Οι USB συσκευές μπορούν να φέρουν ιούς ακόμα και αν είναι απολύτως άδειες

[panther_512]

Οι Karsten Nohl και Jakob Lell, ειδικοί στον τομέα της ασφάλειας, παρουσίασαν στην εκδήλωση Black Hat Hackers στο Las Vegas, ένα σημαντικό κενό ασφαλείας στις συσκευές που έχουν σύνδεση USB: Μπορούν να μολύνουν έναν υπολογιστή ακόμα και αν είναι απολύτως άδειες ή έχουν φορμαριστεί.Πιό συγκεκριμένα, οι συσκευές που συνδέονται με USB διαθέτουν ένα τσίπ, το οποίο αναφέρει στον υπολογιστή που συνδέονται τί ακριβώς συσκευή είναι (στίκ, δίσκος, smartphone κλπ). Παραποιώντας τη λειτουργία αυτού του τσίπ, η συσκευή μπορεί να χρησιμοποιηθεί για να χακάρει τον υπολογιστή ακόμα και αν είναι φαινομενικά απολύτως άδεια.

 

Το κενό αυτό θεωρείται από τους ειδικούς τόσο σοβαρό, ώστε να υποστηρίζουν ότι από τώρα και στο εξής κανένας δεν πρέπει να έχει εμπιστοσύνη σε συσκευές USB, αλλά ούτε καί στους υπολογιστές στους οποίους έχουν συνδεθεί. Oι ερευνητές αναφέρουν πώς δεν υπάρχει πρακτικός τρόπος για να αντιμετωπιστεί το συγκεκριμένο πρόβλημα.

 

Στην παρουσίασή τους, έδειξαν δύο διαφορετικά παραδείγματα. Στο πρώτο, ένας κλασσικός USB δίσκος συνδέθηκε σε έναν υπολογιστή. Ο δίσκος όμως ήταν προγραμματισμένος να ξεγελάει τον υπολογιστή και να δείχνει ότι είναι πληκτρολόγιο. Αμέσως μετά, το "πληκτρολόγιο" ξεκίνησε να γράφει εντολές στον υπολογιστή και να εκτελεί το κατέβασμα κακόβουλων λογισμικών από το ίντερνετ.

 

Στη δεύτερη επίδειξη του κενού ασφαλείας, ένα smartphone ενώθηκε με τον υπολογιστή για να φορτίσει. Το κινητό ξεγέλασε τον υπολογιστή οτι είναι κάρτα δικτύου και μπορούσε να συλλέξει τα δεδομένα περιήγησης του χρήστη του υπολογιστή.

 

Ο Mike McLaughlin, ειδικός σε θέματα ασφαλείας στην εταιρία First Base Technologies δήλωσε ότι το κενό αυτό πρέπει να ληφθεί πολύ σοβαρά υπόψην, προτείνοντας στις επιχειρήσεις να έχουν συγκεκριμένη πολιτική για τη χρήση συσκευών και αποθηκευτικών μέσων USB ή ακόμα και να σταματήσουν τη χρήση τους.

 

Το USB Working Party, που είναι υπεύθυνο για το USB standard απέφυγε να σχολιάσει για τη σοβαρότητα αυτού του κενού ασφαλείας. Αναφέρθηκε γενικά ότι οι προδιαγραφές του USB υποστηρίζουν δυνατότητες αυξημένης ασφάλειας, οι οποίες δυνατότητες είναι στην ευχέρεια του κατασκευαστή για το αν θα τiς ενσωματώσει στα προϊόντα του ή όχι.

 

Οι ειδικοί που ανακάλυψαν το κενό ασφαλείας καταλήγουν ότι ο τρόπος που αντιμετωπίζουμε τις USB συσκευές θα πρέπει να αλλάξει.

 

Site: BBC

[esertas]

Ξαναγυρνάμε στα CD λοιπόν!

Άραγε τι εξοπλισμός χρειάζεται για να προγραμματίσεις αυτό το τσιπάκι;

[vagos80gr]

Παντού υπάρχουν κενά ασφαλείας.

Γι' αυτό και οι ρωσικές μυστικές υπηρεσίες (και μερικές ακόμα) το γύρισαν στις γραφομηχανές!!!

[badweed]

δηλαδη θα βαλει καποιος το στικακι στην usb θυρα , θα του αναφερει οτι βρεθηκε νεα συσκευη και ειναι ενα πληκτρολογιο  για το οποιο εχει και drivers , και  ο χρηστης , θα το θεωρησει φυσιολογικο . ..

 

η το οτι θα παει ο hacker με το φλασακι μεχρι τον υπολογιστη , και θα πρεπει να χρησιμοποιησει το firmware του usb drive για να αποκτησει προσβαση στον υπολογιστη ;

 

δεν καταλαβαινω το τραγικο της υποθεσης ,μιας και δεν μοιαζει απλη η δυνατοτητα παραβατικοτητας .

 

η μηπως ειναι μονο οι θυρες usb που προκαλουν κενα ασφαλειας ; 

 

και σε σκληρο δισκο θα μπορουσε να χρησιμοποιηθει η ιδια τεχνικη απο τα οσα παρουσιαζονται , να βαζεις τον ssd μεσα και να σου λεει οτι ειναι mouse επειδη εχει πειραχτει το firmware  ...

[Thresh]

Ξαναγυρνάμε στα CD λοιπόν!

σιγά μην πάμε και στα σήματα καπνού...

[black adder]

σιγά μην πάμε και στα σήματα καπνού...

 

 

Μην τρελαθούμε κιόλας...ωραίο το άρθρο..άμα μου στείλουνε τσάμπα usb stick ,θα προσέξω τι θα γράψει όταν θα το συνδέσω.

[pigeon]

Άραγε τι εξοπλισμός χρειάζεται για να προγραμματίσεις αυτό το τσιπάκι;

https://srlabs.de/badusb/

[music_lover]

δηλαδη θα βαλει καποιος το στικακι στην usb θυρα , θα του αναφερει οτι βρεθηκε νεα συσκευη και ειναι ενα πληκτρολογιο  για το οποιο εχει και drivers , και  ο χρηστης , θα το θεωρησει φυσιολογικο . ..

Δεν νομίζω να σε ειδοποιήσει πως είναι πληκτρολόγιο,λογικά θα γίνει στο background,είπαμε είναι hackers,δεν είναι και τόσο αφελείς!

[giodoul]

Παρατραβηγμενο!Εξαλλου ότι κλειδωνει.....ξεκλειδωνει και χακαρεται!!!

[Επισκέπτης]

Μα νομίζω ότι αυτό δεν είναι απλά γνωστό - απο όλους εμάς που βασανιζόμαστε με τα sticks - αλλά δεδομένο..

 

Για αυτό  (μεταξύ άλλων) τον λόγο φτάσαμε στο σημείο να έχουμε απο 5-6 σε διάφορες χωριτικότητες...

 

Για να μην αναφέω και τους δίσκους που κουβαλάμε για stand by...

[fingolfingr]

Δεν νομίζω να σε ειδοποιήσει πως είναι πληκτρολόγιο,λογικά θα γίνει στο background,είπαμε είναι hackers,δεν είναι και τόσο αφελείς!

 

Ίσως να μην γίνεται στο background αλλα αν θελει να εμφανιστεί σαν πλήκτρολόγιο δεν νομίζω να χρειαζεται να γραφει στην ονομασία του "Microsoft keyboard" κλπ. Μπορεί να γράφει πχ ένα απλό "No name device" και να το βλέπεις σαν keyboard μόνο από την διαχειριση συσκευών.

 

 

δηλαδη θα βαλει καποιος το στικακι στην usb θυρα , θα του αναφερει οτι βρεθηκε νεα συσκευη και ειναι ενα πληκτρολογιο  για το οποιο εχει και drivers , και  ο χρηστης , θα το θεωρησει φυσιολογικο . ..

 

Για drivers...... οι περισσότερες συσκευές τώρα πια απλά παίζουν.

 

Πέρα από αυτό με το που θα το δεί φανταζομαι ότι το πρόγραμμα θα τρεχει αμέσως. Οπότε και οι εντολές θα πεφτους βροχή.

[Bspus]

Βαλτε linux

Οι εντολες και το malware θα ειναι για windows

[Red_Phantom]

Βαλτε linux

Οι εντολες και το malware θα ειναι για windows

 

Ουτε με το linux σώζεσαι γτ μπορούν να κάνουν dual payload. Απο ότι φαίνεται το μεγαλύτερο πρόβλημα θα υπάρχει με τα android phones όταν συνδέονται στον υπολογιστή. Στα κοινά flashakia μου φαίνεται λίγο δύσκολο να βγάλουν κάτι generic ώστε να μπορούν να αλλάξουν το firmware σε όλες τις συσκευές χωρίς να τις χαλάσουν.

 

Ακόμα και το firmware να φορτώνεται στην συσκευή απο το fs πάλι σχεδόν αδύνατο φαίνεται.

[panther_512]

Αν πάτε στο link της πηγής θα δείτε βίντεο με το παράδειγμα του smartphone.

 

Συνδέει το smartphone στον υπολογιστή απλά για να φορτίσει, στον υπολογιστή δεν έχει το οποιοδήποτε pop-up.

 

Ο χρήστης μετά μπαίνει στο ίντερνετ και πάει για παράδειγμα στη σελίδα του paypal. Όμως η σελίδα είναι ψεύτικη και τον πήγε εκεί το κινητό που έχει συνδεδεμένο στον υπολογιστή του.

 

Σκεφτείτε τώρα τί μπορεί να παίζει με τα πάμφθηνα κινέζικα τηλέφωνα, no name USB sticks, bluetooth adapters κλπ....

 

Ήδη ξέρουμε για κινέζικα τηλέφωνα που στέλνουν δεδομένα σε servers στην Κίνα.

 

Αν το πρόβλημα λυνόταν τόσο απλά παρατηρώντας τα pop up messages, δεν νομίζω να γινόταν θέμα. Αντίθετα αυτοί που το ανακάλυψαν θα πρότειναν στον κόσμο να παρατηρεί τα pop-up messages όταν συνδέει μιά συσκευή.

[h34a]

Έχω σαν αρχή, ποτέ να μη βάζω στον υπολογιστή μου usb stick από κάποιον άλλον χρήστη και ποτέ να μην έχω συνδέσει οποιαδήποτε usb mass storage συσκευή στον υπολογιστή όσο είμαι online.

Για όσους φορτίζουν τα κινητά τους στον υπολογιστή και ιδιαίτερα όταν είναι online, πραγματικά δεν ξέρω τι να πω, μάλλον για λύπηση είναι.

Ο κίνδυνος δεν είναι μόνο από το πειραγμένο firmware που λέει το άρθρο, μπορεί οποιαδήποτε συσκευή να αρπάξει malware από το internet στο πι και φι. Μερικοί αρέσκονται στο να προκαλούν τη μοίρα τους.