De FBI waarschuwde onlangs voor geavanceerde USB-gebaseerde aanvallen door een opgeroepen groep FIN7. De campagne, die vermoedelijk afgelopen augustus is gestart, richt zich op Amerikaanse bedrijven, waaronder bedrijven in belangrijke cruciale infrastructuursectoren zoals transport, verzekeringen en defensie. De aanvallers richtten zich op de slachtoffers door hen pakketten te sturen die geavanceerde aanvalstools op de USB-apparaten bevatten. Deze “BadUSB’s” vormen een aanzienlijke bedreiging. Dit is wat u erover moet weten (en doen).

De aanvalstechniek en -hulpmiddelen
Er wordt aangenomen dat er twee varianten van de pakketten zijn, die elk zijn ontworpen om gebruikers te misleiden om de USB-apparaten te gebruiken. De eerste verwijst naar de COVID-19-richtlijnen, terwijl de tweede beweert een geschenk te zijn in een decoratieve verpakking met een valse cadeaubon en een bedankbrief.

Deze BadUSB's zijn eigenlijk penetratietesttools. Een BadUSB ziet eruit als een normale USB, maar presenteert zichzelf aan het besturingssysteem van een computer als een ander apparaat, een apparaat dat natuurlijker wordt vertrouwd door een computer, zoals een toetsenbord. Eenmaal in de computer geplaatst, roept het apparaat de Windows-opdrachtregel op en voert een script uit dat een exploit downloadt. Dit veroorzaakt een infectie op het eindpunt waardoor aanvallers een aanvalsreeks op de organisatie kunnen initiëren – in het geval van de FIN7-aanvallen: ransomware.

Helaas was dit geen eenmalige gebeurtenis of aanvalstechniek. Er zijn ongeveer 30 duidelijk gedefinieerde USB-aanvalstools, waarbij regelmatig nieuwe varianten verschijnen. En de tijd dat we ons alleen maar zorgen hoefden te maken over de schadelijke bestanden op een USB is al lang voorbij. Tegenwoordig moeten we niet alleen aan de bestanden op het apparaat denken, maar ook aan het apparaat zelf. Dit zou de standaardfilosofie moeten zijn voor alle apparaten die we in een veilige en vertrouwde omgeving brengen. Andere overwegingen om organisaties te beschermen tegen apparaatgebaseerde bedreigingen zijn onder meer:

• Beveilig uw toeleveringsketen alleen bij vertrouwde leveranciers om risico's te minimaliseren. Als een deal te mooi lijkt om waar te zijn, is dat waarschijnlijk ook zo – en krijgt u mogelijk meer dan u had verwacht.

• Benader geschenken met de nodige voorzichtigheid. Net als bij de FIN7-aanval worden kwaadaardige apparaten vaak vermomd als geschenk om slachtoffers te misleiden.

• Verwijder onnodige hardware uit uw kritieke omgeving. Er is geen reden om een ​​la vol oude USB-drives, cd's, dvd's, muizen, toetsenborden, enzovoort te bewaren. Schadelijke apparaten kunnen gemakkelijk in dergelijke collecties worden gemengd, of oudere apparaten kunnen worden aangepast om kwaadwillig te handelen.

• Maak een lijst met alle geteste en goedgekeurde apparaten. Inventariseer alles, van verwijderbare media tot toetsenborden, headsets en monitoren en meer. Alles wat in uw instelling wordt gebruikt, moet worden gedocumenteerd om ervoor te zorgen dat als er iets nieuws opduikt, er een visuele aanwijzing is dat er iets mis is en dat dit onder de aandacht van het management of een beveiligingsteam moet worden gebracht.

• Training kan uw eerste verdedigingslinie zijn. Wij zijn slechts zo sterk als onze zwakste schakel. De mens is van nature nieuwsgierig. Zorg ervoor dat alle medewerkers en bezoekers van de site worden getraind in de nieuwste beveiligingspraktijken. Regelmatige training hoeft niet complex of omslachtig te zijn. De sleutel is om ervoor te zorgen dat alle medewerkers toegang hebben tot de nieuwste richtlijnen en op de hoogte zijn van de best practices die ze moeten volgen.

• Verwijderbare mediabeveiligingsoplossingen isoleren de eindpunten van de organisatie tegen kwaadaardige USB en dienen als gateway om de apparaten veilig te gebruiken.

Deze best practices kunnen helpen bij het vormen van de basis van een beveiligingsbeleid voor verwijderbare media, maar het is ook belangrijk om te onthouden dat dergelijk beleid voortdurend moet worden herzien en beoordeeld. Zou uw verwijderbare beveiligingsbeleid bijvoorbeeld de recente FIN7-aanval hebben voorkomen? Zo nee, hoe moet deze worden bijgewerkt? Organisaties zouden zichzelf deze en andere vragen over het veiligheidsbeleid regelmatig moeten stellen om ervoor te zorgen dat ze al het mogelijke doen om faciliteiten te beschermen tegen slechte actoren.