Группа инженеров опубликовала в сети код для неустранимого взлома USB Статьи редакции

Инженеры Адам Коудилл (Adam Caudill) и Брэндон Уилсон (Brandon Wilson) опубликовали на GitHub инструкцию по взлому порта USB с помощью неустранимой уязвимости, о существовании которой было объявлено в конце июля. Об этом сообщает Wired.

В конце июля исследователи в области компьютерной безопасности Карстен Нол и Джейкоб Лелл заявили, что в результате реверс-инжиниринга прошивки, отвечающей за коммуникационные функции порта USB, им удалось найти в нём неустранимую уязвимость.

Эта «дыра» позволила инженерам написать код под названием BadUSB, который позволяет заражать компьютеры с помощью устройств, у которых даже нет собственной памяти: вирус хранится непосредственно в чипе-контроллере, и поэтому не может быть обнаружен любыми стандартными средствами.

Тогда Нол и Лелл отказались публиковать свою находку в сети, чтобы дать индустрии время разобраться с проблемой, однако спустя два месяца это решение приняли за них. В рамках конференции DerbyCon инженеры Адам Коудилл и Брэндон Уилсон заявили, что им удалось повторить BadUSB, но они убеждены, что только публикация этого кода в сети может заставить крупные корпорации зашевелиться.

Если подобное могут сделать только люди с большим бюджетом, производители пальца о палец не ударят. Мы должны доказать миру, что на практике подобное может сделать кто угодно.Адам Коудилл

Поскольку проблема BadUSB кроется в самой сути стандарта USB, в текущих его версиях (2.0 и 3.0) её устранить нельзя. Для этого нужна новая версия USB с дополнительным слоем защиты.

Люди смотрят на эти штуки [флешки] и не видят в них ничего кроме хранилищ данных. Они не понимают, что держат в руках перепрограммируемый компьютер.Адам Коудилл

BadUSB может быть использован для захвата управления PC, скрытого изменения файлов пользователя и перенаправления интернет-трафика. Более того, после того, как флешка заразила компьютер, он может заразить и другое USB-устройство, тем самым запустив эпидемию.

2014 год уже по праву можно считать годом глобальных уязвимостей, подобных этой. Весной серьёзную «дыру» обнаружили в стандарте шифрования данных OpenSSL, из-за чего многим крупным сайтам пришлось сбросить пароли своих пользователей, а в конце сентября — в популярной среди пользователей Linux и Mac командной оболочке Bash. На полное устранение этих проблем могут уйти годы.