Włamanie przez USB, nie przez sieć. Fizyczny atak na laptopy kadry zarządzającej

Hakerzy powiązani z chińskim wywiadem włamali się do pokoi hotelowych podczas branżowej konferencji i zainstalowali backdoora na laptopach menedżerów. Bez phishingu. Bez włamania do sieci firmowej. Wieczorem, gdy uczestnicy konferencji siedzieli na kolacji, ktoś wszedł do pokoju, uruchomił laptopa z pendrive'a i wgrał złośliwe oprogramowanie bezpośrednio na dysk. Cały proceder zamknął się w czasie krótszym niż dwie godziny, w dwóch różnych pokojach. Badacze bezpieczeństwa udokumentowali dokładne godziny wejść i sposób działania użytego narzędzia.

To, co uderza, to nie technika ataku. Uruchamianie systemu z zewnętrznego nośnika znane jest od dekad. Uderza fakt, że laptopy nie były przed tym chronione, mimo że skuteczne zabezpieczenie istnieje w każdym nowoczesnym sprzęcie. Firmy go po prostu nie włączyły. Błąd konfiguracji, nie luka w oprogramowaniu.

Co to oznacza dla polskich firm

Polska kadra zarządzająca jeździ na konferencje, targi i spotkania partnerskie. Zabiera firmowe laptopy. Nocuje w hotelach, gdzie sprzęt zostaje sam w pokoju przez kilka godzin. Ten scenariusz ataku jest więc całkowicie realny, nie tylko dla firm działających w Azji. Wystarczy kilkanaście minut fizycznego dostępu do urządzenia.

Zabezpieczenie, które by to powstrzymało, to Secure Boot połączony z szyfrowaniem dysku i PINem wymaganym przed uruchomieniem systemu. BitLocker na Windows, FileVault na Macu. Gdy laptop wymaga PINu zanim wczyta jakikolwiek system operacyjny, uruchomienie go z pendrive'a daje atakującemu wyłącznie zaszyfrowane dane. Wychodzi z pokoju z niczym. Problem w tym, że większość firm ma te funkcje wyłączone lub skonfigurowane połowicznie, bo administratorzy boją się sytuacji, gdy pracownik zapomni PINu i zablokuje się dostęp do danych.

Zanim ktokolwiek z zarządu wyjedzie na kolejne spotkanie poza biurem, sprawdźcie trzy rzeczy:

• Szyfrowanie dysku z uwierzytelnianiem przed startem systemu - samo BitLocker z kluczem przechowywanym w TPM nie wystarczy, bo taki laptop uruchomi się bez żadnego hasła.
• Blokada kolejności bootowania w BIOS/UEFI chroniona hasłem administratora - bez tego każdy może ustawić pendrive'a jako pierwsze urządzenie startowe i ominąć cały system.
• Polityka blokady portów USB na urządzeniach wykonawczych - część firm stosuje to tylko wobec pracowników operacyjnych, pomijając zarząd, który paradoksalnie ma dostęp do najbardziej wrażliwych danych.

To nie są drogie ani skomplikowane zmiany. Kilka godzin pracy administratora, żadnych dodatkowych narzędzi. Wymagają jednak świadomości, że fizyczny dostęp do laptopa przez kwadrans wystarczy, by trwale skompromitować urządzenie i całą infrastrukturę, do której ono się łączy.

Firmy inwestują w zapory sieciowe, systemy wykrywania zagrożeń, szkolenia z phishingu. Słusznie. Ale podstawowa konfiguracja sprzętu, którą można ustawić w ciągu jednego popołudnia, często pozostaje nietknieta od momentu zakupu. Atak przez USB to brutalnie proste przypomnienie: ochrona zaczyna się od domyślnych ustawień urządzenia, nie od kolejnej warstwy sieciowego monitorowania.

Chcecie sprawdzić, jak wyglądają zabezpieczenia urządzeń wykonawczych w waszej firmie? Zapraszamy na bezpłatny audyt.