Ataque BadUSB version maliciosa de cable carga USB
Varios expertos en seguridad han creado una versión maliciosa de un cable de carga USB, que puede comprometer una computadora en pocos segundos.
USBHarpoon, como lo llaman sus creadores, confía en la investigación de BadUSB por parte de Karsten Nohl y su equipo en Security Research Labs. Su trabajo demostró que un atacante puede reprogramar el chip controlador de una unidad USB y hacer que aparezca en la computadora como un dispositivo de interfaz humana (HID).
El tipo de HID puede ser cualquier cosa, desde un dispositivo de entrada como un teclado que emite una sucesión rápida de comandos, hasta una tarjeta de red que modifica la configuración de DNS del sistema para redirigir el tráfico.
Con USBHarpoon, los expertos en seguridad reemplazaron la unidad USB por un cable de carga, algo que es tan omnipresente, pero es menos probable que los usuarios tengan cuidado.
El cable viene con conectores modificados que permiten el paso de los datos y la potencia, por lo que cumplirá la función esperada. Esta característica permite que vaya acompañada de cualquier tipo de dispositivo que funcione a través de USB (ventiladores, dongles distribuidos en conferencias), sin levantar sospechas de que debe enchufar el cable.
Detrás del proyecto se encuentran Olaf Tan y Dennis Goh de RFID Research Group , Vincent Yiu de SYON Security y Kevin Mitnick , que catalizaron toda la colaboración.
Vincent Yiu de SYON Security, que trabaja en el diseño y la militarización del cable, dice que varios compañeros investigadores intentaron construir un proyecto como USBHarpoon, pero "no pudieron cargar el cable por la razón que sea".
"Mi equipo de amigos ha logrado militarizar esta capacidad para hacer que un cable USB completamente funcional también sea un dispositivo HID compatible", agregó en una publicación de blog.
El trío actuó sobre la base de una idea de Kevin Mitnick, quien la vio poner en práctica por un investigador de seguridad que usaba el identificador de Twitter MG . Le dijo a Bleeping Computer que le preguntó a MG si podía construir un cable para que lo usara en un discurso de apertura para demostrar nuevos métodos de ataque, pero no pasó nada.
Mitnick dice que no se dio por vencido con la idea de tener un cable USB malicioso y contactó a Dennis Goh con la propuesta de construir uno. Goh aceptó el desafío y junto con Olaf Tan terminó el trabajo en unos días.
Los dos expertos en hardware lo hicieron como un favor para Mitnick, pero el valor para el sector de la seguridad, especialmente en las pruebas de penetración, es enorme.
El ataque de cable USBHarpoon / BadUSB es exitoso en máquinas desbloqueadas, donde puede ejecutar comandos que descargan y ejecutan una carga útil. En Windows, los comandos se pueden ejecutar directamente desde el prompt Ejecutar; en Mac y Linux podría lanzar una terminal y trabajar desde allí.
Esta actividad es visible en la pantalla, por lo que el atacante tiene que encontrar un método para ocultarla. Yiu dice que el equipo actualmente está explorando métodos para desencadenar el ataque cuando la víctima no está cerca.
Retrasar la acción es una avenida que estudian, pero hay otros canales que consideran para obtener la respuesta deseada. Las señales de Bluetooth y de radio podrían ser parte de la solución.
Protegerse contra ataques que dependen de una conexión USB no es fácil. Una posible respuesta es usar un dispositivo de bloqueo de datos, también conocido como condón USB. Un accesorio electrónico como este bloquea los pines de datos en un cable USB y solo permite el paso de energía.
Pero MG demuestra un punto válido en un video donde muestra que los condones USB también se pueden infectar, y no se puede confiar en ellos a menos que se tenga una forma de auditarlos antes de usarlos.
Aunque la idea detrás de USBHarpoon no es nueva, puede tener la ventaja de haber sido refinada por varios expertos en seguridad. Mitnick dijo que el cable que su equipo construyó era indistinguible de lo que se ve en el estante. Incluso si hay diferencias, es muy probable que la víctima no las note.