baiting

Baiting to technika socjotechniki, w której atakujący podsuwa ofierze przynętę: znaleziony nośnik USB, darmowy plik, płatny program za darmo albo obiecaną nagrodę. Ofiara sama uruchamia złośliwy kod, bo kieruje nią ciekawość, chęć zysku albo chęć pomocy. NIST wymienia baiting obok phishingu, pretextingu i tailgatingu jako jedną z form socjotechniki, którą powinny obejmować szkolenia z bezpieczeństwa ^[1]. W polszczyźnie mówi się też o ataku na przynętę; nazwa angielska jest częstsza w tekstach fachowych.

Jak działa

NIST definiuje socjotechnikę jako próbę nakłonienia człowieka do ujawnienia informacji albo wykonania działania, które posłuży do naruszenia systemu ^[1]. Baiting różni się od phishingu tym, że nie wymaga rozmowy ani wiadomości z prośbą. Przynęta sama wywołuje działanie ofiary: podłączenie nośnika, pobranie pliku, instalację programu.

Klasyczną postacią jest podrzucony pendrive. Zespół Tischera i współautorów zostawił na terenie dużego kampusu uniwersyteckiego 297 pamięci USB ^[2]. Skuteczność ataku oszacowano na 45–98%, a pierwszy nośnik został podłączony po mniej niż sześciu minutach ^[2]. Wygląd nośnika nie zwiększał skuteczności; ankietowani najczęściej chcieli znaleźć właściciela ^[2]. Autorzy podkreślają, że osoby te nie były technicznie niekompetentne ^[2].

Przebieg ataku z nośnikiem pokazuje schemat poniżej.

RYS. 1Baiting z nośnikiem USB

Odmiany

Przynęta może być fizyczna albo cyfrowa. Mechanizm uruchomienia zależy od nośnika.

MITRE opisuje rozprzestrzenianie przez nośniki wymienne jako technikę, która pozwala dotrzeć także do sieci odizolowanych, czyli zabezpieczonych przez air gap ^[3]. Wariant BadUSB omija ograniczenia dotyczące pamięci masowej, bo system rozpoznaje urządzenie jako klawiaturę ^[4]. Pokrewnym atakiem przez port USB jest juice jacking, w którym przynętą jest publiczna ładowarka.

W WordPressie

Na stronach WordPress baiting ma najczęściej postać darmowej kopii płatnej wtyczki albo motywu. Piracka wtyczka (nulled plugin) jest przynętą w czystej postaci: płatny produkt za darmo. Sucuri w lipcu 2020 roku zauważył, że skoro takie oprogramowanie zwykle wymaga opłaty, serwisy z plikami oferują wersje „nulled” lub „cracked” do pobrania za darmo ^[5]. Opisany przez Sucuri serwis oferował ponad 2500 takich wtyczek i motywów ^[5].

Paczki z tego serwisu zawierały dodatkowe pliki rms-script-ini.php i rms-script-mu-plugin.php ^[5]. Tworzyły one tylną furtkę (backdoor) w katalogu mu-plugins i dawały napastnikowi uprawnienia administratora, także po usunięciu samej wtyczki ^[5]. Właściciel strony instaluje więc furtkę sam, bez włamania.

Podobnie działa fałszywa wtyczka, podszywająca się pod narzędzie do optymalizacji albo bezpieczeństwa. Dokumentacja WordPressa zaleca, by nie pobierać wtyczek ani motywów z niezaufanych źródeł i ograniczyć się do repozytorium WordPress.org albo znanych firm ^[6].

Nośnik USB też ma znaczenie dla strony: komputer administratora zarażony z podrzuconego pendrive’a może przekazać napastnikowi zapisane hasła do panelu, serwera SFTP albo hostingu.

Zagrożenia i skutki

Skutek zależy od tego, co przynęta uruchomi. W opisanych przypadkach były to:

• ransomware: w kampanii FIN7 celem było wdrożenie oprogramowania BlackMatter i REvil ^[4];
• narzędzia zdalnego dostępu, takie jak Cobalt Strike i Metasploit, używane w tej samej kampanii ^[4];
• robaki przenoszone między komputerami na nośnikach wymiennych ^[3];
• tylne furtki i nieautoryzowane konta administratora na stronach z pirackimi wtyczkami ^[5].

Baiting często otwiera dłuższy atak. Pierwszy zarażony komputer staje się punktem wyjścia do dalszego ruchu w sieci firmy.

Jak się bronić

MITRE wymienia trzy grupy środków przeciw zarażeniu z nośników wymiennych ^[3]:

1. wyłączenie funkcji autorun i ograniczenie dostępu do nośników wymiennych ^[3];
2. reguły blokujące uruchamianie niezaufanych plików wykonywalnych z USB ^[3];
3. ograniczenie używania urządzeń USB w sieci organizacji ^[3].

Równie ważne jest przeszkolenie ludzi. NIST zalicza baiting do tematów, które powinny obejmować szkolenia z rozpoznawania socjotechniki ^[1]; zob. szkolenia z cyberbezpieczeństwa dla pracowników. Tischer i współautorzy wskazują, że ataki socjotechniczne pozostają skuteczne, a środowisko bezpieczeństwa wciąż nie znalazło na nie dobrej odpowiedzi ^[2].

Dla stron WordPress zasada jest prosta: wtyczki i motywy tylko z repozytorium WordPress.org albo od producenta ^[6], a znaleziony nośnik oddaje się do działu IT, zamiast go podłączać.

Historia i przykłady

Stuxnet. MITRE podaje, że robak Stuxnet rozprzestrzeniał się przez nośniki wymienne, korzystając z pliku autorun.inf albo z podatności CVE-2010-2568 w obsłudze skrótów LNK ^[3]. W tym samym opisie MITRE wymienia Agent.btz, który kopiował się na podłączane nośniki razem z plikiem autorun.inf ^[3].

FIN7 i BadUSB. 7 stycznia 2022 roku BleepingComputer opisał ostrzeżenie FBI dotyczące grupy FIN7 ^[4]. Od sierpnia 2021 roku grupa wysyłała pocztą do firm z branży transportowej i ubezpieczeniowej, a od listopada 2021 roku także zbrojeniowej, paczki z urządzeniami USB ^[4]. Nadawcy podszywali się pod Amazon i amerykański Departament Zdrowia; w paczkach były listy o zasadach dotyczących COVID-19, fałszywe karty podarunkowe albo podziękowania ^[4].

Eksperyment kampusowy. Badanie z 297 porzuconymi nośnikami zostało przedstawione na konferencji IEEE Symposium on Security and Privacy w 2016 roku ^[2].