Il 50 percento dei dispositivi USB nel mondo è suscettibile a BadUSB

Table Of Contents

• Solo metà dei dispositivi USB nel mondo ha il difetto BadUSB, ma nessuno sa quale metà
• Cos’è BadUSB
• Perché non può essere rilevato
• Test
• Il problema
• La soluzione

Solo metà dei dispositivi USB nel mondo ha il difetto BadUSB, ma nessuno sa quale metà

Se hai letto il nostro articolo su BadUSB, sai che un dispositivo USB può essere colpito da questo difetto non riparabile, ma esattamente quali dispositivi USB sono colpiti, non lo sapevamo. Alla conferenza sulla sicurezza PacSec a Tokyo mercoledì, l’hacker Karsten Nohl ha presentato un aggiornamento alla sua ricerca sulla fondamentale insicurezza dei dispositivi USB che ha battezzato BadUSB.

Nohl e i suoi colleghi ricercatori Jakob Lell e Sascha Krissler hanno analizzato ogni chip di controllo USB venduto dai otto maggiori fornitori del settore per vedere se sono colpiti dal difetto BadUSB.

I risultati: Circa metà dei chip era immune all’attacco. Ma prevedere quale chip utilizzi un dispositivo è praticamente impossibile per il consumatore medio. Quindi ora è chiaro che di tutti i dispositivi USB disponibili sul mercato, circa il 50% di essi è colpito da questo difetto non riparabile.

Cos’è BadUSB

Se hai letto l’articolo su BadUSB, lo sapevi già. Ma se non lo hai letto, il malware chiamato BadUSB riprogramma il firmware incorporato per dare ai dispositivi USB nuove, nascoste e potenti capacità. In una demo alla conferenza sulla sicurezza Black Hat a Las Vegas, un’unità USB è stata infettata e ha mostrato la sua capacità di agire come una tastiera che digita furtivamente comandi dannosi nei computer collegati.

Un’altra USB è stata similmente riprogrammata per agire come una scheda di rete che costringe i computer collegati a connettersi a siti dannosi che impersonano Google, Facebook o altre destinazioni fidate. La demo ha mostrato che hack simili potrebbero funzionare contro i telefoni Android quando collegati a computer mirati. Il malware è così vasto che può funzionare su quasi tutti i dispositivi collegati via USB come webcam, tastiere, smartphone, ecc.

Un altro paio di ricercatori che sono riusciti a fare reverse engineering del difetto hanno pubblicato il PoC su Github affinché altri ricercatori di sicurezza e hacker etici possano trovare un modo per riparare il difetto.

Perché non può essere rilevato

Data la scala in cui i dispositivi USB sono prodotti in tutto il mondo, è impraticabile rilevare ogni singolo dispositivo USB colpito da BadUSB.

“Non è che colleghi [una chiavetta] al tuo computer e ti dica che questo è un chip Cypress, e questo è un chip Phison,” dice Nohl, nominando due dei principali produttori di chip USB. “Non puoi davvero controllare se non aprendo il dispositivo e facendo l’analisi tu stesso… La storia più spaventosa è che non possiamo darti un elenco di dispositivi sicuri.”

Test

Nohl ha dichiarato che il suo team di ricerca ha effettuato un test di massa sui chip di controllo USB venduti dai maggiori fornitori del settore: Phison, Alcor, Renesas, ASmedia, Genesys Logic, FTDI, Cypress e Microchip. Hanno controllato le versioni di ciascun chip sia consultando le specifiche pubblicate sia collegando un dispositivo che lo utilizza a un computer e tentando di riscrivere il firmware del chip.

I risultati sono stati molto imprevedibili per Nohl e i suoi associati per fare un rapporto conclusivo. Durante i test, Nohl e il suo team di ricerca hanno scoperto che tutti i controller di archiviazione USB dell’azienda taiwanese Phison erano vulnerabili alla riprogrammazione, mentre i chip prodotti da ASmedia non erano colpiti da BadUSB.

Allo stesso modo, i chip di controllo di un altro importante produttore taiwanese, Genesys, erano molto più complessi. I chip prodotti da Genesys con standard USB 2.0 erano immuni all’attacco, ma quelli nuovi che utilizzano lo standard USB 3.0 erano vulnerabili.

In altre categorie di dispositivi come hub USB, tastiere, webcam e mouse, i risultati hanno prodotto un foglio Excel ancora più disordinato di “vulnerabili”, “sicuri” e “inconcludenti.”

Nohl ha affermato che queste scoperte hanno portato la sua ricerca oltre il suo ambito, poiché Nohl si era concentrato sui dispositivi USB prodotti da Phison, dato che Phison aveva la maggiore quota di mercato.

Puoi leggere l’intero Wiki Stub realizzato da Nohl e i suoi associati per i dispositivi vulnerabili qui.

Il problema

A differenza dei computer, dove il branding è considerato necessario e i produttori di PC etichettano il nome del produttore sulla configurazione, i produttori USB non lo fanno. Generalmente utilizzano il chipset del fornitore con il prezzo di mercato più basso. Questo causa una mescolanza di marchi anche nella stessa categoria. Ad esempio, diversi dispositivi USB Kingston possono utilizzare chip diversi da produttori diversi in qualsiasi momento.

La soluzione

Il risultato di Nohl ha anche reso chiaro una cosa. BadUSB non colpisce solo i dispositivi di marca Phison, ma quasi tutti i marchi di dispositivi disponibili sul mercato.

Nel frattempo, un altro importante produttore di USB, Imation, sta prendendo alcune precauzioni contro BadUSB. D’ora in poi, il produttore di USB di proprietà di Imation, Ironkey, richiede che qualsiasi nuovo aggiornamento al firmware delle sue chiavette USB sia firmato con una firma crittografica inalterabile che previene la riprogrammazione dannosa. Nohl ha affermato che se altri produttori di USB potessero seguire quel modello, la vulnerabilità potrebbe scomparire nel tempo.