Ogromna dziura w zabezpieczeniach łączy USB. Mamy się czego obawiać?

Wszyscy polegamy na USB. To standardowe łącze pozwala na wymianę danych masie urządzeń, od komputerów po udziwnione gadżety w stylu czajników. Ufamy mu bez zastrzeżeń, tymczasem naukowcy dowiedli, że USB ma sporą dziurę w zabezpieczeniach, którą hakerzy mogą użyć do włamania się na dowolnego peceta.

[Aktualizacja: 1.08]

Zgodnie z raportem serwisu Wired, dwoje badaczy zastosowało tzw. inżynierię odwrotną, żeby stwierdzić, jak dokładnie działa oprogramowanie kontrolujące podstawowe funkcje komunikacyjne USB. Co więcej, napisali złośliwy program, nazwany BadUSB, który „można zainstalować na urządzeniu wykorzystującym USB w celu całkowitego przejęcia kontroli nad komputerem, w niewidoczny sposób podmieniając pliki zainstalowane z karty pamięci, a nawet przekierowując ruch internetowy użytkownika”.

We wszelkich urządzeniach wykorzystujących USB, od zwykłych pendrive’ów po klawiatury do smartfonów, znajduje się chip, pozwalający danemu urządzeniu oraz komputerowi do którego zostało podłączone, przesyłać informacje w obie strony. To właśnie on stał się celem dwojga ekspertów. Oznacza to, że ich malware nie znajduje się w pamięci flash, ale bezkarnie panoszy się w firmowym oprogramowaniu. Jego usunięcie może przyjść do głowy wyłącznie dobrze zaznajomionym z tematem ekspertom. „Możecie dać to swoim ludziom z IT zajmującym się bezpieczeństwem, a oni to przeskanują, usuną parę plików i zwrócą wam mówiąc, że jest czyste…. [Jednak tych] problemów nie da się załatać. Wykorzystujemy dokładnie ten sposób, w jaki USB zostało zaprojektowane” - wyjaśniają autorzy odkrycia.
Sęk w tym, że sprawdzenie, czy firmowe oprogramowanie urządzenia zostało zmodyfikowane, jest praktycznie niemożliwe. A nawet jeśli zostało, nie ma jednej zaufanej wersji, z którą można je skonfrontować. Trzeba przy tym pamiętać, że dane mogą płynąć w obie strony. Pendrive może zarazić komputer, a komputer sprzedać wirusa dowolnemu podpiętemu do siebie urządzeniu.

Dokładne wyniki badań zostaną przedstawione na konferencji Black Hat w Las Vegas. Naukowcy mają zademonstrować, że można w ten sposób hakować pendrive’y, myszki, klawiatury, a nawet smartfony z Androidem. Jedno ze źródeł Wire twierdzi wręcz, że niesławna amerykańska agencja NSA już może wykorzystywać rozwiązanie.

A co mogą zrobić użytkownicy? Tak naprawdę, niewiele. Nie ma jeszcze łatki programistycznej, którą dałoby się przykryć problem. Zatem pozostaje być czujnym. Najlepiej nie podłączać swoich urządzeń z USB do komputerów, którym nie ufamy i nie podpinać nieznanych urządzeń do naszych pecetów ani laptopów.