В поисках Флиппера (Зеро)

Здравствуйте, товарищ Blue Team. Вы слышали об этих новых причудливых безделушках «Флиппер» и задаетесь вопросом, о чем вся шумиха? Ваш директор по информационной безопасности пришел к вам в панике с просьбой выяснить, подключают ли пользователи их к своим рабочим станциям? Что ж, вы попали в нужное место.

Знакомьтесь… Flipper Zero.

Если вам интересно узнать об их возможностях более подробно, я предлагаю посетить их веб-сайт . У меня есть один, и я люблю его; тем не менее, я уверен, как киберзащитник, вы задавались вопросом: «Как я могу определить, пытается ли пользователь в нашей сети использовать его, чтобы взломать планету?» На это я говорю — у вас нет дел поважнее? Нет? Что ж, вот несколько способов обнаружить, что они подключены к устройству Windows.

Flipper Zero имеет множество различных режимов и модулей, которые могут отображать его в Windows как множество различных устройств. Два режима, которые мы собираемся рассмотреть, — это режим «по умолчанию», когда флиппер подключается без запуска модуля, а второй — USB Remote, также известный как покачивание мышью.

Когда Flipper Zero подключается через USB без запуска определенного модуля, он оставляет очень уникальную подпись, которую можно найти в ваших журналах. По результатам нашего тестирования, Flippers в этом режиме (на момент написания этой статьи) будет эмулировать STMicroelectronics VID 0483 с PID 5740. Он также будет включать глобально уникальный серийный номер устройства как часть DeviceID (я замыл наш в примере ниже).

Вот пример команды PowerShell для отображения этой информации:

Get-CimInstance -Class win32_PnpSignedDriver `
| Select-Object Description, DeviceClass, DeviceID, DeviceName, Manufacturer `
| Select-String Flip

      
                

                    
                    
                
            

Эта информация также записывается в реестр Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB\VID_0483&PID_5740\

      
                

                    
                    
                
            

index=main event_platform=Win event_simpleName=DcUsbDevice* 
    DeviceInstanceId="USB\\VID_0483&PID_5740\\flip*"
| table _time
    , event_simpleName
    , ComputerName 
    , DeviceInstanceId 
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time

Когда Flipper Zero подключен к Windows, эмулирующей мышь (например, модуль покачивания мыши), все становится немного… менее очевидным.

Опции меню для подключения Flipper Zero в качестве USB-мыши:

При подключении к Windows с помощью этого модуля Flipper будет эмулировать VID и PID USB-приемника Logitech Unifying — он же один из этих плохих парней.

Только одна проблема: он не отображает производителя, как обычные ресиверы Logitech ! Он также предоставляет только общее описание/описание по умолчанию. В приведенном ниже примере у меня есть и Flipper Zero, работающий как устройство ввода USB, и USB-приемник Logitech, подключенный к компьютеру с Windows.

((Get-CimInstance -Class win32_PnPSignedDriver) `
| Where-Object {($_.Description -like '*USB*' -and $_.DeviceClass -match 'HIDClass')}) `
| Select-Object Description, DeviceClass, DeviceID, Manufacturer `
| Sort-Object DeviceID

      
                

                    
                    
                
            

Опять же, если вы собираете эти данные в SIEM или EDR, вот найденный нами пример запроса, который работает в CrowdStrike.

index=main event_platform=Win event_simpleName=DcUsbDevice*
    DeviceInstanceId="USB\\VID_046D&PID_C529\\*"
| where isnull(DeviceManufacturer)
| table _time
    , event_simpleName
    , ComputerName
    , DeviceInstanceId
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time