解讀USB安全：你以為USB真的安全？

　　“這是一款中國(guó)造的電子煙，充電裝置部分包含了硬件編碼的惡意程序。”而這款電子煙是通過(guò)USB口充電的，這名高管為了充電，順手會(huì)將其插入到公司的電腦上，于是電腦就感染了惡意程序。

　　在這一例中，如果惡意程序做得更加隱秘，那么整個(gè)攻擊過(guò)程甚至可以達(dá)到神不知鬼不覺(jué)。這其中的傳播核心，就是我們要談的“USB安全”。

　　USB安全？這是什么意思？

　　我們擅自提“USB安全”這個(gè)詞匯，其實(shí)是不準(zhǔn)確的。因?yàn)閁SB本質(zhì)上只是一種通用串行總線——總線有很多啊，SATA總線、PCIe總線等等，這有什么樣的安全話題可談呢？可能USB充其量可作為惡意程序傳播的途經(jīng)。我們說(shuō)“USB安全”，和說(shuō)“網(wǎng)線安全”是不是感覺(jué)差不多荒謬？

　　不過(guò)大概是因?yàn)閁SB作為替代古代各種接口的明星級(jí)統(tǒng)一標(biāo)準(zhǔn)，而且USB又不像Thunderbolt之類的接口一樣需要高昂的授權(quán)費(fèi)用，當(dāng)代世界的海量設(shè)備采用USB接口也是種必然。有趣的是，我們經(jīng)常將采用USB接口的設(shè)備稱作USB設(shè)備（卻沒(méi)有人將PC內(nèi)置的硬盤稱作SATA設(shè)備或者PCIe設(shè)備），這也是我們這里談USB安全的基礎(chǔ)。

　　由于USB當(dāng)代的使用如此廣泛，所以USB設(shè)備也就成為了惡意程序傳播的重要載體。但如果只說(shuō)USB設(shè)備作為惡意程序的傳播途徑，那么任何接口實(shí)際上也都存在這種傳播的可行性。比如說(shuō)U盤能夠傳播病毒，Thunderbolt移動(dòng)硬盤也行，連光盤都可以。

　　總的說(shuō)來(lái)，我們要談所謂的USB安全，并不是USB在數(shù)據(jù)傳輸過(guò)程中存在安全問(wèn)題，或者某類USB接口規(guī)格（如Type-C）某個(gè)針腳存在設(shè)計(jì)缺陷，而是USB接口或總線作為惡意程序的一個(gè)重要途經(jīng)，存在安全問(wèn)題，以及USB協(xié)議、驅(qū)動(dòng)存在的安全問(wèn)題。

　　因此針對(duì)USB安全，有3點(diǎn)可談。

　　其一，USB是個(gè)具有相當(dāng)普遍性的標(biāo)準(zhǔn)，鼠標(biāo)、鍵盤、電子煙、外置聲卡都用USB接口，且即插即用。所以在物理接口中，它對(duì)惡意程序的傳播大概是除了網(wǎng)絡(luò)適配器接口之外，效率最高的。

　　其二，USB協(xié)議可被攻擊者利用，這也將是本文要談到的重點(diǎn)。

　　其三，最高級(jí)的USB 0day漏洞攻擊。

　　autorun.inf時(shí)代！U盤病毒？

　　在網(wǎng)絡(luò)還不像現(xiàn)在這么盛行的年代，可移動(dòng)存儲(chǔ)設(shè)備是傳播病毒的重要方式。就是將惡意程序放在U盤，或者移動(dòng)硬盤，甚至軟盤中——在不同的PC交換數(shù)據(jù)的過(guò)程中，就可以達(dá)到傳播病毒的作用。再高明的惡意程序也需要人類去打開(kāi)才能運(yùn)行，巧在像Windows這類操作系統(tǒng)，為了加強(qiáng)使用體驗(yàn)，系統(tǒng)中有個(gè)針對(duì)移動(dòng)存儲(chǔ)介質(zhì)的AutoPlay/AutoRun自動(dòng)播放功能。

　　原本自動(dòng)播放的功能是，針對(duì)CD/DVD多媒體光盤可實(shí)現(xiàn)插入即播放，而針對(duì)Windows安裝介質(zhì)，插入就能立即彈出安裝程序。絕大部分同學(xué)應(yīng)該都知道移動(dòng)存儲(chǔ)介質(zhì)的根目錄下的autorun.inf文件就負(fù)責(zé)自動(dòng)播放功能，打開(kāi)形如以下樣式：

　　相較光盤，U盤的可讀寫方便性明顯更勝一籌，如果這里的setup.exe是個(gè)病毒，那么設(shè)備插入U(xiǎn)盤，系統(tǒng)就會(huì)自動(dòng)運(yùn)行該病毒。所以病毒通過(guò)autorun.inf文件實(shí)現(xiàn)U盤插入即啟動(dòng)惡意程序的功能，實(shí)在是太方便了。同事間交換數(shù)據(jù)，大家的電腦都插一遍帶毒U盤，自然就都感染上了。已經(jīng)被感染的設(shè)備，再感染插入設(shè)備的新U盤，以此達(dá)到擴(kuò)散的目的。

　　這是U盤傳播惡意程序的常規(guī)手法，也因此有些人將autorun.inf稱作“U盤病毒”，雖然這東西其實(shí)是很無(wú)辜的。實(shí)際上，要杜絕這種方式的病毒傳播也并不困難，一方面是在系統(tǒng)中禁用移動(dòng)存儲(chǔ)介質(zhì)的自動(dòng)播放或自動(dòng)啟動(dòng)功能，另一方面也可以禁止程序在U盤中創(chuàng)建autorun.inf文件，達(dá)到U盤不會(huì)傳播病毒的目的。

　　可以說(shuō)，autorun.inf是過(guò)去在民間最廣為流傳的U盤病毒傳播方式。很多U盤病毒查殺工具都主要針對(duì)autorun.inf進(jìn)行圍剿。尤其從Windows XP SP2開(kāi)始，系統(tǒng)針對(duì)“USB大容量存儲(chǔ)設(shè)備”和ZIP驅(qū)動(dòng)器，自動(dòng)播放功能是默認(rèn)開(kāi)啟的。微軟眼見(jiàn)形勢(shì)不妙，從Windows Vista和Windows Server 2008開(kāi)始，針對(duì)插入U(xiǎn)盤的的系統(tǒng)默認(rèn)行為，已改為詢問(wèn)用戶是否執(zhí)行自動(dòng)運(yùn)行指令?，F(xiàn)如今autorun.inf的時(shí)代幾乎已經(jīng)過(guò)去。

　　用U盤來(lái)釣魚會(huì)不會(huì)成功？

　　如前文所述，其實(shí)上面談到的U盤安全問(wèn)題并不是USB設(shè)備的專屬，任何移動(dòng)存儲(chǔ)設(shè)備（甚至連內(nèi)置硬盤）都存在這樣的問(wèn)題。所以嚴(yán)格意義上，這種安全問(wèn)題根本就怪不到USB頭上，如果一定要怪，就如前文所述，只是因?yàn)閁SB實(shí)在是太普遍了。

　　前不久剛剛結(jié)束的Black Hat USA 2016黑客大會(huì)上，谷歌反欺詐研究團(tuán)隊(duì)負(fù)責(zé)人Elie Bursztein分享了一個(gè)議題，名為“Does dropping USB drives really work？”（丟U盤進(jìn)行社工攻擊真的有效嗎？）他嘗試在伊利諾伊大學(xué)校園里各處丟棄297個(gè)U盤，看看有沒(méi)有好奇心重的人會(huì)撿回去看U盤里究竟有什么。如果說(shuō)Bursztein丟的是297塊SATA3硬盤（Lol），攻擊方式理論上是一樣的，但攻擊效果有多么糟糕是可想而知的?？梢?jiàn)USB的普及性，是我們?cè)诖擞懻撈浒踩缘囊罁?jù)。

　　美國(guó)計(jì)算機(jī)行業(yè)協(xié)會(huì)去年曾經(jīng)發(fā)起過(guò)一項(xiàng)調(diào)查，結(jié)果顯示17%的人在撿到USB設(shè)備后會(huì)直接連電腦——這個(gè)數(shù)據(jù)可能還過(guò)于保守。Bursztein的調(diào)查結(jié)果明顯更激進(jìn)：135個(gè)U盤（也就是45%）被人撿走后都連接了電腦，這些人還打開(kāi)了其中的文件，其上的“惡意程序”給Bursztein回傳了數(shù)據(jù)。

　　好在這還只是個(gè)實(shí)驗(yàn)，并不存在真的“惡意”。Bursztein的研究團(tuán)隊(duì)是這么做的：他們沒(méi)有用autorun.inf，因?yàn)楝F(xiàn)在的操作系統(tǒng)根本就不吃這套，Mac連自動(dòng)運(yùn)行功能都不支持，他們的方法是：釣魚。

　　研究團(tuán)隊(duì)給這297個(gè)U盤分別貼了些標(biāo)簽，甚至還明確寫上了U盤所有者（以及歸還地址），即便在這種情況下還是有135個(gè)U盤被好奇心重的同學(xué)打開(kāi)了。U盤里面的文件迷惑性地寫上了“期末考試”“機(jī)密”等字樣，實(shí)際上這些文件都是HTML格式的，文件中有張圖片，調(diào)用了研究團(tuán)隊(duì)服務(wù)器的地址——這樣一來(lái)研究團(tuán)隊(duì)就知道，有人打開(kāi)了文件。

　　除此之外，HTML文件打開(kāi)后有個(gè)問(wèn)卷調(diào)查，詢問(wèn)這些好奇心寶寶：你們?yōu)樯兑迦思业腢盤呀！的確也有20%的人參與了調(diào)查，超2/3的人表示他們其實(shí)是想歸還U盤的（Really？），18%的人承認(rèn)他們是好奇，14%的人給出了其他解釋。

　　就這一個(gè)例子，我們就不難看出U盤釣魚的成功率還是相當(dāng)高的。如果這些HTML文件都換成惡意程序，或者調(diào)查問(wèn)卷改成詢問(wèn)用戶名密碼的“釣魚問(wèn)卷”，又有多少人會(huì)栽在其中呢！美劇《黑客軍團(tuán)（Mr Robot）》中就出現(xiàn)了用U盤釣魚的橋段，看樣子這根本就不只是個(gè)傳說(shuō)！

　　U盤攻擊絕殺：偽裝成HID設(shè)備

　　還是那句話，上面兩部分談的實(shí)際上都仍是將USB設(shè)備作為傳播惡意程序的載體，就好像U盤釣魚，其本質(zhì)和丟個(gè)軟盤來(lái)釣魚（Lol），以及郵件釣魚是沒(méi)差別的，原罪不在USB設(shè)備身上。如果用這種方法來(lái)談USB安全，實(shí)際上還有很多內(nèi)容可說(shuō)，比如說(shuō)USB接口是入侵ATM機(jī)的重要途徑，還有USB Key這類作為數(shù)據(jù)解密的安全手段，都不過(guò)是將USB作為工具。

　　那么有沒(méi)有USB本身的原罪可談呢？有！可以從USB的協(xié)議入手。USB不止MSC（大容量存儲(chǔ)）設(shè)備這一種，現(xiàn)在的USB接口支持這么多功能，協(xié)議其實(shí)也五花八門，自然不光有相關(guān)MSC的協(xié)議，什么USB Power Delivery（USB快速充電規(guī)范）、USB OTG（SRP、HNP協(xié)議，兩個(gè)外設(shè)間傳輸）等等，還有一個(gè)USB HID設(shè)備類協(xié)議。這里的USB HID，近兩年來(lái)已經(jīng)成為USB設(shè)備攻擊的絕殺了。

　　HID也就是Human Interface Device，是與人交互的設(shè)備。其實(shí)USB-HID設(shè)備現(xiàn)如今已經(jīng)相當(dāng)普遍了，比如USB鍵盤、鼠標(biāo)、手柄等等。這要怎么利用呢？在2014年的Black Hat黑客大會(huì)上，安全研究人員Karsten Nohl和Jakob Lell發(fā)表了演講，提到一個(gè)有些驚世駭俗意味的USB攻擊手段，名叫BadUSB，部分利用了HID的特點(diǎn)。

　　上面說(shuō)的好玄乎，所以下面再來(lái)舉個(gè)栗子：鍵盤都用過(guò)吧？有沒(méi)有試過(guò)不用鼠標(biāo)，純粹用鍵盤來(lái)進(jìn)行各項(xiàng)系統(tǒng)操作呢？有經(jīng)驗(yàn)的同學(xué)應(yīng)該知道，其實(shí)也不難。那么如果有這么一個(gè)U盤，它能夠偽裝成鍵盤，通過(guò)腳本執(zhí)行一系列鍵盤敲擊操作，是不是感覺(jué)就能控制你的系統(tǒng)了？這其實(shí)就是BadUSB攻擊利用USB協(xié)議的示例。被BadUSB感染過(guò)的U盤不僅能夠偽裝成USB鍵盤，還能偽裝成USB網(wǎng)卡——篡改DNS，這樣一來(lái)所有的DNS查詢就能發(fā)往攻擊者的服務(wù)器，可進(jìn)行重定向攻擊。

　　一旦這種攻擊得以實(shí)現(xiàn)，那么攻擊方式自然也就變得五花八門了，只有想不到?jīng)]有做不到，最重要的是跨平臺(tái)——因?yàn)楦飨到y(tǒng)平臺(tái)遵循一致的USB標(biāo)準(zhǔn)?！　〗庾xUSB安全：這年頭真的還有USB設(shè)備是安全的嗎？

　　說(shuō)到底，這種HID模擬攻擊不就是當(dāng)年黑客們很愛(ài)的USB橡皮鴨（USB Rubber Ducky）嗎？問(wèn)題是橡皮鴨的內(nèi)部硬件很彪悍，有個(gè)60MHz主頻的處理器、microSD擴(kuò)展插槽。普通U盤何以實(shí)現(xiàn)這樣的攻擊手段？這個(gè)問(wèn)題其實(shí)才是Karsten Nohl和Jakob Lell這兩位研究人員的高明之處，也是這些U盤在感染BadUSB之后的可怕之處。

　　一般U盤的構(gòu)成除了我們需要用到的存儲(chǔ)數(shù)據(jù)的閃存部分，還有主控芯片，或者叫控制芯片。主控芯片一般會(huì)指定某些部分的單元用于存儲(chǔ)固件驅(qū)動(dòng)（似也有主控芯片本身就包含了固件閃存）。這里的固件就類似于操作系統(tǒng)，控制軟硬件交互。Nohl和Lell花了好幾個(gè)月的時(shí)間進(jìn)行逆向工程，他們發(fā)現(xiàn)許多U盤都可以對(duì)固件部分進(jìn)行重新編程（尤其是PHISON群聯(lián)的主控芯片）。用戶根本就看不到固件部分，要隱藏攻擊代碼自然就非常容易了。

　　這就是BadUSB得以成型的核心所在。另一方面當(dāng)代操作系統(tǒng)為了給USB設(shè)備提供最大的兼容性，USB標(biāo)準(zhǔn)是允許一個(gè)USB設(shè)備具有多種輸入輸出設(shè)備的特征的。這樣一來(lái)，通過(guò)重寫U盤固件，就能讓它偽裝成USB鍵盤、網(wǎng)卡甚至顯示器。通過(guò)這個(gè)假的鍵盤，輸入U(xiǎn)盤固件中的惡意指令和代碼，還可以配合閃存中的惡意程序進(jìn)行攻擊。

　　說(shuō)白了，BadUSB是令普通U盤都變身為橡皮鴨，甚至攻擊性更強(qiáng)。這其中的加強(qiáng)體現(xiàn)在BadUSB的偽裝和傳播性方面。偽裝！很容易理解，看起來(lái)只是個(gè)普通U盤，而且即便格式化U盤也無(wú)法清除惡意代碼，因?yàn)閻阂獯a在固件中；傳播！當(dāng)年Nohl和Lell在研究報(bào)告中有特別提到，BadUSB理論上最大的威脅在于，通過(guò)一個(gè)BadUSB設(shè)備給計(jì)算機(jī)感染惡意程序之后，計(jì)算機(jī)也可以將BadUSB傳播到其他插入計(jì)算機(jī)的U盤：某個(gè)U盤在插入這臺(tái)計(jì)算機(jī)之后，計(jì)算機(jī)上的惡意程序就能夠?qū)盤固件進(jìn)行重新編寫，U盤主人根本就不會(huì)察覺(jué)到。

　　這么一來(lái)，全世界的U盤都能通過(guò)這種方式被BadUSB感染，全世界沒(méi)有任何一個(gè)U盤是可被信任的，因?yàn)楦揪蜎](méi)有反病毒軟件能夠查到。由此甚至可以引發(fā)一個(gè)問(wèn)題：USB設(shè)備是否已經(jīng)到了根本就沒(méi)有安全性可言的地步？

　　

　　其實(shí)也不盡然，針對(duì)U盤固件，引入不可偽造加密簽名機(jī)制就是種方案，杜絕惡意程序的重新編寫。這就主要取決于閃存主控芯片制造商了。因?yàn)橛腥酥肛?zé)Nohl說(shuō)，他先前在Black Hat上的演講其實(shí)只針對(duì)臺(tái)灣群聯(lián)的閃存主控芯片——所以2014年年底，Nohl還抽樣了8大主要芯片制造商的主控芯片：群聯(lián)、Alcor、瑞薩、祥碩（華碩的子公司）、創(chuàng)惟、FTDI、微芯、Cypress。

　　結(jié)果發(fā)現(xiàn)情況異常復(fù)雜。的確有部分USB主控芯片對(duì)BadUSB免疫——即無(wú)法對(duì)固件做重新編程，免疫的芯片占到抽樣總數(shù)的一半，但每個(gè)品牌的表現(xiàn)都是很不穩(wěn)定的。比如說(shuō)，采用群聯(lián)主控芯片的U盤都存在被BadUSB感染的風(fēng)險(xiǎn)，而祥碩則完全對(duì)BadUSB免疫，創(chuàng)惟的USB 2.0芯片沒(méi)問(wèn)題，但更新的USB 3.0芯片就有問(wèn)題。其他USB Hub、鍵盤、攝像頭、鼠標(biāo)等所用的控制芯片情況更是五花八門。而且實(shí)際上，即便是一個(gè)USB設(shè)備制造商的相同型號(hào)的產(chǎn)品，他們也會(huì)在不同批次中采用不一樣的主控芯片，比如金士頓所用的USB控制芯片就有五六種之多。

　　難不成以后我們要用U盤之前，都得先把U盤拆開(kāi)看看主控芯片的型號(hào)不成？

　　只要是USB接口就都不安全！

　　不知道很多小伙伴有沒(méi)有留意過(guò)，斯諾登當(dāng)年揭露NSA的文檔中提到了一款竊聽(tīng)設(shè)備名為Cottonmouth（如下圖所示）。這就是個(gè)USB設(shè)備，據(jù)說(shuō)能夠偷偷地往目標(biāo)設(shè)備中安裝惡意程序。雖然文檔中并未詳述其具體機(jī)制，但斯諾登說(shuō)：“如果Nohl和Lell發(fā)現(xiàn)的這種東西早就為NSA所用了，我也不會(huì)感到奇怪。”或許很久之前，NSA就已經(jīng)在這么干了，那么我們手里的U盤…。。。

　　但這還不是全部。既然USB標(biāo)準(zhǔn)是允許一個(gè)USB設(shè)備具有多種輸入輸出設(shè)備特征的，那么USB設(shè)備的偽裝實(shí)際上也就不僅限于僅針對(duì)U盤的BadUSB了，各種USB設(shè)備都可能出現(xiàn)偽裝的情況。從你的USB鼠標(biāo)、鍵盤，到攝像頭、電子煙、充電寶。

　　除了文章開(kāi)頭提到的電子煙，2014年年末央視曝光“改裝充電寶盜取隱私”：看起來(lái)只是個(gè)充電寶，但實(shí)際上卻有存儲(chǔ)數(shù)據(jù)的能力，特別針對(duì)當(dāng)時(shí)加密機(jī)制還沒(méi)有現(xiàn)在這么完善的iPhone進(jìn)行數(shù)據(jù)竊取。這么想來(lái)，我們周圍但凡用USB接口的東西似乎都有帶毒帶馬的可能性，這世界真是太殘酷了——說(shuō)不定你已經(jīng)被NSA鎖定，你的鼠標(biāo)就帶APT木馬。

　　今年的Black Hat USA 2016大會(huì)上，分享丟U盤是否有效的Elie Bursztein不僅做了丟U盤的實(shí)驗(yàn)，而且還教育人們?nèi)绾尾拍茏鰝€(gè)完整版的、偽裝起來(lái)的U盤，那詳細(xì)程度，從選購(gòu)芯片到最終U盤外部材料成型一條龍，所用的都是成本很低的現(xiàn)成材料（點(diǎn)擊這里）。

　　FreeBuf先前也發(fā)表過(guò)一篇題為《利用Arduino快速制作Tennsy BadUSB》的文章，用ArduinoLeonardo單片機(jī)（似成本稍高），配合Arduino IDE簡(jiǎn)單的代碼編寫，就做成了一個(gè)可偽裝成普通U盤的USB攻擊設(shè)備。以后要黑誰(shuí)，送他個(gè)U盤或充電寶，比郵件釣魚大概有效多了。

　　USB攻擊的究極形態(tài)

　　Bursztein在Black Hat USA 2016大會(huì)上將USB攻擊分成了3大類，分別是社會(huì)工程（丟U盤），HID偽裝和0-day漏洞利用。前兩種我們都已經(jīng)在前文做了簡(jiǎn)單的分析，最后一種0-day漏洞利用，他只稍作了解釋，主要利用的是USB驅(qū)動(dòng)的0-day漏洞，只要計(jì)算機(jī)插上USB設(shè)備，就能立刻對(duì)計(jì)算機(jī)進(jìn)行控制。

　　在他看來(lái)，0-day漏洞乃是USB攻擊的究級(jí)形態(tài)，無(wú)論是復(fù)雜程度、可靠性還是隱蔽性都達(dá)到了至高境界（雖然因?yàn)獒槍?duì)性強(qiáng)，所以跨平臺(tái)屬性不佳）。我們能夠列舉的此類案例實(shí)在稀有，因?yàn)檫@幾乎沒(méi)有被廣范圍探討過(guò)。之前名噪一時(shí)的Stuxnet震網(wǎng)病毒，就利用了USB（但似并非USB驅(qū)動(dòng)的0-day漏洞）傳播——Windows系統(tǒng)中，.lnk文件負(fù)責(zé)渲染U盤中的文件圖標(biāo)，插入U(xiǎn)盤的時(shí)候，資源管理器就會(huì)掃描其中的.lnk文件來(lái)顯示各種格式的文件，震網(wǎng)病毒就是將惡意程序插入到.lnk文件中——整個(gè)過(guò)程是插入就執(zhí)行的，所以其隱蔽性自然可見(jiàn)一斑。

　　不過(guò)這種例子實(shí)在稀有，大約需要投入大量時(shí)間和精力，極具針對(duì)性地進(jìn)行攻擊研究。對(duì)一般人來(lái)說(shuō)，U盤釣魚和HID偽裝的確才是最需要防范的。但在我們談了這么多以后，是否還要說(shuō)說(shuō)USB安全的注意事項(xiàng)呢？

　　像Nohl說(shuō)的，防范USB攻擊的最佳方案就是不要用USB設(shè)備。為了這個(gè)目標(biāo)，就請(qǐng)封死設(shè)備上的所有USB接口吧。說(shuō)正經(jīng)的，因噎廢食當(dāng)然不好，但來(lái)路不明的U盤甚至充電寶、電子煙都不要用，馬路上出現(xiàn)U盤，也請(qǐng)忽略之；自己的USB設(shè)備也不要去插不受信任的主機(jī)設(shè)備。用戶能做的，大概也只有這些了吧。