標籤: USB

使用USB隨身碟,三個注意事項

趨勢科技 TrendMicro

USB隨身碟是儲存檔案與裝置間傳輸資料的基本工具。雖然它們很方便，卻也可能對你的電腦造成潛在威脅 – 尤其是在沒有謹慎使用的情況下。在一起事件中，研究人員最初無法確認惡意軟體攻擊的起點，但後來證明是從插入有毒的USB隨身碟開始。在這起案例中，USB隨身碟載入一些惡意程式碼並在目標系統上安裝了後門。

曾經有多位澳洲居民在自家信箱中，收到來源不明的隨身碟，不少民眾好奇插入電腦，隨即被病毒入侵。根據伊利諾伊大學研究發現，將隨身碟放置在校園各角落，有48％的人會將它撿起來插入電腦 。

有一個 Best Buy 客戶收到了一個包裏，內含回饋給客戶50美元的禮券，並附上一個 USB隨身碟，表示當中含有可用禮券購買的商品。但其實是駭客新招術，送有毒的USB隨身碟到你家。

延伸閱讀:
無檔案式攻擊,經由USB 隨身碟入侵電腦 
《資安漫畫》上班時用私人USB隨身碟,安全嗎? 
Stuxnet 蠕蟲藉著USB隨身碟等感染電力公司等公共基礎建設電腦和個人電腦

來自 USB 隨身碟的一個早期威脅是稱為「BadUSB」的惡意軟體，它利用了 USB的基礎安全漏洞。這惡意軟體可以接管電腦，變動檔案，甚至重新導向使用者的網路流量。雖然這很令人擔心，但只要在使用USB儲存或共享檔案時採取預防措施就可以避免這種情況：

  1. 只使用來自可靠廠商的 USB 隨身碟。
  2. 不將來路不明的 USB 隨身碟插入電腦。
  3. 插入 USB 隨身碟後，請用優良的安全解決方案進行掃描。

PC-cillin雲端版提供最佳的USB防禦，因為資料夾保護功能會自動掃描插入電腦的所有 USB隨身碟。
在電腦上安裝並使用趨勢科技的 PC-cillin ,可以保護它們不被USB隨身碟上的惡意程式侵害。

@原文出處：Use Safety and Precaution When Using USBs

PC-cillin 雲端版整合 AI 人工智慧的多層式防護，精準預測即時抵禦未知威脅 》即刻免費下載試用

無檔案式攻擊,經由 USB 隨身碟入侵電腦

趨勢科技 TrendMicro

趨勢科技曾經在今年的八月初探討過一個後門程式 (趨勢科技命名為 BKDR_ANDROM.ETIN) 是經由 JavaScript 惡意腳本 (JS_POWMET.DE) 以無檔案的形式進入受害系統。當時我們並不曉得該後門程式是如何進入受害系統，我們猜測它要不是經由使用者不小心下載到電腦上，不然就是經由其它惡意程式植入系統。

最近我們終於知道它的確切入侵途徑：它不是被其他惡意程式植入，也不是經由使用者下載，而是經由 USB 隨身碟感染。

技術細節

這個 USB 隨身碟上包含兩個惡意檔案 (趨勢科技將兩者皆命名為 TROJ_ANDROM.SVN)，檔案名稱分別為：

  • addddddadadaaddaaddaaaadadddddadda
  • IndexerVolumeGuid

此外也可能會用到一個捷徑檔案，捷徑的目標指向「%System%\cmd.exe /c start rundll32 {一個名稱很長的 DLL 程式庫檔案},{DLL 匯出的函式名稱}」。歹徒刻意將捷徑檔案的名稱取得跟隨身碟磁碟名稱相同，以誘騙使用者點選該檔案 (我們將此捷徑檔案命名為：LNK_GAMARUE.YYMN)。

惡意程式碼經過解密之後將直接載入記憶體中執行。此處，解密程式的檔案名稱就是加密金鑰。在感染過程中，沒有任何檔案會實際儲存到受害系統上。

解密後的程式碼會在系統登錄當中加入開機自動執行機碼，從這裡開始就銜接到我們上一篇分析文章描述的情形，所以此處不再重複說明整個感染過程，不變的是，系統最終將感染 BKDR_ANDROM.ETIN 後門程式。

圖 1：完整感染過程。 繼續閱讀

針對非連網系統的 USB Thief 資料竊取程式

趨勢科技 TrendMicro

最近出現了一個獨特的 USB 資料竊取程式，專門攻擊非連網的系統。根據惡意程式分析師 Tomas Gardon 的發現，這個 USB Thief (USB 竊賊) 程式一旦進入某個系統，就能一次偷走大量的資料。

Taking data off a laptop.

此惡意程式有幾項獨特的特徵，有別於傳統經由 USB 隨身碟及 Windows Autorun 自動執行功能感染電腦的惡意程式。此惡意程式感染電腦的能力非常獨特，甚至可感染沒有連網的電腦，而且不留下任何痕跡。Gardon 指出：「此惡意程式只經由 USB 隨身碟傳播，而且不會在受害電腦上留下任何痕跡。其作者更運用了一些特殊的機制來防止惡意程式被重製或拷貝，因此更難加以分析和偵測。」

USB Thief 利用了一連串的獨特技巧來附著到受害的系統以躲避偵測。它感染 USB 隨身碟的方式是將自己巧妙地插入一些免安裝綠色軟體 (如 FireFox、NotePad++ 及 TrueCrypt) 的執行指令當中。它會以附加元件或 DLL (動態連結程式庫) 的方式載入系統，然後在背後暗中執行。

USB Thief 可搭配某個大型駭客攻擊行動來竊取非連網系統上的資料，只要員工將受感染的 USB 隨身碟拿到隔離的系統上使用之後，再插回某台被感染的連網電腦時，駭客就能傳回竊取的資料。

 

原文出處：USB Thief Malware Targets Air-gapped Systems

CVE-2014-4115分析：惡意USB 磁碟可能導致整個系統被控制

趨勢科技 TrendMicro

2014年10月的週二修補程式日的其中一項是MS14-063，用來解決FAT32磁碟分割區驅動程式中的漏洞，此漏洞讓攻擊者可以取得受影響系統上的管理者權限，只需要一個具備特製檔案系統的USB磁碟。這個漏洞也被編號為CVE-2014-4115。

vulnerability2

為什麼此漏洞並不尋常？

我們特別注意檔案系統驅動程式，因為它們可以被用來透過USB磁碟機來攻擊系統。想想看之前的Stuxnet漏洞：它透過Windows捷徑漏洞來散播，能夠輕易地執行Windows shell程式碼；再利用第二個漏洞來取得管理者權限。檔案系統驅動程式漏洞可以一次就達到原本需要兩步驟的效果。

CVE-2014-4115存在於Windows Vista、Server 2003、Server 2008的檔案系統驅動程式（FASTFAT.SYS）。此驅動程式負責處理Fast FAT檔案系統（如 FAT32）。當處理FAT32格式磁碟中帶有特殊BIOS參數區塊（BPB）的開機磁區時，就可能觸發此漏洞。

FAT32今日仍被普遍地用在USB隨身碟上。正因如此，針對性攻擊可以利用此漏洞。假設一個特製的USB隨身碟以某種方式插入高階主管的筆記型電腦或公司內部網路的電腦。這些系統就會被外部惡意份子所控制，就有可能被用來進行針對性攻擊。 系統管媒體的政策。

系統管理員及時進行修補可以減少成為攻擊受害者的風險。企業系統管理員也該重新考慮在公司內部網路使用USB媒體的政策。

這個漏洞是什麼，出現在哪裡？

如前所述，此漏洞出現在FASTFAT.SYS。比較過有漏洞的版本和修補過的版本，唯一區別在於：函數 FatCommonWrite()。

圖 1、原始和修補過FASTFAT.SYS的差異

 

繼續閱讀