Digispark – die USB Rubber Ducky Alternative (Teil4)

In den vorangehenden Beiträgen wurde gezeigt, wie man mit Hilfe des Attiny85 Mikrocontrollers „Digispark“ Penetrationstests unter Windows und Linux durchführen kann. Auch unter macOS Sierra lässt sich die Platine einsetzen. Folgendes Szenario wäre denkbar:

Bei Einstecken des Digispark in eine freie USB-Schnittstelle in einem Mac werden alle Dokumente eines bestimmten Ordners an den Angreifer per E-Mail übermittelt.

Wenn man AppleScript als Hilfsmittel verwendet, lässt sich unser Szenario relativ leicht umsetzen. Es setzt voraus, dass der Mac über eine Verbindung ins Internet verfügt. Zunächst wird das Skript von Webserver des Angreifers heruntergeladen, dann ausgeführt und die gefundenen Dokumente schließlich per E-Mail übermittelt.

Die Datei sendmail.scpt auf dem Webserver hat folgenden Inhalt:

 

In den Zeilen 0 bzw. 1 werden jeweils die Ordner ausgewählt, die an den Angreifer übermittelt werden sollen. In unserem Beispiel wählen wird das Verzeichnis „Downloads“ aus, das für alle Mac-Nutzer standardmäßig angelegt ist. Wer dafür lieber alle Dateien im Dokumente-Ordner übertragen möchte, der sollte dafür Zeile 0 auskommentieren. Um andere Verzeichnisse bzw. Dateien zu übertragen, sollte die Variable „myDocumentFolder“ entsprechend angepasst werden.

 In Zeile 6 wird eine Liste aller Dateien im gewünschten Verzeichnis erstellt.

 Die Zeilen 9 bis 13 müssen Absender und Empfänger den eigenen Verhältnisse angepasst werden.

 In der letzten „tell“-Anweisung (Zeilen 16 bis 26) erfolgt die Übertragung der Dateien per Mail-Applikation des Mac.

Das Skript für die Digispark-Platine könnte wie folgt aussehen:

 

Das Skript für den Digispark ist ähnlich einfach aufgebaut. Die auskommentierten Zeilen  17 und 22 stellen jeweils die „println-Anweisungen“ für die US-Tastatur dar. Die jeweils darauffolgenden Zeilen wurden für eine deutsche Tastatur angepasst. Den Trick hatte ich ja bereits in diesem Beitrag erläutert und angewendet.

In Zeile 18 wird mit Hilfe von Safari das AppleScript vom Webserver heruntergeladen. Die URL muss natürlich den eigenen Verhältnisse angepasst werden.

Die Zeile 23  ruft das Skript aus dem Download-Ordner des Nutzers auf und führt es aus.

Das folgende Video zeigt den Ablauf:

Schreibe einen Kommentar