Netwerk gehackt met geprepareerde muis

Netragards SNOsoft Research Team kreeg van een klant onlangs een opdracht voor een penetratietest met de nodige beperkingen. De opdracht had betrekking op één IP-adres dat beschermd werd door een firewall die nagenoeg geen services aanbood. Manipulatie van medewerkers van de opdrachtgever via sociale netwerken, de telefoon of e-mail was niet toegestaan, en de testers mochten het bedrijf en het bedrijfsterrein niet betreden.

Redactie AG ConnectMeer van deze auteur

In eerste instantie overwogen de testers het gebruik van een USB-stick. Maar steeds meer bedrijven zijn bedacht op de gevaren van zo’n opslagmedium, en hebben op zijn minst de Autorun-functie van Windows uitgeschakeld – wat een aanval per USB-stick minder eenvoudig maakt. Daarom besloten ze tot iets nieuws: het Hacker Interface Device. En daar zijn ze zo trots op dat ze er een blog aan wijdden.

Hacker Interface Device
In dit geval was het Hacker Interface Device een gloednieuwe, maar wel gemodificeerde muis van Logitech. Dat had overigens ook een andere gadget kunnen zijn die op de USB-poort wordt aangesloten. In de behuizing hadden de testers een microcontroller van Teensy, een USB-hub en een micro-flashdrive weten te prutsen zonder dat dat aan de buitenkant te zien was. De microcontroller was geprogrammeerd om 60 seconden na inpluggen de – in dit geval goedaardige – malware van de testers te installeren. Om dat ongemerkt te doen, schreven ze code waarmee ze onder de radar bleven van McAfee. Dat de opdrachtgever daarvan gebruik maakte, hadden de testers ontdekt op Facebook: één van de medewerkers klaagde daar over de beveiligingssoftware van het bedrijf.

Geschikt doelwit makkelijk gevonden
De laatste stap in de hack was, iemand in het bedrijf zo gek te krijgen om de muis te gebruiken. Want op het moment dat de muis ingeplugd wordt, is er geen bescherming meer tegen installatie van de malware. De testers zochten een geschikte kandidaat via de bedrijvengids Jigsaw. Ze stuurden de uitverkorene een prachtige muis in de zorgvuldig weer gesloten originele verpakking en met bijbehorend reclamemateriaal, om de indruk te wekken dat het een promotieactie betrof. En dat bleek te werken. Of, zoals de testers het zelf uitdrukten: ‘Drie dagen later belde de muis naar huis’.