Twoje gadżety mogą być zhakowane poprzez ładowarkę z USB‑C

Wiele laptopów wypuszczonych w ostatnich latach używa do ładowania złączy USB-C, co jest wygodnym i szybkim sposobem doładowania baterii notebooka, ale wygląda na to, że ta metoda może zostać wykorzystana przez hakerów. Ekspert udowodnił to na przykładzie MacBooka.

W przeciwieństwie do starych prostokątnych portów USB, nowszy typ – USB-C – może przenosić wystarczająco dużo energii, aby naładować urządzenie. To jest przydatne, przecież nie musisz używać dodatkowego portu (zwłaszcza jeśli laptop takiego nie ma). A podczas gdy port USB nie jest używany do zasilania, można go użyć do czegoś innego, na przykład do podłączenia dysku twardego lub telefonu.

Jednak właśnie ta funkcja złączy typu USB-C we współczesnych ładowarkach zauważona jest przez hakerów jako nowa luka w systemie bezpieczeństwa, którą można wykorzystać.

Jak donosi BBC, ekspert w zakresie bezpieczeństwa znany jako "MG" pokazał, jak ładowarka do laptopa podłączona do portu USB-C (w tym przypadku ładowarka należała do MacBooka) może zostać przerobiona w celu przejęcia kontroli nad komputerem, do którego jest podłączona.

Ten nowy sposób hackingu bardzo niepokoi profesjonalistów. Ładowarki z USB-C są wszechobecne – mamy je we własnym domu, znajdziemy je w biurach, na uczelniach, w kawiarniach. Użytkownicy gubią je, pożyczają i regularnie wymieniają. W takich okolicznościach hakerom bardzo prosto jest podsunąć wyglądającą zwykle ładowarkę, która w rzeczywistości może zepsuć komputer.

MG wypatroszył wnętrze ładowarki i napełnił ją kilkoma małymi komponentami (nie podawał szczegółów z powodów oczywistych). Te elemnty momentalnie włączają się, gdy niczego nie podejrzewająca ofiara łączy ładowarkę z komputerem. Proces jest trudny do wykrycia ze względu na to, że wciąż komputer jest ładowany.

Urządzenie, dodane przez hakera do ładowarki, było w stanie uruchomić fałszywy ekran logowania do witryny internetowej. Gdyby użył tej techniki na prawdę, mógłby wykorzystać ją, do ściągnięcia wszelkich danych, które wprowadzimy do fałszywej strony. "W wersji demonstracyjnej ściągamy tylko nazwę użytkownika i hasło. Jednak w ten sposób do urządzenia można przesłać znacznie gorsze wirusy i złodziejskie oprogramowania, którego nie można będzie wykryć” – mówi MG.

Na razie MG tylko bada tą technikę hackingu, ale już teraz jest pewny, że ten sposób będzie działał jak w przypadku produkcji Apple’a, tak i na innych urządzeniach. Ciekawe jest, że Apple został poproszony o komentarz, ale w żaden sposób nie odpowiedział na prośbę. Identyczna sytuacja miała miejsce w przypadku USB Implementers Forum, czyli organizacji, która jest odpowiedzialna za obsługę tego standardu.

Metoda w zasadzie nie jest nowa. W telefonach komórkowych, gdzie gniazdo do ładowania jest często takie samo, hakerzy już wcześniej przeprowadzili ataki, które nazywają się juice jacking. Wykorzystują one potrzebę naładowania telefonu, w skutek czego bardzo łatwo uzyskują dane osobowe, gdy użytkownik podłącza się do gniazdka w miejscu publicznych (na przykład w centrum handlowym, na lotniskach, w autobusach).

Najprostszy sposób ochrony przed tego rodzaju atakiem jest dość oczywisty: miej oko na swoją ładowarkę. Nie korzystaj z cudzych, a zwłaszcza przypadkowo znalezionych w kawiarni czy gdzie indziej zasilaczy; w przypadku zepsucia, lepiej kupować nową ładowarkę w oficjalnych sklepach. Z technicznego punktu widzenia, według porad MG, można wprowadzić dodatkowe zabezpieczenia, które mogłyby uświadomić użytkownikowi, co jest podłączane.

"Nie jest to dobry pomysł, jeśli podłączasz urządzenie i jest ono automatycznie zaufane. Byłoby fajnie, jeśliby mieć dodatkową weryfikację, którą widzimy, gdy używamy Bluetooth, lub zaporę sieciową, aby przynajmniej za pierwszym razem, gdy zostanie podłączone nowe urządzenie, na ekranie pojawiło się ostrzeżenie."

Jednak, jak dobrze znamy z historii, najsłabszym punktem każdej obrony jest człowiek. Jeden z najsłynniejszych ataków cybernetycznych, o który oskarżono Izrael i USA, zaczął się od podłączania pendrive'a USB do komputera w irańskiej elektrowni. Dlatego wiele znanych firm-gigantów zabroniło swoim pracownikom korzystania pendrive'ów. W przypadku ładowarek może to być dość problematyczne.