Baiting (приманивание).

Baiting эксплуатирует любопытство или жадность, предлагая что-то заманчивое — бесплатную загрузку, пиратский фильм или подброшенную USB-флешку с надписью «зарплата», — которое при использовании скрытно устанавливает вредоносное ПО или похищает учётные данные. Приманка может быть физической (USB-носители на парковке) или цифровой (поддельные кряки, вредоносная реклама, заражённые торренты). После запуска полезная нагрузка способна установить бэкдор, эксфильтровать данные или закрепиться в корпоративной сети.

Физический вариант далеко не теоретический. В контролируемом исследовании 2016 года Tischer и соавторы разбросали 297 USB-накопителей по кампусу Университета Иллинойса; около 48 % были подобраны, вставлены и в них открыли файл — первый менее чем за шесть минут, — причём большинство действовало из добрых побуждений найти владельца. В январе 2022 года бюллетень FBI FLASH предупредил, что финансово мотивированная группа FIN7 рассылала по почте устройства «BadUSB» (LilyGO) американским компаниям оборонного, транспортного и страхового секторов, выдавая себя за Amazon и министерство HHS; устройства эмулировали клавиатуру (атака HID), запуская PowerShell и Cobalt Strike, что завершалось программами-вымогателями BlackMatter и REvil. Техника восходит к BadUSB (Nohl и Lell, Black Hat 2014), показавшей, что можно перепрошить саму прошивку USB, не оставляя вредоносного файла на диске.

flowchart TD
  A[Злоумышленник готовит приманку] --> B{Вектор доставки}
  B -->|Физический| C[Подброшенная или присланная флешка]
  B -->|Цифровой| D[Поддельный кряк, торрент, malvertising]
  C --> E[Любопытная жертва вставляет / открывает файл]
  D --> E
  E --> F[Полезная нагрузка запускается:<br/>нажатия HID или автозапуск]
  F --> G[Бэкдор, кража учётных данных,<br/>горизонтальное перемещение]
  G --> H[Вымогатель / эксфильтрация данных]

Меры защиты: отключение автозапуска USB, блокировка или ограничение HID-устройств политикой endpoint, allow-листы приложений, EDR, блокирующий неизвестные исполняемые файлы, обучение пользователей обращению с найденными или незапрошенными носителями и сегментация сети, ограничивающая горизонтальное перемещение после компрометации одного хоста.