Ninjutsu USB – BadUSB dari Ethic Ninja

Jika anda mengikuti serial TV Mr Robot di Season 1 Episode 9 anda akan melihat USB Rubber Ducky dari hak5 yang digunakan untuk mencuri password dalam 15 detik setelah plug in

USB Rubber Ducky adalah keystroke injection attack tool. yang berarti device yang berbentuk seperti USB Drive / Flashdisk, namun berfungsi layaknya keyboard.

Ethic Ninja sendiri juga sedang mencoba memperkenalkan Bad USB yang fungsi nya sama seperti Rubber Ducky, dengan nama Ninjutsu USB, bisa dibilang Rubber Ducky rasa Indonesia. Namun bertujuan untuk hal yang legal lho ya (IYKWIM).

Lalu mengapa device ini disebut sebagai Bad USB dan di sisi lain dapat membantu pentester?

Jadi cara kerja Bad USB adalah sebelum melakukan serangan, seseorang akan menuliskan payload berupa inputan keyboard yang nantinya akan di jalankan oleh Bad USB, sebagai contoh  untuk menambahkan user (Windows) sesuai keinginannya melalui inputan keyboard, maka Bad USB akan diprogram untuk menjalankan perintah +R > cmd.exe > net user username password /add, lalu script tersebut di compile dan tinggal colok ke mesin target. Itu hanya salah satu contoh, masih banyak hal lain yang bisa di lakukan dengan Bad USB atau bisa dibilang tak terbatas!

Dan yang lebih parah adalah karena device ini dikenali sebagai USB HID (Human Interface Device) oleh komputer, antivirus akan sangat sulit mendeteksi BadUSB bahkan mungkin tidak bisa, karena terbaca sebagai keyboard normal.

Device ini akan sangat membantu pentester untuk melakukan social engineering ke level yang lebih tinggi. Dengan bantuan device ini seorang pentester dapat melakukan pengecekan lingkungan mana saja yang sekiranya mungkin dapat dilakukan injeksi USB, misal :

1. Guest area suatu perusahaan menyediakan sebuah laptop untuk dilakukan misal registrasi atau buku tamu. Nah disini Bad USB akan berguna untuk membantu melakukan audit apakah entity tiap komputer/laptop yang disediakan untuk tamu dapat di injeksi atau tidak, kemudian jika dapat di injeksi apakah akan berbahaya untuk jaringan yang lain, dan seterusnya.
2. Social engineering ke resepsionis untuk minta dilakukan pengecekan file dalam flashdisk. Untuk hal ini berguna untuk mengaudit SDM-nya apakah sudah cukup aware terhadap kemungkinan terkena hacking?

Demo!

Penasaran kan gimana cara buatnya?

Like fanpage Ethic Ninja karena kita akan publish informasi cara membuat dan source codenya dalam waktu dekat ini, so.. stay tuned!