플리퍼 찾기(제로)

안녕하세요 블루티머 여러분. 이 새로운 멋진 'Flipper' 장식물에 대해 들어보셨나요? 귀하의 CISO가 사용자가 자신의 워크스테이션에 이러한 장치를 연결하고 있는지 파악하기 위해 패닉에 빠진 적이 있습니까? 글쎄, 당신은 바로 이곳에 왔습니다.

플리퍼 제로를 만나보세요.

그들의 기능에 대해 더 자세히 알아보고 싶다면 그들의 웹사이트 를 확인하는 것이 좋습니다 . 나는 그것을 가지고 있고 그것을 사랑합니다. 그러나 저는 사이버 수비수로서 "우리 네트워크의 사용자가 지구를 해킹하기 위해 네트워크를 사용하려고 하는지 어떻게 감지할 수 있습니까?"라고 궁금해했을 것입니다. 내가 말하는 것에 대해 – 당신은 할 더 좋은 일이 없습니까? 아니요? 그렇다면 Windows 장치에 연결되어 있음을 감지할 수 있는 몇 가지 방법이 있습니다.

Flipper Zero에는 Windows에 다양한 장치로 표시할 수 있는 다양한 모드와 모듈이 있습니다. 우리가 다룰 두 가지는 모듈을 실행하지 않고 플리퍼가 연결되는 "기본" 모드이고 두 번째는 USB 원격 AKA 마우스 흔들림입니다.

특정 모듈을 실행하지 않고 USB를 통해 Flipper Zero를 연결하면 로그에서 찾을 수 있는 매우 고유한 서명이 남습니다. 테스트에서 이 모드의 Flippers(이 글을 쓰는 시점)는 PID 5740으로 STMicroelectronics VID 0483을 에뮬레이트합니다. 또한 DeviceID의 일부로 전역적으로 고유한 장치 직렬을 포함합니다 (저는 흐릿하게 처리했습니다). 아래 예에서).

다음은 이 정보를 가져오는 PowerShell 명령의 예입니다.

Get-CimInstance -Class win32_PnpSignedDriver `
| Select-Object Description, DeviceClass, DeviceID, DeviceName, Manufacturer `
| Select-String Flip

      
                

                    
                    
                
            

이 정보는 Windows 레지스트리에도 기록됩니다.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB\VID_0483&PID_5740\

      
                

                    
                    
                
            

index=main event_platform=Win event_simpleName=DcUsbDevice* 
    DeviceInstanceId="USB\\VID_0483&PID_5740\\flip*"
| table _time
    , event_simpleName
    , ComputerName 
    , DeviceInstanceId 
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time

Flipper Zero가 마우스를 에뮬레이트하는 Windows(예: 마우스 흔들림 모듈)에 연결되면 상황이 조금… 덜 명확해집니다.

Flipper Zero를 USB 마우스로 연결하기 위한 메뉴 옵션:

이 모듈을 사용하여 Windows에 연결하면 Flipper는 Logitech Unifying USB 리시버의 VID 및 PID를 에뮬레이션합니다.

한 가지 문제: 일반 Logitech 수신기와 같은 제조업체가 표시되지 않습니다 ! 또한 일반/기본 설명만 제공합니다. 아래 예에는 USB 입력 장치로 실행되는 Flipper Zero와 Windows 시스템에 연결된 Logitech USB 수신기가 모두 있습니다.

((Get-CimInstance -Class win32_PnPSignedDriver) `
| Where-Object {($_.Description -like '*USB*' -and $_.DeviceClass -match 'HIDClass')}) `
| Select-Object Description, DeviceClass, DeviceID, Manufacturer `
| Sort-Object DeviceID

      
                

                    
                    
                
            

다시 말하지만, 이 데이터를 SIEM 또는 EDR로 캡처하는 경우 CrowdStrike에서 작동하는 쿼리의 예는 다음과 같습니다.

index=main event_platform=Win event_simpleName=DcUsbDevice*
    DeviceInstanceId="USB\\VID_046D&PID_C529\\*"
| where isnull(DeviceManufacturer)
| table _time
    , event_simpleName
    , ComputerName
    , DeviceInstanceId
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time