La Seguridad del USB está Fundamentalmente Rota

La gente vive usando sus dispositivos USB de computadora en computadora. Aunque se está consciente de los virus y demás amenazas, se tiende a confiar en un antivirus, y muchas veces con reformatear, muchos resuelven cualquier anomalía. Pero los problemas de seguridad de estos no está en que información contengan, está en el mismo núcleo de como trabajan.

De ahí partieron Karsten Nohl y Jakob Lell, dos investigadores, para demostrar por qué la seguridad de los dispositivos USB está fundamentalmente rota. Han creado un Malware llamado BadUSB que puede ser instaladao en cualquier dispositivo USB para hackear una pc, alterar archivos instalados desde este de una manera invisible, o aún redireccionar el tráfico de Internet del usuario. Este malware reside no en la memoria de almacenamiento flash del dispositivo USB, sino en el firmware que controla sus funciones básicas, lo que significa que el código de ataque puede permanecer oculto mucho despues que el contenido en el dispositivo haya sido borrado. Segun estos, no hay un arreglo fácil. 

Aunque suena exagerado a simple oidas, ellos dicen que "en esta nueva forma de pensamiento, tienes que considerar un USB infectado y arrojarlo a la basura tan pronto y toque una computadora no confiable." Estos duraron meses haciendo ingenieria inversa al firmware de el chip controlador que permite a los dispositivos comunicarse con una pc y que permite a los usuarios mover archivos desde y hacia ellos.

Su hallazgo central está en que el firmware USB, que existe en formas variadas en todos los dispositivos USB, pueden ser reprogramados para ocultar código. 

Ya habia escuchado que era posible alojar malware en el firmware, pero tampoco esto es un proceso fácil, y no todos los dispositivos USB tienen el tipo de memoria que permite con un simple copiado acceder el firmware. 

Aunque puede ser real la amenaza del hallazgo de estos, a mi me parece tambien una promoción barata de su malware, ya que piensan exponerlo en el proximo evento Black Hat.