Attacco USB Drop

Cos’è Attacco USB Drop?

Gli aggressori lasciano unità infette nei parcheggi, negli ingressi e nelle sale relax, etichettate con qualcosa che vorresti leggere. La curiosità fa il resto. In questo esercizio ne trovi uno contrassegnato con i dati sullo stipendio, collegalo, elimina l'avviso dell'antivirus e abilita le macro in un foglio di calcolo. Il ransomware crittografa ogni file in pochi secondi. Quindi togli la macchina dalla rete e riferisci cosa è successo. La risposta migliore era più semplice: lasciare stare il disco e consegnarlo alla sicurezza.

Cosa imparerai in Attacco USB Drop

• Riconoscere gli attacchi USB drop come una tecnica deliberata di ingegneria sociale che sfrutta la curiosita umana e il desiderio di essere d'aiuto
• Seguire il protocollo di risposta corretto per i dispositivi USB trovati: non collegare, non ispezionare il contenuto, segnalare immediatamente alla sicurezza IT
• Spiega come un documento su un'unità trovata può eseguire codice dannoso nel momento in cui ne abiliti le macro
• Identificare le posizioni ad alto rischio dove gli attacchi USB drop vengono comunemente organizzati, inclusi parcheggi, hall, sale conferenze e spazi condivisi
• Supportare le policy organizzative sui supporti rimovibili incluse le restrizioni delle porte USB, gli avvisi di rilevamento degli endpoint e i registri dei dispositivi approvati

Attacco USB Drop — Fasi della formazione

1. Una scoperta mattutina

   È martedì mattina. Alice prende il caffè e si dirige nel suo ufficio a casa per iniziare la giornata lavorativa. Mentre attraversa l'atrio del condominio, qualcosa attira la sua attenzione sul pavimento vicino alle cassette della posta. Un'elegante unità USB nera con un'etichetta dall'aspetto ufficiale: 'CONFIDENTIAL - Q4 Salary Review - HR Only'

2. La tentazione

   Alice riprende il viaggio, stuzzicata la curiosità. Qualcuno del suo edificio deve lavorare nella sua azienda o forse un concorrente? Sa che dovrebbe consegnarlo all'IT, ma... 'Prima controllerò cosa c'è sopra', pensa. 'Se si tratta davvero di dati relativi alle risorse umane, dovrei verificare che siano nostri prima di consegnarli.'

3. Avviso antivirus

   Windows riconosce l'unità USB. Si apre Esplora file che mostra diversi file: Q4_Salary_Review_2024.xlsm Employee_Performance_Rankings.pdf Compensation_Adjustments.docx Improvvisamente viene visualizzato un avviso antivirus: il sistema ha rilevato contenuto sospetto sull'unità.

4. Apertura del file

   Alice respinge l'avvertimento, convinta che sia un falso positivo. Il foglio di calcolo dello stipendio è proprio lì, promettendo risposte alle domande di cui tutti sussurrano. Fa doppio clic sul file Excel. Il finale .xlsm indica una cartella di lavoro abilitata per le macro; un semplice .xlsx non può contenere alcuna macro. Si apre con un avviso di sicurezza: 'Le macro sono state disabilitate.' Il contenuto è nascosto dietro un messaggio che chiede di abilitare le macro.

5. La crittografia

   Nel momento in cui Alice fa clic su 'Abilita contenuto', la macro dannosa viene eseguita. Una finestra del prompt dei comandi lampeggia brevemente sullo schermo. Il disco rigido inizia a girare. In pochi secondi, il ransomware crittografa silenziosamente ogni file sul suo computer: documenti, foto, progetti, tutto.

6. Controllo dei suoi file

   Qualcosa sembra sbagliato. Il computer di Alice sembra lento e il disco rigido è ancora in funzione. Le si forma un nodo freddo allo stomaco. Si precipita a controllare i suoi importanti documenti di lavoro: il rapporto trimestrale su cui lavora da settimane.

7. La richiesta di riscatto

   Invece del suo rapporto trimestrale, appare una terrificante schermata di riscatto. Un'icona di blocco rossa luminosa. Un timer per il conto alla rovescia. Una richiesta per 0,5 Bitcoin. Ogni singolo file sul suo computer - documenti, foto, progetti - è stato crittografato dal ransomware. Gli aggressori chiedono un pagamento per sbloccare i suoi dati.

8. Risposta immediata

   Il cuore di Alice sprofonda quando si rende conto della gravità della situazione. Tutti i suoi file - progetti di lavoro, documenti personali, tutto - sono ora crittografati e tenuti in ostaggio. Ricorda dalla formazione sulla sicurezza: la prima priorità è impedire che il malware si diffonda su altri dispositivi nella rete. Scollegare la rete e lasciare la macchina in funzione è la soluzione migliore, perché la memoria può contenere prove. La sua workstation si connette solo tramite Wi-Fi, senza cavi da tirare, e la richiesta di riscatto le ha bloccato lo schermo, quindi spegnerlo è l'unico modo rimasto per interromperlo.

9. Controllo dei danni

   Alice spegne il suo PC, soluzione di riserva quando una macchina non può essere rimossa dalla rete in nessun altro modo, per impedire che il ransomware si diffonda ulteriormente. Ricorda la formazione sulla sicurezza: prima isolarsi, poi fare domande. Si sposta nella sua seconda postazione di lavoro, che non ha mai toccato l'unità USB, per segnalare l'incidente. Il team di sicurezza deve saperlo immediatamente.

10. Presentazione della relazione

    Alice apre il modulo di segnalazione degli incidenti di sicurezza. La totale onestà è fondamentale: anche se ha commesso un errore, denunciarlo rapidamente può limitare il danno. Documenta tutto: dove ha trovato la chiavetta USB, cosa ne ha fatto e l'infezione da ransomware.