USBのみで脆弱性、安全性のテスト - ＊の方向性はどうでもいい

USB Rubber DuckyというUSBが紹介されている動画です。

どういうものかというとペネトレーティングテストを行うためのUSBだそうです。

全て英語での紹介ということなので、日本語での情報が少ない、というかありませんでした。

まずはそもそもペネトレーションテストとはネットつながっているコンピュータシステムの安全性、脆弱性を調査するテストの一つですでに知られている方法で実際に侵入や攻撃を試みる方式のことです。

昨今ではLinuxではKali Linuxにデフォルトでそういう機能が装備されていたり、ペネトレーションテスト用のフレームワークにmetasploitというものがあります。

一度仕事でOSの脆弱性を調査したことがありますが、Windows7より前のバージョンは侵入しやすくいとも簡単に遠隔操作ができました。素人の私でさえmetasploitフレームワークを使えば3分以内に侵入できたので、クラッキング技術に長けた人だと秒単位で侵入が完了してしまうのですから恐ろしいです。

ちなみに相手のPCに侵入することをハッキングではなくクラッキングといい、crack(ひびをいれる)という単語からきています。

そしてUSB Rubber Duckyというのはこれを侵入したいコンピュータに接続して15秒ほど待つ。そうするとMimikatzというツールが働き、パスワードやドメイン情報を全て抜き取ってUSBに保存してしまうという、、接続するだけで情報を抜き取ってしまうとはとんでもないなと思いました。

通常では得体のしれないデバイスを挿入しても危険があれば危険なデバイスと認識してくれるのですが、このUSB Rubber Duckyの場合はコンピュータ側がキーボードがつなげられたんだなと誤認させてしまうようです。

だから怪しいデバイスを差し込んだとしても安全なデバイスと認識させてしまうということです。

あと用語として攻撃をしかけることをexploit、exploitが成功した後の攻撃の手段をpayloadといいます。USB Rubber Duckyでは単純なスクリプトでpayloadを作ることができ、下記のURLでは何種類かのpayloadコマンドが用意されています。

その中にはgoogleアカウントを強制的に変更させてしまう攻撃方法までありました。

USB Rubber Duckyについて⇒

USB Rubber Duckyのgithub⇒

あと以下がどのサイトが攻撃の対象となったかをリストにしているサイトです