В начале 2025 года в соцсети X (экс-Twitter) и телеграм-каналах обсуждали историю Евы Прокофьевой, гендиректора компании по безопасности EPCYBER. Она купила на AliExpress переходник с USB-C на Ethernet и, разобрав устройство, обнаружила на плате флеш-память. Внутри — вредоносная программа, которая считывает и запоминает нажатия клавиш и мыши.
Такое ПО мошенники используют для кражи конфиденциальной информации, включая банковские реквизиты, пароли и адреса электронной почты.
 Фото: Ева Прокофьева |
|---|
Прокофьева сказала, что устройство продали 10 тыс. раз. Стоимость подобных переходников на AliExpress составляет около 500–700 рублей. Адаптеры от известных брендов в то же время стоят 2,5–5 тыс. рублей и дороже.
Мир уже 40 лет проигрывает хакерам
Компьютерные вирусы появились с первыми же домашними компьютерами; первые упоминания в летописях восходят к восьмидесятым, когда 15-летний школьник из любопытства написал программу, которая сама распространялась через дискеты. Автор текста тоже через это проходил, не будем судить строго юных исследователей, из них потом выходит толк.
Первая пандемия произошла через пару лет, когда два брата из Пакистана устали от постоянного воровства их весьма востребованных в мире медицинских программ. Они добавили код, который при загрузке компьютера вежливо напоминал, что воровать — нехорошо. Никаких разрушительных функций — только сообщение со все еще работающим телефоном их компании.
 Фото: Avinash Meetoo, Wikipedia |
|---|
| Заголовок программы Brain, ставшей первым вирусом |
Именно Brain считается первым вирусом для персонального компьютера. Пакистанские братья получили шквал круглосуточных звонков со всего мира — их одинаково поразила мгновенная скорость распространения украденного по планете и наглость звонящих, требовавших немедленно починить ими украденный софт.
Дальше — больше. Легендарный червь Морриса: первый массовый сетевой вредитель. «Чернобыль», ежегодно выводивший из строя материнские платы (автор этих строк накануне обнаружил его случайно у себя и гоготал до утра, пока обезвреживал). Смешных поделок было не меньше, но в целом стало очевидно: время невинных шуток безвозвратно ушло.
 Фото: Intel Free Press, Flickr |
|---|
| Дискета с исходным кодом червя Морриса, хранящаяся в Музее компьютерной истории |
С приходом интернета в каждый дом в начале 2000-х зловреды пережили настоящий эволюционный взрыв — разнообразие угроз росло быстрее, чем после мел-палеогенового вымирания.
Забавно, что у обывателя укрепилась формулировка «меня взломали», хотя в таких случаях, естественно, никто никого не «взламывает». Это очень дорого, да и простой дядя Вася с улицы никого в этом смысле не интересует. Пользователи самостоятельно вводят пароли не туда, куда нужно, запускают «кейген» утащенной с торрентов игрушки или ставят себе в браузер скачивать видео без регистрации и SMS.
Современные реалии: USB-армагеддон
Выкупы давно требуют в крипте, шторки на камерах ноутбуков используют уже даже бабушки, заставшие красные флаги над собесом без эйчаров, а операционные системы довели технологию критических обновлений безопасности практически до совершенства. Шансов на самостоятельное распространение заразы очень мало: от обнаружения до распознавания дряни проходят теперь дни или даже часы, а не месяцы и годы, как было ранее.
В то же время в последние годы есть устойчивый тренд на добавление скрытых функций в ширпотреб-девайсы. На любом сайте в интернете, который продает кучу всего, можно купить какой-нибудь USB-модуль для подключения, например, к Wi-Fi за 150 рублей. Вот только это будет не просто скучная сетевая карта, а сетевая карта с сюрпризом, который может делать с устройством, куда его подключили, вообще что угодно.
Да, хакеры раньше тоже изготавливали своими руками странные штуковины из паяльника, проводов и программатора, которые незаметно подключали в компьютер сотрудника какой-нибудь компании или в ее корпоративную сеть. Но это были прицельные атаки на конкретные объекты инфраструктуры, а не на обывателя.
 Фото: скрин 66.RU |
|---|
То, что счастливый пользователь, нарвавшийся на такое устройство, немедленно пополнит стройные ряды армии ботнета под флагом сказочных персонажей Александра Милна — это еще полбеды. Гораздо хуже, что эта поделка из подвалов товарища Шен Ли проактивно будет отправлять, например, в Поднебесную все, что посчитает интересным: персональные данные, пароли от всего на свете, переписку со всеми, медицинские данные, приватные фотографии и так далее.
Все НАСТОЛЬКО плохо?
Еще хуже. Все, что можно вставить в телевизор, в компьютер, в приставку, в телефон, запросто может иметь дополнительную функциональность, которую никто не ждал. Это беспроводные пульты управления, включающиеся как донгл в телевизор, особенно клавиатуры, и вообще любые устройства, которые могут считывать пользовательский ввод и отправлять его в Индию / Китай / куда угодно.
Утекать такие данные могут не только в дальние страны, но и внутри РФ, где ребята с интеллигентными голосами из «Службы безопасности банка», получив кучу фото и переписок, смогут обладать фактурой для атаки по методу «ваш внук сбил человека насмерть, нужно срочно два миллиона наличными — тогда не сядет». Для убедительности образцы голоса внука из также украденных голосовых сообщений можно сгенерировать под необходимые фразы.
Именно поэтому на любом производстве, в любых офисах строго-настрого запрещено подключать собственное оборудование: флешку, жесткий диск или наушники с кошачьими ушками, переходник для мышки или чужой, кем-то случайно забытый зарядник. В нормальных компаниях такой возможности вообще нет физически, а попытка жестоко карается санкциями от безопасников.
Отношение к USB-портам в общественных местах должно быть точно такое же, как к привокзальному туалету: только если финально прижало, других вариантов нет и уже вот-вот случится непоправимое.
Да, все шпионят за всеми, вся планета, и без разницы, чем занят пользователь в миру: работает в пенсионном фонде или в частном банке, преподавателем словесности или в духовной семинарии — все данные полностью автоматизированно будут собраны, переданы и использованы: таковы современные реалии. Ничего личного: это очень большой бизнес, самый большой на свете.
За пять лет количество атак через USB-устройства выросло в три раза, еще в 2019 году в операционных технологиях лишь 19% атак совершалось через такие устройства, в 2022 году — уже 52%. И это только зарегистрированные случаи, без учета обычного потребителя. Процент будет расти постоянно на фоне массового производства и продажи копеечной бурды через маркетплейсы. По итогам 2023 года не менее 37% вредоносов спроектировано и произведено уже прицельно под USB-девайсы — это просто вишенка на торте.
Они выглядят не как разваливающееся недоразумение из дешевого пластика, наоборот, это могут быть отлично сделанные гаджеты, не хуже «яблочных» наушников. Они могут долго работать, чтобы паразитировать на вас продолжительное время, в идеале вообще не оставляя следов. Такую дрянь трудно засечь даже очень крутому профессионалу.
Как выжить в этой мясорубке?
- Не покупайте дешевое. Исповедуйте старый как мир принцип «кроилово ведет к попадалову». «Механическая геймерская клавиатура» с запрещенной на территории так называемого «Союзного государства» цветовой подсветкой за 990 рублей — это точно то же самое, что и флагманский телефон этого года в Pro Max комплектации за 4999 рублей. Покупайте технику только международных, известных много лет производителей и только в крупных сетевых магазинах, которые существуют в легальном поле РФ.
- Используйте публичные USB-розетки только при крайней необходимости. Внимательно осмотрите, чтобы розетка не была вскрыта и выглядела, как будто только что установлена. Провода могут быть тщательно скрыты. Но все же лучше всегда с собой иметь собственный зарядник.
- Никогда не трогайте кем-то «забытые» зарядные устройства. То же самое касается «крутых» зарядников, обещающих полный заряд за две минуты по цене чеснока на развес — халява только в мышеловке. А еще они умеют красиво взрываться рядом с кроватью, пока владелец спит, или без него, скучая в квартире, устраивать пожары.
- Не вставляйте в свою технику ничего чужого: ни в телефон, ни в компьютер, ни в телевизор, ни в холодильник, никуда и никогда. Никаких чужих флешек и токенов, особенно случайно найденных. Последствия могут быть весьма разнообразными: в лучшем случае вам понадобится новый телефон или компьютер, потому что старый превратится в кирпич; в худшем — можно будет ужасно несправедливо, но надолго отправиться в колонию по, например, очень неприятной статье о распространении детской порнографии или в куда как более длительный рехаб — за государственную измену.
 Фото: Depositphotos |
|---|
Если вам интересна эта сфера, интересно, что на флешке, и вы желаете уметь с этим работать — добро пожаловать в индустрию. Базовые курсы для работы с такими вещами бесплатны, публичны, сравнительно просты, и освоить их может вообще каждый. Хотя бы базовый курс цифровой гигиены.
Просто запомните: на ваши данные, на ваше электричество и на ваш трафик в интернете, на ваши деньги и даже на вашу биометрию ведется натуральная охота. И дома, и на работе, и в пути между ними. Эта угроза растет год от года и будет расти и дальше. Пока нет ни одной идеи, с какого края подойти к решению этой проблемы, поэтому правило номер один — «воздушный зазор».
Не слишком ли это сурово? Не слишком. Не нужно думать, что вас это не коснется: исследование университета Мичигана показало, что в рамках эксперимента 98% «потерянных» USB-накопителей подобрали прохожие и 45% из них незамедлительно употребили их по назначению.
 Фото: alibaba.com |
|---|
Юноша, которому отказала девушка, может подбросить ей хохмы ради специальную флешку в духе USB Killer, которые уже существуют в четвертом поколении. Она из даже выключенной техники накапливает заряд, а потом разряжает с конденсатора 220 Вольт обратно в устройство, выжигая все на своем пути, в особо тяжелых случаях — вплоть до центрального процессора. Четвертое поколение даже имеет Bluetooth для удаленной активации. Прогресс!
Статистика специализированных компаний, например Kaspersky или Palo Alto Networks, показывает однозначно оформившийся многолетний тренд к кибератакам, половина из них — через USB-носители. И публичные отчеты из различных стран со всей планеты иных компаний, специализирующихся на безопасности информации, тоже. И промышленные отчеты международных корпораций. И отчеты банальных правоохранительных органов.
Современные проблемы требуют современных решений. В 2024 году появились комплексные векторы атаки на телефон через обычный NFC с оплатой карточкой, привязанной к телефону жертвы, см. «NGate».
Но это уже совсем другая история.
