「悪意ある」RJ45ドングルの調査
(lcamtuf.substack.com)「悪意ある」RJ45ドングルの調査
-
ハードウェアのリバースエンジニアリング
ハードウェアのリバースエンジニアリングは難しいこともあるが、ときには快適な椅子とGoogle翻訳だけで十分なこともある。 -
サプライチェーン攻撃の現実
情報セキュリティにおいてサプライチェーン攻撃は複雑で危険であり、たいていはほかに手段がないときに使われる。多くの場合、認証情報を盗んだり、悪意あるファイルをダウンロードさせたりするほうが簡単である。 -
ソーシャルメディアでの騒動
ある若い起業家が、中国で購入したEthernet-USBアダプターがマルウェアだらけだと主張し、ソーシャルメディアで話題になった。しかし、これは誤情報だったことが判明した。 -
ドライバー分析
問題のドライバーは、CoreChips ShenzhenのRJ45-to-USBチップ向けドライバーで、公開されている署名済みバージョンである。これはRealtek RTL8152Bのコピー品とみられる。 -
歴史的文脈
このドライバーは、2013年に公開された古い設計をベースにしている。当時はCD-ROMドライブが徐々に姿を消しつつあったものの、すべてのコンピューターが常時オンラインというわけではなかった。そのため、デバイスが自前のドライバーを含む大容量記憶装置として現れるのは理にかなっていた。 -
フラッシュメモリーの役割
なぜこのデバイスに512 kBのフラッシュメモリーが必要なのか、という疑問が持たれた。これはファームウェア保存用なのか、それとも別の用途なのかは不明である。 -
SR9900の設計資料
SR9900の設計資料から、フラッシュチップが仮想光学ドライブとして使えることが確認された。これはドライバーのインストール用途に使われる。 -
結論
奇妙なものが必ずしも悪いとは限らない。ハードウェアラボがなくても、忍耐力と検索力だけで十分に調査できる。しかし、SR9900 IC自体の内部コードは依然として未知のままである。 -
セキュリティ上の懸念
特定の状況では悪意あるUSBドングルのリスクがあり得るが、一般的な家庭内ネットワーキングではそれほど心配する必要はない。
1件のコメント
Hacker Newsの意見
Intel Pentium 166MHz以上のスペックが必要だという記述が面白い。"退屈な賢い人が、常識的に明らかな結果を得るために驚くべき創造力と粘り強さを発揮する" というジャンルが好き
USBデバイスが自前のドライバを提供するためにストレージデバイスを装うことを高く評価している。最近ではMicrosoftのサーバーにアップロードして必要なものをダウンロードするのが「正しい」方法かもしれないが、手動でドライバをインストールしなければならないことが多いと指摘している
USB周辺機器ICにVID/PIDやその他のUSB構成情報を保存するために小さなフラッシュデバイスを取り付けるのは一般的だった。512kBはサプライチェーン経由で容易に入手できる最小容量だったのかもしれない
RJ45は8P8Cと呼ぶべきだと主張する人の意見がある
安価なRJ45イーサネット‐USBアダプタがマルウェアを含みうるという関連話題がある
「悪意ある」USBイーサネットドングルは存在しうるもので、Hak5の製品であるLAN Turtleと関係がある
数十年前には組み込みストレージデバイスが非常に一般的で、主に3G USBモデムでよく見られた。ATコマンドで有効化/無効化できた
イーサネットポートに有害な接続を行うのは非常に難しいが、USBポートに有害な接続を行うのは非常に簡単。これを「悪意ある」USBドングルと呼ぶのは適切