Entrando pela porta, mas não pela principal

Imagine a sua empresa inteira cair pela exposição de uma simples porta USB.

Não é difícil ver empresas que tenham totens de autoatendimento — seja em restaurantes (como no drive-thru) ou terminais de emissão de passagens em aeroportos e rodoviárias. Estes dispositivos são comumente vistos como "low hanging fruits": alvos de fácil exploração que trazem um enorme valor para um atacante.

Um terminal de autoatendimento no exterior do prédio precisa se comunicar com o sistema de pedidos da instalação — e, consequentemente, o sistema de pedidos se comunica com o de pagamentos e com a rede corporativa. Desta forma, a exploração de uma vulnerabilidade física externa ao prédio pode significar um comprometimento total da infraestrutura interna.

Mesmo que a superfície de ataque pareça reduzida (sem mouse, apenas tela touch-screen e operando no conhecido "modo kiosk"), um atacante só precisa de uma entrada. Apenas uma porta USB visível pode resultar no controle total do ambiente. Uma das técnicas para isso é amplamente conhecida entre operadores de red team e mapeada na matriz do MITRE ATT&CK pelo ID T1674 — Input Injection.

Input Injection (MITRE ATT&CK T1674)

Diferentemente dos pen drives tradicionais, onde o sistema operacional precisa reconhecer um volume de armazenamento e executar um arquivo, dispositivos que emulam teclados (dispositivos HID - Human Interface Device) são reconhecidos nativamente pelo sistema alvo como teclados legítimos digitando comandos em velocidade super-humana.

Na popular série Mr. Robot, é citado um dispositivo icônico da HAK5 chamado Rubber Ducky, que custa cerca de US$ 100.00. Como a própria HAK5 descreve: "To a human it's a Flash Drive. To a computer it's a keyboard, typing at superhuman speeds".

No Brasil, devido ao alto custo de importação, uma alternativa amplamente utilizada é o Digispark (baseado no microcontrolador ATTiny85), programável diretamente via Arduino IDE utilizando a biblioteca legítima DigiKeyboard.h.

Na prática: Anatomia do Ataque em uma Operação Real

Durante uma operação real de red team conduzida por nossos analistas, identificamos um totem de autoatendimento localizado em uma área anterior a qualquer controle de entrada ou recepção. Qualquer pessoa podia se aproximar sem levantar suspeitas devido ao fluxo contínuo de pessoas.

Ao enumerar o totem, constatamos que o sistema operacional era Windows e que havia uma porta USB exposta na lateral. Para obter acesso inicial furtivo, programamos o Digispark para executar o seguinte fluxo:

• Conexão: Dispositivo inserido na porta USB exposta.
• Reconhecimento do SO: Aguardar 750ms para inicialização do driver HID.
• Atalho de Execução: Disparar a combinação Windows + R para abrir a caixa "Executar".
• Invocação do Shell: Digitar powershell e pressionar ENTER.
• Carga útil (Dropper): Baixar e executar em memória o script de persistência e reverse shell conectado ao nosso C2.

// Atalho Windows + R para abrir caixa Executar
DigiKeyboard.sendKeyStroke(KEY_R, MOD_GUI_LEFT);
DigiKeyboard.delay(750);

// Abre o PowerShell
DigiKeyboard.print("powershell");
DigiKeyboard.sendKeyStroke(KEY_ENTER);
DigiKeyboard.delay(2000);

O resultado desta exploração foi a instalação limpa e em poucos segundos de um canal de comunicação persistente com nossa infraestrutura de Command & Control (C2).

O totem de autoatendimento estava conectado diretamente à rede interna corporativa como membro do Active Directory. Apesar da presença de antivírus atualizado no endpoint, a exploração física direta garantiu um acesso inicial completo à rede corporativa sem a necessidade de nenhuma credencial ou usuário prévio.

Visibilidade Ofensiva vs. Segurança de Vitrine

Muitas vezes, a segurança da informação é planejada apenas no que é mais visível: firewalls, EDRs, políticas de MFA e segmentação lógica. Tudo isso é indispensável. Porém, a realidade das operações de Red Team demonstra que um único ponto exposto no ambiente físico é suficiente para contornar bilhões em investimentos de software.

Olhar para a superfície de ataque com a mentalidade de um adversário real não é um exercício teórico. É a única forma prática de identificar onde a sua organização está vulnerável antes que um atacante descubra por conta própria.