A isca do USB encontrado: da armadilha no estacionamento a BadUSB e ataques de sobretensão
Um pendrive nu abandonado num estacionamento é uma das iscas mais antigas da segurança da informação, e ainda funciona. Em 2016, uma equipe do Google e da University of Illinois Urbana-Champaign mediu exatamente o quanto. Este texto examina de onde veio a isca do USB encontrado, o que aquele experimento de campo realmente constatou, o que o hardware de isca atual consegue fazer e quais regras de defesa se sustentam.
De vermes de escritório a redes isoladas
O malware que viaja em mídias removíveis é anterior à percepção da maioria das pessoas. O vírus Sality foi detectado pela primeira vez em 2003, e os vermes baseados em atalhos que se copiam para os pendrives e esperam a próxima vítima viraram um ruído de fundo permanente. Os pesquisadores da Kaspersky contabilizaram só em 2017 113,8 milhões de detecções em mídia removível, puxadas sobretudo por famílias de atalhos LNK que executam assim que o usuário clica no arquivo imitado. A trama mudou de patamar em 2010, quando o Stuxnet foi descoberto dentro de uma usina de enriquecimento nuclear sem conexão à internet; pendrives estavam entre os caminhos que ele usou para atravessar o isolamento. A falha LNK do Windows que ele explorava, CVE-2010-2568, foi corrigida em março de 2015, mas a Securelist relatou que anos depois ela ainda figurava entre as principais ameaças na raiz das unidades. Grupos sofisticados como Equation, Flame e Regin usaram o mesmo canal contra redes isoladas. É dessa época a cena do pendrive no estacionamento como imagem fixa da ficção, ecoada na televisão por séries como Mr. Robot em 2015.O experimento dos pendrives abandonados
No artigo Users Really Do Plug in USB Drives They Find, apresentado no IEEE Symposium on Security and Privacy de 2016, Matthew Tischer e colegas do Google e da University of Illinois Urbana-Champaign espalharam 297 pendrives pelo campus. Os autores estimaram que, dependendo do estado do dispositivo, 45 a 98 por cento foram conectados. E quem encontrava raramente parava em conectar: o blog que acompanha o estudo informa que 48 por cento dos pendrives foram conectados e tiveram ao menos um arquivo aberto. O primeiro foi conectado em menos de seis minutos. Um quinto das conexões ocorreu na primeira hora, metade em menos de sete. Os detalhes são o que torna o estudo desconfortável. Rotular os pendrives como provas ou colar um endereço de devolução não mudou nada, e o local do abandono também não: um estacionamento funcionou tão bem quanto um espaço interno protegido. Perguntados por que conectaram o pendrive, 68 por cento dos encontradores disseram que queriam devolvê-lo ao dono, e apenas 18 por cento admitiram curiosidade. Os pesquisadores não acharam diferença significativa entre quem conecta pendrives e a população em geral. Os arquivos eram páginas HTML inofensivas com uma imagem de rastreamento, de modo que cada conexão foi contada sem infectar ninguém.Isca mais afiada: BadUSB, pendrives HID e brinquedos de descarga
Desde 2014 a própria isca melhorou. Na Black Hat daquele ano, Karsten Nohl e Jakob Lell, da SR Labs, demonstraram o BadUSB: código de ataque escondido no firmware do controlador do dispositivo USB, onde nem a formatação alcança nem o antivírus olha. Hardware reprogramado pode se passar por teclado e digitar o que quiser no instante em que é conectado. Como disse Nohl ao WIRED:"Esses problemas não podem ser corrigidos... Estamos explorando a própria maneira como o USB é projetado."A conclusão dele: a confiança só pode vir da procedência; mídias removíveis devem ser tratadas como agulhas hipodérmicas que nunca se compartilham. Dispositivos programáveis de injeção HID descendentes dessa linha de pesquisa hoje se vendem abertamente como ferramentas de pentest, o que reduz a barreira para quem quer um pendrive que dispare digitação ao ser conectado. Nem todo pendrive plantado quer dados. Os dispositivos USB killer puxam energia da porta e devolvem pulsos de alta tensão nas linhas de dados, destruindo o controlador e muitas vezes a placa atrás dele. Em 2019, um estudante do College of Saint Rose, em Albany, declarou-se culpado de destruir 66 computadores do campus com um desses aparelhos; foi condenado a um ano de prisão e a pagar 58.471 dólares de ressarcimento.
Por que a cautela perde
A lição mais citada do experimento é que as pessoas racionalizam. A maioria dos que encontravam não se descrevia como curiosos imprudentes, mas como gente prestativa. Campanhas de conscientização repetem o mesmo aviso há anos - a orientação da CISA sobre mídias removíveis manda nunca inserir um pendrive encontrado e entregá-lo à TI ou à equipe de segurança - mas os resultados de 2016 e as estatísticas de vermes que continuam chegando sugerem que avisos sozinhos não vencem o reflexo.Regras que se sustentam
- Nunca conecte a uma máquina que importa para você uma mídia de origem desconhecida. Entregar o pendrive encontrado ao pessoal de segurança ou à TI é a resposta certa, não abri-lo para achar o dono.
- Julgue o pendrive, não a embalagem. O estudo mostrou que etiquetas, chaves anexadas e aparência cuidada não mudavam nada.
- Separe mídias pessoais e de trabalho, proteja com senha e criptografe o que carrega e mantenha backups.
- Desative a execução automática e mantenha antivírus e correções em dia; os vermes antigos de atalhos ainda dependem desse caminho.
- Se uma mídia suspeita precisar mesmo ser examinada, que seja numa máquina dedicada, sem rede e fora de produção - nunca no computador do dia a dia - e organizações deveriam bloquear por política classes de armazenamento nas portas não essenciais.