BadUSB: davvero i dispositivi USB modificati sono un’“arma informatica senza precedenti”?

Credit: Tasha Chawner

C'è un difetto di sicurezza fondamentale in ogni dispositivo USB: il suo controller, ossia il piccolo chip che gestisce lo scambio di dati con il computer al quale è collegato, è riprogrammabile. Una volta riprogrammato, può iniettare nel computer istruzioni ostili di qualunque tipo in una maniera sostanzialmente invisibile ai normali antivirus, che non controllano il firmware, ossia il software essenziale che viene eseguito da questi chip.

In pratica, qualunque chiavetta, disco rigido, stampante, tastiera, mouse che usi lo standard USB può diventare il portatore di un'infezione informatica. A sua volta, un computer infettato può contaminare un dispositivo USB. Al momento non c'è nessun rimedio pratico, perché il difetto nasce da una caratteristica intenzionale dello standard. Dato che il firmware dei dispositivi USB non è firmato (cioè non ha nessun sistema di garanzia d'integrità), non c'è modo di sapere se è stato alterato. Brutta storia: c'è chi l'ha definita “un'arma informatica senza precedenti”. Si sospetta che l'NSA statunitense sfrutti già questa tecnica con un dispositivo chiamato Cottonmouth.

Il problema è stato segnalato a luglio scorso dai ricercatori di sicurezza Karsten Nohl e Jakob Lell, che hanno creato un malware dimostrativo, denominato BadUSB, che s'installa su un dispositivo USB e da lì è capace di prendere il controllo completo di un PC, alterare in modo invisibile i file presenti sul dispositivo USB, simulare di essere una tastiera e digitare comandi o deviare il traffico Internet della vittima.

Adesso due altri ricercatori, Adam Caudill e Brandon Wilson, hanno pubblicato un software per effettuare questi attacchi, con l'intento di spronare i costruttori di dispositivi USB a trovare una soluzione, ma con il risultato collaterale inevitabile di aver aperto il vaso di Pandora.

Per evitare questo tipo di attacco ci sono poche strade percorribili. La prima, drastica, è evitare del tutto l'uso di dispositivi USB e sigillare le porte USB dei computer (se gli ambienti di polizia nei quali c'è da tempo il divieto di collegare dispositivi USB vi sembravano eccessivamente paranoici, ora sapete che avevano visto giusto). Quasi impraticabile.

La seconda è evitare l'uso promiscuo di dispositivi USB. Significa che una chiavetta USB non può più essere usata come comodo strumento di scambio di grandi file: se entra in contatto con un computer non sicuro, può infettarsi e diffondere l'infezione. Lo stesso vale per tastiere, stampanti e altre periferiche. Non solo: bisogna acquistare dispositivi di provenienza certa, perché in mancanza di un buon controllo qualità (o in presenza di un fabbricante o di un governo ostile) non c'è modo di sapere se i dispositivi vengono preinfettati direttamente durante la fabbricazione.

Caudill e Wilson hanno sviluppato un software libero che ostacola la modifica del firmware e quindi i tentativi d'infezione, ma funziona soltanto con i controller USB 3.0 di una specifica marca (Phison). Anche così, un aggressore sufficientemente motivato può aprire il dispositivo USB e riprogrammarlo mettendo in corto dei pin, ma è un'operazione molto più complessa di un semplice inserimento e può essere ostacolata anch'essa iniettando colla epossidica dentro il dispositivo USB. L'aggressore deve avercela davvero tanto con voi, insomma.

A lungo termine, la soluzione sarà probabilmente l'introduzione del firmware firmato (code signing) che rivelerà eventuali alterazioni, ma ci vorranno anni per togliere dalla circolazione i dispositivi USB attuali. Nel frattempo conviene ridurre l'uso promiscuo: evitare di inserire un dispositivo USB in un computer non fidato e di inserire nei propri computer un dispositivo non fidato, e sostituire per esempio le chiavette USB con il trasferimento di file via Wi-Fi o Bluetooth o su supporti come CD e DVD.


Fonti aggiuntive: Wired, Siamo Geek, ExtremeTech.