Il tranello della USB trovata: dall'esca nel parcheggio a BadUSB e agli attacchi di sovratensione
Una chiavetta USB nuda abbandonata in un parcheggio è una delle esche più antiche della sicurezza informatica, e funziona ancora. Nel 2016 un team di Google e della University of Illinois Urbana-Champaign ha misurato esattamente quanto. Questo articolo guarda da dove viene il tranello della USB trovata, cosa ha stabilito davvero quell'esperimento sul campo, cosa sa fare l'hardware-esca moderno e quali regole difensive reggono.
Dai worm d'ufficio alle reti isolate
Il malware che viaggia su supporti rimovibili è anteriore alla consapevolezza della maggior parte delle persone. Il virus Sality fu rilevato per la prima volta nel 2003, e i worm a scorciatoie che si copiano sulle chiavette e aspettano la prossima vittima sono diventati un rumore di fondo permanente. I ricercatori di Kaspersky hanno contato 113,8 milioni di rilevamenti su supporti rimovibili nel solo 2017, guidati soprattutto da famiglie di scorciatoie LNK che si eseguono appena l'utente clicca sul file imitato. Il tranello cambiò categoria nel 2010, quando lo Stuxnet fu scoperto dentro un impianto di arricchimento nucleare senza connessione a internet; le chiavette USB erano tra le vie che usò per superare il distacco. La vulnerabilità LNK di Windows che sfruttava, CVE-2010-2568, è stata corretta a marzo 2015, ma Securelist segnalava che anni dopo figurava ancora tra le minacce principali alla radice delle unità. Gruppi sofisticati come Equation, Flame e Regin usarono lo stesso canale contro reti isolate. È di quell'epoca la scena della chiavetta nel parcheggio divenuta immagine fissa della finzione, ripresa in televisione da serie come Mr. Robot nel 2015.L'esperimento delle chiavette abbandonate
Nel paper Users Really Do Plug in USB Drives They Find, presentato all'IEEE Symposium on Security and Privacy del 2016, Matthew Tischer e colleghi di Google e della University of Illinois Urbana-Champaign hanno sparso 297 chiavette per il campus. Gli autori stimano che, a seconda delle condizioni, ne siano state collegate dal 45 al 98 per cento. E chi le trovava raramente si fermava al collegamento: il blog che accompagna lo studio riferisce che il 48 per cento delle chiavette è stato collegato aprendo almeno un file. La prima è stata collegata in meno di sei minuti. Un quinto dei collegamenti è avvenuto nella prima ora, la metà entro sette. Sono i dettagli a rendere scomodo lo studio. Etichettare le chiavette come esami o attaccare un'etichetta di restituzione non è cambiato nulla, e nemmeno il punto di rilascio: un parcheggio ha funzionato tanto quanto uno spazio interno protetto. Chiesti del perché avessero collegato la chiavetta, il 68 per cento di chi ha risposto ha detto di volerla restituire al proprietario e solo il 18 per cento ha ammesso la curiosità. I ricercatori non hanno trovato differenze significative tra chi collega chiavette e la popolazione generale. I file erano pagine HTML innocue con un'immagine di tracciamento, così ogni collegamento è stato contato senza infettare nessuno.Esche più affilate: BadUSB, chiavette HID e giocattoli a scarica
Dal 2014 è migliorata anche l'esca. Alla Black Hat di quell'anno Karsten Nohl e Jakob Lell di SR Labs hanno dimostrato il BadUSB: codice d'attacco nascosto nel firmware del controller del dispositivo USB, dove né la riformattazione arriva né l'antivirus guarda. L'hardware riprogrammato può fingersi una tastiera e digitare ciò che vuole nell'istante in cui viene inserito. Come ha detto Nohl al WIRED:"Questi problemi non si possono correggere... Stiamo sfruttando il modo stesso in cui USB è progettata."La sua conclusione: la fiducia può venire solo dalla provenienza; i supporti rimovibili si trattano come siringhe che non si condividono mai. I dispositivi programmabili di iniezione HID discesi da questo filone di ricerca oggi si vendono apertamente come strumenti di pentesting, abbassando la barriera per chi vuole una chiavetta che spari battute di tasti all'inserimento. Non ogni chiavetta piantata cerca dati. I dispositivi USB killer prelevano alimentazione dalla porta e scaricano impulsi ad alta tensione nelle linee dati, distruggendo il controller e spesso la scheda dietro. Nel 2019 uno studente del College of Saint Rose di Albany si è dichiarato colpevole di aver distrutto 66 computer del campus con un simile marchingegno; è stato condannato a un anno di prigione e a pagare 58.471 dollari di risarcimento.
Perché la prudenza perde
La lezione più citata dell'esperimento è che le persone razionalizzano. La maggior parte di chi trovava una chiavetta non si descriveva come curioso incosciente, ma come persona disponibile. Le campagne di sensibilizzazione ripetono lo stesso avvertimento da anni - le indicazioni della CISA sui supporti rimovibili dicono di non inserire mai una chiavetta trovata e di consegnarla all'IT o alla sicurezza - eppure i risultati del 2016 e le statistiche sui worm che continuano ad arrivare suggeriscono che gli avvertimenti da soli non vincono il riflesso.Regole che reggono
- Non collegare mai a una macchina a cui tieni un supporto di origine sconosciuta. Consegnare la chiavetta trovata alla sicurezza o all'IT è la risposta giusta, non aprirla per trovare il proprietario.
- Giudica la chiavetta, non la confezione. Lo studio ha mostrato che etichette, mazzo di chiavi allegato e aspetto curato non cambiavano nulla.
- Separa supporti personali e di lavoro, proteggi con password e cifra ciò che porti, e tieni i backup.
- Disattiva l'esecuzione automatica e tieni antivirus e patch aggiornati; i worm a scorciatoia vecchi passano ancora di lì.
- Se un supporto sospetto proprio deve essere esaminato, sia su una macchina dedicata, offline e fuori produzione - mai sul computer di tutti i giorni - e le organizzazioni dovrebbero bloccare per policy le classi di archiviazione sulle porte non essenziali.