Flipper finden (Null)

Feb 07 2023

Hallo Blue Teamer. Haben Sie schon von diesen neuen schicken „Flipper“-Doodads gehört und fragen sich, worum es bei dem ganzen Hype geht? Ist Ihr CISO in Panik zu Ihnen gekommen und hat Sie gebeten, herauszufinden, ob Benutzer diese an ihre Workstations anschließen? Dann sind Sie bei uns genau richtig.

Lernen Sie ... den Flipper Zero kennen.

Wenn Sie mehr über ihre Fähigkeiten erfahren möchten, empfehle ich Ihnen, einen Blick auf ihre Website zu werfen . Ich habe eins und liebe es; Ich bin mir jedoch sicher, dass Sie sich als Cyber-Verteidiger gefragt haben: „Wie kann ich erkennen, ob ein Benutzer in unserem Netzwerk versucht, damit den Planeten zu hacken?“ Dazu sage ich: Haben Sie nichts Besseres zu tun? NEIN? Nun, hier sind ein paar Möglichkeiten, wie Sie erkennen können, ob diese an ein Windows-Gerät angeschlossen sind.

Der Flipper Zero verfügt über viele verschiedene Modi und Module, die ihn für Windows als eine Vielzahl verschiedener Geräte erscheinen lassen können. Die beiden, die wir behandeln werden, sind der „Standard“-Modus, bei dem ein Flipper angeschlossen wird, ohne dass ein Modul ausgeführt wird, und der zweite Modus ist USB Remote, auch bekannt als Mauswackeln.

Wenn ein Flipper Zero über USB angeschlossen wird, ohne dass ein bestimmtes Modul ausgeführt wird, hinterlässt er eine sehr eindeutige Signatur, nach der Sie in Ihren Protokollen suchen können. Aus unseren Tests geht hervor, dass Flippers in diesem Modus (zum Zeitpunkt des Schreibens dieses Artikels) eine STMicroelectronics-VID von 0483 mit einer PID von 5740 emulieren. Außerdem wird sie die weltweit eindeutige Geräteseriennummer als Teil der DeviceID enthalten (ich habe unsere unkenntlich gemacht). im Beispiel unten).

Hier ist ein Beispiel für einen PowerShell-Befehl zum Aufrufen dieser Informationen:

Get-CimInstance -Class win32_PnpSignedDriver `
| Select-Object Description, DeviceClass, DeviceID, DeviceName, Manufacturer `
| Select-String Flip

Diese Informationen werden auch in die Windows-Registrierung geschrieben:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB\VID_0483&PID_5740\

index=main event_platform=Win event_simpleName=DcUsbDevice* 
    DeviceInstanceId="USB\\VID_0483&PID_5740\\flip*"
| table _time
    , event_simpleName
    , ComputerName 
    , DeviceInstanceId 
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time

Wenn ein Flipper Zero mit Windows verbunden wird und eine Maus emuliert (z. B. das Mauswackelmodul), werden die Dinge etwas ... weniger offensichtlich.

Menüoptionen zum Anschluss eines Flipper Zero als USB-Maus:

Wenn der Flipper mit diesem Modul an Windows angeschlossen wird, emuliert er die VID und PID eines Logitech Unifying USB-Empfängers – auch bekannt als einer dieser bösen Jungs.

Einziges Problem: Es wird kein Hersteller angezeigt wie bei normalen Logitech-Receivern ! Außerdem wird nur eine generische/Standardbeschreibung bereitgestellt. Im folgenden Beispiel verwende ich sowohl einen Flipper Zero als USB-Eingabegerät als auch einen Logitech-USB-Empfänger, der an einen Windows-Computer angeschlossen ist.