CON22で仕入れたハッキング用USBデバイスをご紹介します。デバイス制御の製品をすり抜け、脆弱性もマルウェアも利用しないため、検知がとても難しい代物となります。こちらがその写真です。なんの変哲もないUSBメモリに見えます。図、悪意のあるUSBデバイス■攻撃デモ中身をご紹介する前に当該USBデバイスを用いた攻撃をご覧ください。動画が見れない方はこちらから動画ファイルをダウンロードしてください。動画のホストには以下の一般的な対策が施されています。最新のOS/アプリのパッチ適用済み最新パターンファイルで動作しているウィルス対策USBマスストレージデバイスをブロックするデバイスコントロール対策CDデバイスによる自動実行(Autorun)の無効化しかし、USBデバイスを挿入後、勝手にメモ帳が立ち上がり、メッセージが打ち込まれました。■攻撃の仕組みでは、その仕組みを解説します。当該USBデバイスは一見するとUSBメモリに見えますが、OSはキーボードとして認識しています。図、デバイスマネージャUSBデバイスを分解すると...図、デバイスの中身デバイス内にはMicroSDカードがあり、その中に攻撃者が用意した「デバイスを挿入した時にタイピングする文字列」が含まれています。上記の動画であれば、以下のような文字列になります。(メッセージ)これらの文字列は攻撃者が任意に設定できるため、たとえば以下の攻撃のようなことが行えます。/addコマンドを利用してローカルのユーザを作成するデスクトップ上のOffice文書をアップロードさせる攻撃者がキーボードを乗っ取っている状態に等しく、キーボードが乗っ取れれば、ホストを乗っ取ることができるということです。OSはUSBが挿入された場合、そのデバイスのデバイスクラスIDなどの情報を元にロードするドライバを決めています。そのため、USBデバイスがキーボードのクラスを「自称」すれば、OSはキーボードデバイスとして認識し、ドライバをロードします。EVIL)では、キーボードだけでなく、Etherカードの振りをし、パケットをスニフィングするUSBデバイスやUSBブート型ブートキットなどの攻撃の可能性について発表していました。上述の通り、マルウェアも脆弱性も利用していないので、ウィルス対策やパッチの適用では防げません。デバイス制御の対策があれば、USBストレージデバイスのみのブロックというようなブラックリスト方式ではなく、USBデバイスは全てブロックし、利用するデバイスのみをシリアル番号などの一意な識別子で許可をする必要があります。ユーザに任意のマウス、キーボードを使わせたいという要望を受け入れるとホワイトリストの管理が煩雑さになったり、そもそも一意な識別子を持っていないデバイスもあったりして、根本的な対策はなかなか難しいと言えます。ユーザに対する教育として以下の基本的な2点を厳守させることが最も手っ取り早い対策となるかもしれません。»プロフィールセキュリティ研究センターサイバーセキュリティに特化した研究を行うことを目的に2013年4月に開設。寛リバースエンジニアリング(マルウェア解析)を担当。彼の手に渡ったマルウェアはまさに“まな板の上の鯉”と同じ。あとは解析されるがまま。最近の楽しみは、ハイボールを片手に海外ドラマを鑑賞するか、マントノン侯爵夫人に会うこと。元リバースエンジニアリング(マルウェア解析)を担当。動的解析では動いてくれないマルウェアの皮を一枚一枚剥がしていく職人技が持ち味。翔太CTF、IoTハッキング、マルウェアペンテストツールの開発を担当。CONにてツールを発表。セキュリティキャンプ講師、SECCON実行委員。憲蔵インフラ分析とOSINT分析を担当。Orifice/NetBusの時代からRATに興味を持ち現在に至る。Transformの開発とレゴブロック。