FBI advierte sobre cargadores USB con keyloggers
El FBI emitió una alerta para la industria privada en relación a un keyloggers que se esconden en cargadores USB de pared, y tienen como blanco a teclados inalámbricos. Las características son idénticas a las de KeySweeper, hasta ahora el único caso conocido de un cargador que registre las pulsaciones; sin embargo, es curioso que este aviso haya salido el 29 de abril pasado, cuando la aparición de KeySweeper fue en enero de 2015. Si se coloca estratégicamente en una oficina, un atacante podría recolectar información personal
KeySweeper ha sido creado por el investigador Samy Kamkar que logró construir con apenas 10 dólares de presupuesto un completo keylogger camuflado en un cargador USB que registra las pulsaciones de teclados inalámbricos Microsoft.
Samy ha puesto a disposición de quien quiera construirse su propio dispositivo keylogger todas las instrucciones necesarias en su cuenta de Github, aunque ya avisa de que nadie con la suficiente experiencia a la hora de manejar dispositivos electrónicos debería intentarlo siquiera, por el riesgo evidente de electrocución.
Vale la pena prestar atención a la advertencia de la fuerza de seguridad. Después de todo, la posibilidad de que algo que supuestamente está cargando tu teléfono registre tus contraseñas y todo lo que escribes para reportarlo a un atacante podría ser alarmante.
De todas formas, no debes entrar en pánico: el peligro existe solo cuando tu dispositivo móvil está enchufado a este cargador USB de pared alterado, que posee en su interior elementos como un minicontrolador Arduino y un chip de radiofrecuencia.
Además, lo que espía es la comunicación de ciertos teclados inalámbricos de Microsoft fabricados antes de 2011 con el equipo, por lo que deberían darse todas estas condiciones para que el ataque, que hasta el momento es una prueba de concepto mostrada por Samy Kamkar en un video, sea exitoso.
El FBI señala:
"Dado que los dispositivos Arduino son modulares y programables, un actor podría recolectar datos capturando y descifrando protocolos de comunicación de varios otros dispositivos inalámbricos, dependiendo de la debilidad o facilidad de explotación del cifrado de ese protocolo", dice el comunicado.
Conociendo los rangos de radiofrecuencia en los que operen, "un dispositivo como KeySweeper podría ser usado para recolectar datos de otros dispositivos inalámbricos además de teclados, para potencialmente incluir datos desde Bluetooth, Wi-Fi o tráfico SMS". Sin embargo, cabe destacar que la posibilidad de recolectar la información no implica que se pueda acceder a ella; eso depende de si se puede romper el cifrado del protocolo que se utiliza.
Al pie de página, el FBI aclara que estos hallazgos surgen de una investigación propia, lo cual podría explicar la "demora" en el lanzamiento de la advertencia. Sin embargo, como señala Ars Technica, el comunicado no hace ninguna referencia a atacantes interceptando tráfico de dispositivos inalámbricos In-the-Wild. El medio le preguntó a Samy Kamkar si sabía de algún ataque real que usara dispositivos similares a KeySweeper y tampoco él está al tanto de ninguno.
Aún así, nunca está de más escuchar una advertencia, sobre todo en el cambiante ámbito de la seguridad informática: el vector de ataque que hoy no existe podría ser hallado mañana.
Por eso, en el ámbito corporativo, mejor seguir los consejos del FBI:
Fuente: We Live Security
KeySweeper ha sido creado por el investigador Samy Kamkar que logró construir con apenas 10 dólares de presupuesto un completo keylogger camuflado en un cargador USB que registra las pulsaciones de teclados inalámbricos Microsoft.
Samy ha puesto a disposición de quien quiera construirse su propio dispositivo keylogger todas las instrucciones necesarias en su cuenta de Github, aunque ya avisa de que nadie con la suficiente experiencia a la hora de manejar dispositivos electrónicos debería intentarlo siquiera, por el riesgo evidente de electrocución.
De todas formas, no debes entrar en pánico: el peligro existe solo cuando tu dispositivo móvil está enchufado a este cargador USB de pared alterado, que posee en su interior elementos como un minicontrolador Arduino y un chip de radiofrecuencia.
Además, lo que espía es la comunicación de ciertos teclados inalámbricos de Microsoft fabricados antes de 2011 con el equipo, por lo que deberían darse todas estas condiciones para que el ataque, que hasta el momento es una prueba de concepto mostrada por Samy Kamkar en un video, sea exitoso.
El FBI señala:
Si se coloca estratégicamente en una oficina u otra locación donde individuos podrían usar dispositivos inalámbricos, un atacante podría potencialmente recolectar información de identificación personal (PII), propiedad intelectual, secretos comerciales, contraseñas u otra información sensible.Al mismo tiempo, el FBI asegura que una herramienta como KeySweeper podría ser usada para espiar los registros de otros dispositivos inalámbricos, además de teclados.
Dado que los datos son interceptados antes de llegar al CPU, los jefes de seguridad podrían no tener conocimiento de cómo la información sensible está siendo robada.
"Dado que los dispositivos Arduino son modulares y programables, un actor podría recolectar datos capturando y descifrando protocolos de comunicación de varios otros dispositivos inalámbricos, dependiendo de la debilidad o facilidad de explotación del cifrado de ese protocolo", dice el comunicado.
Conociendo los rangos de radiofrecuencia en los que operen, "un dispositivo como KeySweeper podría ser usado para recolectar datos de otros dispositivos inalámbricos además de teclados, para potencialmente incluir datos desde Bluetooth, Wi-Fi o tráfico SMS". Sin embargo, cabe destacar que la posibilidad de recolectar la información no implica que se pueda acceder a ella; eso depende de si se puede romper el cifrado del protocolo que se utiliza.
Al pie de página, el FBI aclara que estos hallazgos surgen de una investigación propia, lo cual podría explicar la "demora" en el lanzamiento de la advertencia. Sin embargo, como señala Ars Technica, el comunicado no hace ninguna referencia a atacantes interceptando tráfico de dispositivos inalámbricos In-the-Wild. El medio le preguntó a Samy Kamkar si sabía de algún ataque real que usara dispositivos similares a KeySweeper y tampoco él está al tanto de ninguno.
Aún así, nunca está de más escuchar una advertencia, sobre todo en el cambiante ámbito de la seguridad informática: el vector de ataque que hoy no existe podría ser hallado mañana.
Por eso, en el ámbito corporativo, mejor seguir los consejos del FBI:
- Limitar la cantidad de enchufes disponibles para cargar dispositivos
- Saber qué cargadores están siendo utilizados
- Sacar de las instalaciones cualquier cargador desconocido
Fuente: We Live Security
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!