USB tem uma falha profunda de segurança que você não poderá detectar

Todos nós dependemos do USB para interligar nossas vidas digitais, mas uma nova pesquisa revela que há uma falha de segurança fundamental na própria forma em que o Universal Serial Bus funciona. Isto poderia ser explorado para causar estragos em qualquer computador.

De acordo com a Wired, os pesquisadores de segurança Karsten Nohl e Jakob Lell fizeram engenharia reversa do firmware que controla as funções básicas de comunicação do USB. Eles também criaram um malware chamado BadUSB, que pode “ser instalado em um dispositivo USB para assumir um PC completamente, para alterar de forma invisível os arquivos instalados a partir do pendrive, ou até mesmo para redirecionar o tráfego de internet do usuário”.

>>> Pendrive USB pode ter infectado usina nuclear russa com o devastador Stuxnet

Dentro de dispositivos USB – seja um pendrive, um teclado ou um smartphone – existe um chip permitindo que o dispositivo e o computador ao qual ele está conectado troquem informações. É isso que Nohl e Lell têm como alvo: o malware deles não fica na memória flash, e sim escondido no firmware, sem que possa ser facilmente deletado. Lell explica à Wired:

“Você pode dar [o dispositivo] para sua equipe de TI, eles escaneiam, apagam alguns arquivos, e devolvem para você dizendo que ele está ‘limpo’… [Mas] esses problemas não podem ser corrigidos. Nós estamos explorando uma falha na própria forma em que o USB foi concebido.”

É quase impossível verificar se o firmware de um dispositivo foi alterado; e mesmo que fosse fácil, não há nenhuma versão única que sirva de padrão. Também é importante ressaltar que, se um pendrive USB pode infectar um computador com malware, isso também vale no sentido inverso: ou seja, um PC poderia infectar qualquer dispositivo USB conectado a ele.

Por isso, é bem preocupante que os pesquisadores demonstraram – e vão apresentar na próxima conferência de segurança Black Hat – que a falha pode ser usada em pendrives, mouses, teclados e até mesmo em um smartphone Android. (Em teoria, isso deve funcionar em qualquer dispositivo USB que possa ter seu firmware reprogramado.) Algumas fontes da Wired até especulam que o hack poderia ser usado pela NSA, agência de espionagem americana.

E agora? Bem, não há nenhum código que possa ser usado para resolver o problema. Em vez disso, tanto o USB Implementers Forum e os pesquisadores apontam que a única solução é uma mudança na forma como usamos o USB: não insira seus dispositivos USB em um computador no qual você não confie 100%, e não insira dispositivos USB não confiáveis no seu computador. [Wired]

Foto por Tasha Chawner/Flickr