ロックされたPCのログイン情報をUSB接続のネットワークアダプターに偽装したデバイスで取得する方法

headless 曰く、

USB接続のネットワークアダプターに偽装したデバイスを用い、ロックされたPCからログイン情報を取得する方法をセキュリティ研究者のRob Fuller氏(mubix)が検証している(Room362の記事、 The Registerの記事、 Softpediaの記事、 Ars Technicaの記事)。

この方法はUSBデバイス上でResponderを実行することでゲートウェイやDHCPサーバー、WPADサーバーなどとして機能させ、PC側から送られてくるログイン情報を保存するというものだ。USBデバイスの中にはドライバーのインストール時にユーザーの操作が必要なものもあるが、USBネットワークアダプターの場合は自動でドライバーがインストールされる。

検証に使用したデバイスはUSB ArmoryとLAN Turtleの2種類。USB ArmoryはUSBフラッシュメモリーサイズのコンピューターで、ネットワークアダプターのほかマスストレージやHIDなどをエミュレートできる。LAN TurtleはUSBネットワークアダプターとして動作するハッキング用デバイスで、Responderのモジュールも標準で組み込まれている。

実験ではログイン後ロックしたWindows 98 SE/2000 SP4/XP SP3/7 SP1/10(Enterprise/Home)のほか、OS X El Capitan/Mavericksでログイン情報の取得に成功したという。ただし、OS Xについてはまぐれで取得できたものか、設定によるものかといった点について確認中とのこと。Linuxについては今後検証を行い、あらためて結果を公表するそうだ。

検証動画ではログイン情報の保存状況がLEDで確認できるようにしたUSB Armoryを用い、バーチャルマシンに新規インストールしたWindows 10から接続後30秒ほどで取得を完了している。環境によって所要時間は異なるが、平均13秒で処理は完了するとのことだ。なお、取得可能なパスワードはNTLMv1またはNTLMv2ハッシュなので、別途クラックする必要がある。