El anzuelo del USB encontrado: del cebo en el aparcamiento a BadUSB y los ataques de sobretensión
Una memoria USB desnuda tirada en un aparcamiento es uno de los cebos más antiguos de la seguridad informática, y sigue funcionando. En 2016 un equipo de Google y de la University of Illinois Urbana-Champaign midió exactamente cuánto. Este artículo repasa de dónde viene el anzuelo del USB encontrado, qué descubrió realmente aquel experimento de campo, qué puede hacer el hardware de cebo actual y qué reglas defensivas se mantienen.
De gusanos de oficina a plantas aisladas del mundo
El malware que viaja en medios extraíbles es anterior a la conciencia que la mayoría tiene de él. El virus Sality se detectó por primera vez en 2003, y los gusanos basados en accesos directos que se copian a las memorias y esperan a la siguiente víctima se volvieron un ruido de fondo permanente. Los investigadores de Kaspersky contaron 113,8 millones de detecciones en medios extraíbles solo en 2017, impulsadas sobre todo por familias de accesos directos LNK que se ejecutan en cuanto el usuario hace clic en el archivo que imitan. La treta pasó a otra categoría en 2010, cuando se descubrió Stuxnet dentro de una planta de enriquecimiento nuclear sin conexión a internet; las memorias USB estaban entre los caminos que usó para cruzar el aislamiento. La falla LNK de Windows que explotó, CVE-2010-2568, se parcheó en marzo de 2015, pero Securelist informó de que años después seguía entre las principales amenazas en la raíz de las unidades. Grupos sofisticados como Equation, Flame y Regin usaron el mismo canal contra redes aisladas. De esa época data la escena del pendrive en el aparcamiento como imagen fija de la ficción, recogida en televisión por series como Mr. Robot en 2015.El experimento de las memorias abandonadas
En el artículo Users Really Do Plug in USB Drives They Find, presentado en el IEEE Symposium on Security and Privacy de 2016, Matthew Tischer y colegas de Google y de la University of Illinois Urbana-Champaign repartieron 297 memorias por el campus. Los autores estimaron que se conectaron entre el 45 y el 98 por ciento según el estado de cada memoria. Y los que las encontraban rara vez se quedaban en conectarlas: el blog acompañante del estudio informa de que el 48 por ciento de las memorias se conectaron y abrieron al menos un archivo. La primera se conectó en menos de seis minutos. Una quinta parte de las conexiones ocurrió en la primera hora y la mitad en menos de siete. Los detalles son lo que hace incómodo el estudio. Etiquetar las memorias como exámenes o pegar una dirección de devolución no cambió los resultados, y el lugar de abandono tampoco: un aparcamiento funcionó igual de bien que un espacio interior protegido. Preguntados por qué conectaron la memoria, el 68 por ciento de los encuestados dijo que quería devolverla a su dueño y solo el 18 por ciento admitió curiosidad. Los investigadores no hallaron diferencia significativa entre quienes conectan memorias y la población general. Los archivos eran páginas HTML inofensivas con una imagen de rastreo, así que cada conexión se contó sin infectar a nadie.Cebo más afilado: BadUSB, memorias HID y juguetes de descarga
Desde 2014 el cebo ha mejorado. En la Black Hat de ese año, Karsten Nohl y Jakob Lell, de SR Labs, mostraron BadUSB: código de ataque oculto en el firmware del controlador del dispositivo USB, donde ni el formateo llega ni el antivirus mira. El hardware reprogramado puede hacerse pasar por un teclado y escribir lo que quiera en cuanto se conecta. Como dijo Nohl a WIRED:"Estos problemas no se pueden parchear... Estamos explotando la forma misma en que USB está diseñado."Su conclusión fue que la confianza solo puede venir de la procedencia: los medios extraíbles deberían tratarse como agujas hipodérmicas que nunca se comparten. Los dispositivos programables de inyección HID descendientes de esta línea de investigación se venden hoy abiertamente como herramientas de pentesting, lo que abarata el camino para quien quiera una memoria que dispare pulsaciones al insertarla. No toda memoria plantada busca datos. Los dispositivos USB killer toman corriente del puerto y descargan pulsos de alto voltaje de vuelta en las líneas de datos, destruyendo el controlador y a menudo la placa que hay detrás. En 2019 un estudiante del College of Saint Rose en Albany se declaró culpable de destruir 66 ordenadores del campus con uno de estos aparatos; fue condenado a un año de prisión y a pagar 58.471 dólares de restitución.
Por qué pierde la cautela
La lección más citada del experimento es que la gente racionaliza. La mayoría de quienes encontraban una memoria no se describían como curiosos temerarios, sino como personas serviciales. Las campañas de concienciación repiten la misma advertencia desde hace años - la guía de CISA sobre medios extraíbles dice a los usuarios que nunca inserten una memoria encontrada y que la entreguen a IT o al equipo de seguridad - pero los resultados de 2016 y las estadísticas de gusanos que no dejan de llegar sugieren que las advertencias por sí solas no frenan el reflejo.Reglas que aguantan
- Nunca conectes a una máquina que te importe un medio de origen desconocido. Entregar la memoria encontrada al personal de seguridad o a IT es la respuesta correcta, no abrirla para identificar al dueño.
- Valora la memoria, no el envoltorio. El estudio comprobó que etiquetas, llaves adjuntas y un aspecto cuidado no cambiaban nada.
- Separa los medios personales y de trabajo, protege con contraseña y cifra lo que lleves y haz copias de seguridad.
- Desactiva la ejecución automática y mantén al día el antivirus y los parches; los gusanos antiguos de accesos directos siguen dependiendo de ese camino.
- Si algún medio sospechoso debe examinarse, pertenece a una máquina dedicada, sin conexión y fuera de producción - nunca al equipo de diario - y las organizaciones deberían bloquear por política los dispositivos de almacenamiento en los puertos no imprescindibles.