usb black hat

Det har gått två månader sedan Karsten Nohl demonstrerade en attack som han kallade BadUSB på Black Hat-konferensen i Las Vegas, och visade att det är möjligt att korrumpera alla usb-enheter med malware som inte går att upptäcka. På grund av problemet är mycket allvarligt, samt att det saknas enkla lösningar, lät Nohl bli att släppa koden fri till allmänheten. Men nu har två av hans kollegor gått före.

På Derbycon-konferensen i Kentucky visade Adam Caudill och Brandon Wilson att de använt reverse engineering på samma usb-firmware som Nohl, och släppt koden för attacken på Github. Släppet utmanar tillverkare till att fixa problemet, eller låta miljoner användare fortsätta vara sårbara.

Attacken påverkar den firmware som finns på usb-enheternas mikrokontroller, och man blir inte av med den skadliga koden även om man raderar allt på själva minnet.

De två säkerhetsforskarna, som inte vill berätta var de är anställda, menar att koden kommer att låta penetrationstestare använda deras teknik, och bevisa för kunder att usb-enheter nästan är omöjliga att säkra i sin nuvarande form. De menar också att en allmänt tillgänglig exploit är det enda sättet att tvinga tillverkare att ändra prylarnas fundamentala säkerhetsproblem.

"Om det här ska bli fixat måste det till mer än bara ett föredrag på Black Hat", säger Adam Caudill till Wired om Nohls demonstration.