認真防疫卻可能被當成USB攻擊目標？收到打著感謝與防疫指引名義附贈的隨身碟要當心，FBI警告BadUSB攻擊再起

如果有人寄包裹到公司，請提高警覺。CNN、Bleeping Computer上周分別報導，美國聯邦調查局（FBI）上周發出警告，駭客組織近日假藉感謝函寄送USB磁碟給美國企業，以散布木馬、後門及勒索等惡意軟體。

報導指出，去年8月起陸續有運輸、保險業及國防工業廠商，接到駭客透過快遞業者UPS或美國郵局寄送內含惡意USB拇指碟的實體包裹。這些包裹宣稱是由美國衛生服務部（US Department of Human Health Services）發出，內有冒充HHS寄發的COVID-19指引文件及「LilyGO」標誌的USB拇指碟。有的包裹則冒充Amazon送上相同的USB拇指碟，並以感謝信函及偽造禮品卡降低用戶戒心。

若用戶將這些USB磁碟插入電腦，就會遭到BadUSB攻擊。BadUSB攻擊之下，USB拇指碟會將自己註冊為鍵盤，並在用戶電腦送入預先設置的鍵擊組合。這些鍵擊組合可執行PowerShell指令，在用戶電腦下載安裝後門程式GRIFFON、木馬程式DICELOADER、Carbanak後門、勒索軟體BlackMatter、REvil或Cobalt Strike、Metasploit等程式。

FBI指出，發動這樁攻擊的是稍早宣布解散的BlackMatter、Darkside行動背後的FIN7，又稱Carbanak 或Navigator Group。美國警方已經觀察到已有駭客藉此取得企業管理員帳密及在內部網路橫向移動。至於這波攻擊的受害企業數量，FBI並未公布。

事實上，這是FIN7重施故技。2018年8月FBI也曾控告FIN7入侵全美企業包括零售、線上遊戲及醫院，以竊取1500多萬客戶信用卡資料及個資，受害企業多達3,600多家，遍布47州及哥倫比亞特區。據信FIN7也是以寄送USB作為攻擊手段。2020年安全廠商Trustwave則發現另一個駭客組織偽裝成Best Buy的包裹，以50美元禮券及BadUSB手法攻擊消費用戶（如上圖所示，圖片來源／Trustwave）。