USBHarpoon, quello che sembra un cavo USB di ricarica può eseguire comandi arbitrari

Alcuni ricercatori hanno messo a punto un cavo USB capace di compromettere qualunque PC nel giro di alcuni secondi. Battezzato USBHarpoon il cavo USB “malevolo” è stato progettato e realizzato prendendo ispirazione dalle ricerche pubblicate da Karsten Nohl, esperto che ha lavorato non soltanto sul noto BadUSB ma anche sugli attacchi che permettono di intercettare le chiamate sulle reti telefoniche (vedere questi articoli).

Nel caso di USBHarpoon, come spiega Vincent Yiu, il cavo USB viene fatto apparire – “agli occhi” del sistema operativo – come una periferica di input (human interface device, HID). Il comportamento può quindi essere identico a quello di una tastiera collegata al PC o di una scheda di rete capace di modificare i server DNS utilizzati sul sistema per dirottare tutto il traffico.

L’idea non è nuova ma USBHarpoon si comporta, almeno all’apparenza, come un normale cavo di ricarica quando invece può essere configurato per svolgere operazioni potenzialmente pericolose per l’integrità e la riservatezza dei dati.

L’attacco ha successo sulle macchine già sbloccate, una volta che l’utente ha effettuato il login sul sistema con il suo username e la password. Una volta collegato il cavo USBHarpoon questo può iniziare ad avviare comandi dalla finestra Esegui di Windows o aprire una finestra del terminale su Linux e macOS per avviarli da lì.
Le attività espletate sono al momento visibili sullo schermo ma non dovrebbe essere complicato effettuarle anche in background in modo tale da non insospettire gli utenti.

Nohl ha commentato che USBHarpoon mostra in modo lampante come i problemi dell’interfaccia USB non siano stati ancora risolti e ben evidenzia quanto sia complesso, per gli utenti normali, prevenire questi tipi di attacchi.

HID attacks via USB drives have become too suspicious. What about embedding the attack inside a USB cable?

Just a quick test for a few things I'm hoping to make over the next month. pic.twitter.com/3iNjLqXloW

— MG (@_MG_) 1 gennaio 2018