Атака з підкинутим USB-накопичувачем

Що таке Атака з підкинутим USB-накопичувачем?

Зловмисники залишають заражені накопичувачі на парковках, у вестибюлях і кімнатах відпочинку, підписавши їх так, щоб кортіло прочитати. Решту робить цікавість. Ви знаходите накопичувач із позначкою про зарплатні дані, під'єднуєте його, відмахуєтеся від попередження антивірусу й вмикаєте макроси в електронній таблиці. За лічені секунди програма-вимагач шифрує всі файли. Потім ви відключаєте комп'ютер від мережі й повідомляєте про те, що сталося. Краще було вчинити простіше: не чіпати накопичувач і віддати його службі ІТ-безпеки.

Що ви дізнаєтесь у Атака з підкинутим USB-накопичувачем

• Розпізнавайте атаки з підкинутим USB-накопичувачем як навмисну техніку соціальної інженерії, що грає на людській цікавості й бажанні допомогти
• Дотримуйтеся правильного порядку дій зі знайденими USB-пристроями: не під'єднуйте їх, не переглядайте вміст, негайно повідомляйте службу ІТ-безпеки
• Поясніть, як документ на знайденому накопичувачі може запустити шкідливий код, щойно ви ввімкнете в ньому макроси
• Визначайте місця підвищеного ризику, де зазвичай підкидають USB-накопичувачі: парковки, вестибюлі, переговорні та спільні простори
• Підтримуйте політики організації щодо змінних носіїв, зокрема обмеження USB-портів, сповіщення від засобів виявлення загроз на пристроях і реєстри схвалених пристроїв

Атака з підкинутим USB-накопичувачем — Кроки навчання

1. Ранкова знахідка

   Вівторок, ранок. Аліса бере каву й іде до домашнього офісу, щоб почати робочий день. Дорогою через вестибюль багатоквартирного будинку щось на підлозі біля поштових скриньок привертає її увагу. Елегантний чорний USB-накопичувач із наклейкою, схожою на офіційну: «КОНФІДЕНЦІЙНО — Перегляд зарплат за IV квартал — ТІЛЬКИ ДЛЯ ВІДДІЛУ КАДРІВ»

2. Спокуса

   Аліса бере накопичувач, і цікавість у ній прокидається. Хтось із мешканців будинку, певно, працює в її компанії — а може, у конкурента? Вона знає, що слід віднести знахідку в ІТ-відділ, але… «Спершу гляну, що на ньому, — думає вона. — Якщо це справді дані відділу кадрів, треба переконатися, що вони наші, а вже потім передавати».

3. Попередження антивірусу

   Windows розпізнає USB-накопичувач. Відкривається файловий менеджер Windows, а в ньому кілька файлів: Q4_Salary_Review_2024.xlsm Employee_Performance_Rankings.pdf Compensation_Adjustments.docx Раптом з'являється попередження антивірусу: система виявила на накопичувачі підозрілий вміст.

4. Відкриття файлу

   Аліса відхиляє попередження, переконана, що це хибне спрацювання. Ось вона, зарплатна таблиця: вона обіцяє відповіді на запитання, про які всі говорять пошепки. Вона двічі натискає на файл Excel. Розширення .xlsm означає книгу з підтримкою макросів; у звичайному файлі .xlsx макросів не може бути взагалі. Файл відкривається з попередженням безпеки: «Макроси вимкнено.» Вміст сховано за повідомленням із проханням увімкнути макроси.

5. Шифрування

   Щойно Аліса натискає «Увімкнути вміст», шкідливий макрос запускається. На екрані коротко блимає вікно командного рядка. Жорсткий диск починає натужно працювати. За лічені секунди програма-вимагач нишком шифрує всі файли на її комп'ютері: документи, фото, проєкти — геть усе.

6. Перевірка файлів

   Щось не так. Комп'ютер Аліси гальмує, а жорсткий диск і досі натужно працює. Усередині в неї холоне. Вона поспішає перевірити важливі робочі документи — квартальний звіт, над яким працює вже кілька тижнів.

7. Вимога викупу

   Замість квартального звіту з'являється страшний екран із вимогою викупу. Червоний значок замка, що світиться. Таймер зворотного відліку. Вимога сплатити 0,5 біткоїна. Усі до єдиного файли на її комп'ютері — документи, фото, проєкти — зашифрувала програма-вимагач. Зловмисники вимагають гроші за розблокування її даних.

8. Негайна реакція

   Аліса холоне, усвідомивши, наскільки все серйозно. Усі її файли — робочі проєкти, особисті документи, геть усе — тепер зашифровані, і зловмисники тримають їх у заручниках. Вона пригадує навчання з безпеки: найперше треба не дати шкідливій програмі поширитися на інші пристрої в мережі. Найкраще відключити комп'ютер від мережі й залишити його ввімкненим, бо в пам'яті можуть зберігатися докази. Але її робочий комп'ютер під'єднується лише через Wi-Fi, кабелю, який можна висмикнути, немає, а екран заблоковано вимогою викупу. Тож вимкнути живлення — єдиний спосіб, що лишився, щоб відрізати його від мережі.

9. Обмеження збитків

   Аліса вимикає ПК, щоб програма-вимагач не поширювалася далі. Це запасний варіант, коли інакше комп'ютер від мережі не відключити. Вона пригадує навчання з безпеки: спершу ізолювати, а питання ставити потім. Вона пересідає до другого робочого комп'ютера, до якого USB-накопичувач ніколи не під'єднували, щоб повідомити про інцидент. Служба ІТ-безпеки має дізнатися про це негайно.

10. Подання звіту

    Аліса відкриває форму звіту про інцидент безпеки. Тут головне — повна відвертість: хоч Аліса і припустилася помилки, швидке повідомлення може обмежити шкоду. Вона описує все: де знайшла USB-накопичувач, що з ним зробила і як програма-вимагач заразила її комп'ютер.