USBHarpoon é um ataque BadUSB modificado

Ionyt Ilascu - 20/08/2018

Diversos experts em segurança construíram uma versão maliciosa de um cabo carregador USB,
um que pode comprometer um computador em apenas alguns segundos. Uma vez conectado,
ele se torna em um dispositivo periférico capaz de digitar e executar comandos.

USBHarpoon, como foi batizado, baseia-se na pesquisa BadUSB de Karsten Nohl e sua equipe
na Security Research Labs. O trabalho deles mostrou que um atacante pode reprogramar o
chip controlador de um drive USB e fazê-lo aparecer para o computador como um Human
Interface Device (HID).

O tipo de HID pode ser qualquer coisa desde um dispositivo de entrada, como teclado que
envia uma rápida sucessão de comando, até uma placa de rede que modifica as configurações
de DNS do sistema para redirecionar o tráfego.

Com USBHarpoon, os especialistas em segurança substituíram o drive USB por um cabo de

carregamento, algo tão comum quanto, porém menos provável de ser alvo da atenção dos
usuários.

O cabo vem com conectores modificados que permitem que, tanto dados, quanto energia,
passem por ele, de forma que cumpra com a função esperada. Essa característica permite que
seja acompanhado por qualquer tipo de dispositivo que seja carregado por meio do USB
(ventiladores, dongles distribuídos em conferências), sem que levante quaisquer suspeitas
acerca da conexão do cabo.

A ideia já foi implementada anteriormente

Por trás do projeto USBHarpoon estão Olaf Tan e Dennis Goh do grupo de pesquisa RFID,
Vincent Yiu da SYON Security e Kevin Mitnick, que catalisou toda a colaboração.

Yiu, que trabalha no design e “armificação” do cabo, diz que conversou com diversos colegas
pesquisadores de diferentes laboratórios que tentaram construir um projeto como
USBHarpoon, mas “não foram capazes de fazer o cabo carregar por alguma razão”.”Minha
equipe de amigos conseguiu “armificar” essa funcionalidade a fim de fazer um cabo USB
totalmente funcional, e também um dispositivo HID compatível,” acrescentou ele num post
em blog.

Porém um cabo de carregador USB “armado” já existia e havia sido desenvolvido por um
pesquisador de segurança usando o Twitter handle MG. Como mostrado nos vídeos abaixo, de
Janeiro de 2018, MG foi capaz de criar cabos USB que poderia realizar ataques HID quando
conectados à porta USB de um computador.

VIDEOS
MG também mostrou que o ataque, que chama de cabo BadUSB, poderia funcionar com um
conector USB-C, usado em carregadores de MacBook, informando que “funciona em
praticamente todos os dispositivos com uma porta USB,” incluindo celulares.

Mitnick disse à Bleeping Computer que ele pediu à MG que construísse um cabo para que ele
usasse em uma importante palestra para demonstrar novos métodos de ataque, porém não
recebeu em tempo para a apresentação. Para que o cabo funcione como previsto, necessitava
de um código para carregar, que segundo MG à Bleeping Computer, não foi recebido de
Mitnick em tempo hábil para completar o projeto. Numa thread do Twitter sobre o assunto,
Mitnick disse que a razão para o não fornecimento do código foi uma agenda cheia.

Após não receber o cabo, Mitnick afirmou não ter desistido da ideia de ter um cabo USB
malicioso e contatou Dennis Goh com a proposta de construir um. Goh aceitou o desafio e
junto com Olaf Tan conclui o trabalho em alguns dias, como um favor à Mitnick, porém o valor
para o setor de segurança, especialmente em testes de penetração, é enorme.

Após ver o USBHarpoon, MG comentou que o cabo parecia muito similar, se não igual, ao que
ele criou para os vídeos e compartilhou imagens internas com Mitnick.

Yiu disse nunca ter ouvido falar sobre a pesquisa de MG enquanto trabalhando no
USBHarpoon, porém creditou o trabalho original a MG assim que soube sobre.

Ocultando o ataque, se defendendo dele

O ataque USBHarpoon/cabo BadUSB é bem sucedido em máquinas desbloqueadas, onde pode
executar comandos que baixam e executam um código. No Windows, os comandos podem
rodar diretamente do prompt Executar; no Mac e Linux pode ser executar o terminal e
trabalhar a partir de lá.

Essa atividade é visível na tela, então o atacante deve possuir um método para ocultá-la. A
equipe de Yiu afirma estar explorando métodos para iniciar o ataque quando a vítima não
estiver por perto.

Atrasar a ação é um dos caminhos que estão estudando, porém existem outros canais que
consideram para obter a resposta desejada. Sinais de Bluetooth e radio podem ser parte da
solução.

Proteger contra ataques que se baseiam em conexões USB não é fácil. Uma resposta potencial
é o uso de dispositivos bloqueadores de dados, também conhecidos como “camisinhas de
USB”. Um acessório eletrônico como esse bloqueia os pinos de dados num cabo USB e permite
apenas a passagem de energia.

Porém MG prova um ponto válido num vídeo em que mostra que as camisinhas de USB podem
ser infectadas também, e você não pode confiar nelas a não ser que tenha uma forma de
auditá-las antes do uso.

“Os problemas por trás do BadUSB nunca foram citados. Essa pesquisa é um lembrete de que
qualquer USB pode se tornar malicioso, até mesmo um simples cabo carregador,” disse
Karsten Nohl, o pesquisador original do BadUSB, à Bleeping Computer.
Apesar da ideia por trás do USBHarpoon não ser nova, ela tem a vantagem de ter sido refinada
por diversos especialistas em segurança. Mitnick disse que o cabo construído por sua equipe
era indistinto do que você encontra para comprar nas prateleiras. E mesmo que hajam
diferenças, é muito provável que a vítima não irá notar.

Para demonstrar a funcionalidade do USBHarpoon, Yiu publicou um vídeo em que um drone se

conecta a um PC e envia comandos para listar o conteúdo de uma pasta no drive do sistema.