Tìm Flipper (Không)

Xin chào các đồng đội Blue Team. Bạn đã nghe nói về những bức vẽ nguệch ngoạc 'Flipper' mới lạ mắt này chưa và tự hỏi tất cả những lời quảng cáo rầm rộ đó là gì? CISO của bạn có hoảng hốt đến hỏi bạn xem liệu người dùng có đang cắm những thứ này vào máy trạm của họ không? Vâng, bạn đã đến đúng nơi.

Gặp gỡ… Flipper Zero.

Nếu bạn muốn tìm hiểu chi tiết hơn về khả năng của họ, tôi khuyên bạn nên xem trang web của họ . Tôi có một và yêu nó; tuy nhiên, tôi chắc rằng với tư cách là một người bảo vệ không gian mạng, bạn đã tự hỏi “Làm cách nào để phát hiện xem người dùng trên mạng của chúng tôi có đang cố sử dụng một mạng để tấn công hành tinh hay không?” Tôi nói rằng - bạn không có việc gì tốt hơn để làm sao? KHÔNG? Vậy thì, sau đây là một số cách bạn có thể phát hiện những thứ này đang được cắm vào thiết bị Windows.

Flipper Zero có nhiều chế độ và mô-đun khác nhau có thể hiển thị trên Windows dưới dạng nhiều loại thiết bị khác nhau. Hai chế độ mà chúng tôi sẽ giới thiệu là chế độ “mặc định”, trong đó một chân cắm được cắm mà không cần chạy mô-đun và chế độ thứ hai là thao tác lắc chuột của USB Remote AKA.

Khi Flipper Zero được cắm qua USB mà không chạy một mô-đun cụ thể, nó sẽ để lại một chữ ký rất độc đáo mà bạn có thể tìm kiếm trong nhật ký của mình. Từ thử nghiệm của chúng tôi, Flippers ở chế độ này (tại thời điểm viết bài này) sẽ mô phỏng STMicroelectronics VID là 0483 với PID là 5740. Nó cũng sẽ bao gồm sê-ri thiết bị duy nhất trên toàn cầu như một phần của DeviceID (tôi đã làm mờ mã của chúng tôi trong ví dụ bên dưới).

Đây là một lệnh PowerShell ví dụ để hiển thị thông tin này:

Get-CimInstance -Class win32_PnpSignedDriver `
| Select-Object Description, DeviceClass, DeviceID, DeviceName, Manufacturer `
| Select-String Flip

      
                

                    
                    
                
            

Thông tin này cũng được ghi vào sổ đăng ký Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB\VID_0483&PID_5740\

      
                

                    
                    
                
            

index=main event_platform=Win event_simpleName=DcUsbDevice* 
    DeviceInstanceId="USB\\VID_0483&PID_5740\\flip*"
| table _time
    , event_simpleName
    , ComputerName 
    , DeviceInstanceId 
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time

Khi Flipper Zero được kết nối với Windows mô phỏng chuột (chẳng hạn như mô-đun lắc nhẹ chuột), mọi thứ trở nên… kém rõ ràng hơn một chút.

Các tùy chọn menu để kết nối Flipper Zero dưới dạng chuột USB:

Khi được cắm vào Windows bằng mô-đun này, Flipper sẽ mô phỏng VID và PID của Bộ thu USB Unifying của Logitech - hay còn gọi là một trong những kẻ xấu này.

Chỉ có một vấn đề: nó không hiển thị nhà sản xuất như các bộ thu Logitech thông thường ! Nó cũng chỉ cung cấp một mô tả chung/mặc định. Trong ví dụ bên dưới, tôi có cả Flipper Zero chạy dưới dạng thiết bị đầu vào USB và bộ thu USB Logitech được cắm vào máy Windows.

((Get-CimInstance -Class win32_PnPSignedDriver) `
| Where-Object {($_.Description -like '*USB*' -and $_.DeviceClass -match 'HIDClass')}) `
| Select-Object Description, DeviceClass, DeviceID, Manufacturer `
| Sort-Object DeviceID

      
                

                    
                    
                
            

Xin nhắc lại, nếu bạn đang thu thập dữ liệu này vào SIEM hoặc EDR, thì đây là một truy vấn mẫu mà chúng tôi đã tìm thấy hoạt động trong CrowdStrike.

index=main event_platform=Win event_simpleName=DcUsbDevice*
    DeviceInstanceId="USB\\VID_046D&PID_C529\\*"
| where isnull(DeviceManufacturer)
| table _time
    , event_simpleName
    , ComputerName
    , DeviceInstanceId
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time