Уязвимость в USB-устройствах

[BadBlock]

01.08.14, Пт, 17:00, Мск
Безопасность

Немецкие эксперты нашли фундаментальную уязвимость во всех USB-устройствах. В случае заражения пользователю не останется ничего, кроме как выкинуть устройство, так как вредоносный код будет расположен непосредственно в чипе, который отвечает за его работу. Ни один антивирус не способен добраться до этого контроллера.

Любое USB-устройство, будь то флешка, внешний жесткий диск, мышь, клавиатура или даже смартфон с USB-интерфейсом, можно превратить в инструмент хакера, предупреждают эксперты германской консалтинговой фирмы Security Research Labs Карстен Ноль (Karsten Nohl) и Жакоб Лел (Jakob Lell).

Дело в том, что, как они утверждают в официальном блоге, каждое периферийное USB-устройство содержит чип — контроллер интерфейса, — который можно легко перепрошить. Нет никакой защиты, которая бы препятствовала этому действию.

Перепрошив USB-контроллер, злоумышленник может, например, эмулировать USB-клавиатуру, после чего вводить команды от лица пользователя и устанавливать вредоносное ПО; проникнуть в сетевую плату и изменить DNS, чтобы интернет-трафик протекал через узел злоумышленника, или запустить вирус в операционную систему прямо во время загрузки ПК (при условии, что скомпрометированное устройство будет к нему подключено).

«На сегодняшний день мы не знаем эффективных средств защиты от подобных атак», — утверждают Ноль и Лел. Установленный на компьютере антивирус никогда не узнает, что у контроллера была сменена прошивка, просто потому что он не имеет доступа к этому чипу. Фаерволы, которые бы блокировали USB-устройства определенного класса, пока не существуют. Наконец, технологии поведенческого анализа в этом случае тоже не подходят — потому что эмуляция другого устройства будет просто-напросто воспринята как факт смены устройства самим пользователем.

Более того, если подобная «зараза» проникнет в систему, то ее будет очень сложно устранить, считают эксперты. Переустановка ОС не вычистит вирусы, так как они находятся внутри контроллеров — вне зоны досягаемости, — а не на жестком диске, где расположены системные файлы. Вирус также может заразить и другие устройства, подключенные к ПК по интерфейсу USB, например, веб-камеру или акустику.

pda.cnews.ru/news/index.shtml?top/2014/08/01/581443

[Desperanto]

0: BadBlock:
ээ...а зашить то "вирус" в микруху надо же из под операционки или через j-tag...не проще ли отлавливать приложения, которые требуют доступ к контроллеру? да и память у таких контроллеров идет как правило счетом на килобайты...вшить полноценный интеллектуальный вирус в эти килобайты и при этом оставить функционал порта/устройства не так уж и просто (я не говорю, что нереально)
да и в случае заражения можно также и обеззаразить, надо только прошивку контроллера

[Burg]

1: Desperanto:
при любом физическом доступе к компу с ним можно сделать все что угодно.
Дайте мне отвертку и хана вашим данным

[Desperanto]

2: Burg:
а мне даже отвертки не надо дайте мне комп/ноут

[Desperanto]

таже новость на 4пда.ру
http://4pda.ru/2014/08/03/169748/
ссусь с комментов

[Splinter]

2: Burg:
> Дайте мне молоток и хана вашим данным

[BadBlock]

5: Splinter:

[Burg]

5: Splinter:
только если с гвоздем соткой... пробиваешь в нескольких местах гермозону и в кислоту )

[BadBlock]

7: Burg:

У меня дочь по моей просьбе разрушить отказавший винт радостно справилась одним только молотком. В нуля.

[Splinter]

7: Burg:

Усложняешь.
Все гораздо проще.

[Burg]

9: Splinter:
регламент )

[Splinter]

10: Burg:

А, ну если по регламенту положено - тогда да.
Но регламент часто бывает избыточен.

Собственно, вскрыв гермозону, винт уже можно выкидывать.
А если по блинам еще и молотком пару раз вдарить.

Гвоздь сотку можно оставить на память, он не понадобится!!!

У меня первый внешний винт умер в результате падения с полутора метров на твердый бетонный пол.
Умер наглухо, восстановить уже не смогли.

[Splinter]

8: BadBlock:
> У меня дочь по моей просьбе разрушить отказавший винт радостно справилась одним только молотком.

Дети такое любят.
Дома вон лежат старые внутренности от древнего компа: флоппики, дисковод под них, сидиром, дохлая видюха, блок питания. Все на выброс, поэтому думаю доставить детям радость: отвезти хлам на дачу, дать им молотки и гвозди - пусть отведут душу!!!

[BadBlock]

12: Splinter:
> Все на выброс, поэтому думаю доставить детям радость: отвезти хлам на дачу, дать им молотки и гвозди - пусть отведут душу!!!

А вот для такого лучше отвертку.

Опять же, дочери дал отказавший DVD-плеер и отвертку, в процессе разбора с большим интересом смотрела, как что устроено и куда нажимаются кнопки, а также многократно походила на предмет прояснить, а это что тут такое, а это что, а тут как работает.

[Старый_прохиндей]

1.что-то вспомнилось http://www.securitylab.ru/news/395497.php
2. Механизм заражения устройства?
2.1 Насколько я понял, зайти на порнозараженный сайт и подцепить подобную заразу не получится?
2.2 Т.е. нужно чтобы кто-то подарил предварительно модифицированный девайс?
2.3

Перепрошив USB-контроллер, злоумышленник может, например, эмулировать USB-клавиатуру, после чего вводить команды от лица пользователя и устанавливать вредоносное ПО

Если уязвимость суть только в этом, то палево. На экране будут видны команды.

[Desperanto]

14: Старый_прохиндей:
ну команды можно скрыть и это не проблема...процесс же не обязательно выводить в окно...

[Старый_прохиндей]

15: Desperanto пишет:
> 14: Старый_прохиндей:
> ну команды можно скрыть и это не проблема...процесс же не обязательно выводить в окно...
Каким образом?
Ок, задача, скачать и запустить _http://www.site.ru/forum/virus.exe_
У вас только полный контроль над клавиатурой.
И я глядя в моник нечего не должен видеть.

[Desperanto]

16: Старый_прохиндей:
а...ты вон о чем...я не так понял пост изначально...я думал что мол процесс прошивки будет виден...
но все равно даже так можно беспалевно "что-то делать"...

[Burg]

17: Desperanto:
не обязательно безпалевно... сработает в 1 случае из 100 и этого достаточно, если производство таких флешек поставить на поток

[Евгений]

11: Splinter пишет:
> Собственно, вскрыв гермозону, винт уже можно выкидывать.

Разве?
Я считал, что при спасении данных с винта вполне идут на такой шаг. Ну выкинуть-то можно и уже, конечно, только сначала даные списать.

[Старый_прохиндей]

18: Burg пишет:
> 17: Desperanto:
> не обязательно безпалевно... сработает в 1 случае из 100 и этого достаточно, если производство таких флешек поставить
> на поток
1% очень мало, на поток флешки поставить не удастся. Лучше уж Blackhole. Отстук больше и затраты меньше.

[Splinter]

19: Евгений:
> Разве?
> Я считал, что при спасении данных с винта вполне идут на такой шаг.

Я про бытовые домашние условия.
А так-то, конечно, вскрывают и данные вытаскивают - только для этого спецусловия нужны, "чистая комната" как минимум.
У подавляющего числа обычных людей доступа к такому инструментарию нет: только при обращении в соответствующие профильные организации, да и то далеко не везде есть. И стоит это немалых денег.

Я вот сейчас два винта в Москву собираюсь отправить: надо оттуда инфу вытащить.
Ближе не найти, восстановление на коленке чревато полной потерей данных, рисковать не хочу.
Поэтому решил, что пусть этим занимаются специалисты с хорошим оборудованием и наличием всех условий.