Alcuni ricercatori dell'università di Ben-Gurion del Negev, in Israele, hanno identificato ben 29 tipologie di attacco tramite USB, utilizzabili per compromettere computer e dati degli utenti.
Classificati come segue in quattro diverse categorie, a seconda della modalità di attacco:
A) Riprogrammando il
micro controllore interno del dispositivo USB. Il dispositivo viene
visto dal sistema operativo come una normale periferica USB, ma
esegue le operazioni come un altro tipo di periferica (es.
simulazione di una tastiera);
B) Riprogrammando il
firmware del dispositivo USB per eseguire azioni dannose (come
download di malware, estrazione di dati, ecc.);
C) Non
riprogrammando il firmware del dispositivo USB, ma sfruttando i
difetti relativi al modo in cui i sistemi operativi interagiscono
normalmente con i protocolli / standard USB;
D) Attacchi
elettrici basati su periferiche USB.
A) Attacchi USB
con micro controller riprogrammabili:
1) Rubber Ducky - Una piattaforma di attacco per iniezione USB, rilasciata nel 2010.
Una volta connessa ad un computer, la chiavetta USB Rubber Ducky
viene vista come una normale tastiera che impartisce una sequenza di
tasti pre caricata;
2) Piattaforma di
attacco PHUKD / URFUKED - Simile a Rubber Ducky, consente ad un
utente malintenzionato di selezionare l'ora in cui si impartisce la
sequenza dei tasti;
3) USBdriveby - Fornisce un'installazione rapida nascosta di backdoor e sovrascrive
rapidamente le impostazioni DNS su un host, emulando una tastiera e
un mouse USB;
4) Evilduino - Simile a PHUKD / URFUKED, ma con micro controllori Arduino. Funziona
anche emulando una tastiera / mouse e può inviare sequenze di tasti
/ movimenti del cursore del mouse, in base a uno script pre caricato;
5) Canale USB
involontario - Un trojan hardware USB proof of concept (POC), che
estrapola i dati voluti;
6) TURNIPSCHOOL
(COTTONMOUTH-1) - Un impianto hardware nascosto all'interno di un
cavo USB (viluppato da NSA);
7) Attacco RIT
tramite archiviazione di massa USB - Attacco descritto in un
documento di ricerca. Si basa sulla modifica del contenuto dei file
mentre la periferica di archiviazione di massa USB è collegata al
computer di una vittima;
8) Attacchi su
dongle USB wireless - Una categoria di attacchi esplorata per la prima
volta con il rilascio della piattaforma di attacco KeySweeper di Samy
Kamkar, uno strumento che registra segretamente e decodifica le
battute da molte tastiere wireless RF Microsoft;
9) Default Gateway
Override - Un attacco che utilizza un micro controllore per spoofare
un adattatore Ethernet USB, sovrascrive le impostazioni DHCP e
dirotta il traffico locale.
B)
Riprogrammazione maliziosa con attacchi del firmware delle
periferiche USB:
10) Attacchi HID
basati su smartphone - Descritti per la prima volta in un documento
di ricerca, i ricercatori hanno creato driver di gadget Android
personalizzati, per sovrascrivere il modo in cui Android interagiva
con i dispositivi USB. Il driver dannoso ha interagito con l'API del
gadget USB di Android per simulare dispositivi USB con tastiera e
mouse collegati al telefono;
11) DNS Override di
Firmware USB modificato - I ricercatori hanno modificato il firmware
di un'unità flash USB e lo hanno utilizzato per emulare un
adattatore Ethernet, che ha consentito loro di dirottare il traffico
di rete locale;
12) Emulazione della
tastiera tramite firmware USB modificato - Diversi ricercatori hanno
mostrato come avvelenare il firmware delle unità flash USB,
iniettando codice con emulazione tastiera [vedi punti 1 , 2 , 3];
13) Patch di
partizione nascosta - E' stato dimostrato come una chiavetta USB può
essere riprogrammata per comportarsi come una normale unità, creando
una partizione nascosta che non può essere formattata, consentendo
l'estrazione di dati nascosti;
14) Patch di bypass
per la protezione della password - Una piccola modifica del firmware
di un'unità flash USB, consente agli aggressori di ignorare le
password utilizzate per la protezione delle unità flash USB;
15) Breakout della
macchina virtuale - I ricercatori hanno utilizzato il firmware USB per
uscire dagli ambienti delle macchine virtuali ed interagire con le
macchine fisiche;
16) Boot Sector
Virus - I ricercatori hanno utilizzato un'unità flash USB per
infettare il computer prima dell'avvio [vedi punti 1 , 2];
17) iSeeYou -
Programma POC che riprogramma il firmware di una classe di webcam
iSight interne di Apple, in modo che un utente malintenzionato possa
catturare in modo nascosto, video e foto dalla webcam senza
l’accensione del LED.
C) Attacchi
basati su dispositivi USB non programmati:
18) CVE-2010-2568 - Exploit LNK utilizzato da malware Stuxnet e Fanny;
19) Backdoor USB in
host Air-Gapped - Attacco utilizzato dal malware Fanny, sviluppato da
Equation Group (nome in codice per la NSA). L’attacco utilizza
l'archiviazione USB nascosta per archiviare i comandi preimpostati
che mappano i computer in reti air-gap. Le informazioni sulle reti
vengono salvate nella memoria nascosta dell'unità flash USB.
20) Nascondere dati
su dispositivi di archiviazione di massa USB - Una vasta raccolta di
trucchi per nascondere malware o dati rubati all'interno di un'unità
flash USB;
21) Sfruttamenti
dell’AutoRun - Esecuzione automatica di file predeterminati, che si
trovano nella memoria di un dispositivo USB;
22) Attacchi Cold
Boot - Ovvero l'attacco sulla RAM . Gli aggressori possono
archiviare un dump di memoria su un'unità flash USB ed estrarre i
dati dalla RAM tramite un dispositivo USB;
23) Attacchi basati
su buffer overflow - Diversi attacchi che si basano sullo
sfruttamento del buffer del sistema operativo quando un dispositivo
USB viene inserito in un computer. Ciò accade perché i sistemi
operativi enumerano i dispositivi e le funzioni (eseguono determinate
operazioni predeterminate) quando viene inserito un dispositivo USB
[vedi punti 1 , 2 , 3 , 4];
24) Aggiornamento
driver - Attacco molto complesso che si basa sull'ottenimento di un
Certificato VeriSign Classe 3 e sull'invio di driver, che vengono
automaticamente consegnati e installati sui PC degli utenti quando
viene inserito un determinato dispositivo USB. Questo attacco è
possibile, ma molto difficile da attuare nel mondo reale.
25) Aggiornamento
firmware del dispositivo (DFU) - Gli utenti malintenzionati possono
utilizzare l'aggiornamento firmware del dispositivo (DFU), un
processo legittimo supportato dallo standard USB, per aggiornare il
firmware legittimo locale a una versione dannosa o vulnerabile.
26) USB Thief - Un
dispositivo USB basato su un malware per il furto di dati scoperto da
ESET .
27) Attacchi su
smartphone tramite la porta USB - Gli utenti malintenzionati possono
nascondere e distribuire malware (dannosi) caricando la batteria
tramite connessione USB.
28) Attacco USBee - Il bus dati del connettore USB emette emissioni elettromagnetiche che
possono essere utilizzate per estrarre i dati.
D) Attacchi
elettrici:
29) USB Killer - Danneggiare parti hardware, inserendo un dispositivo USB che crea corto circuiti o che tramite programma, attiva
una sovratensione elettrica sui componenti hardware (questa attività è possibile anche
iniettando codice sul sistema operativo, per esempio tramite
connessione di rete).
Il gruppo di ricerca
dell’univerità di Ben-Gurion ha indicato in dettaglio tutti questi
attacchi in un articolo pubblicato sulla rivista ScienceDirect.
Lo scopo della
ricerca era di informare dei molti modi in cui i dispositivi USB
possono essere abusati per infettare i sistemi operativi, usarli in
modo arbitrario, o rubare segretamente i dati.
Ne consegue che le
periferiche USB andrebbero sempre utilizzate in modo opportuno,
cercando di prevenire gli usi illeciti e malevoli.
Andrea Guzzo
