Análisis de dispositivos USB

Aunque su uso esté ampliamente extendido, de sobra son conocidos los riesgos que entraña el mal uso de memorias de almacenamiento USB y discos de duros externos. Si bien son de mucha utilidad, y en muchos de los casos única vía de compartir de ficheros, pueden convertirse en transmisores de código malicioso, robo de información, entre otros.

Si bien existen soluciones de protección de puesto para PC donde se puede limitar el uso a unos pocos mediante la identificación y registro previo, en entornos industriales existen otro tipo de dispositivos y sistemas que también los utilizan. Ejemplo de ello pueden ser los Controladores Numéricos (CNC) en máquina herramienta o maletas de programación en controladores de brazos robóticos. En el primero de los casos para la transmisión de programas para la realización tareas de mecanizado y en el segundo para las trayectorias de o los brazos.

En esos casos donde es posible no implementar soluciones software resulta necesario realizar un análisis previo para reducir la posibilidad de que estemos empleando unos medios de transmisión de ficheros infectados por alguna pieza de código malicioso. Y digo reducir la posibilidad ya que, como cualquier otra solución basada en firmas, y en concreto los antivirus, podrían no alcanzar una protección sobre ciertas piezas de código. Aunque hace tiempo de aquello, no nos olvidemos del caso IRONGATE en la que dicha pieza no fue descubierta por las distintas herramientas empleadas por el portal VIRUSTOTAL tal y como recogía el siguiente artículo.

Irongate Malware, Thoughts and Lessons Learned for ICS/SCADA Defenders.

Así pues, en aras de proceder a un análisis previo para un uso posterior podemos recurrir a estaciones en las que introducir el elemento USB, proceder a un análisis por un software antivirus y, una vez que tengamos el resultado en la que no se ha detectado código malicioso, proceder a su uso en las estaciones o elementos del entorno de planta.

Para ello Podemos contar con soluciones “SafeDoor” de la compañía AuthUSB.

Se trata de un dispositivo hardware con un software en su interior que nos permitirá analizar, acceder y gestionar la información almacenada. Además, nos ofrecerá protección contra ataques de índole eléctrico como USB Killer o también BadUSB para la generación de interfaces o instrucciones programadas que permitan interactuar con el equipo al que se conecta.

Para su uso, dispone de una conexión de red a cuya IP deberemos conectarnos para acceder al contenido de las memorias conectadas y la distinta configuración disponible como la generación de usuarios con permisos de lectura/escritura; certificados; etc. cuando lo hagamos como administradores.

Al introducir una memoria el dispositivo realizará un análisis en busca de malware a partir de los motores habilitados a tal efecto, pudiendo disponer hasta dos en la versión utilizada para el presente artículo.

Una vez finalizado nos informará de si la unidad está infectada, o no. El resultado podrá verse de forma inmediata a través de uno de los leds que dispone en el frontal. Rojo si ha localizado alguna anomalía o verde si todo está OK.

Luego, accediendo a la interfaz web, podremos obtener información sobre el o los ficheros que ha identificado como maliciosos, así como su ubicación dentro de la misma. En es te caso he empleado a modo de prueba de concepto el fichero EICAR Test File que podéis encontrar aquí.

Dado que dispone de dos conexiones USB, si no hay infección podremos descargar el contenido o copiarlo en una segunda unidad.

Respecto al acceso, podremos definir un conjunto de usuarios con permisos de lectura o escritura, según decidamos al volumen concreto. Esto es, podremos definir sobré qué y cómo se puede acceder.

También podríamos acceder a su contenido por red, siempre y cuando esto pueda llevarse ya que como todos sabemos podemos disponer de elementos aún si esa capacidad. En ese caso visualizaremos los directorios y ficheros pudiendo realizar distintas acciones.

Sin duda los dispositivos USB son elementos no sólo muy utilizados sino que además necesarios dentro de estrategias de recuperación ante desastres como un disco duro externo con copias de respaldo de proyectos de PLCs, programas, ficheros de texto con logs, actualizaciones de software, despliegue de licenciamiento, etc.

Hasta aquí la entrada de hoy. ¡Nos vemos en la siguiente!

Un saludo!

Artículos y noticias de interés semana 22

  1. Estudio de Siemens sobre la transformación digital en la Industria 4.0. Enlace.
  2. Artículo: El departamento de Seguridad de la Patria de EE.UU. advierte de la posibilidad que equipos industriales puedan ser comprometidos remotamente. Enlace.
  3. Semana de noticias sobre Fireye y su «Irongate».
    1. Fireye realiza Pruebas de Concepto con una familia de malware para ICS. Enlace.
    2. SANS también habla de ello. Enlace.
    3. SecurityWeek se pronuncia. Enlace.
    4. TheRegister se hace eco. Enlace.
  4. Air-Gap no es la solución. Enlace.
  5. El peligro de los USB en las Infraestructuras Críticas. Enlace.

 

Control de USBs en entornos OT

Una de las medidas que debe estar presente cara al bastionado de nuestros sistemas, como no podía ser de otra manera, es el control de dispositivos USB. Si bien, en general, su uso hay que regularlo, en entornos industriales o Infraestructuras Críticas los riesgos son mayores. Como ya hemos comentado en otras ocasiones, los ciclos de vida, de equipos PC con funciones tipo  HMI, Workstations de Ingeniería, etc. son mayores. Esto les obliga a mantener en la mayoría de los casos Sistemas Operativos fuera de soporte, y exentos de actualizaciones. Además, dependiendo del sector y actividad, el software que interactúa con los distintos elementos de las instalaciones puede haber sido hecho “a medida” del cliente o producto, y cuyo desarrollador garantiza su uso sólo bajo ese entorno, y no en caso de instalar parches o actualizaciones. Que si ya lo del parcheo es difícil de implementar si además tenemos esta condición, pues ya ni os cuento.

En cualquiera de los casos, sin poder instalar parches y sin soporte por parte del fabricante el riesgo al que están expuestos nuestros sistemas es considerablemente alto.

Por tanto, para salvar este escoyo, las alternativas son principalmente son dos. O llevamos a cabo la actualización del sistema a uno superior con la correspondiente inversión de tiempo y dinero; o, utilizamos una solución de tipo “Endpoint” que aparte de limitar su uso nos proporcione otras funcionalidades.

Además, la proliferación de dispositivos que emplean el conector USB ha ido en aumento. Ya no es el clásico “pen drive” que puede contener un malware o un software portable. Ya desde hace tiempo tenemos otros muchos como Smartphones, reproductores de música, “USBHacks”, son desde los cuales podemos lanzar todo tipo de tareas.

Dentro de los entornos de automatización y control el ejemplo más archiconocido lo tenemos con Stuxnet.

 

Luego en el año 2013 saltaba la noticia que, “al parecer”, se quiso espiar a los miembros de la cumbre del G20 por medio de la entrega gratuita de memorias y cables USB para la carga de dispositivos móviles.

Y para terminar el malware que afectó a una Central Nuclear alemana y de cómo había infectado algunos equipos.

Tomando como ejemplo el equipo con Windows 7 Professional de las entradas:

Whitelisting en SCI (Parte I)

Whitelisting en SCI (Parte II)

Puesto que está aplicada una política de “Whitelisting”, si conectásemos una memoria USB con un software y lo quisiéramos ejecutar, podríamos ver el contenido pero no ejecutar nada ya que dicha política nos lo impide. Esto es, la memoria USB es detectada y se puede acceder pero como los ejecutables en él almacenados no están autorizados en la Lista Blanca, no se pueden utilizar. En cambio si hubiéramos querido abrir un fichero con un software que sí está dado de alta en ellas, podríamos verlo.

Sin embargo sin esta protección, el ejecutable hubiera sido ejecutado. Por ello resulta necesario llevar una estrategia de control y restricción de su uso. Ahora bien, ¿cómo hacerlo? En este caso he vuelto a utilizar Symantec Embedded Security: Critical System Protection

Deberemos dirigirnos a la política de “Prevention” ya que vamos a limitar una operación. Dentro  de “Advanced Policy Settings” seleccionaremos “Global Policy options”.

Dentro de ella en “General Settings” buscaremos “Block External Storage Devices” y marcaremos la casilla. Al mismo tiempo podremos seleccionar 3 variantes que pudieran ser de utilidad según entornos.

Sin embargo una vez activado este control ya no podríamos tener acceso al mismo.

Y sobre todo, el registro en consola para su consulta y seguimiento:

Como hemos visto en las capturas anteriores, este “bloqueo” puede ser configurable en lo que a lectura y escritura se refiere. Aquí hemos visto la manera más drástica, a partir de aquí ya podremos ir autorizando excepciones en caso de ser necesario.

Esta funcionalidad es especialmente interesante no sólo en equipos que controlen instalaciones sino en también en departamentos de soporte o mantenimiento. En ellos suelen existir equipos portátiles (ver aquí y aquí) para configurar, parametrizar o diagnosticar PLCs, Robots, etc. por medio del software correspondiente. A menudo es necesario intercambiar algún tipo de información por medio de estos dispositivos ya que puede no disponerse, o no estar autorizado, el acceso a ciertos recursos de red. Para ello podremos habilitar el bloqueo y llegado el momento deshabilitarlo. No obstante es conveniente disponer de algunos “pen drive” para uso específico y así gestionar esta necesidad de forma controlada.

Lo dicho, cuidado con los dichosos USB que aunque necesario también son el origen de muchos disgustos…

Un saludo!