Flipper'ı Bulma (Sıfır)

Merhaba Blue Teamer dostum. Bu yeni havalı 'Flipper' zımbırtılarını duydunuz mu ve tüm bu yutturmacanın ne hakkında olduğunu merak ettiniz mi? CISO'nuz panik içinde size gelip kullanıcıların bunları iş istasyonlarına takıp takmadıklarını anlamanızı istedi mi? Doğru yere geldiniz.

Tanışın... Flipper Zero.

Yeteneklerini daha ayrıntılı olarak öğrenmekle ilgileniyorsanız, web sitelerine göz atmanızı öneririm . Bir tane var ve onu seviyorum; ancak, eminim bir siber savunucu olarak, "Ağımızdaki bir kullanıcının gezegeni hacklemek için birini kullanmaya çalıştığını nasıl anlarım?" diye merak ediyorsunuzdur. Buna diyorum - yapacak daha iyi işlerin yok mu? HAYIR? Pekala, işte bunların bir Windows cihazına takılı olduğunu tespit etmenin birkaç yolu.

Flipper Zero, Windows'a çeşitli farklı aygıtlar gibi görünmesini sağlayabilen birçok farklı moda ve modüle sahiptir. Ele alacağımız iki mod, bir modülü çalıştırmadan bir paletin takılı olduğu "varsayılan" mod ve ikincisi, USB Remote AKA fare sallama modudur.

Bir Flipper Zero, belirli bir modül çalıştırılmadan USB üzerinden takıldığında, arkasında günlüklerinizde aranabilecek çok benzersiz bir imza bırakır. Testlerimize göre, bu moddaki Flippers (bu yazının yazıldığı sırada), 5740 PID ile 0483 STMicroelectronics VID'sini taklit edecektir. Aynı zamanda DeviceID'nin bir parçası olarak dünya çapında benzersiz cihaz serilerini de içerecektir (bizimkini bulanıklaştırdım ) aşağıdaki örnekte).

İşte bu bilgiyi getirmek için örnek bir PowerShell komutu:

Get-CimInstance -Class win32_PnpSignedDriver `
| Select-Object Description, DeviceClass, DeviceID, DeviceName, Manufacturer `
| Select-String Flip

      
                

                    
                    
                
            

Bu bilgiler ayrıca Windows kayıt defterine yazılır:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB\VID_0483&PID_5740\

      
                

                    
                    
                
            

index=main event_platform=Win event_simpleName=DcUsbDevice* 
    DeviceInstanceId="USB\\VID_0483&PID_5740\\flip*"
| table _time
    , event_simpleName
    , ComputerName 
    , DeviceInstanceId 
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time

Bir Flipper Zero, bir fareyi taklit eden Windows'a bağlandığında (fare sallama modülü gibi), işler biraz… daha az belirgin hale gelir.

Flipper Zero'yu USB fare olarak bağlamak için menü seçenekleri:

Flipper, bu modül kullanılarak Windows'a takıldığında, bir Logitech Unifying USB Alıcısının VID ve PID'sini taklit edecek - AKA bu kötü çocuklardan biri.

Tek sorun: Normal Logitech alıcıları gibi bir üretici göstermiyor ! Ayrıca yalnızca genel/varsayılan bir açıklama sağlar. Aşağıdaki örnekte, hem USB giriş aygıtı olarak çalışan bir Flipper Zero'm hem de bir Windows makinesine takılı bir Logitech USB alıcım var.

((Get-CimInstance -Class win32_PnPSignedDriver) `
| Where-Object {($_.Description -like '*USB*' -and $_.DeviceClass -match 'HIDClass')}) `
| Select-Object Description, DeviceClass, DeviceID, Manufacturer `
| Sort-Object DeviceID

      
                

                    
                    
                
            

Yine, bu verileri SIEM veya EDR'ye alıyorsanız, CrowdStrike'ta çalıştığını bulduğumuz bir örnek sorguyu burada bulabilirsiniz.

index=main event_platform=Win event_simpleName=DcUsbDevice*
    DeviceInstanceId="USB\\VID_046D&PID_C529\\*"
| where isnull(DeviceManufacturer)
| table _time
    , event_simpleName
    , ComputerName
    , DeviceInstanceId
    , DeviceManufacturer
    , DevicePropertyClassName
    , DevicePropertyDeviceDescription
    , DeviceSerialNumber
| sort 0 -_time