Menemukan Sirip (Nol)

Halo sobat Tim Biru. Pernahkah Anda mendengar tentang doodad 'Flipper' baru yang mewah ini dan bertanya-tanya tentang apa semua hype itu? Apakah CISO Anda datang dengan panik meminta Anda untuk mencari tahu apakah pengguna memasukkan ini ke workstation mereka? Nah, Anda telah datang ke tempat yang tepat.

Temui… Flipper Zero.

Jika Anda tertarik mempelajari kemampuan mereka secara lebih mendetail, saya sarankan untuk memeriksa situs web mereka . Saya punya satu dan menyukainya; namun, saya yakin sebagai pembela dunia maya, Anda bertanya-tanya "Bagaimana saya bisa mendeteksi jika pengguna di jaringan kami mencoba menggunakannya untuk meretas planet ini?" Untuk itu saya katakan - tidakkah Anda memiliki hal-hal yang lebih baik untuk dilakukan? TIDAK? Kalau begitu, berikut adalah beberapa cara Anda dapat mendeteksi ini dicolokkan ke perangkat Windows.

Flipper Zero memiliki banyak mode dan modul berbeda yang dapat membuatnya tampak di Windows sebagai berbagai perangkat berbeda. Dua yang akan kita bahas adalah mode "default", di mana sirip dipasang tanpa menjalankan modul, dan yang kedua adalah goncangan mouse USB Remote AKA.

Ketika Flipper Zero dicolokkan melalui USB tanpa menjalankan modul tertentu, itu meninggalkan tanda tangan yang sangat unik yang dapat diburu di log Anda. Dari pengujian kami, Flippers dalam mode ini (pada saat penulisan ini) akan meniru STMicroelectronics VID 0483 dengan PID 5740. Ini juga akan menyertakan serial perangkat unik global sebagai bagian dari DeviceID (Saya telah mengaburkannya pada contoh di bawah).

Berikut ini contoh perintah PowerShell untuk memunculkan informasi ini:

Get-CimInstance -Class win32_PnpSignedDriver `
| Select-Object Description, DeviceClass, DeviceID, DeviceName, Manufacturer `
| Select-String Flip

      
                

                    
                    
                
            

Informasi ini juga ditulis ke registri Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB\VID_0483&PID_5740\

      
                

                    
                    
                
            

index=main event_platform=Win event_simpleName=DcUsbDevice* 
    DeviceInstanceId="USB\\VID_0483&PID_5740\\flip*"
| table _time
    , event_simpleName
    , ComputerName 
    , DeviceInstanceId 
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time

Saat Flipper Zero terhubung ke Windows yang mengemulasi mouse (seperti modul goncangan mouse), banyak hal menjadi… kurang jelas.

Opsi menu untuk menghubungkan Flipper Zero sebagai mouse USB:

Saat dicolokkan ke Windows menggunakan modul ini, Flipper akan mengemulasikan VID dan PID dari Penerima USB Logitech Unifying — AKA salah satu dari bocah nakal ini.

Hanya satu masalah: tidak menampilkan produsen seperti receiver Logitech biasa ! Itu juga hanya memberikan deskripsi umum/default. Dalam contoh di bawah ini, saya menjalankan Flipper Zero sebagai perangkat input USB, dan penerima USB Logitech dicolokkan ke mesin Windows.

((Get-CimInstance -Class win32_PnPSignedDriver) `
| Where-Object {($_.Description -like '*USB*' -and $_.DeviceClass -match 'HIDClass')}) `
| Select-Object Description, DeviceClass, DeviceID, Manufacturer `
| Sort-Object DeviceID

      
                

                    
                    
                
            

Sekali lagi, jika Anda merekam data ini ke dalam SIEM atau EDR, berikut adalah contoh kueri yang kami temukan yang berfungsi di CrowdStrike.

index=main event_platform=Win event_simpleName=DcUsbDevice*
    DeviceInstanceId="USB\\VID_046D&PID_C529\\*"
| where isnull(DeviceManufacturer)
| table _time
    , event_simpleName
    , ComputerName
    , DeviceInstanceId
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time