אמצעי חדש לביצוע מתקפות: כבל USB

חוקרים מצאו דרך חדשה לתקוף מחשבים ניידים וטלפונים חכמים – בעזרת כבל USB תמים למראה.

אנג'לוס סטברו, מרצה למדעי המחשב באוניברסיטת ג'ורג' מייסון, והסטודנט זהוי וונג כתבו קוד תוכנה שמשנה את אופן פעולת מנהל ההתקנים של חיבור USB. השינוי מאפשר לבצע מתקפות בזמן שטוענים טלפון חכם או מסנכרנים נתונים בין המחשב לבין הטלפון החכם.

בעקרון, המתקפה מבוצעת באמצעות הוספת תפקוד של מקלדת או עכבר לחיבור USB, כך שהתוקף יכול להזין פקודות או ללחוץ על העכבר על מנת לגנוב קבצים, להוריד מזיקים או לבצע פעולות אחרות שמאפשרות להשתלט על המחשב – הסביר סטברו. זאת תוך ניצול היכולות של פרוטוקול USB לחבר כל מכשיר לפלטפורמת מיחשוב ללא אימות זהות, אמר.

החוקרים הציגו את השיטה בוועידת Black Hat שנערכה אתמול (ד') בוושינגטון. הקוד שכתבו מזהה את מערכת ההפעלה שפועלת במכשיר שאליו מחובר כבל USB. במחשבי מקינטוש (Macintosh) או כאלה המבוססים על חלונות (Windows) מופיעה הודעה שמציינת, כי זוהה אמצעי קלט חדש, אך לא ניתן לעצור את התהליך, על פי סטברו. במחשבי Mac יכול התוקף להסיר מיד את ההודעה, בעוד שבמחשבי חלונות היא מופיעה במשך שנייה או שתיים בפינה השמאלית התחתונה, וייתכן מאוד שהמשתמש כלל לא יבחין בה לפני שתיעלם.

במחשבים המבוססים על לינוקס (Linux) לא מופיעה שום הודעה והמשתמשים כלל אינם מודעים לכך שאירע משהו חריג – במיוחד משום שהמקלדת והעכבר של המחשב ממשיכים לפעול כרגיל. "מערכת ההפעלה צריכה להציג תיבת דו-שיח שבה יישאל המשתמש אם ברצונו לחבר את המכשיר" וגם לציין את סוג המכשיר שזוהה, התריע סטברו.

החוקרים כתבו קוד לניצול הפרצה באמצעות מכשירי אנדרואיד (Android), אך, לדברי סטברו, ניתן "לעשות זאת גם במכשירי iPhone". הוא הוסיף, כי השיטה פועלת בכל מכשיר עם חיבור USB, בכלל זה בין שני טלפונים חכמים שמחוברים ביניהם בכבל שכזה.

"אם המחשב בבית הותקף וגם מכשיר אנדרואיד נדבק, בכל פעם שמחברים את מכשיר האנדרואיד למחשב כלשהו – ייפגע גם המחשב. מדובר במתקפה ויראלית תוך שימוש בחיבורי USB", אמר.

השלב הראשון במתקפה מתרחש כשמורידים את הקוד העוין מהאינטרנט או מפעילים יישום נגוע. החוקרים כתבו תוכנה שפועלת במחשב וגם בגרעין של אנדרואיד. סקריפטים מתאימים יכולים לשמש לביצוע המתקפות בפועל. תוכנות אנטי וירוס אינן יכולות לעצור את המתקפות, ציין סטברו, משום שהן אינן מודעות לפעילויות שמבצעים המשתמשים.