#pentestips: Kenne deinen "BadUSB"

"BadUSB"-Geräte sind unschuldig aussehende USB-basierte Geräte, die Hintergedanken haben und typischerweise im Werkzeugkasten eines jeden Pentesters zu finden sind.

Die heutige #pentestips Folge heißt: Kenne deine BadUSB-Geräte

Wenn Sie Hardware an einen Computer anschließen, muss diese normalerweise manuell genehmigt und installiert werden.

Aber wie soll man ein Gerät wie eine Tastatur oder eine Maus installieren, wenn man nicht in der Lage ist, zu klicken oder zu tippen?

Um dieses Paradoxon zu lösen, wurde eine neue Klasse von Geräten entwickelt: die "HID", oder "Human Interface Devices".
Bestimmte Arten von Hardware werden automatisch installiert, ohne dass der Benutzer eingreifen muss: Eingabegeräte (Tastatur, Maus), Speicher (Festplatten, USB-Laufwerke), Netzwerke (Ethernet-Adapter).

Tückisch werden
Die "BadUSB"-Gerätefamilie macht sich dieses System zunutze, indem sie HID-Geräte emuliert.
Wenn sie eingesteckt sind, können sie vorgeben, eine Tastatur, eine Maus, ein Speichergerät usw. zu sein - gleichzeitig. Und da sie nicht durch Finger begrenzt sind, können sie unglaublich schnell "tippen" und "klicken".

BadUSB-Geräte werden für verschiedene Zwecke eingesetzt: von der Übermittlung von "Nutzdaten" zur Datenexfiltration oder zum Zugriff auf Daten während Red-Team-Bewertungen bis hin zur Automatisierung langweiliger Aufgaben für Systemadministratoren.

Bei Lab401 haben wir mehrere Arten von BadUSB-Geräten mit unterschiedlichen Eigenschaften.

Gummi-Entchen

https://lab401.com/products/rubber-ducky

Das Rubber Ducky wurde 2010 entwickelt und ist der Großvater der BadUSB-Geräte. Es kann sowohl Speicher- als auch Tastatureingaben emulieren und ermöglicht es Nutzlasten, Daten von Computern zu exfiltrieren.

Der Rubber Ducky lässt sich leicht mit "Ducky Script", einer einfachen Skriptsprache, programmieren und erfreut sich einer aktiven Community mit Hunderten von vorgefertigten Payloads.

USBNinja

https://lab401.com/products/usbninja

Der USBNinja ist eine stark miniaturisierte, hochgradig verdeckte Version des Rubber Ducky.
Inspiriert durch das NSA-Projekt "COTTONMOUTH" ist das gesamte Gerät in einem USB-Kabel versteckt und wird drahtlos gesteuert.

Damit wird nicht nur ein Verdacht bei der Überprüfung durch das Rote Team vermieden, sondern es können auch Langzeitimplantate eingesetzt werden - wie oft wechseln Sie das USB-Kabel Ihrer Tastatur?

Der USBNinja verfügt über iOS/Android-Apps, kann über die Luft aktualisiert werden, im Echtzeitmodus verwendet werden, Daten exfiltrieren, sich selbst zerstören und - was noch wichtiger ist - als echtes USB-Kabel fungieren, das USB-3-, Lightning-, USB-C-, QuickCharge-Technologien usw. unterstützt.

InputStick RAT

https://lab401.com/products/inputstick-rat

Der InputStick verfolgt einen anderen Ansatz als die anderen Geräte. Er ist als kabelloses Echtzeit-Tastatur- und Maus-Tool konzipiert. Sobald der InputStick eingesteckt ist, kann der Benutzer das Host-Gerät über die mitgelieferten Windows/Android/iOS-Anwendungen steuern.

Die "Echtzeit"/Non-Payload-Natur des Geräts ermöglicht Situationen, in denen das Timing wichtig ist (Warten auf eine bestimmte Situation), oder einfach die Fernverwaltung von Geräten.

Es unterstützt auch Makros für ein "Einstiegs"-Nutzlastsystem.

Resümee
Welches Gerät das richtige für Sie ist, hängt ganz von Ihrer Aufgabe und Ihrem Budget ab.

• Wenn Sie Automatisierung benötigen, aber keine drahtlose Steuerung wünschen

• Wenn Sie keine permanenten Implantate benötigen

• Wenn Sie von Hunderten von vorgefertigten Nutzlasten profitieren möchten
  Wir empfehlen den RUBBER DUCKY

• Wenn Sie Automatisierung und drahtlose Steuerung benötigen.

• Wenn Sie hochgradig verdeckte Implantate und erweiterte Optionen wie Over-the-Air-Updates benötigen.
  Wir empfehlen den USBNINJA PROFESSIONAL

• Wenn Sie keine Daten exfiltrieren müssen

• Wenn Sie Echtzeitsteuerung/Maussteuerung benötigen

• Wenn Sie über ein begrenztes Budget verfügen
  Wir empfehlen den InputStick

Wenn Sie weitere Informationen benötigen oder Fragen haben, wenden Sie sich bitte an unseren großartigen Kundensupport: support@lab401.com