trong lúc đi ngang qua.

Vì sao khó phát hiện bằng phần mềm

Phần mềm diệt virus không thể phân biệt phím do thiết bị gõ với phím do bạn gõ. Thiết bị cũng không chứa tệp nào để quét. Thứ duy nhất có thể bị phát hiện là hậu quả của chuỗi lệnh: một chương trình được tải về, một tác vụ được lên lịch, một tài khoản được tạo. Đó là lý do các giải pháp phát hiện và phản hồi trên thiết bị đầu cuối (EDR) tập trung vào hành vi, ví dụ cửa sổ lệnh được mở và chạy lệnh tải tệp ngay sau khi một bàn phím mới xuất hiện.

Cấu hình Windows để giảm rủi ro

Chính sách giới hạn cài thiết bị nằm trong Group Policy tại Computer Configuration > Administrative Templates > System > Device Installation > Device Installation Restrictions. Quản trị viên có thể chỉ cho phép những thiết bị nằm trong danh sách mã phần cứng đã duyệt. Cách này cần thử nghiệm kỹ trước khi áp rộng, vì cấu hình sai có thể chặn cả bàn phím thật khi thay mới.

Thói quen hằng ngày quan trọng hơn công cụ

• Khóa máy mỗi khi đứng dậy, kể cả "chỉ đi lấy nước".
• Không cắm bất cứ thiết bị USB nào không rõ nguồn gốc, kể cả quạt, đèn hay cáp.
• Để ý thông báo "Setting up a device" hay biểu tượng cài trình điều khiển khi cắm một thứ không phải bàn phím.
• Nếu thấy cửa sổ tự mở rồi đóng, rút thiết bị và báo IT ngay, đừng chờ xem chuyện gì xảy ra tiếp.
• Kiểm tra phía sau máy tính để bàn có thiết bị lạ cắm vào không, nhất là sau khi có người lạ vào văn phòng.

Ở môi trường văn phòng, các thói quen này nên đi kèm biện pháp vật lý như khóa cổng USB không sử dụng, đặc biệt trên máy đặt ở khu vực công cộng.

BadUSB khác gì USB chứa virus thông thường

Bảng trên cho thấy vì sao không thể chỉ dựa vào phần mềm diệt virus. Một ổ flash có firmware bị sửa đổi có thể kết hợp cả hai hình thức; cơ chế này được giải thích trong bài cách firmware USB bị khai thác.

Khi nghi đã có thiết bị BadUSB cắm vào máy

1. Rút thiết bị, giữ lại, không cắm vào máy khác để thử.
2. Ngắt kết nối mạng của máy.
3. Ghi lại thời điểm và những gì nhìn thấy trên màn hình.
4. Báo bộ phận IT; nếu là máy cá nhân, kiểm tra Task Scheduler, chương trình khởi động, tài khoản người dùng mới.
5. Đổi mật khẩu các tài khoản quan trọng từ một thiết bị khác.

BadUSB không phải mối đe dọa phức tạp, nhưng nó đánh vào điểm mà nhiều người không nghĩ tới: lòng tin mặc định với bàn phím. Hiểu điều đó, bạn sẽ tự động cẩn trọng hơn với mọi thiết bị cắm vào máy mình.