Buscando a Flipper (cero)

Hola compañero Blue Teamer. ¿Has oído hablar de estos nuevos y elegantes adornos 'Flipper' y te preguntas de qué se trata todo este alboroto? ¿Su CISO ha acudido a usted en estado de pánico y le ha pedido que averigüe si los usuarios los están conectando a sus estaciones de trabajo? Bueno, has venido al lugar correcto.

Conoce... el Flipper Zero.

Si está interesado en conocer sus capacidades con más detalle, le sugiero que visite su sitio web . Tengo uno y lo amo; sin embargo, estoy seguro que como ciberdefensor, te has estado preguntando "¿Cómo puedo detectar si un usuario en nuestra red está tratando de usar uno para hackear el planeta?" A eso digo: ¿no tienes mejores cosas que hacer? ¿No? Bueno, entonces, aquí hay un par de formas en que puede detectar que están conectados a un dispositivo de Windows.

El Flipper Zero tiene muchos modos y módulos diferentes que pueden hacer que Windows lo vea como una variedad de dispositivos diferentes. Los dos que vamos a cubrir son el modo "predeterminado", en el que se conecta un flipper sin ejecutar un módulo, y el segundo es la sacudida del mouse USB Remote AKA.

Cuando se conecta un Flipper Zero a través de USB sin que se ejecute un módulo específico, deja una firma única que se puede buscar en sus registros. Según nuestras pruebas, Flippers en este modo (en el momento de escribir este artículo) emulará un VID de STMicroelectronics de 0483 con un PID de 5740. También incluirá el número de serie del dispositivo único a nivel mundial como parte del DeviceID (he borrado el nuestro). en el ejemplo siguiente).

Aquí hay un ejemplo de comando de PowerShell para mostrar esta información:

Get-CimInstance -Class win32_PnpSignedDriver `
| Select-Object Description, DeviceClass, DeviceID, DeviceName, Manufacturer `
| Select-String Flip

      
                

                    
                    
                
            

Esta información también se escribe en el registro de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB\VID_0483&PID_5740\

      
                

                    
                    
                
            

index=main event_platform=Win event_simpleName=DcUsbDevice* 
    DeviceInstanceId="USB\\VID_0483&PID_5740\\flip*"
| table _time
    , event_simpleName
    , ComputerName 
    , DeviceInstanceId 
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time

Cuando un Flipper Zero está conectado a Windows emulando un mouse (como el módulo de movimiento del mouse), las cosas se vuelven un poco... menos obvias.

Opciones de menú para conectar un Flipper Zero como ratón USB:

Cuando se conecta a Windows usando este módulo, el Flipper emulará el VID y el PID de un receptor USB Logitech Unifying, también conocido como uno de estos chicos malos.

Solo un problema: ¡ no muestra un fabricante como los receptores normales de Logitech ! También solo proporciona una descripción genérica/predeterminada. En el siguiente ejemplo, tengo un Flipper Zero ejecutándose como un dispositivo de entrada USB y un receptor USB Logitech conectado a una máquina con Windows.

((Get-CimInstance -Class win32_PnPSignedDriver) `
| Where-Object {($_.Description -like '*USB*' -and $_.DeviceClass -match 'HIDClass')}) `
| Select-Object Description, DeviceClass, DeviceID, Manufacturer `
| Sort-Object DeviceID

      
                

                    
                    
                
            

Nuevamente, si está capturando estos datos en SIEM o EDR, aquí hay una consulta de ejemplo que encontramos que funciona en CrowdStrike.

index=main event_platform=Win event_simpleName=DcUsbDevice*
    DeviceInstanceId="USB\\VID_046D&PID_C529\\*"
| where isnull(DeviceManufacturer)
| table _time
    , event_simpleName
    , ComputerName
    , DeviceInstanceId
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time