Investigadores descubren un fallo de seguridad que afecta a todos los USB hasta la fecha, y los hace vulnerables a posibles ataques, algo que han demostrado creando un malware de nombre BadUSB.
Los conectores USB son parte de nuestro día a día en muchas formas. Desde la manera en la que conectamos los periféricos de nuestro ordenador (teclado, ratón, impresora, entre otros), el conector de muchos móviles o tablets y, por supuesto, a través de las tan populares memorias USB, también conocidas como lápices USB o simplemente como «Pendrives«.
Por ello, es bastante alarmante el hecho de que dos investigadores hayan descubierto un grave fallo de seguridad que afecta a todos los USB, desde el de un lápiz USB, hasta al conector de uno de los mencionados periféricos, debido a que el fallo se ubica en el firmware del USB, no en el sistema ni en los archivos que conlleva.
Los investigadores de la firma de seguridad SR Labs, Karsten Nohl y Jakob Lell, han hecho el anuncio a Wired en un reportaje, y también han presentado su descubrimiento en la conferencia de seguridad Black Hat. Más allá de simplemente anunciar la existencia de esta vulnerabilidad, la han demostrado. Para ello, han creado un malware que han denominado «BadUSB» que puede tomar control sobre el ordenador infectado y, si el atacante lo desea, eliminar archivos o sencillamente moverlos, además de tomar control de varios tipos de funciones o incluso del dispositivo.
La principal característica de este fallo de seguridad es que afecta de forma bidireccional, lo que quiere decir que puede ser pasado de una memoria USB a un ordenador, o del ordenador a la memoria o incluso a un móvil, como los dispositivos Android, que se conectan a los computadores vía un puerto USB.
El fallo en los USB aún no ha sido solucionado
Por supuesto, el fallo de seguridad descubierto por Nohl y Lell no ha sido solucionado, ni se prevé que pronto lo sea. Esto se debe a que se ubica en el firmware de USB, por ello pasa desapercibido ante los antivirus. Los investigadores aseguran que, en pocas palabras, podemos llevar una memoria USB a un experto en informática y este la inspeccionará con sus antivirus, examinará los archivos o incluso la formateará, y aún así, no podría identificar un malware que se aproveche del fallo de seguridad, como BadUSB. La única forma de descubrir el fallo es como ellos lo han hecho, aplicando ingeniería inversa.
Por lo que lamentablemente, por ahora no hay mucho que hacer ante este fallo de seguridad, más que las típicas recomendaciones de medidas de seguridad para prevenir ser infectados, tales como no conectar una memoria USB a ordenadores desconocidos, ni dejar que un lápiz USB desconocido se conecte a tu ordenador. De una forma bastante drástica, los investigadores aseguran: «si conectas un lápiz USB a un ordenador que no sea de tu confianza, puedes considerarlo infectado y botarlo a la basura, así suene radical».
Solo podemos estar seguros de que luego del hallazgo, tanto los fabricantes de USB como la organización USB Implementers Forum, deben estar buscando una posible solución a una vulnerabilidad tan grave como esta.
Imágenes vía: Martin Kenny / Paul Carmody.
