Hvad er juice jacking?

Juice jacking-angreb kan føre til tyveri af dine personlige oplysninger og til malware-infektioner. Dette blogindlæg forklarer, hvad juice jacking er, og hvordan du undgår, at det sker for dig.

Har du nogensinde været ude og gå med din telefon og desperat har haft behov for en opladning, da du har glemt opladeren derhjemme? Sandsynligvis. Vi har alle været der. Og faldt du over en offentlig ladestation og sluttede din telefon til en af dens USB-porte? Måske. Mange af os har. Men vidste du, at du kunne være blevet offer for et juice jacking-angreb, da du gjorde det? Sikkert ikke.

Vi har en tendens til at forbinde opladning med elektricitet frem for data. Men når du tilslutter din telefon til en USB-port, kan den teknisk set overføre både strøm og data. Og hvis den kan overføre data, kan det gøre ting som at eksfiltrere dine personlige oplysninger og nedhente kompromitterede downloads med malware til din enhed.

Dette blogindlæg forklarer, hvad juice jacking er, hvordan det virker, og hvad du kan gøre for at undgå det.

Begyndelsen på juice jacking

Brian Krebs opfandt udtrykket ”juice jacking” i 2011, efter at han formåede at demonstrere praktisk anvendelse af et angreb på DEFCON. Når brugere sluttede deres telefoner til en gratis (og kompromitteret) ladestation ved en offentlig kiosk, blev der vist en meddelelse på kioskens skærm:

“Du skal ikke stole på offentlige kiosker. Oplysninger kan hentes eller downloades uden dit samtykke. Heldigvis for dig har denne station taget den etiske vej, og dine data er sikre. Nyd den gratis opladning!"

Og det budskab illustrerer kernen af juice jacking. Gennem juice jacking kan en aktør injicere ondsindet kode direkte ind i ondsindede USB opladere (eller kablet tilsluttet til USB-porten), som overføres til mobiltelefonen. Det sker typisk på offentlige ladestandere, du finder i blandt andet lufthavne, indkøbscentre og kaffebarer.

Når din telefon er tilsluttet og oplades, kan hackeren downloade dine filer og oplysninger eller overvåge dine tastetryk på enheden. De kan også inficere din telefon ved at uploade en virus eller malware til den, hvilket fører til alle mulige dårlige situationer.

Hvordan fungerer juice jacking?

Når du tilslutter din telefon til din computer via USB, bliver den typisk monteret som et eksternt drev, og du kan tilgå og kopiere filer til og fra din telefon. Det skyldes, som nævnt ovenfor, at din typiske USB-port ikke blot er en stikkontakt, men også en datakanal.

En typisk USB-port består af fem ”stifter”, hvoraf kun den ene bruges til opladning. To andre bruges til dataoverførsel, og de resterende to bruges som henholdsvis en tilsluttet enheds tilstedeværelsesindikator og jorden.

Normalt deaktiverer telefonens styresystem dataoverførselsmulighederne, så snart telefonen er tilsluttet. Du har muligvis set en prompt på din telefon, der beder dig om at "stole" på den computer, du er forbundet til. Tillid til værtscomputeren muliggør dataoverførsler. Hvis du vælger ikke at stole på værtsmaskinen eller ignorerer prompten, vil dataoverførsler ikke være mulige – medmindre du tilslutter din telefon til en inficeret offentlig ladestation.

Inficerede USB-porte, som kan kaldes en "ondsindet oplader", kan lydløst aktivere dataoverførselstilstande på din telefon, når den er tilsluttet. Du vil ikke blive bedt om det, og du vil ikke have nogen indikation af, at dette sker. Når du har taget stikket ud af din telefon, kan du have fået stjålet dine personlige oplysninger, og din telefon kan meget vel være inficeret med en virus eller malware.

Typer af juice jacking-angreb

Der er forskellige typer af juice jacking-angreb.

Datatyveri

Vi berørte denne form for udbytte ovenfor. Et af de fælles mål med juice jacking-angreb er at stjæle intetanende brugeres personlige oplysninger. Selve tyveriet af data vil typisk være fuldautomatisk og vil ske meget hurtigt. Og i betragtning af hvor intime vi er med vores telefoner i dag, kan dette føre til kompromitterede kreditkort, bankkonti, e-mail, sundhedsjournaler osv.

Malware/virusinfektion

Når først hackeren genopretter dataoverførselskapaciteter, kan det flyde begge veje. Det betyder, at de vil være i stand til at uploade malware eller en virus til din telefon. Når først telefonen er inficeret, vil din telefon være modtagelig over for alle de skader, der er forbundet med malware/virusinfektioner: tab af data, tab af funktionalitet, tilfældige netværksforbindelser, langsom ydeevne, installation af ondsindede vira mm.

Angreb på flere enheder

Et juice jacking-angreb med flere enheder er stort set det samme som malware-/virusinfektionsangrebet, idet hackeren inficerer din enhed med malware. Forskellen er blot, at den malware, der blev indlæst på din telefon, er designet til at inficere de andre USB-opladningsporte på ladestationen. Det skalerer angrebet op og gør det muligt for hackeren at kompromittere flere enheder samtidigt, hvilket øger deres udbytte.

Deaktiverende angreb

I et deaktiverende angreb er alle telefoner, ja... deaktiveret. Når først en mobil er forbundet til den inficerede opladningsport, vil hackeren indlæse malware på telefonen, hvilket effektivt deaktiverer den for den legitime bruger, mens hackeren selv bevarer fuld kontrol over enheden. De samme skader som ovenfor følger efter et deaktiverende juice jacking-angreb med den ekstra bonus, at det potentielt kan bruges som en del af et DDoS-angreb.

Hvor er du mest udsat for juice jacking-angreb?

Overalt hvor der er en offentlig USB-ladestation, er der risiko for at blive offer for et juice jack-angreb. Men de offentlige steder, hvor disse angreb er de mest udbredte, er lufthavne. Og det er der et par grunde til.

For det første, for at maksimere afkastet af deres investering, har hackere brug for en masse potentielle mål. Lufthavne er store transitområder, og så passer de perfekt til den slags angreb. Lufthavnen er også et af de steder, hvor mange vil føle, at det er afgørende at have deres mobiltelefon godt opladet, hvilket maksimerer chancerne for, at de ville tilslutte deres enhed til ondsindede opladere.

Læg dertil det faktum, at lufthavne ofte er stressende og tidspressede miljøer, som har en tendens til at fremme hurtige beslutninger – såsom at ignorere gode råd og tilslutte din telefon til en offentlig ladestand. 

Når det så er sagt, er alle offentlige ladestandere en sikkerhedsrisiko.

Hvilke enheder er sårbare over for juice jacking-angreb?

De fleste juice jacking-angreb ender med at ske på mobiltelefoner. Men det betyder ikke, at mobiltelefoner er mere sårbare over for juice jacking-angreb end andre enheder. Det er simpelthen fordi, de er den mest brugte mobile enhed og dermed den enhed, der med størst sandsynlighed har brug for en opladning på farten. 

Men enhver enhed, der oplades via USB, er sårbar. Det betyder mobiltelefoner og tablets, men også smartwatches, fitnessarmbånd og endda bærbare computere (hvis de understøtter USB-opladning – og det gør mange).

Sådan kan du indgå juice jacking

Undgå offentlige ladestationer

Den første og mest idiotsikre måde at undgå juice jacking-angreb på er simpelthen ikke at bruge offentlige opladere. Hvis din telefon løber tør for strøm, skal du bide i det sure æble og forblive telefonløs, indtil du kan oplade den sikkert. Det kan være irriterende, men du er garanteret succes med denne metode!

Aktivér og brug din enheds softwaresikkerhedsforanstaltninger

Mobile enheder kommer med nogle tekniske beskyttelser mod juice jacking og andre sikkerhedstrusler. Hvis du skal bruge en offentlig ladestation, så brug telefonens sikkerhedsfunktioner:

• Deaktivér din enheds mulighed for automatisk at overføre data, når et opladningskabel er tilsluttet. Dette er standarden på en iOS-enhed og en del af Apples eksisterende sikkerhedsmekanismer. Android-brugere bør deaktivere denne mulighed i appen ”Indstillinger”.

• Lås din enhed, når den er tilsluttet ladestationen. Det forhindrer den i at kunne synkronisere eller overføre telefonens data.

• Hvis din enhed viser en prompt, der beder dig om at "stole på denne computer", betyder det, at du har tilsluttet en anden enhed, ikke blot en stikkontakt. Afvis tilladelsen, da tillid til computeren vil muliggøre dataoverførsler til og fra din enhed. Dette sidste punkt er måske ikke idiotsikkert, men det er stadig bedre end aktivt at tillade dataoverførsler.

• Sluk telefonen, før du oplader den. Mange mobiltelefoner tænder dog automatisk, når de er tilsluttet strøm. Hvis din mobiltelefon ikke tænder automatisk, når den er tilsluttet strøm, er dette en effektiv beskyttelse.

Brug en stikkontakt, et USB-batteri eller et backup-batteri

I stedet for ikke at have nogen plan B og være nødsaget til at bruge en ladestation, skal du slippe din indre MacGyver løs og have en backup.

• Bær en ekstra oplader og kabel med dig, og find en stikkontakt til at oplade din enhed, hvis det er nødvendigt.

• Bær et USB-batteri med dig. Disse er billige, let tilgængelige, og mange af dem kan genoplade din enhed flere gange.

• Medbring et backup-batteri. Hvis din enhed har et aftageligt batteri, kan du blot skifte det ud med et fuldt opladet, når det er nødvendigt.

Alle de ovennævnte muligheder er bedre end at bruge offentlige ladestationer og vil forhindre dig i at blive offer for et juice-jack-angreb.

Brug en USB-gennemgangsenhed

USB passthrough-enheder er små enheder, der ligner et USB-flashdrev. Du indsætter dit USB-kabel i passthrough-enheden, og det forhindrer data i at blive transmitteret over det kabel. Det gør den ved at deaktivere datastifterne i USB-kablet.

USB-gennemstrømningsenheder er en fantastisk måde at beskytte dig selv mod angreb på. De er billige, fungerer godt og er let tilgængelige i elektronikbutikker (primært online).

Alternativt kan du bruge et USB-opladningskabel, der kun giver mulighed for opladning, hvilket spærrer for potentielle dataoverførsler ved enten at deaktivere eller ikke inkludere dataoverførselsstifterne i USB-stikket. Disse kabler yder den samme beskyttelse som USB-passthrough-enheder.

Afsluttende tanker

Selvom juice jacking ikke er en særlig udbredt trussel i dag, kan antallet af forekomster kun vokse og normalisere den meget reelle sikkerhedsrisiko, efterhånden som vores smartphone-afhængighedskultur udvikler sig. Forhåbentlig har dette blogindlæg hjulpet dig med bedre at forstå og nedsætte risikoen for juice jacking og, med lidt held, undgå det helt.