BadBIOS, il virus informatico che si propaga nell’aria? Troppo presto per liquidarlo come bufala

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Repubblica ha pubblicato la notizia di un virus informatico che sarebbe in grado di propagarsi da un computer all'altro attraverso l'aria, usando le onde sonore come canale di trasmissione. Viene spontaneo liquidare la storia come una bufala, visto il suo tenore fantascientifico, ma c'è una serie di elementi che mi impediscono di farlo.

Prima di tutto, la fonte originale non è Repubblica, ma Dragos Ruiu, un esperto di sicurezza informatica molto noto nel settore. Questo non garantisce nulla, ma è certamente sufficiente a non liquidare subito come delirio le sue tesi.

In secondo luogo, bisogna notare che Ruiu fa tre asserzioni principali:

– la prima è che ha trovato un malware multipiattaforma (indipendente dal sistema operativo) che agisce a livello di firmware (BIOS/UEFI) e sopravvive a un reflashing del firmware stesso, e questo è un fenomeno già noto sul quale non ci sono particolari dubbi;

– la seconda è che il malware si diffonde tramite chiavette USB, e anche questa non è una novità (Stuxnet ne è un esempio);

– la terza è quella controversa: il malware sarebbe in grado di mantenere l'infezione usando segnali ad alta frequenza trasmessi dagli altoparlanti del computer e ricevuti dai microfoni di altri computer (destinatario e ricevente devono essere già infettati), e questo è l'aspetto sul quale ci sono molti dubbi: finora non è stato confermato da altri ricercatori e Ruiu non ha fornito prove, ma non è considerato impossibile.

Va sottolineato, a scanso di equivoci, che Ruiu non afferma che è possibile infettare un computer pulito semplicemente inviandogli dei segnali sonori: afferma che un computer già infettato da questo malware può comunicare con altri computer altrettanto infettati nelle vicinanze usando segnali acustici e usare questa comunicazione per resistere ai tentativi di disinfezione.

La fattibilità di trasmissioni acustiche in alta frequenza è stata confermata da un test di Errata Security: toni a 20 kHz emessi dall'altoparlante di un netbook sono stati ricevuti dal microfono di un Macbook Air. Mattia Butta ha fatto un test che ribadisce questa possibilità (tweet) usando il microfono delle cuffie dell'iPhone collegato a un Mac Mini e un suono non udibile (sopra i 19 kHz) generato da comuni altoparlanti e Agilent 33220A (tweet).

Oltre al canale audio, è possibile che ne esistano altri: per esempio una software-defined radio che usi le piste dei circuiti stampati come antenne (demo segnalata da Ruiu) e crei una comunicazione fra processori di computer non connessi fra loro via cavo o WiFi o Bluetooth ma fisicamente vicini. Ruiu ha proposto la teoria del canale acustico quando ha notato che scollegando microfoni e altoparlanti dei computer infettati si è interrotto lo scambio di dati. Magari (è solo una mia congettura) la comunicazione usava i circuiti degli altoparlanti come antenne radio e non c'è un canale acustico.

Il problema di fondo è che per ora abbiamo soltanto la parola di Ruiu: anche se ci sta lavorando da circa tre anni, non ha pubblicato dati oggettivi (per esempio un dump dei BIOS alterati o i font modificati che cita qui o una descrizione dettagliata dei suoi esperimenti). Può capitare anche ai migliori di innamorarsi della propria idea. Staremo a vedere: in ogni caso è uno scenario molto interessante.

Se volete saperne di più, consiglio la lettura degli articoli pubblicati da Ars Technica (dal quale sembra essere partita la notizia), SecurityArtWork, RootWyrm (totalmente scettico sull'argomento), Stefano Zanero e dal già citato Errata Security (tutti e cinque in inglese) e segnalo anche la sintesi in italiano su Siamogeek.