USB tabanlı sosyal mühendislik saldırılarının kullanıcı çalışması ile analizi ve değerlendirilmesi
Analysis and evalution of USB-based social engineering attacks using user study
Yazar: KEMAL KARAÇUHA
Danışman: PROF. DR. KEMAL BIÇAKCI
İstanbul Teknik Üniversitesi / Bilişim Enstitüsü / Bilişim Uygulamaları Ana Bilim Dalı / Bilgi Güvenliği Mühendisliği ve Kriptografi Bilim Dalı
Derece: Yüksek Lisans, 2024
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control

Özet:
Teknolojinin gün geçtikçe ivmelenen bir hareketle gelişmesi, bilginin siber uzayda depolanması ve saklanmasına olanak sağlamıştır. Siber uzayda yer alan bilginin ve siber varlıklara; bilginin gizliliğinin, bütünlüğünün ve erişilebilirliğinin ihlal edilmesi yoluyla zarar verilmesi amacıyla çok vektörlü saldırı yöntemleri geliştirilmiştir. Her geçen gün farklı bir yöntemle gerçekleştirilen bilgisayar sistemlerine yönelik bu zarar verici faaliyetler en çok insan zaafiyetinden yararlanmaktadır.  Evrensel seri veri yolu (USB), günümüz bilgisayar sistemleri için en yaygın kullanılan bağlantı noktasıdır. Bilgisayara bağlı klavye, mouse gibi çevre birimlerini, depolama ortamlarını ve diğer birçok farklı aygıtı bağlamak için kullanılır. Ancak bu bağlantı noktası yalnızca iyi niyetli çevresel aygıtları bağlamak için değil, aynı zamanda bir USB aygıtının bağlı olduğu sistemlere kötü niyetli yazılımları bulaştırmak ve aygıtları amaç dışı yönetmek için de kullanılır. USB bağlantı noktası kullanılarak yapılan siber saldırıları uzun süredir kurumsal güvenliğe yönelik önemli bir tehdit oluşturmaktadır. Alıcılarının tıklamasını gerektiren e-posta virüslerinin aksine, USB kötü amaçlı yazılımları, yalnızca takıldığında saniyeler içinde bir sisteme girebilir; saldırganlara değerli bilgileri çalmaları ve tespit edilmeden önce ortalığı karıştırmaları için daha fazla zaman verir. Her geçen gün artan siber saldırı yöntemleri incelendiğinde bu saldırıların çeşitliliği ve saldırı vektörleri karmaşıklaşmaktadır. Modern siber saldırılar artık sosyal mühendislikten sinyal enjeksiyonuna kadar birçok farklı ve çeşitli saldırı vektörünü içermektedir. Bu çalışmada, USB tabanlı siber saldırıların işleyişini anlamak ve bu saldırılara karşı etkili bir şekilde savunma stratejileri geliştirmek için izlenmesi gereken adımları inceleyeceğiz. USB güvenliği, organizasyonların siber tehditlere karşı güçlü bir savunma mekanizması oluşturmasında önemli bir rol oynamaktadır. Bu bağlamda, makalemiz, okuyuculara USB tabanlı saldırıların nasıl gerçekleştiğini, hangi tür zararlı yazılım ve tekniklerin kullanıldığını ve en önemlisi, bu saldırılara karşı alınabilecek etkili savunma stratejilerini anlamalarında rehberlik edecektir. Bu etkili saldırı yöntemi, sosyal mühendislik saldırılarının fiziksel tahribat yaratabilecek kadar zararlı olan gelişmiş ve insan zafiyetinin kullanılmasıyla meydana gelen en kritik yöntemlerinden biri olduğu yapılan çalışmada incelenmiştir. Bu saldırı yöntemlerinin uygulanmasını, geçmişte bu yöntemle yapılmış saldırıların incelenmesini, saldırı yöntemlerini ve savunma stratejilerini ele almıştır. Ayrıca yapılan çalışmada, işlerini bilgisayar sistemleri kullanarak yürüten gerçek bir kamu kurumu içerisinde USB tipi saldırı yöntemlerinin etkisinin kullanıcı çalışması ile ölçümlenmesi sağlanmıştır. Siber güvenlik eğitiminin bu tip saldırı yöntemlerine karşı oldukça önemli olduğu izlenmiştir. Umuyoruz ki, bu çalışma, siber güvenlik konusunda farkındalığı artırmak ve bilgi güvenliği profesyonellerine, organizasyonlara ve bireylere bu alandaki mevcut zorluklarla başa çıkma konusunda kılavuzluk etmek adına değerli bir kaynak olacaktır.

Abstract:
The ever-accelerating development of technology has not only revolutionized the way we store and manage information in cyberspace but has also fundamentally transformed the fabric of our daily lives. In this digital age, where information and cyber assets are pervasive in every aspect of our existence, the need for robust cybersecurity measures becomes more imperative than ever before. The multifaceted nature of threats targeting the confidentiality, integrity, and accessibility of information in cyberspace has led to the evolution of sophisticated multi-vector attack methods.

Among the myriad of entry points for such cyber threats, the Universal Serial Bus (USB) has emerged as both a boon and a potential bane for modern computer systems. Serving as the ubiquitous port for connecting peripherals, including keyboards, mice, storage media, and a plethora of other devices, USB's ubiquity has become a double-edged sword. While it facilitates seamless connectivity, it also introduces a host of security challenges, as this port is not only a conduit for benign peripheral connections but can be exploited by malicious actors to infiltrate systems with malware and compromise sensitive information.

USB-based cyber attacks have now positioned themselves at the forefront of breaches that pose a significant digital security threat. Effectively fortifying our defense mechanisms against these evolving threats has become a critical and ongoing process that spans across the entire digital landscape. The initial layers of defense begin with raising awareness, providing comprehensive education, and fostering a culture of constant user vigilance against the ever-adapting techniques employed by cybercriminals in USB-based attacks. Implementing robust security software, establishing automated security policies, and enforcing stringent controls over USB devices are crucial steps in erecting a formidable defense against these dynamic threats. Furthermore, the adaptability to the swiftly evolving threat landscape necessitates the continual review and updating of cybersecurity systems.

As we delve deeper into the complexities of information security risks associated with Universal Serial Bus (USB) storage devices, it is crucial to recognize that these concerns have been a focal point since the widespread adoption of USB technologies in 2003. Particularly within enterprise networks, the insecure design and open standards of USB technologies have made them susceptible to exploitation by attackers who successfully leverage various vulnerabilities in USB protocols, embedded security software, USB drivers, and Windows Autorun features. The threats posed by cyber attacks utilizing USB ports extend beyond individual users, constituting a longstanding and significant menace to corporate security. Unlike traditional email viruses that necessitate user interaction, USB malware can infiltrate systems within seconds of being plugged in, affording attackers a considerable window of time to pilfer valuable information and execute their malicious agendas before detection.

In the context of the ever-expanding array of cyber attack methods, the diversity and complexity of these assaults continue to evolve. Contemporary cyber attacks encompass a myriad of attack vectors, ranging from traditional social engineering tactics to sophisticated signal injection techniques. This article, therefore, seeks not only to scrutinize the potential security risks associated with USB devices but also to explore in-depth and effective defense strategies against these risks. USB-based cyber attacks, which primarily aim to infect computer systems with malware, steal sensitive data, or assume control of targeted systems, have far-reaching consequences across various levels, from individual users to corporate entities.

The overarching goal of this comprehensive exploration is to foster a deeper understanding of how USB-based cyber attacks occur and, more critically, to delineate effective defense mechanisms that can be adopted proactively. As the usage of USB devices continues to proliferate among users of varying technological expertise, the inherent security risks accompanying the advantages offered by these devices become more prominent and, subsequently, more concerning.

This study delves into the intricacies of attack methods and the development of attack vectors via USB, presenting sample scenarios and elucidating defense methods against USB-based cyber attacks. In addition to theoretical examinations, this research incorporates a practical dimension, featuring an experiment conducted within a public institution specializing in informatics. The experiment meticulously evaluates the effectiveness of USB memory sticks as a critical tool in social engineering attacks and examines USB-based social engineering attacks carried out in a real-world scenario. This experiment, coupled with a user study, aims to explore and compare the behavior of individuals who have undergone cybersecurity awareness training with those who have not when confronted with unknown USBs. The anticipated results of this empirical study will not only contribute to the growing body of knowledge on cybersecurity awareness but will also provide insights into how education levels influence cyber security awareness and preparedness.
In addition to the technical aspects of USB-based cyber threats, the social engineering dimension further complicates the landscape. Cybercriminals often exploit human vulnerabilities, capitalizing on unsuspecting individuals to facilitate USB-based attacks. This human factor introduces a critical layer of complexity, making it essential to explore not only the technical defenses against malware but also to understand and address the psychological and behavioral aspects of users. As technology intertwines with human behavior, a holistic defense strategy must encompass not only technical safeguards but also comprehensive user education and awareness programs that empower individuals to recognize and resist social engineering tactics associated with USB attacks. This dual-pronged approach, combining technical resilience with heightened user awareness, is pivotal in fortifying the overall cybersecurity posture against the multifaceted nature of USB-based cyber threats.
In conclusion, a holistic understanding of USB-based cyber threats, coupled with the implementation of robust and adaptive defense strategies, is imperative in safeguarding the increasingly interconnected digital landscape. The intertwining complexities of technology and cybersecurity underscore the need for continuous efforts, collaboration, and a proactive approach to monitor the entire cybersecurity landscape effectively and be prepared against a wide range of evolving threats.