贈り物を装って攻撃用のUSBデバイスを郵送する攻撃

サイバーセキュリティ企業Trustwaveによれば、贈り物を装って攻撃用のUSBデバイスを郵送するという攻撃が確認されたそうだ(SpiderLabs Blogの記事、 BetaNewsの記事)。

問題のUSBデバイスは一見USBメモリーのようだがPCに接続するとUSBキーボードとして認識され、攻撃者が事前に設定したキーストロークを送ることができるという、いわゆる「USB Rubbery Ducky」攻撃用のデバイスだ。マルウェアを格納したUSBメモリーを使用する攻撃と比べ、自動再生設定に依存せず、セキュリティソフトウェアに検出されないといったメリットがある。

このデバイスは米大手量販店Best Buyを装った手紙に同封されており、手紙には長年の愛顧に謝意を示すため50ドルのギフトカードを送ること、ギフトカードで購入可能な対象商品のリストは同梱したUSBメモリーに保存されていることが記載されている。怪しげな手紙を受け取ったTrustwaveの顧客はデバイスをPCに接続せずにTrustwaveへ報告したため、被害にあうことはなかったという。

デバイスをTrustwaveが調査したところ、同じ型番のものがオンラインモールShopeeの台湾版で「虚擬鍵盤」などとして数百円で販売されていることが判明。PCに接続すると2段階のPowerShellコード実行を経てWindows Scripting Host上で実行されるJScriptコード(マルウェア本体)が無限ループにより常駐する。このJScriptコードは2分おきにC&Cサーバーへ接続してコマンド(別のJScriptコード)を待つ。最初の接続時にはPCから収集した情報をC&Cサーバーに送信するコマンドを受け取ったとのこと。

このタイプのUSBデバイスはセキュリティ専門家の間で広く知られており、物理的な侵入テストで会社周辺に落とすといったことも行われるが、実際の攻撃が発覚するのは珍しいとのことだ。

白い使い方

[miyuri (33181)]

遠隔地の不慣れな人向けの不具合解決に役立ちそうではある。

そういえば

[Anonymous Coward]

怪しげなソフト入りのUSBメモリを故意に落としておくなんて手口もあったね。
# 拾いものを使うような貧乏人では金狙いの人からするとあまり意味はない？

Re:そういえば

[Anonymous Coward]

貧乏人というよりは、危機意識と状況認識の問題じゃないですかね。

定型文のスパムが特別に自分あてに送られてきたものだと思い込んだり
メアドやアカウント名を表示されて公式ページの案内だと思い込んだり
多少なりとも疑心暗鬼に暮らすことができない真面目な人は一定数いますし、
落ちてるUSBが「不特定の誰かを狙ったもの」である可能性を認識できなければ
届けてあげなきゃと仏心を出す貧乏人もいるでしょう。

Re:

[Anonymous Coward]

すらどならLinux入りのUSBを故意に落としておくに決まってるじゃないですか！

Re:

[Anonymous Coward]

落ちていたLinux入りのCDを拾って…は、牧歌的時代の話ですね

Re:

[Anonymous Coward]

Linuxに限らないけど、DVDから立ち上げたブータブル環境でUSBの中身を確認するとかは駄目なんですかね。
オフラインで他にストレージがなければ実質的な被害は発生しなそうですけど。

Re:

[Anonymous Coward]

何を以て駄目とするかは人それぞれですけど、庶民的な感覚から言って駄目では。

https://security.srad.jp/story/15/11/09/1657247/ [security.srad.jp]

Re:

[Anonymous Coward]

実はUSBストレージに見せかけたWifi子機で、カメラにアクセスして動画をストリーミングしてYoutuberとしてデビューするスクリプトが仕込んであるとか。

Re:

[Anonymous Coward]

マザボや各種デバイスのファームウェア書き換え狙ってたらアウトですな。

攻撃≠殺傷

[Anonymous Coward]

物理的な品物を送りつけられる相手ならいちいちサイバー攻撃せず爆弾を送って吹っ飛ばせばいいのではと思ってしまった

Re:攻撃≠殺傷

[Anonymous Coward]

物理的な品物を送りつけられる相手ならいちいちサイバー攻撃せず爆弾を送って吹っ飛ばせばいいのではと思ってしまった

相手が被害に遭ったことを気付かないうちに犯罪目的を果たすために知恵を絞ってるわけで
直接爆発物を送りつけるなんて粗暴犯と大差無い。

Re:攻撃≠殺傷

[Anonymous Coward]

情報が欲しい時に情報持ってる人間吹っ飛ばしたらアカンやろ

Re:

[Anonymous Coward]

郵便局に届いた段階で露見するから爆弾を「送りつける」ことはできない

Re:

[Anonymous Coward]

露見するか？
リチウム電池とか液体とか簡単に送れるのに爆発物なら露見するって無理があると思うぞ。

Re:

[Anonymous Coward]

国のトップクラスのVIPはともかく、
一般人あての郵便はそんなの無いよ

Re:

[Anonymous Coward]

たしかに「攻撃」って言うと、殴るとかダメージ与えるとかが目的って感じしちゃうよな

Re:

[Anonymous Coward]

わざわざタイトルに「攻撃≠殺傷」と付けて語ってるのに再度ツッコミを食らいまくってて少しかわいそう

贈り物を装って攻撃用のSIMカードを郵送する攻撃

[Anonymous Coward]

実際に「贈り物を装って攻撃用のSIMカード（？）を郵送する攻撃」を経験したことがある
何年か前に国内の携帯会社、というか携帯会社の地方営業拠点から無料SIMカードが送られてきた
あまりにセキュリティに無神経な振る舞いに電話して抗議してやろうと思っているうちに、封筒ごと書類の山に埋もれてそのままになってしまった

Re:

[Anonymous Coward]

やがてそのSIMカードは分裂し、三つの生き物が生まれた

Re:

[Anonymous Coward]

三つの生き物が生まれた

ドコモ、エーユー、ソフトバンク？

タレコミを装って攻撃用のUSBメモリを郵送する攻撃

[Anonymous Coward]

と考えて、一大スクープをふいにした、海外リベラルマスコミってのも、以前あった。
https://ja.wikipedia.org/wiki/%E5%B0%96%E9%96%A3%E8%AB%B8%E5%B3%B6%E4%... [wikipedia.org]

日本では結構前からストーカーの手口

[Anonymous Coward]

>贈り物を装って攻撃用のUSBデバイスを郵送する攻撃
贈り物が何をするかで色々手段があるよね。

贈り物じゃなくて通販で買ったUSBデバイス

[Anonymous Coward]

は大丈夫なのか？
通販では聞いたことない店の商品とか、もっと言えば個人が出品してるのを買ってる人もいると思うけど
結局は知名度のある店のブランドという担保で決断するしかないのか

Re:

[Anonymous Coward]

流通がきちんとしていて店員にも知識がきちんとある実店舗じゃないと無理という結論だったような。
ブランドものだと思っていたら偽ブランドだったとか流通途中ですり替えられたとか。

Re:

[Anonymous Coward]

もちろん知名度のあるブランドの方がいいけど、それでもサプライチェーン攻撃を防ぐのは難しいので大丈夫とは言い切れない現実。

データ通信機能内蔵ポータブルWi-Fiルーター「DWR-PG」（ポータブルWi-Fi） ウイルス混入に関するお詫びとご案内（BUFFALO）
http://buffalo.jp/products/new/2010/001209.html [buffalo.jp]

Re:

[Anonymous Coward]

無料のUSB扇風機の中にマルウエアやウイルスって以前ありましたね。検索すると２０１８年６月辺り。実態を知らないので一つ欲しいな。

こういうのって

[Anonymous Coward]

セキュリティソフトは検知できるの？

#USBメモリは警戒されるから、FDを送りつけよう

Re:

[Anonymous Coward]

セキュリティソフトウェアに検出されないといったメリットがある。

ってストーリーに書いてありますよ。

Re:こういうのって

[ukenerai (36532)]

ソースをざっと見たけど、メリットなんて言葉はなかった。
ストーリーに言葉を足すならユーザー視点でデメリットでしょうに。

--
-- う～ん、バッドノウハウ？