Як виявити USB-гуму Ducky?

Три тижні тому моя компанія замовила багато обладнання (справжнє обладнання, не пов'язане з ІТ) з Китаю.

Сьогодні дівчина зі складу приходить до мене в офіс і каже, що, змішавшись з матеріалами, вона знайшла білий USB- привід із написом "Lihuiyu Studio Labs 2012.10.25"

Цікаво, у мене була реакція на кшталт "Так! Безкоштовний USB-накопичувач! Подивимося, що всередині!" і тупо підключився до моєї основної машини, і я був шокований, виявивши, що це виявлено як USB HID та клавіатура.

Паралізований від шоку, я зачекав 20-30 секунд, перш ніж його зняти.

На екрані нічого не сталося, пристрій, подібний до гуми USB, повинен щось показувати на екрані, правда? Неможливо, що це поставило під загрозу систему нашої компанії за допомогою декількох команд світлодіодної швидкості, які неможливо побачити неозброєним оком, правда?

Основне питання:

Чи є спосіб захисту систем Windows від таких пристроїв USB?

Нам потрібно підключати сотні різних накопичувачів USB щотижня, тому видалення / відключення підтримки USB - це не варіант

Вторинне запитання:

Як я бачу, що насправді робить цей USB-пристрій?

Встановити цей пристрій у комп’ютер немає небезпеки. Це просто ключ до набору програмного забезпечення для лазерного гравірування під назвою WingraverXP, що постачається з деякими бюджетними лазерними машинами. У мене є одна з машин, і вона постачається з однаковою USB-накопичувачем.

Аналогічно тому, що ваша мама, можливо, розповіла вам у дитинстві про прийняття пакетів від незнайомих людей, коли ви знайдете дивний USB-накопичувач на складі, наповненому китайськими викрутками, або що б там не сталося, не підключайте його до комп’ютер, який є частиною мережі вашої компанії . Колись.

Це дійсно найкращий спосіб "захистити системи Windows від таких пристроїв USB". Сказавши, що, як сказав Джеймс у коментарях, перші та очевидні методи атаки будуть заблоковані, вимкнувши функцію автоматичного запуску знімного накопичувача, але якщо хтось дійсно хоче завдати шкоди комп’ютеру, я впевнений, що може зробити талановитий хакер тому без ввімкнення автоматичного запуску.

Наступного разу, коли дивний USB-накопичувач падає з неба таким чином, і ви хочете побачити, що це таке, ви підключаєте його до комп'ютера, який не є частиною жодної мережі, не має підключення до Інтернету та немає критичних даних.

Тепер, швидше за все, є десь на березі Китаю розлючений докер, який скаржиться на втрату своєї бездротової клавіатури, нічого прикрого не було в приводі і абсолютно нічого поганого з вашим комп’ютером. Як правило, ви не підключаєте дивні пристрої до мереж.

ОНОВЛЕННЯ

Я не думаю, що існує спосіб насправді виявити гумового каченяти. Хороша новина полягає в тому, що найвідоміший не схожий на фотографію, яку ви розмістили. З іншого боку, те, що робить гіпотетична пташина USB, повністю залежить від її корисної навантаження і не може бути передбачена. Таким чином, не існує надійного способу перевірки, оскільки ви не можете заздалегідь знати, що він намагався зробити.

Якщо ваш привід дійсно ідентифікується як клавіатура, найбезпечніший спосіб визначити, які натискання клавіш він надсилає - це, ймовірно, апаратний USB-реєстратор клавіатури. Ви можете отримати їх по всьому Інтернету, просто google "usb реєстратор клавіатури".

Звичайно, це не заважає невстановленому пристрою фактично надсилати натискання клавіш до системи, в яку ви підключаєте його, тому не слід робити цього у виробничій системі.

Оскільки ви, мабуть, не хочете відключати підтримку USB HID та пристроїв клавіатури, я не думаю, що ви можете зробити що-небудь для запобігання таких атак, крім того, щоб не підключати ненадійні пристрої у вашу машину.

EDIT: Оскільки я не можу коментувати інші відповіді: Вимкнення автоматичного запуску запобігає лише автоматичному виконанню файлів на підключеному USB-накопичувачі. Однак якщо цей пристрій ідентифікує як клавіатуру, він, ймовірно, надсилатиме натискання клавіш і не пропонує вам файли. Вимкнення автоматичного запуску не захищає вас від натискань клавіш.

Детектор замаскованого клавіатури Penteract

Він блокує екран, коли виявляє підключення клавіатури.