USB: Lịch sử, sự phổ biến và rủi ro bảo mật
Universal Serial Bus (USB) ra mắt năm 1996, trở thành chuẩn kết nối phổ biến nhất thế giới nhờ Plug-and-Play, cấp nguồn (5V/9V/12V/20V qua USB-PD), truyền dữ liệu tốc độ cao (12 Mbps → 80 Gbps USB4 v2), và đa dạng thiết bị ngoại vi.
Tại sao USB phổ biến?
| Yếu tố | Chi tiết |
|---|
| Chuẩn hóa kết nối | Thay thế hàng chục cổng cũ: PS/2, Serial, Parallel, Game port, SCSI, FireWire... |
| Plug-and-Play | Tự động nhận diện, cài driver, không cần reboot (hầu hết) |
| Cấp nguồn tích hợp | Sạc điện thoại, cấp nguồn ổ cứng ngoài, đèn LED, quạt, v.v. (USB-PD lên đến 240W) |
| Tốc độ tăng dần | USB 1.1 (12Mbps) → 2.0 (480Mbps) → 3.0/3.1/3.2 (5/10/20Gbps) → USB4 (40/80Gbps) |
| Kích thước nhỏ | Type-A, Type-B, Mini, Micro, Type-C (đảo chiều, siêu nhỏ) |
| Hệ sinh thái khổng lồ | Bàn phím, chuột, ổ cứng, webcam, máy in, scanner, audio, video, docking, eGPU... |
| Chi phí thấp | Controller, hub, cáp, thiết bị cực rẻ do quy mô lớn |
⚠️ Rủi ro an ninh mạng từ USB
1. BadUSB / Firmware Attack (Nguy hiểm nhất)
- Nguyên lý: Reprogram firmware controller USB (Phison, ASMedia...) → Thiết bị giả mạo thành HID (Human Interface Device) như bàn phím/chuột
- Hành động: Tự động gõ lệnh (Ducky Script), mở terminal, tải malware, reverse shell, đổi DNS, cài rootkit
- Đặc điểm: AV/EDR không phát hiện (đây là hành vi "bàn phím" hợp pháp), bypass UAC, hoạt động ngay từ BIOS/UEFI (pre-boot)
- Công cụ: USB Rubber Ducky (Hak5), Malduino, BadUSB firmware, Cactus WHID
- Bản chất: Hardware attack - không phải file malware trên storage
2. Malware trên USB Storage (AutoRun/Shortcut/LNK)
- AutoRun.inf (Windows XP/7): Tự thực thi khi cắm USB - đã bị disable mặc định từ Windows 7 SP1+
- Shortcut/LNK exploit: File lNK trỏ đến malware, ẩn file thật
- Malware nổi tiếng: Stuxnet (lan qua USB), Conficker, Flame, Equation Group, Raspberry Robin (2021-), SOGU/USBCulprit (APT28)
- Phương thức: Social engineering (gieo USB bãi xe, thư viện), Supply chain compromise
3. Data Exfiltration / Leakage (Rò rỉ dữ liệu)
- Nhân viên copy dữ liệu nhạy cảm ra USB cá nhân
- Mất USB chứa dữ liệu không mã hóa (PII, IP, tài chính)
- GDPR/PDPA: Vi phạm bảo vệ dữ liệu cá nhân
4. HID Attack (Human Interface Device) - Mở rộng BadUSB
- Không chỉ USB flash: Bàn phím, chuột, sạc điện thoại, quạt USB, đèn LED, webcam, máy in 3D, badge reader đều có thể nhúng BadUSB firmware
- Kết nối qua USB-C/Thunderbolt: DMA attack (Thunderclap), PCIe tunneling
5. USB Killer (Phá hủy phần cứng)
- Thiết bị nạp điện áp cao (200V+) vào data line khi cắm → cháy port USB, chipset, mainboard
- Dùng cho sabotage,_destroy evidence
🛡️ Biện pháp bảo vệ (Mitigation)
Tổ chức (Enterprise)
- USB Port Control / Device Control: Block/Allow theo VID/PID/Serial Number (Microsoft Defender for Endpoint, CrowdStrike, Symantec DLP, Forcepoint, Ivanti)
- Chỉ cho phép USB đã đăng ký (Authorized): Mã hóa BitLocker/Veracrypt bắt buộc trên USB corp
- Disable AutoRun/AutoPlay qua GPO:
Computer Config → Admin Templates → Windows Components → AutoPlay Policies → Turn off Autoplay
- Endpoint Detection & Response (EDR): Giám sát hành vi HID bất thường (gõ phím quá nhanh, PowerShell từ HID)
- USB Data Blocker / "USB Condom": Chỉ cho phép cấp nguồn (VBUS/GND), cắt D+/D- (data lines) - cho sạc tại chỗ công cộng
- Hardware USB Firewall: USG (USB Hardware Firewall), Maltronics USB Firewall - kiểm tra/filter traffic USB
- BIOS/UEFI Password + Disable USB Boot + Secure Boot → Ngăn boot malware từ USB
- Security Awareness: "Đừng cắm USB lạ", "Không dùng USB cá nhân cho máy công ty", "Báo cáo USB tìm được"
Cá nhân
- Không cắm USB tìm được / tặng tặng / từ nguồn không tin cậy
- Dùng USB riêng, mã hóa (BitLocker To Go, Veracrypt, LUKS)
- Quét USB bằng AV trước khi mở file (Click chuột phải → Scan)
- Cập nhật Windows/macOS/Linux thường xuyên (vá lỗ hổng LNK, PrintNightmare...)
- Sạc điện thoại tại chỗ công cộng: Dùng USB Data Blocker hoặc cáp sạc chỉ có 2 dây nguồn
📊 Thống kê đe dọa USB (Honeywell Industrial USB Threat Report 2023)
- Tăng 2x số lượng tấn công USB nhằm vào hệ thống OT (Operational Technology) trong 12 tháng
- 52% malware trên USB được thiết kế để lan truyền qua mạng nội bộ (wormable)
- 16% malware USB có khả năng phá hủy vật lý (USB Killer) hoặc firmware attack
- Top malware: Raspberry Robin, SOGU, ANDROMEDA, CONFICKER, RAMNIT
Kết luận
USB phổ biến nhờ tiện lợi, chuẩn hóa, cấp nguồn, tốc độ cao, giá rẻ. Nhưng chính sự tiện lợi đó tạo ra bề mặt tấn công lớn: BadUSB (firmware/HID), Malware storage, Data leakage, Hardware destruction. Không thể cấm hoàn toàn USB (cần cho bàn phím, chuột, thiết bị hợp pháp). Giải pháp: Device Control (Allowlist VID/PID/Serial), EDR theo dõi hành vi HID, Mã hóa USB bắt buộc, Security Awareness, USB Data Blocker cho sạc công cộng. An ninh USB là một phần không thể thiếu của Endpoint Security.
