PoisonTap, czyli jak z pomocą Raspberry Pi wykraść ciasteczka z uśpionego laptopa

Słynny turecki haker Samy Kamkar znów nas zaskoczył swojąpomysłowością. Opracowany przez niego nowy sprzętowy exploitPoisonTap wykorzystuje wart 5 dolarów komputerek Raspberry Pi Zero.Po podłączeniu go do portu USB atakowanej maszyny, w ciągu 30sekund obejdzie ekran blokady, instalując w systemie backdoora.Uwaga: to nie jest siłowy atak na słabe hasło. Wręcz przeciwnie.

Kamkar wykorzystał tutaj transport IP over USB. Po podłączeniuPoisonTap do atakowanego komputera, zaczyna ono emulować połączenieinternetowe po interfejsie USB. Po wykryciu takiego połączenia,komputer, który wcześniej korzystał z łączności bezprzewodowejzakłada, że jest podłączony do stałego łącza ethernetowego izaczyna przesyłać przez nie cały niezaszyfrowany ruch sieciowy –łącze rozpoznawane jest jako priorytetowe.

Następnie PoisonTap przeprowadza atak man-in-the-middle,przechwytując wszystkie ciasteczka uwierzytelniania HTTP zprzeglądarki oraz otwarte sesje z najpopularniejszymi stronamiinternetowymi, a następnie przesyłając te dane na serwerkontrolowany przez napastnika. Aby wykraść ciasteczka wystarczy byprzeglądarka pozostała otwarta z przynajmniej jedną kartą.

To nie wszystko – napastnik może w ten sposób zainstalowaćdla siebie stałe furtki w buforze HTTP, w praktyce przejmująckontrolę nad przeglądarką ofiary i lokalnymi zasobami sieciowymi.Możliwe się też staje zdalne kontrolowanie żądań HTTP iodpowiedzi na GET i POST dla każdej domeny, dla której założonąfurtkę. Oczywiście furtki pozostają po wyjęciu urządzenia z USB.

Samy Kamkar chwali się, że ta metoda pozwala obejść takżedodatkowe zabezpieczenia, takie jak dwuetapowe uwierzytelnianie:ciasteczka to nie loginy czy hasła, ich przejęcie daje bezpośrednidostęp do serwisów, z których korzysta ofiara.

Na szczęście nie trzeba zalewać portu USB klejemcyjanoakrylowym. Skuteczną obroną przed atakiem jest hibernowaniekomputera zamiast jego usypiania, gdyż to zawiesi wszystkie procesysystemowe. Pomoże też zamknięcie wszystkich przeglądarek przedodejściem od komputera, regularne czyszczenie cache przeglądarki istosowanie całodyskowego szyfrowania w połączeniu z trybemgłębokiego uśpienia systemu.

Administratorzy serwerów webowych mogą zaś ochronićużytkowników, dbając o właściwą implementację HTTPS orazwykorzystanie zabezpieczeń HTTP Strict Transport Security,uniemożliwiających osłabienie HTTPS.

Szczegółowe informacje o PoisonTap, wraz z kodemźródłowym exploita, znajdziecie na blogusamy.pl. Uruchomicie to oczywiście nie tylko na Raspberry PiZero, ale też na innych Malinach – na przykład wsadzonych wtablet-samoróbkę(właśnie znalazło się sensowne jego zastosowanie).