骇客新招术，送有毒的USB随身碟到你家

资安业者Trustwave近日警告，人们经常听到社交工程攻击，手法从网钓攻击、诱导使用者开启恶意的连结或附加档案，但也得留心实体的“邪恶USB”（BadUSB）攻击，这样的例子虽然不多，却是实际存在的。

Trustwave最近发现的一个例子是，一个客户收到了一个伪装成来自Best Buy的包里，内含提供给忠实客户50美元的礼券，并附上一个USB随身碟，表示当中含有可用礼券购买的商品。

然而该USB随身碟却是一个邪恶USB，它其实是个USB键盘，一旦安装后就会自动注入恶意命令，连结远端的C&C服务器，回传装置资讯，从电脑型号、硬件资讯、操作系统资讯，到执行程序等，继之下载其它的命令或恶意程式。

简单地说，一旦USB的控制芯片被重新程式化以执行其它功能，它就可能被骇客用来发动攻击，最终控制受害者电脑。

Trustwave表示，外界早就知道邪恶USB的存在，而且这些USB在坊间就能以低价购得，对于不论是送到家中或办公室的USB装置应该要有所警觉。

在Trustwave提出警告后，旋即收到其它类似的意外通报，指称FIN7骇客集团自2015年就采用此种模式发动攻击，而且锁定了美国的旅馆与零售产业。