How the Story of a USB Penetration Test Went Viral
Vor zwei Jahrzehnten machte der Pen-Tester Steve Stasiukonis durch den Einsatz gefälschter USB-Sticks in einem Parkplatz von Credit Unions Schlagseite, als er beobachtete, wie neugierige Mitarbeiter mit diesen interagierten. Dieses Experiment gilt als bahnbrechend im Bereich Sicherheitsprüfungen und hat die Bedeutung von Phishing-Attacken hinsichtlich USB-Geräten verdeutlicht. Unternehmen sollten strengste Richtlinien für das Umgang mit unbekannten externen Speichergeräten erlassen.
Der Artikel beschreibt ein vor etwa zwei Jahrzehnten bekannt gewordenes USB-Penetrationstest-Experiment von Steve Stasiukonis mit gefälschten USB-Sticks auf einem Parkplatz von Credit Unions. Das Experiment zeigte, dass neugierige Mitarbeitende mit unbekannten USB-Geräten interagierten. Unternehmen sollen strenge Richtlinien zum Umgang mit unbekannten externen Speichergeräten etablieren.
Unternehmen und Mitarbeitende, die mit unbekannten externen Speichergeräten konfrontiert werden könnten.
Unbekannte USB-Geräte können als Social-Engineering-Vektor dienen und Sicherheitsrichtlinien umgehen.
Ein Mitarbeitender verbindet ein unbekanntes USB-Gerät mit einem Unternehmenssystem und ermöglicht dadurch eine Sicherheitsverletzung.
USB-Richtlinien, Gerätekontrolle, Awareness-Training und technische Sperren für unbekannte Wechselmedien umsetzen.
- ▸Defensiver Check 1: Prüfen, ob unbekannte USB-Speichergeräte technisch blockiert oder kontrolliert werden.
- ▸Defensiver Check 2: Awareness-Tests und Schulungen zum Melden gefundener USB-Geräte durchführen.
- ▸Defensiver Check 3: Endpoint-Logs auf neue Wechseldatenträger und Richtlinienverstöße überwachen.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Initial Access | T1091 Replication Through Removable Media | Low | Der Artikel beschreibt USB-Geräte als Phishing- bzw. Sicherheitsprüfungsvektor; Replikation wird nicht explizit beschrieben. |
- Keine Malware oder konkrete Payload angegeben.
- Keine betroffenen Produkte angegeben.
- Keine IOCs angegeben.