Wat is die gevaarlijke, schadelijke exploit?
Dat bent u natuurlijk!
Naarmate cyberbeveiliging geavanceerder en krachtiger wordt, is het voor veel hackers moeilijker om zwakke plekken aan de softwarekant te vinden. Daardoor worden ze steeds afhankelijker van menselijke fouten om bij uw meest waardevolle gegevens te komen. Met behulp van phishing-mail proberen ze misbruik te maken van angst, met malware op torrent-sites spelen ze in op hebzucht, en andere oplichters proberen uw gevoel van mededogen – of zelfs uw eenzaamheid – tegen u te gebruiken.
Maar bij de nederige USB-stick maken hackers misbruik van uw nieuwsgierigheid.
Benieuwd naar nieuwsgierigheid
Volgens astrofysicus en auteur Mario Livio zijn er twee basistypen nieuwsgierigheid: perceptuele nieuwsgierigheid, wanneer er iets verrassends (en vaak onplezierigs) gebeurt waar u jeuk van krijgt, en epistemologische nieuwsgierigheid, wanneer u iets wilt weten omdat u denkt dat het prettig zal zijn en waarbij u een beloning verwacht. Beide typen spelen een essentiële rol in onze biologische – en technologische – evolutie.
Perceptuele nieuwsgierigheid overkomt u misschien wanneer u op een nieuwssite een schrikbarende kop leest over de laatste natuurramp. U wordt daar misschien niet “gelukkig” van, maar het blijft wel de hele dag door uw hoofd spoken als u niet precies weet wat er is gebeurd. Anderzijds wordt waarschijnlijk uw epistemologische nieuwsgierigheid geprikkeld wanneer u van een vriend of vriendin een e-mailtje krijgt met in de bijlage een tekstdocument met de naam “LIEFDESBRIEF-VOOR-JOU”, zeker als u diegene best leuk vindt.
Dat is dan ook de reden waarom het virus ILOVEYOU, dat wereldwijd een geschatte 5,5-8,7 miljard dollar aan schade heeft veroorzaakt, zich zo snel kon verspreiden in 2000.
En dat geval staat bepaald niet op zichzelf. Van pop-upvensters waarin u wordt gefeliciteerd met het winnen van een onlineloterij tot berichten van vreemden op de sociale media die beweren u nog te kennen van vroeger, zolang er e-mail bestaat proberen hackers misbruik te maken van de menselijke nieuwsgierigheid om mensen over te halen op koppelingen te klikken en bestanden te downloaden. Maar een van de meest succesvolle manieren om virussen af te leveren, is via een leeg e-mailbericht met een koppeling of bestand. Veel mensen zijn zo nieuwsgierig dat ze er meteen op klikken en daarmee maken ze het voor een hacker een stuk makkelijker.
Nieuwsgierigheid is zo'n krachtig wapen dat hackers het zelfs hebben ingezet bij een van de grootste hacks van het decennium.
En daarmee zijn we terug bij de USB-stick.
USB: Ultimate Security Breach
Wat zou u doen als u een USB-stick (wat eigenlijk staat voor Universal Serial Bus) op de grond zag liggen?
Waarschijnlijk zou u, zoals de meeste mensen, nieuwsgierig zijn, vooral als de stick was voorzien van een aanlokkelijk label, bijvoorbeeld “vertrouwelijk”, of “porno” of “niet openen”. In dat geval sluit u de stick waarschijnlijk meteen aan op een pc (thuis of op het werk, afhankelijk van het label). Dat zou om onbaatzuchtige redenen kunnen zijn (in de hoop dat de informatie die erop staat u naar de eigenaar leidt) of om voyeuristische (gewoon om te zien wat erop staat). Maar in het zeer waarschijnlijke geval dat een hacker de USB-stick bewust heeft achtergelaten, maakt het niet uit wat uw motieven zijn. Uw apparaat is praktisch al geïnfecteerd.
Een USB-stick kan zijn lading op twee manieren afleveren: Er staat een geïnfecteerd bestand op en het is aan u om erop te klikken en het bestand uit te voeren. Zo komt de infectie op uw computer terecht. In dit geval kunt u de stick aansluiten op uw pc of Mac en hem scannen op virussen voordat u wat dan ook opent. Dat is het op een na veiligste wat u ermee kunt doen. De stick niet aansluiten is nog veiliger...
Helaas nemen fabrikanten van USB-sticks vaak niet de moeite om de firmware te beveiligen. Daardoor kunnen slimme hackers de sticks herprogrammeren om ze efficiënter en gevaarlijker te maken. Ze doen dat meestal door de USB-stick zo te herprogrammeren dat er automatisch malware wordt geüpload op elk apparaat waarop de stick wordt aangesloten, zelfs voordat u de inhoud opent. In dat geval loopt u al gevaar zodra u de stick op de computer aansluit.
“Ik ben binnen”
Maar als u denkt dat hackers USB-sticks alleen kunnen gebruiken om malware af te leveren, zit u er helaas naast. Deze techno-wizards hebben maar liefst 29 verschillende manieren bedacht om USB-sticks dingen te laten doen met uw apparaat en uw gegevens.
Een paar voorbeelden:
-
Uw toetsenbord overnemen en andere vooraf bepaalde toetsaanslagen invoeren, waardoor er ongewenste bewerkingen worden uitgevoerd op uw pc
-
Uw toetsaanslagen registreren en de gegevens doorsluizen naar externe servers
-
Hardware implanteren, bijvoorbeeld een radio-ontvanger
-
Uw bestanden aanpassen
-
Uw webcam infiltreren en opnames van u maken
-
Uw activiteiten openbaar maken via elektromagnetische uitzendingen
-
Uw apparaat permanent beschadigen met een krachtige stroomstoot
Dit is maar een greep uit een groeiende lijst die steeds indrukwekkender – en angstaanjagender – wordt naarmate er nieuwe USB-apparaten en software worden ontwikkeld. Maar, denkt u misschien: dat iets mogelijk is, wil toch nog niet zeggen dat het waarschijnlijk is? Zijn er echt hackers die als een soort criminele paashazen gevaarlijke USB-sticks verstoppen?
U zult versteld staan.
Oplaadgevaar
Het is 2019. U bent net geland in Los Angeles en u bent uitgeput van de lange vliegreis. U heb dorst, uw benen doen pijn en, het ergste van allemaal, de batterij van uw smartphone is bijna leeg. Gelukkig zijn er op het vliegveld gratis oplaadstations voor telefoons. U sluit uw smartphone dus aan op zo'n station om hem genoeg op te laden voor de laatste etappe van uw reis.
Wanneer u de telefoon aanzet en erop kijkt, ziet u tot uw schrik dat het USB-oplaadstation was gehackt en dat uw telefoon nu is geïnfecteerd.
Nog een voorbeeld: op weg naar uw werk ziet u een USB-stick liggen op een bankje. U raapt hem op - misschien is hij van een collega? Maar wanneer u de stick aansluit, verschijnt er een bericht in koeienletters met de mededeling dat u zojuist bent gezakt voor een cyberbeveiligingstest. Dat valt dan mee, het kan veel erger.
Deze dingen gebeuren gebeuren namelijk niet alleen, ze zijn ook ontzettend effectief. Er zijn geen concrete cijfers bekend over het aantal “USB-stickaanvallen” dat jaarlijks plaatsvindt. Maar uit een onderzoek uit 2016 blijkt dat van de 297 geïnfecteerde USB-sticks die waren neergelegd op een universiteitscampus, 98% werd gevonden. 45% werd ook daadwerkelijk aangesloten op een pc. Dat is een slagingspercentage van bijna 50% (vergelijk dat met de naar schatting 0,5% van de mensen die in phishing-mail tuinen, de op dit moment populairste aanvalsmethode). Dat is enorm hoog.
De kans dat een hacker een USB-stick op uw inrit neerlegt mag dan misschien klein zijn, maar als u voor een groot bedrijf of voor de overheid werkt is de kans dat u ergens een USB-stick op de grond ziet liggen naar verhouding groter dan voor de rest van ons.
Sluit dat ding niet aan!
De vraag is dus: hoe kunt u zich beschermen tegen geïnfecteerde USB-apparaten?
Simpel: sluit USB-sticks die u ergens hebt gevonden niet aan. Ziet u zo'n stick liggen in de buurt van uw bedrijf? Breng hem dan naar de IT-afdeling of vertel het aan uw baas. De kans bestaat dat er meerdere zijn gevonden en het is mogelijk dat niet al uw collega's even technisch onderlegd zijn als u. Vindt u een USB-stick op een openbare plek? Doe de wereld een plezier en smijt hem weg. Daarmee beschermt u uzelf en anderen mogelijk tegen malware of voorkomt u dat de persoonlijke informatie die erop staat door onbekenden wordt misbruikt. En als u uw telefoon dan toch ergens moet opladen, moet u alleen een wisselstroomadapter gebruiken. Alle andere soorten opladers kunnen riskant zijn.
Nieuwsgierigheid is een prachtige drijfveer, maar laat u niet in de luren leggen!
